Politique de Confidentialité

1. Responsable du traitement

Le responsable du traitement de vos données personnelles est :

• Benjamin Cohen Solal, auto-entrepreneur
• Email : privacy@seniorhub.fr

2. Données collectées

Nous collectons les catégories de données suivantes :

2.1 Données de compte

• Nom, prénom, adresse email (via inscription ou Google OAuth)
• Numéro de téléphone (optionnel — invitations SMS et fiche de profil du membre)
• Adresse postale et date de naissance du membre (optionnelles, renseignées dans son profil)
• Photo de profil (si fournie via Google)

2.2 Données du foyer

• Nom du foyer, liste des membres et leurs rôles (senior, aidant)
• Rendez-vous, tâches, listes à cocher, rappels du quotidien et commentaires associés
• Documents et photos partagés au sein du foyer
• Contacts d'urgence et carnet d'adresses partagé
• Entrées du carnet de liaison, notes visiteurs, humeur du jour et tendances associées, ainsi que les liens que vous créez entre une entrée du carnet et un rendez-vous, une tâche, une liste ou un document du foyer
• Messages échangés entre aidants dans l'espace de discussion du foyer
• Paramètres de tablettes et appels audio/vidéo
• Pays et fuseau horaire du foyer : à la création d'un foyer, ils sont repris des réglages du téléphone ou du navigateur de l'aidant qui le crée (fuseau horaire et région du téléphone ou du navigateur), sans aucune géolocalisation. Ils servent à envoyer les rappels à l'heure locale du foyer, à dater les entrées du jour du foyer, à proposer le numéro d'urgence du pays, à écrire les dates selon l'usage du pays et à ne pas afficher les aides financières françaises à un foyer situé hors de France. L'aidant qui gère les membres du foyer peut les corriger dans les réglages du foyer. Ils sont distincts du pays déduit de l'adresse IP lors de la connexion d'un membre, qui ne sert qu'à des statistiques d'usage internes et n'est jamais utilisé pour régler le foyer.
• Connexions de synchronisation calendrier (Google Calendar, iCloud/CalDAV, lien ICS)
• Connexion de synchronisation Google Drive (documents du foyer synchronisés avec un dossier Drive choisi par l'administrateur)
• Messages vocaux : enregistrement audio capté via le microphone de l'appareil du senior, transcription textuelle automatique de cet audio, et analyse IA du contenu de la transcription (aide-mémoire non médical). Ces trois éléments (audio, transcription, analyse) sont stockés dans le foyer et accessibles aux membres autorisés. Ce traitement requiert votre consentement explicite avant tout enregistrement.
• Mémos dictés par un aidant : lorsqu'un aidant dicte un mémo à propos du foyer ou de la personne aidée (voir §2.6), sa voix est enregistrée le temps qu'il parle puis transmise pour transcription ; l'audio lui-même n'est pas conservé sur nos serveurs (voir §7 pour la copie temporaire qui reste sur l'appareil de l'aidant). Le texte obtenu est ensuite analysé pour proposer une entrée de carnet, un rendez-vous ou une tâche : rien n'est enregistré tant que l'aidant n'a pas relu et validé la proposition (voir §9.2).

2.3 Données techniques

• Adresse IP, user-agent du navigateur
• Identifiants de session et tokens d'authentification
• Logs d'audit : les actions effectuées dans l'application (qui, quand, sur quel élément), sans le contenu des textes concernés
• Rapports de crash de l'application aidants (uniquement avec votre consentement, via Firebase Crashlytics)
• Rapports de plantage de l'application SeniorHub Assistance Famille : quand elle plante, elle envoie automatiquement un rapport à Sentry, sans consentement préalable. Ce rapport contient la cause technique de l'erreur, le modèle et le système du téléphone, la version de l'application, et des identifiants techniques du foyer, du membre, de l'appel, de la session et de l'installation. Il ne contient ni nom, ni adresse e-mail, ni contenu du foyer, ni image de l'écran.

2.4 Données d'abonnement

• Type d'abonnement, dates de début et fin (via RevenueCat)
• Périodes offertes : la formule que Senior Hub offre à votre foyer, ses dates de début et de fin, et le motif interne de l'attribution. Ces informations sont enregistrées par Senior Hub et ne transitent pas par RevenueCat : aucun achat n'a lieu.
• Aucune donnée bancaire n'est collectée par Senior Hub (paiement géré par Apple / Google)

2.5 Profil aides financières (module optionnel)

Si vous utilisez la fonctionnalité « Aides & conseils », Senior Hub collecte les données suivantes, uniquement après votre consentement explicite (distinct du consentement général de traitement) :

• Année de naissance de la personne aidée et, si applicable, de son conjoint ou sa conjointe.
• Niveau d'autonomie — saisi à chaque consultation des aides pour le calcul d'éligibilité, puis immédiatement oublié. Cette information n'est jamais enregistrée sur nos serveurs : elle transite uniquement le temps du calcul. Senior Hub n'est par conséquent pas hébergeur de données de santé (HDS).
• Tranche de revenus mensuels du foyer ou revenu fiscal de référence.
• Situation familiale (seul(e), en couple, veuf/veuve) et situation de logement.
• Code postal et code départemental, utilisés pour proposer les aides locales disponibles dans votre département.
• Liste des aides que vous déclarez percevoir déjà (pour les exclure des estimations).

