Politique de confidentialité.

• Tes journaux ne sont pas sur nos serveurs. Ils vivent sur ton iPhone, puis dans ton compte iCloud (CloudKit). Nous n’y avons pas accès, nous ne pouvons pas les lire, et nous n’en avons pas de copie.
• Nous ne vendons aucune donnée, nous n’affichons aucune publicité, et nous n’utilisons aucun outil de mesure d’audience, de publicité ou de profilage — ni dans l’app, ni sur le site.
• La synchronisation iCloud est activée par défaut et ne peut pas être coupée dans l’app. C’est une limite du produit, nous la disons.
• Le partage de tes données de santé avec l’assistant est désactivé par défaut.
• L’assistant envoie des extraits de tes journaux à des services tiers — un modèle d’analyse et des moteurs de recherche. La liste est dans la section « Prestataires et destinataires », les durées dans « Durées de conservation ».
• Tu peux supprimer ton compte depuis l’app, et cette suppression efface l’appareil et tes zones iCloud — voir la politique de suppression de compte.

Leum est édité par NYTHY, société par actions simplifiée au capital de 100,00 €, dont le siège social est 221 route de Schirmeck, 67200 Strasbourg, France — SIREN 101 969 467, RCS Strasbourg 101 969 467, TVA intracommunautaire FR95101969467. NYTHY est responsable du traitement des données décrites ici. Le site leum.app est édité dans les mêmes conditions (identité complète dans les mentions légales).

Nous n’avons pas désigné de délégué à la protection des données. Les demandes relatives à la vie privée s’adressent à [email protected], ou depuis l’app Réglages > Nous contacter.

Leum traite surtout ce que tu saisis ou que tu autorises. Selon les espaces que tu utilises :

• Nutrition : repas et aliments, quantités et pesées, hydratation, profil (âge, taille, poids, niveau d’activité), objectifs, préférences, allergies et intolérances, listes de courses, recettes, jeûnes, expériences notées, contexte médical que tu déclares (grossesse, allaitement, pathologies, régime prescrit).
• Sommeil : nuits et réveils, horaires et objectifs, humeur, questionnaires (ISI, ESS, STOP-BANG, burn-out), ronflements estimés, sons de coucher, météo et ville associées.
• Finances : comptes, types de comptes, établissements que tu nommes, soldes, mouvements, transferts, budgets, épargne, dettes, abonnements récurrents, reçus que tu analyses. Aucune connexion bancaire.
• Projets : projets, tâches, échéances, notes, fichiers et images que tu y attaches.
• Profil : prénom et adresse e-mail que tu saisis — utilisés pour la carte, les exports et le contact ; non vérifiés, et jamais pour te connecter.
• Assistant : messages, pièces jointes que tu envoies, mémoire que l’assistant retient de toi, consignes que tu rédiges, préférences de partage.

Une partie de ces données est particulièrement sensible : état de santé déclaré, grossesse ou allaitement, sommeil et signes physiologiques, humeur et scores de questionnaires, poids et composition corporelle. Nous les traitons parce que le produit est construit autour, et uniquement sur ta base volontaire. Elles sont stockées sur l’appareil et, comme le reste de tes journaux, dans ton iCloud.

Si tu autorises l’accès à l’app Santé, Leum peut lire : sommeil analysé, poids, masse grasse, taille, hydratation, énergie ingérée, protéines, glucides, lipides, pas, énergie active et basale, distances (marche, vélo, natation, fauteuil), étages, temps d’exercice, de debout et de mouvement, fréquence cardiaque au repos et pendant la nuit, variabilité de fréquence cardiaque, fréquence respiratoire, saturation en oxygène, température du poignet pendant le sommeil, exposition au bruit ambiant et exposition des écouteurs, sessions de méditation, date de naissance et sexe biologique.

