Politique de Confidentialité

1. Qui sommes-nous ?

Yugen Tech (ci-après « nous » ou « Yugen Tech ») est une application de bien-être et d'accompagnement du quotidien destinée aux adultes neuroatypiques (TDAH, HP/TDAH, TND). Nous nous engageons à protéger vos données personnelles avec la plus grande rigueur.

Yugen n'est pas un dispositif médical. Il ne pose aucun diagnostic, ne délivre aucun traitement, et ne remplace en aucun cas un suivi médical ou psychologique professionnel.

Yugen intègre des assistants conversationnels propulsés par l'intelligence artificielle : Yü dans l'application et Yö sur les plateformes de messagerie tierces (notamment TikTok DM). Toutes les interactions avec ces systèmes sont clairement identifiées comme automatisées et ne constituent en aucun cas un avis médical (cf. Article 8 ci-dessous).

Responsable de traitement :

• Société : Yugen Tech (SASU)
• Email de contact : contact@yugen-app.com
• Délégué à la Protection des Données (DPO) : Jean-Baptiste — dpo@yugen-app.com
• Assistance technique : support@yugen-app.com
• Hébergement : Scaleway (France / Union Européenne)

2. Données collectées

2.1 Données que vous nous communiquez

• Compte utilisateur : adresse e-mail, pseudonyme, préférences d'accessibilité
• Parcours d'onboarding : réponses aux micro-sondages contextuels et au parcours Psycho-parcours (sans étiquette médicale, uniquement des préférences de navigation)
• Interactions avec l'application : routines, habitudes atomiques, sessions d'ancrage corporel, utilisation du SAS de décompression
• Préférences narratives : choix liés à l'Arc narratif, au vocabulaire de l'application, au son et à l'ambiance
• Conversations avec Yü : contenu des messages échangés, horodatages, langue, préférences conversationnelles
• Conversations avec Yö : contenu des messages échangés via les plateformes tierces (TikTok DM), identifiant de la plateforme, horodatages, métadonnées de conversation

2.2 Données collectées automatiquement

• Données techniques : type d'appareil, système d'exploitation, version de l'app
• Données d'usage anonymisées : temps de session, fonctionnalités utilisées, taux de complétion des routines (via PostHog)
• Logs d'infrastructure : journaux de serveur à des fins de diagnostic et de sécurité
• Rapports de plantage : en cas d'erreur non gérée, un rapport technique est transmis à Sentry (type d'appareil, système, version de l'application, pile d'appel, empreinte du commit). Votre adresse e-mail et votre adresse IP en sont retirées avant l'envoi, et l'enregistrement de session est désactivé.
• Événement de plantage : le même incident déclenche un événement app_unhandled_error dans PostHog (origine, nom et message de l'erreur, extrait de la pile de composants), rattaché à votre identifiant de mesure d'audience. Il n'est émis que si vous avez accepté la mesure d'audience.

2.3 Ce que nous ne collectons PAS

• ❌ Aucun diagnostic médical ou psychiatrique
• ❌ Aucune donnée de localisation précise
• ❌ Aucune donnée biométrique
• ❌ Aucun accès à vos contacts ou à votre galerie photo sans consentement explicite

2.4 Formulaire d'inscription Bêta

Le formulaire d'inscription à la bêta Yugen collecte des informations permettant de personnaliser votre expérience. Aucune donnée de santé au sens de l'article 9 du RGPD n'est collectée via ce formulaire : les questions portent uniquement sur vos préférences d'usage, vos attentes vis-à-vis de l'application et la façon dont vous nous avez connus.

