Politique de confidentialité

Responsable du traitement : ark.swiss Sàrl, Lausanne (Suisse) — contact : [email protected].

1. Notre principe : vos données restent chez vous

ark.fit est conçue « local-first » : par défaut, toutes vos données de suivi vivent sur votre appareil, dans une base chiffrée. Nous ne vendons, ne louons ni ne cédons jamais vos données. Nous appliquons une minimisation stricte : nous ne collectons et ne transmettons que le strict nécessaire, et uniquement avec votre consentement explicite pour chaque finalité.

2. Données traitées sur votre appareil (jamais transmises par défaut)

Stockées localement, dans une base chiffrée au repos (protection de fichier iOS + chiffrement applicatif AES-GCM des champs sensibles, clé dans le Trousseau iOS) :

Profil : poids cible, rythme, approche diététique, aversions et restrictions (données sensibles, chiffrées) ;
Journal alimentaire : aliments, portions, valeurs nutritionnelles, horodatages ;
Poids et tendance : vos pesées et la tendance lissée calculée par le moteur adaptatif.

Ces données ne quittent pas l’appareil sauf action volontaire de votre part (voir §4 et §5).

3. Apple Santé (HealthKit)

Si vous connectez Apple Santé, ark.fit lit sur l’appareil certaines métriques (poids, taille, âge, sexe, pas, énergie active et au repos, fréquence cardiaque) pour calibrer votre budget et enrichir l’affichage. Ces données brutes restent sur l’appareil et ne sont jamais transmises telles quelles. L’app fonctionne entièrement sans Apple Santé. Si vous autorisez l’écriture, ark.fit inscrit l’énergie de vos repas dans Santé ; lors de l’effacement total (§6), l’app tente de retirer les échantillons qu’elle a écrits, selon les autorisations disponibles.

Un compte n’est pas nécessaire pour utiliser le cœur de l’app. Vous pouvez vous connecter avec Sign in with Apple uniquement pour activer les fonctions serveur, notamment Décrire, les Insights IA, le scan renforcé, les tickets de caisse, les fonctions IA de recette et le partage de foyer. Nous demandons le minimum : aucun nom ni e-mail n’est requis ; nous ne recevons qu’un identifiant de session opaque.

Après suppression du compte, le backend conserve un marqueur de sécurité opaque composé d’un identifiant interne haché, d’un compteur de révocation et d’un horodatage. Il sert uniquement à révoquer durablement les anciens JWT et à empêcher leur recréation. Il ne contient aucun profil ni identifiant Apple en clair.

5. Intelligence artificielle — consentements distincts et minimisation

Les fonctions IA générales (Décrire, scan, tickets et recettes) partagent un consentement général versionné et révocable. Un ancien accord ou l’ancien booléen de consentement n’autorise aucun nouvel envoi dans ce périmètre V2 : vous devez accepter l’information actuelle. Les Insights IA, parce qu’ils utilisent des agrégats de santé, reposent sur un consentement séparé et versionné.

Décrire un repas : l’app envoie au backend ark.fit le texte saisi, 0 à 3 images minimisées (métadonnées EXIF/GPS retirées), la locale, l’instant actuel local et la préférence de routage. Le backend route la requête vers le fournisseur correspondant au modèle sélectionné : Infomaniak en Suisse ou OpenAI / Anthropic, avec traitement possible hors Suisse. Votre profil de santé n’est jamais envoyé. Le résultat est une fourchette éditable, jamais une valeur « précise ».
Scan renforcé : uniquement lorsqu’une escalade IA est nécessaire, l’app envoie au backend 1 à 3 images minimisées, le texte OCR, les codes-barres détectés et, si un produit est résolu, ses données Open Food Facts (OFF) (nom, marque, unité, portion et valeurs nutritionnelles pour 100 g), ainsi que la locale et la préférence de routage. Selon le modèle sélectionné, le backend route ces données vers Infomaniak en Suisse ou OpenAI / Anthropic, avec traitement possible hors Suisse. Sans consentement V2, la résolution code-barres/OFF et la lecture heuristique de l’étiquette restent sur l’appareil.
Tickets de caisse : l’image reste sur l’appareil pour l’OCR local. Seuls le texte OCR, la locale et la préférence de routage sont envoyés au backend ; jamais la photo. Le backend route vers Infomaniak en Suisse ou OpenAI / Anthropic selon le modèle sélectionné, avec traitement possible hors Suisse. Sans consentement V2, l’analyse heuristique reste sur l’appareil.
Insights IA sur l’accueil : un rapport n’est généré qu’après une action explicite et votre consentement dédié. L’app transmet au backend ark.fit votre session opaque, la locale, la préférence de routage et les agrégats suivants : âge, sexe et taille ; poids lissé et tendance ; moyennes d’activité, de pas et d’apport énergétique ; dernière valeur quotidienne de fréquence cardiaque au repos ; budget calorique. Le fournisseur d’IA reçoit les agrégats et la locale, sans identifiant de session ni préférence de routage. Aucun aliment, détail brut de repas, horaire de repas ni échantillon brut Apple Santé n’est transmis. Par défaut, Infomaniak (souverain) traite ces agrégats en Suisse ; si vous choisissez un modèle performant OpenAI ou Anthropic, ils peuvent être traités hors Suisse. Le dernier rapport est chiffré sur l’appareil et inclus dans l’export JSON. À la désactivation, l’autorisation de tout nouvel envoi est retirée immédiatement ; l’app supprime ensuite le rapport local. Si cette suppression échoue, le rapport reste chiffré, un état d’erreur est affiché et la suppression peut être retentée.
Recettes : selon l’action demandée, l’app envoie au backend ark.fit l’URL source et le texte public rendu d’une page, 1 à 3 photos minimisées d’une recette (métadonnées EXIF/GPS retirées), ou le titre, les ingrédients et le nombre de portions pour estimer la nutrition. Les suggestions et créations envoient un brief libre (limité à 500 octets côté serveur), le réglage d’utilisation du garde-manger, les noms des articles du garde-manger et l’indication des articles à consommer bientôt lorsqu’il est activé, les critères cochés, la locale et la préférence de routage. Le fournisseur d’IA reçoit uniquement le contenu nécessaire au flux choisi et la locale, sans le réglage d’activation du garde-manger ni la préférence de routage. Le profil de santé (poids, mensurations, budget et objectif) n’est jamais envoyé dans ces flux. Ces envois IA exigent le consentement général V2. Par défaut, Infomaniak (souverain) traite ces données en Suisse. Si vous choisissez un modèle performant, OpenAI ou Anthropic peut les traiter hors Suisse.

