1. Introduction

Nutricheck attaches fundamental importance to the protection and security of personal data. The confidentiality of such data and respect for privacy are among its priority commitments.

Nutricheck undertakes to protect personal data in accordance with applicable law, in particular Regulation (EU) 2016/679 of 27 April 2016, known as the "General Data Protection Regulation" (GDPR), and the French Data Protection Act (Law 78-17 of 6 January 1978, as amended).

Nutricheck's aim is to go beyond mere legal obligations by establishing a privacy policy grounded in ethics, transparency and security. For this reason, since the launch of its Solution, Nutricheck continuously ensures that it meets its personal data obligations and implements reinforced measures to protect its Users' data, including their health and wellness data.

Personal health data collected through the Nutricheck platform is hosted by an HDS-certified host (Hébergeur de Données de Santé, health data host), in accordance with the requirements of the French Digital Health Agency (ANS). This certification is intended to guarantee a high level of security in the processing of personal data in the health field.

Nutricheck also ensures that its practices comply with the reference frameworks and recommendations published by the French Data Protection Authority (CNIL).

2. Definitions

In this personal data protection policy (hereinafter the "Policy"), the terms identified below with a capital letter have the following meaning, whether used in the singular or the plural:

GTU

means the general terms of use of the Solution and the Services.

Nutricheck Account

means the private personal space enabling a User to connect to the Solution in an authenticated and secure manner and to access the Services using their Credentials.

Content

means all texts, images, features, questionnaires, reports, recommendations and, more broadly, any element existing within the Solution and the Services.

Agreement

means the following contractual set: (i) the GTU and their appendices, and (ii) this Policy. These documents are made available to the User in electronic form (i) upon their first use of the Solution, (ii) upon creation of the Nutricheck Account, and (iii) at any time on the Solution.

Documents

means any document relating to the User or to their analysis results, transmitted securely to Nutricheck or uploaded by the User to their Nutricheck Account, such as reports, records, supporting documents, certificates and invoices, and more generally any medium (digital or scanned), whether or not containing Health-Related Personal Data.

Personal Data

means any data which, within the meaning of the Applicable Data Protection Regulations, makes it possible to identify, directly or indirectly, a natural person, in particular by reference to their civil status, an identifier, location data or one or more specific elements relating to their physical, physiological, genetic, mental, economic, cultural or social identity.

Health-Related Personal Data

means Personal Data relating to the physical or mental health of a natural person, including the provision of health or wellness services, which reveals information about that person's state of health, regardless of its source. This category includes wellness and physical-activity data liable to reveal information relating to health.

User Data

means (a) all Personal Data, including Health-Related Personal Data and the Documents: (i) provided by the User or the Guest through the Solution, (ii) recorded in the Nutricheck Account, (iii) shared voluntarily by the User, (iv) received or generated by a Laboratory or a Partner, (v) received from a Connected Device with the User's authorization, or (vi) processed by Nutricheck in connection with the Services, and (b) any Document or data uploaded, collected or distributed through the Solution.

Credentials

means the personal identifier associated with the Nutricheck Account, together with any password or confidential code assigned or modified by the User enabling access to the Solution.

Guest

means any natural person using the Solution or the Services without creating or logging into a Nutricheck Account, including in the context of spontaneous browsing or an initial non-authenticated interaction.

Laboratory

means any accredited or authorized entity carrying out analyses from a sample provided by the User, whether or not a partner of Nutricheck.

Connected Device

means any device, sensor, connected object or third-party application for tracking physical activity and wellness (for example Garmin, Google Fit, Apple Health, Fitbit, Withings, Oura or any equivalent service) that the User chooses to connect to the Solution in order to share all or part of the data associated with it.

Partner

means any legal entity having signed a partnership agreement with Nutricheck to offer Services or carry out analyses, under its own responsibility, which may be accessible from the Solution.

Policy

means this personal data protection policy.

Analysis Report

means any report of results produced following analyses carried out on a sample provided by the User, in particular a dried blood spot (DBS) test, a metabolic test or a urine test, made available to the User through the Solution or uploaded by the User on their own initiative.

Applicable Data Protection Regulations

means the GDPR, the French Data Protection Act and any national or European legislation in force applicable to the Processing of Personal Data.

Controller

means the natural or legal person that determines the purposes and means of the Processing of Personal Data, within the meaning of the GDPR.

Services

means all services made available by Nutricheck through the Solution, in particular the interpretation of analyses, the generation of indicators and scores, wellness and prevention recommendations, monitoring tools, and services providing access to Partners or Laboratories.

Solution

means the software solution developed and operated by Nutricheck, accessible via the website https://nutricheck.eu or any associated URL or application, available in SaaS (Software as a Service) mode and providing access to the Services.

Processor

means any natural or legal person processing Personal Data on behalf of the Controller, in accordance with Article 28 of the GDPR.

User

means any natural person holding a Nutricheck Account or accessing the Solution, whether authenticated or not, including any person authorized by the main User (family member, carer, legal representative, etc.).

Customer User

means any User who has purchased a Service, whether in the form of a subscription or a one-off order.

Unless otherwise stated, the terms defined in this Policy have the same meaning as those defined in the GTU.

3. Purpose of this Policy

The purpose of this Policy is to inform Users and Guests of the manner in which Nutricheck processes, protects and secures Personal Data in connection with the use of its Solution and Services.

It sets out how Nutricheck, together with, where applicable, the Laboratories and Partners involved in the service chain, collect, process, store, use and, where relevant, share Users' Personal Data, including Health-Related Personal Data, in compliance with the Applicable Data Protection Regulations.

This Policy sets out in particular:

• the types of Personal Data collected and processed;
• the purposes for which such Data is used;
• the legal bases justifying such processing;
• the retention periods of the Data;
• the security measures implemented;
• the rights available to Users over their Data;
• the procedures for exercising those rights.

The Policy applies to any natural person using the Solution, whether a User holding a Nutricheck Account, a Guest, or a representative of a Partner or Laboratory.

It forms an integral part of the GTU applicable to the Solution. It may be amended, updated or supplemented at any time by Nutricheck, in particular to take account of developments in the regulations, case law or CNIL recommendations. In the event of a substantial amendment, Nutricheck will inform Users by any appropriate means.

We invite you to read this Policy carefully and to refer to it regularly.

4. Capacity as Controller

In connection with the provision of its Solution and the performance of its Services, Nutricheck acts, as a matter of principle, as Controller of Users' Personal Data.

Nutricheck thus determines the purposes and means of the processing relating in particular to:

• the creation and management of the Nutricheck Account;
• the delivery and analysis of results, the generation of the profile, indicators and scores, and the production of wellness and prevention recommendations;
• the integration and processing of data from the Connected Devices that the User chooses to connect;
• the sending of information, notifications or alerts as part of monitoring and prevention;
• the technical operations necessary for the functioning, security and improvement of the Solution.

Nutricheck may, in certain cases, act as Processor, on behalf of a Partner or a Laboratory that alone determines the purposes and means of a processing operation, under the conditions described in Section 6.2. In that case, Nutricheck acts solely on the documented instructions of the relevant Controller, in accordance with Article 28 of the GDPR.

Nutricheck takes all appropriate measures to ensure the protection and confidentiality of the Personal Data it processes, whether acting as Controller or as Processor. It complies with the reference frameworks adopted by the CNIL, in particular those relating to health data.

5. Necessity of collection and processing

The use of the Solution and the Services offered by Nutricheck necessarily entails the collection and processing of certain Personal Data, including, in some cases, Health-Related Personal Data.

To enable the User or the Guest to access their analysis results, generate a personalized profile, benefit from wellness recommendations or access the Services, Nutricheck or its Partners and Laboratories must process Personal Data strictly necessary for the proper functioning of the Solution.

Such Data may be:

• provided directly by the User (for example when creating the Account, completing questionnaires, or uploading documents or results);
• generated automatically in connection with the use of the Solution (for example indicators, scores, recommendations, browsing logs);
• received from a Connected Device that the User has authorized to share its data;
• transmitted by a Partner or a Laboratory with the User's authorization.

Without such collection, access to the essential features of the Solution, such as the delivery of results, analysis or recommendations, would be technically impossible or legally non-compliant.

By using the Solution, the User acknowledges that the processing of their Personal Data is necessary for the performance of the Services offered and for achieving the purposes described in this Policy. The failure to provide certain Personal Data may prevent Nutricheck from responding to a request or from providing all or part of the Services.

6. Processing of Personal Data

6.1 Processing for which Nutricheck acts as Controller

In connection with the provision of its Services, Nutricheck acts as Controller for a set of processing operations necessary for accessing, using, improving and securing its Solution. These processing operations are carried out in compliance with the GDPR, on the basis of determined legal grounds and for defined retention periods.

Where a processing operation concerns Health-Related Personal Data, it relies on a legal basis within the meaning of Article 6 of the GDPR as well as on an exception within the meaning of Article 9 of the GDPR, in practice the User's explicit consent (Article 9(2)(a)), unless another exception applies.

6.2 Processing for which Nutricheck acts as Processor

In certain cases, Nutricheck makes its Solution available to Partners or Laboratories that alone determine the purposes and means of the processing and that are, as such, Controllers within the meaning of the Applicable Data Protection Regulations.

In this context, Nutricheck acts solely on the documented instructions of the Controller, in accordance with Article 28 of the GDPR and the agreement binding it to the latter. Nutricheck takes all technical and organizational measures necessary to guarantee the security, confidentiality, traceability and integrity of the Personal Data entrusted to it.

When acting as Processor, Nutricheck undertakes to process the Data solely on the instructions of the Controller, not to make any improper or unauthorized use of it, and to inform the Controller without delay of any Data breach or any request from an authority.