Finalités : proposer les aides auxquelles votre foyer est éligible, estimer les montants susceptibles d'être accordés, et surfacer des suggestions personnalisées (ex : crédit d'impôt pour l'emploi à domicile).Base légale : consentement explicite.Conservation : jusqu'à suppression de votre profil aides ou de votre compte. Vous pouvez retirer ce consentement à tout momentdepuis l'écran « Aides & conseils », ce qui supprime les informations que vous nous avez données sur la situation de votre foyer et vos préférences de conseils, et met fin à tout calcul d'éligibilité.Aucune donnée de ce profil n'est transmise à un tiers : elle sert exclusivement au calcul d'éligibilité sur nos serveurs.

Vos dossiers de démarches ne sont pas supprimés avec le profil. Un dossier est le suivi d'une démarche que vous menez — souvent sur plusieurs mois, avec son historique et ses justificatifs. Il ne repose pas sur le consentement au calcul d'éligibilité mais sur l'exécution du service que vous utilisez, et retirer ce consentement n'a donc pas pour effet de le détruire. Vous gardez la main : chaque dossier peut être supprimé depuis sa fiche, et l'onglet « Mes démarches » permet de supprimer tous vos dossiers en une fois. Cette suppression est définitive et concerne tout le foyer.

Restent également conservés, après le retrait du consentement, les compteurs qui servent à appliquer les limites de votre formule d'abonnement (nombre de fiches d'aide et de conseils consultés). Ils ne servent qu'à cela.

2.6 Consentements

Senior Hub conserve la preuve de vos consentements (type de consentement, date, version de politique, adresse IP, user-agent) afin de démontrer la conformité du traitement, pour les consentements enregistrés sur nos serveurs. Deux catégories de consentements coexistent :

• Consentements aidant : conditions d'utilisation, politique de confidentialité et traitement des données (obligatoires pour accéder au service), ainsi que des consentements optionnels (statistiques anonymes, rapports de crash, notifications push). Ces consentements sont enregistrés sur nos serveurs, avec preuve.
• Consentements senior : la personne aidée est invitée, dès la première utilisation de son appareil (application compagne SeniorHub Launcher Simplifié et/ou SeniorHub Assistance Famille), à donner son accord explicite et indépendant pour chacun des usages suivants :
  • être accompagnée via l'application : visualisation par ses proches de ses rendez-vous, tâches et carnet de liaison, et organisation par eux de l'écran d'accueil de son téléphone — les contacts qu'elle appelle d'un appui, les applications, les raccourcis vers des sites internet et le fond d'écran (voir §2.9) ;
  • recevoir des appels vidéo de ses proches, via SeniorHub Assistance Famille ;
  • autoriser la prise de contrôle à distance de son téléphone par un proche (partage d'écran et envoi de gestes — voir §2.8) ;
  • partager l'état technique de son appareil avec son foyer (télémétrie — voir §2.8).
  Chacun de ces quatre accords est distinct des trois autres et du consentement aidant : il peut être refusé ou retiré à tout moment, sans condition, et ne conditionne que l'accès aux fonctionnalités qu'il concerne. Le retrait de la prise de contrôle ou de la télémétrie n'affecte jamais, par exemple, la réception des appels vidéo. Le consentement aux appels vidéo est enregistré sur nos serveurs, avec preuve. Les consentements à la prise de contrôle et à la télémétrie sont enregistrés sur l'appareil du senior lui-même, où ils font foi en priorité ; ils sont consultables et révocables à tout moment, y compris en une seule action (« Tout arrêter »), depuis l'écran « Qui peut voir mon téléphone » de SeniorHub Assistance Famille. Par ailleurs, la personne aidée est informée que les aidants de son foyer peuvent dicter, à son sujet, des mémos vocaux destinés au carnet de liaison (voir §2.2) ; ce traitement ne fait pas partie de ces quatre consentements, car il repose sur l'exécution du contrat et non sur un consentement (voir §3).

2.7 Données de localisation (rappels sur place)

Si vous activez la fonctionnalité optionnelle « Rappels sur place »(rappels de proximité pour les tâches à réaliser à un lieu du foyer), l'application mobile surveille votre position en arrière-plan afin de détecter votre arrivée près d'un lieu enregistré et de vous rappeler les tâches à y effectuer.

• Traitement uniquement sur l'appareil : votre position n'est jamais transmise à nos serveurs ni partagée avec un tiers. Elle sert exclusivement, sur votre téléphone, à déclencher une notification locale. Aucun historique de position n'est conservé.
• Seules les adresses des lieux que vous saisissez (ex : domicile d'un senior, pharmacie) sont enregistrées, converties en coordonnées via l'API publique Base Adresse Nationale (voir sous-traitants).
• Cette fonctionnalité nécessite votre consentement explicite et l'autorisation de localisation « Toujours ». Vous pouvez la désactiver à tout moment depuis l'écran « Lieux du foyer » ou retirer l'autorisation dans les réglages de votre téléphone.

