Politique de confidentialité

1. Qui est responsable de vos données

CHUTEX SAS, LE BRITANNIA, 20 Boulevard Eugène Deruelle, 69003 Lyon (FR), SIREN 942 212 259, est responsable du traitement dans le cas général : site, boutique, application, produits connectés et support.

Si vous avez un contrat Chutex Care actif, CHUTEX CARE (SAS), 1 rue de la Presse, 42000 Saint-Étienne, est responsable des données de ce contrat (alertes, localisation, personnes à prévenir). CHUTEX SAS fournit alors l'application, l'hébergement et l'assistance technique pour son compte. À la fin du contrat, CHUTEX SAS redevient responsable ; CHUTEX CARE (SAS) garde seulement les pièces qu'elle doit conserver (factures, historique des alertes).

Contact données personnelles

contact@chutex-innovation.com

2. Les données que nous traitons

Selon les services que vous utilisez, nous traitons :

• site et boutique : identité, coordonnées, adresses de livraison et de facturation, commandes et références de paiement (le paiement est traité par Mollie ; nous ne conservons pas les numéros de carte), données de navigation selon vos choix de cookies ;
• compte et application : téléphone, nom, e-mail, langue, préférences, appareils associés, données techniques (modèle du téléphone, version de l'application, identifiant de notification) ;
• mesures de bien-être des produits connectés, selon le produit : fréquence cardiaque, oxygène, température, pas, sommeil, variabilité, poids et composition corporelle, tension et glycémie estimées, tracé ECG ;
• service Chutex Care (France) : alertes, position du bracelet 4G, adresse et informations d'accès au domicile, personnes à prévenir ;
• échanges avec Aria, l'assistante IA : textes et voix, et seulement si vous l'avez autorisé, des éléments de votre espace santé ;
• check-up visuel (Chutex Vision), lorsqu'il vous est ouvert : photos et vidéos sans son, réponses au questionnaire ; les images restent sur nos serveurs en France et aucun modèle d'IA extérieur ne les reçoit à ce jour ;
• support : e-mails, formulaires, photos de retour, et les contacts à prévenir que vous désignez (vous déclarez avoir obtenu leur accord).

3. Données de santé

Les mesures de bien-être, les alertes, la position d'une personne suivie et certaines réponses ou images de l'application peuvent révéler des informations sur la santé de la personne. Ce sont des données de santé au sens du RGPD (article 9) : nous les traitons avec votre consentement explicite ou, pour une alerte, pour protéger un intérêt vital, avec des précautions renforcées.

Chutex propose des services de bien-être et de prévention. Ils ne posent aucun diagnostic, ne remplacent pas un avis médical et ne constituent pas des dispositifs médicaux. L'expression « données de santé » vient du droit de la protection des données ; elle ne qualifie pas le service de médical.

4. Memory

Le service Memory (vente fermée pour l'instant) sera exploité par une société distincte de CHUTEX SAS, en cours de création. Tant qu'elle n'existe pas, CHUTEX SAS est responsable des données des personnes qui y ont accès.

• vos échanges avec Aria par écrit et par téléphone, leurs retranscriptions et les souvenirs que vous confirmez ;
• l'enregistrement audio de vos appels, uniquement si vous l'avez autorisé dans les réglages ;
• le contexte de vie que vous déclarez et, avec votre autorisation, certaines données de votre espace santé ;
• les textes et images de votre livre, ainsi que vos coordonnées de livraison et de facturation.

Ces données servent à fournir le service. Les souvenirs peuvent révéler des informations sensibles : ils ne sont traités qu'avec votre consentement explicite, modifiable à tout moment. Ils ne sont ni vendus, ni cédés, ni utilisés pour de la publicité. Vous pouvez les consulter, les corriger, les retirer ou en demander l'export.

Les échanges avec Aria sont traités par OpenAI (États-Unis), voir la section 8.

5. Listes d'attente : Memory, Chutex Sport et Chutex Physio

Sur les pages de ces services, vous pouvez laisser votre adresse e-mail pour être prévenu de leur ouverture. CHUTEX SAS est responsable de ce traitement, fondé sur votre consentement.

• votre adresse e-mail et le service choisi ;
• la langue, le marché et la page du formulaire, le texte du consentement coché, sa version et sa date ;
• la date de votre inscription et, le cas échéant, de votre réinscription.

