GLP1Prices - Tracker — Politique de confidentialité

En bref

GLP1Prices - Tracker conserve votre dossier de médication sur votre propre téléphone. Il n’y a ni compte, ni ouverture de session, ni copie de vos saisies sur nos serveurs. Vos saisies ne nous sont pas transmises, à une seule exception, qui ne se produit que si vous la demandez : à partir de la version 1.1 de l’application, un appui sur « Obtenir un résumé » envoie les chiffres de la semaine, par notre serveur, à un service d’intelligence artificielle qui rédige un court résumé. Nous ne conservons aucun de ces chiffres.

• Vos doses, votre horaire, vos sites d’injection, vos poids, vos notes sur les effets indésirables, vos bilans quotidiens, vos réserves et les prix que vous payez sont conservés dans une base de données chiffrée, sur votre appareil. • L’application fait six types de requêtes réseau : elle télécharge les prix publics des pharmacies; elle ouvre le lien de pharmacie ou de télémédecine sur lequel vous avez appuyé; uniquement si vous l’activez, elle envoie des compteurs d’utilisation anonymes et des rapports de panne; elle demande à Expo, notre fournisseur de mises à jour, si une version plus récente de l’application est offerte; à partir de la version 1.1 et uniquement lorsque vous appuyez sur « Obtenir un résumé », elle envoie les chiffres de la semaine pour un résumé; et, à partir de la version 1.2, elle demande à RevenueCat, notre fournisseur d’abonnements, si Premium est actif. Seul « Obtenir un résumé » transporte des renseignements sur votre santé. Voir la section 3. • À partir de la version 1.1, vous pouvez aussi autoriser l’application à lire votre poids et votre sommeil dans l’app Santé d’Apple (Apple Health) ou dans Santé Connect (Health Connect). Ce qu’elle y lit reste sur votre téléphone. Voir la section 5. • À partir de la version 1.2, les alertes de prix sont conservées et vérifiées sur votre téléphone. L’application les vérifie au moyen du même téléchargement des prix publics qu’elle fait déjà, et la notification est créée par votre téléphone, et non envoyée par nous. Voir la section 17. • À partir de la version 1.2, Premium est un abonnement facultatif, vendu et facturé par Apple ou Google, qui comprend les alertes de prix et « Obtenir un résumé ». Nous ne voyons jamais votre carte de paiement ni votre compte Apple ou Google. Voir la section 17. • Nous ne vendons jamais vos renseignements et nous ne les utilisons jamais à des fins publicitaires. L’application ne contient aucun logiciel de publicité, de marketing ou d’attribution. Son seul recours à l’intelligence artificielle est le résumé facultatif « Obtenir un résumé », qui est rédigé sur notre serveur et sur celui d’Anthropic, et non sur votre téléphone.

La présente politique vise uniquement l’application mobile. Le site GLP1Prices.ca a sa propre politique de confidentialité.

Les versions 1.0 et 1.1 de l’application ne sont pas offertes au Québec, et elles ne recueillent absolument rien sur un téléphone dont la personne indique qu’elle est au Québec. À partir de la version 1.2, l’application est aussi offerte au Québec. Voir la section 1.

1. Qui nous sommes

GLP1Prices - Tracker est publiée par Onset Security Inc, une société canadienne, qui exploite aussi le site GLP1Prices.ca. Dans la présente politique, « nous » désigne Onset Security Inc.

La personne responsable de la protection des renseignements personnels, exigée par la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (Loi 25, art. 3.1), porte le titre de responsable de la protection des renseignements personnels et peut être jointe à privacy@glp1prices.ca.

Les versions 1.0 et 1.1 de l’application sont offertes au Canada, à l’exclusion du Québec. La première question qu’elles posent est la province où vous faites remplir votre ordonnance, et une réponse « Québec » s’arrête là, avec un avis : aucun consentement n’est consigné, rien n’est écrit sur l’appareil, et aucune demande de prix n’est faite pour le Québec. À partir de la version 1.2, l’application est offerte partout au Canada, y compris au Québec, et une réponse « Québec » la configure comme pour toute autre province. Le site GLP1Prices.ca sert toutes les provinces et n’est pas visé par la présente politique.

2. Ce que l’application conserve sur votre téléphone

Tout ce que vous inscrivez dans l’application demeure dans une base de données chiffrée, à l’intérieur de l’application, sur votre appareil :