6.3 Categories of Personal Data processed

In connection with the use of the Solution and the Services, Nutricheck may process, whether as Controller or as Processor, all or part of the following Personal Data, in order to enable the processing operations described in Sections 6.1 and 6.2.

Administrative data:

• surname, first name, birth name;
• sex;
• date and place of birth.

Identification data:

• email address;
• telephone number;
• login credentials and password (encrypted);
• IP address.

Contact data:

• postal address;
• email address;
• landline or mobile telephone number.

Usage data:

• timestamps of connections and of actions carried out on the Solution;
• browsing logs, IP address, device identifier;
• data from cookies and technical trackers (see Section 15);
• module completion data, use of the Services and history.

Health and wellness data:

• responses to questionnaires;
• information declared by the User;
• analysis results (DBS, urine, other tests);
• Analysis Reports, interpretation reports and raw data;
• information extracted from uploaded documents;
• elements relating to medical history, lifestyle, treatments and symptoms voluntarily provided by the User;
• data from Connected Devices that the User has authorized to share (for example physical activity, heart rate and heart rate variability, sleep, stress, energy expenditure).

Location data:

• location data and GPS tracks associated with activities, obtained from a Connected Device, where the User has enabled such sharing. This data is processed for the purposes described in Section 7, in particular the correlation with air quality indices.

Data concerning third parties:

• Personal Data or health data concerning third parties (for example children, spouses, persons being monitored) for whom the User has expressly authorized access, account creation or delegated management.

6.4 Automated decision-making and profiling

The Solution implements automated processing, including profiling operations, in order to generate indicators, scores and personalized wellness and prevention recommendations from the User Data, including Health-Related Personal Data and, where applicable, data from Connected Devices.

This automated processing has an informational, monitoring and prevention purpose. It does not constitute a diagnosis, does not replace the advice of a professional, and does not, on its own, produce legal effects concerning the User or similarly significantly affect the User within the meaning of Article 22 of the GDPR.

The User retains at all times the ability to request information on the logic underlying such processing, to express their point of view, to contest a result and to request human intervention, under the conditions set out in Section 12.

6.5 Reuse for scientific purposes (studies and research)

Subject to the User's express, free, informed and specific consent, certain Personal Data, including Health-Related Personal Data, may be reused by Nutricheck or on behalf of its Partners for the purposes of scientific studies, research or development, in strict compliance with the Applicable Data Protection Regulations and in accordance with the reference frameworks issued by the CNIL.

This reuse concerns only pseudonymized or anonymized data, where possible, and always takes place within a framework that is clearly defined and documented, limited in time and, where applicable, validated by an ethics committee or a competent authority.

The research projects are aimed in particular at:

• improving the performance of the algorithms used to analyze the data;
• validating the indicators, scores and models produced by the Solution;
• assessing the impact of Nutricheck's tools on prevention and on the personalization of monitoring;
• developing new indicators and decision-support tools that can be integrated into the Services.

A dedicated page on studies and research, available at https://nutricheck.eu, specifies for each ongoing project the identity of the project manager, the associated partners, the objectives pursued, the start and end dates, the categories of data concerned, and the procedures for withdrawal or objection. This page serves as information within the meaning of Articles 12 to 14 of the GDPR.

In the event of participation in a specific study, a dedicated consent document is presented to the User. The User is free to accept or refuse it, without any consequence for their access to the Services. In the event of withdrawal of consent to a reuse in an ongoing project, the User's Data is no longer included in the subsequent phases of the study, without retroactive effect on the processing already carried out. No data is transferred to a Partner without the User's prior authorization.

7. Data from connected devices and third-party applications

Nutricheck allows the User to connect, on a strictly optional basis, certain connected devices and third-party applications for tracking physical activity and wellness (for example Garmin, Google Fit, Apple Health, Fitbit, Withings, Oura or any equivalent service), in order to enrich their profile and refine the analyses and recommendations offered by the Solution. This connection is never mandatory and is not necessary to access the essential features of the Solution.

Prior authorization and User control. Access to the data of a Connected Device is activated only after the User's express authorization, by means of the secure authentication mechanism made available by the relevant provider (OAuth protocol). The User chooses the categories of data they wish to share and may, at any time, revoke this authorization, without affecting the lawfulness of the processing carried out before the withdrawal.

Categories of data concerned. Subject to the authorizations granted and the categories actually shared by the User, Nutricheck may receive from the Connected Device data such as physical activities and workout sessions, heart rate and heart rate variability, sleep, stress level, energy and recovery indicators, maximal oxygen uptake, respiration rate, oxygen saturation, energy expenditure, daily activity summaries, as well as location data and the GPS tracks associated with activities where the User chooses to share them. Nutricheck collects only the data necessary for the purpose for which the User has activated the connection.

Purposes. The data from Connected Devices is used exclusively to provide the User with a consolidated view of their data, to contextualize and put their results into perspective, to personalize the content, monitoring indicators and wellness and prevention recommendations offered by the Solution, and to enable longitudinal monitoring over time. The location data and GPS tracks may also be correlated with environmental data from third-party sources, in particular air quality indices (fine particulate matter PM10 and PM2.5, ozone), in order to offer the User prevention and wellness recommendations that take into account their environmental exposure. Location data is used for this sole purpose and is not subject to any other tracking of the User's movements. The User may enable or disable the sharing of their location independently of the other categories of data. This data is not used for any diagnostic purpose.

Legal basis. The processing of data from Connected Devices relies on the User's express consent (Article 6(1)(a) of the GDPR and, with respect to data relating to health or physical wellness, Article 9(2)(a) of the GDPR). The User may withdraw their consent at any time.

Controller. Nutricheck acts as Controller of the data from Connected Devices that it receives and processes in order to provide the Solution to the User. The provider of the Connected Device remains independently responsible for the processing it carries out in connection with its own services. The User's use of those services is governed by the privacy policy of the relevant provider.

No sale and no advertising. Nutricheck does not sell or rent the data from Connected Devices, does not use it for any advertising purpose, and does not transfer it to any third party for that third party's own purposes. This data is processed solely to provide the Solution to the User, in accordance with the purposes described above.

Security and hosting. The data from Connected Devices benefits from the same security measures as all Personal Data processed by Nutricheck and is hosted, where it constitutes health data, by an HDS-certified host located in the European Union.

Retention period. The data from Connected Devices is retained for as long as the connection remains active and the User's Account exists. It is deleted, or irreversibly anonymized, upon disconnection of the relevant source or deletion of the Account, subject to applicable legal retention periods.

Disconnection and deletion. The User may at any time disconnect a data source from their Nutricheck Account and from their account with the relevant provider. Disconnection stops any further receipt of data. The User may also request the deletion of the data already collected under the conditions set out in Section 12.

International transfers. Where a provider of a Connected Device is established outside the European Economic Area, in particular in the United States, the receipt of data by Nutricheck may involve a transfer outside the European Economic Area. Such a transfer takes place only where it benefits from an appropriate level of protection, in the following order of priority: (i) an adequacy decision of the European Commission, in particular the EU-US Data Privacy Framework where the provider is validly certified thereunder; (ii) failing that, the European Commission's Standard Contractual Clauses or any other instrument recognized by the Applicable Data Protection Regulations; (iii) as a residual basis, a derogation provided for in Article 49 of the GDPR. The data received is stored within the European Union.

Compliance with providers' terms. Nutricheck's use of data from Connected Devices is carried out in accordance with the applicable terms and requirements of each provider, in particular, with respect to Garmin, the Garmin Connect Developer Program Agreement.

8. Retention periods

Nutricheck retains Personal Data only for the period strictly necessary to achieve the purposes for which it was collected, in accordance with the principles of the GDPR and in compliance with applicable legal, regulatory or contractual obligations.

The Personal Data processed is retained in active use for the entire duration of use of the Solution and the Services, and thereafter, as the case may be, either permanently deleted, or irreversibly anonymized for research or statistical purposes, or archived in an intermediate archive under reinforced security conditions where retention is required by law or for the establishment, exercise or defense of a legal claim.

Data retained in active use:

Data retained in an intermediate archive (secure archiving):

At the end of these periods, the Personal Data is permanently deleted or anonymized, unless a legal obligation to retain it for longer applies, a competent authority so requests, or retention is necessary for the defense of a legal claim.

9. Processors and recipients of Personal Data

Each User remains in control of their Personal Data. Nutricheck does not freely dispose of it and makes no use of it that is not provided for in this Policy.

In accordance with Article 28 of the GDPR, Nutricheck may use Processors, that is, technical or specialized service providers acting on its behalf under a strict contractual relationship. These Processors act only on Nutricheck's instructions and are subject to contractual obligations of security, confidentiality and compliance equivalent to those of Nutricheck.

9.1 Restricted and limited access

Personal Data is accessible only to the following recipients, to the extent necessary:

• authorized Nutricheck staff, within the limits of their duties;
• Nutricheck's technical service providers (for example the HDS host, the payment provider, and development, maintenance or security providers);
• logistics partners or distributors responsible for delivering the kits or products ordered;
• scientific or industrial Partners involved in research projects in which the User has agreed to take part;
• providers of Connected Devices, solely in the context of the connection authorized by the User and under the conditions set out in Section 7.

The list of the main Processors and recipients of the Personal Data is kept up to date by Nutricheck and may be provided to the User on simple request sent to dpo@nutricheck.eu.

Nutricheck undertakes not to disclose the User's Personal Data to third parties for commercial or advertising purposes, except with the prior and explicit authorization of the data owner.

9.2 Legal or regulatory obligations

Nutricheck may be required to disclose Personal Data in order to comply with a legal or regulatory obligation, to comply with an injunction from an administrative, judicial or supervisory authority, or to protect its rights and prevent any fraudulent, abusive or unlawful conduct. Such disclosures are strictly framed and may take place only on a legal basis, within the limits provided for by law.

