1. Identité du responsable de traitement
Le responsable du traitement de vos données personnelles est :
- Société : Equily, société par actions simplifiée (SAS)
- SIREN : 100 564 202 (RCS Paris)
- Capital social : 20 000 €
- Adresse : 20 rue Delambre, 75014 Paris, France
- E-mail : contact@equily.co
2. Champ d'application et principes directeurs
La présente politique (la « Politique ») s'applique à l'ensemble des traitements de données à caractère personnel réalisés par Equily dans le cadre de l'exploitation de sa plateforme (site web et application mobile) dédiée au suivi d'habitudes et au bien-être (la « Plateforme »).
Equily se conforme strictement au Règlement (UE) 2016/679 (le « RGPD ») et à la Loi n° 78-17 du 6 janvier 1978 modifiée. Nos principes directeurs sont :
- Minimisation : nous ne collectons que les données strictement nécessaires à chaque finalité.
- Transparence : vous êtes informé de chaque traitement au moment où il est initié.
- Consentement contextuel : votre consentement est recueilli au moment précis où vous ajoutez une habitude nécessitant des données spécifiques — et non de manière globale à l'inscription.
- Contrôle utilisateur : vous pouvez modifier, retirer vos consentements ou supprimer votre compte à tout moment, directement depuis l'application.
3. Données collectées, finalités et bases légales
Nous ne collectons que les données strictement nécessaires à chaque finalité. Le tableau ci-dessous récapitule l'ensemble des traitements mis en œuvre par Equily.
| Finalité | Données traitées | Base légale (art. 6 RGPD) |
|---|---|---|
| Inscription à la liste d'attente et envoi de communications relatives au lancement | Adresse e-mail | Consentement (art. 6.1.a) |
| Communications de service — messages nécessaires à la gestion du compte, à la sécurité, au fonctionnement du service ou à l'information sur des modifications importantes affectant le service | Adresse e-mail, prénom (optionnel), langue de préférence |
Exécution du contrat (art. 6.1.b) Ces communications sont strictement liées au service Equily et ne contiennent pas de prospection commerciale |
| Communications relationnelles — informations sur les évolutions d'Equily et accompagnement dans l'utilisation du service, sans finalité promotionnelle | Adresse e-mail, prénom (optionnel), langue de préférence |
Intérêt légitime (art. 6.1.f) Intérêt d'Equily à assurer le suivi de la relation avec ses utilisateurs. Vous pouvez vous opposer à ces communications à tout moment via le lien prévu dans les e-mails concernés ou en nous contactant. |
| Newsletter et communications commerciales — actualités, offres ou contenus à finalité promotionnelle concernant Equily | Adresse e-mail, prénom (optionnel), langue de préférence |
Consentement (art. 6.1.a) Révocable à tout moment via le lien de désinscription dans chaque e-mail concerné ou depuis votre profil dans l'application |
| Adaptation à la météo locale — ajustement des habitudes comme l'intensité des exercices selon les conditions météorologiques (allègement par forte chaleur, grand froid ou pluie) | Position approximative (coordonnées arrondies à une zone d'environ 10 km, jamais précise). Aucune conservation : la position transite uniquement le temps d'obtenir la météo du jour, puis est immédiatement oubliée. |
Consentement (art. 6.1.a) Activation explicite et révocable à tout moment depuis les autorisations de votre profil |
| Mesure d'attribution publicitaire — évaluation de l'efficacité de nos campagnes publicitaires diffusées sur les plateformes de Meta (Facebook, Instagram) | Identifiant publicitaire de l'appareil (IDFA sur iOS, GAID sur Android), données techniques transmises automatiquement par le kit de mesure de Meta (adresse IP, modèle et système de l'appareil, version de l'application, identifiant d'installation généré par Meta) et les étapes suivantes : installation et ouvertures de l'application, création du compte, fin du parcours de découverte (onboarding), première habitude terminée, retours dans l'application aux jours 1, 3 et 7 après la création du compte, affichage de l'offre d'abonnement, début d'achat, début d'un essai gratuit, souscription d'un abonnement (formule choisie, montant et devise). Sur iOS sans autorisation App Tracking Transparency : uniquement un signal d'installation agrégé et anonyme transmis par Apple (SKAdNetwork). Aucune donnée de compte, de santé ou d'habitude n'est transmise. |
