Ceci est une traduction. La version anglaise est celle qui fait foi. English

Politique de confidentialité

En vigueur le 18 octobre 2026. Mise à jour le 22 octobre 2026 : Marrow est désormais publié par Marrow Health LLC.

Marrow est conçu pour qu’il n’y ait presque rien à collecter. Vos données de santé vivent sur votre iPhone, dans Apple Health et dans la base de données locale de Marrow. Il n’y a pas de compte Marrow et pas d’outil d’analyse. La seule copie de vos données de santé sur un serveur que nous exploitons est le miroir facultatif du MCP cloud, qui n’existe que si vous l’activez et disparaît quand vous le désactivez.

Cette politique couvre l’app iOS Marrow et les services de marrowhealthapp.com et skeletonarmy.tech. Marrow est publié par Marrow Health LLC, une société à responsabilité limitée (limited liability company) de Géorgie, aux États-Unis. Questions : [email protected].

1. Ce qui reste sur votre appareil

Tout, par défaut. Plus précisément :

• Chaque mesure Apple Health que Marrow lit, y compris les pas, la fréquence cardiaque, le sommeil, les entraînements, les mesures corporelles et le reste des catégories que vous autorisez.
• Votre journal alimentaire, y compris les repas, nutriments, portions et toute photo que vous avez prise.
• Votre journal d’entraînement, vos objectifs et les réglages de l’app.
• Les jetons d’accès de tout serveur ou agent que vous associez, conservés dans le Trousseau iOS.

Ces données sont stockées dans la base de données locale de Marrow, dans le bac à sable de l’app sur votre iPhone. Marrow ne stocke pas vos données de santé dans iCloud. Si les sauvegardes de l’iPhone sont activées, la sauvegarde de votre appareil relève de la politique de confidentialité d’Apple, pas de la nôtre.

2. Ce qui quitte votre appareil, et seulement quand vous le demandez

Photos de repas que vous choisissez de scanner

Quand vous enregistrez un aliment par photo, cette image est envoyée au service photo de Marrow et transmise à l’API Gemini de Google, qui renvoie une estimation de ce qu’est l’aliment et de sa nutrition. Les détails qui comptent :

• L’image est réencodée avant d’être envoyée, ce qui supprime les métadonnées EXIF, y compris la position GPS, le modèle d’appareil photo et les horodatages.
• La photo n’est pas écrite sur disque sur notre serveur. Elle est conservée en mémoire pendant la durée de la requête, puis supprimée.
• Marrow utilise une offre payante de l’API Google, dans laquelle Google n’utilise pas le contenu soumis pour entraîner ou améliorer ses modèles. Google peut conserver brièvement le contenu pour la surveillance des abus et la conformité légale selon les conditions de l’API Gemini.
• Aucune donnée de santé, aucun nom, aucun e-mail et aucun identifiant de compte n’est envoyé avec la photo. Google reçoit l’image et rien d’autre à votre sujet.
• L’enregistrement par IA est facultatif. La saisie manuelle n’envoie rien. La recherche d’aliments parcourt les aliments USDA intégrés à l’app sur le téléphone, et n’envoie que les mots que vous tapez à Open Food Facts pour trouver des aliments de marque. Elle n’envoie jamais d’image ni d’audio.

Descriptions saisies et dictées que vous choisissez d’enregistrer

Quand vous enregistrez un aliment en tapant une description ou en parlant, ce texte ou ce court clip audio est envoyé au service alimentaire de Marrow et transmis à l’API Gemini de Google, qui renvoie une transcription (pour l’audio) et une estimation des aliments et de leur nutrition. Le clip et le texte sont conservés en mémoire le temps de la requête, puis supprimés. Rien n’est écrit sur disque sur notre serveur. Les mêmes conditions de l’API Google que pour les photos s’appliquent. Aucune donnée de santé et aucune identité ne l’accompagne.

MCP cloud (Marrow Pro) : une copie privée sur notre serveur

C’est facultatif, désactivé par défaut, et c’est le seul cas où nous détenons des données de santé. Quand vous l’activez, l’app crée un miroir sur un serveur que nous exploitons et le tient à jour en arrière-plan : vos mesures Apple Health, repas, entraînements, séries de musculation, sommeil et objectifs quotidiens, les mêmes enregistrements que ceux que l’app montre. En retour, ChatGPT, Claude ou Gemini peuvent lire cette copie à tout moment, y compris pendant que votre téléphone est en veille. Les détails qui comptent :