9.3 HDS hosting

In accordance with Article L. 1111-8 of the French Public Health Code, Nutricheck uses an HDS-certified host (Hébergeur de Données de Santé) to store and secure the Health-Related Personal Data processed in connection with its Services. This host is located within the territory of the European Union and holds a certificate issued by the French Digital Health Agency. Nutricheck undertakes to maintain this certification and to inform its Users of any change of status or of provider.

9.4 Transfers outside the European Union

Nutricheck stores Personal Data within the European Economic Area, subject to the framed transfers described below.

Where a processing operation involves a transfer of Personal Data to a country located outside the European Economic Area, in particular in connection with the connection of a Connected Device whose provider is established in a third country, Nutricheck proceeds only on condition that an appropriate level of protection is guaranteed, in the following order of priority: (i) an adequacy decision of the European Commission, in particular the EU-US Data Privacy Framework where the recipient is validly certified thereunder; (ii) failing that, the European Commission's Standard Contractual Clauses or any other legal instrument recognized as appropriate by the Applicable Data Protection Regulations; (iii) as a residual basis, a derogation provided for in Article 49 of the GDPR. Nutricheck verifies the validity of the applicable safeguard at the time each transfer is set up and throughout its duration.

10. Users' commitments to protect Personal Data

The Personal Data to which the User has access through the Solution, in particular Health-Related Personal Data, is covered by respect for privacy and confidentiality. Accordingly, the User undertakes to act in a responsible and ethical manner and in compliance with the legislation in force on the protection of personal data.

Each User undertakes to:

• respect the integrity and confidentiality of the Personal Data to which they have access through the Solution, whether it concerns them or a third party who has authorized access to their data;
• not record, copy, extract, misappropriate, transfer or disclose all or part of the Personal Data obtained through the Solution, except with the prior, express and written authorization of the data owner or the competent authority, and only to the extent strictly necessary for the performance of the Services;
• inform Nutricheck immediately in the event of unauthorized access, fraudulent use or suspected security incident relating to the Personal Data.

Where a Partner or a Laboratory acts as Controller, it is responsible for complying with the formalities and obligations provided for by the Applicable Data Protection Regulations, informing the data subjects of the processing of their Personal Data, ensuring the effective exercise of their rights, and notifying, where applicable, any Personal Data breach to the CNIL and to the data subjects under the conditions provided for by law. Nutricheck accepts no liability in the event of non-compliance, by a Partner or a Laboratory, with its own obligations as Controller.

11. Security of Personal Data

Nutricheck implements and continuously maintains a set of appropriate technical and organizational measures to guarantee a level of security appropriate to the risk inherent in its Personal Data processing activities, and in particular in respect of Health-Related Personal Data. These measures are intended to ensure the confidentiality, integrity, availability and resilience of the systems and data, and to prevent any unauthorized, accidental or unlawful access, use or disclosure.

11.1 Measures implemented by Nutricheck

By way of indication and without limitation, Nutricheck has in particular deployed the following mechanisms:

• encryption of all connections to the Solution via the HTTPS protocol (SSL/TLS);
• encryption of sensitive data in transit and, where necessary, at rest;
• hosting of all health data on HDS-certified servers, located within the European Union;
• logging and traceability of accesses and actions carried out within the Solution;
• management of access rights according to strictly defined and documented profiles (least-privilege principle);
• monitoring of information systems, regular penetration testing and security audits;
• backup, redundancy and business continuity plan in the event of a technical incident or disaster;
• internal procedures for notifying Data breaches, in compliance with Articles 33 and 34 of the GDPR.

These mechanisms are regularly tested, assessed and updated to ensure their effectiveness, in accordance with Article 32 of the GDPR.

11.2 Users' responsibilities

Each User is informed that it is their responsibility to implement, under their sole responsibility, all appropriate measures to ensure the confidentiality and security of their login credentials, of their personal device (computer, smartphone, tablet) and, more generally, of any medium enabling them to access the Solution.

The User undertakes never to disclose their credentials or access to third parties, not to record or reproduce a third party's Health-Related Personal Data without authorization, and to report to Nutricheck immediately any unauthorized access or any suspicious use of their Account. Nutricheck cannot be held liable for the consequences of fraudulent or unauthorized access to the Solution resulting from the User's negligence or lack of vigilance.

12. Users' rights

In accordance with the Applicable Data Protection Regulations, and in particular Regulation (EU) 2016/679 of 27 April 2016 (GDPR), each User or Guest has a set of rights over the Personal Data concerning them. These rights may be exercised at any time, under the conditions described below.

12.1 Rights granted to every data subject

• Right of access (Article 15 of the GDPR): to obtain confirmation that Data is being processed and to receive a copy in an intelligible format.
• Right to rectification (Article 16 of the GDPR): to request the correction of inaccurate or incomplete Data.
• Right to erasure, or right to be forgotten (Article 17 of the GDPR): to request the deletion of Data in the cases provided for by law (for example objection, withdrawal of consent, Data that has become unnecessary).
• Right to restriction of processing (Article 18 of the GDPR): to request the temporary suspension of the processing of certain Data, for example during a dispute.
• Right to data portability (Article 20 of the GDPR): to obtain a structured and readable copy of one's Data, or its direct transmission to another provider where technically feasible.
• Right to object (Article 21 of the GDPR): to object at any time, on grounds relating to one's particular situation, to processing based on Nutricheck's legitimate interest.
• Right to withdraw consent (Article 7 of the GDPR): at any time, without justification, for processing based on consent.
• Rights relating to automated processing (Article 22 of the GDPR): under the conditions set out in Section 6.4, to request information on the underlying logic, to express one's point of view, to contest a result and to request human intervention.

These rights are exercised free of charge for the User, except in the case of manifestly unfounded or excessive requests (Article 12(5) of the GDPR).

12.2 How to exercise these rights

The User may exercise their rights by email at dpo@nutricheck.eu, or by post at: Nutricheck SAS, Data Protection Officer, 87 rue de la Salicorne, 34470 Pérols, France.

Any request must be clear and explicit and be accompanied, where applicable, by a copy of a valid proof of identity, in order to verify that the applicant is indeed the person concerned by the Data. Nutricheck undertakes to respond within a maximum period of 30 calendar days from receipt of the complete request. This period may be extended by a further 2 months in the event of particular complexity or a high number of requests, in accordance with Article 12(3) of the GDPR.

12.3 Specific case of processing carried out by Nutricheck as Processor

Where Nutricheck acts on behalf of a Controller (for example a Partner or a Laboratory), any request relating to the exercise of rights must be addressed directly to the relevant Controller, in accordance with Article 28 of the GDPR. Nutricheck will assist, upon express request and within the limits provided for contractually, the Controller in handling the request. Under no circumstances may Nutricheck be held liable for a failure to respond or a refusal to allow the exercise of rights where that decision falls within the Controller's remit.

12.4 Right to lodge a complaint with a supervisory authority

In the event of a persistent difficulty or dissatisfaction relating to the processing of their Personal Data, the User may lodge a complaint with the competent supervisory authority: Commission nationale de l'informatique et des libertés (CNIL), Service des Plaintes, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

13. Capacity and minors

The Nutricheck Solution and the associated Services are, as a matter of principle, intended for persons aged 18 years or over who are capable of entering into obligations in accordance with the legislation applicable in their country of residence.

Minors, or protected adults under a regime of guardianship, curatorship or judicial protection, must obtain the prior and express consent of their legal representative before creating an Account or transmitting Personal Data through the Solution.

Should Nutricheck find that an Account has been opened or used in breach of this rule, the necessary measures may be taken, including the suspension or deletion of the Account, after verification.

Where a minor is concerned by a test, an assessment or a recommendation carried out by the Solution, their data is collected, processed and made accessible only under the responsibility of their legal representative. Unless a legal obligation provides otherwise, Nutricheck may, in the context of a request made by a legal representative, inform the latter of the categories of Personal Data processed and enable them to exercise the rights provided for in Section 12 over that data.

14. Conditions of application of the Policy

This Policy applies from its date of publication and is binding on any User, Guest or any other person accessing or using the Solution or the Services offered by Nutricheck.

Nutricheck reserves the right to amend, supplement or update this Policy at any time, in particular to take account of any legislative, regulatory, case-law, technical or organizational development. In the event of a substantial amendment significantly affecting Users' rights, Nutricheck undertakes to inform Users by any appropriate means (email, notification within the Solution, alert banner) and to enable them, where applicable, to express their refusal or to withdraw their consent, where such consent is required.

The User acknowledges and accepts that only the version in force on the day of their access to the Solution or their use of the Services is authoritative. It is the User's responsibility to consult the Policy regularly, available online from the dedicated page of the https://nutricheck.eu website or from the interface of their Account. In the event of disagreement with an updated version of the Policy, the User may at any time request the deletion of their Account and the erasure of their Personal Data, under the conditions set out in Section 12.

15. Cookie management

When browsing the Solution or using the Services, cookies and other trackers may be placed or read on the terminal of the User or the Guest (computer, smartphone, tablet), subject to their consent, where such consent is required.

A cookie is a text file that may be stored in a dedicated area of the User's terminal when accessing an online service. It enables its issuer to identify the terminal in which it is stored, for the duration of the cookie's validity.

15.1 Purposes of the cookies used

The cookies used by Nutricheck serve the following purposes:

• cookies strictly necessary for the functioning of the Solution (authentication, security, session maintenance, management of technical preferences);
• audience-measurement cookies enabling statistics to be generated on traffic, browsing patterns and use of the features, and the performance of the Solution to be improved;
• personalization cookies enabling relevant content to be displayed according to the User's profile;
• third-party cookies, possibly placed by partners (for example a videoconferencing tool, a video module, an interactive map), subject to their own policy.

