Politique de confidentialité

Préambule

La société Singular Lab SAS (ci-après « Singular », « nous », « notre » ou « nos ») accorde une importance fondamentale à la protection de vos données personnelles et à votre vie privée.

La présente politique de confidentialité a pour objet de vous informer de manière claire, complète et transparente sur la façon dont nous collectons, utilisons, conservons et protégeons vos données personnelles lorsque vous utilisez notre plateforme de personnalisation nutritionnelle.

Qualification réglementaire : Singular est un service de personnalisation nutritionnelle à visée de bien-être. Il n'est pas un dispositif médical au sens du Règlement (UE) 2017/745 et ne constitue en aucun cas un outil de diagnostic médical, un substitut à une consultation médicale, ou un service de prescription de médicaments. Les produits proposés sont des compléments alimentaires au sens de la Directive 2002/46/CE.

1. Définitions

Pour faciliter la compréhension de la présente politique, les termes suivants sont définis :

« Données personnelles » : toute information se rapportant à une personne physique identifiée ou identifiable (Art. 4 RGPD).
« Données de santé » : données personnelles relatives à la santé physique ou mentale d'une personne physique, y compris la prestation de services de soins de santé, qui révèlent des informations sur l'état de santé de cette personne (Art. 4.15 RGPD).
« Traitement » : toute opération effectuée sur des données personnelles (collecte, enregistrement, organisation, conservation, modification, extraction, consultation, utilisation, etc.).
« Responsable du traitement » : la personne physique ou morale qui détermine les finalités et les moyens du traitement des données personnelles.
« Sous-traitant » : la personne physique ou morale qui traite des données personnelles pour le compte du responsable du traitement.
« HDS » : Hébergeur de Données de Santé, certification française délivrée à un prestataire pour un périmètre défini d'activités et de services d'hébergement de données de santé (Art. L1111-8 Code de la Santé Publique). Elle s'applique au périmètre certifié du prestataire concerné ; Singular n'est pas elle-même titulaire de cette certification.
« EEE » : Espace Économique Européen (Union européenne + Islande, Liechtenstein, Norvège).
« RGPD » : Règlement Général sur la Protection des Données, Règlement (UE) 2016/679.

2. Responsable du traitement

Le responsable du traitement de vos données personnelles est :

Dénomination sociale : Singular Lab SAS ;
Forme juridique : Société par Actions Simplifiée ;
RCS : Paris 999 248 701 ;
N° TVA intracommunautaire : FR12 999 248 701 ;
Siège social : 60 rue François 1er, 75008 Paris, France ;
Représentant légal : Richard Füg, Président.

2.1. Délégué à la Protection des Données (DPO)

Conformément à l'article 37 du RGPD, et compte tenu du traitement de données de santé à grande échelle, nous avons désigné un Délégué à la Protection des Données que vous pouvez contacter pour toute question relative à vos données personnelles :

Email : dpo@singularlab.com ;
Adresse postale : Singular Lab SAS - DPO, 60 rue François 1er, 75008 Paris, France.

3. Données personnelles collectées

Dans le cadre de notre service, nous collectons différentes catégories de données personnelles. Nous appliquons le principe de minimisation des données (Art. 5.1.c RGPD) : nous ne collectons que les données strictement nécessaires aux finalités décrites ci-après.

3.1. Données d'identification et de contact

Adresse email (obligatoire pour la création de compte) ;
Prénom (obligatoire pour la personnalisation) ;
Nom de famille (facultatif) ;
Adresse de livraison (obligatoire pour les commandes) ;
Adresse de facturation (obligatoire pour les commandes) ;
Si vous réservez un échange avant souscription : prénom, nom, adresse email, créneau choisi et statut de la réservation.

3.2. Données de santé (catégorie particulière - Art. 9 RGPD)

Important : Ces données font l'objet d'une protection renforcée et leur traitement nécessite votre consentement explicite.

Biomarqueurs biologiques : Valeurs numériques extraites de vos bilans sanguins (vitamines, minéraux, hormones, etc.), unités de mesure ;
Questionnaire de profil nutritionnel : Sexe à la naissance, année de naissance, grossesse ou allaitement en cours, situations de santé déclarées, allergies alimentaires déclarées, traitements en cours déclarés ;
Interprétations personnalisées : Données de catégorisation et plages de référence Singular de votre profil nutritionnel ;
Formulations nutritionnelles : Composition personnalisée de votre formule de compléments alimentaires (ingrédients, dosages).