Leum peut écrire dans Santé : sessions de sommeil, méditation, poids, hydratation, énergie ingérée, protéines, glucides, lipides, sodium, ainsi que les vitamines et minéraux des aliments de ton journal quand leur valeur est connue. Nous n’accédons pas aux données de santé reproductive, à la glycémie ni aux documents cliniques. L’accès Santé est optionnel, passe par le dialogue Apple, et est révocable à tout moment dans Santé ou dans Réglages iOS > Apps > Santé.

• Identifiant d’installation : un identifiant aléatoire généré sur ton appareil, stocké dans le trousseau, non synchronisé et propre à cet appareil. Il sert à compter tes Actions et à sécuriser les échanges avec notre service.
• Attestation d’app (App Attest) : une clé et un compteur permettant au service assistant de vérifier que les requêtes viennent bien de l’application Leum et non d’un script.
• Transaction Apple : l’identifiant de transaction original de ton abonnement, transmis à notre service pour vérifier que tu y as droit.
• Version de l’app, appareil et système : inclus dans le message quand tu nous écris depuis Réglages > Nous contacter.

Ce que nous ne collectons pas : pas de compte mot de passe, pas de « Se connecter avec Apple », pas de publicité donc pas de demande de suivi entre apps, pas d’analyse d’audience ni de brique de mesure ni de session replay, pas de carnet d’adresses, pas de lecture de SMS, d’e-mails ou de notifications. Pas de localisation précise : si tu autorises la position, elle est utilisée à une précision d’environ un kilomètre, pour la météo locale.

• Fournir les espaces de journal et leurs calculs — exécution du contrat (art. 6.1.b), gratuit sans paiement.
• Synchroniser tes journaux entre tes appareils — exécution du contrat (art. 6.1.b).
• Afficher widgets, écran de verrouillage, Apple Watch et activités en direct — exécution du contrat (art. 6.1.b), à partir d’extraits dérivés de tes journaux.
• Faire fonctionner l’assistant — exécution du contrat pour le service ; ton consentement pour les données de santé (art. 9.2.a) et pour les données financières transmises.
• Empêcher l’usage automatisé abusif du service assistant — intérêt légitime à protéger le service (art. 6.1.f).
• Vérifier ton droit à l’abonnement Premium — exécution du contrat (art. 6.1.b), à partir de la transaction Apple.
• Informer Apple quand tu demandes le remboursement d’une recharge — ton consentement (art. 6.1.a), donné en cochant une case facultative au moment de l’achat de la recharge (décochée par défaut, sans effet sur l’achat) : nous indiquons seulement si la recharge a été livrée et quelle part de ses Actions a été utilisée.
• Répondre à tes demandes — intérêt légitime (art. 6.1.f).
• Prévenir une situation de détresse et t’orienter vers une aide — art. 9.2.c (intérêt public, sauvegarde de la vie) et intérêt légitime ; voir la politique d’usage de l’assistant.
• Respecter nos obligations comptables — obligation légale (art. 6.1.c), sur des agrégats de facturation.

Aucune de tes données n’est utilisée pour du marketing personnalisé, de la revente, du courtage, de la notation sociale ou du profilage publicitaire. Aucun traitement ne donne lieu à une décision automatisée produisant un effet juridique ou significatif à ton égard au sens de l’article 22.

Les données de santé ne servent jamais à la publicité, à la vente, ni à un usage autre que les fonctions listées ci-dessus. Les données financières ne sortent de l’appareil que dans le cadre des fonctions que tu déclenches. Les contenus que tu importes (photos de repas, reçus, pièces de projet) restent les tiens.

Tes journaux sont d’abord écrits dans une base locale chiffrée par iOS, sur ton appareil. Ils sont ensuite synchronisés avec ton compte iCloud via CloudKit, dans ta base privée (conteneur iCloud.io.leum.app) — ce qui permet à tes appareils Apple connectés au même compte de les retrouver, et à tes widgets et à ta montre de les afficher. Nous n’hébergeons pas tes journaux : NYTHY ne possède aucune base de données de contenus utilisateurs.