Nutricheck does not use trackers for third-party advertising purposes, nor cross-site tracking mechanisms.

15.2 User consent

In accordance with the CNIL's requirements, the placement of cookies that are not strictly necessary is subject to obtaining the User's prior consent. An information banner is displayed on first connection, enabling the User to accept all cookies, to refuse all non-essential cookies, or to personalize their preferences, service by service.

The choice expressed is retained for a maximum period of 6 months, at the end of which consent is requested again. The User may modify their preferences at any time from the dedicated interface accessible at the bottom of the page.

15.3 Browser settings

The User may also configure their browser to refuse all or part of the cookies. However, refusing technical cookies may impair the proper functioning of the Solution or restrict access to certain essential features (login, history, access to results). To find out more, the User is invited to consult the privacy settings of their browser as well as the CNIL's information page: www.cnil.fr/cookies.

16. Other provisions

16.1 Notification of Personal Data breaches

In accordance with Article 33 of the GDPR, Nutricheck undertakes to notify any Personal Data breach liable to result in a risk to the rights and freedoms of the data subjects to the competent supervisory authority as soon as possible and, where feasible, within 72 hours after becoming aware of it, as well as, where necessary, to the data subjects. When acting as Processor, Nutricheck undertakes to inform the Controller immediately of any breach of which it becomes aware, to provide all useful information and to assist it in implementing the corrective measures and the required communication obligations. This notification in no way constitutes an acknowledgment of liability or fault on the part of Nutricheck.

16.2 HDS certification

Nutricheck hosts health data on HDS-certified servers, located within the territory of the European Union, in accordance with Article L. 1111-8 of the French Public Health Code. Upon request by a User or by a Controller on whose behalf it acts, Nutricheck undertakes to provide evidence of the certification of its HDS host, and to notify any change of status or change of host within a maximum period of 30 calendar days.

16.3 Data Protection Officer

Nutricheck has appointed a Data Protection Officer, responsible for overseeing compliance with the Applicable Data Protection Regulations. The Data Protection Officer may be contacted at dpo@nutricheck.eu or by post at the address indicated in Section 17.

16.4 Data Protection Impact Assessment (DPIA)

Where the envisaged processing is likely to result in a high risk to the rights and freedoms of the data subjects, Nutricheck carries out a data protection impact assessment (DPIA), in accordance with Article 35 of the GDPR. Where Nutricheck acts as Processor, it may assist the Controller in assessing the risk, in drafting the DPIA or in any prior formality with the CNIL.

16.5 Audit

The Controller on whose behalf Nutricheck acts as Processor may, under the conditions provided for by contract, request to audit Nutricheck in order to verify its compliance, in accordance with the following principles: written notice of at least 30 calendar days; a maximum of one audit per calendar year, unless a legal requirement provides otherwise; performance by an independent auditor, jointly accepted by the parties; signature of a confidentiality undertaking by the auditor; limitation of the audit to the data or processing operations specifically related to the requesting Controller. The audit must not disrupt the normal functioning of the Solution. Information relating to other clients, to the overall security of the infrastructure or to trade secrets is not accessible without prior contractual derogation.

17. Contact

For any question relating to this Policy, to the exercise of your rights, to the reporting of a breach or to any difficulty relating to the processing of your Personal Data, you may contact Nutricheck by email at dpo@nutricheck.eu, or by post at: Nutricheck SAS, Data Protection Officer, 87 rue de la Salicorne, 34470 Pérols, France.

You also have the right to lodge a complaint with the competent supervisory authority: Commission nationale de l'informatique et des libertés (CNIL), 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France, www.cnil.fr.

1. Introduction

Nutricheck attache une importance fondamentale à la protection et à la sécurité des données personnelles. La confidentialité de ces données et le respect de la vie privée figurent parmi ses engagements prioritaires.

Nutricheck s'engage à protéger les données personnelles conformément à la législation applicable, notamment le Règlement (UE) 2016/679 du 27 avril 2016, dit « Règlement général sur la protection des données » (RGPD), et la loi 78-17 du 6 janvier 1978 modifiée, dite « loi Informatique et Libertés ».

La volonté de Nutricheck est d'aller au-delà des seules obligations légales, en instaurant une politique de confidentialité fondée sur l'éthique, la transparence et la sécurité. C'est pourquoi, depuis le lancement de sa Solution, Nutricheck veille en permanence au respect de ses obligations en matière de données personnelles et met en oeuvre des mesures renforcées de protection des données de ses Utilisateurs, y compris de leurs données de santé et de bien-être.

Les données personnelles de santé collectées via la plateforme Nutricheck sont hébergées chez un hébergeur certifié HDS (Hébergeur de données de santé), conformément aux exigences de l'Agence du Numérique en Santé (ANS). Cette certification vise à garantir un haut niveau de sécurité dans le traitement des données à caractère personnel dans le domaine de la santé.

Nutricheck veille également à la conformité de ses pratiques avec les référentiels et recommandations publiés par la Commission nationale de l'informatique et des libertés (CNIL).

2. Définitions

Dans la présente politique de protection des données personnelles (ci-après la « Politique »), les termes identifiés ci-dessous par une majuscule ont la signification suivante, qu'ils soient employés au singulier ou au pluriel :

CGU

désigne les conditions générales d'utilisation de la Solution et des Services.

Compte Nutricheck

désigne l'espace personnel à usage privé permettant à un Utilisateur de se connecter à la Solution de manière authentifiée et sécurisée et d'accéder aux Services grâce à ses Identifiants.

Contenus

désigne l'ensemble des textes, images, fonctionnalités, questionnaires, rapports, recommandations et, plus largement, tout élément existant au sein de la Solution et des Services.

Contrat

désigne l'ensemble contractuel suivant : (i) les CGU et leurs annexes et (ii) la présente Politique. Ces documents sont mis à disposition de l'Utilisateur en version électronique (i) lors de sa première utilisation de la Solution, (ii) lors de la création du Compte Nutricheck et (iii) à tout moment sur la Solution.

Documents

désigne tout document lié à l'Utilisateur ou à ses résultats d'analyse, transmis de manière sécurisée à Nutricheck ou déposé par l'Utilisateur sur son Compte Nutricheck, tels que les rapports, comptes rendus, justificatifs, certificats et factures, et de manière générale tout support (numérique ou scanné), contenant ou non des Données Personnelles de Santé.

Données Personnelles

désigne toute donnée qui, au sens de la Réglementation applicable à la protection des données personnelles, permet d'identifier, directement ou indirectement, une personne physique, notamment par référence à son état civil, à un identifiant, à des données de localisation ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.

Données Personnelles de Santé

désigne une Donnée Personnelle relative à la santé physique ou mentale d'une personne physique, y compris la fourniture de services de santé ou de bien-être, qui révèle des informations sur l'état de santé de cette personne, indépendamment de leur source. Cette catégorie inclut les données de bien-être et d'activité physique susceptibles de révéler des informations relatives à la santé.

Données Utilisateur

désigne (a) l'ensemble des Données Personnelles, y compris les Données Personnelles de Santé et les Documents : (i) communiqués par l'Utilisateur ou l'Invité via la Solution, (ii) mentionnés dans le Compte Nutricheck, (iii) partagés volontairement par l'Utilisateur, (iv) reçus ou générés par un Laboratoire ou un Partenaire, (v) reçus depuis un Objet connecté avec l'autorisation de l'Utilisateur ou (vi) traités par Nutricheck dans le cadre des Services, et (b) tout Document ou donnée téléchargé, collecté ou diffusé via la Solution.

Identifiant

désigne l'identifiant personnel associé au Compte Nutricheck ainsi que tout mot de passe ou code confidentiel attribué ou modifié par l'Utilisateur permettant l'accès à la Solution.

Invité

désigne toute personne physique utilisant la Solution ou les Services sans créer de Compte Nutricheck ni s'y connecter, y compris dans le cadre d'une navigation spontanée ou d'une première interaction non authentifiée.

Laboratoire

désigne toute entité accréditée ou habilitée réalisant des analyses à partir d'un échantillon fourni par l'Utilisateur, partenaire de Nutricheck ou non.

Objet connecté

désigne tout dispositif, capteur, objet connecté ou application tierce de suivi de l'activité physique et du bien-être (par exemple Garmin, Google Fit, Apple Health, Fitbit, Withings, Oura ou tout service équivalent) que l'Utilisateur choisit de connecter à la Solution afin de partager tout ou partie des données qui y sont associées.

Partenaire

désigne toute personne morale ayant signé un contrat de partenariat avec Nutricheck pour proposer des Services ou réaliser des analyses, sous sa responsabilité, éventuellement accessibles depuis la Solution.

Politique

désigne la présente politique de protection des données personnelles.

Rapport d'Analyses

désigne tout rapport de résultats établi à la suite d'analyses réalisées sur un échantillon fourni par l'Utilisateur, notamment un test de sang séché (DBS), un test métabolique ou un test urinaire, mis à disposition de l'Utilisateur via la Solution ou téléversé par lui de sa propre initiative.

Réglementation applicable à la protection des données personnelles

désigne le RGPD, la loi Informatique et Libertés et tout texte national ou européen en vigueur applicable au traitement de Données Personnelles.

Responsable de traitement

désigne la personne physique ou morale déterminant les finalités et les moyens du traitement de Données Personnelles, au sens du RGPD.

Services

désigne l'ensemble des services mis à disposition par Nutricheck via la Solution, notamment l'interprétation des analyses, la génération d'indicateurs et de scores, les recommandations de bien-être et de prévention, les outils de suivi ainsi que les services d'accès à des Partenaires ou Laboratoires.

