Politique de protection des données

Dernière mise à jour : 20/10/2026

En deux minutes

Allô mon corps vous aide à mieux comprendre ce que vous ressentez. Pour cela, vous nous confiez parfois des choses très intimes. Cette page vous explique, simplement :

qui est responsable de vos données et comment le joindre ;
quelles informations nous utilisons, pourquoi, et combien de temps ;
qui d'autre peut les recevoir ;
ce que vous pouvez faire : accéder à vos données, les corriger, les supprimer, vous opposer, retirer votre accord.

Trois idées à retenir :

Ce que vous écrivez sur votre santé reste, en principe, sur votre appareil. Vos réponses au quiz et vos pratiques sont rangées dans un « coffre » chiffré dans votre navigateur. Nous n'en détenons pas la clé.
Quand vous parlez à Albert, votre message transite par nos serveurs et par un prestataire d'intelligence artificielle pour produire une réponse. Cela suppose votre accord explicite (voir §4).
Rien de ce que vous nous confiez n'est vendu, et nous ne faisons ni publicité ciblée, ni suivi entre sites.

C'est quoi, une « donnée personnelle » ? Toute information qui permet de vous identifier, directement (votre email) ou en la recoupant avec autre chose (un identifiant de compte). Une donnée de santé est une information sur votre santé physique ou mentale ; la loi la protège particulièrement. Ce que vous racontez à Albert sur un symptôme ou une émotion peut en faire partie.

1. Qui est responsable de vos données ?

Le responsable du traitement est l'éditeur d'Allô mon corps, identifié dans les Mentions légales :

Éditeur : Geoffrey Delumeau
Adresse : 16 rue Saint-Joseph, 85310 Nesmy.
**Contact « données personnelles » : bonjour@allomoncorps.com

2. Quelles données utilisons-nous, et pourquoi ?

Pour chaque usage, nous indiquons la base légale : c'est la raison juridique qui nous autorise à utiliser vos données (votre accord, l'exécution d'un contrat, une obligation légale, un intérêt légitime, la sauvegarde d'une vie).

2.1 Créer et utiliser votre compte

Données : adresse email ; prénom et nom, téléphone s'ils sont renseignés ; date de création du compte ; photo de profil si vous en ajoutez une (facultatif).
Pourquoi : vous permettre de vous connecter et d'accéder à votre espace.
Base légale : exécution du service que vous demandez (art. 6.1.b RGPD).
Connexion : par code à usage unique envoyé par email (valable 10 minutes) ou via votre compte Google. Pour le code, nous conservons une empreinte du code et de l'email, jamais le code en clair ; ces éléments sont purgés automatiquement après expiration.
Si vous ne les fournissez pas : l'email et le prénom est nécessaire pour créer un compte. Le nom et le téléphone ne le sont pas.

2.2 Le quiz d'entrée et vos échanges avec Albert

Données : vos réponses au quiz (symptôme, durée, impact, contexte) et ce que vous écrivez à Albert. Elles peuvent révéler des informations sur votre santé physique ou mentale : ce sont des données de santé, dites « sensibles ».
Pourquoi : produire votre décodage et vous accompagner.
Base légale : votre consentement explicite (art. 6.1.a et art. 9.2.a RGPD). C'est le sens de la case que vous cochez avant d'écrire à Albert. Elle est distincte de l'acceptation des conditions d'utilisation : accepter les CGU ne vaut pas accord pour ce traitement.
Où ça vit : vos réponses sont rangées dans le coffre chiffré de votre navigateur. Pour qu'Albert vous réponde, le texte est envoyé à notre serveur puis au prestataire d'IA (voir §4), le temps de produire la réponse.
Retirer votre accord : à tout moment, dans Paramètres → Confidentialité. Le retrait n'efface pas ce qui a déjà eu lieu, mais empêche la suite.
Si vous refusez : vous ne pourrez pas écrire à Albert. Le reste du site (notamment les articles) reste accessible.
Albert est une IA. Ce n'est ni un médecin ni un thérapeute ; il ne pose aucun diagnostic.

2.3 Le filet de sécurité en cas de détresse

Albert repère des signes de détresse dans une conversation. Cela peut déclencher une alerte à une personne de l'équipe, qui peut vous recontacter.