Les clés des fournisseurs d’IA ne sont jamais dans l’application (elles vivent côté serveur) et le budget d’usage est contrôlé côté serveur.

6. Vos droits (nLPD / RGPD) — directement dans l’app

Accès / portabilité : export complet des données conservées sur cet appareil au format JSON, depuis Réglages. Pour l’accès aux données éventuelles du compte serveur, contactez [email protected] ;
Effacement local : suppression totale en un geste des données sur l’appareil et destruction cryptographique de la clé de chiffrement (les données locales deviennent irrécupérables). L’app tente également de retirer d’Apple Santé les échantillons qu’elle y a écrits, selon les autorisations disponibles ;
Retrait du consentement : le consentement IA général, le consentement versionné des Insights IA et celui des diagnostics sont indépendants.

La désinstallation supprime le conteneur local de l’app, mais iOS peut conserver des éléments du Trousseau ou synchronisés par iCloud, et elle ne supprime pas les données du compte serveur. Utilisez d’abord « Effacer toutes mes données » et, le cas échéant, « Supprimer le compte ».

7. Diagnostics techniques (facultatif)

Si vous l’autorisez (consentement séparé, désactivé par défaut), ark.fit envoie des rapports d’erreur techniques à notre outil de diagnostic auto-hébergé en Europe. Les charges utiles sont filtrées (liste blanche, aucun objet de données ni information personnelle). C’est la seule télémétrie de l’app, et elle est optionnelle.

8. Ce site web

Ce site ne dépose aucun cookie et n’utilise aucun traceur publicitaire. Nous mesurons l’audience avec Umami, un outil auto-hébergé en Europe, sans cookies et sans données personnelles (pas d’adresse IP conservée, pas de profilage). Le formulaire de contact transmet uniquement ce que vous y écrivez, à la seule fin de vous répondre.

9. Sous-traitants et transferts

Notre infrastructure applicative, sa continuité d’activité et ses sauvegardes sont hébergées exclusivement en Europe. La production est opérée dans l’Union européenne, avec un site de secours chaud et des sauvegardes indépendantes en Suisse.

netcup GmbH (Allemagne) — production principale, diagnostic technique et Umami dans l’Union européenne ;
Infomaniak (Suisse) — site de secours chaud et traitement IA souverain par défaut en Suisse ;
Infrastructure propre ark.swiss (Suisse) — sauvegardes historiques indépendantes ;
Apple — Sign in with Apple et HealthKit (traitement sur l’appareil) ;
OpenAI et Anthropic — uniquement si vous choisissez explicitement un modèle « performant » compatible ; les données concernées peuvent alors être traitées hors Suisse, avec les garanties contractuelles applicables.

10. Public et exclusions

ark.fit est un outil de bien-être, pas un dispositif médical, et ne fournit aucun diagnostic ni traitement. Il n’est pas destiné aux mineurs ni aux personnes ayant des antécédents de trouble du comportement alimentaire. Pour la grossesse et l’allaitement, ark.fit propose un mode dédié de suivi nutritionnel — budget de maintien majoré, jamais de déficit pendant la grossesse, garde-fous renforcés pendant l’allaitement ; ce mode reste un outil de bien-être, ni un avis médical ni un dispositif médical, et le suivi de grossesse relève de votre professionnel de santé.

11. Contact

Pour toute question ou pour exercer vos droits : [email protected]. Nous pouvons mettre à jour cette politique ; la date de dernière révision figure ci-dessous. Les changements substantiels vous seront signalés dans l’app.

Dernière mise à jour : 15 juillet 2026