Effective date: 05/20/26 · Last updated: 05/20/26 · Version: 1.0

StackSense Privacy Policy

StackSense is still in beta; these policies are subject to change as the product evolves. This page explains what data we collect, why we collect it, who we share it with, how long we keep it, and what rights you have. If anything is unclear, email us at privacy@stacksense.ca.

1. Who we are

StackSense is a personal health tracking application. You use it to log supplements, peptides, dose schedules, symptoms, and body composition for your own personal use.

StackSense is operated by Jad Gouiza, Quebec, Canada. We are the data controller for the purposes of GDPR, PIPEDA, and Quebec Law 25. The Privacy Officer for StackSense is Jad Gouiza, reachable at privacy@stacksense.ca.

Once StackSense Inc. is registered, this section will be updated to name the corporation as the controller.

2. What StackSense is not

StackSense is not a medical device. It is not a clinical decision-support system. It is not a diagnostic tool. It does not provide medical advice. It does not recommend doses. It does not replace your doctor.

Everything StackSense shows you is for informational and educational purposes only. You are responsible for your own health decisions.

3. What data we collect

Account data

Email address
Password (stored as a one-way hash, not in plain text)
Account creation date

Health and tracking data (special category data under GDPR Article 9)

Supplements and peptides you log
Dose amounts and schedules
Injection site logs (if you log them)
Symptom logs (mood, energy, sleep, stress, focus, anything you choose to enter)
Body composition data (weight, body fat, measurements if you enter them)
Protocol notes you write
Photos you attach to logs (if you choose to attach any)

Usage and technical data

Device type and operating system
IP address (for security and rate limiting, not stored long term)
Page views and feature usage events (anonymized, via PostHog or Plausible)
Crash reports (via Sentry, if you opt in)

Billing data

Subscription status and tier
Renewal dates
We do not store your credit card number. Stripe handles all payment data. Stripe is PCI-DSS Level 1 certified. We only see masked card identifiers (last 4 digits, expiry).

We do not collect: your real name unless you provide it voluntarily, your phone number, your home address, your government ID, biometrics, your contacts, your location beyond IP-derived country.

4. Why we collect this data (legal basis under GDPR Article 6 and Article 9)

Data	Legal basis (Article 6)	Special category basis (Article 9, if applicable)
Account email and password	Performance of contract (Article 6(1)(b))	n/a
Health logs (supplements, symptoms, body comp)	Performance of contract (Article 6(1)(b))	Explicit consent (Article 9(2)(a))
Usage analytics	Legitimate interest (Article 6(1)(f))	n/a
Marketing emails	Consent (Article 6(1)(a))	n/a
Crash and error logs	Legitimate interest (Article 6(1)(f))	n/a
Billing	Legal obligation and contract (Article 6(1)(b) and 6(1)(c))	n/a

Health data processing happens only because you explicitly consent at signup with a separate checkbox. You can withdraw consent at any time by deleting your account. Withdrawing consent does not undo processing that already happened.

5. Who we share data with

We share data with the third parties below. Each has signed a Data Processing Agreement with us. Each is contractually required to protect your data and only use it to provide their service to us.

Vendor	What they do for us	Where they process data	DPA in place
Supabase	Database and authentication backend	United States	Yes
Vercel	Web hosting and edge delivery	United States	Yes
Stripe	Payment processing	United States and worldwide	Yes
Anthropic	AI-powered research feature (only for non-personal, generic compound information)	United States	Yes
PostHog or Plausible	Anonymized product analytics	EU	Yes
Sentry	Crash and error monitoring (optional, opt-in)	United States	Yes

We do not sell your data. We do not share your data with advertisers. We do not share your data with data brokers. We do not let third parties scrape it.

We will share data with law enforcement only if compelled by a valid legal order from a Canadian court or a foreign court whose order is recognized in Canada. If we receive such an order, we will notify you unless legally prohibited from doing so.

6. International data transfers

StackSense is operated from Quebec, Canada. Some vendors above process data in the United States. We rely on the following legal mechanisms for international transfers:

For EU and EEA users: Standard Contractual Clauses (SCCs) under Commission Implementing Decision 2021/914, plus Transfer Impact Assessments where required.
For UK users: UK International Data Transfer Agreement (IDTA) or SCCs with UK addendum.
For Canadian users: PIPEDA accountability principle. We remain accountable for data processed by US vendors on our behalf.
For Quebec users: Article 17 of Quebec Law 25. We have conducted a Privacy Impact Assessment and confirmed that US transfers provide adequate protection under our contractual safeguards.

If you want a copy of the SCCs or our Transfer Impact Assessment, email privacy@stacksense.ca.