Données : un indicateur de gravité, l'origine (chat ou pratique), les dates de traitement, le compte à recontacter et l'issue du cas. L'alerte ne contient pas le texte de vos échanges. L'accès au contenu d'un échange n'est possible que si vous avez donné un accord spécifique (case « un professionnel habilité relit un échange si un signal de détresse est détecté »).
Base légale : ce filet de sécurité est là pour préserver la sauvegarde d'intérêts vitaux (art. 6.1.d et 9.2.c) sur la plateforme. L'unique information que nous avons pour décider si vous vivez une situation de détresse est un indicateur neutre mesuré par Albert durant votre échange avec lui.
Détection automatique : la détection est faite par un traitement automatisé, mais elle n'aboutit pas à une décision vous concernant : un humain décide de la suite.
Durée : le cas est supprimé 30 jours après sa clôture ; il en reste une trace pseudonymisée (sans votre identité directe, sans contenu) conservée 365 jours. Un cas ouvert n'est jamais purgé.
En cas de détresse, vous pouvez à tout moment appeler le 3114 (24 h/24) ou le 15.

2.4 Pratiques, météo intérieure, psychogénéalogie

Données : vos réponses aux pratiques, votre « météo intérieure » (énergie, corps, envie), votre arbre généalogique.
Où : uniquement dans le coffre chiffré de votre appareil. Nous n'en recevons pas copie. Une fois par semaine, votre appareil nous envoie seulement un résumé en tranches, sans identifiant et sans aucun contenu (voir §2.10).
Personnes de votre arbre : vous y saisissez des informations sur des proches qui n'ont pas été consultés. Ces données restent chez vous, à usage personnel, et ne sont pas transmises afin de respecter les données de vos proches qui n'ont pas donnés leur consentement pour le traitement de leurs données.
Conséquence : si vous perdez l'appareil ou videz les données du navigateur, nous ne pourrons pas les récupérer.

2.5 Recommandation d'un thérapeute

Ce que nous faisons : à partir des thèmes détectés dans vos échanges, nous classons des thérapeutes partenaires qui pourraient vous convenir. C'est du profilage au sens du RGPD (une évaluation automatisée de vos besoins), sans décision ayant d'effet juridique sur vous : vous restez libre de contacter ou non un thérapeute.
Base légale : à compléter
Ce que le thérapeute reçoit : lors de votre réservation d'une prestation de l'un de nos thérapeute, celui-ci reçoit votre prénom, nom, email et la date et le statut de votre rendez-vous. Toutes autres informations que vous avez échangé sur Allo mon corps ne le lui sont pas communiquées.

2.6 Réserver et payer une séance, s'abonner

Données : identité, email, créneau choisi, état de la réservation, informations de paiement traitées par notre prestataire de paiement (nous ne voyons pas votre numéro de carte), identifiants client du prestataire de paiement, factures.
Libellé neutre : le libellé de la prestation sur le paiement et les factures est « Séance d'accompagnement », afin de ne pas révéler de motif de santé.
Pourquoi : conclure et exécuter votre commande, tenir notre comptabilité.
Base légale : exécution du contrat (art. 6.1.b) ; obligations comptables (art. 6.1.c).
Durée : les factures et les réservations sont conservées 10 ans ; à la suppression du compte, les réservations sont anonymisées pour la comptabilité.

2.7 Emails : transactionnels et newsletter

Emails de service (code de connexion, confirmation de réservation, facture) : nécessaires au service, sans case à cocher.
Newsletter « clés d'apaisement » : uniquement si vous cochez la case dédiée. Retirable en un clic dans chaque email. Nous transmettons au prestataire d'envoi votre prénom, votre formule et la date d'inscription ; jamais de symptôme ni de donnée de santé.
Base légale : votre consentement (art. 6.1.a).
Durée : les contacts de notre newsletter sont conservés 13 mois sans ouverture.

2.8 Nous écrire, donner votre avis

Formulaire de contact : votre message et vos coordonnées sont conservés 12 mois, sans votre adresse IP, pour vous répondre.
Formulaire « Votre avis » (facultatif) : deux notes et un texte libre (1 000 caractères). Sans compte, sans adresse IP, sans cookie. Si vous écrivez malgré tout une information de santé, elle est supprimée dans les 7 jours de son repérage ; le texte est de toute façon effacé au bout de 180 jours. Nous vous demandons de ne pas y décrire votre état de santé.
Base légale : votre demande (art. 6.1.b) pour le contact ; votre accord, par l'envoi volontaire, pour l'avis (art. 6.1.a).

