Déclaration de protection des données

La présente déclaration vous informe de la manière dont les données personnelles sont traitées dans l'application iOS We+ et sur le site www.weplus.care. Nous nous conformons à la loi fédérale suisse sur la protection des données (LPD, « nLPD ») et – dans la mesure où il est applicable – au règlement général sur la protection des données de l'UE (RGPD).

1. Responsable du traitement

E-mail : privacy@weplus.care

2. Principe : traitement sur votre appareil

We+ est conçue selon le principe « local d'abord ». Vos saisies – indications de profil, de soins, de prestations et financières, documents numérisés et formulaires remplis – sont en principe enregistrées et traitées exclusivement en local sur votre appareil. Les données y sont protégées par les mécanismes de chiffrement d'iOS (« Data Protection ») ; les identifiants sensibles sont déposés dans le porte-clés iOS (Keychain).

La reconnaissance de texte des documents numérisés (OCR) ainsi que – là où elle est disponible – l'analyse par intelligence artificielle ont lieu sur l'appareil (modèles Apple Vision et Apple Intelligence). Dans la formule « Standard », le conseil par intelligence artificielle répond lui aussi entièrement sur votre appareil. Une transmission à Apple, à nos serveurs ou à des tiers n'a lieu que dans les cas décrits aux chiffres 4 et 5.

Sauvegardes de l'appareil : lorsque vous créez une sauvegarde iOS de votre appareil – dans iCloud ou en local sur un ordinateur –, les données We+ enregistrées localement sont sauvegardées avec elle. De telles sauvegardes échappent à notre sphère d'influence et relèvent des conditions d'Apple, respectivement de votre support de sauvegarde. Veillez à ce que votre sauvegarde soit chiffrée (les données du porte-clés iOS ne sont reprises que dans des sauvegardes chiffrées).

3. Quelles données sont traitées par les fonctions en nuage

Si vous activez les fonctions en nuage facultatives (chiffre 4), les catégories de données suivantes peuvent – selon votre utilisation – quitter votre appareil. Selon leur contenu, elles peuvent être rattachées à votre identité et sont traitées exclusivement pour fournir la fonction de l'application (pas de publicité, pas de traçage) :

Minimisation automatique des données : le contexte de situation que l'application établit elle-même est filtré par degré de sensibilité avant d'être transmis à l'intelligence artificielle en nuage : les noms sont omis, les indications financières ne sont transmises que sous forme de fourchette approximative (p. ex. « CHF 40'000–60'000 »), et les indications particulièrement dignes de protection comme les diagnostics ou le degré d'impotence exact sont supprimées ou généralisées (p. ex. uniquement « allocation pour impotent existante »). Les catégories ci-dessus peuvent donc surtout quitter votre appareil lorsque vous les écrivez vous-même dans des messages de chat ou que vous faites analyser des documents numérisés.

4. Conseil par intelligence artificielle en dehors de votre appareil – uniquement à votre choix

Le conseil par intelligence artificielle connaît trois formules, que vous choisissez dans le conseil lui-même : « Standard » répond sur votre appareil (chiffre 2). « Plus approfondi » utilise Private Cloud Compute d'Apple (chiffre 4.1). « Claude » utilise le modèle en nuage d'Anthropic (chiffre 4.2). We+ n'active aucune de ces formules d'elle-même : aussi longtemps que vous ne choisissez rien, chaque question reste sur votre appareil. La formule choisie est visible au-dessus du fil de la conversation pendant tout l'échange, et chaque réponse porte une étiquette (« Appareil », « Nuage Apple », « Claude »).

4.1 Formule « Plus approfondi » : Apple Private Cloud Compute

Si vous choisissez « Plus approfondi », votre question n'est plus traitée par le modèle présent sur l'iPhone, mais par un modèle Apple plus grand dans Private Cloud Compute (PCC) d'Apple. Avant que la formule n'agisse pour la première fois, l'application affiche une indication de ce qui change ; elle n'est activée qu'après votre confirmation. Vous pouvez à tout moment revenir en arrière dans le conseil ou désactiver entièrement la formule dans les réglages ; vos questions restent ensuite à nouveau sur l'appareil.