• Base légale : consentement (Art. 6.1(a) RGPD), recueilli via une case à cocher dédiée
• Finalités : personnalisation de l'accompagnement, invitation à la bêta, et mesure de l'origine des inscriptions (savoir par quel canal vous nous avez connus)
• Données collectées : prénom, adresse e-mail, situation professionnelle, préférences d'usage, mode d'accompagnement souhaité, type de téléphone déclaré (iPhone, Android ou autre), canal par lequel vous avez connu Yugen (TikTok, Instagram, recherche web, bouche-à-oreille, autrement, ou « je préfère ne pas dire »)
• Durée de conservation : 24 mois maximum après la collecte, ou jusqu'à retrait du consentement
• Sous-traitants : Supabase (hébergement de la base de données qui conserve vos réponses, région eu-west-3 à Paris), Brevo / Sendinblue (envoi des emails d'invitation et de rappel — société française, données traitées dans l'UE) et Notion (suivi interne du parcours d'inscription : ni votre prénom ni votre adresse e-mail ne lui sont transmis, seulement une référence sans identité et vos réponses au questionnaire ; données hébergées dans l'UE selon leur DPA)
• Retrait du consentement : à tout moment via le lien de désinscription présent dans chaque email, ou sur simple demande à contact@yugen-app.com

3. Finalités et bases légales des traitements

Vos données sont traitées exclusivement pour :

• Exécution du contrat (Art. 6.1.b RGPD) : gestion de votre compte, personnalisation de l'expérience, fonctionnement de l'application
• Intérêt légitime (Art. 6.1.f RGPD) : amélioration du Service, sécurité de l'infrastructure, statistiques anonymisées
• Consentement (Art. 6.1.a RGPD) : cookies analytiques, communications marketing
• Consentement (Art. 6.1(a) RGPD) : traitement des données collectées via le formulaire d'inscription Bêta (préférences d'usage et origine de l'inscription)
• Consentement explicite (Art. 6.1(a) RGPD) : traitement des données issues des interactions avec Yö sur plateformes tierces

4. Infrastructure et sous-traitants

🇫🇷 L'infrastructure de Yugen est hébergée en France / Union Européenne.
Le site et l'application sont servis depuis les datacenters français de Scaleway (région Paris), et la base de données est hébergée dans l'UE.

Nous faisons appel aux sous-traitants suivants :

• Scaleway — hébergement du site et de l'application (France, région Paris)
• Supabase — base de données et authentification (Union européenne, région eu-west-3 à Paris)
• Mistral AI — génération des réponses de Yü. Ce que vous écrivez à Yü lui est transmis le temps de produire sa réponse. Société française, données traitées dans l'Union européenne.
• PostHog — mesure d'audience, uniquement si vous y avez consenti (instance européenne)
• Sentry — rapports de plantage, sans votre adresse e-mail ni votre adresse IP (instance européenne, Allemagne)
• Brevo — envoi des e-mails d'invitation et de rappel (société française, données traitées dans l'UE)
• Notion — suivi interne du parcours d'inscription, sans votre prénom ni votre adresse e-mail (données hébergées dans l'UE selon leur DPA)
• Apple — distribution de la version de test sur iPhone (TestFlight), que vous rejoignez avec votre propre compte Apple, et hébergement aux États-Unis des retours des testeurs. Nous ne lui transmettons aucune donnée d'inscription ; voir le paragraphe ci-dessous.

Bêta iPhone : la version de test pour iPhone est distribuée par TestFlight, le service d'Apple. Nous ne transmettons à Apple ni votre prénom ni votre adresse e-mail. L'e-mail qui vous annonce votre place contient un bouton qui confirme votre adresse et ouvre, depuis votre iPhone, la page TestFlight de la bêta : vous la rejoignez avec votre propre compte Apple, dans les conditions d'Apple (Apple Inc., États-Unis). Par TestFlight, Apple met à notre disposition dans App Store Connect, qu'elle héberge aux États-Unis : les commentaires et captures d'écran que vous choisissez d'envoyer, les rapports de plantage, le modèle de votre appareil et la version d'iOS, ainsi que des statistiques d'usage de la bêta (installations, sessions). Pour quitter la bêta, touchez « Arrêter les tests » dans TestFlight ; pour faire effacer un retour, écrivez à notre DPO (dpo@yugen-app.com).

Une autre exception, soumise à votre consentement : si vous acceptez la mesure d'audience, le pixel TikTok transmet des données de navigation (pages consultées, conversions) à TikTok, destinataire établi hors Union européenne. Ce transfert est encadré par les garanties contractuelles de l'accord de traitement des données de TikTok. Il n'a jamais lieu si vous refusez le bandeau, et vous pouvez revenir sur votre choix à tout moment via « Gérer mes cookies », en pied de page.