Solution

désigne la solution logicielle développée et exploitée par Nutricheck, accessible via le site https://nutricheck.eu ou toute URL ou application associée, disponible en mode SaaS (Software as a Service) et permettant l'accès aux Services.

Sous-traitant

désigne toute personne physique ou morale traitant des Données Personnelles pour le compte du Responsable de traitement, conformément à l'article 28 du RGPD.

Utilisateur

désigne toute personne physique disposant d'un Compte Nutricheck ou accédant à la Solution de manière authentifiée ou non, y compris toute personne autorisée par l'Utilisateur principal (famille, aidant, représentant légal, etc.).

Utilisateur client

désigne tout Utilisateur ayant procédé à un achat de Service, que ce soit sous forme d'abonnement ou de commande à l'unité.

Sauf indication contraire, les termes définis dans la présente Politique ont le même sens que ceux définis dans les CGU.

3. Objet de la présente Politique

La présente Politique a pour objet d'informer les Utilisateurs et les Invités de la manière dont Nutricheck traite, protège et sécurise les Données Personnelles dans le cadre de l'utilisation de sa Solution et de ses Services.

Elle vise à expliquer comment Nutricheck, ainsi que, le cas échéant, les Laboratoires et Partenaires impliqués dans la chaîne de services, collectent, traitent, stockent, utilisent et éventuellement partagent les Données Personnelles des Utilisateurs, y compris les Données Personnelles de Santé, dans le respect de la Réglementation applicable à la protection des données personnelles.

La présente Politique détaille notamment :

• les types de Données Personnelles collectées et traitées ;
• les finalités pour lesquelles ces Données sont utilisées ;
• les bases légales justifiant ces traitements ;
• les durées de conservation des Données ;
• les mesures de sécurité mises en oeuvre ;
• les droits dont disposent les Utilisateurs sur leurs Données ;
• les modalités d'exercice de ces droits.

La Politique s'applique à toute personne physique utilisant la Solution, qu'il s'agisse d'un Utilisateur disposant d'un Compte Nutricheck, d'un Invité ou d'un représentant de Partenaire ou de Laboratoire.

Elle fait partie intégrante des CGU applicables à la Solution. Elle peut être modifiée, mise à jour ou complétée à tout moment par Nutricheck, notamment pour tenir compte de l'évolution de la réglementation, de la jurisprudence ou des recommandations de la CNIL. En cas de modification substantielle, Nutricheck en informera les Utilisateurs par tout moyen approprié.

Nous vous invitons à lire attentivement la présente Politique et à vous y référer régulièrement.

4. Qualité de Responsable de traitement

Dans le cadre de la fourniture de sa Solution et de l'exécution de ses Services, Nutricheck agit, par principe, en qualité de Responsable de traitement des Données Personnelles des Utilisateurs.

Nutricheck détermine ainsi les finalités et les moyens des traitements relatifs, notamment :

• à la création et à la gestion du Compte Nutricheck ;
• à la restitution et à l'analyse des résultats, à la génération du profil, des indicateurs et des scores, ainsi qu'à la production de recommandations de bien-être et de prévention ;
• à l'intégration et au traitement des données issues des Objets connectés que l'Utilisateur choisit de connecter ;
• à l'envoi d'informations, de notifications ou d'alertes dans le cadre du suivi et de la prévention ;
• aux opérations techniques nécessaires au fonctionnement, à la sécurité et à l'amélioration de la Solution.

Nutricheck peut, dans certains cas, agir en qualité de Sous-traitant, pour le compte d'un Partenaire ou d'un Laboratoire qui détermine seul les finalités et les moyens d'un traitement, dans les conditions décrites à l'article 6.2. Dans cette hypothèse, Nutricheck agit exclusivement sur instructions documentées du Responsable de traitement concerné, conformément à l'article 28 du RGPD.

Nutricheck prend toutes les mesures appropriées pour assurer la protection et la confidentialité des Données Personnelles qu'elle traite, qu'elle agisse en qualité de Responsable de traitement ou de Sous-traitant. Elle se conforme aux référentiels adoptés par la CNIL, notamment ceux relatifs aux données de santé.

5. Nécessité de la collecte et du traitement

L'utilisation de la Solution et des Services proposés par Nutricheck implique nécessairement la collecte et le traitement de certaines Données Personnelles, y compris, dans certains cas, des Données Personnelles de Santé.

Pour permettre à l'Utilisateur ou à l'Invité d'accéder à ses résultats d'analyses, de générer un profil personnalisé, de bénéficier de recommandations de bien-être ou d'accéder aux Services, Nutricheck ou ses Partenaires et Laboratoires doivent traiter des Données Personnelles strictement nécessaires au bon fonctionnement de la Solution.

Ces Données peuvent être :

• fournies directement par l'Utilisateur (par exemple lors de la création du Compte, du remplissage de questionnaires, du téléversement de documents ou de résultats) ;
• générées automatiquement dans le cadre de l'utilisation de la Solution (par exemple indicateurs, scores, recommandations, journaux de navigation) ;
• reçues depuis un Objet connecté que l'Utilisateur a autorisé à partager ses données ;
• transmises par un Partenaire ou un Laboratoire avec l'autorisation de l'Utilisateur.

Sans cette collecte, l'accès aux fonctionnalités essentielles de la Solution, comme la restitution des résultats, l'analyse ou les recommandations, serait techniquement impossible ou juridiquement non conforme.

En utilisant la Solution, l'Utilisateur reconnaît que le traitement de ses Données Personnelles est nécessaire à l'exécution des Services proposés et à l'atteinte des finalités décrites dans la présente Politique. L'absence de communication de certaines Données Personnelles peut empêcher Nutricheck de répondre à une demande ou de fournir tout ou partie des Services.

6. Traitement des Données Personnelles

6.1 Traitements pour lesquels Nutricheck agit en qualité de Responsable de traitement

Dans le cadre de la fourniture de ses Services, Nutricheck agit en qualité de Responsable de traitement pour un ensemble de traitements nécessaires à l'accès, à l'utilisation, à l'amélioration et à la sécurisation de sa Solution. Ces traitements sont effectués dans le respect du RGPD, sur la base de fondements juridiques déterminés et pour des durées de conservation encadrées.

Lorsqu'un traitement porte sur des Données Personnelles de Santé, il repose sur une base légale au sens de l'article 6 du RGPD ainsi que sur une exception au sens de l'article 9 du RGPD, en pratique le consentement explicite de l'Utilisateur (article 9.2.a), sauf lorsqu'une autre exception trouve à s'appliquer.

6.2 Traitements pour lesquels Nutricheck agit en qualité de Sous-traitant

Dans certains cas, Nutricheck met sa Solution à la disposition de Partenaires ou de Laboratoires qui déterminent seuls les finalités et les moyens du traitement et qui sont, à ce titre, Responsables de traitement au sens de la Réglementation applicable à la protection des données personnelles.

Dans ce cadre, Nutricheck agit exclusivement sur instructions documentées du Responsable de traitement, conformément à l'article 28 du RGPD et au contrat qui la lie à ce dernier. Nutricheck prend toutes les mesures techniques et organisationnelles nécessaires pour garantir la sécurité, la confidentialité, la traçabilité et l'intégrité des Données Personnelles qui lui sont confiées.

Lorsqu'elle agit comme Sous-traitant, Nutricheck s'engage à ne traiter les Données que sur instruction du Responsable de traitement, à ne pas en faire un usage détourné ou non autorisé, et à informer sans délai le Responsable de traitement de toute violation de Données ou demande émanant d'une autorité.

6.3 Catégories de Données Personnelles traitées

Dans le cadre de l'utilisation de la Solution et des Services, Nutricheck est susceptible de traiter, en qualité de Responsable de traitement ou de Sous-traitant, tout ou partie des Données Personnelles suivantes, afin de permettre les traitements décrits aux articles 6.1 et 6.2.

Données administratives :

• nom, prénom, nom de naissance ;
• sexe ;
• date et lieu de naissance.

Données d'identification :

• adresse email ;
• numéro de téléphone ;
• identifiants de connexion et mot de passe (chiffré) ;
• adresse IP.

Données de contact :

• adresse postale ;
• adresse email ;
• numéro de téléphone fixe ou mobile.

Données d'utilisation :

• horodatage des connexions et des actions réalisées sur la Solution ;
• journaux de navigation, adresse IP, identifiant de terminal ;
• données issues des cookies et traceurs techniques (voir article 15) ;
• données de complétion de modules, usage des Services et historique.

Données de santé et de bien-être :

• réponses aux questionnaires ;
• renseignements déclarés par l'Utilisateur ;
• résultats d'analyses (DBS, urine, autres tests) ;
• Rapports d'Analyses, rapports d'interprétation et données brutes ;
• informations extraites de documents téléversés ;
• éléments relatifs aux antécédents, aux habitudes de vie, aux traitements et aux symptômes renseignés volontairement par l'Utilisateur ;
• données issues des Objets connectés que l'Utilisateur a autorisé à partager (par exemple activité physique, fréquence cardiaque et variabilité de la fréquence cardiaque, sommeil, stress, dépense énergétique).

Données de localisation :

• données de localisation et tracés GPS associés aux activités, issus d'un Objet connecté, lorsque l'Utilisateur a activé ce partage. Ces données sont traitées aux fins décrites au chapitre 7, notamment la mise en relation avec des indices de qualité de l'air.

Données concernant des proches :

• Données Personnelles ou de santé concernant des tiers (par exemple enfants, conjoints, personnes suivies) pour lesquels l'Utilisateur a expressément autorisé l'accès, la création de compte ou la gestion déléguée.