2.9 Candidatures de thérapeutes

Si vous êtes thérapeute : profession, numéro SIRET, numéro ADELI/RPPS (facultatif) et attestation de responsabilité civile professionnelle, lue uniquement par notre équipe, pour vérifier votre profil avant tout référencement (art. 6.1.b et intérêt légitime, art. 6.1.f).

2.10 Statistiques de fréquentation et de parcours

Nous mesurons quelles pages sont consultées et où les parcours s'arrêtent, avec Matomo, hébergé sur nos propres serveurs.

Sans cookie, adresse IP anonymisée avant enregistrement (deux derniers octets supprimés), adresses de pages débarrassées de tout identifiant.
Jamais collectés : vos échanges, vos réponses au quiz, vos symptômes, votre identifiant de compte, votre email.
Les signaux « Do Not Track » et « Global Privacy Control » sont respectés. Vous pouvez aussi vous y opposer dans Paramètres → Confidentialité → Mesure d'audience anonyme.
Base légale : intérêt légitime (art. 6.1.f), dans le cadre de l'exemption de consentement de la CNIL pour la mesure d'audience. Durée : 13 mois pour les données brutes ; statistiques agrégées ensuite.

Mesure des parcours (outil développé par nous, sur nos serveurs). Pour savoir à quel écran un parcours s'interrompt (fiche, quiz, création de compte, offres, paiement), nous enregistrons les étapes franchies dans l'interface.

Ce qui est mesuré : le nom de l'étape (par exemple « écran 2 sur 5 du quiz »), le bouton cliqué, le temps écoulé depuis l'étape précédente, le type d'appareil (mobile ou ordinateur), une provenance générale (une fiche, l'accueil, une campagne) et, en tranches, depuis combien de temps vous n'étiez pas venu.
Comment : un identifiant de parcours tiré au hasard relie les étapes d'un même onglet. Il disparaît à la fermeture de l'onglet, et il est renouvelé après 30 minutes d'inactivité, à la connexion et à la déconnexion. La mesure est envoyée sans cookie et sans votre connexion : nous ne pouvons pas la relier à votre compte. L'heure est arrondie à l'heure ou au jour.
Jamais mesuré : ce que vous écrivez, la longueur de ce que vous écrivez, vos réponses au quiz, votre symptôme, votre intention, vos ressentis, votre identifiant de compte, votre email, votre adresse IP, ni rien qui touche au filet de sécurité (§2.3).
Votre espace personnel : une fois par semaine, votre appareil compte lui-même, dans le coffre, et nous envoie seulement des tranches sur la semaine écoulée (« 5 à 10 lignes de conversation », « un brouillon : oui », nombre de pratiques terminées, nombre d'entrées de météo intérieure, nombre de jours d'utilisation, mode du coffre, sauvegarde déjà faite ou non). Il est calculé sans rien déchiffrer. Ce résumé ne porte aucun identifiant. Il ne contient jamais un texte, une longueur, un thème, la valeur de votre météo intérieure, une réponse de pratique ni une personne de votre arbre.
Sur votre appareil : la provenance (30 jours), la date de votre dernière visite au jour près, votre nombre de visites (13 mois au plus) et la dernière semaine dont le résumé est parti. Ces valeurs ne vous identifient pas.
Conservation : données brutes supprimées au bout de 90 jours ; ensuite, seuls restent des totaux, affichés à partir de 5 parcours.
Base légale : intérêt légitime (art. 6.1.f), dans le cadre de la même exemption CNIL. Opposition : le même réglage Paramètres → Confidentialité → Mesure d'audience anonyme, ainsi que « Do Not Track » et « Global Privacy Control », arrêtent cette mesure et effacent les valeurs gardées sur votre appareil.

Statistiques sur les comptes. Pour savoir si le service est utile dans la durée, nous calculons des totaux à partir des informations que notre serveur détient déjà sur les comptes : part des comptes revenus 1, 7 et 30 jours après l'inscription, nombre d'échanges par semaine, atteinte du quota gratuit. Ces calculs se font par groupes d'inscrits (au moins 5 personnes), jamais compte par compte. Ils n'utilisent aucun contenu.