Ce que votre appareil envoie à PCC : vos questions et le fil de la conversation jusque-là, les instructions de l'application au modèle ainsi que le contexte de situation que l'application compose à partir de votre dossier – sous la même forme que pour le conseil sur l'appareil, donc sans la minimisation automatique des données selon le chiffre 3. Il peut contenir le nom de la personne proche aidante et celui de la personne aidée, des indications sur la situation de soins, sur les prestations et sur des montants. Les documents numérisés ne sont pas analysés via PCC.

Comment Apple protège ces données : Private Cloud Compute est construit par Apple de telle manière que votre requête n'est lisible par personne – pas même par Apple. Selon les garanties publiées par Apple : les données ne sont traitées que pour répondre à votre requête et ne sont conservées sous aucune forme après la réponse ; il n'existe aucun accès privilégié pour les collaboratrices et collaborateurs d'Apple, pas même pour l'administration des serveurs ; votre iPhone chiffre la requête directement à destination des serveurs qui la traitent et ne l'envoie qu'à des serveurs dont il a préalablement vérifié le logiciel par voie cryptographique – chaque version logicielle admise est déposée dans un journal de transparence public que des chercheuses et chercheurs indépendants en sécurité peuvent consulter. Ces garanties sont imposées techniquement et non seulement promises contractuellement. Apple les décrit sous security.apple.com/documentation/private-cloud-compute.

Ce que nous en apprenons : rien. La connexion va de votre appareil directement à Apple ; notre serveur n'est pas impliqué et ne reçoit ni la question ni la réponse. Le contingent journalier de cette formule est appliqué par Apple sur votre appareil.

Qualification au regard du droit de la protection des données : Apple Inc. (États-Unis) traite la requête sur mandat de notre part, dans le cadre d'Apple Intelligence et des conditions d'Apple. Du point de vue de la LPD, il s'agit d'une communication à l'étranger (chiffre 9), que nous fondons sur la certification d'Apple selon le Swiss-U.S. Data Privacy Framework et sur les garanties techniques décrites – ainsi que sur votre choix : la formule n'est active que si vous l'avez expressément activée.

4.2 Formule « Claude » : intelligence artificielle en nuage (Anthropic) – uniquement avec votre consentement

Le conseil assisté par intelligence artificielle et l'analyse de documents peuvent, au choix, passer par un modèle en nuage plus puissant. Cette fonction est désactivée par défaut et n'est utilisée qu'après votre consentement exprès dans les réglages. Aussi longtemps que vous ne consentez pas, aucun contenu n'est envoyé à l'intelligence artificielle en nuage.

Si vous consentez, les contenus que vous déclenchez (messages de chat, texte intégral des documents numérisés, un contexte de situation minimisé) sont transmis à notre sous-traitant Anthropic PBC, San Francisco, États-Unis, et y sont traités pour produire la réponse. La transmission passe par notre propre serveur, sécurisé au moyen d'Apple App Attest ; Anthropic traite les données en qualité de sous-traitant ultérieur et ne les utilise pas pour entraîner ses modèles.

Ce qui part en plus lors d'un conseil sur une prestation : si vous menez le dialogue au sujet d'une prestation déterminée (p. ex. prestations complémentaires ou allocation pour impotent), l'application transmet en plus le résultat qu'elle a déjà calculé sur votre appareil – avec le montant concret (p. ex. « probablement CHF 3'774 par mois ») et le prénom de la personne aidée, afin que la réponse puisse se rapporter à ce calcul. Ces deux indications sont exclues de la minimisation automatique des données (chiffre 3) ; le nom de famille, l'adresse, le numéro AVS et les diagnostics restent omis ici également. Vous pouvez remplacer le prénom par une abréviation dans le dossier si vous ne le souhaitez pas.

Analyse de documents : si vous faites analyser un document numérisé par l'intelligence artificielle en nuage, son texte intégral est transmis. Selon le document, il peut contenir des noms, des numéros AVS, des adresses, des numéros de téléphone, un IBAN et des diagnostics. La minimisation automatique des données (chiffre 3) ne vaut que pour le contexte de situation que l'application établit elle-même – non pour le texte du document.

Notre serveur ne fait que transmettre votre requête et n'enregistre pas les contenus de vos questions ni des réponses. Seules des données techniques de consommation sont enregistrées (chiffre 5).

