Politique de confidentialité
Version du 23 octobre 2026.
Tes données de santé sont chiffrées sur ton iPhone avec une clé qui n'en sort jamais. Le relais les stocke sans pouvoir les lire, et l'éditeur non plus.
Il n'y a ni compte nominatif, ni email, ni publicité, ni mesure d'audience, ni cookie.
Tu supprimes tout ce que le relais garde depuis l'app : Réglages, « Supprimer mon compte ».
1. Qui est responsable
Le responsable du traitement est Julien Renaud, développeur indépendant, éditeur de Relay.
- Adresse : [À COMPLÉTER : adresse postale]
- SIRET : [À COMPLÉTER : SIRET, s'il existe]
- Contact : support@relay-agent.app
2. Ce que couvre cette politique
Elle couvre l'app iPhone Relay, le relais hébergé par l'éditeur à l'adresse relay.relay-agent.app et ce site. Elle ne couvre pas ton agent IA ni la machine où tourne relay-agent : c'est toi qui les fais tourner (voir la section 9).
Si tu utilises un relais que tu héberges toi-même, l'éditeur ne reçoit aucune de tes données. Seuls l'achat intégré éventuel et cette politique pour l'app restent concernés.
3. Tes données de santé
Avec ton autorisation, donnée dans iOS, l'app lit dans Apple Health :
- pas, énergie active et au repos, minutes d'exercice ;
- énergie, protéines, glucides, lipides et eau consommés ;
- poids et taille ;
- sommeil par phase, fréquence cardiaque au repos, variabilité cardiaque ;
- séances d'entraînement, avec la fréquence cardiaque pendant la séance, et pour la course, la marche, la randonnée et le vélo, le tracé GPS.
Ce sont des données concernant la santé, une catégorie particulière au sens de l'article 9 du RGPD. Le tracé GPS révèle aussi des lieux.
L'app les chiffre sur ton iPhone avec AES-256-GCM avant tout envoi. La clé de 256 bits est générée sur l'iPhone, gardée dans son trousseau, jamais synchronisée avec iCloud et jamais envoyée au relais. Seuls l'app et les agents que tu as reliés la connaissent.
4. Ce que le relais stocke exactement
| Donnée | Lisible par l'éditeur ? |
|---|---|
| Identifiant de compte : 26 caractères tirés au hasard par l'app | Oui |
| Empreinte SHA-256 du jeton d'accès (le jeton lui-même n'est pas gardé) | Oui, l'empreinte seulement |
| Date de création du compte et date de la dernière requête | Oui |
| Contenu des lots de données (santé, séances, état de la synchro, séances planifiées par ton agent) | Non, chiffré de bout en bout |
Nom de chaque lot (type de donnée et mois, par exemple metriques/step_count/2026-10.json ; pour une séance, sa date et son identifiant), taille et date de dépôt | Oui |
| Jeton de notification Apple (APNs) de l'iPhone et son environnement | Oui |
| Abonnement : date de fin et identifiant d'origine de la transaction App Store | Oui |
| Dates des réveils de l'iPhone demandés par ton agent | Oui |
| Sessions d'appairage : clés publiques éphémères de l'agent et de l'app, phrase d'appairage chiffrée | Les clés publiques oui, la phrase non |
Le lot chiffré « état de la synchro » contient l'heure de la synchro, l'heure du dernier échantillon par type, le nom de l'iPhone et les dernières lignes du journal de l'app. Il n'est lisible que par ton agent.
En plus, le serveur traite :
- un journal technique : pour chaque requête, la méthode, le chemin (qui contient le nom du lot), le code de réponse, l'identifiant de compte et la durée. Il ne contient ni corps de requête, ni adresse IP, ni donnée de santé ;
- ton adresse IP, en mémoire seulement, pour limiter à dix par heure les créations de compte et les sessions d'appairage depuis une même adresse. Elle n'est jamais écrite sur disque ;
- des compteurs du jour : nombre de comptes actifs et de synchros, sans aucun identifiant.
5. Ce que l'éditeur ne peut pas lire
Ni le contenu des lots, ni la clé, ni la phrase d'appairage. Chaque lot est en plus lié à son nom et à ton compte : déplacé ou renommé, il ne se déchiffre plus. Si une autorité exigeait tes données, l'éditeur ne pourrait remettre que ce qui est marqué « Oui » dans le tableau ci-dessus.
6. Pourquoi, et sur quelle base
| Finalité | Base légale |
|---|---|
| Transmettre tes données chiffrées à ton agent, et ses séances à ta montre | Exécution du service que tu demandes (art. 6.1.b RGPD) ; pour les données de santé, ton consentement explicite (art. 9.2.a), donné en autorisant Santé dans iOS et en reliant un agent |
| Réveiller ton iPhone quand ton agent demande des données fraîches | Exécution du service (art. 6.1.b) |
| Vérifier ton abonnement | Exécution du contrat d'abonnement (art. 6.1.b) |
| Protéger le service : limites de débit, quotas, journal technique | Intérêt légitime de l'éditeur à garder un service sûr et disponible (art. 6.1.f) |
| Sauvegarder la base pour la restaurer après un incident | Intérêt légitime (art. 6.1.f) |
Tu retires ton consentement à tout moment : supprime ton compte depuis l'app, ou retire l'autorisation de Relay dans Réglages iOS, Santé.