Ces données servent uniquement à vous envoyer un seul e-mail, le jour de l'ouverture du service : aucune autre communication, aucune prospection, aucune cession. Votre adresse IP sert seulement, en mémoire et pendant 10 minutes, à limiter les inscriptions abusives : elle n'est pas enregistrée.

Vous pouvez retirer votre consentement et faire supprimer votre adresse à tout moment, par e-mail à contact@chutex-innovation.com.

6. Finalités et bases légales

Chaque traitement repose sur une base légale. Lorsque le consentement est requis, vous pouvez le retirer à tout moment sans affecter les traitements passés.

Exécution du contrat

compte et authentification, commandes, livraison, facturation, service client, fonctionnement de l'application et des produits connectés, téléassistance Chutex Care.

Consentement

données de santé de l'application partagées avec Aria, géolocalisation du téléphone, notifications, cookies et traceurs non essentiels, prospection, listes d'attente, Memory.

Intérêt légitime

sécurité des systèmes, prévention de la fraude, statistiques agrégées, traitement des réclamations.

Intérêt vital

alerte d'urgence d'un bénéficiaire Care qui ne peut pas communiquer.

Obligation légale

facturation, comptabilité, fiscalité, réponses aux demandes d'exercice de droits et aux autorités habilitées.

7. Destinataires et sous-traitants

Vos données sont accessibles aux seules personnes habilitées de CHUTEX et CHUTEX CARE, et aux prestataires suivants, qui ne reçoivent que ce qui est nécessaire à leur mission :

• Free Pro (Istres, France), serveur qui héberge la base de données et l'application, exploité pour notre compte par INFORMATIQUE DOM ;
• Mollie (Pays-Bas), paiement ; Shopify, boutique (en cours de remplacement par notre registre de commandes) ; Revolut, banque ; Pennylane (France), comptabilité de Chutex Care ;
• Sendcloud et les transporteurs, livraison ; les places de marché partenaires (via Mirakl), lorsque vous commandez chez elles : elles sont responsables de leurs propres traitements et nous transmettent ce qui est nécessaire à la livraison ;
• Brevo et Resend, e-mails ; SMSmode, SMS ; Microsoft 365, messagerie du support ;
• Expo, Apple et Google, notifications ; Twilio et ElevenLabs, appels et voix ;
• OpenAI (États-Unis), assistante Aria et Memory, et pixel publicitaire du site si vous acceptez la publicité ;
• Lulu (États-Unis), impression des livres Memory ; Lefu (Chine), calcul de composition corporelle de la balance Vita ;
• Wherever SIM, cartes SIM du bracelet ; beaconDB, Google et OpenStreetMap, localisation et cartes ;
• Google Analytics, PostHog et TikTok, mesure d'audience et publicité, uniquement si vous acceptez la catégorie correspondante ; Cloudflare, protection technique ;
• les personnes que vous avez désignées, les services de secours et les partenaires d'intervention, uniquement pour une alerte ou une intervention.

Vos données ne sont ni vendues, ni cédées à des tiers pour leur prospection.

8. Hébergement et transferts hors de l'Union européenne

Données hébergées en France chez Free Pro (Istres), hébergeur certifié Hébergeur de Données de Santé (HDS).

Certains prestataires sont situés ou traitent des données hors de l'Union. États-Unis : OpenAI, Twilio, ElevenLabs, Lulu, Resend, PostHog, Google, TikTok, Expo, Apple, Cloudflare. Chine : Lefu, pour la balance Vita (sexe, âge, taille, poids et impédances d'une pesée, envoyés par nos serveurs sans nom, e-mail ni identifiant de compte).

Les appels à OpenAI partent vers son interface mondiale, avec la conservation côté fournisseur désactivée. Aucun projet européen à rétention nulle n'est en service à ce jour. Un contexte de santé n'est envoyé que si vous l'avez autorisé, et les images du check-up visuel ne sont envoyées à aucun modèle extérieur.

Le chapitre V du RGPD impose une garantie pour ces transferts (décision d'adéquation, cadre UE-États-Unis ou clauses contractuelles types). Elle n'est pas encore documentée pour chaque prestataire, en particulier Lefu : nous la consolidons. Si vous résidez hors de l'Union, vos données sont transférées de votre pays vers la France et le RGPD s'y applique. Les polices et les images du site sont hébergées par CHUTEX : aucun service de mesure, de publicité ou de polices extérieur n'est appelé avant votre choix de cookies.

9. Durées de conservation

Voici les durées appliquées par nos systèmes. Un passage automatique quotidien supprime les données qui dépassent la durée prévue pour leur famille.