• Cette synchronisation est active par défaut et n’est pas désactivable dans l’app ; notre positionnement produit suppose la continuité entre iPhone, Watch, widgets et appareils.
• Les données suivent ton compte iCloud : elles apparaissent sur tes autres appareils Apple, et Apple les conserve pour ton compte, dans les conditions de ses propres contrats. Nous n’y avons pas accès et nous ne pouvons pas les récupérer.
• Désinstaller l’app ne vide pas iCloud : après réinstallation, tes journaux peuvent revenir. Pour tout effacer, il faut supprimer le compte depuis l’app.
• Certaines fonctions marchent sans réseau et sans compte iCloud (les journaux restent alors sur l’appareil). Le service assistant, lui, nécessite une connexion.

Des extraits locaux (y compris signes de sommeil et totaux financiers) sont partagés avec l’Apple Watch et les widgets via le groupe d’apps, sur tes appareils. Watch et widgets n’envoient pas ces extraits par internet. Le trousseau conserve l’identifiant d’installation, la clé d’attestation et la clé de session avec le service assistant, et d’éventuelles clés personnelles.

• Journaux, photos, pièces → iCloud / CloudKit (ton compte), pour la synchronisation multi-appareils.
• Messages, contexte autorisé, images à analyser → notre service assistant, puis le modèle d’analyse, pour générer la réponse.
• Requête de recherche (200 caractères maximum) → le moteur de recherche web utilisé par l’assistant, pour trouver des sources.
• Code-barres ou texte de recherche aliment → Open Food Facts, pour retrouver une fiche produit.
• Transaction StoreKit → Apple, puis notre service, pour vérifier ton abonnement.
• Demande de remboursement d’une recharge → Apple reçoit de notre service, si tu as coché la case à l’achat : livrée ou non, et la part utilisée (un pourcentage). Ni tes conversations, ni tes journaux, ni ton identité. Sans ton accord, nous ne répondons pas à Apple.
• Jeton MusicKit, ville ou position approchée, calendrier, maison → services Apple : playlists de sommeil, météo, horaires, ambiances.
• Fichiers audio que tu écoutes → notre service (diffusion) puis ton appareil. Les titres que tu marques comme favoris sont rattachés à ton installation, pas à une identité.
• Cours des cryptos → notre service, seulement si tu as une position crypto : l’app demande la liste des cours, sans rien envoyer de tes quantités ni de tes montants. La valeur de tes positions est calculée sur ton appareil.
• Devise de base demandée (`EUR`) → notre service, seulement si tes finances touchent plus d’une devise : l’app demande les taux de change, sans envoyer aucun montant, aucun compte, aucune transaction. Les conversions sont calculées sur ton appareil.
• Demande « Nous contacter » (sujet, texte, version) → notre boîte support.

Rien d’audio n’est enregistré ni envoyé quand tu utilises l’écoute de nuit : le microphone sert uniquement, sur l’appareil, à estimer le ronflement. Aucune image de repas n’est envoyée où que ce soit tant que tu ne demandes pas d’analyse.

L’assistant (chat, analyses, conseils, agent) fonctionne ainsi : l’app assemble un contexte à partir de tes journaux, l’envoie à notre service assistant, qui le transmet à un modèle d’analyse et renvoie la réponse. Trois niveaux, parce qu’ils ne se valent pas :

• Santé — désactivé par défaut. Rien de ce bloc (contexte médical déclaré, poids, signes de santé, humeur, questionnaires) n’est inclus tant que tu ne l’actives pas, depuis Réglages ou depuis le bandeau proposé dans le chat.
• Finance — encadré par une confirmation. Le curseur apparaît par défaut en position activée dans Réglages, mais une feuille dédiée t’explique ce qui part et te laisse refuser. Tu peux couper ce partage à tout moment ; une fois coupé, ces données ne sont plus incluses.
• Nutrition, courses, projets — sans interrupteur individuel. Ces éléments peuvent servir de contexte dès que tu utilises l’assistant dans ces espaces, parce qu’ils en sont la matière première. Cette limite est assumée : si tu ne veux rien partager de ces espaces, n’interroge pas l’assistant à leur sujet.

