Politique de Confidentialité

Julien PEREIRA, auto-entrepreneur exerçant sous l'enseigne Nutritwin (SIRET à compléter), dont le siège est situé au 7 rue Franklin, 52000 Chaumont, est responsable du traitement des données personnelles collectées via NutriTwin. Contact : contact@nutritwin.fr

NutriTwin et le Praticien sont co-responsables du traitement des données des patients, conformément à l'article 26 du RGPD. Les modalités de cette co-responsabilité sont définies dans l'Accord de Traitement des Données (DPA), accepté par le Praticien lors de son inscription.

NutriTwin collecte les données suivantes :

• Données Praticien : nom, prénom, email, spécialité, réponses de configuration du jumeau numérique (approche thérapeutique, protocoles, documents chargés), date et heure de consentement RGPD.
• Données Patient : nom, prénom, email, âge, sexe, taille, poids, objectif nutritionnel, pathologies, allergies, traitements en cours, aliments aimés et détestés, habitudes alimentaires et de vie, historique des conversations avec l'assistant IA, événements Mon Soutien et exercices de régulation émotionnelle, statut émotionnel évalué par l'IA, date et heure de consentement RGPD.
• Données de navigation : logs de connexion, adresse IP, dernière date de connexion.

Les données patient constituent des données de santé au sens de l'article 9 du RGPD et bénéficient à ce titre d'une protection renforcée.

Analyse visuelle de photos : Les photographies transmises par le Patient (repas, étiquettes alimentaires, bilans biologiques, etc.) sont traitées en temps réel par l'intelligence artificielle à des fins d'analyse et d'interprétation. NutriTwin ne procède à aucun stockage persistant de ces images — elles sont supprimées immédiatement après analyse.

Exercices vocaux (Gemini Live) : Certains exercices de régulation émotionnelle utilisent la voix du Patient via un flux audio en temps réel (WebSocket). Ces flux vocaux ne sont pas enregistrés ni stockés par NutriTwin. Seul le texte transcrit de l'échange peut être conservé en base de données comme résumé de l'exercice, dans les mêmes conditions que les autres données de conversation.

Le traitement des données est fondé sur :

• L'exécution du contrat d'abonnement (données Praticien — article 6.1.b RGPD).
• Le consentement explicite du patient (données de santé — article 9.2.a RGPD), recueilli lors de la création du compte patient avec horodatage enregistré en base de données.
• L'intérêt légitime de l'Éditeur pour la sécurité et la continuité technique du service (article 6.1.f RGPD) — limité aux logs de connexion et à la limitation du débit d'usage. Les données de conversation ne sont jamais utilisées pour améliorer ou entraîner des modèles d'intelligence artificielle.

NutriTwin utilise l'intelligence artificielle pour analyser le contenu des échanges entre les patients et l'assistant, et attribuer un statut émotionnel (neutre / vigilance / alerte) visible par le Praticien dans son tableau de bord. Ce traitement constitue une forme de profilage au sens de l'article 4.4 du RGPD.

Ce profilage n'entraîne aucune décision entièrement automatisée : le Praticien reste seul décisionnaire quant aux actions à entreprendre. Le patient peut contester l'évaluation en contactant son praticien ou en écrivant à contact@nutritwin.fr.

NutriTwin fait appel aux prestataires suivants. Certains sont situés en dehors de l'Union Européenne — des garanties appropriées sont en place dans chaque cas (clauses contractuelles types de la Commission européenne ou décision d'adéquation) :

• Google Cloud (Vertex AI & Gemini API) – Google Ireland Limited : traitement IA des messages, analyses nutritionnelles et exercices vocaux. Les modèles utilisés s'appuient sur l'infrastructure européenne de Google ; certains modèles multi-régions peuvent impliquer un traitement hors d'Europe. Garanties RGPD : clauses contractuelles types.
• Supabase, Inc. : hébergement de la base de données. Région : EU West (Paris). Transfert hors UE limité au support technique ; clauses contractuelles types applicables.
• Upstash, Inc. : cache Redis utilisé pour la limitation de débit (comptage du nombre de messages envoyés par session). Région EU disponible et activée. Seuls des identifiants techniques pseudonymisés (UUID) sont stockés temporairement (24h maximum). Clauses contractuelles types applicables.
• Vercel, Inc. : hébergement applicatif (réseau edge mondial). Siège : San Francisco, USA. Les requêtes sont routées vers le point de présence le plus proche de l'utilisateur. Clauses contractuelles types applicables.
• Resend, Inc. : envoi d'emails transactionnels (invitations, notifications). Siège : USA. Clauses contractuelles types applicables. Seuls l'email et le prénom du destinataire sont transmis.
• Stripe Payments Europe, Ltd. : traitement des paiements. Siège européen : Dublin, Irlande. Certifié PCI-DSS niveau 1. NutriTwin ne stocke aucune donnée de carte bancaire.

• Données Praticien : durée de l'abonnement + 3 ans (obligations comptables).
• Données Patient et conversations : durée du suivi + 2 ans.
• Logs de connexion : 12 mois.
• Photographies de repas : aucune conservation (suppression immédiate après analyse).
• Données Redis (cache) : 24 heures maximum.
• Preuves de consentement RGPD : 5 ans.

À l'expiration de ces délais, les données sont supprimées de manière sécurisée ou anonymisées.

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès à vos données personnelles.
• Droit de rectification.
• Droit à l'effacement (« droit à l'oubli ») — les patients peuvent l'exercer directement depuis l'application via Paramètres → Clôturer mon accompagnement. Les Praticiens peuvent l'exercer en écrivant à contact@nutritwin.fr (traitement sous 30 jours).
• Droit à la portabilité — les patients peuvent exporter leurs données directement depuis Paramètres → Exporter mes données. Les Praticiens peuvent en faire la demande à contact@nutritwin.fr.
• Droit d'opposition au traitement, y compris au profilage.
• Droit de retirer votre consentement à tout moment sans que cela n'affecte la licéité du traitement antérieur.

Pour exercer ces droits, contactez-nous à contact@nutritwin.fr. Nous nous engageons à répondre dans un délai d'un mois. Vous disposez également du droit d'introduire une réclamation auprès de la CNIL (www.cnil.fr).

NutriTwin met en œuvre les mesures techniques et organisationnelles suivantes pour protéger vos données : chiffrement des données en transit (HTTPS/TLS 1.3), chiffrement au repos (AES-256 côté Supabase), authentification sécurisée, contrôle d'accès par rôle (RLS), anonymisation automatique des documents patients avant indexation par l'IA, journalisation des accès, sauvegardes quotidiennes.

NutriTwin utilise uniquement des cookies strictement nécessaires au fonctionnement du service :

• Cookie de session d'authentification (Supabase) — expire à la déconnexion ou après 7 jours.

Aucun cookie publicitaire, de tracking ou d'analyse comportementale n'est utilisé. Aucun bandeau de consentement cookie n'est affiché car seuls des cookies strictement nécessaires sont déposés, conformément à la recommandation CNIL du 17 septembre 2020.

Cette politique peut être mise à jour. En cas de modification substantielle, les utilisateurs seront informés par email au moins 30 jours à l'avance. La date de dernière mise à jour figure en en-tête du document.

Pour toute question relative à la protection de vos données : contact@nutritwin.fr

NutriTwin n'a pas l'obligation légale de désigner un Délégué à la Protection des Données (DPO) à ce stade. Si vous souhaitez exercer vos droits, adressez-vous directement à l'adresse ci-dessus.