• le médicament que vous avez choisi, sa concentration et sa forme • les doses que vous inscrivez, avec la date, l’heure et le site d’injection choisi • votre horaire et vos réglages de rappel • vos poids, si vous en inscrivez, y compris ceux que vous importez de l’app Santé d’Apple ou de Santé Connect (à partir de la version 1.1), avec la mention de leur provenance • les effets indésirables que vous inscrivez, y compris les noms que vous ajoutez vous-même, avec leur intensité et vos notes • vos bilans quotidiens, si vous en inscrivez : sommeil, humeur, énergie, selles et notes et, à partir de la version 1.2, stress, faim, bruit alimentaire et envies alimentaires (chacun sur une échelle de 1 à 5, seulement si vous y répondez), ainsi que votre choix « Aucun aujourd’hui » pour les effets indésirables • le résumé hebdomadaire que l’application calcule à partir de ces saisies, sur votre téléphone • la quantité de médicament qu’il vous reste et la date prévue d’épuisement • le prix payé, la pharmacie et votre province • vos réglages et les consentements que vous avez donnés, avec leur date et leur version • à partir de la version 1.1, si vous les utilisez : le code aléatoire qu’utilise « Obtenir un résumé » (section 4), et l’heure de votre dernière importation depuis l’app Santé ou Santé Connect (section 5) • à partir de la version 1.2, si vous en créez : vos alertes de prix, chacune avec le médicament et le format visés, votre province, le prix choisi et son état, active ou non (section 17) • à partir de la version 1.2, les questions sur le stress, la faim, le bruit alimentaire et les envies alimentaires que pose le bilan, un réglage que vous choisissez dans Réglages → Bilan quotidien

La base de données est chiffrée avec AES-256 (SQLCipher). Sa clé est générée sur votre appareil et conservée dans le trousseau iOS ou le Keystore Android, marquée de façon à ne pas pouvoir être transférée vers un autre appareil. Le dossier de la base de données est exclu de la sauvegarde iCloud sur iOS, et la sauvegarde automatique d’Android est désactivée pour l’application : le système d’exploitation ne copie donc pas vos saisies dans une sauvegarde infonuagique.

Nous n’avons aucun moyen de lire tout cela, et nous n’en détenons aucune copie. Hormis votre province, que transporte le téléchargement des prix décrit à la section 3, rien de cette liste ne quitte votre téléphone, sauf si vous appuyez sur « Obtenir un résumé », qui envoie les chiffres de la semaine et le code aléatoire décrits à la section 4. À partir de la version 1.2, cela vaut aussi pour vos alertes de prix : elles sont vérifiées sur votre téléphone, et rien à leur sujet n’est envoyé, ni à nous ni à personne d’autre. Les réponses du bilan ajoutées dans la version 1.2 (stress, faim, bruit alimentaire, envies alimentaires et « Aucun aujourd’hui ») ne font pas partie des chiffres qu’envoie « Obtenir un résumé ».

À partir de la version 1.2, le résumé hebdomadaire est la vue « Votre semaine » de l’écran Progression. L’application la calcule sur votre téléphone à partir de vos saisies, et rien n’est envoyé pour la produire.

3. Ce qui sort de votre téléphone

L’application fait exactement six types de requêtes réseau. Les voici au complet. Le cinquième n’existe qu’à partir de la version 1.1 de l’application, et le sixième qu’à partir de la version 1.2. Les alertes de prix (à partir de la version 1.2) n’ajoutent aucune requête : elles utilisent le téléchargement des prix décrit en a).

a) Données publiques de prix et de catalogue. Pour afficher des prix, l’application télécharge les prix publiés des pharmacies depuis notre propre service, à glp1prices.ca/api/v1. La requête contient un code de province à deux lettres, et rien d’autre : aucun témoin, aucun compte, aucun identifiant d’appareil, aucun en-tête d’identification. Le médicament que vous prenez ne fait jamais partie de la requête : l’application télécharge les prix de votre province et fait l’appariement sur votre téléphone. À partir de la version 1.2, si vous avez créé une alerte de prix, l’application fait aussi ce même téléchargement lorsque vous l’ouvrez et en arrière-plan, jusqu’à environ deux fois par jour, pour vérifier vos alertes (section 17). C’est la même requête, avec le même code de province à deux lettres, et rien sur vos alertes.

b) Un lien de pharmacie ou de télémédecine sur lequel vous appuyez. Lorsque vous choisissez d’ouvrir un lien partenaire, l’application ouvre glp1prices.ca/api/go/ avec l’identifiant du lien et une courte étiquette de contexte (l’écran d’où il provient et votre province), et notre service redirige votre navigateur vers le partenaire. Cette requête ne contient ni votre médicament, ni vos doses, ni votre poids, ni aucune autre saisie. Nous gardons une trace de ce choix — quel lien, quel écran, votre province et l’heure — pour compter l’utilisation de chaque partenaire. Cette trace ne contient aucun identifiant et ne peut pas être rattachée à vous. Dès que le site du partenaire s’ouvre, vous êtes chez lui et c’est sa politique de confidentialité qui s’applique.

c) Diagnostics anonymes — seulement si vous les activez. Les diagnostics sont désactivés par défaut, pour tout le monde. Une fois activés, l’application peut envoyer : (i) des compteurs d’étapes, qui contiennent le nom de l’étape, la semaine de votre première utilisation, la plateforme et la version de l’application, et aucun identifiant; et (ii) des rapports de panne, nettoyés avant l’envoi — aucune capture d’écran, aucune hiérarchie de vues, aucune identification de l’utilisateur, et tout nombre voisin de kg, lb, mg, mcg ou mL est remplacé par « [redacted] », pour qu’un poids ou une dose ne puisse pas voyager à l’intérieur d’un message d’erreur. Vous pouvez désactiver les diagnostics à tout moment dans les réglages; tant qu’ils sont désactivés, rien n’est mis en file ni conservé.

