SomniAI
Version 3.3 — 26 mai 2026
La présente Politique de confidentialité décrit la manière dont la société AD ASTRA INTELLIGENCE (ci-après « nous » ou « l'Éditeur ») collecte, utilise, conserve et protège les données personnelles des utilisateurs de l'application mobile SomniAI (ci-après « l'Application ») et des services associés accessibles via somniai.fr.
Elle est établie en application :
Nous prenons la confidentialité de vos données de santé au sérieux. L'infrastructure qui héberge ces données est certifiée HDS (Hébergeur de Données de Santé) conformément à la réglementation française. Aucune donnée n'est utilisée à des fins publicitaires ni cédée à des tiers à des fins commerciales.
Le responsable du traitement, au sens de l'article 4.7 du RGPD, est :
AD ASTRA INTELLIGENCE
Société par actions simplifiée unipersonnelle (SASU) au capital de 1 000 €
SIRET : 105 282 214 00011 — RCS Paris 105 282 214
Siège social : 78 avenue des Champs-Élysées, Bureau 326, 75008 Paris (France)
Marque exploitée : SomniAI (déposée à l'INPI sous le n° 5236080)
Une analyse d'impact relative à la protection des données (DPIA) a été réalisée conformément à l'article 35 du RGPD. Elle est disponible sur demande motivée de la CNIL.
Pour toute question relative au traitement de vos données personnelles, à l'exercice de vos droits, ou pour signaler une difficulté concernant la présente Politique :
Compte tenu de la taille de la structure et du volume actuel des traitements, l'Éditeur n'est pas tenu de désigner formellement un délégué à la protection des données au sens de l'article 37 du RGPD. Les missions correspondantes (information, conseil, contrôle, point de contact CNIL) sont assurées en interne par le représentant légal de l'Éditeur, joignable à l'adresse dpo@somniai.fr dédiée à toutes les demandes relatives à la protection des données.
L'ensemble des demandes RGPD reçues fait l'objet d'un enregistrement dans un registre interne d'audit, conformément à l'article 30 du RGPD.
Délai de réponse : un mois maximum à compter de la réception de la demande, pouvant être prolongé de deux mois en cas de complexité particulière (article 12.3 du RGPD). Les demandes simples (suppression de compte, export de données) sont traitées sous 7 jours ouvrés.
Conformément au principe de minimisation (article 5.1.c du RGPD), SomniAI collecte uniquement les données nécessaires à la fourniture du Service.
Sur autorisation expresse de l'utilisateur et activation explicite dans les paramètres de l'Application, SomniAI peut importer depuis le Samsung Health Data SDK les données de sommeil collectées par une montre connectée compatible (notamment : phases de sommeil, fréquence cardiaque nocturne, saturation en oxygène, température cutanée). Cet import peut être désactivé à tout moment.
SomniAI ne collecte aucune donnée de géolocalisation, ni précise (GPS) ni approximative (IP géolocalisée à des fins de tracking). Aucune donnée biométrique d'identification (empreinte, reconnaissance faciale) n'est traitée.
Chaque traitement repose sur une base légale identifiée au sens de l'article 6 du RGPD, et — s'agissant des données de santé — sur une exception expressément prévue à l'article 9.2 du RGPD.
| Finalité | Données concernées | Base légale |
|---|---|---|
| Création et gestion du Compte utilisateur | Identification, compte | Exécution du contrat (Art. 6.1.b RGPD) |
| Fourniture de l'agenda du sommeil et des fonctionnalités gratuites | Sommeil déclaratif, auto-évaluations | Consentement explicite (Art. 6.1.a et Art. 9.2.a RGPD) |
| Coaching IA personnalisé et bilan hebdomadaire | Sommeil, conversations IA | Consentement explicite (Art. 6.1.a et Art. 9.2.a RGPD) |
| Import de données depuis Samsung Health | Capteurs montre connectée | Consentement explicite (Art. 9.2.a RGPD) |
| Gestion de l'abonnement Premium | Statut abonnement, identifiants transaction | Exécution du contrat (Art. 6.1.b RGPD) |
| Sécurité du service, prévention des abus | Logs techniques, IP, crashs | Intérêt légitime (Art. 6.1.f RGPD) |
| Respect des obligations légales et comptables | Données de facturation | Obligation légale (Art. 6.1.c RGPD) |
Le consentement de l'utilisateur peut être retiré à tout moment, sans que cela n'affecte la licéité du traitement effectué avant ce retrait (article 7.3 du RGPD). Les modalités pratiques de retrait sont décrites en section 10.
