Politique de confidentialité de MedCabin

1. Portée, exploitant et définitions

Cette politique s’applique à l’application mobile MedCabin et à son site produit, fournis par Fly Design. Fly Design est le nom du studio; l’éditeur figure sur la fiche du développeur dans la boutique où vous téléchargez l’application. « Dossiers » désigne les renseignements et pièces jointes sur les médicaments, la famille, les consultations et la santé que vous créez. « Traitement » comprend la saisie, la lecture, le stockage, la reconnaissance, la modification, la suppression, le chiffrement et le transfert à votre demande.

Pour la confidentialité, écrivez à flydesign.app@gmail.com. Nous distinguons les traitements locaux, les transferts entre appareils que vous autorisez et les services indépendants du système d’exploitation ou de la boutique.

2. Catégories de renseignements traités

Pour organiser médicaments et consultations, l’application peut traiter :

• Membres du ménage : noms, liens, tranches d’âge, étiquettes et notes; une tranche d’âge n’est pas un profil d’âge précis.
• Médicaments : noms commerciaux et génériques, teneur, forme, ingrédients, extraits d’indications et de posologie, numéros d’autorisation, titulaire ou fabricant, lot, dates de fabrication et de péremption, emplacement, quantité, statut de prescription, destinataires, allergies et notes.
• Images : photos choisies ou prises d’emballages, notices et documents médicaux, ainsi que copies recadrées, tournées, annotées ou comprimées.
• Codes et liens : codes-barres, codes de traçabilité, QR, URL d’emballage et liens de recherche produits par l’application.
• Consultations : dates, symptômes, examens, résultats, renseignements sur le professionnel ou l’établissement, ordonnances et notes de santé.
• Calendrier : autorisations, noms de calendriers ou comptes fournis par le système, identifiants des événements créés ou liés, titres, heures, fuseaux horaires, notes, lieux au besoin, et état de création, modification, suppression et synchronisation. Nous ne lisons pas les événements sans lien avec vos rappels.
• Voix : enregistrements et transcriptions seulement après activation et autorisation du microphone.
• Achats : identifiants de produits, état et dates des achats, droits d’abonnement ou d’achat ponctuel renvoyés par la boutique; la boutique traite les cartes, comptes bancaires et données de paiement complètes.
• Technique : système, version, autorisations, résultats réseau et journaux minimaux de diagnostic, conservés sur l’appareil sauf si vous choisissez de nous les envoyer. Le composant Google ML Kit envoie aussi à Google des données limitées de diagnostic et d’utilisation (section 6). Cette version ne collecte pas, à des fins publicitaires, la position précise, les contacts, les messages ni les identifiants publicitaires interapplications.

3. Sources et méthodes de collecte

Les données proviennent de vos saisies et modifications, de l’appareil photo ou de la photothèque, de la numérisation, de la voix du système, des consultations, des codes-barres et dates analysés, de la reconnaissance de texte locale, des sauvegardes importées, des transferts entre appareils et des résultats d’achat retournés par la boutique. La reconnaissance d’images s’effectue sur l’appareil.

L’application ne prend pas de photos, n’enregistre pas de son et ne lit pas la photothèque en arrière-plan; l’installation ne crée pas de compte. Le verrouillage, les délais après échec du mot de passe et la biométrie protègent l’accès local sans nous transmettre le mot de passe ni les données biométriques.

4. Autorisations et finalités

L’application ne demande l’accès à la caméra, au microphone, à la reconnaissance vocale (iOS), aux notifications, à la biométrie, au réseau local ou au calendrier que lorsqu’une fonction le requiert. Sur Android 13 et versions ultérieures, le point d’accès temporaire de transfert nécessite l’autorisation « Appareils Wi-Fi à proximité », déclarée comme non utilisée pour la localisation; rejoindre le point d’accès d’un code QR demande votre confirmation. Sur Android, Photo Picker ou, à défaut, le sélecteur de documents donne accès seulement aux photos choisies, sans autorisation de lire toute la photothèque ou vidéothèque. Sur d’autres plateformes, le sélecteur et les réglages système régissent l’accès. Avec votre permission expresse, l’application lit les données nécessaires et ajoute, modifie ou supprime des rappels de péremption et de consultation dans le calendrier choisi; la révocation arrête les synchronisations futures. Sur Android, l’application réenregistre aussi vos rappels locaux après un redémarrage de l’appareil; cette autorisation système ne fait pas l’objet d’une demande distincte.