6.4 Décision automatisée et profilage

La Solution met en oeuvre des traitements automatisés, incluant des opérations de profilage, afin de générer des indicateurs, des scores et des recommandations personnalisées de bien-être et de prévention à partir des Données Utilisateur, y compris des Données Personnelles de Santé et, le cas échéant, des données issues des Objets connectés.

Ces traitements automatisés ont une finalité d'information, de suivi et de prévention. Ils ne constituent pas un diagnostic, ne se substituent pas à l'avis d'un professionnel et ne produisent pas, à eux seuls, d'effet juridique à l'égard de l'Utilisateur ni d'effet l'affectant de manière significative de façon similaire au sens de l'article 22 du RGPD.

L'Utilisateur conserve à tout moment la faculté de demander des informations sur la logique sous-jacente à ces traitements, d'exprimer son point de vue, de contester un résultat et de solliciter une intervention humaine, dans les conditions prévues à l'article 12.

6.5 Réutilisation à des fins scientifiques (études et recherche)

Sous réserve du consentement exprès, libre, éclairé et spécifique de l'Utilisateur, certaines Données Personnelles, y compris des Données Personnelles de Santé, peuvent être réutilisées par Nutricheck ou pour le compte de ses Partenaires à des fins d'études scientifiques, de recherche ou de développement, dans le strict respect de la Réglementation applicable à la protection des données personnelles et conformément aux référentiels émis par la CNIL.

Cette réutilisation ne concerne que des données pseudonymisées ou anonymisées, lorsque cela est possible, et s'inscrit toujours dans un cadre clairement défini et documenté, limité dans le temps et, le cas échéant, validé par un comité éthique ou une autorité compétente.

Les projets de recherche visent notamment à :

• améliorer les performances des algorithmes utilisés pour l'analyse des données ;
• valider les indicateurs, les scores et les modèles produits par la Solution ;
• évaluer l'impact des outils de Nutricheck sur la prévention et la personnalisation du suivi ;
• développer de nouveaux indicateurs et outils d'aide à la décision intégrables dans les Services.

Une page dédiée aux études et à la recherche, disponible sur https://nutricheck.eu, précise pour chaque projet en cours l'identité du responsable de projet, les partenaires associés, les objectifs poursuivis, les dates de début et de fin, les catégories de données concernées et les modalités de retrait ou d'opposition. Cette page tient lieu d'information au sens des articles 12 à 14 du RGPD.

En cas de participation à une étude spécifique, un document de consentement dédié est présenté à l'Utilisateur. Il est libre de l'accepter ou de le refuser, sans conséquence sur son accès aux Services. En cas de retrait du consentement à une réutilisation dans un projet en cours, les Données de l'Utilisateur ne sont plus incluses dans les phases ultérieures de l'étude, sans effet rétroactif sur les traitements déjà réalisés. Aucune donnée n'est cédée à un Partenaire sans l'autorisation préalable de l'Utilisateur.

7. Données issues d'objets connectés et d'applications tierces

Nutricheck permet à l'Utilisateur de connecter, de manière strictement facultative, certains objets connectés et applications tierces de suivi de l'activité physique et du bien-être (par exemple Garmin, Google Fit, Apple Health, Fitbit, Withings, Oura ou tout service équivalent), afin d'enrichir son profil et d'affiner les analyses et les recommandations proposées par la Solution. Cette connexion n'est jamais imposée et n'est pas nécessaire à l'accès aux fonctionnalités essentielles de la Solution.

Autorisation préalable et contrôle de l'Utilisateur. L'accès aux données d'un Objet connecté n'est activé qu'après autorisation expresse de l'Utilisateur, au moyen du mécanisme d'authentification sécurisé mis à disposition par le fournisseur concerné (protocole OAuth). L'Utilisateur choisit les catégories de données qu'il souhaite partager et peut, à tout moment, révoquer cette autorisation, sans que cela n'affecte la licéité des traitements réalisés avant le retrait.

Catégories de données concernées. Sous réserve des autorisations accordées et des catégories effectivement partagées par l'Utilisateur, Nutricheck est susceptible de recevoir depuis l'Objet connecté des données telles que les activités physiques et séances d'entraînement, la fréquence cardiaque et la variabilité de la fréquence cardiaque, le sommeil, le niveau de stress, les indicateurs d'énergie et de récupération, la consommation maximale d'oxygène, la fréquence respiratoire, la saturation en oxygène, la dépense énergétique, les synthèses quotidiennes d'activité, ainsi que les données de localisation et les tracés GPS associés aux activités lorsque l'Utilisateur choisit de les partager. Nutricheck ne collecte que les données nécessaires à la finalité pour laquelle l'Utilisateur a activé la connexion.

Finalités. Les données issues des Objets connectés sont utilisées exclusivement pour restituer à l'Utilisateur une vision consolidée de ses données, contextualiser et mettre en perspective ses résultats, personnaliser les contenus, les indicateurs de suivi et les recommandations de bien-être et de prévention proposés par la Solution, et permettre un suivi longitudinal dans le temps. Les données de localisation et les tracés GPS peuvent en outre être mis en relation avec des données environnementales issues de sources tierces, notamment des indices de qualité de l'air (particules fines PM10 et PM2,5, ozone), afin de proposer à l'Utilisateur des recommandations de prévention et de bien-être tenant compte de son exposition environnementale. Les données de localisation sont utilisées à cette seule fin et ne font l'objet d'aucun autre suivi des déplacements de l'Utilisateur. L'Utilisateur peut activer ou désactiver le partage de sa localisation indépendamment des autres catégories de données. Ces données ne sont utilisées à aucune fin de diagnostic.

Base légale. Le traitement des données issues des Objets connectés repose sur le consentement exprès de l'Utilisateur (article 6.1.a du RGPD et, s'agissant de données relatives à la santé ou au bien-être physique, article 9.2.a du RGPD). L'Utilisateur peut retirer son consentement à tout moment.

Responsable de traitement. Nutricheck agit en qualité de Responsable de traitement des données issues des Objets connectés qu'elle reçoit et traite pour fournir la Solution à l'Utilisateur. Le fournisseur de l'Objet connecté demeure responsable, de manière indépendante, des traitements qu'il réalise dans le cadre de ses propres services. L'utilisation de ces services par l'Utilisateur est régie par la politique de confidentialité du fournisseur concerné.

Absence de commercialisation et de publicité. Nutricheck ne vend ni ne loue les données issues des Objets connectés, ne les utilise à aucune fin publicitaire, et ne les transmet à aucun tiers pour les besoins propres de ce tiers. Ces données sont traitées uniquement pour fournir la Solution à l'Utilisateur, dans le respect des finalités décrites ci-dessus.

Sécurité et hébergement. Les données issues des Objets connectés bénéficient des mêmes mesures de sécurité que l'ensemble des Données Personnelles traitées par Nutricheck et sont hébergées, lorsqu'elles relèvent de données de santé, chez un hébergeur certifié HDS situé dans l'Union européenne.

Durée de conservation. Les données issues des Objets connectés sont conservées tant que la connexion demeure active et que le Compte de l'Utilisateur existe. Elles sont supprimées, ou anonymisées de manière irréversible, à la déconnexion de la source concernée ou à la suppression du Compte, sous réserve des durées de conservation légales applicables.

Déconnexion et suppression. L'Utilisateur peut à tout moment déconnecter une source de données depuis son Compte Nutricheck et depuis son compte auprès du fournisseur concerné. La déconnexion interrompt toute réception ultérieure de données. L'Utilisateur peut par ailleurs demander la suppression des données déjà collectées dans les conditions prévues à l'article 12.

Transferts internationaux. Lorsqu'un fournisseur d'Objet connecté est établi en dehors de l'Espace économique européen, notamment aux États-Unis, la réception de données par Nutricheck peut impliquer un transfert hors de l'Espace économique européen. Un tel transfert n'intervient que lorsqu'il bénéficie d'un niveau de protection approprié, selon l'ordre de priorité suivant : (i) une décision d'adéquation de la Commission européenne, notamment le Data Privacy Framework EU-États-Unis lorsque le fournisseur y est valablement certifié ; (ii) à défaut, les clauses contractuelles types de la Commission européenne ou tout autre instrument reconnu par la Réglementation applicable ; (iii) à titre résiduel, une dérogation prévue à l'article 49 du RGPD. Les données reçues sont stockées au sein de l'Union européenne.

Conformité aux conditions des fournisseurs. L'utilisation par Nutricheck des données issues des Objets connectés est réalisée conformément aux conditions et exigences applicables de chaque fournisseur, notamment, s'agissant de Garmin, au Garmin Connect Developer Program Agreement.

8. Durées de conservation

Nutricheck conserve les Données Personnelles uniquement pendant la durée strictement nécessaire à la réalisation des finalités pour lesquelles elles ont été collectées, conformément aux principes du RGPD et dans le respect des obligations légales, réglementaires ou contractuelles applicables.

Les Données Personnelles traitées sont conservées en base active pendant toute la durée d'utilisation de la Solution et des Services, puis, selon les cas, soit supprimées définitivement, soit anonymisées de manière irréversible à des fins de recherche ou de statistiques, soit archivées en base intermédiaire, dans des conditions de sécurité renforcées, lorsque la conservation est requise par la loi ou pour la constatation, l'exercice ou la défense d'un droit en justice.

Données conservées en base active :

Données conservées en base intermédiaire (archivage sécurisé) :

À l'issue de ces durées, les Données Personnelles sont supprimées ou anonymisées de manière définitive, sauf obligation légale de conservation prolongée, demande d'une autorité compétente ou nécessité pour la défense d'un droit en justice.

9. Sous-traitants et destinataires des Données Personnelles

Chaque Utilisateur reste maître de ses Données Personnelles. Nutricheck n'en dispose pas librement et n'en fait aucun usage non prévu par la présente Politique.