Base légale : votre consentement exprès (art. 6 al. 6 et 7 LPD ; pour les personnes concernées par le RGPD, art. 6 par. 1 let. a et art. 9 par. 2 let. a RGPD). Vous pouvez révoquer votre consentement à tout moment dans les réglages ; aucun contenu supplémentaire n'est ensuite envoyé à l'intelligence artificielle en nuage. La minimisation automatique des données (chiffre 3) s'applique au contexte de situation sur cette voie.

5. Autres communications avec le serveur

• Jeton d'installation pseudonyme (App Attest) : pour prévenir les abus et appliquer le contingent d'utilisation, l'application génère un jeton d'installation aléatoire, pseudonyme et attesté par le matériel, et l'enregistre auprès de notre serveur. Le jeton ne contient aucune indication sur votre personne et n'est pas réuni avec un nom, un identifiant Apple ou d'autres données identifiantes. Le jeton accompagne les requêtes adressées à notre serveur (intelligence artificielle en nuage, retours, statistique d'utilisation). Les jetons inactifs perdent leur enregistrement après 90 jours.
• Données techniques de consommation de l'intelligence artificielle en nuage : par requête en nuage (chiffre 4), notre serveur enregistre exclusivement des données techniques de consommation – volume de la requête en unités de calcul (tokens), modèle utilisé et coûts –, liées au jeton d'installation pseudonyme. C'est ainsi que nous appliquons le contingent journalier (formule gratuite : 25 requêtes en nuage par jour). Aucun contenu, aucune donnée de santé ou financière n'est enregistré.
• Synchronisation de l'adhésion et signal de démarrage de l'application : l'application synchronise votre formule d'adhésion avec notre serveur – immédiatement après un achat intégré, une restauration ou un renouvellement, de même lorsque notre serveur ne confirme pas une formule que votre appareil connaît, sinon au démarrage de l'application au plus une fois tous les 7 jours. Sont transmis la formule et la version de l'application ; lors de la première synchronisation en plus l'indication s'il s'agit d'une nouvelle installation, et en cas d'adhésion payante l'identifiant du produit Apple correspondant, l'identifiant de transaction pseudonyme ainsi que la date d'échéance – le tout lié au jeton d'installation pseudonyme. Notre serveur retient à cet effet le moment de la dernière synchronisation. Finalité : votre contingent d'intelligence artificielle correspond à votre formule d'adhésion, et nous voyons si et avec quelle version We+ est utilisée. Cette liste est exhaustive – notre serveur n'apprend rien de plus sur votre utilisation de l'application par cette synchronisation. Nous ne recevons pas votre nom, votre compte Apple ni vos données de paiement ; le paiement est traité exclusivement par Apple.
• Retours : si vous nous envoyez activement un retour, nous transmettons votre texte ainsi que la version de l'application et d'iOS à notre serveur, qui transfère l'annonce côté serveur à notre système de tickets interne (GitHub). Votre adresse IP n'est pas communiquée à GitHub.
• Soutien d'objets politiques : dans les actualités, vous pouvez « soutenir » des objets politiques. Nous ne transmettons à cette occasion ni nom ni contenu, mais uniquement l'identifiant de l'objet et une valeur hachée liée à l'appareil (SHA-256 formé d'un identifiant d'appareil attribué par iOS et de l'identifiant de l'objet). Elle confirme seulement « même installation », afin que chaque installation ne compte qu'une fois par objet. Aucun identifiant d'appareil en clair n'est transmis ; notre serveur n'en enregistre qu'une valeur hachée supplémentaire. Il nous est impossible d'en déduire votre identité.
• Originaux des contributions politiques (Horizon) : pour nos prises de position et contributions dans l'application, les membres de la formule Horizon peuvent télécharger les documents originaux (PDF) depuis notre serveur. La requête porte le jeton d'installation pseudonyme, afin que le serveur puisse vérifier la formule ; il ne compte les requêtes par jeton que comme volume journalier (au plus 20 par jour) et n'enregistre ni les contenus ni les documents que vous avez lus. Les documents téléchargés restent sur votre appareil.
• Actualités / répertoire des points de contact : l'application télécharge des contenus publics (actualités, répertoire des points de contact) depuis nos serveurs. Aucune donnée d'utilisation n'est transmise à cette occasion. Nous comptons les requêtes au répertoire des points de contact sur le serveur exclusivement sous forme de totaux journaliers – sans enregistrer d'adresse IP et sans aucun rattachement à l'appareil –, afin de connaître l'ordre de grandeur de l'utilisation active.
• Statistique d'utilisation relative à l'adhésion et au parcours dans l'application : pour améliorer l'application, nous relevons des événements pseudonymes et sans contenu autour de l'adhésion – par exemple qu'un aperçu des adhésions a été affiché, qu'une fonction aurait exigé une formule d'adhésion supérieure, quelle formule a été proposée, qu'un affichage a été fermé ou qu'un achat a été conclu – ainsi que deux jalons, une fois par installation chacun : que le premier calcul a été achevé et que le premier formulaire officiel a été créé (pour les formulaires une fois par type de formulaire, avec l'identifiant du formulaire, jamais avec son contenu). Sont transmis exclusivement le type d'événement, un contexte technique (p. ex. la formule d'adhésion concernée ou l'identifiant d'un formulaire) et le jeton d'installation pseudonyme – aucun contenu, nom, donnée de santé ou financière. Cette liste est exhaustive. Cette analyse a lieu exclusivement sur notre propre serveur ; il n'y a aucun traçage par des tiers (cf. chiffre 10).