Le microphone sert uniquement à la saisie vocale système que vous lancez. Les finalités comprennent dossiers, stocks et consultations sur l’appareil, exportation PDF, reconnaissance locale, voix système et codes-barres, importation et exportation, transfert, résumé pour la montre, rappels, sécurité, achats et diagnostic. Nous n’utilisons pas les dossiers de santé pour la publicité, le profilage ou la vente.

5. Traitement sur l’appareil et circulation des données

Dossiers de médicaments et du ménage, consultations, retouches de photos, codes-barres, reconnaissance de texte, PDF, verrouillage, empreintes des mots de passe et chiffrement local sont traités sur votre appareil. Fly Design n’exploite ni comptes, ni synchronisation infonuagique, ni mécanisme de téléversement ou stockage infonuagique de vos dossiers de médicaments, de santé, familiaux, photographiques ou de consultation. Nous ne téléversons, ne recevons et n’hébergeons pas ces dossiers, chez nous ou chez un tiers.

Un destinataire ou service système peut traiter des données seulement si vous exportez, partagez, imprimez, transférez, activez le résumé pour la montre, ouvrez un site externe, achetez dans la boutique ou autorisez le calendrier ou la voix du système. Ce n’est pas un téléversement ou un hébergement des dossiers par Fly Design.

6. Reconnaissance locale, voix système et exactitude

La reconnaissance de texte est uniquement locale : PaddleOCR, ONNX Runtime, Google ML Kit ou Apple Vision peuvent analyser les images sur l’appareil. Les photos des médicaments ou consultations ne sont pas envoyées à Fly Design ni aux serveurs des fournisseurs de reconnaissance. À la première reconnaissance de photo, l’application télécharge les fichiers du modèle PaddleOCR depuis un stockage public exploité par Baidu, responsable de PaddlePaddle; ce serveur peut se trouver hors de votre pays ou région et reçoit votre adresse IP et les renseignements usuels de la requête, mais aucune photo, aucun texte ni dossier. Le système peut aussi télécharger ses propres ressources de reconnaissance.

Google ML Kit, utilisé pour la reconnaissance de texte, l’orientation des photos et la lecture des codes-barres sur Android, envoie à Google des renseignements sur l’appareil (fabricant, modèle, version du système), le nom et la version de l’application, des identifiants propres à l’installation qui ne visent pas à vous identifier ni votre appareil, des mesures de performance, la configuration de l’API, les types d’événements et les codes d’erreur, à des fins de diagnostic et d’analyse d’utilisation. Selon Google, ces données sont chiffrées en transit et ne sont pas communiquées à des tiers; elles ne comprennent ni vos photos, ni le texte reconnu, ni vos dossiers, et Google les traite selon ses propres politiques.

Sur Android, SpeechRecognizer appelle le service choisi sur l’appareil (Google, fabricant ou fournisseur configuré); sa connexion dépend du service, de la langue et des réglages. Sur iOS, la reconnaissance vocale système Apple peut s’effectuer localement ou utiliser des serveurs Apple selon l’appareil, la langue et les capacités. Un clavier peut être utilisé si la voix est indisponible; sa fonction vocale relève de son fournisseur.

La voix ne démarre que sur votre initiative et après autorisation, et remplit la saisie en cours. Nous ne conservons pas de bibliothèque infonuagique d’enregistrements ni n’intégrons un service vocal infonuagique distinct. La voix système n’est pas garantie hors ligne. Vous pouvez l’arrêter, retirer la permission ou saisir au clavier. Vérifiez les résultats de reconnaissance et de transcription : ce ne sont pas des conclusions médicales.

7. Recherches externes, sauvegardes, partage, transfert, montre et calendrier

Après lecture d’un code ou lien sur l’emballage, vous pouvez ouvrir un organisme de réglementation, un service de codes produits ou un site tiers. Les services disponibles dépendent du code et de la région. Après votre confirmation, l’application vérifie d’abord les redirections et le type de fichier par une requête légère, puis ouvre la page dans un affichage Web intégré; ces requêtes vont directement au site, qui peut voir IP, appareil et paramètres; nous ne contrôlons ni son contenu ni sa politique.

En exportant une sauvegarde, un PDF ou un document de consultation, vous utilisez le partage du système. Le destinataire choisi (courriel, stockage, messagerie, imprimante) reçoit le fichier confirmé; nous ne contrôlons pas ensuite copies, transferts, captures, sauvegardes infonuagiques ou conservation. Recommander MedCabin à un ami n’envoie, par l’application choisie, qu’un message, une affiche et le lien du site, sans nom de médicament, photo, dossier de santé ni secret de jumelage.