Les données saisies dans l'Application sont stockées localement sur l'appareil de l'utilisateur, dans un espace réservé à l'Application et accessible uniquement à celle-ci (mécanisme de sandboxing Android), et sont simultanément synchronisées de manière chiffrée avec le serveur Azure SQL Database de l'Éditeur (voir 5.2) afin de permettre leur restauration en cas de perte, vol ou changement d'appareil. Les données locales sont effacées en cas de désinstallation de l'Application, de suppression manuelle des données par l'utilisateur, ou de suppression du Compte conformément à la section 10.
Pour permettre à l'utilisateur de retrouver ses données en cas de perte, vol ou changement d'appareil, l'Application synchronise ses données auprès d'une base Microsoft Azure SQL Database, hébergée en France (région France Central), sur une infrastructure certifiée HDS (Hébergement de Données de Santé).
Les données sont chiffrées :
L'authentification de chaque appel à la base est assurée par un jeton JWT cryptographique délivré par Supabase et validé à chaque requête.
Les conversations avec le Coaching IA et la génération du bilan hebdomadaire transitent par le service Azure OpenAI, hébergé en Union européenne (région Sweden Central), sur une infrastructure également certifiée HDS.
Conformément aux Microsoft Product Terms et au Data Protection Addendum applicables à Azure OpenAI Service en vigueur à la date de mise à jour de la présente Politique (mai 2026) :
L'Éditeur s'engage à informer les utilisateurs en cas de modification substantielle de ces engagements contractuels.
Le compte utilisateur (adresse email, identifiant UUID, méthode d'inscription, dates de création et de dernière connexion, jetons de session, statut d'abonnement) est géré par la plateforme Supabase, hébergée dans l'Union européenne (région eu-west-3, Paris, France).
Le mot de passe est stocké sous forme de hachage bcrypt ; il est techniquement impossible à l'Éditeur d'accéder au mot de passe en clair.
L'Éditeur fait appel à plusieurs sous-traitants techniques au sens de l'article 28 du RGPD. Chacun intervient dans un cadre contractuel strict (DPA / accord de traitement) et ne peut utiliser les données pour son compte propre.
| Sous-traitant | Rôle | Localisation | Garanties |
|---|---|---|---|
| Microsoft Ireland Operations Ltd | Hébergement Azure SQL et Azure OpenAI | UE : France Central (SQL) et Sweden Central (OpenAI) | Certifié HDS, ISO 27001, ISO 27018, SOC 2. DPA conforme RGPD. |
| Supabase Inc. | Authentification, gestion du compte, gestion technique de l'abonnement | Union européenne (eu-west-3, Paris) | Conformité RGPD, chiffrement au repos et en transit. |
| Google Ireland Limited | Authentification via Google Sign-In (si utilisée) | Union européenne (Irlande) | Entité soumise directement au RGPD, traitement strictement nécessaire à l'authentification. |
| Google LLC | Distribution via Google Play Store et traitement des paiements via Google Play Billing | États-Unis | Clauses contractuelles types (Décision UE 2021/914), certification au cadre EU-U.S. Data Privacy Framework. |
| RevenueCat, Inc. | Gestion technique du cycle d'abonnement (statut, événements, renouvellement) | États-Unis | Clauses contractuelles types. Aucune donnée de santé transmise — uniquement identifiant d'abonnement. |
| Functional Software, Inc. (Sentry) | Monitoring des erreurs techniques de l'Application (crashs, exceptions) | États-Unis | Clauses contractuelles types. Données de crashs anonymisées, sans contenu utilisateur. Rétention 30 jours. |
| Samsung Electronics Co., Ltd. (uniquement si activé) | Mise à disposition du SDK Samsung Health Data | République de Corée (siège), traitement local sur l'appareil | Traitement local côté appareil. Aucune transmission de données à Samsung par SomniAI. |
L'Éditeur ne vend, ne loue, ni ne partage vos données avec des tiers à des fins commerciales ou publicitaires, en dehors des sous-traitants strictement nécessaires au fonctionnement du Service énumérés ci-dessus.