Aucune donnée ne sert à la publicité, au profilage ou à l'entraînement d'un modèle d'IA. Rien n'est vendu.
7. Combien de temps
| Donnée | Durée |
|---|---|
| Lots de données de santé et de séances | 13 mois glissants : à chaque synchro, l'app retire du relais les lots antérieurs au mois en cours moins douze mois |
| État de la synchro et séances planifiées | Remplacés à chaque dépôt |
| Compte et tout ce qui s'y rattache | Jusqu'à ce que tu le supprimes, ou effacés automatiquement après 365 jours sans aucune requête de l'app ni de ton agent |
| Sessions d'appairage | Inutilisables après 10 minutes, effacées à la fin de l'appairage ou dans l'heure qui suit l'expiration |
| Dates des réveils | Une heure glissante ; les plus anciennes sont effacées au réveil suivant, et toutes avec le compte |
| Adresse IP | Une heure au plus, en mémoire |
| Journal technique | 30 jours |
| Sauvegardes de la base | Une par nuit, chiffrées ; on garde les 7 dernières quotidiennes et 4 hebdomadaires. Une donnée effacée disparaît des sauvegardes en cinq semaines environ |
| Sauvegarde automatique du serveur par OVHcloud | 7 jours (les sept dernières sauvegardes quotidiennes) |
Si l'app ne synchronise plus mais que ton agent continue d'interroger le relais, le compte reste actif et ses lots restent en place, toujours chiffrés. Supprime le compte depuis l'app pour tout effacer.
8. Qui reçoit des données
- OVHcloud (OVH SAS, Roubaix, France) héberge le relais sur un serveur en France et ses sauvegardes dans un stockage objet à Paris. C'est un sous-traitant au sens de l'article 28 du RGPD. Il ne reçoit que ce que stocke le relais : les lots de santé restent chiffrés.
- Apple achemine les notifications silencieuses : le relais lui envoie le jeton de ton iPhone et une notification vide, sans aucune donnée. Apple gère aussi l'achat de l'abonnement et son paiement, en tant que responsable de son propre traitement, selon sa politique de confidentialité. Le relais reçoit seulement la transaction signée par Apple, qu'il vérifie localement.
Le relais ne transfère aucune donnée hors de l'Union européenne. Apple peut traiter hors de l'Union les données qu'il gère lui-même, selon ses propres engagements.
9. Chez ton agent
Le client relay-agent déchiffre tes données sur la machine que tu choisis, avec la phrase d'appairage. À partir de là, elles sont sous ta responsabilité : l'éditeur n'y a pas accès. Si ton agent les envoie au fournisseur de son modèle (OpenAI, Anthropic, Google ou un autre), ce fournisseur les traite selon ses propres conditions.
La phrase d'appairage donne accès à toutes tes données. Garde-la dans un fichier lisible par toi seul : relay-agent refuse de démarrer si d'autres utilisateurs de la machine peuvent la lire. Ne la donne jamais au support.
10. Sécurité
- Chiffrement de bout en bout AES-256-GCM ; le transport passe en plus par HTTPS.
- Jeton d'accès gardé sous forme d'empreinte SHA-256 ; quotas et limites de débit par compte.
- Serveur accessible en SSH par clé seulement, mises à jour de sécurité automatiques, service isolé du reste du système.
- Code du relais public, pour que chacun puisse vérifier ce qui précède.
11. Tes droits
Tu as un droit d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition, et tu peux définir des directives sur le sort de tes données après ta mort.
- Effacement : dans l'app, Réglages, « Supprimer mon compte ». Le relais efface aussitôt le compte, tous ses lots, les dates de réveil, le jeton de notification et l'état d'abonnement. Les sauvegardes suivent dans les délais de la section 7. Tes données restent dans Santé, sur ton iPhone.
- Régénérer la phrase efface l'ancien compte du relais et en crée un nouveau, avec une nouvelle clé.
- Accès et portabilité : tes données de santé sont dans Santé sur ton iPhone, et
relay-agent syncles écrit en clair sur ta machine. Pour les données techniques de la section 4, écris au support. On te demandera de prouver que le compte est le tien, jamais ta phrase. - Abonnement : il se gère et se résilie dans les réglages de ton compte Apple. Supprimer ton compte Relay ne le résilie pas.
Écris à support@relay-agent.app. Réponse sous un mois au plus. Si tu estimes que tes droits ne sont pas respectés, tu peux saisir la CNIL : www.cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.
12. Cookies et traceurs
Ni ce site ni l'app n'utilisent de cookie, de traceur, de pixel ou d'outil de mesure d'audience. Ce site ne charge aucune ressource externe.
13. Âge
Relay n'est pas destiné aux personnes de moins de 15 ans.
14. Changements
Si cette politique change, la nouvelle version est publiée ici avec sa date.