Avec autorisation, seuls les rappels de péremption et de consultation choisis sont créés ou liés dans votre calendrier; les identifiants nécessaires sont conservés pour les modifier ou les supprimer. L’application ne doit agir que sur ses événements ou ceux expressément liés par vous, sans supprimer en masse des événements sans lien. Révoquer l’accès arrête les synchronisations futures sans nécessairement effacer les anciens événements; supprimez-les dans l’application si possible ou dans le calendrier.

Apple, Google ou un autre fournisseur peut synchroniser les événements entre comptes et appareils suivant sa politique de traitement, sauvegarde, transfert international et conservation. Le transfert entre deux appareils n’a lieu qu’après son démarrage et un jumelage en personne par code QR; les données choisies sont chiffrées et passent directement d’un téléphone à l’autre par le même Wi-Fi; sinon, un téléphone Android qui lance le transfert peut activer un point d’accès temporaire sans partage d’Internet, dont le nom et le mot de passe figurent dans le code QR de la session, et l’autre téléphone s’y connecte après confirmation du système puis le quitte à la fin. Deux iPhone peuvent aussi se connecter directement via MultipeerConnectivity d’Apple (Bluetooth et Wi-Fi pair à pair). Le nom de l’appareil et l’adresse du réseau local servent uniquement à cette connexion. Le transfert ne passe par aucun serveur Fly Design et aucun dossier n’y est ensuite téléversé.

Résumé pour la montre : le compagnon montre est désactivé par défaut et ne démarre qu’après le choix des membres et votre accord dans les réglages. Le téléphone prépare alors un résumé limité aux membres choisis (et aux médicaments non attribués que vous autorisez) : médicaments périmés ou expirant dans les 30 jours et consultations de suivi des 30 prochains jours, avec au plus trois éléments détaillés et le nombre des autres. Un médicament ne comprend que son nom, sa date de péremption, son emplacement et les membres liés; une consultation, que le membre, la date et l’heure, l’établissement et le service. Ni stock, ni photos, ni diagnostics, ni prescriptions ne sont envoyés. Le résumé parvient à la montre jumelée par Apple WatchConnectivity ou la couche de données Wear OS des services Google Play; le système le transmet par Bluetooth ou par le réseau, sans passer par un serveur Fly Design. La montre conserve le dernier résumé et l’affiche hors connexion ou lorsque le médicabinet est verrouillé sur le téléphone; protégez-la par un code. Après la désactivation, l’ancien résumé n’est effacé qu’à la prochaine connexion de la montre au téléphone; une montre hors ligne ne peut pas être effacée immédiatement, mais vous pouvez aussi supprimer l’application de la montre.

8. Chiffrement local, verrouillage et sécurité

Une fois activé, AES-256-GCM protège le fichier des dossiers et les photos de médicaments et de notices, avatars, documents de consultation et résultats OCR gérés par l’application. Les fichiers gérés sont chiffrés lors de l’activation; les écritures suivantes respectent le réglage. L’intégrité est vérifiée à la lecture; une mauvaise clé ou un fichier altéré est refusé. L’optimisation des images se fait après déchiffrement, puis l’enregistrement respecte le réglage; les originaux médicaux ne subissent pas d’optimisation avec perte.

Une clé aléatoire de 256 bits est conservée dans le stockage sécurisé local du système et exclue des sauvegardes portables. Les mots de passe de verrouillage sont vérifiés par une valeur Argon2id salée; après des échecs, un délai croissant empêche le déverrouillage par mot de passe ou biométrie. Le système vérifie la biométrie sans nous communiquer empreinte ou visage. Le verrouillage contrôle l’accès, mais ne chiffre pas la clé avec le mot de passe et ne garantit pas l’effacement de toute la mémoire vive.

Les sauvegardes exportées utilisent toujours un mot de passe distinct, Argon2id et AES-256-GCM, quel que soit le réglage local. L’importation de sauvegardes non chiffrées est possible; les données suivent les réglages du nouvel appareil, mais le fichier d’origine n’est pas automatiquement chiffré. Le transfert exige le code QR de la session, un échange de clés éphémères, un chiffrement authentifié et le rejet des messages rejoués. Le secret du QR ne doit pas être diffusé.

Les noms et tailles de fichiers, certaines préférences et métadonnées ne sont pas tous masqués. La mémoire vive, les copies temporaires OCR, les originaux de la photothèque système, les événements du calendrier, les PDF partagés et les copies d’autres applications ne sont pas couverts ensemble par le chiffrement local. Les copies temporaires déchiffrées sont nettoyées après l’opération ou au prochain démarrage après une fermeture anormale, sans garantie d’effacement médico-légal.