Lors d’un appel, le contexte envoyé peut inclure jusqu’à 400 messages de la conversation en cours, les images que tu attaches, les résumés chiffrés des autorisations que tu as données, et un identifiant d’installation. Le service assistant ne journalise pas le contenu de tes messages ni les réponses : ses journaux techniques ne contiennent que la méthode, le chemin appelé, l’horodatage, la taille des messages et des identifiants chiffrés.

L’assistant peut aussi agir sur tes journaux (ajouter un repas, créer une tâche, écrire une note) : chaque action est annoncée, et tu la valides. Tes données ne sont transmises à un modèle que pour les fonctions que tu déclenches. La mémoire de l’assistant reste avec tes autres données, sur l’appareil et dans ton iCloud.

• Caméra — photographier un repas, scanner un code-barres, importer une recette, joindre une image au chat.
• Photothèque — mêmes usages, en lecture et en ajout.
• Photos envoyées pour analyse — elles quittent l’appareil vers le service assistant puis le modèle d’analyse (hôte par défaut : Union européenne, Francfort). Une photo non envoyée reste sur l’appareil ; l’image servant à importer une recette est lue sur l’iPhone et ne part pas.
• Micro — écoute nocturne du ronflement, sur l’appareil uniquement.
• Position — environ un kilomètre, quand l’app est ouverte, pour la météo locale.
• Calendrier et rappels — horaires de coucher et créneaux de tâches, à ta demande.
• Maison — ambiances de nuit, si tu l’actives.
• Musique — recherche et lecture de playlists de sommeil via Apple Music (compte et abonnement Apple séparés).
• Notifications — purement locales : le service ne t’envoie aucune notification depuis ses serveurs.
• Siri, Alarmes, Santé, Réseau local — iOS affiche sa propre description au moment de la demande.

Le site est un site de présentation, compilé en pages statiques. Il ne demande aucune inscription, n’a aucun formulaire, ne reconnaît pas un visiteur d’une visite à l’autre, n’écrit aucun cookie, aucun localStorage ni aucune base locale depuis son propre code, et n’intègre aucun outil de mesure d’audience, de publicité, de partage social ni aucun script tiers. Les liens de contact ouvrent un e-mail vers [email protected].

Le site est hébergé sur Cloudflare Pages. La protection de la plateforme peut déposer un cookie technique de sécurité et journaliser des éléments de la requête, dont l’adresse IP, pour la sécurité et le bon fonctionnement du service. Ces journaux ne sont pas utilisés pour profiler un visiteur ni croisés avec les données de l’app.

Le site et l’application sont indépendants : aucune donnée saisie dans Leum n’est lue par le site, et aucune visite du site n’est rattachée à un compte, à un appareil ou à une installation de l’app.

Leum ne vend ni ne loue tes données. Elles ne sont partagées qu’avec les prestataires nécessaires au fonctionnement de Leum :

• Apple : iCloud / CloudKit, Santé, StoreKit (achats), WeatherKit (météo), MusicKit (playlists), App Attest — selon tes contrats Apple ;
• Cloudflare, Inc. (États-Unis, réseau mondial) : hébergement du service assistant et de ses compteurs de droits, hébergement du site — messages, images à analyser, compteurs, identifiants chiffrés, demandes de contact ;
• Alibaba Cloud — Model Studio (API DashScope, modèles Qwen) : rédaction des réponses, analyse d’images, résumés, titres — le contenu des échanges et les images que tu soumets, et le contexte que tu as autorisé. Hôte par défaut : Union européenne (Francfort) ;
• Serper (WebSearch API), sinon DuckDuckGo, puis Wikimédia : recherche web de l’assistant — la requête (200 caractères maximum) y est transmise, les extraits reviennent au modèle ;
• Open Food Facts (association, France) : fiche produit, depuis ton appareil, sans passer par notre service. La requête s’identifie comme Leum et inclut une adresse de contact ;
• Banque centrale européenne (Union européenne) : taux de change de référence publiés quotidiennement. C’est notre service qui les consulte, pour tous les utilisateurs à la fois : seule la devise de base (EUR) est demandée, aucune donnée te concernant n’est transmise ;
• Coinbase (États-Unis) : repli pour les cours crypto comme pour les taux de change. C’est notre service qui l’interroge, pour tous les utilisateurs à la fois : aucune donnée te concernant ne lui est transmise.

