LISTE DES SOUS-TRAITANTS ET SOUS-TRAITANTS ULTÉRIEURS

Dernière mise à jour : septembre 2026

Ce récapitulatif énumère les prestataires de services qui traitent des données à caractère personnel pour notre compte (sous-traitants) ou qui sont sollicités par un sous-traitant (sous-traitants ultérieurs). La publication est faite volontairement, dans un souci de transparence. Le responsable du traitement au sens du RGPD est exclusivement ICOSO CONSULTING S.L. (« Luna FemTech ») ; les détails figurent dans notre politique de confidentialité (www.luna-femtech.com/data).

Principe : vos enregistrements de santé conservés sont déjà chiffrés sur votre appareil (AES-256-GCM) avant d'être stockés ou intégrés à une sauvegarde ; font exception quelques données destinées aux rappels et à la synchronisation, énumérées à la section 4 de notre politique de confidentialité. Il en va autrement du coaching par IA optionnel : pour celui-ci, certaines données de santé et des textes du chat sont transmis via nos serveurs exploités chez Hetzner à AWS Bedrock et y sont traités sous une forme lisible. Les détails figurent ci-dessous et dans notre politique de confidentialité.


A) SOUS-TRAITANTS (traitement pour notre compte, art. 28 RGPD)

• Hetzner Online GmbH (Allemagne, UE)
Finalité : hébergement des serveurs de l'application et de la base de données.
Données : données du compte (p. ex. adresse e-mail), enregistrements de santé chiffrés (texte chiffré ; pour les exceptions, voir ci-dessus), journaux techniques, adresses IP (max. 7 jours) ainsi que le journal de contrôle pseudonymisé du chat IA (sans le contenu de la conversation). Lorsque le coaching par IA est utilisé, ces serveurs relaient à AWS Bedrock les données de santé et les textes du chat transmis, sans les stocker.
Lieu : Finlande (UE). Aucun transfert vers un pays tiers.

• Amazon Web Services EMEA SARL (région eu-central-1, Francfort, UE)
Finalité : coaching nutritionnel et de mode de vie assisté par IA (« Sofía », uniquement en cas d'utilisation des fonctionnalités d'IA optionnelles).
Données : certaines données de santé et de profil (catégories, valeurs résumées et mesures individuelles, telles que les valeurs hormonales) et, dans le chat, vos messages avec le contexte récent de la conversation sous forme de texte libre, dans lequel un filtre remplace, dans vos propres messages, certaines adresses e-mail, certains numéros de téléphone et certains IBAN détectés — sans le nom, l'adresse e-mail ni l'identifiant d'utilisateur de votre compte. Modèles : Claude (Anthropic).
Lieu : UE (requêtes via Francfort, traitement dans des régions AWS situées au sein de l'UE). Aucune transmission vers les États-Unis.

• Scaleway SAS (France, UE)
Finalité : envoi d'e-mails transactionnels (p. ex. codes de vérification et de sécurité) et conservation de sauvegardes chiffrées de la base de données.
Données : adresse e-mail, contenu du message de l'e-mail système concerné ; sauvegardes de la base de données, chiffrées avant leur transfert.
Lieu : France (UE). Aucun transfert vers un pays tiers.

• Sentry (Functional Software, Inc.)
Finalité : diagnostic technique des plantages et des erreurs (optionnel, désactivable dans les paramètres).
Données : rapports d'incident techniques ; les contenus à caractère personnel sont en grande partie supprimés avant l'envoi (PII-Scrubbing).
Lieu : région UE exclusivement (Francfort), encadré par des clauses contractuelles types de l'UE.


B) SOUS-TRAITANTS ULTÉRIEURS AVEC TRANSFERT VERS UN PAYS TIERS (États-Unis, encadré par des clauses contractuelles types de l'UE)

• OpenAI, L.L.C. (États-Unis)
Finalité : génération d'images de recettes/de plats.
Données : exclusivement le terme de recherche textuel ou le nom de la recette — aucune donnée de santé, aucun identifiant d'utilisateur.

• RevenueCat, Inc. (États-Unis)
Finalité : gestion technique des abonnements (rapprochement des achats, statut de l'abonnement).
Données : identifiant d'abonnement pseudonyme (SHA-256) et statut de l'abonnement — aucun nom en clair, aucune donnée de santé.


C) TRAITEMENT DES PAIEMENTS (chacun responsable du traitement de manière autonome)

• Apple (Apple Distribution International Ltd., Irlande / Apple Inc.) — achat et facturation via l'App Store.
• Google (Google Ireland Ltd. / Google LLC) — achat et facturation via Google Play.
Le traitement des paiements s'effectue entièrement via le store concerné ; nous ne recevons aucune donnée bancaire, de carte ou de facturation. Leurs propres dispositions relatives à la protection des données s'appliquent en outre.


D) SERVICES TECHNIQUES DE CONSULTATION (requête relayée via notre serveur, sans données à caractère personnel)

• Open Food Facts (organisme à but non lucratif, France)
Finalité : recherche du nom du produit correspondant à un code-barres scanné.
Données : exclusivement le numéro de code-barres scanné (EAN) — aucun caractère personnel.

• OpenStreetMap / Nominatim (OpenStreetMap Foundation, UE)
Finalité : suggestions de saisie de lieu (p. ex. recherche de ville).
Données : exclusivement le terme de recherche saisi — aucune donnée de localisation ou GPS, aucun caractère personnel.


Nous mettons à jour cette liste lorsque des prestataires de services changent. La version en vigueur à chaque instant est publiée à l'adresse www.luna-femtech.com/sub.