La très grande majorité de vos données est traitée et stockée en Union européenne, principalement en France et en Suède.
Certains traitements impliquent toutefois des sous-traitants américains :
Ces transferts sont encadrés par les garanties suivantes (article 46 du RGPD) :
Ces mécanismes offrent un niveau de protection essentiellement équivalent à celui garanti par le RGPD à l'intérieur de l'Union européenne, conformément aux exigences de la Cour de justice de l'Union européenne (arrêt Schrems II, CJUE, 16 juillet 2020, affaire C-311/18).
L'authentification via Google Sign-In, lorsqu'elle est utilisée, transite exclusivement par Google Ireland Limited, soumise directement au RGPD : aucun transfert hors Union européenne n'a lieu dans ce cadre.
Le Coaching IA de SomniAI génère des contenus éducatifs et des bilans personnalisés à partir des données saisies par l'utilisateur, au moyen d'un modèle de langage exécuté sur Azure OpenAI Service.
Ces traitements automatisés ne produisent pas d'effets juridiques ni d'effets significatifs comparables au sens de l'article 22 du RGPD : ils ne conditionnent l'accès à aucun droit, n'influencent aucune décision médicale, et ne sont opposables à aucun tiers. Ils constituent un service de coaching bien-être à caractère informatif.
L'utilisateur conserve à tout moment :
Les contenus générés par intelligence artificielle ne constituent en aucun cas un diagnostic ni une prescription médicale (voir l'article 3 des CGU).
Conformément à l'article 50 du Règlement (UE) 2024/1689 du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle (« AI Act »), l'utilisateur est informé que les réponses du Coaching IA et le contenu des bilans hebdomadaires sont générés par un système d'intelligence artificielle (modèle de langage hébergé sur Azure OpenAI Service). Ces contenus peuvent comporter des imprécisions ou des erreurs et ne doivent en aucun cas fonder une décision relative à la santé sans avis médical complémentaire.
| Catégorie de données | Durée |
|---|---|
| Données de compte (email, profil) — compte actif | Pendant toute la durée d'utilisation de l'Application |
| Données cliniques (sommeil, questionnaires, coaching) — compte actif | Pendant toute la durée d'utilisation de l'Application |
| Données cliniques — purge automatique d'inactivité | Effacement automatique après 36 mois sans connexion (purge hebdomadaire) |
| Données après suppression du Compte (in-app ou par demande email) | Effacement immédiat et irréversible de l'ensemble des systèmes |
| Données stockées localement sur l'appareil | Tant que l'Application est installée ; supprimées si l'utilisateur désinstalle l'Application ou vide ses données |
| Adresse IP (journaux de sécurité) | 30 jours |
| Logs Sentry (crashs techniques anonymisés) | 30 jours |
| Données de facturation et obligations comptables | 10 ans à compter de la clôture de l'exercice (Art. L. 123-22 du Code de commerce) |
| Registre interne d'audit des demandes RGPD | 5 ans (preuve de conformité Art. 30 RGPD) |
Les sauvegardes techniques opérationnelles (snapshots Azure) suivent une rotation automatique et ne dépassent pas la durée du plan d'hébergement souscrit. Aucune donnée n'est conservée au-delà de ces durées sans nouvelle base légale.
Conformément aux articles 15 à 22 du RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants sur vos données :
Vous pouvez obtenir la confirmation que vos données sont traitées et en recevoir une copie complète, dans un format lisible (PDF) et exploitable (JSON), sur simple demande à dpo@somniai.fr.
Vous pouvez à tout moment corriger une donnée inexacte ou incomplète, directement depuis les paramètres de l'Application ou par demande écrite.
Vous disposez du droit d'obtenir la suppression de l'ensemble de vos données. Cette suppression est :
Vous pouvez demander le gel temporaire du traitement de vos données en cas de contestation de leur exactitude ou pour des motifs liés à un litige.