Aucun autre destinataire : pas de régie publicitaire, pas de plateforme d’attribution, pas de service de modération humaine, pas de courtier de données. Si nous devions en ajouter un, cette page serait modifiée avant le premier octet envoyé.

Où vont tes données. Les journaux restent dans ton compte iCloud, dont l’hébergement dépend des contrats Apple que tu as acceptés. Le service assistant est exécuté par Cloudflare, dont le réseau est mondial et le siège aux États-Unis. Le modèle d’analyse est servi par défaut depuis l’Union européenne (Francfort), mais la configuration du service permet de basculer cet hôte vers les États-Unis, Singapour ou Pékin.

Ce qui reste à garantir, et qui est écrit ici plutôt que promis. Les garanties contractuelles de ce transfert sont en cours de sécurisation : un accord de sous-traitance au sens de l’article 28 couvrant les catégories de données de l’article 9, des garanties appropriées pour tout transfert hors EEE (clauses contractuelles types de la Commission européenne, complétées si nécessaire par les mesures issues de l’avis Schrems II), et la confirmation écrite que nos contenus ne servent pas à l’entraînement des modèles. Cette section sera mise à jour avec la référence exacte du contrat et des clauses applicables.

Autres transferts. Cloudflare (États-Unis) bénéficie de décisions et de garanties cadres pour les services que nous utilisons. Les demandes que tu nous adresses par e-mail transitent par nos messageries.

Nous ne conservons pas tes journaux : ils restent tant que tu les gardes sur tes appareils et dans ton iCloud. Ce qui suit décrit ce que nous détenons, et selon quel critère.

• Journaux, messages de l’assistant, pièces jointes : aucune conservation par NYTHY ; supprimés à ta demande ou à la suppression du compte.
• Contexte transmis pour une réponse : le temps de la réponse, et non journalisé.
• Journaux techniques du service (méthode, chemin appelé, horodatage, taille de message, identifiants chiffrés — jamais le contenu) : finalité de sécurité et de diagnostic uniquement. Ils sont supprimés à la plus courte période que la plateforme d’hébergement permette ; la durée exacte n’est pas encore réglée dans notre configuration, et nous préférons l’écrire plutôt que d’annoncer un chiffre.
• Compteur d’Actions par installation : remis à zéro au début de chaque période de quota (1ᵉʳ du mois en Gratuit, date de renouvellement de l’abonnement en Premium), effacé à la suppression du compte.
• Enregistrement de droit d’usage (identifiant de transaction original, identifiants d’attestation) : 400 jours au plus, puis effacement automatique — antifraude, intérêt légitime.
• Session d’échange chiffrée avec le service : 90 jours d’inactivité maximum.
• Fichiers audio et images d’ambiance servis par le service : contenus de catalogue, aucune donnée personnelle.
• Données comptables relatives aux revenus de l’app : 10 ans (art. L123-22 du code de commerce) — des agrégats, aucune donnée de santé.
• Demandes de contact : 3 ans après le dernier échange.
• Contenu de ton compte iCloud : géré par Apple selon tes contrats ; nous ne le conservons pas et ne pouvons pas le supprimer autrement qu’à ta demande.

Aucune donnée n’est conservée au-delà de ces durées, et aucune durée n’est allongée par une sauvegarde : nos sauvegardes d’infrastructure sont temporaires et tournent selon les cycles des prestataires concernés.

Réglages > Supprimer le compte. Cette action est immédiate et irréversible, et elle efface :

• toutes les données stockées par l’app sur cet appareil, dans les quatre espaces, l’historique de l’assistant et sa mémoire, et les consentements enregistrés ;
• tes zones de données privées iCloud créées par Leum ;
• les fichiers partagés avec les widgets et la montre, les notifications programmées, les caches et les ancrages Santé ;
• les clés du trousseau, l’identifiant d’installation et l’attestation d’app ;
• côté service : le compteur d’Actions de cette installation, la session et l’enregistrement d’attestation.