Conformément à l'article 28 du RGPD, Nutricheck peut faire appel à des Sous-traitants, c'est-à-dire à des prestataires techniques ou spécialisés, agissant pour son compte dans le cadre d'une relation contractuelle stricte. Ces Sous-traitants n'agissent que sur instruction de Nutricheck et sont soumis à des obligations contractuelles de sécurité, de confidentialité et de conformité équivalentes à celles de Nutricheck.

9.1 Accès restreint et limité

Les Données Personnelles ne sont accessibles qu'aux destinataires suivants, dans la limite de ce qui est nécessaire :

• les collaborateurs habilités de Nutricheck, dans la limite de leurs attributions ;
• les prestataires techniques de Nutricheck (par exemple hébergeur HDS, prestataire de paiement, prestataires de développement, de maintenance ou de sécurité) ;
• les partenaires logistiques ou distributeurs en charge de la livraison des kits ou des produits commandés ;
• les Partenaires scientifiques ou industriels impliqués dans des projets de recherche auxquels l'Utilisateur a accepté de participer ;
• les fournisseurs d'Objets connectés, exclusivement dans le cadre de la connexion autorisée par l'Utilisateur et dans les conditions prévues à l'article 7.

La liste des principaux Sous-traitants et destinataires des Données Personnelles est tenue à jour par Nutricheck et peut être communiquée à l'Utilisateur sur simple demande adressée à dpo@nutricheck.eu.

Nutricheck s'engage à ne pas transmettre les Données Personnelles de l'Utilisateur à des tiers à des fins commerciales ou publicitaires, sauf autorisation préalable et explicite du titulaire des données.

9.2 Obligations légales ou réglementaires

Nutricheck peut être tenue de communiquer des Données Personnelles pour répondre à une obligation légale ou réglementaire, pour satisfaire à une injonction d'une autorité administrative, judiciaire ou de contrôle, ou pour assurer la protection de ses droits et prévenir tout comportement frauduleux, abusif ou illicite. Ces communications sont strictement encadrées et ne peuvent avoir lieu que sur une base légale, dans les limites prévues par la loi.

9.3 Hébergement HDS

Conformément à l'article L. 1111-8 du Code de la santé publique, Nutricheck a recours à un hébergeur certifié Hébergeur de données de santé (HDS) pour stocker et sécuriser les Données Personnelles de Santé traitées dans le cadre de ses Services. Cet hébergeur est situé sur le territoire de l'Union européenne et dispose d'un certificat délivré par l'Agence du Numérique en Santé. Nutricheck s'engage à maintenir cette certification et à informer ses Utilisateurs de tout changement de statut ou de fournisseur.

9.4 Transferts hors de l'Union européenne

Nutricheck stocke les Données Personnelles au sein de l'Espace économique européen, sous réserve des transferts encadrés décrits ci-après.

Lorsqu'un traitement implique un transfert de Données Personnelles vers un pays situé en dehors de l'Espace économique européen, notamment dans le cadre de la connexion d'un Objet connecté dont le fournisseur est établi dans un pays tiers, Nutricheck n'y procède qu'à la condition de garantir un niveau de protection approprié, selon l'ordre de priorité suivant : (i) une décision d'adéquation de la Commission européenne, notamment le Data Privacy Framework EU-États-Unis lorsque le destinataire y est valablement certifié ; (ii) à défaut, les clauses contractuelles types de la Commission européenne ou tout autre instrument juridique reconnu comme approprié par la Réglementation applicable ; (iii) à titre résiduel, une dérogation prévue à l'article 49 du RGPD. Nutricheck vérifie la validité de la garantie applicable au moment de la mise en place de chaque transfert et pendant toute sa durée.

10. Engagements des Utilisateurs pour la protection des Données Personnelles

Les Données Personnelles auxquelles l'Utilisateur a accès via la Solution, notamment les Données Personnelles de Santé, sont couvertes par le respect de la vie privée et par la confidentialité. À ce titre, l'Utilisateur s'engage à adopter une conduite responsable, éthique et conforme à la législation en vigueur en matière de protection des données personnelles.

Chaque Utilisateur s'engage à :

• respecter l'intégrité et la confidentialité des Données Personnelles auxquelles il accède via la Solution, que celles-ci le concernent ou concernent un tiers ayant autorisé l'accès à ses données ;
• ne pas enregistrer, copier, extraire, détourner, transférer ou diffuser tout ou partie des Données Personnelles obtenues via la Solution, sauf autorisation préalable, expresse et écrite du titulaire des données ou de l'autorité compétente, et dans le cadre strictement nécessaire à l'exécution des Services ;
• informer immédiatement Nutricheck en cas d'accès non autorisé, d'utilisation frauduleuse ou de suspicion d'incident de sécurité lié aux Données Personnelles.

Lorsqu'un Partenaire ou un Laboratoire agit en qualité de Responsable de traitement, il lui incombe de respecter les formalités et obligations prévues par la Réglementation applicable à la protection des données personnelles, d'informer les personnes concernées du traitement de leurs Données Personnelles, de garantir l'exercice effectif de leurs droits et de notifier, le cas échéant, toute violation de Données Personnelles à la CNIL et aux personnes concernées dans les conditions légales. Nutricheck décline toute responsabilité en cas de non-respect, par un Partenaire ou un Laboratoire, de ses obligations propres en tant que Responsable de traitement.

11. Sécurité des Données Personnelles

Nutricheck met en oeuvre et maintient en permanence un ensemble de mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque inhérent à ses activités de traitement de Données Personnelles, et notamment de Données Personnelles de Santé. Ces mesures visent à assurer la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes et des données, et à prévenir tout accès, utilisation ou divulgation non autorisé, accidentel ou illicite.

11.1 Mesures mises en oeuvre par Nutricheck

À titre indicatif et non limitatif, Nutricheck a notamment déployé les dispositifs suivants :

• chiffrement de toutes les connexions à la Solution via le protocole HTTPS (SSL/TLS) ;
• chiffrement des données sensibles en transit et, si nécessaire, au repos ;
• hébergement de l'ensemble des données de santé sur des serveurs certifiés HDS, situés dans l'Union européenne ;
• journalisation et traçabilité des accès et des actions effectuées dans la Solution ;
• gestion des habilitations selon des profils strictement définis et documentés (principe du moindre privilège) ;
• surveillance des systèmes d'information, tests d'intrusion réguliers et audits de sécurité ;
• plan de sauvegarde, de redondance et de continuité d'activité en cas d'incident technique ou de sinistre ;
• procédures internes de notification des violations de Données, en conformité avec les articles 33 et 34 du RGPD.

Ces dispositifs sont régulièrement testés, évalués et mis à jour pour garantir leur efficacité, conformément à l'article 32 du RGPD.

11.2 Responsabilités des Utilisateurs

Chaque Utilisateur est informé qu'il lui appartient de mettre en oeuvre, sous sa responsabilité, toutes les mesures utiles pour assurer la confidentialité et la sécurité de ses identifiants de connexion, de son terminal personnel (ordinateur, smartphone, tablette) et, plus généralement, de tout support lui permettant d'accéder à la Solution.

L'Utilisateur s'engage à ne jamais communiquer ses identifiants ou accès à des tiers, à ne pas enregistrer ou reproduire les Données Personnelles de Santé d'un tiers sans autorisation, et à signaler immédiatement à Nutricheck tout accès non autorisé ou toute utilisation suspecte de son Compte. Nutricheck ne saurait être tenue responsable des conséquences d'un accès frauduleux ou non autorisé à la Solution résultant d'une négligence ou d'un défaut de vigilance de l'Utilisateur.

12. Droits des Utilisateurs

Conformément à la Réglementation applicable à la protection des données personnelles, et notamment au Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), chaque Utilisateur ou Invité dispose d'un ensemble de droits sur les Données Personnelles le concernant. Ces droits peuvent être exercés à tout moment, dans les conditions décrites ci-après.

12.1 Droits reconnus à toute personne concernée

• Droit d'accès (article 15 du RGPD) : obtenir confirmation que des Données sont traitées et en recevoir une copie dans un format compréhensible.
• Droit de rectification (article 16 du RGPD) : demander la correction de Données inexactes ou incomplètes.
• Droit à l'effacement, ou droit à l'oubli (article 17 du RGPD) : demander la suppression des Données dans les cas prévus par la loi (par exemple opposition, retrait du consentement, Données devenues inutiles).
• Droit à la limitation du traitement (article 18 du RGPD) : demander la suspension temporaire du traitement de certaines Données, par exemple le temps d'un litige.
• Droit à la portabilité (article 20 du RGPD) : obtenir une copie structurée et lisible de ses Données, ou leur transmission directe à un autre prestataire lorsque cela est techniquement possible.
• Droit d'opposition (article 21 du RGPD) : s'opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement fondé sur l'intérêt légitime de Nutricheck.
• Droit de retirer son consentement (article 7 du RGPD) : à tout moment, sans justification, pour les traitements fondés sur le consentement.
• Droits relatifs aux traitements automatisés (article 22 du RGPD) : dans les conditions prévues à l'article 6.4, demander des informations sur la logique sous-jacente, exprimer son point de vue, contester un résultat et solliciter une intervention humaine.

Ces droits s'exercent sans frais pour l'Utilisateur, sauf en cas de demandes manifestement infondées ou excessives (article 12.5 du RGPD).

12.2 Modalités d'exercice des droits

L'Utilisateur peut exercer ses droits par email à l'adresse dpo@nutricheck.eu, ou par courrier postal à l'adresse : Nutricheck SAS, Délégué à la protection des données, 87 rue de la Salicorne, 34470 Pérols, France.