2.8 Assistance à distance (SeniorHub Assistance Famille)

Lorsqu'un senior installe l'application compagne SeniorHub Assistance Famille sur son téléphone, ses proches peuvent, selon les accords qu'il a lui-même donnés (voir §2.6), l'accompagner à distance de plusieurs façons indépendantes :

• Partage d'écran pendant un appel. Pendant une session d'assistance active, l'écran du senior peut être diffusé en direct, comme lors d'une visioconférence, au proche qui l'accompagne, afin qu'il voie ce qui se passe et puisse le guider. Le partage porte sur l'intégralité de l'écran, et non sur une seule application : le proche voit donc tout ce qui s'y affiche pendant la session, y compris les notifications qui arrivent et les autres applications que le senior ouvre. C'est nécessaire pour qu'il puisse le guider où qu'il se trouve sur son téléphone — et c'est aussi pourquoi le senior doit confirmer deux fois avant qu'il ne démarre : dans l'application, puis dans une fenêtre du système Android. Ce partage n'a lieu que pendant la session en cours, avec la prise de contrôle activée, et s'arrête automatiquement à sa fin. Un bandeau affiché en permanence sur l'écran du senior, ainsi qu'une notification impossible à masquer, l'informent en temps réel que son écran est partagé.
• Envoi de gestes. Une fois la prise de contrôle autorisée, le proche peut, pendant la session, effectuer à la place du senior des gestes simples (appuyer, faire défiler) pour l'aider à réaliser une action sur son téléphone. Le mécanisme technique utilisé pour cela ne lit jamais automatiquement le contenu affiché à l'écran — textes, messages, mots de passe — quel qu'il soit : il est configuré pour uniquement exécuter des gestes, jamais pour en extraire d'information (paramètre technique Android canRetrieveWindowContentdésactivé sur le service utilisé).
• Explication en image, en dehors de tout appel. Un proche peut aussi envoyer au senior une image fixe pour l'aider à comprendre une action — par exemple une capture d'écran de son propre téléphone, qu'il annote d'un cercle ou d'une flèche avant de l'envoyer. Cette image est fabriquée par le proche lui-même : à aucun moment l'écran du senior n'est capturé ou observé pour produire cette explication. Elle s'affiche en plein écran chez le senior, avec le nom de l'expéditeur et un bouton pour la fermer. Les octets de l'image transitent par notre base de données — jamais par notre stockage de fichiers — pendant une heure au maximum, et sont effacés dès la première ouverture par le senior, ou plus tôt si l'un ou l'autre la supprime. Passé ce délai, elle disparaît automatiquement même si elle n'a jamais été ouverte ; seul l'événement (qui l'a envoyée, à qui, quand) reste alors consigné, jamais son contenu. Aucune analyse, reconnaissance de texte ou intelligence artificielle n'est appliquée à ces images.
• Historique des sessions de contrôle. Chaque session de prise de contrôle (qui l'a demandée, quand, et pendant combien de temps) est consignée et consultable par le senior lui-même, à tout moment, depuis l'écran « Qui peut voir mon téléphone » de son appareil. Cet historique ne contient jamais le contenu de l'écran ni le détail des gestes effectués — uniquement ces informations de suivi, à des fins de sécurité et de transparence pour le senior.
• Télémétrie d'appareil. Avec son accord distinct, l'état technique du téléphone du senior — niveau et charge de la batterie, type de connexion réseau, version du système, version de l'application, espace de stockage libre — peut être partagé avec son foyer, pour repérer par exemple une batterie faible ou un problème de connexion. Cette télémétrie ne comprend jamais l'application affichée à l'écran ni le nom du réseau Wi-Fi utilisé : ces deux informations sont délibérément exclues de la remontée technique.
• De quel téléphone il s'agit. La marque et le modèle de l'appareil (par exemple « Samsung SM-A536B ») sont transmis par les applications installées sur le téléphone du senior, et ils ne dépendent pas de l'accord de télémétrie ci-dessus : ils servent uniquement à reconnaître de quel appareil on parle dans la liste des appareils du foyer. Sans eux, un même téléphone y apparaît deux fois — une fois par application — et sa famille peut croire qu'une application est absente alors qu'elle fonctionne, ou retirer de sa liste le téléphone dont elle se sert vraiment. C'est pourquoi cette information relève de l'exécution du contrat et non d'un accord séparé. Une marque et un modèle sont communs à des millions d'appareils et ne permettent d'identifier personne. La version du système en estdélibérément exclue : une mise à jour d'Android suffirait sinon à faire apparaître un même téléphone comme deux appareils différents. Aucun numéro de série, aucun IMEI, aucun identifiant matériel n'est collecté.
• Quand cette remontée a lieu, et par quelle application. Elle est envoyée par SeniorHub Assistance Famille, installée sur le téléphone du senior, et uniquement par elle : l'application destinée aux proches aidants ne remonte aucun état d'appareil. La remontée ne dépend pas de la présence du senior devant son écran et ne s'arrête pas quand il ferme l'application : le système Android réveille celle-ci périodiquement, et notre serveur peut la réveiller par une notification silencieuse. Nous ne promettons pas de « temps réel » ni de fréquence fixe : Android ne garantit aucune cadence de réveil en arrière-plan, et l'écart entre deux mises à jour dépend surtout de l'usage réel du téléphone par le senior — de quelques minutes s'il s'en sert souvent, à beaucoup plus s'il ne l'ouvre pas. Une demande explicite d'un proche déclenche une tentative de mise à jour en quelques secondes, sans garantie de succès si le téléphone est éteint ou hors réseau. Dans tous les cas, l'application indique la date de la dernière valeur reçue plutôt que de laisser croire à une fraîcheur qu'elle ne peut garantir. Tant que ce partage est actif, une notification permanente reste affichée sur le téléphone du senior, et un rappel lui est envoyé chaque mois.
• La tablette d'affichage du foyer remonte le même type d'état technique, pour la même raison et sans localisation ni nom de réseau. Il s'agit d'un appareil partagé du foyer, installé par la famille, et non du téléphone personnel du senior.

