Politique de confidentialité

Dernière mise à jour : juin 2026

1. Responsable du traitement

DR Development and Media LLC, Vazha Pshavela Avenue No 20, 0112 Tbilisi, Georgia
Gérant : Dimitri Roschkowski
E-mail : info@mypep.app

2. Principe fondamental : Zero-Knowledge

myPeptides est conçu selon le principe du zero-knowledge. Vos données de contenu (par ex. vos entrées de peptides, plans, données de suivi, saisies du calculateur) sont stockées principalement en local dans votre navigateur (IndexedDB) et ne quittent pas votre appareil tant que vous n'activez pas la synchronisation cloud optionnelle. Nous n'exploitons aucun tracking, aucun outil d'analyse, aucun cookie publicitaire, et ne partageons aucune donnée avec des tiers à des fins de marketing.

3. Quelles données sont traitées

a) Données locales (sur votre appareil, IndexedDB). Les contenus que vous créez dans l'application sont stockés en local dans votre navigateur. En tant qu'exploitant, nous n'y avons pas accès. Vous pouvez supprimer ces données vous-même à tout moment en les retirant dans l'application ou en effaçant les données de navigateur de ce site. Base juridique : Art. 6(1)(b) RGPD.

b) Synchronisation cloud optionnelle (chiffrement de bout en bout). Si vous activez la synchronisation, vos données sont chiffrées de bout en bout avec une clé connue de vous seul avant de quitter votre appareil et sont transmises à notre serveur de synchronisation (sync.mypep.app) uniquement sous forme de blocs de données chiffrés (texte chiffré). Le serveur ne peut à aucun moment accéder au texte en clair de vos données et ne stocke que des contenus chiffrés ainsi que les métadonnées techniquement nécessaires à la synchronisation (par ex. un identifiant de compte/d'appareil, des horodatages de transfert). Nous ne pouvons pas déchiffrer vos contenus. Base juridique : Art. 6(1)(a) RGPD (consentement) ainsi que Art. 6(1)(b) RGPD.

c) Cookies strictement nécessaires. Nous utilisons exclusivement des cookies strictement nécessaires, qui ne requièrent pas de consentement : mp_lang (choix de la langue) et une valeur de stockage pour le schéma de couleurs (clair/sombre). Ils ne contiennent aucun profil personnel et ne sont pas utilisés à des fins de suivi. Base juridique : Art. 6(1)(f) RGPD ; Section 25(2) TDDDG.

d) Journaux serveur / hébergement. Lors de l'accès au site web, notre hébergeur (serveurs situés dans l'UE) traite automatiquement des données d'accès techniques (par ex. adresse IP, date/heure, ressource demandée, code de statut, agent utilisateur), techniquement nécessaires à la fourniture du site web et au maintien de sa stabilité et de sa sécurité. Base juridique : Art. 6(1)(f) RGPD.

e) Traitement des paiements (Paddle). Les achats de myPeptides Pro dans le navigateur sont gérés par Paddle.com Market Limited. Paddle est le vendeur et le merchant of record et, à ce titre, responsable de traitement distinct, et non notre sous-traitant. Dès l'ouverture de la page d'achat, Paddle traite ton adresse IP afin de déterminer le pays, la devise et le taux de taxe ; lors de l'achat s'y ajoutent ton adresse e-mail, tes données de facturation et tes données de paiement. Nous transmettons à cette occasion un identifiant de compte pseudonyme (un UUID aléatoire) afin que ton achat puisse être rattaché à ton compte. Pris isolément, cet identifiant ne dit rien de ta personne — mais Paddle et RevenueCat le conservent avec ton adresse e-mail et tes données de facturation, si bien qu'il y est rattaché à une personne identifiée. De notre côté, il correspond à ton compte. Il s'agit donc dans tous les cas d'une donnée à caractère personnel, et non d'une donnée anonyme. Les contenus de l'application ne sont pas transmis — ils sont chiffrés de bout en bout et illisibles pour Paddle comme pour nous. Base légale : art. 6, § 1, point b) du RGPD. Politique de confidentialité de Paddle : https://www.paddle.com/legal/privacy

3a. Compte avec adresse e-mail et mot de passe

Lorsque tu crées un compte avec une adresse e-mail, nous traitons pour la première fois une donnée susceptible de t'identifier. Voici tout ce qui est conservé.

Quelles données. Ton adresse e-mail ; une valeur dérivée de ton mot de passe (le mot de passe lui-même n'atteint jamais notre serveur et n'est stocké nulle part) ; des données de session tant que tu restes connecté ; la date et un identifiant aléatoire pour les navigateurs auxquels tu fais expressément confiance ; ainsi qu'un trousseau chiffré que toi seul peux ouvrir — pour nous, c'est une suite d'octets illisibles.

Finalité et base légale. Le traitement sert à l'exécution du contrat d'utilisation : sans compte, pas d'accès à tes données synchronisées. Base légale : art. 6, par. 1, point b) du RGPD.

Destinataires. Les codes de confirmation et de connexion sont envoyés via le serveur de messagerie propre au responsable du traitement (smtp.dr-gruppe.net). Aucun prestataire de messagerie externe n'intervient : ton adresse n'est transmise ni à un sous-traitant ni à un tiers.

Jeux de données séparés. Le service de messagerie et le service de synchronisation (sync.mypep.app) se trouvent dans des jeux de données distincts, sans identifiant commun. À partir de nos propres enregistrements, il n'est donc pas possible de déterminer quelle adresse e-mail correspond à quel compte synchronisé. Disons-le franchement : pour les clients payants, le prestataire de paiement connaît l'adresse e-mail et le service d'abonnement connaît l'identifiant du compte — là, un rapprochement est techniquement possible.