3.3. Données de transaction

Historique des commandes et abonnements ;
Statut des paiements ;
Identifiants de transaction (les données bancaires complètes sont traitées directement par notre prestataire de paiement certifié PCI-DSS et ne sont jamais stockées sur nos serveurs).

3.4. Données techniques et de navigation

Adresse IP (anonymisée pour les statistiques) ;
Type de navigateur et système d'exploitation ;
Pages consultées et horodatage des connexions ;
Cookies techniques nécessaires au fonctionnement du service.

3.5. Données que nous ne conservons pas durablement ou ne collectons pas

Dans un souci de minimisation et de protection de votre vie privée :

Documents originaux : Les fichiers PDF ou images de vos bilans sanguins sont conservés uniquement pendant le traitement et ses éventuelles reprises automatiques, limitées en nombre et dans le temps, puis purgés. Ils ne sont pas conservés durablement dans votre dossier.
Numéro de sécurité sociale (NIR) ;
Date de naissance complète : Nous demandons uniquement votre année de naissance ou tranche d'âge ;
Données bancaires complètes : Traitées exclusivement par notre prestataire de paiement certifié ;
Réservation d'un échange avant souscription : aucun champ libre, motif médical, donnée de santé, enregistrement, transcription ou compte rendu nominatif n'est collecté.

4. Bases légales des traitements

Conformément au RGPD, tout traitement de données personnelles doit reposer sur une base légale. Voici les bases légales applicables à nos traitements :

4.1. Consentement explicite (Art. 9.2.a RGPD)

Pour le traitement de vos données de santé, nous recueillons votre consentement explicite, libre, spécifique, éclairé et univoque. Ce consentement est requis pour :

L'analyse de vos bilans sanguins et l'extraction de biomarqueurs ;
La génération d'interprétations personnalisées de votre profil nutritionnel ;
La création de formulations de compléments alimentaires adaptées à votre profil.

Vous pouvez retirer votre consentement à tout moment en contactant notre Délégué à la Protection des Données (voir la section « Comment exercer vos droits ? »). Le retrait du consentement ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait.

4.2. Exécution du contrat (Art. 6.1.b RGPD)

Certains traitements sont nécessaires à l'exécution du contrat qui nous lie :

Création et gestion de votre compte utilisateur ;
Traitement de vos commandes et abonnements ;
Livraison de vos produits personnalisés ;
Envoi d'emails transactionnels (confirmations de commande, suivi de livraison, magic links d'authentification) ;
Service client ;
Organisation, à votre demande, d'un échange avant souscription.

4.3. Obligation légale (Art. 6.1.c RGPD)

Nous sommes tenus de conserver certaines données pour respecter nos obligations légales :

Conservation des factures et données comptables (10 ans - Art. L123-22 Code de commerce) ;
Conservation des logs de connexion (1 an - LCEN).

4.4. Intérêt légitime (Art. 6.1.f RGPD)

Dans certains cas limités, nous traitons des données sur la base de notre intérêt légitime :

Sécurité de notre système d'information (prévention des fraudes, détection d'intrusions et journalisation des accès conformément à notre politique de sécurité) ;
Amélioration continue de nos services (statistiques anonymisées).

5. Finalités des traitements

Vos données personnelles sont traitées pour les finalités suivantes :

5.1. Analyse de vos bilans sanguins

Base légale : Consentement explicite
Description : Extraction automatisée des valeurs de biomarqueurs à partir de vos bilans sanguins pour établir votre profil nutritionnel. Les fichiers originaux sont conservés pendant le traitement et ses reprises automatiques bornées, puis purgés.
Durée de conservation : Biomarqueurs conservés pendant la durée de votre compte + 3 ans.

5.2. Génération d'interprétations personnalisées

Base légale : Consentement explicite
Description : Catégorisation de vos biomarqueurs et association aux plages de référence Singular (basées sur la littérature scientifique) pour visualiser votre profil nutritionnel. Ces données ne constituent pas un diagnostic médical.
Durée de conservation : Durée de votre compte + 3 ans.

