Politique de confidentialité

1. Responsable du traitement

Le site Rootyne est édité par Adeline Lefebvre, entreprise individuelle (micro-entreprise), SIRET : 89462041800026, dont le siège social est situé au 252 rue du Triez, 59290 Wasquehal. Pour toute question relative à la protection de vos données personnelles, contactez le responsable du traitement à l'adresse dédiée : dpo@rootyne.health.

2. Description du service et rôle de l'IA

Rootyne propose un service d'analyse de bilans sanguins et une boutique de compléments alimentaires. Conformément au Règlement (UE) 2024/1689 (AI Act), Rootyne vous informe qu'un système d'intelligence artificielle est utilisé comme outil de rédaction personnalisée : il extrait les valeurs biologiques de votre bilan, puis génère un brouillon de recommandations en appliquant un référentiel nutritionnel fixe, versionné et sourcé (littérature scientifique, référentiels spécialisés), dont Rootyne assume la responsabilité éditoriale. L'IA ne prend aucune décision autonome et ne produit aucune interprétation médicale. Un médecin biologiste, inscrit à l'Ordre national des médecins, exerce un contrôle humain systématique sur l'ensemble des résultats et signe chaque recommandation.

• Données d'inscription : adresse email, nom et prénom (via Google ou email/mot de passe).
• Profil santé : sexe, régime alimentaire et durée du régime, compléments alimentaires en cours, traitements médicaux éventuels, préoccupations de bien-être, situation particulière (grossesse, allaitement, sportif).
• Données de santé : résultats d'analyses sanguines importés (PDF), valeurs biologiques extraites, recommandations validées par le médecin biologiste.

3. Finalités du traitement

Vos données sont utilisées pour :

• Créer et gérer votre compte utilisateur.
• Permettre au médecin biologiste d'interpréter vos résultats et de vous délivrer des recommandations personnalisées en matière de complémentation alimentaire.
• Conserver l'historique de vos analyses et recommandations.
• Traiter et expédier vos commandes de compléments alimentaires.

4. Base légale

Le traitement des données ordinaires repose sur l'exécution du contrat (article 6.1.b du RGPD). Le traitement de vos données de santé repose sur votre consentement explicite (article 9§2.a du RGPD), donné par un acte positif clair (case à cocher non pré-cochée) préalablement à tout téléversement de bilan sanguin. Vous pouvez retirer ce consentement à tout moment en contactant dpo@rootyne.health, sans que cela n'affecte la licéité du traitement antérieur.

5. Protection renforcée des données de santé

Vos données de santé (bilans sanguins et recommandations) sont des données sensibles au sens de l'article 4§15 du RGPD. Elles bénéficient des protections suivantes : hébergement exclusif auprès de Scaleway SAS, certifié « Hébergeur de Données de Santé » (HDS) conformément à l'article L.1111-8 du Code de la santé publique, avec hébergement en France ; accès strictement limité au médecin biologiste et au personnel technique strictement nécessaire ; aucune utilisation à des fins commerciales ou publicitaires ; aucun partage avec des tiers hors fourniture du service.

6. Hébergeurs et sous-traitants

Rootyne fait appel aux prestataires suivants, liés par un accord de traitement des données conforme au RGPD :

• Google Firebase (Google LLC) — authentification et données de profil non-santé. Hébergement configuré dans l'Union européenne. Transfert hors UE encadré par les Clauses Contractuelles Types (CCT).
• Vercel Inc. — hébergement de l'application web uniquement. Les données de santé ne transitent pas via Vercel. Transfert hors UE encadré par les CCT.
• Anthropic, PBC — traitement par intelligence artificielle. Avant tout envoi, les données sont anonymisées : toute information identifiante (nom, prénom, date de naissance, identifiant laboratoire) est supprimée. Seules les valeurs biologiques brutes et les données de profil non identifiantes sont transmises. Les données ne sont pas utilisées pour entraîner les modèles (Zero Data Retention). Transfert hors UE encadré par les CCT.
• Stripe, Inc. — traitement des paiements en ligne. Stripe reçoit l'adresse email et les données de paiement (numéro de carte, etc.) nécessaires à la transaction. Aucune donnée de santé n'est transmise à Stripe. Transfert hors UE encadré par les CCT.
• Resend, Inc. — envoi d'emails transactionnels (confirmation de paiement, accès aux résultats). Resend reçoit uniquement l'adresse email du destinataire. Transfert hors UE encadré par les CCT.
• Upstash, Inc. — limitation de débit (rate limiting) pour la protection contre les abus. Seules des métadonnées techniques (adresse IP anonymisée) sont traitées, aucune donnée personnelle identifiante. Transfert hors UE encadré par les CCT.
• Médecin(s) biologiste(s) partenaire(s) — validation professionnelle des analyses de bilans sanguins. Les médecins biologistes interviennent en qualité de sous-traitants au sens de l'article 28 du RGPD, dans le cadre d'un accord de traitement des données. Leur accès est strictement limité aux analyses qui leur sont attribuées pour validation. Les données de santé sont hébergées en France auprès d'un hébergeur certifié HDS et ne sont jamais transférées hors de cet environnement sécurisé. Les médecins biologistes sont soumis au secret professionnel (art. L.1110-4 du Code de la santé publique) et aux obligations déontologiques de l'Ordre national des médecins.

7. Durée de conservation

Données de compte et profil santé : durée d'activité du compte, suppression sous 30 jours après clôture. Données de santé (bilans et recommandations) : durée d'activité du compte, dans la limite de 5 ans à compter de la dernière analyse. Données de commande : 10 ans (obligation comptable légale). En cas de suppression de compte, l'ensemble des données personnelles et de santé est supprimé sous 30 jours, sauf obligation légale de conservation.

8. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de vos données personnelles.
• Droit de rectification : faire corriger des données inexactes ou incomplètes.
• Droit à l'effacement : demander la suppression de vos données (sous réserve des obligations légales de conservation).
• Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine.
• Droit de retrait du consentement : retirer votre consentement au traitement des données de santé à tout moment.

Pour exercer ces droits : dpo@rootyne.health. Rootyne s'engage à répondre sous un mois. En cas de réponse insatisfaisante, vous pouvez saisir la CNIL (www.cnil.fr — 3 Place de Fontenoy, 75334 Paris Cedex 07).

9. Cookies

Rootyne utilise uniquement des cookies techniques strictement nécessaires au fonctionnement du service (gestion de session d'authentification). Ces cookies ne nécessitent pas votre consentement (article 82 de la loi Informatique et Libertés). Aucun cookie publicitaire ou de tracking n'est utilisé. Rootyne utilise <b>Umami</b>, un outil d'analyse d'audience respectueux de la vie privée, qui fonctionne <b>sans cookies</b> et ne collecte aucune donnée personnelle identifiante (pas d'adresse IP, pas de fingerprinting). Les statistiques sont agrégées et anonymes.

10. Sécurité

Rootyne met en œuvre les mesures suivantes pour protéger vos données : chiffrement des communications (HTTPS/TLS), authentification sécurisée, accès aux données restreint selon le principe du moindre privilège, hébergement des données de santé auprès d'un prestataire certifié HDS, accord de traitement des données signé avec chaque sous-traitant. En cas de violation de données, la CNIL sera notifiée sous 72h conformément à l'article 33 du RGPD.