6. Analyse du site (Plausible)

Sur le site www.weplus.care, nous utilisons Plausible Analytics – une mesure d'audience sans cookies et respectueuse de la protection des données. Plausible n'utilise aucun cookie, n'enregistre aucune donnée personnelle et ne permet aucun traçage d'un appareil à l'autre. Seules des statistiques d'utilisation agrégées et anonymes sont relevées (p. ex. pages consultées, provenance approximative au niveau du pays) ainsi que des événements d'interaction anonymisés (p. ex. « chat ouvert »). Les données sont traitées dans l'UE. Cette analyse ne concerne que le site, pas l'application.

7. Chat et support sur le site

Un assistant de chat est à disposition sur www.weplus.care. Vos saisies dans le chat sont transmises, via notre serveur exploité chez Cloudflare, Inc. (États-Unis), à notre sous-traitant Anthropic PBC (États-Unis) et y sont traitées exclusivement pour produire la réponse ; nous n'enregistrons pas les contenus. Pour limiter l'utilisation, nous recourons à un jeton de session signé, de courte durée et sans rattachement à une personne. Pour protéger contre les abus automatisés, nous utilisons Cloudflare Turnstile, qui vérifie des signaux techniques du navigateur et votre adresse IP, sans poser de cookies.

Ne saisissez pas de données personnelles particulièrement dignes de protection dans le chat du site (p. ex. indications de santé rattachées à un nom) – pour des calculs personnels, utilisez l'application, qui travaille par défaut sur l'appareil. Concernant la transmission aux États-Unis, voir le chiffre 9.

Formulaire de support : si vous envoyez une demande via www.weplus.care/support, nous transmettons l'objet, le message et – si vous l'avez indiquée – votre adresse e-mail à notre système de tickets interne (GitHub, États-Unis ; chiffres 8 et 9). Votre adresse IP n'est pas communiquée à GitHub. Une adresse e-mail indiquée est utilisée exclusivement pour répondre à votre demande. Ici également, nous utilisons Cloudflare Turnstile contre les abus automatisés.

Déclaration d'intérêt « Verein We » : si vous souhaitez être informé·e de la création de l'association sur www.weplus.care/verein, nous traitons votre adresse e-mail ainsi que les indications que vous fournissez volontairement sur le canton, le rôle et vos préoccupations. La transmission n'a lieu qu'après une confirmation par e-mail (double opt-in). Nous utilisons ces indications exclusivement pour informer sur la création de l'association et sur une éventuelle assemblée constitutive ; elles ne fondent aucune adhésion. Vous pouvez révoquer votre consentement à tout moment en nous contactant à l'adresse privacy@weplus.care ou en utilisant le lien de désinscription dans un e-mail. Pour l'envoi, la confirmation et la gestion des listes, nous utilisons Brevo (chiffre 8) ; Cloudflare Turnstile protège le formulaire contre les abus automatisés.