5.3. Formulation de recommandations nutritionnelles

Base légale : Consentement explicite
Description : Génération d'une formule personnalisée de compléments alimentaires adaptée à votre profil biologique et vos réponses au questionnaire.
Durée de conservation : Durée de votre compte + 3 ans.

5.4. Gestion de votre compte utilisateur

Base légale : Exécution du contrat
Description : Création, authentification sécurisée (magic links) et gestion de votre espace personnel.
Durée de conservation : Durée de la relation commerciale + 3 ans.

5.5. Gestion des paiements et abonnements

Base légale : Exécution du contrat / Obligation légale
Description : Traitement de vos paiements via notre prestataire certifié PCI-DSS, gestion des abonnements récurrents, émission des factures.
Durée de conservation : 10 ans pour les données de facturation (obligation légale).

5.6. Emails transactionnels

Base légale : Exécution du contrat
Description : Envoi de communications liées au service (authentification, confirmations de commande, suivi de livraison, notifications importantes).
Données concernées : Email et prénom uniquement. Aucune donnée de santé n'est jamais incluse dans les emails.

5.7. Sécurité et audit

Base légale : Obligations de sécurité des traitements (Art. 32 RGPD) / Intérêt légitime (Art. 6.1.f RGPD)
Description : Traçabilité des accès aux données de santé, détection d'anomalies, prévention des incidents de sécurité.
Durée de conservation : 1 an pour les logs d'audit.

5.8. Réservation d'un échange avant souscription

Base légale : Mesures précontractuelles prises à votre demande (Art. 6.1.b RGPD)
Description : Si vous choisissez de réserver un échange, Google Workspace Calendar traite uniquement votre prénom, votre nom, votre adresse email, le créneau choisi et le statut de la réservation afin d'organiser cet échange. Le formulaire ne comporte aucun champ libre et cet échange n'est ni enregistré ni transcrit.
Données exclues : Aucune donnée de santé, aucun bilan, aucune valeur de biomarqueur, aucun questionnaire, aucune formule ni aucun motif médical ne doivent être communiqués par ce canal.
Durée de conservation : 12 mois maximum côté Singular, avec purge trimestrielle.

6. Destinataires et sous-traitants

Vos données personnelles peuvent être transmises aux catégories de destinataires suivantes, dans le strict respect du RGPD et sous conditions contractuelles appropriées (Art. 28 RGPD).

6.1. Sous-traitants pour les données de santé (périmètre HDS)

Prestataires d'infrastructure : Stockage sécurisé de vos données de santé, bases de données et serveurs applicatifs au moyen de services et d'activités relevant de périmètres certifiés HDS, configurés dans des régions européennes au sein de l'EEE ;
Prestataire d'intelligence artificielle et de reconnaissance de documents : Lecture de vos bilans sanguins (fichier PDF ou image) et extraction structurée des valeurs de biomarqueurs (vitamines, minéraux, hormones, etc.) au moyen de services relevant d'un périmètre certifié HDS et configurés dans une région européenne au sein de l'EEE ; vos données ne sont pas utilisées pour entraîner les modèles de ce prestataire et le document original n'est conservé que pendant le traitement et ses reprises automatiques bornées.

6.2. Sous-traitants hors périmètre données de santé

Prestataire de paiement certifié PCI-DSS : Traitement sécurisé des transactions bancaires. Ce prestataire ne reçoit jamais de données de santé.
Prestataire d'emails transactionnels : Envoi des notifications et emails d'authentification. Seuls l'email et le prénom sont transmis, jamais de données de santé.
Prestataire de logistique : Impression des étiquettes et expédition des produits. Reçoit uniquement l'adresse de livraison et les informations opérationnelles nécessaires à la préparation et à l'expédition, sans vos biomarqueurs ni leurs interprétations.
Google Workspace Calendar, si vous réservez un échange avant souscription : Prénom, nom, email, créneau et statut de réservation uniquement, sans donnée de santé ni champ libre.