Consentement (art. 6.1.a RGPD et art. 82 Loi Informatique et Libertés) Demandé lors de la création de votre compte, via un écran dédié où refuser est aussi simple qu'accepter, puis, sur iOS, via l'autorisation de suivi App Tracking Transparency. Avant votre accord, le kit de mesure de Meta n'est pas démarré : rien n'est lu ni écrit sur votre appareil et rien n'est transmis. Révocable à tout moment depuis Profil > Autorisations > Mesure publicitaire. |
| Preuve de vos choix de consentement — pouvoir démontrer chaque accord, refus ou retrait | Consentement concerné, choix exprimé (accord, refus ou retrait), date et heure, écran de recueil, version du texte présenté et de la présente Politique, version de l'application | Obligation légale (art. 6.1.c et 7.1) |
| Création et gestion du compte utilisateur Mode anonyme disponible via pseudo généré aléatoirement |
Identifiant unique (UUID), adresse e-mail (optionnelle en mode anonyme), date de naissance, genre, objectif principal déclaré | Exécution du contrat (art. 6.1.b) |
| Vérification de la majorité (accès réservé aux 18 ans et plus) | Date de naissance (calcul d'âge uniquement — donnée déjà collectée dans le cadre du compte) | Exécution du contrat (art. 6.1.b) |
| Personnalisation de l'interface (fuseau horaire, langue, format d'heure, pays) | Fuseau horaire, langue d'affichage, format d'heure (12h/24h), pays de résidence | Exécution du contrat (art. 6.1.b) |
| Suivi d'habitudes et collecte de données contextuelles (nombre de pas, alimentation, peau, allergies, blessures) | Données quantitatives et qualitatives spécifiques à l'habitude activée — dont des données de santé (voir article 4) |
Consentement explicite (art. 9.2.a) Recueilli habitude par habitude |
| Suivi de la progression (complétions, streaks) | Historique des validations quotidiennes, données d'activité | Exécution du contrat (art. 6.1.b) |
| Personnalisation et recommandations adaptées au profil (objectifs, priorités, historique) | Objectif principal, priorités de bien-être déclarées (sommeil, exercice, nutrition, etc.), historique de complétion, données de santé dans la limite du consentement | Consentement explicite (art. 9.2.a) + Intérêt légitime (art. 6.1.f) |
| Gestion des abonnements premium | Identifiant de transaction App Store / Google Play (Equily n'accède pas aux données bancaires) | Exécution du contrat (art. 6.1.b) |
| Stabilité et débogage de l'application (Firebase Crashlytics) | Rapports de plantage anonymisés : type d'appareil, version OS, version de l'application, stack traces, identifiant d'installation Crashlytics (réinitialisable) | Intérêt légitime (art. 6.1.f) Aucune donnée personnelle de santé ou de compte n'est transmise à Crashlytics |
| Analytics comportementaux internes — mesure de l'engagement, cohortes de rétention, analyse des parcours d'usage | UUID pseudonymisé, événements comportementaux horodatés (type d'action dans l'app : ajout d'habitude, complétion, suppression, fréquence d'usage), cohorte d'inscription. Le contenu spécifique des habitudes n'est pas collecté. |
Intérêt légitime (art. 6.1.f) Système interne Equily — aucune transmission à des tiers. Droit d'opposition disponible depuis les paramètres de l'application. |
| Support technique et amélioration de l'application | Messages de support, métriques d'utilisation anonymisées, modèle et version OS de l'appareil | Intérêt légitime (art. 6.1.f) |
4. Données de santé et profilage
4.1 Données relevant de l'article 9 RGPD
Certaines données que vous pouvez choisir de communiquer à Equily constituent des données relatives à la santé au sens de l'article 9 du RGPD. Il s'agit notamment de :
- informations sur des blessures ou douleurs physiques ;
- données alimentaires et régimes spécifiques ;
- allergies alimentaires ou cutanées ;
- type de peau et informations dermatologiques ;
- données d'activité physique importées depuis Apple Health ou Google Fit (avec votre autorisation explicite via les permissions de votre système d'exploitation).
