Politique de confidentialité

Date d’entrée en vigueur : 15 octobre 2026

Metriform (« l'application », « nous ») est une application de fitness et de nutrition. La présente politique décrit quelles données l'application collecte, pourquoi et ce qu'il en advient. Nous expliquons cela brièvement car l'utilisation des données est simple : vos données servent uniquement à faire fonctionner l'application pour vous, et à rien d'autre.

Ce que nous collectons

Compte : votre adresse e-mail et vos identifiants d'authentification (Se connecter avec Apple / Google / e-mail).
Profil que vous renseignez : âge, sexe, taille, poids, objectifs, expérience d'entraînement, préférences alimentaires, allergies, liste de compléments et données optionnelles relatives au cycle menstruel.
Ce que vous enregistrez : séances d'entraînement, séries et charges, repas, eau, poids corporel, bilans quotidiens.
Ce que vous enregistrez dans l'application : les repas et activités sauvegardés (préréglages, y compris une photo que vous y associez), vos compléments, votre garde-manger, votre bibliothèque de recettes, votre liste de courses (ce que vous cochez comme acheté, ce que vous avez à la maison, vos propres articles, les tailles d'emballage de votre magasin et les réglages des noms en magasin), vos réglages de chef et d'entraînement, vos préférences d'exercices, les réglages de l'application (langue, unités, thème, rappels, taille du verre) et vos 100 derniers messages avec l'assistant sont stockés avec votre compte afin de rester disponibles après une réinstallation ou sur un autre téléphone. Ils sont supprimés avec votre compte. Si vous activez les noms des magasins dans la liste de courses (Pro), l'application utilise aussi le pays du fuseau horaire et de la région de votre téléphone (ou celui que vous choisissez), et non votre position, et envoie ce code pays et les types de produits de la liste pour trouver les noms, ainsi que, si vous autorisez le traitement par l'IA, les noms des articles que vous avez ajoutés vous-même.
Photos de repas : si vous photographiez un repas ou votre réfrigérateur, après avoir autorisé le traitement par IA, la photo est envoyée à un modèle d'IA pour identifier les aliments. Les images de repas que vous enregistrez sont stockées avec votre compte.
Saisie vocale : lorsque vous choisissez d'envoyer un enregistrement audio et autorisez le traitement par IA, l'enregistrement audio est envoyé via notre serveur pour transcription. Le texte résultant peut être utilisé pour votre saisie de repas ou votre message à l'assistant.
Apple Health (facultatif, avec votre autorisation) : pas, sommeil, entraînements, poids et taille, énergie active, variabilité de la fréquence cardiaque (SDNN), fréquence cardiaque au repos, données menstruelles et humeur enregistrée lorsqu’elle est disponible. Nous ne lisons que les données que vous autorisez, pour effectuer des calculs sur votre appareil et afficher l’historique de sommeil ainsi que notre estimation expérimentale de la récupération. Pour cet historique, les observations de sommeil, de SDNN et de fréquence cardiaque au repos comprennent l’heure des mesures ainsi que les noms et identifiants des applications sources.
Balances connectées (optionnel, dans les versions bêta compatibles) : avec l'autorisation Bluetooth, l'application peut lire les mesures de poids des balances prises en charge lorsqu'elle est ouverte. Nous traitons le poids, l'heure de mesure, le nom de la source et l'identifiant de mesure, et conservons l'appareil sélectionné localement. La Xiaomi S400 nécessite une clé d'appareil et une adresse Bluetooth. Vous pouvez les saisir manuellement ou les récupérer via la connexion optionnelle Xiaomi. Le mot de passe est saisi sur la propre page de Xiaomi ; Metriform ne le reçoit pas. L'application demande votre liste d'appareils, la clé de la balance compatible sélectionnée et, lorsqu'il est pris en charge, l'historique de poids directement à Xiaomi. L'historique peut inclure plusieurs profils familiaux ; leurs noms et leurs mesures sont traités sur votre téléphone afin que vous puissiez choisir votre profil. Seul le dernier poids valide issu du profil et de la balance sélectionnés peut être importé, avec sa date de mesure d'origine. Les enregistrements manuels dans Metriform ne sont pas écrasés. L'historique cloud nécessite un accès Internet ; les lectures directes par Bluetooth restent une option distincte.
Balances Withings (optionnel, lorsque cette connexion bêta est activée) : après vous être connecté à Metriform et avoir autorisé l'accès sur la propre page de Withings, notre serveur demande les mesures de poids des 21 derniers jours et les informations sur les appareils associés afin de vérifier qu'elles proviennent de vos balances. Seul le dernier poids éligible est proposé à l'importation, avec son heure de mesure d'origine, sa source et un identifiant de mesure opaque. Les enregistrements manuels dans Metriform ne sont pas écrasés. Cela utilise des données déjà transmises à Withings, nécessite un accès Internet et ne lit pas la balance directement via Bluetooth. Nous ne recevons pas votre mot de passe Withings et ne lisons pas les mesures de masse grasse, d'ECG, de pouls, de sommeil ou de récupération via cette connexion.
Événements de l'application et activité intégrée : événements techniques internes (ex. « plan généré », numéro de build de l'application, erreurs) et façon dont l'application est utilisée — quels écrans et étapes sont ouverts, ce sur quoi vous appuyez (le libellé correspondant), quels champs de texte ont été remplis (pas ce que vous saisissez), les valeurs sélectionnées sur les molettes et curseurs, les fiches et alertes affichées, le fait qu'une photo ou une note vocale a été jointe (pas la photo ou l'enregistrement lui-même dans ce journal), et le moment où l'application passe en arrière-plan. Un identifiant d'installation aléatoire (et non un identifiant publicitaire) lie les actions que vous effectuez avant de vous connecter, comme l'intégration, à votre compte. Il est stocké dans notre propre base de données, utilisé uniquement pour corriger des bugs et améliorer l'application, et les activités datant de plus de 90 jours sont supprimées. Les événements de configuration et d'historique Xiaomi ainsi que les événements de connexion/synchronisation Withings enregistrent l'étape, le résultat, un motif général et des comptages le cas échéant. Ils ne contiennent aucune valeur ou date de mesure, nom de profil, identité de compte Xiaomi ou Withings, nom ou identifiant d'appareil, clé de connexion, enregistrement d'accès chiffré, adresse, lien de connexion ou jeton. Les événements d'historique de récupération enregistrent les résultats, les motifs généraux, les comptages et les indicateurs de disponibilité des données. Les appuis sur les cartes de récupération et les lignes d'historique utilisent un nom de contrôle fixe ; ces enregistrements ne contiennent aucune valeur de santé, date de mesure ou identifiant de source. Nous n'utilisons aucun SDK tiers d'analyse, de publicité ou de suivi.
Inscription à l'accès anticipé (site web) : si vous laissez votre e-mail sur metriform.app, nous le conservons avec la langue de la page pour vous inviter à la bêta, et notre équipe reçoit une notification par e-mail de l'inscription. Il n'est utilisé pour rien d'autre ; écrivez à support@metriform.app pour le faire supprimer.