Durées de conservation. Les données du compte restent jusqu'à ce que tu les supprimes. Les inscriptions jamais confirmées sont supprimées au bout de 48 heures. Les comptes confirmés dont la configuration n'a jamais été terminée sont supprimés au bout de 7 jours. La confiance accordée à un navigateur expire après 60 jours. Si tu demandes la remise à zéro complète de ton compte, les clés chiffrées sont supprimées 72 heures plus tard ; toute connexion réussie pendant ce délai annule la procédure.

Application d'authentification et clés d'accès. Si tu configures une application d'authentification, nous conservons un secret TOTP chiffré et des codes de secours chiffrés. Ni l'un ni l'autre ne quitte notre serveur, et aucun ne dit quoi que ce soit sur ton appareil. Si tu ajoutes une clé d'accès, nous conservons sa clé publique, un identifiant de justificatif, un compteur, le nom que tu lui donnes et l'identifiant de modèle de l'authentificateur (AAGUID) — aucune donnée biométrique. Ton empreinte ou ton visage ne quitte jamais ton appareil ; nous apprenons seulement que ton appareil a effectué la vérification. Les clés d'accès et l'application d'authentification restent jusqu'à ce que tu les supprimes dans les réglages, et disparaissent avec ton compte.

Suppression. Tu peux supprimer ton compte toi-même à tout moment dans Réglages → Compte. Ensuite, les contenus synchronisés ne sont définitivement plus lisibles — pour nous non plus, puisque toi seul détenais la clé.

Gestion des abonnements (RevenueCat). Si tu achètes myPeptides Pro, RevenueCat, Inc. (États-Unis) traite l'achat pour notre compte afin de gérer ton accès Pro sur l'ensemble de tes appareils, en qualité de sous-traitant au sens de l'art. 28 du RGPD et selon nos instructions. Sont transmis l'identifiant de compte pseudonyme et les données d'achat provenant de Paddle, y compris ton adresse e-mail ; aucun contenu de l'application. Si tu n'achètes rien, tu n'as aucun rapport avec RevenueCat. Base légale : art. 6, § 1, point b) du RGPD. Le transfert vers les États-Unis repose sur le mécanisme de transfert applicable (cadre de protection des données UE‑États-Unis ou clauses contractuelles types). Politique de confidentialité : https://www.revenuecat.com/privacy

3b. Inscription à la bêta

Si tu t'inscris à la bêta sur mypep.app/beta, nous enregistrons ton prénom, ton adresse e-mail, la plateforme choisie (iPhone ou Android), la langue de la page et la date et l'heure de l'inscription.

Finalité et base juridique. Nous utilisons ces données uniquement pour t'inviter à la bêta. La base juridique est ton consentement (art. 6, par. 1, point a du RGPD), que tu donnes en envoyant le formulaire et que tu peux retirer à tout moment pour l'avenir.

Destinataires. Chaque nouvelle inscription nous est signalée par un e-mail envoyé via notre propre serveur de messagerie. Pour l'invitation elle-même, nous transmettons ton adresse e-mail : pour iPhone à Apple (TestFlight), pour Android à Google (liste des testeurs du test fermé sur Google Play). Apple ou Google envoient l'invitation et traitent l'adresse en tant que responsables de traitement distincts, selon leurs propres politiques de confidentialité, y compris aux États-Unis. Ton prénom, la langue et la date de l'inscription restent chez nous.

Durée de conservation et suppression. Nous conservons ces données jusqu'à la fin de la bêta ou jusqu'au retrait de ton consentement, selon ce qui arrive en premier. Pour retirer ton consentement ou demander la suppression, un court e-mail à info@mypep.app suffit ; nous te retirons alors aussi de la liste des testeurs chez Apple ou Google.

4. Pas de tracking, pas d'analyse, pas de publicité

Nous n'utilisons aucun service d'analyse ou de tracking (pas de Google Analytics ou similaire), aucun cookie publicitaire, aucun profilage et aucune prise de décision automatisée. Aucune transmission de vos données à des tiers à des fins publicitaires ou de marketing n'a lieu.

5. Destinataires / Sous-traitants

La seule transmission a lieu vers notre prestataire d'hébergement/de serveur, qui fournit l'infrastructure au sein de l'UE ; un contrat de sous-traitance conformément à l'Art. 28 RGPD est en place. Étant donné que les contenus de la synchronisation cloud sont chiffrés de bout en bout, ce prestataire n'a pas non plus accès à vos contenus en clair.

6. Durée de conservation

Les données locales restent sur votre appareil jusqu'à ce que vous les supprimiez. Les données de synchronisation chiffrées sont conservées jusqu'à ce que vous les supprimiez via l'application ou que vous mettiez fin à la synchronisation. Les journaux serveur ne sont conservés que pendant la courte durée requise à des fins de sécurité.

7. Vos droits

Accès (Art. 15), rectification (Art. 16), effacement (Art. 17), limitation (Art. 18), portabilité des données (Art. 20), opposition (Art. 21). Tout consentement (par ex. pour la synchronisation cloud) peut être retiré à tout moment avec effet pour l'avenir (Art. 7(3) RGPD). Étant donné que nous ne pouvons pas déchiffrer vos contenus, vous pouvez les supprimer vous-même, intégralement et à tout moment. Vous avez en outre le droit d'introduire une réclamation auprès d'une autorité de contrôle de la protection des données.

8. Contact

Pour les demandes d'information et l'exercice de vos droits : info@mypep.app