Conformément à l'article 35 du RGPD, Equily a réalisé une Analyse d'Impact relative à la Protection des Données (AIPD) préalablement au traitement de ces données sensibles, compte tenu des risques potentiels pour vos droits et libertés.
4.2 Profilage et décisions automatisées
Equily met en œuvre un traitement de profilage au sens de l'article 4(4) du RGPD afin de vous proposer des recommandations d'habitudes et d'exercices personnalisées. Ce profilage s'appuie sur :
- votre profil déclaré : objectif principal (ex. : vieillir en bonne santé), priorités de bien-être (sommeil, exercice, nutrition, etc.), date de naissance, genre ;
- votre historique d'activité : complétions d'habitudes, streaks, progression ;
- vos données de santé déclarées, dans les limites de votre consentement.
Ce profilage est réalisé uniquement pour améliorer votre expérience et ne produit aucune décision automatisée produisant des effets juridiques ou vous affectant de manière significative au sens de l'article 22 du RGPD. Les recommandations sont générées par un moteur mixte algorithmique et éditorial.
Vous avez le droit de vous opposer à ce profilage à tout moment en désactivant les habitudes concernées depuis votre espace personnel ou en nous contactant à contact@equily.co.
5. Sécurité des données personnelles
Equily met en œuvre des mesures de sécurité techniques et organisationnelles adaptées à la sensibilité des données traitées, conformément à l'article 32 du RGPD.
5.1 Chiffrement des données de santé — double couche
(1) Chiffrement CMEK via Google Cloud KMS HSM — Firestore est chiffré à l'aide d'une clé gérée via un module de sécurité matériel (HSM) Google Cloud KMS, configuré et contrôlé par Equily. La clé réside sur une puce matérielle sécurisée et ne peut pas être exportée ou extraite en dehors du module HSM, y compris par Google. Seules les opérations de chiffrement/déchiffrement autorisées par la politique d'accès définie par Equily sont permises.
(2) Chiffrement additionnel par utilisateur — chaque compte dispose d'une clé de chiffrement individuelle. Vos données de santé sont chiffrées avec votre clé propre avant stockage dans Firestore, garantissant qu'aucun autre compte ne peut accéder à vos données.
5.2 Autres mesures de sécurité
5.3 Sauvegardes
Firebase maintient des sauvegardes automatiques de la base de données à des fins de continuité de service. En cas de suppression de votre compte ou de retrait de votre consentement, vos données sont supprimées de la base de données active immédiatement. Elles peuvent subsister dans les sauvegardes techniques pour une durée limitée (généralement inférieure à 30 jours), avant d'être purgées automatiquement. Ces sauvegardes ne sont accessibles qu'en cas d'incident technique grave et ne sont pas utilisées à des fins de traitement.