Base légale : intérêt légitime (art. 6.1.f). Opposition : par email à bonjour@allomoncorps.com ; votre compte est alors exclu de ces calculs.

2.11 Sécurité et prévention des abus

Adresse IP tronquée (dernier groupe supprimé), horodatage et journaux techniques pour protéger le service contre les abus. Base légale : intérêt légitime (art. 6.1.f). Durée : les journaux techniques sont conservés 90 jours.

2.12 Preuves de vos choix

Nous gardons un historique de vos accords et refus (finalité, décision, version du texte, date, IP tronquée) pour pouvoir démontrer ce que vous avez choisi. Base légale : obligation de pouvoir prouver le consentement (art. 7.1 et 6.1.c / 6.1.f). Durée : 10 ans.

3. Ce qui est obligatoire, ce qui est facultatif

Email, prénom | Obligatoire ? Oui, pour un compte | Si vous ne la donnez pas ? Pas de compte, mais navigation libre possible

Nom, téléphone, photo | Obligatoire ? Non | Si vous ne la donnez pas ? Pas de personnalisation ; certaines réservations peuvent exiger un contact

Accord « Albert » (données de santé) | Obligatoire ? Oui pour parler à Albert | Si vous ne la donnez pas ? Pas d'échange avec Albert

Relecture humaine en cas de détresse | Obligatoire ? Non | Si vous ne la donnez pas ? Albert vous oriente vers les numéros d'urgence sans relecture humaine

Amélioration d'Albert à partir d'échanges anonymisés | Obligatoire ? Non | Si vous ne la donnez pas ? Aucun effet sur votre accompagnement

Newsletter | Obligatoire ? Non | Si vous ne la donnez pas ? Aucun email promotionnel

Avis, contact | Obligatoire ? Non

4. Qui reçoit vos données ?

Nous distinguons les rôles. Un prestataire qui agit pour nous et selon nos instructions est un sous-traitant. D'autres peuvent décider seuls de l'usage de certaines données : ils sont alors responsables pour cette partie.

Hetzner | Base de données, fichiers, sauvegardes chiffrées | Hébergement | Sous-traitant | Allemagne, serveur situés à Helsinki, Finlande

Infomaniak (IA d'Albert) | Le texte que vous envoyez à Albert, pour produire la réponse | Réponse de l'IA | Sous-traitant | Génève, Suisse

Prestataire de paiement (Stripe France) | Identité, email, montant, moyen de paiement | Encaissement, lutte contre la fraude | Responsable pour ses propres obligations | Paris, France

Brevo (emails et newsletter) | Email, prénom, formule, date d'inscription | Envoi des emails | Sous-traitant | Paris, France

Notre équipe (support, superviseur, administrateurs) | Selon les besoins, accès limités | Fonctionnement et sécurité

Autorités | Sur demande légale | Obligation légale

Nous ne vendons aucune donnée.

Agenda des thérapeutes. Les thérapeutes peuvent connecter leur agenda Google pour afficher leurs disponibilités (seuls les créneaux « occupé/libre » sont lus). Cela concerne leurs données, pas les vôtres.

5. Vos données quittent-elles l'Union européenne ?

Non, tous nos serveurs sont en Europe.

6. Combien de temps gardons-nous vos données ?

Principe : pas plus longtemps que nécessaire. Voici ce qui est établi à ce jour ; les autres durées doivent être confirmées.

| Données | Durée | Statut | | ------------------------------------------ | ----------------------------------------------------------------------------------------- | ------------------------------------ | | Code de connexion par email | 10 minutes, puis purge automatique | Code vérifié | | Compte | Jusqu'à votre demande de suppression ; suppression effective sous 30 jours | Code vérifié | | Cas de détresse | Supprimé 30 jours après clôture ; trace pseudonymisée 365 jours | Code vérifié, à valider | | Avis produit | Texte effacé à 180 jours ; avis « santé » supprimé sous 7 jours | Code vérifié | | Message du formulaire de contact | 12 mois | Texte du formulaire | | Statistiques de fréquentation (brutes) | 13 mois | Documenté, à confirmer en production | | Mesure des parcours (brute) | 90 jours, puis totaux seulement | Prévu (ADR-021), non développé | | Provenance gardée sur votre appareil | 30 jours | Prévu (ADR-021), non développé | | Dernière visite et nombre de visites, sur votre appareil | 13 mois au plus | Prévu (ADR-021), non développé | | Accords/refus (preuve) | 10 ans | | | Échanges avec Albert | aucune conservation sur notre serveur à l'exception de données statistiques d'utilisation | | | Journaux techniques, adresses IP tronquées | 90 jours | | | Factures, réservations | 10 ans | | | Sauvegardes | 30 jours | |