Ce que nous en faisons

Générer et adapter votre programme d'entraînement, votre plan alimentaire et vos objectifs quotidiens.
Afficher le sommeil et une estimation expliquée de la récupération à partir de vos bilans du matin validés et des mesures Santé disponibles. Cette estimation expérimentale de 0 à 100 est calculée sur votre appareil, sans requête IA ; il ne s'agit ni d'une évaluation médicale, ni d'un score Garmin ou Apple.
Après votre autorisation de traitement par l’IA, notre serveur transmet les informations admissibles que vous saisissez vous-même, ainsi que les textes, photos de repas ou enregistrements vocaux que vous choisissez d’envoyer, afin de générer des programmes, d’analyser des repas et de répondre à vos questions. Le fournisseur du modèle est Google (Gemini). Replicate traite les descriptions admissibles de plats pour générer des images illustrant les repas et, avec Pro, un nom de produit en anglais que l’IA tire d’un article que vous avez ajouté vous-même à votre liste de courses, pour en créer la photo, conservée avec votre compte pendant 30 jours au maximum. Lorsque vous demandez un menu, un autre plat ou une recette avec vos ingrédients, nous transmettons aussi les objectifs de calories, de protéines, de glucides et de lipides sélectionnés dans l’application pour la journée ou le repas. Ces valeurs pour les recettes peuvent avoir été calculées sur votre appareil à partir de données importées. Les mesures d’origine de poids, de sommeil, de pouls, de HRV et les autres données d’Apple Health ou des balances, leur historique et les autres estimations ou synthèses sont exclus des demandes automatiques à l’IA. Les données d’origine inconnue et les anciens textes personnalisés ne sont pas réutilisés automatiquement. Les informations que vous saisissez délibérément ou incluez dans une photo ou un enregistrement envoyé font partie du contenu que vous choisissez de partager. Les demandes passent par notre serveur ; nos clés API et les instructions destinées au modèle y restent. Les instructions publiques d’exercices et les textes des nouveaux menus issus de données admissibles peuvent également être traduits dans la langue sélectionnée dans l’application.
Avant la première requête IA, nous expliquons les destinataires, la finalité et les catégories de données. Vous pouvez refuser et utiliser le suivi manuel. Votre choix est stocké avec votre compte, ou sur l'appareil avant votre connexion, et peut être modifié dans les Paramètres. Votre choix en mode invité ne vaut pas autorisation pour un nouveau compte. Les autorisations Apple Health sont distinctes de l'autorisation IA.
Si vous associez un partenaire du foyer, votre prénom, votre objectif calorique quotidien et votre progression du jour sont visibles par ce partenaire (et les siens par vous).