6. Transferts internationaux de données
Vos données sont prioritairement hébergées au sein de l'Union Européenne. Le tableau ci-dessous liste l'ensemble des sous-traitants techniques d'Equily :
| Prestataire | Rôle | Établissement | Stockage | Garantie (art. 46 RGPD) |
|---|---|---|---|---|
| OVH SAS | Hébergement du site web (landing page / front-end) | France — UE | France — UE | Aucun transfert hors UE — DPA OVH |
| Google LLC Firebase, Cloud KMS, Crashlytics |
Hébergement applicatif, authentification, base de données, gestion des clés HSM (CMEK), rapports de plantage (Crashlytics — sans Analytics) | États-Unis | UE — europe-west | CCT Commission Européenne + DPA Google Firebase. Les clés CMEK résident dans un HSM configuré par Equily — la clé ne peut pas être exportée hors du module. DPA → |
| Meta Platforms Ireland Ltd Meta Platforms, Inc. (États-Unis) |
Mesure d'attribution des campagnes publicitaires. Equily et Meta sont responsables conjoints (art. 26 RGPD) de la collecte et de la transmission des données par le kit de mesure de Meta, selon l'avenant « Responsable du traitement » des Conditions des outils professionnels de Meta ; Meta est seul responsable des traitements qu'il effectue ensuite. | Irlande — UE (transfert vers les États-Unis) |
États-Unis | Data Privacy Framework UE — États-Unis + CCT Commission Européenne. Seuls l'identifiant publicitaire, les données techniques du kit de mesure et les étapes listées à l'article 3 sont transmis, uniquement après votre consentement. Politique de confidentialité Meta → |
| Brevo SAS ex-Sendinblue |
Routage des communications de service et relationnelles, gestion de la newsletter et des listes de contacts | France — UE | UE | Société française, données hébergées en UE — aucun transfert hors UE. DPA Brevo → |
| OpenWeather Ltd | Fourniture des données météorologiques locales (One Call API) | Royaume-Uni | Royaume-Uni | Décision d'adéquation de la Commission Européenne (Royaume-Uni). Seule une position approximative (zone d'environ 10 km) est transmise, jamais conservée par Equily. Politique de confidentialité → |
7. Durées de conservation
Vos données ne sont conservées que le temps strictement nécessaire aux finalités pour lesquelles elles ont été collectées :
| Catégorie de données | Durée de conservation |
|---|---|
| Données de compte (UUID, e-mail, date de naissance, genre, objectif, priorités) | Pendant la durée d'activité du compte. En cas d'inactivité de 3 ans ou sur demande de suppression : effacement ou anonymisation totale dans la base de données active. |
| Préférences d'interface (langue, fuseau horaire, format d'heure, pays) | Pendant la durée d'activité du compte. Supprimées avec le compte. |
| Données de santé et d'habitudes | Supprimées immédiatement de la base de données active en cas de retrait du consentement spécifique à l'habitude concernée, ou lors de la suppression du compte. Voir article 5.3 concernant les sauvegardes techniques. |
| Communications de service et relationnelles via Brevo | Pendant la durée d'activité du compte et tant que ces communications sont nécessaires à la finalité concernée. En cas d'opposition aux communications relationnelles, l'adresse est retirée de la liste d'envoi correspondante et peut être conservée dans une liste d'opposition limitée aux informations nécessaires pour garantir le respect durable de ce choix. |
| Newsletter et liste d'attente | 3 ans à compter de la collecte ou du dernier engagement, sauf retrait anticipé du consentement. En cas de désinscription, l'adresse est retirée de la liste d'envoi concernée et peut être conservée dans une liste d'opposition limitée aux informations nécessaires pour garantir le respect durable de ce choix. |
| Données de mesure publicitaire (identifiant publicitaire, étapes du parcours listées à l'article 3) | Equily ne conserve pas d'historique de ces évènements : seule une marque locale, sur votre appareil, évite d'envoyer deux fois la même étape. Une fois reçues, ces données sont soumises aux durées de conservation propres à Meta, définies dans sa politique de confidentialité. |
| Preuves de vos choix de consentement | Pendant la durée d'activité du compte, afin de pouvoir démontrer vos choix. Supprimées avec le compte. |
| Position pour l'adaptation météo | Aucune conservation. La position approximative transite uniquement le temps d'obtenir la météo, puis est oubliée. Equily ne la stocke ni sur votre appareil, ni sur ses serveurs. |
| Données analytics comportementaux | 24 mois glissants à compter de chaque événement collecté, puis suppression automatique. Les données agrégées anonymisées issues de ces analyses peuvent être conservées indéfiniment. |
| Rapports Crashlytics | 90 jours (durée de conservation par défaut de Firebase Crashlytics). |
| Données de support et logs techniques | 13 mois maximum. |
| Sauvegardes techniques Firebase | 30 jours maximum — non utilisées à des fins de traitement (voir article 5.3). |
| Données anonymisées à des fins statistiques | Conservation indéfinie (non soumises au RGPD, identification directe impossible). |
8. Destinataires des données
Vos données personnelles ne sont jamais vendues ni cédées à des tiers à des fins commerciales. Elles peuvent uniquement être partagées avec :
- Equily SAS (responsable de traitement), pour les opérations décrites dans la présente Politique, incluant le système d'analytics comportementaux interne opérant sur données pseudonymisées (UUID encrypté).