Compte et application

Conservés tant que le compte est actif. Après une demande d'effacement (depuis l'application ou par e-mail), le compte est anonymisé et les données qui y sont liées sont supprimées dans un délai d'un mois au plus, sauf ce que la loi nous oblige à garder (factures, preuve des alertes).

Commandes et factures

10 ans (obligation comptable).

Mesures de bien-être

5 ans à compter de la mesure, ou jusqu'à la suppression de votre compte si elle intervient avant.

Localisation et trames brutes du bracelet 4G

5 ans à compter de leur enregistrement.

Alertes de téléassistance et informations liées

5 ans après la clôture de l'alerte.

Usage du site et de l'application, notifications

5 ans à compter de leur enregistrement.

Journaux

Journaux d'accès aux données sensibles : 5 ans. Journaux du serveur web : 14 jours. Journaux applicatifs : limités en volume et renouvelés en continu.

Codes à usage unique de connexion

7 jours au plus, 3 heures une fois utilisés.

Preuve de vos consentements

Pendant le consentement, puis 5 ans.

Images du check-up visuel

365 jours à compter de la prise ; 7 jours pour une séance abandonnée ; suppression à votre demande.

Sauvegardes

Copies chiffrées de la base conservées 8 jours : une donnée supprimée en disparaît dans ce délai.

Messages au support

Conservés le temps de traiter votre demande et la garantie ; supprimés à votre demande dans un délai d'un mois.

Prospection

3 ans à compter du dernier contact, ou jusqu'au retrait de votre consentement.

Listes d'attente

Jusqu'à l'envoi de l'e-mail d'ouverture du service, puis suppression ; au plus tard 3 ans après la dernière inscription.

Cookies

Votre choix est redemandé au plus tard 13 mois après son enregistrement. Les durées des traceurs déposés après accord sont celles de la politique de cookies.

Memory

Souvenirs et conversations : jusqu'à leur suppression par vous ou celle de votre compte. Audio : non conservé par défaut ; avec votre accord, 365 jours au plus. Brouillons de livre remplacés : 30 jours.

10. Sécurité

• chiffrement des échanges du site et de l'application (TLS) ; le lien du bracelet 4G vers nos serveurs n'est pas chiffré ;
• accès par rôles, code SMS à usage unique pour la connexion ;
• journalisation des accès aux données sensibles ;
• sauvegarde quotidienne chiffrée de la base, test de restauration hebdomadaire ; pas de copie hors site à ce jour ;
• images du check-up visuel chiffrées ;
• accords de sous-traitance avec nos prestataires, en cours de consolidation pour certains ;
• procédure de gestion des incidents de sécurité, avec notification à l'autorité et aux personnes concernées quand la loi l'exige.

11. Vos droits

Vous disposez des droits suivants sur vos données personnelles :

• accès : savoir si nous traitons des données vous concernant et en recevoir une copie ;
• rectification des données inexactes ou incomplètes ;
• effacement, dans les cas prévus par la loi ;
• limitation du traitement dans certains cas ;
• opposition, notamment à la prospection, sans avoir à vous justifier ;
• portabilité des données que vous avez fournies ;
• retrait de votre consentement à tout moment ;
• directives sur le sort de vos données après votre décès.

Pour exercer vos droits : le formulaire « Exercer vos droits » (lien en pied de page du site), le menu du profil de l'application (y compris la suppression du compte), l'e-mail contact@chutex-innovation.com ou le courrier à LE BRITANNIA, 20 Boulevard Eugène Deruelle, 69003 Lyon (FR). Nous répondons dans un délai d'un mois, prolongeable de deux mois en cas de complexité. Nous pouvons vous demander un justificatif d'identité en cas de doute raisonnable.

Vous pouvez introduire une réclamation auprès de l'autorité de protection des données de votre pays. En France : Commission Nationale de l'Informatique et des Libertés, www.cnil.fr, 3 Place de Fontenoy, 75007 Paris.

12. Mineurs, cookies et mises à jour

Nos services ne sont pas destinés aux mineurs sans autorisation parentale. Si vous pensez que votre enfant nous a transmis des données, écrivez-nous pour demander leur suppression.

L'usage des cookies et des traceurs est décrit dans la politique de cookies : les traceurs strictement nécessaires ne demandent pas votre consentement, les autres sont soumis à votre choix.

Nous mettons cette politique à jour quand nos services ou la réglementation évoluent ; la date de dernière mise à jour figure en tête de page. Elle est soumise au droit français.