🔒 Résumé en deux phrases : Vos données de santé restent exclusivement sur votre appareil, chiffrées si vous activez le code PIN. Les échanges réseau existent uniquement pour les achats et restaurations Premium, via Apple (StoreKit) sur iPhone et iPad, Google (Google Play Billing) sur Android, et RevenueCat dans les deux cas.
Vaxelia est une application mobile de suivi vaccinal personnel développée et éditée par :
Mohammed Chahed
3, rue Massabo
13002 Marseille, France
E-mail : contact@vaxelia.fr
L'application est distribuée sur l'App Store d'Apple (iOS/iPadOS) et sur le Google Play Store (Android).
En tant que responsable de traitement au sens du RGPD, nous déterminons les finalités et les moyens du traitement des données personnelles décrit dans cette politique.
Vaxelia a été conçue dès l'origine selon le principe du Privacy by Design (Art. 25 RGPD). L'application :
Toutes vos données médicales restent exclusivement stockées sur votre appareil, dans la mémoire locale de l'application (localStorage chiffré si PIN activé). Ces données ne nous sont jamais transmises et nous n'y avons aucun accès.
| Type de donnée | Exemples | Finalité | Lieu de stockage |
|---|---|---|---|
| Profil patient | Prénom (optionnel), date de naissance, sexe biologique | Calcul des recommandations vaccinales adaptées à l'âge et au sexe | Appareil uniquement |
| Historique vaccinal | Nom du vaccin, date d'injection, marque commerciale, numéro de lot, notes personnelles | Suivi du carnet vaccinal et calcul du statut de conformité | Appareil uniquement |
| Code PIN (optionnel) | Code à 4–6 chiffres — stocké uniquement sous forme de hash PBKDF2 salé | Dérivation de la clé AES-256 de chiffrement des données de santé | Appareil uniquement (jamais transmis) |
| Préférences d'affichage | Mode sombre activé/désactivé, heure de notification | Personnalisation de l'interface utilisateur | Appareil uniquement |
| État de l'onboarding | Indicateur booléen de premier lancement | Affichage unique de l'écran d'introduction | Appareil uniquement |
Les données de santé (antécédents vaccinaux, date de naissance à des fins médicales) constituent des données sensibles au sens de l'article 9 du RGPD. Leur traitement est fondé sur :
| Traitement | Base légale | Précision |
|---|---|---|
| Stockage local des données de santé | Art. 9(2)(a) — Consentement explicite | L'utilisateur saisit volontairement ses données pour son usage personnel. Le considérant 18 du RGPD exclut les traitements à titre strictement personnel de son champ d'application commercial. |
| Calcul du statut vaccinal et recommandations | Art. 6(1)(b) — Exécution du contrat (fourniture du service) | Traitement strictement nécessaire à la fonctionnalité principale de l'application. |
| Gestion des achats in-app (Premium) | Art. 6(1)(b) — Exécution du contrat | Traitement nécessaire pour débloquer les fonctionnalités achetées. Délégué à Apple (StoreKit) ou Google (Google Play Billing) selon la plateforme, et à RevenueCat (voir §7). |
| Envoi de notifications de rappel | Art. 6(1)(a) — Consentement | L'utilisateur autorise explicitement les notifications via la boîte de dialogue système d'iOS/Android. Ce consentement peut être retiré à tout moment dans les réglages de l'appareil. |
| Export et partage de données | Art. 6(1)(a) — Consentement / Art. 20 — Portabilité | L'export (JSON, CSV, PDF) est déclenché exclusivement par l'utilisateur. Le partage est chiffré de bout en bout et n'implique aucun serveur intermédiaire. |
Lorsque l'utilisateur active la protection par code PIN, l'intégralité des données médicales est chiffrée à l'aide de :
Sans activation du PIN, les données sont stockées en clair dans le localStorage de l'application. Ce stockage est protégé par le mécanisme de sandboxing d'iOS/Android : aucune autre application ne peut y accéder. Nous recommandons d'activer le PIN si vous partagez physiquement votre appareil.
Si le PIN est activé, l'application se verrouille automatiquement après 3 minutes en arrière-plan. Une tentative de déverrouillage avec un PIN incorrect est enregistrée localement, avec un mécanisme de temporisation progressive pour limiter les attaques par force brute.