- Google LLC (Firebase, Cloud KMS HSM, Crashlytics), sous-traitant technique lié par un DPA conforme au RGPD. Les données de santé sont protégées par chiffrement CMEK HSM et chiffrement per-user.
- Meta Platforms Ireland Ltd (et Meta Platforms, Inc. aux États-Unis), responsable conjoint avec Equily de la collecte et de la transmission, pour la mesure d'attribution de nos campagnes publicitaires, recevant uniquement l'identifiant publicitaire de l'appareil, les données techniques du kit de mesure et les étapes listées à l'article 3, et uniquement après votre consentement. Aucune donnée de compte, de santé ou d'habitude n'est transmise.
- OpenWeather Ltd, sous-traitant pour la fourniture des données météorologiques, recevant uniquement une position approximative (jamais conservée par Equily) lorsque vous activez l'adaptation à la météo.
- OVH SAS, sous-traitant pour l'hébergement du site web, sans accès aux données applicatives.
- Brevo SAS, sous-traitant pour le routage des communications de service, des communications relationnelles et des newsletters. Brevo peut recevoir l'adresse e-mail et, le cas échéant, le prénom et la langue de préférence. Les newsletters et communications commerciales ne sont adressées qu'aux personnes ayant donné leur consentement lorsqu'il est requis.
- Apple Inc. / Google LLC, pour la gestion technique des abonnements via leurs stores (identifiants de transaction uniquement — Equily n'accède à aucune donnée de paiement).
- Les autorités compétentes, le cas échéant, sur obligation légale.
9. Vos droits
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants sur vos données personnelles. La plupart sont directement accessibles depuis les paramètres de l'application.
Pour exercer un droit que vous ne pouvez pas effectuer directement depuis l'application, contactez-nous à contact@equily.co. Nous nous engageons à répondre dans un délai d'un mois (art. 12 RGPD), prorogeable de deux mois en cas de complexité.
10. Mesure d'attribution publicitaire et absence de cookies de suivi
Notre site web n'utilise aucun cookie de suivi, de profilage publicitaire ni d'analyse comportementale à des fins publicitaires. Notre application n'utilise aucun traceur publicitaire en dehors de la mesure décrite ci-dessous, soumise à votre consentement, et ne sert aucune publicité ciblée.