6.3. Encadrement contractuel et contrôles

Nos relations avec les sous-traitants sont encadrées, selon les traitements et les risques concernés, par :

Des contrats de sous-traitance conformes à l'article 28 du RGPD ;
Des Data Processing Agreements (DPA) détaillant leurs obligations ;
Des mesures de sécurité vérifiées lors de leur sélection et de leur suivi, ainsi que les certifications applicables à leurs services et à leur périmètre exact (HDS, ISO 27001, SOC 2 ou PCI-DSS, selon le cas).

6.4. Absence de vente de données

Nous ne vendons jamais vos données personnelles à des tiers. Vos données ne sont jamais transmises à des fins publicitaires ou de marketing par des tiers.

7. Transferts de données hors de l'Espace Économique Européen

7.1. Principe : vos données de santé restent en Europe

Les traitements impliquant la conservation de vos données de santé (biomarqueurs, questionnaire santé, interprétations, formulations) et l'extraction de vos bilans sont configurés dans des régions européennes au sein de l'Espace Économique Européen. Ce choix d'implantation technique ne signifie pas nécessairement que la personne morale de chaque sous-traitant a son siège dans l'Union européenne.

7.2. Exception : prestataires techniques

Certains prestataires techniques auxiliaires (notamment pour l'envoi d'emails transactionnels ou l'organisation optionnelle d'un échange via Google Workspace Calendar) peuvent traiter des données en dehors de l'EEE, notamment aux États-Unis.

Garanties mises en place :

Clauses Contractuelles Types (SCCs) approuvées par la Commission européenne (Décision d'exécution 2021/914) ;
Évaluation d'impact des transferts conformément aux recommandations du CEPD ;
Mesures techniques complémentaires (chiffrement, minimisation).

Données concernées : Informations auxiliaires strictement nécessaires au service, telles que l'adresse email, le prénom, le nom, le créneau de réservation ou certaines données techniques. Les traitements de données de santé décrits à la section 7.1 restent configurés dans l'EEE.

8. Hébergement des Données de Santé (HDS)

Conformément à l'article L1111-8 du Code de la Santé Publique français, l'hébergement de données de santé à caractère personnel recueillies à l'occasion d'activités de soins ou de suivi médico-social nécessite une certification spécifique.

Une synthèse de nos contrôles numériques et sanitaires est disponible sur la page Sécurité, qualité & traçabilité.

8.1. Hébergeur certifié

Vos données de santé sont hébergées au moyen de services et d'activités relevant de périmètres certifiés HDS de nos prestataires, configurés dans des régions européennes au sein de l'EEE. Singular n'est pas elle-même certifiée HDS. Pour chaque prestataire concerné, la certification atteste la conformité du périmètre certifié au référentiel HDS à la date de l'audit ; elle ne constitue pas une garantie de sécurité absolue. Ce cadre comprend notamment :

La définition formelle des activités et services inclus dans le périmètre certifié ;
Leur évaluation au regard des exigences du référentiel HDS par un organisme de certification accrédité ;
La surveillance périodique de ce périmètre ;
Des exigences de sécurité et de traçabilité applicables aux activités certifiées.

8.2. Mesures de sécurité techniques

Chiffrement au repos : Toutes les données de santé sont chiffrées avec l'algorithme AES-256 ;
Chiffrement en transit : Toutes les communications utilisent le protocole TLS 1.2 ou supérieur ;
Analyse antivirus : Tous les fichiers uploadés sont systématiquement analysés avant traitement ;
Traitement dans l'EEE : La lecture de vos bilans et l'extraction des valeurs sont réalisées dans une région européenne au sein de l'EEE au moyen de services relevant d'un périmètre certifié HDS ; vos bilans ne sont pas utilisés pour entraîner les modèles du prestataire ;
Purge après traitement : Les fichiers originaux de vos bilans sanguins sont conservés uniquement pendant le traitement et ses éventuelles reprises automatiques, limitées en nombre et dans le temps, puis purgés.

8.3. Mesures de sécurité organisationnelles

Accès restreint : Seul le personnel strictement habilité peut accéder aux données de santé ;
Authentification renforcée : Authentification multi-facteurs (MFA) obligatoire pour les accès administratifs ;
Contrôle d'accès granulaire : Système de rôles (RBAC) limitant les accès au strict nécessaire ;
Audit trail : Journalisation de tous les accès aux données de santé ;
Formation : Sensibilisation régulière du personnel à la protection des données.