d) Vérification des mises à jour. Au démarrage, l’application demande à Expo, notre fournisseur de mises à jour, si une version plus récente de son logiciel est offerte. Cette vérification transporte la version de l’application, la plateforme et un identifiant aléatoire propre à cette installation, créé par Expo pour compter les installations. Il n’est lié ni à vous ni à vos saisies, et il change si vous réinstallez l’application.

e) « Obtenir un résumé » — à partir de la version 1.1, et seulement lorsque vous appuyez sur ce bouton. Sur l’écran Progression, « Obtenir un résumé » demande un court résumé de votre semaine. Une fois que vous avez accepté, une seule fois, un message qui nomme le fournisseur d’intelligence artificielle, chaque appui envoie les chiffres de la semaine et un code aléatoire à notre service, à glp1prices.ca, qui fait rédiger le résumé par Claude, une IA conçue par Anthropic, puis le renvoie à votre téléphone. La section 4 énumère exactement ce qui est envoyé et ce qu’il en advient. Sans appui, rien n’est envoyé.

f) État de Premium — à partir de la version 1.2. Au démarrage, et lorsque vous y revenez, l’application demande à RevenueCat, notre fournisseur d’abonnements, si Premium est actif sur cette installation et quels abonnements sont offerts. Cette requête transporte un code aléatoire que RevenueCat crée pour cette installation, la version de l’application, la plateforme, ainsi que la langue de votre téléphone et le pays de sa boutique, et rien de ce que vous inscrivez. Elle est faite que vous ayez un abonnement ou non, puisque c’est ainsi que l’application apprend que vous en avez un. Lorsque vous achetez ou restaurez Premium, l’achat lui-même passe par Apple ou Google, et l’application transmet à RevenueCat la preuve d’achat fournie par la boutique. La section 17 indique ce que conserve RevenueCat.

Les rappels ne sont pas des requêtes réseau. Ils sont programmés par le système d’exploitation de votre téléphone et, par défaut, leur texte ne nomme pas votre médicament. À partir de la version 1.2, les notifications d’alerte de prix sont créées de la même façon, sur votre téléphone, et leur texte ne nomme jamais le médicament, la pharmacie ni le prix (section 17). La lecture de l’app Santé ou de Santé Connect (section 5) n’en est pas une non plus : elle se fait sur votre téléphone, entre cette app et la nôtre.

4. « Obtenir un résumé » : le résumé hebdomadaire par IA (à partir de la version 1.1)

La présente section s’applique à partir de la version 1.1 de l’application. « Obtenir un résumé » est facultatif, et l’application fonctionne de la même façon sans lui. À partir de la version 1.2, il fait partie de Premium (section 17) : sans Premium, le bouton ouvre l’écran Premium, et rien n’est demandé ni envoyé. La première fois que vous appuyez sur ce bouton, l’application vous demande si vous acceptez d’envoyer les chiffres de la semaine à notre serveur et à Claude, une IA conçue par Anthropic. Si vous choisissez Annuler, rien n’est envoyé. Si vous choisissez Envoyer, l’application consigne votre accord avec sa date et, par la suite, un résumé n’est demandé que lorsque vous appuyez de nouveau sur « Obtenir un résumé ». La vue « Votre semaine » du même écran (à partir de la version 1.2) ne fait pas partie de cette fonction : l’application la calcule sur votre téléphone et n’envoie rien.

Ce qui est envoyé, à chaque appui :

• le nombre de doses inscrites cette semaine et, si vous avez enregistré un horaire de doses, le nombre prévu selon cet horaire • le nombre d’effets indésirables inscrits cette semaine, compté par symptôme, avec le nom de chaque symptôme, y compris les noms que vous avez tapés pour les symptômes ajoutés vous-même • le nombre de jours de la semaine comportant un bilan quotidien, et vos moyennes de sommeil (en heures), d’humeur et d’énergie pour ces jours • votre poids sur les 7 derniers jours et sur les 30 derniers jours : le premier et le dernier poids de chaque période, avec leurs dates, l’écart entre les deux et le nombre d’entrées • le premier et le dernier jour de la semaine, la langue de l’application (français ou anglais) et votre unité de poids (kg ou lb) • le code aléatoire décrit plus bas

Ce qui n’est pas envoyé : vos notes, vos saisies sur les selles, vos réponses sur le stress, la faim, le bruit alimentaire et les envies alimentaires et vos choix « Aucun aujourd’hui » (questions du bilan ajoutées dans la version 1.2), les chiffres de la semaine précédente, les identifiants de vos saisies, le nom de votre médicament, votre province, ni rien qui vous identifie, comme un nom, une adresse courriel ou un identifiant d’appareil. Comme pour toute requête, notre service voit l’adresse IP de votre téléphone (section 6).

Le trajet, et qui conserve quoi. Votre téléphone envoie les chiffres en HTTPS à notre service, à glp1prices.ca, hébergé par Vercel derrière Cloudflare. Notre service les met en forme en texte simple, transmet ce texte à l’API d’Anthropic, reçoit trois ou quatre phrases en retour, les vérifie et les renvoie à votre téléphone. Notre service ne conserve ni les chiffres ni le résumé, et ne les inscrit pas dans ses journaux. Le code aléatoire ne va pas plus loin que notre service.