• Le lien que l’app vous donne identifie votre miroir mais ne peut pas le lire. Chaque IA doit se connecter, et la connexion ne se termine que lorsque vous saisissez dans Marrow le code de la page de connexion et que vous l’approuvez. Vous pouvez refuser n’importe quelle demande.
• Le miroir est stocké sur un serveur aux États-Unis, protégé par des jetons d’accès stockés sous forme hachée. Nous pouvons techniquement le lire tant qu’il existe, nous ne le faisons pas, et nous ne consignons que les chemins des requêtes et les codes d’état, jamais les jetons ni le contenu. Le trafic passe par Cloudflare, qui termine le TLS.
• Si vous activez aussi Autoriser l’écriture par l’IA (Marrow 1.3.4 et suivants. Désactivé par défaut), une IA que vous avez approuvée peut demander d’ajouter ou de modifier des entrées : repas, eau, poids, entraînements, sommeil, symptômes, humeur et vos objectifs. La demande est conservée dans le miroir jusqu’à ce que votre téléphone la récupère et l’applique, et y reste avec le reste de la copie pour pouvoir être annulée. Tant que l’interrupteur est activé, le miroir stocke aussi le jeton de notification push Apple de votre téléphone, utilisé uniquement pour signaler au téléphone que quelque chose attend. Le désactiver supprime le jeton. La notification elle-même ne contient aucune donnée de santé.
• Qui reçoit ce que l’IA lit. Chaque réponse de votre IA est produite par son fournisseur (Anthropic pour Claude, OpenAI pour ChatGPT, Google pour Gemini) à partir des enregistrements que le service de ce fournisseur a lus dans votre copie à votre demande. Ce qu’ils conservent et la façon dont ils l’utilisent relèvent des conditions de ce fournisseur, pas des nôtres. Nous n’envoyons rien de notre propre initiative à aucun fournisseur d’IA.
• Combien de temps la copie est conservée. Tant que le MCP cloud est activé, et pas plus : toucher Déconnecter et supprimer la copie supprime immédiatement le miroir, avec chaque jeton, chaque demande d’écriture en attente et chaque jeton push qui lui appartient. Un miroir créé qui n’a jamais reçu d’envoi du téléphone est supprimé au bout de sept jours. Si vous supprimez l’app sans vous déconnecter d’abord, la copie reste jusqu’à ce que vous nous demandiez de la supprimer (voir la section 6). Nous ne pouvons pas distinguer une app supprimée d’un téléphone simplement hors ligne. Révoquer une IA connectée arrête aussitôt ses lectures.
• Journaux du serveur. Le serveur Connect consigne une ligne par requête : la méthode, le chemin, le code d’état et l’heure. Jamais les données, jamais un jeton. Ces journaux sont renouvelés et supprimés sous 30 jours.

Achats

Marrow Pro est vendu via Apple. Apple gère le paiement, l’essai gratuit, les renouvellements, la résiliation et les remboursements, et nous ne voyons jamais votre carte, votre nom ni votre identifiant Apple. L’app vérifie votre droit d’accès auprès d’Apple sur l’appareil. Nous n’exploitons aucun serveur d’achats et ne conservons aucun enregistrement d’achat lié à votre identité (voir Analyse des abonnements ci-dessous). Quand l’app s’adresse à notre service alimentaire, elle indique si l’appareil est sur Pro (un seul mot, pour que le service puisse appliquer le bon plafond quotidien) et quelle version de l’app il utilise. Aucun des deux n’est lié à vous.

Analyse des abonnements (RevenueCat)

Pour voir comment Marrow Pro se porte (essais commencés, abonnements conservés ou résiliés, revenus), l’app signale les événements d’achat à RevenueCat, un service d’analyse des abonnements. Ce qu’il reçoit : la transaction App Store (quelle offre, quand, le palier de prix et si elle a été renouvelée), un identifiant anonyme que RevenueCat génère pour l’installation, et des informations de base sur l’appareil comme la version d’iOS et la version de l’app. Il ne reçoit ni votre nom, ni votre e-mail, ni votre identifiant Apple, ni aucune donnée de santé, et nous ne l’utilisons pas pour la publicité. Apple reste le vendeur. RevenueCat ne fait qu’observer les transactions qu’Apple a déjà faites.

Une vérification de version

Chaque fois que Marrow passe au premier plan, il télécharge depuis notre serveur un minuscule fichier qui indique quelles versions de l’app sont encore prises en charge. La requête ne porte aucun identifiant. Elle indique seulement le pays de l’App Store sur lequel votre téléphone achète (par exemple USA), pour que les prix affichés dans l’app correspondent à votre boutique. Notre serveur n’en conserve rien au-delà du journal de connexion ordinaire décrit plus bas. Si votre version est inférieure au minimum, l’app affiche un écran de mise à jour au lieu de s’exécuter.