5. Durées de conservation

Conformément au principe de limitation de la conservation (Art. 5(1)(e) RGPD) et aux recommandations de la CNIL, vos données sont conservées uniquement pour la durée nécessaire aux finalités décrites ci-dessus.

5.1 Base active

• Compte utilisateur et données de l'application : durée de la relation contractuelle + 36 mois après la dernière activité (recommandation CNIL pour les comptes clients inactifs)
• Conversations avec Yü : durée de la relation contractuelle, supprimées à la clôture du compte
• Mémoire sémantique (insights d'accompagnement) : 180 jours maximum à compter du dernier enregistrement, puis purge automatique — aucun verbatim émotionnel de détresse n'y est stocké
• Conversations avec Yö (TikTok DM) : 12 mois après le dernier échange, ou jusqu'au retrait du consentement
• Formulaire d'inscription Bêta : 24 mois maximum après la collecte, ou jusqu'au retrait du consentement
• Préférences narratives et d'accessibilité : durée de vie du compte

5.2 Cookies et analytics

• Cookies analytiques (PostHog) : durée de vie du cookie de 13 mois maximum (conformément aux lignes directrices CNIL « cookies et traceurs »)
• Données collectées via les cookies analytiques : 25 mois maximum à compter de la collecte
• Pixel TikTok : soumis aux mêmes règles que les cookies analytiques (13 mois / 25 mois)

5.3 Marketing et prospection

• Communications marketing (emails) : 3 ans (36 mois) à compter du dernier contact actif de la personne (conformément à la recommandation CNIL relative à la prospection commerciale)
• Données de prospection (liste d'attente) : 24 mois maximum, ou jusqu'au retrait du consentement

5.4 Données techniques et sécurité

• Logs d'infrastructure : 12 mois (conformément aux obligations légales de conservation des journaux de connexion)
• Journaux de sécurité IA (détection de détresse) : pseudonymisés (empreinte hachée du texte, sans contenu en clair), 12 mois pour la traçabilité de sécurité, puis purge automatique
• Événements techniques du dialogue (fallbacks IA) : 30 jours, puis purge automatique
• Données d'usage anonymisées : sans limitation de durée (les données anonymisées ne constituent plus des données personnelles au sens du RGPD)

5.5 Comptes inactifs

Un compte est considéré comme inactif après 30 mois sans connexion. Un processus d'avertissement progressif est alors déclenché (M30, M33, M35). Passé 36 mois d'inactivité et après 3 avertissements, le compte et ses données sont définitivement purgés.

6. Vos droits RGPD

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès (Art. 15) : obtenir une copie de vos données
• Droit de rectification (Art. 16) : corriger des données inexactes
• Droit à l'effacement (Art. 17) : demander la suppression de votre compte et de vos données
• Droit à la portabilité (Art. 20) : recevoir vos données dans un format structuré
• Droit d'opposition (Art. 21) : s'opposer à certains traitements
• Droit à la limitation (Art. 18) : geler temporairement un traitement
• Droit de retirer votre consentement à tout moment, sans frais

Pour exercer vos droits, contactez notre DPO : dpo@yugen-app.com — Réponse garantie sous 30 jours.

Vous pouvez également introduire une réclamation auprès de la CNIL : www.cnil.fr

7. Sécurité des données

Nous appliquons les mesures techniques et organisationnelles suivantes :

• 🔐 Chiffrement : données chiffrées en transit (TLS 1.3) et au repos (AES-256)
• 🔑 Authentification : gestion sécurisée via Supabase Auth
• 🛡️ Monitoring continu : surveillance en temps réel de l'intégrité de l'infrastructure
• 💾 Sauvegardes automatisées : backups réguliers selon la stratégie de résilience Yugen
• 📋 Plan de réponse aux incidents : procédure de notification RGPD sous 72h en cas de violation (Art. 33)

8. Cookies et traceurs

Vous pouvez gérer vos préférences depuis les paramètres de l'application ou via la bannière de consentement.