Ce qu’Anthropic en fait. Anthropic traite ce texte pour notre compte, à titre de fournisseur de services, afin de rédiger votre résumé. En vertu de ses conditions commerciales, Anthropic n’utilise pas ce texte pour entraîner ses modèles. Anthropic indique qu’elle supprime automatiquement les entrées et les sorties de son API dans un délai de 30 jours, sauf qu’elle les conserve jusqu’à 2 ans si une requête est signalée comme contraire à sa politique d’utilisation, et plus longtemps si la loi l’exige. Anthropic peut traiter ce texte à l’extérieur du Canada, notamment aux États-Unis.

Le code aléatoire. La première fois que vous utilisez « Obtenir un résumé », l’application crée un code aléatoire et le conserve dans sa base de données chiffrée. Il accompagne les requêtes « Obtenir un résumé », et rien d’autre, pour que notre service puisse limiter chaque installation à un résumé toutes les six heures. Notre service n’en conserve qu’une forme brouillée (un hachage à clé), pendant six heures, sans rien d’autre à côté. Ce code n’est pas un identifiant d’utilisateur : il n’est lié ni à votre nom, ni à vos saisies, ni à aucune autre requête de l’application, il n’est pas inclus dans les sauvegardes, et « Supprimer toutes les données » l’efface de votre téléphone. Comme pour le reste de notre service, un compte des requêtes de chaque adresse IP est aussi conservé, pendant au plus une heure, pour prévenir les abus.

Le résumé. Il s’affiche sur l’écran Progression et n’est enregistré ni sur votre téléphone ni sur nos serveurs. Il est rédigé par une IA à partir des chiffres ci-dessus. Ce n’est pas un avis médical, il n’interprète pas vos chiffres, et nous ne promettons rien quant à ce qu’il dira : il peut être incomplet ou inexact, et ce sont vos saisies dans l’application qui font foi. Les questions sur votre santé ou votre traitement s’adressent à votre médecin ou à votre pharmacien.

Changer d’avis. Rien ne vous oblige à utiliser « Obtenir un résumé ». Rien n’est envoyé si vous n’appuyez pas sur le bouton : vous pouvez donc retirer votre accord à tout moment, simplement en cessant de l’utiliser. « Supprimer toutes les données », dans les réglages, efface la trace de votre accord ainsi que le code aléatoire, et l’application vous redemandera votre accord avant tout envoi. Ce qui a déjà été envoyé ne peut pas être rappelé auprès d’Anthropic, qui le supprime selon le calendrier ci-dessus.

5. L’app Santé d’Apple et Santé Connect (à partir de la version 1.1)

La présente section s’applique à partir de la version 1.1 de l’application. Sur iPhone, l’application peut lire des données de l’app Santé d’Apple (HealthKit) et, sur Android, de Santé Connect (Health Connect). C’est facultatif et désactivé tant que vous ne l’activez pas dans Réglages → Santé → Connecter; votre téléphone affiche alors son propre écran d’autorisation, où vous choisissez ce que l’application peut lire.

Ce que l’application lit, et rien d’autre :

• vos poids des 30 derniers jours, qui deviennent des entrées de poids dans l’application, avec la mention de leur provenance • votre sommeil de la nuit dernière, pour le champ du sommeil du bilan du jour lorsque ce champ est vide. La version 1.1 remplit le champ; à partir de la version 1.2, le bilan vous propose la valeur et ne l’utilise que si vous appuyez sur Utiliser. Dans les deux cas, vous pouvez la modifier ou l’effacer, et elle n’est enregistrée que lorsque vous enregistrez le bilan

L’application ne lit ces données que lorsque vous appuyez sur Connecter ou Synchroniser dans les réglages, ou que vous ouvrez le bilan du jour. Elle ne les lit jamais en arrière-plan, et elle n’écrit jamais rien dans l’app Santé ni dans Santé Connect.

Ce qu’il en advient. Ce que l’application lit est conservé dans la même base de données chiffrée que vos autres saisies (section 2), tenu à l’écart des sauvegardes iCloud et Android de la même façon, et traité comme une saisie faite à la main : vous pouvez modifier ou supprimer un poids importé comme n’importe quel autre. Le supprimer dans l’application ne le supprime pas de l’app Santé ni de Santé Connect. Il ne figure dans un fichier de sauvegarde que si vous en créez un vous-même (section 10).

Ce que nous n’en faisons pas. Nous n’utilisons pas les renseignements provenant de l’app Santé d’Apple (HealthKit) ou de Santé Connect à des fins de publicité, de marketing ou d’exploration de données, nous ne les vendons pas, et nous ne les communiquons à aucun tiers, sauf dans le seul cas décrit ci-dessous, que vous déclenchez vous-même. L’importation elle-même n’envoie rien hors de votre téléphone, ni à nous ni à personne d’autre.