Ce que la tablette affiche. La tablette d'affichage est un écran allumé en continu, posé dans le logement de la personne aidée. Elle fait défiler, en grands caractères, des informations du foyer : les prochains rendez-vous, les tâches du jour, les messages écrits par la famille, des photos et la météo. Ces informations sont visibles par toute personne présente dans la pièce, y compris un visiteur ou un intervenant extérieur. Le nom du rendez-vous est affiché par défaut, car c'est ce qui permet à la personne aidée de comprendre ce qui l'attend ; le lieu et le nom de la personne qui accompagne sont, eux, masqués par défaut. Ces trois affichages sont trois réglages distincts, que le foyer peut activer ou désactiver à tout moment depuis l'application aidants, et l'information lui en est donnée au moment où il active cet écran. Le foyer choisit également où placer la tablette et quels écrans afficher. La tablette est en lecture seule : elle n'enregistre et ne modifie jamais rien.

Le senior peut, à tout moment et depuis son propre appareil, retirer chacun de ces accords indépendamment des autres, ou tout arrêter d'un seul geste via l'action « Tout arrêter » de l'écran « Qui peut voir mon téléphone ».

Sur iPhone, rien de ce qui précède n'existe. Le paragraphe 2.8 décrit des mécanismes propres à Android. iOS n'offre aucun équivalent, et nous n'en cherchons pas : sur un iPhone, SeniorHub ne prend jamais la main sur l'appareil, ne partage pas l'écran en continu et ne relève aucune mesure périodique en arrière-plan. Ce que l'application y fait se limite à ce que la personne aidée déclenche elle-même en appuyant sur un bouton.

2.9 Configuration de l'écran d'accueil de la personne aidée

L'application compagne SeniorHub Launcher Simplifié remplace l'écran d'accueil du téléphone de la personne aidée par une grille de grandes tuiles. Ce que contient cette grille est choisi par les membres de son foyer : les contacts qu'elle appelle d'un seul appui, les applications qu'elle retrouve dans son tiroir, des adresses de sites internet(une webradio, une liste de lecture musicale, le site d'un organisme) et le fond d'écran. Cette configuration est une donnée personnelle la concernant : elle décrit ce qu'elle a sous les yeux tous les jours.