9. Durées de conservation

Nous conservons vos données personnelles uniquement pendant la durée nécessaire aux finalités pour lesquelles elles ont été collectées, dans le respect des obligations légales applicables.

Type de données	Durée de conservation	Fondement
Fichiers originaux (PDF bilans)	Pendant le traitement et ses reprises automatiques bornées, puis purge	Minimisation (Art. 5.1.c RGPD)
Biomarqueurs, interprétations, formulations	Durée du compte + 3 ans	Art. L1111-7 Code de la Santé Publique
Données de compte (email, nom, adresses)	Durée de la relation + 3 ans	Prescription civile
Réservation d'un échange avant souscription (prénom, nom, email, créneau, statut)	12 mois maximum, avec purge trimestrielle	Mesures précontractuelles (Art. 6.1.b RGPD)
Données de facturation	10 ans	Art. L123-22 Code de commerce
Logs d'audit (accès données santé)	1 an	Sécurité des traitements (Art. 32 RGPD) et politique de sécurité
Logs de connexion	1 an	LCEN
Liens d'authentification (magic links)	20 minutes	Sécurité
Sessions utilisateur	30 jours	Exécution du contrat

À l'expiration de ces durées, vos données sont supprimées ou anonymisées de manière irréversible.

10. Vos droits

Conformément au RGPD (articles 15 à 22), vous disposez des droits suivants sur vos données personnelles :

10.1. Droit d'accès (Art. 15)

Vous pouvez obtenir la confirmation que des données vous concernant sont (ou non) traitées, et accéder à ces données ainsi qu'aux informations sur le traitement.

10.2. Droit de rectification (Art. 16)

Vous pouvez demander la correction des données inexactes ou le complément des données incomplètes.

10.3. Droit à l'effacement - « droit à l'oubli » (Art. 17)

Vous pouvez demander la suppression de vos données personnelles dans les cas prévus par le RGPD (retrait du consentement, données non nécessaires, etc.). Ce droit peut être limité par nos obligations légales de conservation.

10.4. Droit à la limitation du traitement (Art. 18)

Vous pouvez demander la limitation du traitement de vos données dans certaines circonstances (contestation de l'exactitude, traitement illicite, etc.).

10.5. Droit à la portabilité (Art. 20)

Vous pouvez recevoir vos données dans un format structuré, couramment utilisé et lisible par machine (JSON), et les transmettre à un autre responsable de traitement.

10.6. Droit d'opposition (Art. 21)

Vous pouvez vous opposer à tout moment au traitement de vos données fondé sur l'intérêt légitime, pour des raisons tenant à votre situation particulière.

10.7. Droit de retirer votre consentement

Lorsque le traitement est fondé sur votre consentement, vous pouvez le retirer à tout moment en nous adressant votre demande (voir la section « Comment exercer vos droits ? »). Ce retrait n'affecte pas la licéité du traitement effectué avant le retrait.

10.8. Droit de définir des directives post-mortem

Vous pouvez définir des directives relatives à la conservation, à l'effacement et à la communication de vos données après votre décès.

10.9. Comment exercer vos droits ?

Vous pouvez exercer vos droits de plusieurs manières :

Par email : dpo@singularlab.com ;
Par courrier : Singular Lab SAS - DPO, 60 rue François 1er, 75008 Paris, France.

Nous répondrons à votre demande dans un délai maximum de 30 jours à compter de sa réception. Ce délai peut être prolongé de deux mois en cas de demande complexe, auquel cas nous vous en informerons.

Pour des raisons de sécurité, nous pourrons vous demander de justifier de votre identité avant de donner suite à votre demande.

11. Droit d'introduire une réclamation

Si vous estimez que le traitement de vos données personnelles constitue une violation du RGPD, vous avez le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente.

En France, l'autorité compétente est la Commission Nationale de l'Informatique et des Libertés (CNIL) :

Site web : www.cnil.fr/plaintes ;
Adresse : CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 ;
Téléphone : 01 53 73 22 22.

Nous vous encourageons toutefois à nous contacter en premier lieu afin de trouver une solution amiable à toute difficulté.

12. Cookies et traceurs

12.1. Cookies strictement nécessaires

Ces cookies sont indispensables au fonctionnement du site et ne peuvent pas être désactivés. Ils sont généralement établis uniquement en réponse à des actions que vous effectuez et qui correspondent à une demande de services.