Le cas à connaître : « Obtenir un résumé » (section 4) calcule les chiffres de la semaine à partir de toutes vos saisies. Si vous appuyez sur ce bouton, un poids importé, ou des heures de sommeil provenant de l’app Santé ou de Santé Connect que vous avez gardées dans un bilan, comptent donc comme une saisie faite à la main et partent avec ces chiffres vers notre service et vers Anthropic, qui les traite pour notre compte, uniquement pour rédiger votre résumé. Cela ne se produit que si vous appuyez sur « Obtenir un résumé », après y avoir consenti.

Pour y mettre fin. Vous pouvez retirer cet accès à tout moment. Sur iPhone : dans l’app Santé, touchez votre photo de profil, puis Apps sous Confidentialité, puis GLP1Prices; ou allez dans Réglages → Santé → Accès aux données et appareils → GLP1Prices. Sur Android : ouvrez l’app Santé Connect, puis Autorisations des applis → GLP1Prices. Les poids déjà importés restent dans l’application jusqu’à ce que vous les supprimiez, un à un ou avec « Supprimer toutes les données ».

6. Adresses IP et journaux de serveur

Toute requête à un serveur, sur Internet, révèle à ce serveur votre adresse IP, et les requêtes ci-dessus ne font pas exception. Notre service et le réseau de diffusion de contenu placé devant lui traitent l’adresse IP d’une requête afin de livrer la réponse et de protéger le service contre les abus.

Cette adresse IP n’est pas conservée à côté de renseignements de santé : les requêtes de prix, de lien, de diagnostic, de mise à jour et de Premium n’en contiennent aucun, et les chiffres d’une requête « Obtenir un résumé » ne sont pas conservés du tout. Nous ne pouvons pas relier un téléchargement de prix ou un clic à ce qui se trouve sur votre téléphone, et nous n’essayons pas de le faire.

7. Les entreprises qui traitent des données pour nous

Nous nommons nos fournisseurs plutôt que de les décrire par catégorie, pour que vous puissiez les vérifier vous-même :

• Vercel — héberge le site, le service public de prix d’où l’application télécharge les prix et, à partir de la version 1.1, le service qui traite les requêtes « Obtenir un résumé ». • Cloudflare — diffusion de contenu et sécurité devant ce service; voit l’adresse IP d’une requête, et laisse passer les requêtes « Obtenir un résumé » sans les conserver. • Neon — la base de données qui contient les prix publiés des pharmacies, les compteurs anonymes. Elle ne contient aucune saisie provenant de votre téléphone. • Upstash — contient les compteurs de courte durée qu’utilise notre service pour limiter les requêtes, y compris la clé de six heures liée à « Obtenir un résumé », décrite à la section 4. • Anthropic — à partir de la version 1.1, rédige le résumé « Obtenir un résumé » à partir des chiffres de la semaine envoyés lorsque vous appuyez sur le bouton (section 4). Elle ne les utilise pas pour entraîner ses modèles. • RevenueCat — à partir de la version 1.2, sait si cette installation a Premium, sous un code aléatoire qu’elle crée, et conserve la trace des achats de Premium (section 17). Elle ne reçoit rien de ce que vous inscrivez. • Expo (Expo Application Services) — construit l’application et héberge les mises à jour qu’elle télécharge. Une vérification de mise à jour transporte la version de l’application, la plateforme et un identifiant aléatoire propre à cette installation, créé par Expo pour compter les installations. Il n’est lié ni à vous ni à vos saisies, et il change si vous réinstallez l’application. • Sentry — les rapports de panne, et uniquement pendant que les diagnostics sont activés. • Apple et Google — distribuent l’application dans leurs magasins. Ce qu’ils recueillent à ce titre relève de leurs propres politiques, pas de la nôtre. L’app Santé et Santé Connect font partie du logiciel de leurs téléphones; l’application les lit sur votre téléphone et n’envoie rien de ce qu’elle y lit à Apple ni à Google. À partir de la version 1.2, ils vendent aussi Premium et encaissent le paiement. Les notifications d’alerte de prix sont créées sur votre téléphone et ne passent pas par leurs services de notifications push.

Il n’y a dans l’application aucun réseau publicitaire, aucun logiciel de marketing ou d’attribution ni aucun outil de rejeu de session, et aucun logiciel d’intelligence artificielle ne s’exécute sur votre téléphone. Le seul recours à l’intelligence artificielle est « Obtenir un résumé » (à partir de la version 1.1), qui s’exécute sur notre service et sur celui d’Anthropic, et seulement lorsque vous appuyez sur le bouton. L’application est construite à partir d’une liste écrite de composants autorisés, et un test automatisé fait échouer la construction si un composant hors de cette liste est ajouté.

8. Où se fait le traitement

Vos saisies restent sur votre téléphone : elles sont donc là où vous êtes. Le service public de prix et les fournisseurs énumérés ci-dessus, y compris Anthropic et RevenueCat, fonctionnent sur des infrastructures qui peuvent se trouver à l’extérieur du Canada, notamment aux États-Unis, et être ainsi assujetties aux lois de ces pays.