Ce que nous ne faisons jamais

Nous ne vendons pas vos données. À personne.
Nous n'utilisons pas vos données à des fins publicitaires. En particulier, les données Apple Health ne sont jamais utilisées pour la publicité, le marketing ou l'exploration de données (data mining), et ne sont jamais vendues. Le traitement nécessaire à la fourniture des fonctionnalités demandées de l'application est décrit ci-dessus ; le simple fait de connecter Santé n'accorde pas l'autorisation IA.
Nous n'exécutons aucun SDK tiers de publicité ou de suivi.

Où résident vos données

Les données sont stockées chez Supabase (hébergé sur AWS, région UE — Irlande). Les paiements sont traités par Apple ; nous ne voyons jamais les coordonnées de votre carte bancaire. Les enregistrements relatifs au statut de votre abonnement proviennent de RevenueCat. Les notifications d'inscription à l'accès anticipé parviennent à notre équipe via Cloudflare Email Routing vers la boîte e-mail Google (Gmail) de l'équipe.

Les nouveaux diagnostics de requête IA enregistrent les résultats, les motifs généraux d'échec, les comptages et la chronologie. Ils ne conservent ni vos prompts, ni vos enregistrements, ni vos photos, ni les réponses complètes de l'IA. Les traces d'assurance qualité (QA) optionnelles enregistrent la métadonnée des requêtes plutôt que le contenu d'une requête ou d'une réponse. La suppression du compte retire le compte et ses photos privées téléversées ; un nettoyage ayant échoué doit être réessayé avant que la suppression ne puisse s'achever. Les caches d'images de repas générées et partagées ne sont pas des téléversements privés de compte.

Les observations datées de Health utilisées pour le sommeil et la récupération restent dans le stockage local de l’application. Chaque actualisation réussie remplace cette copie par les observations accessibles des 90 derniers jours calendaires, avec l’heure des mesures et les détails de leur origine. Cette fonctionnalité ne transmet ni cet historique ni la note calculée à nos serveurs ou aux fournisseurs d’IA. Les bilans matinaux terminés, y compris une durée de sommeil de Health que vous confirmez dans le formulaire, sont enregistrés localement et synchronisés avec votre compte Supabase ; jusqu’à 90 jours de bilans sont restaurés dans l’application après la connexion. Les valeurs importées restent exclues des demandes automatiques à l’IA, même lorsqu’elles sont enregistrées dans un profil ou un bilan. Les scores de récupération et les autres synthèses restent également exclus. La seule exception pour les objectifs alimentaires calculés sur l’appareil concerne les valeurs sélectionnées pour les recettes, transmises lorsque vous demandez un menu ou une recette, comme décrit ci-dessus. Elles n’incluent ni les mesures d’origine ni l’historique de récupération.