Vaxelia propose une fonctionnalité optionnelle de partage de carnet vaccinal entre deux utilisateurs de l'application. Ce partage :
#, jamais envoyée au serveur)✅ Nous n'avons aucun accès aux données partagées. Aucune copie n'est conservée sur un serveur lors d'un partage.
ℹ️ Vaxelia ne partage aucune donnée médicale avec des tiers. Les échanges réseau sont limités aux achats et restaurations Premium, via Apple (StoreKit) ou Google (Google Play Billing) selon votre appareil, et RevenueCat. Aucun de ces services n'accède à vos données de santé.
La distribution de l'application et le traitement des paiements in-app sur iOS sont assurés par Apple Inc. (Cupertino, États-Unis). Lors d'un achat Premium :
La distribution de l'application et le traitement des paiements in-app sur Android sont assurés par Google LLC (Mountain View, États-Unis). Lors d'un achat Premium :
Vaxelia utilise le SDK RevenueCat (San Francisco, États-Unis) pour gérer les entitlements (niveaux d'accès) Premium de manière fiable sur iOS et sur Android. En tant que sous-traitant, RevenueCat peut traiter :
RevenueCat est conforme au RGPD et opère sous les Clauses Contractuelles Types (SCCs) de la Commission Européenne pour les transferts de données vers les États-Unis. Consultez la Politique de Confidentialité de RevenueCat.
📋 Récapitulatif des sous-traitants :
| Sous-traitant | Données traitées | Localisation | Garantie RGPD |
|---|---|---|---|
| Apple Inc. | Reçu d'achat, paiement | États-Unis | DPF EU–US, SCCs |
| Google LLC | Jeton d'achat, paiement | États-Unis | DPF EU–US, SCCs |
| RevenueCat Inc. | ID anonyme, reçu ou jeton d'achat | États-Unis | SCCs |
Les données liées aux achats in-app uniquement sont susceptibles d'être transférées vers les États-Unis via les services d'Apple, de Google et de RevenueCat. Ces transferts sont encadrés par :
Vos données médicales et vaccinales ne sont jamais transférées hors de votre appareil et ne font l'objet d'aucun transfert international.
Vaxelia peut envoyer des notifications locales (gérées directement par l'OS de votre appareil, sans serveur push externe) pour vous rappeler les vaccinations à venir. Ces notifications :
Aucun token de notification push (APNs, FCM) n'est transmis à nos serveurs.
Vaxelia offre plusieurs formats d'export de votre carnet vaccinal, tous générés localement sur votre appareil :
Ces fichiers sont générés en local. Leur transmission à un tiers (médecin, email, cloud personnel) est effectuée exclusivement par vos soins via les mécanismes de partage de votre appareil. Nous n'y avons aucun accès.
L'application utilise un Service Worker (technologie PWA) pour permettre son fonctionnement hors ligne. Ce Service Worker :
| Données | Durée de conservation | Suppression |
|---|---|---|
| Données médicales (profils, historique vaccinal) | Aussi longtemps que l'application est installée | Suppression via l'application ou désinstallation |
| Code PIN (hash uniquement) | Jusqu'à désactivation du PIN ou désinstallation | Suppression via Paramètres > PIN |
| Préférences d'affichage | Aussi longtemps que l'application est installée | Suppression via « Effacer toutes mes données » |
| Données d'achat (côté RevenueCat) | Selon la politique de RevenueCat (jusqu'à 5 ans pour conformité comptable) | Demande de suppression à RevenueCat |
⚠️ Recommandation : En cas de changement d'appareil, effectuez un export JSON de vos données avant de désinstaller l'application. Nous ne pouvons pas récupérer des données perdues à la suite d'une désinstallation ou d'une réinitialisation d'appareil.
Vaxelia est conçue pour le suivi vaccinal de toute la famille, y compris les enfants en bas âge. Les données des mineurs sont saisies par leurs parents ou représentants légaux et restent, comme toutes les données, exclusivement stockées en local.
L'application ne collecte aucune donnée directement auprès de mineurs et ne commercialise pas de données relatives à des mineurs. Elle n'est pas destinée à être utilisée de manière autonome par des enfants de moins de 13 ans.