Les répertoires de dossiers sont configurés pour être exclus des sauvegardes système automatiques sur les plateformes compatibles, avec stockage sécurisé limité à l’appareil. Versions système, fabricants et anciennes sauvegardes peuvent modifier le comportement. Le chiffrement réduit les risques sans sécurité absolue. Conservez votre mot de passe de sauvegarde et testez la restauration; nous ne possédons ni vos clés ni votre mot de passe et ne pouvons les récupérer.

9. Composants tiers et responsables indépendants

L’application peut utiliser Google Play Billing, l’Apple App Store, les services de caméra, photos, notifications, biométrie, voix, partage et calendrier, Apple WatchConnectivity et la couche de données Wear OS, PaddleOCR, ONNX Runtime, Google ML Kit, des outils PDF et d’impression, et les sites externes ouverts à votre initiative.

Les composants de reconnaissance locale n’envoient pas de dossiers à leurs fournisseurs; Google ML Kit n’envoie que les données de diagnostic décrites à la section 6. Les boutiques ne traitent que les renseignements de transaction et de droits nécessaires. Calendriers, voix, connexions avec la montre, destinataires du partage et sites externes traitent les renseignements selon leurs propres politiques après votre action. Nous n’utilisons pas de SDK pour établir des profils publicitaires.

10. Lieu, durée et suppression

Par défaut, les données sont conservées dans le répertoire de l’application sur votre appareil et dans les emplacements de photos ou fichiers que vous choisissez. Elles restent jusqu’à la suppression d’un élément, des données de l’application ou de l’application elle-même. Les images temporaires, réponses et caches sont nettoyés après une opération selon les possibilités techniques; les caches système et tiers peuvent nous échapper.

Les liens aux rappels (identifiants du calendrier, événement et dossier, dernier état de synchronisation) restent sur l’appareil jusqu’à suppression ou dissociation du dossier ou demande de nettoyage. Supprimer un dossier, désactiver une fonction ou retirer la permission n’efface pas automatiquement les événements du calendrier ou leurs copies infonuagiques; supprimez-les séparément.

La suppression dans l’application ne touche que ses propres copies. Vous devez supprimer séparément les copies exportées, partagées, imprimées, transférées ou sauvegardées par le système. Les renseignements minimaux exigés par la loi, un différend, un audit de sécurité ou une transaction en boutique sont supprimés ou dépersonnalisés à l’expiration de la durée nécessaire.

11. Partage, sous-traitance et divulgation légale

Nous ne vendons, ne louons et n’échangeons pas les renseignements de santé ou de médicaments à des fins publicitaires; nous ne téléversons pas les dossiers et ne confions pas leur stockage infonuagique à un tiers. Hormis vos choix de partage, sauvegarde, impression, transfert, voix système, calendrier, achat, consultation web, votre consentement distinct ou une demande légale, nous ne communiquons pas activement vos dossiers.

12. Renseignements sensibles et enfants

Les données de santé, de médicaments et de consultation peuvent bénéficier d’une protection particulière selon votre territoire. Vous choisissez de les conserver localement. Obtenez les autorisations nécessaires avant de créer un dossier pour autrui. Nous ne déduisons pas de ces données l’admissibilité à une assurance ou la solvabilité et ne ciblons pas de publicité.

L’application s’adresse aux adultes gérant leurs dossiers ou ceux de leur famille, et non aux enfants l’utilisant seuls. Un tuteur peut gérer le dossier d’un enfant lorsque la loi et les consentements le permettent, en limitant la saisie au nécessaire. Les règles locales sur l’âge, le consentement et la santé s’appliquent. Corrigez ou supprimez toute donnée inappropriée sur l’appareil, puis contactez-nous pour une aide technique; nous ne pouvons pas accéder au dossier à distance.

13. Vos droits et demandes

Selon la loi applicable, vous pouvez avoir des droits d’accès, de rectification, de suppression, de copie et portabilité, de limitation, d’opposition, de retrait du consentement et de plainte auprès d’une autorité locale. Gérez les dossiers dans l’application, retirez les permissions dans les réglages et gérez les événements de calendrier. Révoquer une permission ne supprime pas les copies externes antérieures.