Ce qui atteint cette infrastructure est : un code de province, un identifiant de lien, une adresse IP, l’identifiant d’installation aléatoire d’Expo, si vous les avez activés, des compteurs anonymes et des rapports de panne nettoyés, si vous appuyez sur « Obtenir un résumé », les chiffres de la semaine et le code aléatoire de cette fonction (section 4) et, à partir de la version 1.2, le code aléatoire de RevenueCat avec la trace de tout achat de Premium (section 17). Cela n’inclut aucun renseignement qui vous identifie et, hormis les chiffres de « Obtenir un résumé », rien de cela ne décrit votre santé. Vos alertes de prix n’en font pas partie : elles restent sur votre téléphone.

9. Consentement

Avant de pouvoir inscrire quoi que ce soit, un écran vous explique ce qu’est l’application, ce qu’elle n’est pas et où vos saisies sont conservées, puis vous demande d’accepter qu’elle conserve vos saisies de santé sur votre appareil. Cette acceptation est enregistrée avec sa date et sa version. Les diagnostics sont un choix distinct et facultatif sur le même écran, désactivé tant que vous ne l’activez pas.

À partir de la version 1.1, deux fonctions facultatives demandent votre accord séparément, la première fois que vous les utilisez : « Obtenir un résumé » vous demande si vous acceptez d’envoyer les chiffres de la semaine à notre service et à Anthropic (section 4), et la connexion à l’app Santé ou à Santé Connect affiche l’écran d’autorisation de votre téléphone (section 5). Refuser l’une ou l’autre ne change rien au reste de l’application.

À partir de la version 1.2, la création de votre première alerte de prix affiche l’écran d’autorisation des notifications de votre téléphone, si vous ne les avez pas déjà autorisées pour les rappels. Premium s’achète sur l’écran d’achat d’Apple ou de Google. Refuser l’un ou l’autre ne change rien au reste de l’application.

Vous pouvez retirer votre consentement en supprimant vos données ou en désinstallant l’application. Une partie de ce que fait l’application n’est possible qu’avec les saisies que vous fournissez : retirer votre consentement signifie qu’elle ne peut plus tenir votre dossier. Pour retirer votre accord à « Obtenir un résumé », cessez de l’utiliser : rien n’est envoyé sans appui, et « Supprimer toutes les données » efface la trace de cet accord. Pour arrêter l’importation de données de santé, retirez l’accès de l’application comme le décrit la section 5. Pour mettre fin aux alertes de prix, supprimez-les dans Réglages → Alertes de prix.

10. Les sauvegardes et exportations que vous faites vous-même

L’application peut produire un fichier de sauvegarde et une exportation en tableur (CSV). Les deux sont créés par vous, sur le moment, et remis à la feuille de partage de votre téléphone pour que vous décidiez où ils vont. À partir de la version 1.2, un fichier de sauvegarde ne contient pas vos alertes de prix (section 17).

À partir de la version 1.2, les deux contiennent les réponses du bilan ajoutées dans cette version (stress, faim, bruit alimentaire, envies alimentaires et « Aucun aujourd’hui ») : l’exportation CSV sous forme de cinq colonnes de plus dans son fichier des bilans, et le fichier de sauvegarde avec, en plus, les questions que pose le bilan.

Un fichier de sauvegarde est chiffré avec une phrase de passe que vous choisissez (AES-256-GCM, avec dérivation de clé scrypt). Si vous perdez cette phrase de passe, le fichier est irrécupérable — ni par vous, ni par nous. Une exportation CSV est un fichier texte en clair, non chiffré : traitez-la comme une copie papier de votre dossier.

Dès que vous envoyez un fichier quelque part — courriel, stockage infonuagique, messagerie — il relève de ce service, et non de la présente politique.

11. Durées de conservation

• Vos saisies : jusqu’à ce que vous les supprimiez. « Supprimer toutes les données », dans les réglages, les retire de l’appareil, et la désinstallation de l’application les emporte avec elle. Les poids importés de l’app Santé ou de Santé Connect sont des saisies comme les autres; les supprimer ici ne les supprime pas là-bas. • « Obtenir un résumé » (à partir de la version 1.1) : notre service ne conserve ni les chiffres ni le résumé, et l’application n’enregistre pas le résumé. Anthropic supprime ce qu’elle a reçu dans un délai de 30 jours, sauf si la requête est signalée en vertu de sa politique d’utilisation (jusqu’à 2 ans dans ce cas) ou si la loi exige une durée plus longue. Notre service conserve la forme brouillée du code aléatoire pendant 6 heures; le code lui-même reste sur votre téléphone jusqu’à « Supprimer toutes les données ». • Alertes de prix (à partir de la version 1.2) : sur votre téléphone, dans la même base de données chiffrée que vos saisies, jusqu’à ce que vous les supprimiez. « Supprimer toutes les données » les efface, tout comme la désinstallation de l’application. Elles ne figurent pas dans les fichiers de sauvegarde, et nous n’en détenons aucune copie. • Premium (à partir de la version 1.2) : RevenueCat conserve la trace de vos achats tant que nous utilisons son service, sauf si vous nous demandez de la faire supprimer (section 17). Apple et Google conservent leurs propres traces selon leurs propres politiques. • Rapports de panne (seulement si vous les avez activés) : conservés par Sentry jusqu’à 90 jours. • Compteurs anonymes (seulement si vous les avez activés) : conservés sous forme agrégée. Ils ne contiennent aucun identifiant et ne peuvent donc être rattachés à une personne ni supprimés individuellement. • Traces des liens partenaires choisis : conservées pour compter l’utilisation; elles ne contiennent aucun identifiant. • Journaux de serveur et compteurs de requêtes contenant des adresses IP : conservés brièvement par nos fournisseurs d’hébergement et de sécurité, à des fins d’exploitation et de sécurité.