À des fins de mesure de l'efficacité de nos campagnes publicitaires diffusées sur les plateformes de Meta (Facebook, Instagram), Equily transmet à Meta l'identifiant publicitaire de votre appareil (IDFA sur iOS, GAID sur Android) et les étapes suivantes : installation et ouvertures de l'application, création du compte, fin du parcours de découverte (onboarding), première habitude terminée, retours dans l'application aux jours 1, 3 et 7 après la création du compte, affichage de l'offre d'abonnement, début d'achat, début d'un essai gratuit, souscription d'un abonnement (formule choisie, montant et devise). Ce traitement repose exclusivement sur votre consentement :
- il vous est demandé lors de la création de votre compte, par un écran dédié où refuser est aussi simple qu'accepter ;
- tant que vous n'avez pas accepté, le kit de mesure de Meta n'est pas démarré : rien n'est lu ni écrit sur votre appareil pour Meta, et rien ne lui est transmis ;
- sur Android, votre accord dans Equily suffit ; sur iOS, l'identifiant publicitaire et les étapes ne sont transmis que si vous autorisez également le suivi via le mécanisme App Tracking Transparency (ATT) d'Apple ;
- sur iOS, si vous acceptez dans Equily mais refusez ATT, seule l'installation est signalée, une seule fois, par le mécanisme SKAdNetwork d'Apple : Apple transmet à Meta un signal agrégé, différé et sans aucun identifiant ;
- votre choix (accord, refus ou retrait) est enregistré avec sa date et la version du texte présenté, afin de pouvoir le démontrer ;
- ce consentement est révocable à tout moment depuis Profil > Autorisations > Mesure publicitaire : la collecte s'arrête immédiatement ;
- aucune donnée de compte, de santé ou d'habitude n'est jamais transmise à Meta.
Si vous refusez ce suivi, l'application reste pleinement fonctionnelle. Vous trouverez le détail de ce traitement à l'article 3, les modalités de transfert à l'article 6, et les durées de conservation à l'article 7.
Des données techniques minimales strictement nécessaires au fonctionnement de l'application (jetons d'authentification Firebase stockés via Flutter Secure Storage, préférences de session) peuvent être conservées localement sur votre appareil. Ces données ne sont pas transmises à des tiers à des fins de suivi. Firebase Crashlytics est utilisé sans Google Analytics.
11. Mineurs
La Plateforme Equily est réservée aux personnes âgées de 18 ans et plus. La date de naissance collectée lors de l'inscription est utilisée pour vérifier cette condition préalable d'accès. Elle n'est pas utilisée à d'autres fins sans votre consentement explicite.
Nous ne collectons pas sciemment de données personnelles concernant des personnes de moins de 18 ans. Si vous avez connaissance qu'un mineur a créé un compte sur notre Plateforme, nous vous invitons à nous le signaler à contact@equily.co afin que nous procédions à la suppression immédiate des données concernées.
12. Modifications de la Politique et contact
La présente Politique a été publiée pour la première fois en février 2026. Elle a été mise à jour en mai 2026 pour intégrer : la newsletter via Brevo, les données de profil utilisateur (date de naissance, genre, objectif, priorités, préférences d'interface), la gestion des abonnements premium, Firebase Crashlytics, l'architecture de double chiffrement des données de santé (CMEK HSM + chiffrement per-user), et la mention des sauvegardes techniques. Une mise à jour ultérieure a introduit la fonctionnalité d'adaptation à la météo reposant sur une position approximative non conservée (sous-traitant OpenWeather Ltd). La mise à jour de juillet 2026 introduit la mesure d'attribution publicitaire via Meta, reposant sur le consentement et limitée à l'identifiant publicitaire ainsi qu'aux évènements d'installation et de rétention à J3. La mise à jour d'août 2026 précise l'utilisation de Brevo pour le routage des communications de service et relationnelles adressées aux utilisateurs d'Equily, tout en maintenant le consentement comme base légale des newsletters et communications commerciales lorsqu'il est requis. La mise à jour d'octobre 2026 détaille la mesure publicitaire via Meta : liste complète des étapes transmises (dont l'essai gratuit et l'abonnement avec son montant), données techniques du kit de mesure, signal d'installation agrégé SKAdNetwork sur iOS, démarrage du kit uniquement après votre accord, responsabilité conjointe avec Meta, et conservation de la preuve de vos choix de consentement.
Pour toute question relative à cette Politique :
- E-mail : contact@equily.co
- Courrier : Equily SAS — 20 rue Delambre, 75014 Paris, France