Conformément au Règlement (UE) 2016/679 (RGPD) et à la Loi Informatique et Libertés modifiée, vous disposez des droits suivants :
| Droit (article RGPD) | Comment l'exercer dans Vaxelia |
|---|---|
| Information (Art. 13-14) | Cette politique de confidentialité constitue l'information complète sur les traitements. |
| Accès (Art. 15) | Toutes vos données sont visibles directement dans l'application. Un export JSON complet est disponible dans Paramètres > Exporter mes données. |
| Rectification (Art. 16) | Modifiez votre profil ou toute entrée de vaccination directement dans l'application (onglet Historique). |
| Effacement (Art. 17 — « droit à l'oubli ») | Supprimez individuellement des entrées, des profils, ou effacez l'intégralité de vos données via Paramètres > Supprimer toutes mes données. Cette action est irréversible. |
| Limitation (Art. 18) | Aucun traitement automatique n'est réalisé en dehors de votre appareil. Vous contrôlez intégralement l'accès à vos données. |
| Portabilité (Art. 20) | Exportez vos données dans un format structuré (JSON) via Paramètres > Exporter mes données. |
| Opposition (Art. 21) | Il n'y a aucun profilage ni utilisation de vos données à des fins commerciales. Sans objet dans ce contexte. |
| Décision automatisée (Art. 22) | Le calcul du statut vaccinal est un traitement informatif local. Aucune décision ayant un effet juridique ou significatif sur vous n'est prise automatiquement. |
| Retrait du consentement | Désactivez les notifications dans les réglages système ou désinstallez l'application pour mettre fin à tout traitement. |
Pour exercer vos droits concernant les données traitées par RevenueCat (achats), contactez directement RevenueCat : www.revenuecat.com/privacy.
Si vous estimez que le traitement de vos données personnelles n'est pas conforme à la réglementation, vous avez le droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :
⚠️ Vaxelia est un outil d'information personnelle. Les recommandations affichées sont basées sur le calendrier vaccinal officiel 2026 de la Haute Autorité de Santé (HAS) et du Ministère de la Santé français. Elles sont fournies à titre informatif uniquement et ne constituent pas un avis médical. Consultez impérativement un médecin ou un professionnel de santé pour toute décision relative à la vaccination.
Conformément aux exigences d'Apple (App Store Connect → App Privacy), voici la déclaration de Vaxelia :
| Catégorie de données | Collectée ? | Liée à l'identité ? | Utilisée pour le suivi ? |
|---|---|---|---|
| Données de santé & condition physique | Oui — locale uniquement | Non | Non |
| Identifiants d'achat (RevenueCat) | Oui — ID anonyme | Non | Non |
| Données de diagnostic/crash | Non collectées | — | — |
| Données d'utilisation | Non collectées | — | — |
| Localisation | Non collectée | — | — |
| Contacts | Non collectés | — | — |
| Identifiants publicitaires | Non collectés | — | — |
Nous nous réservons le droit de modifier cette politique de confidentialité. En cas de modification :
En continuant à utiliser Vaxelia après une mise à jour de cette politique, vous acceptez les modifications.
Pour toute question relative à cette politique de confidentialité ou à vos données personnelles :
Mohammed Chahed
E-mail : contact@vaxelia.fr
3, rue Massabo — 13002 Marseille, France
Nous nous engageons à répondre dans un délai de 30 jours à compter de la réception de votre demande, conformément à l'article 12(3) du RGPD.
🔒 Summary in two sentences: Your health data stays exclusively on your device, encrypted if you enable the PIN lock. Network exchanges exist only for Premium purchase and restore flows, via Apple (StoreKit) on iPhone and iPad, Google (Google Play Billing) on Android, and RevenueCat in both cases.
Vaxelia is a personal vaccination tracking mobile application developed and published by:
Mohammed Chahed
3, rue Massabo
13002 Marseille, France
E-mail: contact@vaxelia.fr
The application is distributed on the Apple App Store (iOS/iPadOS) and on the Google Play Store (Android).
As data controller under the GDPR, we determine the purposes and means of the personal data processing described in this policy.