9. Intelligence artificielle et traitements automatisés

9.1 Assistants conversationnels IA

L'Application Yugen intègre des assistants conversationnels propulsés par des modèles d'intelligence artificielle générative :

• Yü — Compagnon IA intégré à l'Application, fournissant un accompagnement personnalisé, des suggestions contextuelles et un soutien émotionnel adaptatif.
• Yö — Assistant automatisé sur plateformes tierces (notamment TikTok DM), fournissant de l'information, de l'accompagnement et du contenu de psychoéducation relatif au TDAH. Les interactions avec Yö sont entièrement automatisées et l'Utilisateur·rice en est informé·e dès le premier message.

Conformément au Règlement européen sur l'intelligence artificielle (AI Act, Règlement (UE) 2024/1689) et au Digital Services Act (DSA) :

• Les réponses de Yü et Yö sont générées automatiquement par des algorithmes d'IA et ne proviennent pas d'un être humain ;
• L'Utilisateur·rice est informé·e dès le premier échange qu'il ou elle interagit avec un système automatisé ;
• Les contenus générés par l'IA sont clairement identifiés comme tels ;
• Yü et Yö ne fournissent aucun avis médical, aucun diagnostic et aucun suivi thérapeutique.

9.2 Protection des données dans le cadre de l'IA

• PII scrubbing : les identifiants personnels détectés dans le texte (email, téléphone) sont retirés avant l'envoi aux modèles d'IA
• Aucun verbatim émotionnel conservé côté serveur : le Refuge applique la minimisation des données — aucun extrait de conversation ni empreinte sémantique de détresse n'est persisté
• Aucune donnée brute de conversation n'est stockée par les fournisseurs de modèles IA
• Les modèles d'IA ne sont pas entraînés sur les données de conversation des Utilisateur·rices
• Les données transitant vers les modèles sont chiffrées en transit (TLS 1.3)
• Une analyse d'impact (AIPD) a été réalisée pour ce traitement à risque ; elle est disponible sur demande auprès du DPO (dpo@yugen-app.com)

9.3 Safety detect — Détection de détresse

Yü et Yö intègrent un mécanisme de détection de détresse qui redirige automatiquement l'Utilisateur·rice vers les ressources d'urgence appropriées :

• SAMU : 15
• Numéro d'urgence européen : 112
• Numéro national de prévention du suicide : 3114

9.4 Droits spécifiques liés aux traitements automatisés (Art. 22 RGPD)

• Droit d'information : être informé·e de l'existence et de la logique sous-jacente du traitement automatisé
• Droit de contestation : contester une réponse ou une recommandation générée par l'IA
• Droit d'intervention humaine : demander qu'une réponse soit revue par un être humain
• Droit de retrait : l'usage des fonctionnalités IA (le dialogue avec Yü) est facultatif — vous pouvez cesser de les utiliser à tout moment et demander la suppression de votre compte et des conversations associées

Pour exercer ces droits : dpo@yugen-app.com

10. Mineurs

L'application Yugen est destinée aux adultes (18 ans et plus). Nous ne collectons pas sciemment de données concernant des mineurs. Si vous êtes parent et constatez qu'un mineur a créé un compte, écrivez à notre DPO : dpo@yugen-app.com. La demande est traitée comme un effacement (Art. 17 RGPD), sous 30 jours.

11. Modifications de la politique

Nous nous réservons le droit de mettre à jour cette politique. Toute modification substantielle sera notifiée :

• Par notification in-app
• Par e-mail (pour les comptes actifs)

La date de dernière mise à jour figure toujours en en-tête de ce document.

12. Contact

Pour toute question relative à la protection de vos données, ou pour un problème technique :

• Protection des données, exercice de vos droits (DPO) : dpo@yugen-app.com
• Assistance technique : support@yugen-app.com
• Toute autre question : contact@yugen-app.com
• Adresse postale : 59, rue de Ponthieu, Bureau 326, 75008 Paris, France