Toute demande doit être claire et explicite et être accompagnée, le cas échéant, d'une copie d'un justificatif d'identité en cours de validité, afin de vérifier que le demandeur est bien la personne concernée par les Données. Nutricheck s'engage à répondre dans un délai maximum de 30 jours calendaires à compter de la réception de la demande complète. Ce délai peut être prolongé de 2 mois supplémentaires en cas de complexité particulière ou de multiplicité des demandes, conformément à l'article 12.3 du RGPD.

12.3 Cas particulier des traitements réalisés par Nutricheck en tant que Sous-traitant

Lorsque Nutricheck agit pour le compte d'un Responsable de traitement (par exemple un Partenaire ou un Laboratoire), toute demande relative à l'exercice des droits doit être adressée directement au Responsable concerné, conformément à l'article 28 du RGPD. Nutricheck assistera, sur demande expresse et dans les limites prévues contractuellement, le Responsable de traitement dans l'instruction de la demande. En aucun cas Nutricheck ne peut être tenue responsable d'une absence de réponse ou d'un refus d'exercice des droits lorsque cette décision relève du Responsable de traitement.

12.4 Droit d'introduire une réclamation auprès d'une autorité de contrôle

En cas de difficulté persistante ou d'insatisfaction liée au traitement de ses Données Personnelles, l'Utilisateur peut introduire une réclamation auprès de l'autorité de contrôle compétente : Commission nationale de l'informatique et des libertés (CNIL), Service des Plaintes, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

13. Capacité et mineurs

La Solution Nutricheck et les Services qui y sont associés sont, par principe, destinés à des personnes âgées de 18 ans ou plus, capables de contracter des obligations conformément à la législation applicable dans leur pays de résidence.

Les personnes mineures ou les personnes majeures protégées au titre d'un régime de tutelle, de curatelle ou de sauvegarde de justice doivent impérativement obtenir le consentement préalable et exprès de leur représentant légal avant de créer un Compte ou de transmettre des Données Personnelles via la Solution.

Dans le cas où Nutricheck constaterait qu'un Compte a été ouvert ou utilisé en violation de cette règle, les mesures nécessaires pourront être prises, incluant la suspension ou la suppression du Compte, après vérification.

Lorsqu'un mineur est concerné par un test, un bilan ou une recommandation opérée par la Solution, ses données ne sont collectées, traitées et accessibles que sous la responsabilité de son représentant légal. Sauf obligation légale contraire, Nutricheck pourra, dans le cadre d'une demande formulée par un représentant légal, informer ce dernier des catégories de Données Personnelles traitées et lui permettre d'exercer les droits prévus à l'article 12 sur lesdites données.

14. Conditions d'application de la Politique

La présente Politique est applicable à compter de sa date de publication et s'impose à tout Utilisateur, Invité ou toute autre personne accédant ou utilisant la Solution ou les Services proposés par Nutricheck.

Nutricheck se réserve le droit de modifier, de compléter ou de mettre à jour à tout moment la présente Politique, notamment pour tenir compte de toute évolution législative, réglementaire, jurisprudentielle, technique ou organisationnelle. En cas de modification substantielle affectant de manière significative les droits des Utilisateurs, Nutricheck s'engage à en informer les Utilisateurs par tout moyen approprié (email, notification dans la Solution, bandeau d'alerte) et à leur permettre, le cas échéant, d'exprimer leur refus ou de retirer leur consentement, lorsque celui-ci est requis.

L'Utilisateur reconnaît et accepte que seule la version en vigueur au jour de son accès à la Solution ou de son utilisation des Services fait foi. Il lui appartient de consulter régulièrement la Politique disponible en ligne depuis la page dédiée du site https://nutricheck.eu ou depuis l'interface de son Compte. En cas de désaccord avec une version mise à jour de la Politique, l'Utilisateur peut à tout moment demander la suppression de son Compte et l'effacement de ses Données Personnelles, dans les conditions prévues à l'article 12.

15. Gestion des cookies

Lors de la navigation sur la Solution ou de l'utilisation des Services, des cookies et autres traceurs peuvent être déposés ou lus sur le terminal de l'Utilisateur ou de l'Invité (ordinateur, smartphone, tablette), sous réserve de son consentement, lorsque celui-ci est requis.

Un cookie est un fichier texte susceptible d'être enregistré dans un espace dédié du terminal de l'Utilisateur lors de la consultation d'un service en ligne. Il permet à son émetteur d'identifier le terminal dans lequel il est enregistré, pendant la durée de validité du cookie.

15.1 Finalités des cookies utilisés

Les cookies utilisés par Nutricheck répondent aux finalités suivantes :

• cookies strictement nécessaires au fonctionnement de la Solution (authentification, sécurisation, maintien de la session, gestion des préférences techniques) ;
• cookies de mesure d'audience permettant de générer des statistiques sur la fréquentation, les parcours de navigation et l'usage des fonctionnalités, et d'améliorer les performances de la Solution ;
• cookies de personnalisation permettant d'afficher un contenu pertinent en fonction du profil de l'Utilisateur ;
• cookies de tiers, éventuellement déposés par des partenaires (par exemple outil de visioconférence, module vidéo, carte interactive), sous réserve de leur politique propre.

Nutricheck n'utilise pas de traceurs à des fins publicitaires tierces, ni de mécanismes de suivi inter-sites.

15.2 Consentement de l'Utilisateur

Conformément aux exigences de la CNIL, le dépôt de cookies non strictement nécessaires est subordonné au recueil préalable du consentement de l'Utilisateur. Un bandeau d'information s'affiche à la première connexion, permettant à l'Utilisateur d'accepter tous les cookies, de refuser tous les cookies non essentiels ou de personnaliser ses préférences, service par service.

Le choix exprimé est conservé pendant une durée de 6 mois maximum, au terme de laquelle le consentement est à nouveau sollicité. L'Utilisateur peut modifier ses préférences à tout moment depuis l'interface dédiée accessible en bas de page.

15.3 Paramétrage du navigateur

L'Utilisateur peut également configurer son navigateur pour refuser tout ou partie des cookies. Toutefois, le refus des cookies techniques peut altérer le bon fonctionnement de la Solution ou restreindre l'accès à certaines fonctionnalités essentielles (connexion, historique, accès aux résultats). Pour en savoir plus, l'Utilisateur est invité à consulter les paramètres de confidentialité de son navigateur ainsi que la page d'information de la CNIL : www.cnil.fr/cookies.

16. Autres éléments

16.1 Notification des violations de Données Personnelles

Conformément à l'article 33 du RGPD, Nutricheck s'engage à notifier toute violation de Données Personnelles susceptible d'engendrer un risque pour les droits et libertés des personnes concernées à l'autorité de contrôle compétente dans les meilleurs délais et, dans la mesure du possible, dans un délai de 72 heures après en avoir pris connaissance, ainsi que, si nécessaire, aux personnes concernées. Lorsqu'elle agit en tant que Sous-traitant, Nutricheck s'engage à informer immédiatement le Responsable de traitement de toute violation dont elle aurait connaissance, à fournir toute information utile et à l'assister dans la mise en oeuvre des mesures correctives et des obligations de communication requises. Cette notification n'emporte en aucun cas reconnaissance de responsabilité ou de faute de la part de Nutricheck.

16.2 Certification HDS

Nutricheck héberge les données de santé sur des serveurs certifiés HDS, situés sur le territoire de l'Union européenne, conformément à l'article L. 1111-8 du Code de la santé publique. Sur demande d'un Utilisateur ou d'un Responsable de traitement pour le compte duquel elle agit, Nutricheck s'engage à fournir les preuves de certification de son hébergeur HDS, ainsi qu'à notifier toute évolution de statut ou changement d'hébergeur dans un délai maximum de 30 jours calendaires.

16.3 Délégué à la protection des données

Nutricheck a désigné un Délégué à la protection des données, chargé de veiller au respect de la Réglementation applicable à la protection des données personnelles. Il peut être contacté à l'adresse dpo@nutricheck.eu ou par courrier à l'adresse indiquée à l'article 17.

16.4 Analyse d'impact relative à la protection des données (AIPD)

Lorsque le traitement envisagé est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées, Nutricheck réalise une analyse d'impact relative à la protection des données (AIPD), conformément à l'article 35 du RGPD. Lorsque Nutricheck agit en qualité de Sous-traitant, elle pourra assister le Responsable de traitement dans l'évaluation du risque, dans la rédaction de l'AIPD ou dans toute formalité préalable auprès de la CNIL.

16.5 Audit

Le Responsable de traitement pour le compte duquel Nutricheck agit en qualité de Sous-traitant peut, dans les conditions prévues par contrat, demander à auditer Nutricheck afin de vérifier sa conformité, dans le respect des principes suivants : préavis écrit d'au moins 30 jours calendaires ; un audit par année civile maximum, sauf exigence légale contraire ; réalisation par un auditeur indépendant, accepté conjointement par les parties ; signature d'un engagement de confidentialité par l'auditeur ; limitation de l'audit aux données ou traitements spécifiquement liés au Responsable demandeur. L'audit ne devra pas perturber le fonctionnement normal de la Solution. Les informations relevant d'autres clients, de la sécurité globale de l'infrastructure ou de secrets industriels ne sont pas accessibles sans dérogation contractuelle préalable.

17. Contact

Pour toute question relative à la présente Politique, à l'exercice de vos droits, à un signalement de violation ou à toute difficulté liée au traitement de vos Données Personnelles, vous pouvez contacter Nutricheck par email à l'adresse dpo@nutricheck.eu, ou par courrier postal à l'adresse : Nutricheck SAS, Délégué à la protection des données, 87 rue de la Salicorne, 34470 Pérols, France.

Vous disposez également du droit d'introduire une réclamation auprès de l'autorité de contrôle compétente : Commission nationale de l'informatique et des libertés (CNIL), 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France, www.cnil.fr.