Vaxelia has been built from the ground up on the Privacy by Design principle (Art. 25 GDPR). The application:
All your medical data remains stored exclusively on your device, in the application's local storage (encrypted if PIN is enabled). This data is never transmitted to us and we have no access to it whatsoever.
| Data type | Examples | Purpose | Storage location |
|---|---|---|---|
| Patient profile | First name (optional), date of birth, biological sex | Calculating age- and sex-appropriate vaccination recommendations | Device only |
| Vaccination history | Vaccine name, injection date, brand name, batch number, personal notes | Tracking the vaccination record and computing compliance status | Device only |
| PIN code (optional) | 4–6 digit code — stored only as a salted PBKDF2 hash | Deriving the AES-256 encryption key for health data | Device only (never transmitted) |
| Display preferences | Dark mode on/off, notification time | Personalising the user interface | Device only |
| Onboarding state | Boolean flag for first launch | Displaying the introduction screen only once | Device only |
Vaccination data (medical history, date of birth for medical purposes) constitutes special category data under Article 9 GDPR. Processing is based on:
| Processing activity | Legal basis | Details |
|---|---|---|
| Local storage of health data | Art. 9(2)(a) — Explicit consent | The user voluntarily enters data for personal use. GDPR Recital 18 excludes purely personal processing from its commercial scope. |
| Vaccination status calculation and recommendations | Art. 6(1)(b) — Contract performance | Processing strictly necessary to deliver the application's core function. |
| In-app purchase management (Premium) | Art. 6(1)(b) — Contract performance | Required to unlock purchased features. Delegated to Apple (StoreKit) or Google (Google Play Billing) depending on the platform, and to RevenueCat (see §7). |
| Sending reminder notifications | Art. 6(1)(a) — Consent | The user explicitly grants notification permission via the iOS/Android system dialog. This consent can be withdrawn at any time in device settings. |
| Data export and sharing | Art. 6(1)(a) — Consent / Art. 20 — Portability | Export (JSON, CSV, PDF) is triggered exclusively by the user. Sharing is end-to-end encrypted with no intermediate server. |
When the user enables PIN protection, all medical data is encrypted using:
Without PIN activation, data is stored in plaintext in the application's localStorage. This storage is protected by the iOS/Android sandboxing mechanism: no other application can access it. We recommend enabling the PIN if you share your device with others.
If the PIN is enabled, the application locks automatically after 3 minutes in the background. Incorrect PIN attempts are logged locally, with a progressive delay mechanism to limit brute-force attacks.
Vaxelia offers an optional feature to share a vaccination record between two users of the application. This sharing:
#, which is never sent to a server)✅ We have no access to shared data. No copy is retained on any server during a share operation.
ℹ️ Vaxelia does not share any medical data with third parties. Network exchanges are limited to Premium purchase/restore flows, via Apple (StoreKit) or Google (Google Play Billing) depending on your device, and RevenueCat, with no access to your health data.
Application distribution and in-app payment processing on iOS are handled by Apple Inc. (Cupertino, United States). When making a Premium purchase:
Application distribution and in-app payment processing on Android are handled by Google LLC (Mountain View, United States). When making a Premium purchase:
Vaxelia uses the RevenueCat SDK (San Francisco, United States) to reliably manage Premium entitlements (access levels) on iOS and Android. As a sub-processor, RevenueCat may process:
RevenueCat is GDPR-compliant and operates under the Standard Contractual Clauses (SCCs) of the European Commission for data transfers to the United States. See the RevenueCat Privacy Policy.
📋 Sub-processor summary:
| Sub-processor | Data processed | Location | GDPR safeguard |
|---|---|---|---|
| Apple Inc. | Purchase receipt, payment | United States | EU–US DPF, SCCs |
| Google LLC | Purchase token, payment | United States | EU–US DPF, SCCs |
| RevenueCat Inc. | Anonymous ID, purchase receipt or token | United States | SCCs |
Data related to in-app purchases only may be transferred to the United States via Apple, Google and RevenueCat services. These transfers are covered by:
Your medical and vaccination data are never transferred outside your device and are not subject to any international transfer.