Ce que la suppression n’annule pas : ton abonnement App Store, qui se gère dans ton compte App Store ; les échantillons déjà écrits dans l’app Santé, qui restent dans Santé ; les données que ton compte iCloud conserve pour les autres apps. Le détail, la voie alternative et les exceptions sont dans la politique de suppression de compte.

Tu peux demander à accéder à ce que NYTHY détient, le rectifier, l’effacer, en obtenir une copie (portabilité), en limiter le traitement, t’y opposer, et retirer un consentement à tout moment — le retrait ne revenant pas sur les traitements déjà faits. NYTHY est responsable du traitement : écris à [email protected] ou passe par Réglages > Nous contacter.

• Accéder et rectifier depuis l’app : la majeure partie de tes journaux se lit et se corrige dans l’app, sans passer par nous.
• Une copie : Réglages > Export, en CSV, pour le sommeil, les finances, les repas et le poids, et les projets, plus quelques PDF. Ce n’est pas une copie complète : le chat, la mémoire de l’assistant et les questionnaires n’y figurent pas. Demande-nous ces éléments et nous te les fournirons.
• Effacement : la suppression du compte, ou une demande écrite pour une partie seulement.
• Délai de réponse : un mois à compter de la demande, prolongeable de deux mois en cas de demande complexe, avec information dans le premier mois. Nous pouvons demander une preuve d’identité en cas de doute raisonnable sur l’auteur — jamais un document de santé.
• Voie de recours : CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris cedex 07.

Nous ne pouvons pas te proposer de couper la synchronisation iCloud depuis l’app. Tu peux en revanche retirer l’accès Santé, couper les partages de l’assistant, et limiter caméra, photos, micro, position, calendrier, rappels, Maison et musique dans Réglages iOS.

L’essentiel de tes données est protégé par ce qui protège ton appareil et ton compte iCloud : chiffrement au repos géré par iOS et par CloudKit, trousseau pour les clés, verrouillage de l’appareil. Leum ne chiffre pas de champ de manière spécifique au-delà de ce que fournit iCloud, et ne revendique donc pas de chiffrement de bout en bout.

Côté service, les échanges sont authentifiés (attestation d’app, signature des requêtes), chiffrés en transit, et limités : le service ne stocke pas le contenu des échanges et ne journalise pas les messages. Les identifiants sont journalisés sous forme chiffrée. Les secrets de nos prestataires sont hors du code publié et hors de l’application.

En cas de violation de données susceptibles d’engendrer un risque pour tes droits et libertés, nous t’en notifions dans les meilleurs délais, et au plus tard dans les conditions des articles 33 et 34 du RGPD, par un message dans l’app ou par e-mail si nous en avons un. Les questions de sécurité s’adressent à [email protected].

Leum n’est pas destiné aux enfants de moins de 16 ans, ne leur est pas commercialisé, et ne collecte pas sciemment leurs données. Nous ne disposons d’aucun mécanisme de vérification d’âge à l’installation.

La seule protection technique existante est le blocage des cibles nutritionnelles automatiques (calories et macros calculées toutes seules) lorsqu’un profil a moins de 18 ans. Un abonnement, des données de santé et un assistant sans filtre parental peuvent coexister sur un même compte : nous comptons sur la responsabilité de l’adulte qui installe l’app, et nous te demandons de ne pas la partager avec un enfant sans en parler.

Cette politique peut être mise à jour. La date en haut de page fait foi ; les modifications substantielles sont signalées dans l’app et, pour un abonné, notifiées à l’avance avant de t’être opposables — le préavis est décrit dans les conditions d’utilisation. L’historique des versions reste consultable sur demande.

Conditions d’utilisation · Politique des Actions · Abonnement · Remboursement · Suppression de compte · Usage de l’assistant · Mentions légales. Dans l’app : Réglages > À propos.