Les détails de connexion de la balance Bluetooth restent sur votre appareil. La clé de la balance sélectionnée et son adresse Bluetooth sont conservées dans son stockage sécurisé. Si vous connectez l'historique Xiaomi Home, le stockage sécurisé du téléphone conserve également le jeton de session, le secret de signature et les identifiants de compte, de région, d'appareil et de profil sélectionné nécessaires pour relire cet historique. Metriform ne reçoit ni ne sauvegarde votre mot de passe Xiaomi. Les données temporaires de connexion sont effacées lorsque la configuration prend fin, est annulée ou expire ; seul l'accès de la connexion sélectionnée est conservé. Une autorisation Xiaomi expirée nécessite une nouvelle connexion. Ces détails d'accès, listes d'appareils et de profils, clé de balance et adresse Bluetooth ne sont pas envoyés à nos serveurs, outils d'analyse ou fournisseurs d'IA. Xiaomi gère sa propre page de connexion et ses propres cookies de navigateur.

Pour Withings, notre serveur traite temporairement le code d'autorisation, les jetons d'accès et de rafraîchissement, l'identifiant du compte autorisé, les informations relatives aux appareils associés et les mesures de poids demandées afin d'échanger l'accès et de renvoyer votre dernière mesure éligible. Il renvoie l'accès sous la forme d'un enregistrement chiffré lié à votre compte Metriform, enregistré uniquement dans le stockage sécurisé de votre téléphone. L'application renvoie cet enregistrement chiffré au serveur pour les lectures ultérieures ou le rafraîchissement des jetons ; aucune table de jetons ni liste d'appareils Withings n'est conservée dans notre base de données. Les mots de passe Withings ne sont jamais reçus. Les secrets de connexion, les enregistrements d'accès chiffrés et les identifiants Withings bruts ne sont pas envoyés aux fournisseurs d'IA ni inscrits dans nos journaux d'événements techniques. Withings gère sa propre page de connexion, ses cookies de navigateur et les mesures d'origine au sein de son service.

Les enregistrements de poids importés, y compris les mesures Withings acceptées, sont stockés localement et peuvent se synchroniser avec votre compte ; leur poids, date, source et identifiant de mesure peuvent être stockés avec Supabase. Les valeurs de poids importées peuvent servir aux calculs sur votre appareil. Les objectifs de calories et de macronutriments sélectionnés peuvent être transmis lorsque vous demandez un menu ou une recette, comme décrit ci-dessus. Les enregistrements de poids d’origine et les autres calculs qui en découlent restent exclus des demandes automatiques à l’IA.

Suppression de vos données

Paramètres → Supprimer le compte supprime votre compte et toutes les données associées de nos serveurs. Les lignes de comptabilité analytique sont conservées sous forme anonymisée (aucun lien avec vous). Vous pouvez également écrire à support@metriform.app et nous supprimerons vos données manuellement.

Vous déconnecter, changer de compte ou supprimer votre compte efface l'historique local de récupération Santé et les bilans du matin. Vous re-connecter restaure les bilans du matin synchronisés depuis votre compte et, lorsque Santé est connecté, relit l'historique Santé autorisé. Cela ne supprime pas les enregistrements d'origine dans Apple Health. Vous pouvez modifier les autorisations Santé dans iOS ; une actualisation réussie retire de la copie locale de l'application les observations qui ne sont plus lisibles.

Déconnecter une balance supprime ses détails de connexion locaux, la clé d'appareil, l'accès à l'historique Xiaomi sauvegardé ou l'accès chiffré Withings ; cela ne supprime pas les enregistrements de poids déjà importés dans votre journal. Vous déconnecter ou supprimer votre compte efface également la connexion locale de la balance, la clé et l'accès à l'historique Xiaomi sauvegardé ou l'accès chiffré Withings. Si le téléphone empêche temporairement la suppression sécurisée, nous conservons une référence aux données en attente de suppression et réessayons. La déconnexion désactive immédiatement la connexion ; une suppression ayant échoué dans les Paramètres peut y être réessayée. Le retrait de Withings stoppe les lectures futures par Metriform mais ne délie pas votre balance, ne supprime pas les données dans Withings et n'y révoque pas votre consentement. Vous pouvez révoquer séparément l'accès de Metriform dans Withings. Utilisez la suppression de compte pour retirer les enregistrements associés de nos serveurs.

Vos droits

Vous pouvez demander une copie de vos données, une rectification ou une suppression à tout moment via support@metriform.app. Si vous résidez dans l'UE/EEE, il s'agit de vos droits au titre du RGPD ; nous les respectons pour tous.

Modifications

Si la présente politique fait l'objet de modifications substantielles, la date d'entrée en vigueur ci-dessus sera modifiée et l'application renverra vers la nouvelle version.