Cookie de session : Maintien de votre connexion sécurisée ;
Cookie CSRF : Protection contre les attaques par falsification de requête ;
Préférences : Langue de navigation.

12.2. Mesure d'audience

Nous mesurons la fréquentation de nos sites avec Umami, un outil auto-hébergé par Singular sur sa propre infrastructure, en Europe. Cette mesure est exemptée de consentement préalable au sens des lignes directrices de la CNIL, car :

Aucun cookie ni traceur n'est déposé dans votre navigateur ;
Les données collectées sont minimisées et anonymes : pages consultées sous forme de clés contrôlées, langue, catégorie de provenance de la visite, métriques de performance ;
Aucune donnée n'est transmise à des tiers ni recoupée avec votre compte ou tout autre traitement ;
Les statistiques sont conservées treize mois, puis supprimées automatiquement.

C'est pourquoi nos sites n'affichent pas de bandeau de consentement. Vous pouvez néanmoins vous opposer à cette mesure à tout moment. Le bouton « Désactiver la mesure d'audience » de la page Politique cookies enregistre un réglage dans votre navigateur ; le comptage cesse alors pour ce navigateur. Ce réglage est réversible à tout moment et disparaît si vous effacez vos données de navigation.

12.3. Cookies publicitaires

Nous n'utilisons aucun cookie publicitaire ni de pistage commercial.

13. Avertissements importants

13.1. Nature du service

Singular est un service de personnalisation nutritionnelle à visée de bien-être. Il n'est pas un dispositif médical au sens du Règlement (UE) 2017/745 et ne constitue en aucun cas :

Un outil de diagnostic médical ;
Un substitut à une consultation médicale ;
Un service de prescription de médicaments.

13.2. Compléments alimentaires

Les produits proposés sont des compléments alimentaires au sens de la Directive 2002/46/CE, c'est-à-dire des denrées alimentaires destinées à compléter un régime alimentaire normal. Ils ne sont pas des médicaments et ne sont pas destinés à diagnostiquer, traiter, guérir ou prévenir une maladie.

13.3. Recommandation médicale

En cas de symptômes, de pathologie connue, de traitement médical en cours, de grossesse ou d'allaitement, nous vous recommandons de consulter votre médecin ou un professionnel de santé avant de démarrer toute supplémentation.

13.4. Interprétations personnalisées

Les informations d'interprétation présentées par notre service (catégorisation des biomarqueurs, Score Singular) sont fournies à titre informatif et visent à contextualiser votre profil nutritionnel. Elles ne remplacent pas un avis médical personnalisé et ne constituent pas un diagnostic médical.

14. Modifications de la présente politique

Nous pouvons modifier la présente politique de confidentialité pour refléter les évolutions de nos pratiques ou de la réglementation applicable. En cas de modification substantielle :

Nous vous informerons par email et/ou par une notification dans votre espace personnel ;
La date de « dernière mise à jour » sera actualisée en haut de cette page ;
Pour les modifications affectant le traitement de vos données de santé, nous solliciterons un nouveau consentement si nécessaire.

Nous vous invitons à consulter régulièrement cette page pour prendre connaissance des éventuelles modifications.

15. Contact

Pour toute question relative à cette politique de confidentialité ou à vos données personnelles :

Email DPO : dpo@singularlab.com ;
Email général : contact@singularlab.com ;
Adresse postale : Singular Lab SAS, 60 rue François 1er, 75008 Paris, France.

16. Textes de référence

RGPD : Règlement (UE) 2016/679 du 27 avril 2016 ;
Loi Informatique et Libertés : Loi n° 78-17 du 6 janvier 1978 modifiée ;
Code de la Santé Publique : Articles L1111-7 et L1111-8 (données de santé, HDS) ;
LCEN : Loi n° 2004-575 du 21 juin 2004 (conservation des données de connexion) ;
Code de commerce : Article L123-22 (conservation des documents comptables) ;
Directive 2002/46/CE : Relative aux compléments alimentaires ;
Règlement (CE) 1924/2006 : Allégations nutritionnelles et de santé.

Dernière mise à jour : 28 juillet 2026 - Version 1.3