Apple Watch

L’app de la montre reçoit les totaux du jour, vos objectifs et vos repas récents de l’iPhone via Watch Connectivity d’Apple, et renvoie l’eau et les repas que vous enregistrez au poignet. Ce trafic reste entre vos deux appareils. La montre garde les derniers chiffres pour ses complications. Elle ne lit rien dans l’app Santé de la montre et ne détient aucune autorisation Santé. Un repas dicté sur la montre est transformé en mots par watchOS puis traité exactement comme une description saisie ci-dessus.

Photos d’exercices

Les photos de la bibliothèque d’exercices ne sont pas intégrées. Quand vous ouvrez un exercice, l’app récupère ses deux photos depuis un dépôt open source public hébergé sur GitHub (free-exercise-db). GitHub voit une requête d’image ordinaire depuis votre adresse IP et rien d’autre : aucun identifiant, aucune donnée de santé, rien sur votre entraînement. Les photos sont ensuite mises en cache sur le téléphone.

Menus des restaurants universitaires (Marrow Pro)

Si vous choisissez un établissement, l’app télécharge les menus publiés de cet établissement depuis un fichier statique de notre serveur. Votre choix d’établissement est stocké sur votre appareil. La requête ne porte aucun identifiant et aucune donnée de santé.

Un identifiant d’appareil aléatoire, uniquement pour limiter le débit

L’enregistrement par IA (photo, texte et voix) nous coûte de l’argent à chaque requête, il est donc plafonné par appareil et par jour : trois par jour avec le forfait gratuit, un plafond plus élevé avec Marrow Pro. Pour compter les requêtes, l’app génère un identifiant aléatoire la première fois que vous scannez, le stocke dans votre Trousseau et l’envoie avec les requêtes photo. Ce n’est pas votre identifiant Apple, pas le numéro de série de votre appareil, pas un identifiant publicitaire, et il n’est dérivé de rien vous concernant ni concernant votre matériel. Notre serveur ne conserve qu’un compteur pour la journée en cours, et les lignes de la veille sont supprimées au changement de jour. Il n’est jamais partagé, et il n’est jamais associé à des données de santé puisque nous ne recevons jamais de données de santé.

Codes-barres et recherches d’aliments

Quand vous scannez un code-barres ou cherchez un aliment, le numéro du code-barres ou le texte de la recherche est envoyé à Open Food Facts, une base de données alimentaire ouverte, pour rechercher les produits de marque. Aucun identifiant et aucune donnée de santé ne l’accompagne. Marrow embarque aussi une base USDA FoodData Central intégrée à l’app, si bien que les aliments génériques se trouvent hors ligne sans aucune requête réseau.

Tout ce que vous exportez délibérément

Tout l’intérêt de Marrow est de vous laisser déplacer vos propres données. Quand vous exportez un fichier, lancez une automatisation, associez un serveur ou connectez un agent IA via MCP, vos données vont là où vous leur dites d’aller. Si vous pointez une automatisation vers votre propre serveur, ce serveur reçoit vos données de santé et les règles de son exploitant s’appliquent. Nous ne sommes pas au milieu de cette connexion, nous ne la voyons pas et nous ne pouvons pas la récupérer pour vous. Choisissez des destinations de confiance.

3. Ce que notre serveur consigne

Le service alimentaire écrit une ligne par requête contenant : un horodatage, la durée de la requête, le code d’état HTTP, la taille de l’envoi en octets, le nom du modèle, le nombre d’aliments détectés et le nombre de jetons. Il ne consigne ni l’image, ni les aliments identifiés, ni votre identifiant d’appareil, ni votre adresse IP dans les journaux applicatifs, ni aucune donnée de santé.

Ce site web. marrowhealthapp.com compte les visites avec Cloudflare Web Analytics : quelles pages sont vues, quel site a envoyé le visiteur, ainsi que le navigateur, le type d’appareil et le pays. Il ne dépose aucun cookie, ne fait pas d’empreinte numérique et ne vous suit pas sur d’autres sites. L’app ne lui envoie rien.

4. Ce que nous ne faisons jamais

Ce sont des engagements, pas des réglages par défaut que nous pourrions changer discrètement. Cette section existe en partie parce que la directive 5.1.3 des App Store Review Guidelines d’Apple régit les apps de santé, et que nous nous y tenons explicitement :

• Nous n’utilisons jamais les données de santé pour la publicité. Marrow n’affiche aucune publicité d’aucune sorte, ni de notre part ni de celle de quiconque.
• Nous ne vendons, ne louons ni n’échangeons jamais vos données, ni à des courtiers en données ni à personne d’autre.
• Nous ne partageons jamais de données de santé avec des tiers à des fins marketing, et nous ne les partageons jamais pour leur propre usage indépendant.
• Nous ne stockons jamais vos données de santé dans iCloud.
• Nous n’utilisons jamais les données de santé à une fin autre que votre bénéfice direct dans l’app, comme la recherche ou le profilage, sans votre consentement distinct.
• Nous n’utilisons aucun SDK de publicité ou de suivi et aucun rapport de plantage. Le seul service d’analyse de l’app, RevenueCat, voit les événements d’achat et jamais les données de santé. Marrow ne demande pas l’autorisation App Tracking Transparency parce qu’il ne vous suit pas.
• Nous n’exigeons aucun compte, donc nous ne détenons aucune adresse e-mail, aucun mot de passe ni aucun profil vous concernant.