• Où elle est enregistrée. Lorsque le foyer choisit de la partager — pour qu'un proche puisse préparer cet écran à distance depuis le site web ou l'application aidants —, elle est enregistrée sur nos serveurs européens, comme le reste des données du foyer. Lorsque l'écran d'accueil est réglé directement sur le téléphone de la personne aidée, sans partage, cette configuration reste uniquement sur cet appareil : elle ne nous est jamais transmise et nous n'en avons aucune connaissance.
• Ce que nous ne faisons jamais. Nous n'ouvrons jamais ces adresses depuis nos serveurs : aucune requête n'est envoyée vers le site visé, ni pour vérifier qu'il existe, ni pour en récupérer le logo ou un aperçu. Nous n'enregistrons jamais ce que la personne aidée consulte, ni quand, ni combien de temps : il n'existe aucun historique de navigation, ni sur nos serveurs, ni dans l'application. Nous ne lisons pas le contenu des pages ouvertes et nous ne classons pas ces adresses par thème.
• Ce qui se passe à l'ouverture. Une tuile de ce type ouvre l'adresse dans le navigateur du téléphone, celui-là même qui sert à toute autre page. À partir de cet instant, ce sont la politique de confidentialité et les conditions du site visité qui s'appliquent, et non les nôtres : les cookies qu'il dépose, la mesure d'audience qu'il pratique et les données qu'il collecte ne relèvent ni de notre responsabilité ni de notre contrôle. SeniorHub n'affiche jamais ces sites à l'intérieur de son application, précisément pour que la barre d'adresse du navigateur — et le nom de site qu'elle affiche — restent sous les yeux de la personne aidée.
• Combien de temps elle est conservée. Sur le téléphone : aussi longtemps que l'application y est installée ; elle disparaît avec elle, ou lorsque les données de l'application sont effacées depuis les réglages du téléphone. Sur nos serveurs, lorsqu'elle est partagée : aussi longtemps que le foyer existe, puis au maximum 35 jours dans nos sauvegardes chiffrées, le temps que celles-ci expirent (voir §7 et §10). Elle fait partie de l'export de vos données et elle est supprimée avec le foyer.
• Refuser un élément de cet écran. La personne aidée peut, à tout moment et sans avoir à se justifier, demander que l'un de ces éléments — un raccourci vers un site internet, un contact, une application, le fond d'écran — soit retiré de son écran. Cette demande s'adresse aux membres de son foyer, qui disposent du moyen d'y donner suite immédiatement : le retrait s'effectue depuis les réglages de l'écran d'accueil, protégés par un code que détient le foyer, ou à distance depuis l'application aidants ou le site web lorsque la configuration est partagée. Le téléphone de la personne aidée ne comporte, lui, aucun réglage qu'elle puisse manipuler elle-même : son écran d'accueil est délibérément fixe, pour qu'un appui involontaire ne le modifie pas et qu'elle y retrouve chaque jour la même chose. Ce refus n'est pas une simple préférence : les membres du foyer s'engagent, au titre des conditions générales (§5.4), à y donner suite. S'il n'était pas suivi d'effet, la personne aidée — ou toute personne agissant pour elle — peut exercer auprès de nous son droit d'opposition, dans les conditions prévues au §10.

Pourquoi aucune case à cocher ne vous est demandée pour cela. Organiser l'écran d'accueil de la personne aidée est l'une des fonctions mêmes du service auquel votre foyer a souscrit : le traitement repose donc sur l'exécution du contrat (art. 6.1.b du RGPD) et non sur votre consentement. Lorsque cette configuration reste sur le seul téléphone de la personne aidée, son enregistrement local est strictement nécessaire au service expressément demandé et n'appelle, à ce titre, ni consentement ni bandeau (art. 82 de la loi Informatique et Libertés). Ce qui reste entre les mains de la personne aidée, ce sont son accord général à être accompagnée (§2.6), qu'elle peut retirer elle-même à tout moment depuis son téléphone, et le droit de refuser un élément précis de cet écran sans renoncer au reste — refus qu'elle adresse aux membres de son foyer, comme décrit ci-dessus.

3. Finalités et bases légales

4. Partage des données

Senior Hub ne vend pas vos données personnelles à des tiers. Vos données sont uniquement partagées avec les sous-traitants nécessaires au fonctionnement du service.

4.1 Accès de notre équipe au contenu de votre foyer

Le contenu de votre foyer — vos notes, par exemple — n'est pas consultable par notre équipe dans le cours normal du service. Nos outils d'administration n'affichent que des compteurs, des statuts et des dates.

Un accès au contenu d'un foyer n'est possible que dans trois situations, et jamais par simple curiosité : une demande de support que vous nous adressez, l'exercice de vos droits (accès, effacement, rectification…), ou un incident technique. Cet accès est alors :

• subordonné à la saisie d'un motif écrit, qui est conservé ;
• limité à un seul foyer et à 30 minutes, après quoi il se referme de lui-même ;
• journalisé — qui a regardé, quand, pour quel motif, et combien de fois ;
• fermé aux notes que leur auteur a marquées « privées » : celles-là ne s'ouvrent que sur réquisition judiciaire, ou à votre propre demande.

Nous vous informons de tout accès de cette nature, sauf lorsqu'une réquisition judiciaire nous l'interdit. Base légale : intérêt légitime (art. 6.1.f) pour le support et les incidents techniques, obligation légale (art. 6.1.c) lorsqu'il s'agit de répondre à l'exercice de vos droits.

5. Sous-traitants

6. Transferts hors Union européenne

Certains sous-traitants sont situés aux États-Unis ou peuvent traiter des données hors Union européenne (Railway, Firebase, Anthropic, Groq, RevenueCat, Resend, Expo, LiveKit, Google Calendar API, Google Drive API, et Google Cloud Storage pour les seules images de newsletters envoyées avant le 3 août 2026). Ces transferts sont encadrés par :

En particulier, l'audio des messages vocaux et des mémos dictés par un aidant, et leur transcription textuelle, sont traités aux États-Unis par Groq (transcription) et Anthropic (analyse IA), sous les garanties mentionnées ci-dessous.