Fly Design ne détient pas vos dossiers de santé locaux et ne peut les récupérer d’un serveur, les supprimer ou les déverrouiller à distance. Pour les courriels d’assistance envoyés ou les autres données réellement détenues, écrivez à flydesign.app@gmail.com. Nous demandons uniquement une vérification proportionnée, répondons dans les délais applicables et ne vous défavorisons pas parce que vous exercez vos droits. Un refus ou une limitation est motivé avec, s’il y a lieu, une voie de recours.

Nous ne vendons ni ne partageons les dossiers de santé pour la publicité comportementale intercontextuelle et ne prenons pas de décisions automatisées ayant des effets juridiques ou comparables à partir de ces dossiers. Les droits locaux supplémentaires restent applicables.

14. Traitement international, réseaux et incidents

Les dossiers, la reconnaissance et le chiffrement locaux ne créent pas de transfert transfrontalier initié par Fly Design. Les boutiques, le diagnostic Google ML Kit, le serveur de téléchargement des modèles PaddleOCR, les sites externes ouverts, destinataires choisis, calendriers et voix du système peuvent traiter les renseignements reçus dans d’autres régions selon leurs infrastructures, réglages et politiques. Fly Design ne téléverse ni n’héberge les dossiers pour autant.

Si un incident touche des renseignements personnels que nous traitons, nous prenons les mesures de confinement, correction, notification et déclaration exigées par la loi applicable.

15. Mises à jour et contact

Nous pouvons mettre à jour cette politique selon les fonctions, la loi et la sécurité, annoncer les changements importants et leur date d’entrée en vigueur et demander un nouveau consentement lorsque requis. Les versions linguistiques visent le même sens; toute différence d’interprétation ne réduit pas les protections légales. Pour une question, écrivez à flydesign.app@gmail.com sans joindre mot de passe, dossier médical complet ni données sensibles inutiles. Les courriels volontaires sont traités par le service de messagerie pour répondre, résoudre le problème et respecter les obligations nécessaires, puis supprimés ou conservés seulement au besoin.

Le site ne peut lire les dossiers locaux de l’application. Il présente uniquement le produit et les textes juridiques, sans compte en ligne, téléversement, synchronisation infonuagique ni hébergement de dossiers. Les pages actuelles n’intègrent ni publicité ni polices web tierces. Les statistiques du site ne démarrent qu’après votre accord actif, selon la section 16. Comme la plupart des sites, notre serveur Web et Cloudflare, qui assure la diffusion du site, enregistrent automatiquement des données techniques (adresse IP, heure, page demandée, agent utilisateur du navigateur, page d’origine) pour fournir le site, prévenir les abus et diagnostiquer les problèmes. Ces journaux servent uniquement à la sécurité et à l’exploitation, ne sont pas associés aux dossiers de l’application et ne sont conservés que le temps nécessaire.

16. Statistiques du site

L’application MedCabin n’intègre pas d’analyse comportementale et ne transmet aucun dossier de médicaments ou de santé aux statistiques du site. Cette section concerne uniquement le site Fly Design.

Ce site ne charge le script Umami Cloud https://cloud.umami.is/script.js qu’après votre accord actif, pour mesurer les pages vues, clics, contenus affichés, profondeur de défilement, temps au premier plan, temps de lecture active estimé et provenance des visites, afin d’améliorer le contenu et les liens de téléchargement. Le temps de lecture est une estimation fondée sur la visibilité et les interactions récentes, sans prouver la compréhension du contenu.

Nous transmettons les pages canoniques, des titres de page fixes, des identifiants de contenu stables, des données sur l’écran et la langue du navigateur, le domaine d’origine et des valeurs marketing figurant sur une liste autorisée; jamais des paramètres arbitraires, l’URL d’origine complète, des courriels, des saisies ou des dossiers de santé. Nous n’appelons pas identify et n’attribuons aucun identifiant de compte du site. Umami reçoit néanmoins l’adresse IP et d’autres renseignements réseau lors des requêtes; l’absence de cookies statistiques ne signifie pas l’absence de renseignements personnels.

Votre choix est conservé 180 jours dans le localStorage sous flydesign.analytics.v1. Refuser ou retirer l’accord ne limite ni la lecture, ni le choix de langue, ni le téléchargement; modifiez votre choix dans les « Préférences de confidentialité » du pied de page. Le retrait arrête les envois futurs et supprime les événements en attente, sans annuler les requêtes déjà transmises. Les activités précédant l’accord ne sont pas transmises rétroactivement.

Umami annonce six mois de conservation pour son forfait gratuit, sous réserve des réglages réels du service. Le code du site ne peut effectuer ni garantir la suppression chez le fournisseur. Pour toute demande : flydesign.app@gmail.com.