Vaxelia can send local notifications (managed directly by your device's OS, without any external push server) to remind you of upcoming vaccinations. These notifications:
No push notification token (APNs, FCM) is transmitted to our servers.
Vaxelia offers several export formats for your vaccination record, all generated locally on your device:
These files are generated locally. Transmitting them to a third party (doctor, email, personal cloud) is done exclusively by you via your device's sharing mechanisms. We have no access to them.
The application uses a Service Worker (PWA technology) to enable offline operation. This Service Worker:
| Data | Retention period | Deletion |
|---|---|---|
| Medical data (profiles, vaccination history) | As long as the application is installed | Delete via the app or uninstall the application |
| PIN code (hash only) | Until PIN is disabled or app is uninstalled | Delete via Settings > PIN |
| Display preferences | As long as the application is installed | Delete via "Clear all my data" |
| Purchase data (RevenueCat side) | Per RevenueCat policy (up to 5 years for accounting compliance) | Deletion request to RevenueCat |
⚠️ Recommendation: If you change devices, export your data as a JSON file before uninstalling the application. We cannot recover data lost following an uninstall or device reset.
Vaxelia is designed to track vaccination for the whole family, including young children. Minors' data is entered by their parents or legal guardians and remains, like all data, stored exclusively locally.
The application does not collect data directly from minors and does not sell data relating to minors. It is not intended for independent use by children under 13 years of age.
In accordance with Regulation (EU) 2016/679 (GDPR), you have the following rights:
| Right (GDPR article) | How to exercise it in Vaxelia |
|---|---|
| Right to information (Art. 13-14) | This privacy policy constitutes complete information about the processing activities. |
| Right of access (Art. 15) | All your data is visible directly in the application. A complete JSON export is available in Settings > Export my data. |
| Right to rectification (Art. 16) | Edit your profile or any vaccination entry directly in the application (History tab). |
| Right to erasure (Art. 17 — "right to be forgotten") | Delete individual entries, profiles, or erase all your data via Settings > Delete all my data. This action is irreversible. |
| Right to restriction (Art. 18) | No automated processing takes place outside your device. You have full control over access to your data. |
| Right to portability (Art. 20) | Export your data in a structured format (JSON) via Settings > Export my data. |
| Right to object (Art. 21) | There is no profiling or use of your data for commercial purposes. Not applicable in this context. |
| Automated decision-making (Art. 22) | The vaccination status calculation is a local informational process. No decision with legal or significant effect on you is made automatically. |
| Withdrawal of consent | Disable notifications in system settings or uninstall the application to end all processing. |
To exercise rights regarding data processed by RevenueCat (purchases), contact RevenueCat directly: www.revenuecat.com/privacy.
If you believe that the processing of your personal data does not comply with applicable law, you have the right to lodge a complaint with a supervisory authority. In France, this is the CNIL (Commission Nationale de l'Informatique et des Libertés):
If you are located in another EU/EEA country, you may also contact the data protection authority of your country of residence.
⚠️ Vaxelia is a personal information tool. The recommendations displayed are based on the official 2026 French vaccination calendar from the Haute Autorité de Santé (HAS) and the French Ministry of Health. They are provided for informational purposes only and do not constitute medical advice. Always consult a doctor or qualified healthcare professional for any vaccination decision.
In accordance with Apple's requirements (App Store Connect → App Privacy), here is Vaxelia's declaration:
| Data category | Collected? | Linked to identity? | Used for tracking? |
|---|---|---|---|
| Health & fitness data | Yes — device only | No | No |
| Purchase identifiers (RevenueCat) | Yes — anonymous ID | No | No |
| Crash / diagnostic data | Not collected | — | — |
| Usage data | Not collected | — | — |
| Location data | Not collected | — | — |
| Contacts | Not collected | — | — |
| Advertising identifiers | Not collected | — | — |
We reserve the right to update this privacy policy. In the event of a change:
By continuing to use Vaxelia after an update to this policy, you accept the changes.
For any questions regarding this privacy policy or your personal data:
Mohammed Chahed
E-mail: contact@vaxelia.fr
3, rue Massabo — 13002 Marseille, France
We are committed to responding within 30 days of receiving your request, in accordance with Article 12(3) GDPR.