• Le EU-U.S. Data Privacy Framework pour les sous-traitants certifiés
• Des Clauses Contractuelles Types (SCCs) approuvées par la Commission européenne pour les autres cas

Nous préférons vous dire clairement où sont les limites de cette protection. Le fait que nous ne conservions pas l'audio du mémo dicté est un engagement qui porte sur nos serveurs : il signifie que nous ne l'écrivons nulle part et qu'il ne figure dans aucune sauvegarde. Il ne veut pas dire que l'enregistrement n'a jamais quitté l'Union européenne — il l'a quittée, le temps d'être transcrit — ni que notre prestataire ne l'a pas lu : il doit nécessairement l'entendre pour l'écrire. Ce qu'il ne peut pas faire, contractuellement, c'est le garder plus longtemps que le service ne l'exige, s'en servir à d'autres fins, ou entraîner ses modèles dessus.

7. Durées de conservation

8. Sécurité

Nous mettons en œuvre les mesures suivantes pour protéger vos données :

• Chiffrement en transit (HTTPS / TLS) pour toutes les communications
• Chiffrement au repos de la base de données
• Connexion SSL entre l'application et la base de données
• Hachage sécurisé des mots de passe (scrypt)
• Tokens d'authentification signés (HMAC-SHA256) avec expiration
• Rate limiting sur les endpoints d'authentification
• En-têtes de sécurité HTTP (HSTS, X-Frame-Options, etc.)
• Journalisation des accès avec adresse IP et user-agent
• Sauvegarde quotidienne de la base de données et sauvegarde hebdomadaire des fichiers, chiffrées avant de quitter nos serveurs et stockées chez un prestataire distinct de celui qui héberge l'application
• Test de restauration réalisé chaque mois sur une sauvegarde réelle : une sauvegarde que personne n'a jamais restaurée n'est pas une garantie

9. Intelligence artificielle

9.1 Résumés du carnet de liaison

Senior Hub utilise le service Anthropic pour générer des résumés, tendances et suggestions à partir des entrées du carnet de liaison, ainsi que des observations sur la répartition des rôles d'aidance au sein du foyer. Ce traitement est réalisé uniquement lorsque la fonctionnalité est activée par le foyer.

• Les données envoyées à Anthropic sont limitées aux entrées de carnet de liaison (pas de documents, pas de fichiers). Pour les observations sur les rôles d'aidance, seul un instantané anonymisé est transmis : prénoms des aidants (pas d'email, pas d'identifiant), nom et charge mentale estimée de chaque rôle, et qui est assigné à quoi. Les observations générées sont mises en cache 24h et invalidées dès la moindre modification.
• Anthropic ne conserve pas les données envoyées pour entraîner ses modèles (API usage policy).
• Les résumés générés sont stockés dans notre base de données et soumis aux mêmes règles de conservation.
• Ce traitement ne constitue pas une décision automatisée au sens de l'article 22 du RGPD : les résumés sont purement informatifs et ne produisent aucun effet juridique.

9.2 Voix transcrite — messages vocaux et mémos dictés

Lorsqu'un senior envoie un message vocal, Senior Hub effectue les deux traitements IA suivants, sous réserve de votre consentement préalable (accordé lors de la configuration de la fonctionnalité) :

1. Transcription par Groq (Whisper) — l'audio est transmis au service de transcription Groq (États-Unis). La transcription textuelle résultante est stockée dans le foyer. Contractuellement, Groq ne conserve pas les données audio au-delà de ce qui est nécessaire au service (politique d'utilisation API de Groq).
2. Analyse de la transcription par Anthropic (Claude) — la transcription textuelle (jamais l'audio) est transmise à Anthropic afin de produire un aide-mémoire non médical à destination des aidants. Ce résumé est purement informatif ; il ne constitue pas une analyse médicale, un diagnostic ni une décision automatisée au sens de l'article 22 du RGPD. Anthropic ne conserve pas les données transmises pour entraîner ses modèles (API usage policy).

• L'audio, la transcription et l'analyse sont stockés dans votre foyer et accessibles aux membres autorisés, conformément aux règles de conservation de la section 7.
• Vous pouvez retirer votre consentement à tout moment — les futurs messages vocaux ne seront plus traités par ces services. Les messages déjà envoyés restent stockés jusqu'à votre demande d'effacement (Paramètres > Confidentialité ou privacy@seniorhub.fr).

Lorsqu'un aidant dicte un mémo (voir §2.2), Senior Hub effectue une transcription par Groq puis une analyse par Anthropic selon le même principe technique, mais avec trois différences :

• Base légale : le mémo dicté repose sur l'exécution du contrat (art. 6.1.b), et non sur le consentement — sans transcription, il n'y aurait pas de mémo du tout, ce qui rendrait un consentement demandé à ce stade non libre au sens de l'article 7.4 du RGPD (voir §3).
• Conservation de l'audio : contrairement au message vocal, dont l'audio est stocké dans votre foyer (voir ci-dessus), l'audio du mémo dicté n'est pas conservé sur nos serveurs — voir §7 pour la copie temporaire qui reste sur l'appareil de l'aidant le temps de l'envoi.
• Ce qui en résulte : le message vocal est directement distribué au foyer, tandis que le mémo dicté ne produit qu'une proposition(entrée de carnet, rendez-vous ou tâche) que l'aidant doit relire et valider avant qu'elle ne soit enregistrée.