Pour toute question sur la suppression de ce que nous détenons, écrivez à privacy@glp1prices.ca. Nous ne détenons rien qui vous identifie; tout ce que vous inscrivez est sur votre téléphone, et Réglages → Exporter, importer, supprimer → Supprimer toutes les données l’efface, ainsi que la trace de votre accord à « Obtenir un résumé » et son code aléatoire et, à partir de la version 1.2, vos alertes de prix. Pour faire supprimer la trace d’un achat de Premium chez RevenueCat, envoyez-nous le numéro de commande figurant sur le reçu d’Apple ou de Google (section 17).

12. Vos droits

En vertu de la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE), de la Loi 25 du Québec et des lois provinciales semblables, vous avez le droit d’accéder aux renseignements personnels qu’une organisation détient à votre sujet, d’en demander la correction et de porter plainte sur la façon dont ils sont traités.

Dans les faits, l’application vous donne ces droits directement : votre dossier est sur votre appareil, vous pouvez le lire, le corriger, l’exporter et le supprimer à tout moment, sans nous le demander. Nous n’en détenons aucune copie à vous remettre. À partir de la version 1.2, cela vaut aussi pour vos alertes de prix, conservées sur votre téléphone, dans Réglages → Alertes de prix.

Si vous nous avez écrit, nous conservons cette correspondance. Vous pouvez nous interroger à son sujet, ou nous demander de la supprimer, à privacy@glp1prices.ca. Nous répondons dans les 30 jours.

Si notre réponse ne vous satisfait pas, vous pouvez porter plainte auprès du Commissariat à la protection de la vie privée du Canada et, si vous habitez au Québec, auprès de la Commission d’accès à l’information du Québec.

13. Sécurité

La base de données de votre appareil est chiffrée et sa clé est conservée dans le magasin sécurisé de la plateforme, adossé au matériel. Les requêtes réseau utilisent HTTPS. L’application ne demande aucune autorisation dont elle n’a pas besoin : ni vos contacts, ni vos photos, ni votre position, ni votre microphone. À partir de la version 1.1, elle peut demander à lire votre poids et votre sommeil dans l’app Santé ou dans Santé Connect, et seulement après que vous avez appuyé sur Connecter. À partir de la version 1.2, la création de votre première alerte de prix demande l’autorisation d’afficher des notifications, si vous ne l’avez pas déjà donnée pour les rappels.

Aucune sécurité n’est absolue. Sur un appareil qui contient un dossier de santé, la protection la plus importante reste le verrouillage de l’appareil lui-même — code ou biométrie.

En cas d’incident de confidentialité présentant un risque de préjudice sérieux, nous aviserons le Commissariat à la protection de la vie privée du Canada et, lorsque la Loi 25 s’applique, la Commission d’accès à l’information, ainsi que les personnes concernées, comme ces lois l’exigent.

14. Enfants

L’application ne s’adresse pas aux enfants. Elle est classée pour les personnes de 13 ans et plus et conçue pour des personnes à qui un professionnel de la santé a déjà prescrit un médicament.

15. Modifications

Si nous modifions la présente politique, la date affichée en haut change également. Si une modification est importante — par exemple si l’application se met à transmettre quelque chose de nouveau depuis votre téléphone — nous vous demanderons votre accord dans l’application avant qu’elle ne vous soit appliquée.

16. Nous joindre

Responsable de la protection des renseignements personnels, Onset Security Inc — privacy@glp1prices.ca

Pour tout le reste : hello@glp1prices.ca

17. Alertes de prix, notifications et Premium (à partir de la version 1.2)

La présente section s’applique à partir de la version 1.2 de l’application. Les alertes de prix et Premium sont facultatifs, et l’application fonctionne de la même façon sans eux. Premium comprend les alertes de prix et « Obtenir un résumé » (section 4). Hormis la vérification de Premium décrite à la section 3 f), rien de ce que décrit la présente section ne se produit tant que vous n’avez pas créé d’alerte de prix ni acheté Premium.

Les alertes de prix. Une alerte de prix vous prévient lorsqu’une pharmacie de votre province affiche le format que vous prenez à un prix égal ou inférieur à celui que vous avez choisi. Vous la créez depuis l’onglet Prix, pour votre propre format; il y a une alerte par format et par province, et en créer une nouvelle remplace l’ancienne. Vos alertes sont conservées sur votre téléphone, dans la même base de données chiffrée que vos saisies (section 2), et la comparaison se fait sur votre téléphone. Nous ne recevons pas vos alertes : rien à leur sujet n’est envoyé, ni à nous ni à personne d’autre.