5. Autorisations Apple Health

Marrow ne lit dans Apple Health que les catégories que vous approuvez, et iOS contrôle cela entièrement. Vous pouvez consulter ou révoquer n’importe quelle catégorie à tout moment dans Réglages, Confidentialité et sécurité, Santé, Marrow. Marrow écrit aussi dans Apple Health, par exemple les aliments que vous enregistrez et les entraînements que vous consignez, lorsque vous le permettez. Si vous laissez une IA connectée enregistrer pour vous, les entrées qu’elle ajoute à votre demande (y compris le sommeil, les symptômes et l’état d’esprit) sont écrites de la même façon, et uniquement pour les types que vous autorisez. Révoquer une autorisation arrête immédiatement les nouvelles lectures. Les données déjà synchronisées dans la base locale de Marrow y restent jusqu’à ce que vous les supprimiez ou supprimiez l’app.

6. Supprimer vos données

Supprimez l’app Marrow et tout ce qu’elle a stocké est supprimé avec elle, puisque tout vit dans le bac à sable de l’app. Il n’y a aucun compte côté serveur à fermer. La seule exception est la copie facultative de Connecter votre IA : touchez Déconnecter et supprimer la copie sur la carte MCP cloud avant de supprimer l’app et la copie disparaît aussitôt. Si vous avez déjà supprimé l’app alors que Connecter votre IA était toujours activé, écrivez-nous à l’adresse ci-dessous avec votre lien de connexion (le lien de la carte MCP cloud, si vous l’avez encore) ou la date approximative à laquelle vous avez activé Connecter votre IA, et nous supprimerons la copie sous 30 jours. Nous ne pouvons pas la retrouver par votre nom, car la copie n’en contient aucun. Les données d’Apple Health appartiennent à Apple Health et se gèrent dans l’app Santé. Les données que vous avez exportées vers vos propres destinations, c’est à vous de les y supprimer. Les fichiers que vous avez exportés vers vos propres appareils sont, de même, à vous.

7. Sécurité

Toutes les requêtes réseau utilisent TLS. Les serveurs associés et le serveur MCP sur l’appareil sont authentifiés par des jetons bearer générés sur votre appareil et stockés dans le Trousseau. Le serveur sur l’appareil est livré désactivé et ne s’ouvre à votre réseau local que lorsque vous l’activez, et vous pouvez révoquer un jeton en dissociant le serveur dans l’app. Connecter votre IA fonctionne dans l’autre sens : ses jetons sont des jetons OAuth émis par notre serveur Connect à l’IA que vous avez approuvée (avec PKCE, durées de vie courtes et renouvellement), stockés hachés sur le serveur, et chacun d’eux est révoqué par Déconnecter. Pour signaler un problème de sécurité, écrivez à l’adresse ci-dessous avec « Security » en objet, ou consultez security.txt.

8. Enfants

Marrow ne s’adresse pas aux enfants de moins de 13 ans, et nous ne collectons pas sciemment d’informations les concernant. Nous n’avons pas de comptes, nous n’avons donc aucun moyen d’identifier l’âge d’un utilisateur.

9. Vos droits

En vertu de lois comme le RGPD et le CCPA, vous avez des droits d’accès, de rectification, de suppression et de portabilité de vos données personnelles, ainsi que d’opposition à certains traitements. L’architecture de Marrow y répond par conception : vos données sont déjà en votre possession, exportables à tout moment dans des formats ouverts, et supprimables en supprimant l’app. Nous ne vendons pas d’informations personnelles, il n’y a donc rien à refuser. Si vous pensez que nous détenons quelque chose à votre sujet et souhaitez le faire supprimer, écrivez à [email protected] et nous agirons sous 30 jours.

10. Modifications

Si cette politique change d’une manière qui touche ce qui quitte votre appareil, nous mettrons à jour la date d’entrée en vigueur en haut et décrirons le changement dans les notes de version de l’app. Continuer à utiliser l’app après un changement signifie que vous acceptez la politique mise à jour.

11. Contact

Marrow Health LLC
[email protected]