Par ailleurs, un foyer de démonstration (identifié explicitement côté serveur) peut être alimenté chaque semaine par des données fictives générées par Claude (rendez-vous, tâches, messages, entrées de carnet, contacts et documents fictifs) pour permettre de présenter les fonctionnalités du service à des prospects. Aucune donnée réelle d'utilisateur n'est utilisée pour produire ces contenus ; seul le foyer marqué comme démonstratif est concerné et aucun foyer client ne subit ce traitement.

9.3 Données issues des API Google (Limited Use)

Lorsque vous connectez votre compte Google (synchronisation Google Agenda ou Google Drive), Senior Hub reçoit des données via les API Google Workspace. L'usage de ces données est strictement encadré :

• Elles servent uniquement à faire fonctionner les fonctionnalités que vous avez activées : afficher et synchroniser les rendez-vous du foyer avec votre agenda, et synchroniser les documents du foyer avec le dossier Drive que vous avez choisi.
• Pour que ce dossier et l'application restent cohérents, Senior Hub peut renommer et déplacer des fichiers à l'intérieur du dossier Drive que vous avez relié. Supprimer un document dans Senior Hub ne détruit jamais un fichier qui vient de votre Drive : il sort du dossier synchronisé et est déplacé dans un dossier séparé, partagé avec votre compte Google, où vous le retrouvez. Un fichier créé depuis Senior Hub, lui, part dans la corbeille de votre Drive.
• Elles ne sont jamais utilisées pour créer, entraîner ou améliorer un modèle d'intelligence artificielle, qu'il soit généraliste ou spécialisé — ni par Senior Hub, ni par nos prestataires. Nos prestataires IA (Anthropic, Groq) n'entraînent pas leurs modèles sur les données transmises via leurs API.
• Elles ne sont ni vendues, ni transférées à des tiers à des fins publicitaires, de profilage, d'étude de marché ou d'évaluation de solvabilité.
• Un rendez-vous importé depuis Google Agenda est ensuite traité comme un rendez-vous du foyer : il peut donc apparaître dans un résumé du carnet de liaison (section 9.1) si le foyer a activé cette fonctionnalité. Ce traitement reste soumis à toutes les restrictions ci-dessus. Les fichiers Google Drive ne sont jamais transmis à un service d'IA.
• Les collaborateurs de Senior Hub ne lisent pas ces données, sauf accord explicite de votre part, pour des raisons de sécurité, pour respecter une obligation légale, ou sur des données agrégées et anonymisées.

Senior Hub's use of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. The use of raw or derived user data received from Workspace APIs will adhere to the Google User Data Policy, including the Limited Use requirements. Senior Hub does not use, transfer or sell Google Workspace API data — raw, aggregated or derived — to develop, train or improve generalized or foundational artificial intelligence or machine learning models.

10. Vos droits (RGPD)

Conformément au Règlement Général sur la Protection des Données, vous disposez des droits suivants :

• Accès : obtenir une copie de vos données (export disponible dans Paramètres > Confidentialité).
• Rectification : corriger vos données inexactes (modification du profil dans l'application).
• Effacement : supprimer votre compte et les données associées (Paramètres > Supprimer mon compte). La suppression est immédiate dans l'application, et pour vos documents, elle l'est aussi chez notre hébergeur de stockage : contrairement à une suppression ordinaire (voir le tableau de la section 7, ligne « Documents, photos et messages vocaux supprimés »), une demande d'effacement au titre de ce droit efface immédiatement toutes les copies techniques que ce stockage conserve normalement jusqu'à 90 jours, sans attendre ce délai. Vos données subsistent au maximum 35 jours dans nos sauvegardes chiffrées, le temps que celles-ci expirent : elles n'y sont accessibles à personne en usage courant, ne servent qu'à rétablir le service après un incident, et si une sauvegarde devait être restaurée, votre suppression y serait réappliquée avant toute remise en service. Seule exception : les rapports de plantage déjà envoyés par l'application SeniorHub Assistance Famille restent chez Sentry pendant la durée indiquée à la section 7 ; ils ne contiennent ni nom ni adresse e-mail. Lorsque vous supprimez un élément que vous avez créé — un commentaire, une note — son contenu est réellement effacé : le journal d'activité du foyer garde la trace de l'action (qui, quand, sur quel élément) mais jamais le texte lui-même.
• Portabilité : recevoir vos données dans un format structuré et lisible (export JSON).
• Retrait du consentement : à tout moment pour les traitements optionnels (analytics, crashlytics, notifications push) et, pour le senior, pour le consentement à être accompagné via l'application.
• Opposition et limitation : vous opposer à certains traitements ou en demander la limitation.

Pour exercer ces droits, utilisez les fonctionnalités de l'application ou contactez-nous à privacy@seniorhub.fr.