8. Sous-traitants et sous-traitants ultérieurs

9. Communication à l'étranger

Notre serveur dorsal est exploité à Francfort (Allemagne, UE) ; du point de vue de la LPD, l'UE offre une protection des données adéquate. En cas d'utilisation de la formule « Plus approfondi » (chiffre 4.1), Apple traite votre requête dans Private Cloud Compute ; Apple exploite ces serveurs dans ses propres centres de calcul, du point de vue de la LPD aux États-Unis. En cas d'utilisation de la formule « Claude » (chiffre 4.2) et du chat du site (chiffre 7), des contenus sont transmis à Anthropic aux États-Unis. Par ailleurs, des données peuvent parvenir à d'autres prestataires aux États-Unis : Cloudflare (exploitation du site), GitHub/Microsoft (tickets de retour) et Fly.io (fournisseur de notre serveur dans l'UE).

Nous fondons ces transmissions aux États-Unis sur le Swiss-U.S. Data Privacy Framework, dans la mesure où le prestataire concerné est certifié, respectivement sur les clauses contractuelles types (art. 16 al. 1 et 2 LPD ; art. 44 ss RGPD) – pour la formule « Claude » dans l'application en plus sur votre consentement exprès et pour la formule « Plus approfondi » sur votre choix exprès ainsi que sur les garanties techniques de Private Cloud Compute (chiffre 4.1).

10. Pas de traçage, pas de publicité

We+ n'utilise aucun service publicitaire de tiers, aucun identifiant publicitaire (IDFA) et ne communique aucune donnée à des fins publicitaires ni à des courtiers en données. Il n'y a aucun traçage d'une application ou d'un appareil à l'autre en vue d'établir des profils.

11. Autorisations de l'application

• Appareil photo : pour numériser des documents (p. ex. rapports d'hôpital, formulaires).
• Contacts : uniquement si vous souhaitez reprendre une personne de contact de votre réseau dans vos contacts iOS.
• Siri / raccourcis : pour les commandes vocales (p. ex. vérifier des prestations, saisir des heures de soins).

Vous pouvez révoquer chaque autorisation à tout moment dans les réglages iOS.

12. Conservation et effacement

Les données enregistrées localement restent sur votre appareil jusqu'à ce que vous les effaciez dans l'application ou que vous désinstalliez celle-ci. Dans l'application, vous pouvez effacer vos données à tout moment (« Effacer toutes les données »). Dans le service d'intelligence artificielle en nuage, nous n'enregistrons pas les contenus (chiffres 4 et 7) ; Anthropic ne les traite que pour produire la réponse et les efface conformément à ses courts délais de conservation. Dans Private Cloud Compute d'Apple (chiffre 4.1), vos requêtes ne sont conservées sous aucune forme après la réponse. Nous ne conservons les données techniques côté serveur (chiffre 5) qu'aussi longtemps que nécessaire pour la prévention des abus, les contingents et la statistique agrégée ; les jetons d'installation inactifs perdent leur enregistrement après 90 jours.

13. Sécurité des données

Nous prenons des mesures techniques et organisationnelles appropriées : chiffrement des données locales (protection de fichiers « Complete »), dépôt des secrets dans le porte-clés, connexions sécurisées au serveur (TLS) ainsi qu'attestation de l'appareil (App Attest) pour l'accès en nuage. Dans la formule « Plus approfondi », votre iPhone vérifie en plus par voie cryptographique le logiciel des serveurs Apple avant d'envoyer une requête (chiffre 4.1).

14. Vos droits

Vous avez le droit d'accéder à vos données, de les faire rectifier, de les faire effacer et de vous les faire remettre ou transmettre, ainsi que le droit de révoquer un consentement donné. Vous pouvez en outre déposer une réclamation auprès de l'autorité de surveillance compétente (en Suisse : Préposé fédéral à la protection des données et à la transparence, PFPDT). Pour exercer vos droits, adressez-vous à l'adresse mentionnée au chiffre 1.

15. Modifications

Nous pouvons adapter la présente déclaration. La version publiée sous cette URL est seule déterminante.