Ce que l’application conserve sur votre téléphone pour chaque alerte :

• le format visé par l’alerte (le médicament et sa teneur), et votre province • le prix que vous avez choisi, et si l’alerte est active • la date de sa création, et celle de la dernière notification

Les alertes ne figurent pas dans le fichier de sauvegarde décrit à la section 10 : un téléphone restauré à partir d’une sauvegarde commence donc sans alerte.

Comment se fait la vérification. Tant que vous avez au moins une alerte active, l’application vérifie les prix jusqu’à environ deux fois par jour : en arrière-plan, et lorsque vous l’ouvrez, au plus une fois toutes les 12 heures. Chaque vérification télécharge les prix publics de votre province — la même requête que celle décrite à la section 3 a), qui ne contient qu’un code de province à deux lettres — et les compare à vos alertes, sur votre téléphone. La vérification en arrière-plan passe par le planificateur de votre téléphone (Actualiser en arrière-plan sur iPhone, tâches planifiées en arrière-plan sur Android). C’est votre téléphone qui décide du moment où elle a lieu : une vérification peut donc être retardée ou sautée, par exemple en mode Économie d’énergie ou si l’actualisation en arrière-plan est désactivée pour l’application; l’application vérifie aussi lorsque vous l’ouvrez. Lorsqu’il ne vous reste aucune alerte, la vérification en arrière-plan est désactivée.

La notification. Lorsqu’un prix égal ou inférieur au vôtre apparaît, l’application demande à votre téléphone d’afficher une notification, de la même façon que les rappels de dose. Cela peut se produire dès la première vérification, y compris juste après la création de l’alerte si une pharmacie affiche déjà ce prix. La notification est créée sur votre téléphone : elle ne vient pas de nous, elle ne passe pas par les services de notifications push d’Apple ou de Google, et aucun jeton de notification n’est créé ni envoyé. Son texte est le même pour chaque alerte : « Alerte de prix — Une pharmacie est passée sous votre prix cible — ouvrez GLP1Prices pour voir les détails ». Il ne nomme jamais le médicament, la pharmacie ni le prix : rien de votre traitement n’apparaît donc sur l’écran verrouillé. Une fois qu’elle vous a avisé, l’alerte se désactive d’elle-même; créez-la de nouveau si vous en voulez une autre.

Supprimer une alerte. Réglages → Alertes de prix affiche vos alertes, et vous pouvez supprimer n’importe laquelle d’entre elles à cet endroit. « Supprimer toutes les données », dans les réglages, les supprime toutes et arrête les vérifications en arrière-plan, et retirer l’application les supprime avec tout le reste. Désactiver les notifications de l’application dans les réglages de votre téléphone empêche les alertes de vous parvenir et, si votre téléphone bloque l’activité en arrière-plan de l’application, les prix ne sont vérifiés que lorsque vous l’ouvrez.

Premium. Premium est un abonnement facultatif, acheté dans l’application par l’App Store ou Google Play. Apple ou Google encaisse le paiement, selon ses propres conditions et sa propre politique de confidentialité. Nous ne voyons jamais votre carte de paiement, votre nom, votre adresse courriel ni votre compte Apple ou Google.

Pour savoir si cette installation a Premium, l’application utilise RevenueCat, une entreprise qui gère les abonnements pour le compte d’éditeurs d’applications. RevenueCat crée un code aléatoire pour cette installation, qui reste sur votre téléphone jusqu’à ce que vous retiriez l’application, et c’est ce code qu’utilise la vérification de Premium décrite à la section 3 f). Lorsque vous achetez ou restaurez Premium, l’application transmet à RevenueCat la preuve d’achat fournie par la boutique, et RevenueCat la vérifie auprès d’Apple ou de Google. Sous ce code aléatoire, RevenueCat conserve : l’abonnement choisi, son prix et sa devise, le pays de la boutique, les dates de début, de renouvellement ou de fin, et les numéros de transaction de la boutique.

Nous pouvons consulter cette trace dans le tableau de bord de RevenueCat, et nous nous en servons pour faire fonctionner Premium et compter les abonnements. Elle ne nous dit pas qui vous êtes. Nous ne donnons à RevenueCat ni nom, ni adresse courriel, ni autre identifiant, et nous ne relions sa trace ni à vos saisies ni à aucune autre requête de l’application. RevenueCat la traite pour notre compte, à titre de fournisseur de services, et peut le faire à l’extérieur du Canada, notamment aux États-Unis.

Annuler, et faire supprimer la trace. L’abonnement se gère dans votre compte Apple ou Google, et non dans l’application : sur iPhone, Réglages → votre nom → Abonnements; sur Android, Google Play → Paiements et abonnements → Abonnements. Retirer l’application ou utiliser « Supprimer toutes les données » ne l’annule pas. Pour faire supprimer la trace de vos achats chez RevenueCat, écrivez à privacy@glp1prices.ca en indiquant le numéro de commande figurant sur le courriel de reçu d’Apple ou de Google; nous retrouvons la trace grâce à ce numéro et la faisons supprimer par RevenueCat. Apple et Google conservent leurs propres traces de vos achats, selon leurs propres politiques.