11. Réclamation auprès de la CNIL

Si vous estimez que le traitement de vos données personnelles constitue une violation du RGPD, vous avez le droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :

• Site web : www.cnil.fr
• Adresse : CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07

Vous pouvez aussi introduire votre réclamation auprès de l'autorité de protection des données du pays de l'Union européenne où vous résidez (article 77 du RGPD) : voir le §11 bis pour l'Irlande.

11 bis. Si vous résidez en Irlande

Senior Hub est établi en France et vos données sont hébergées dans l'Union européenne ; certains prestataires les traitent aux États-Unis (§5 et §6). Hors de l'Union européenne, elles peuvent être accessibles aux autorités de ces pays selon leurs lois. Pour exercer l'un des droits ci-dessous, écrivez-nous à privacy@seniorhub.fr ou utilisez les fonctionnalités de l'application (§10).

Irlande

• Droits : le RGPD s'applique, avec tous les droits du §10.
• Autorité de recours : vous pouvez saisir la Data Protection Commission (DPC), l'autorité irlandaise, plutôt que la CNIL (article 77 du RGPD) : www.dataprotection.ie.
• En cas de fuite de données : nous la notifions à la CNIL, notre autorité chef de file, si possible dans les 72 heures après en avoir pris connaissance, sauf si elle n'est pas susceptible de présenter un risque pour les personnes (article 33 du RGPD), et nous vous en informons directement lorsqu'elle présente un risque élevé pour vous (article 34).

12. Cookies et stockage local

Senior Hub n'utilise aucun cookie publicitaire ni de mesure d'audience tiers. Aucune bannière de consentement n'est requise pour la navigation sur le site vitrine, car ce dernier ne charge aucun traceur externe (les polices Inter sont auto-hébergées, et aucun analytics tiers n'est intégré).

Pour vous garder connecté, l'application web s'appuie sur deuxcookies strictement nécessaires, et sur aucun autre : sh_refresh, qui porte votre session et que le code de la page ne peut pas lire (HttpOnly, Secure, SameSite=Strict, durée maximale 90 jours, effacé à la déconnexion), et sh_csrf, qui sert à vérifier que vos actions viennent bien de nos pages. Le site vitrine, lui, ne dépose aucun cookie.

L'application web et le site vitrine utilisent aussi un stockage local (localStorage) du navigateur, strictement nécessaire au fonctionnement du service, pour conserver :

• Préférence de langue (clés lang sur le site vitrine, seniorhub:locale dans l'application web) : pour réafficher l'interface dans la langue choisie lors de votre prochaine visite.
• Identité de la session ouverte (clé seniorhub:email_auth_session) : votre identifiant technique, votre adresse e-mail et votre nom, pour vous réafficher connecté au rechargement de la page. Aucun jeton d'authentification n'y est conservé — il vit uniquement dans le cookie sh_refresh décrit ci-dessus.
• Foyer actif (clé seniorhub:active_household_id) : pour réouvrir le bon foyer au prochain lancement.
• Étape d'installation atteinte (clé seniorhub:household_status) : pour ne pas vous reproposer la création d'un foyer une fois celle-ci terminée.
• Verrou technique de renouvellement de session (clé sh_auth_refresh_lock) : un identifiant aléatoire et une date d'expiration, pour éviter que plusieurs onglets ne renouvellent votre session en même temps. Il ne contient aucune information vous concernant et expire en quelques secondes.
• Prénom laissé sur la page visiteur (clé seniorhub:visitorName) : uniquement si vous avez laissé un mot à une famille après avoir scanné son QR code, pour ne pas avoir à retaper votre prénom la fois suivante. Ce prénom reste sur votre appareil ; le mot que vous avez envoyé, lui, est enregistré dans le carnet de liaison du foyer (voir §2.2 et §7).

Ces données ne quittent pas votre navigateur. Vous pouvez les effacer à tout moment via les paramètres de votre navigateur ou en vous déconnectant. L'application mobile Senior Hub n'utilise pas de cookies HTTP ; elle stocke localement les mêmes informations via le mécanisme natif sécurisé de votre système (Keychain iOS / Keystore Android pour les jetons). L'application compagne SeniorHub Launcher Simplifié conserve de la même façon, sur le seul téléphone de la personne aidée, la configuration de son écran d'accueil (§2.9) lorsque celle-ci n'est pas partagée avec le foyer : cet enregistrement est strictement nécessaire au fonctionnement demandé et ne donne donc lieu ni à une demande de consentement, ni à un bandeau.

13. Modification de cette politique

Cette politique de confidentialité peut être mise à jour. En cas de modification substantielle, vous serez informé via l'application. La date de dernière mise à jour est indiquée en haut de cette page.

Une mise à jour de contenu (comme celle-ci) n'entraîne pas systématiquement une nouvelle demande de consentement : celle-ci n'est déclenchée que lors du passage à une nouvelle version numérotée (le suffixe « v » indiqué en haut de cette page), annoncée via l'application au moment de sa mise en vigueur.

Contact

Pour toute question relative à la protection de vos données : privacy@seniorhub.fr.

Conditions Générales d'Utilisation | Mentions Légales