7. Vos droits et comment les exercer

Vous pouvez demander à tout moment :

l'accès à vos données et une copie ;
la rectification de ce qui est inexact ;
l'effacement (« droit à l'oubli ») ;
la limitation du traitement ;
la portabilité : récupérer vos données dans un format réutilisable ;
l'opposition à un traitement fondé sur notre intérêt légitime ;
le retrait de votre consentement, quand le traitement repose dessus, sans conséquence sur ce qui a déjà eu lieu.

Comment faire ?

Dans votre espace : Paramètres → Confidentialité (consentements, export de vos données, suppression de compte).
Par email à bonjour@allomoncorps.com. Nous pouvons vous demander de prouver votre identité si un doute existe.
Nous répondons dans un délai d'un mois (prolongeable en cas de demande complexe, avec information).

Limites à connaître.

Ce qui est dans le coffre de votre appareil, nous ne pouvons ni le lire (à l'exception de statistiques d'utilisation qui ne contiennent aucune données personnelles), ni l'exporter pour vous, ni le restaurer. Vous disposez d'un export depuis l'application.
Certaines données sont conservées malgré une demande d'effacement quand la loi l'exige (comptabilité) ou pour prouver un choix.
Un mot sur la suppression de compte : un compte supprimé est désactivé immédiatement puis effacé sous 30 jours.

Réclamation. Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL : www.cnil.fr/fr/plaintes. Écrivez-nous d'abord si vous le souhaitez : nous préférons pouvoir corriger.

8. Cookies et traceurs

Mesure d'audience et des parcours : aucun cookie. Quelques valeurs fermées sont gardées dans le stockage de votre navigateur : un identifiant de parcours qui disparaît avec l'onglet, la provenance (30 jours), la date de votre dernière visite et votre nombre de visites (13 mois au plus). Elles bénéficient de l'exemption de consentement de la CNIL et sont effacées si vous vous opposez (voir §2.10).
Indispensables au fonctionnement : cookie de session Drupal ; stockage de la session de connexion dans le navigateur ; stockage local du coffre chiffré ; mémorisation de la fermeture d'un encart newsletter. Ils ne demandent pas votre accord car ils sont strictement nécessaires au service que vous demandez.
Aucun cookie publicitaire ni de réseau social n'est identifié dans le code examiné.

9. Mineurs

Allô mon corps s'adresse aux personnes majeures.

10. Décisions automatisées et profilage

Profilage : la recommandation de thérapeutes (§2.5).
Détection de détresse : automatique, mais suivie d'une décision humaine (§2.3).
Aucune décision produisant un effet juridique ou significatif sur vous n'est prise uniquement par un traitement automatisé.

11. La sécurité de vos données

Nous protégeons vos données par plusieurs couches, sans prétendre à un risque zéro :

connexion chiffrée entre votre appareil et nos serveurs ;
vos données les plus sensibles sont chiffrées dans votre navigateur, avec une clé que nous ne possédons pas ;
certaines données conservées côté serveur sont chiffrées ;
accès limités aux personnes qui en ont besoin, avec des journaux d'accès ;
connexion sans mot de passe par code à usage unique, avec limitation du nombre de tentatives ;
nous évitons d'enregistrer le contenu de vos échanges dans nos journaux techniques.

En cas de violation de données présentant un risque pour vous, nous préviendrons la CNIL et, lorsque la loi l'exige, vous-même.

12. Cette politique peut évoluer

Nous la mettons à jour quand nos pratiques changent. En cas de changement important, nous vous en informons. Quand un texte de consentement change, nous vous redemandons votre accord.

Pour toute question :bonjour@allomoncorps.com**. Pour l'identité de l'éditeur et l'hébergeur, voir les Mentions légales ; pour les règles d'usage, les Conditions générales d'utilisation.