Vous pouvez recevoir vos données dans un format structuré, couramment utilisé et lisible par machine (JSON), aux fins de les transmettre à un autre responsable de traitement.
Vous pouvez vous opposer à un traitement fondé sur l'intérêt légitime de l'Éditeur (typiquement les traitements de sécurité). Cette opposition sera examinée au cas par cas, sauf motif légitime et impérieux pour l'Éditeur de maintenir le traitement.
Pour tout traitement fondé sur votre consentement (notamment les données de santé), vous pouvez retirer celui-ci à tout moment, sans préjudice de la licéité des traitements effectués avant ce retrait.
Toute demande peut être adressée :
Une vérification d'identité légère pourra vous être demandée en cas de doute raisonnable (Art. 12.6 du RGPD).
Délai de réponse : un mois maximum, pouvant être prolongé de deux mois en cas de complexité (Art. 12.3 du RGPD). Les demandes simples sont traitées sous 7 jours ouvrés.
L'exercice de ces droits est gratuit, sauf cas de demande manifestement infondée ou excessive (Art. 12.5 du RGPD).
Les demandes formulées par un ayant droit, un tuteur, un curateur ou un avocat mandaté devront être accompagnées de la pièce justifiant de la qualité pour agir (acte de notoriété, jugement de protection, mandat exprès).
Conformément à l'article 32 du RGPD, nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque :
L'Application mobile SomniAI n'utilise aucun cookie ni traceur publicitaire, d'analyse comportementale ou de profilage. Aucun outil de mesure d'audience tiers (Google Analytics, Meta Pixel, AppsFlyer, etc.) n'est intégré.
Les SDK techniques intégrés à l'Application sont strictement nécessaires à son fonctionnement :
Le site somniai.fr n'utilise que les cookies techniques strictement nécessaires à son affichage. Aucun cookie soumis à consentement au sens de l'article 82 de la loi Informatique et Libertés n'est déposé.
Conformément à l'article 8 du RGPD et compte tenu de la sensibilité des données traitées, SomniAI est réservé aux personnes majeures (18 ans révolus). L'inscription d'une personne mineure n'est pas autorisée.
Si l'Éditeur a connaissance qu'un Compte a été créé par une personne mineure (notamment par signalement ou par éléments objectifs au sens de l'article 5 des CGU), il procédera sans délai et au plus tard dans les 48 heures à la suppression du Compte et de l'ensemble des données associées, sans préjudice de l'application de l'article 5 des CGU.
Les parents, tuteurs ou responsables légaux qui constateraient l'existence d'un Compte créé par un mineur sont invités à le signaler à dpo@somniai.fr.
Conformément à l'article 33 du RGPD, en cas de violation de données à caractère personnel susceptible d'engendrer un risque pour les droits et libertés des personnes physiques concernées, l'Éditeur :
L'Éditeur peut être amené à modifier la présente Politique de confidentialité pour tenir compte d'évolutions légales, réglementaires, techniques ou fonctionnelles. La version en vigueur est celle publiée à l'adresse somniai.fr/privacy.html, dont la date de mise à jour figure en haut du document.
En cas de modification substantielle (nouvelle finalité, nouveau sous-traitant majeur, nouveau type de données collectées), les utilisateurs en seront informés via l'Application avec un préavis raisonnable et, lorsque la modification l'exige, un nouveau consentement sera sollicité.
Si, après nous avoir contactés, vous estimez que vos droits n'ont pas été respectés, vous disposez du droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), autorité française de contrôle compétente, au :
CNIL — Commission nationale de l'informatique et des libertés
3, place de Fontenoy — TSA 80715 — 75334 Paris Cedex 07
Téléphone : 01 53 73 22 22
Formulaire de plainte en ligne : www.cnil.fr/fr/plaintes
Vous pouvez également saisir l'autorité de contrôle de l'État membre de l'Union européenne dans lequel vous résidez habituellement, dans lequel se trouve votre lieu de travail, ou dans lequel la violation alléguée a eu lieu (Art. 77 du RGPD).