7. How long we keep your data

Data type	Retention period
Account data while active	While your account exists
Health logs while active	While your account exists
Health data after account deletion	Permanently deleted within 90 days
Account data after deletion	Soft-deleted immediately, hard-deleted within 90 days
Billing and payment records	7 years (Canadian tax law and Quebec consumer protection law require this)
Analytics events	90 days
Crash logs	90 days
Server logs (IP, user agent)	30 days
Backups	Up to 6 months on a rolling basis. Backups are encrypted at rest and we cannot selectively delete from them without rebuilding the backup. Deletions from backups happen via the normal rotation cycle.

After 90 days from account deletion, your health logs are gone forever. We cannot restore them. Export your data before deleting your account if you want to keep a copy.

8. Your rights

You have the following rights over your data. Exercise any of them by emailing privacy@stacksense.ca or using the in-app data rights panel at Profile → Your Data.

Right	What it means	Response time
Access	Get a copy of what we hold about you	30 days
Correction	Fix anything that's inaccurate	30 days
Deletion	Wipe your account and all health data (subject to the retention exceptions above)	30 days
Portability	Download your data in a structured format (CSV)	30 days, on demand via Export button
Object	Stop processing for analytics or marketing	30 days
Restriction	Pause processing while we resolve a dispute	30 days
Withdraw consent	Pull back consent for health data processing or marketing	Immediately on receipt
Complain	File a complaint with your privacy regulator	See section 13

We will not retaliate against you for exercising your rights. We will not charge you for the first request in a 12-month period. For repeated or excessive requests, we may charge a reasonable fee or refuse, but we will tell you why.

9. Cookies and tracking

We use only the cookies necessary to make StackSense work, plus optional analytics cookies you can decline.

Cookie type	Purpose	Required	How to disable
Session cookie	Keep you logged in	Yes, app does not work without it	Log out
Auth refresh token	Keep your session alive	Yes	Log out
Analytics (PostHog/Plausible)	Anonymous product usage	No	Cookie banner toggle, or browser do-not-track

We do not use advertising cookies. We do not use third-party tracking pixels (no Meta pixel, no Google Ads, no TikTok pixel, nothing). If we ever add any, we will update this policy and ask you for consent.

10. Data security

All connections to StackSense use HTTPS with TLS 1.2 or higher
Passwords are hashed with bcrypt (one-way hash, not encryption)
Database access is restricted by Supabase Row-Level Security policies. Even our own server code cannot read another user's data outside the rules.
API endpoints are rate-limited
API endpoints require authentication except for clearly public ones
Secrets and API keys are stored in environment variables, never in code
Backups are encrypted at rest
We log access to production systems and review logs monthly

We do not store your data on our personal devices. We never email health data over unencrypted email. We never share health data on Slack or other chat systems.

If there is a data breach, we will notify you within 72 hours under GDPR, within 5 business days under Quebec Law 25, and as required by PIPEDA, CCPA, and Washington MHMDA.

11. Children

StackSense is intended for adults 18 and older. We do not knowingly collect data from anyone under 18. If you are under 18, do not use StackSense.

If you are a parent or guardian and believe your child has signed up, email privacy@stacksense.ca and we will delete the account and all associated data.

12. Changes to this policy

We may update this policy from time to time. When we make material changes, we will:

Update the "Last updated" date at the top of this page
Notify you by email at least 30 days before changes take effect (for material changes)
Track which version you accepted at signup
Get a fresh consent for changes that affect special category data processing

Non-material changes (clarifications, formatting fixes, vendor URL updates) take effect immediately and do not trigger email notice.

13. How to contact us and complain

Routine privacy questions, rights requests, complaints: privacy@stacksense.ca

Legal notices, regulator inquiries: legal@stacksense.ca

If we don't resolve your complaint, escalate to your regulator:

Region	Regulator	Contact
Canada (federal)	Office of the Privacy Commissioner of Canada	https://www.priv.gc.ca, 1-800-282-1376
Quebec	Commission d'accès à l'information du Québec	https://www.cai.gouv.qc.ca
European Union	Your national supervisory authority	https://edpb.europa.eu/about-edpb/about-edpb/members_en
United Kingdom	Information Commissioner's Office	https://ico.org.uk
California	California Attorney General	https://oag.ca.gov/privacy
Washington State	Washington Attorney General	https://www.atg.wa.gov

Jurisdiction-specific sections

The sections below apply to users in specific jurisdictions in addition to the general policy above.

A. Quebec Law 25 (Loi sur la protection des renseignements personnels dans le secteur privé)

This section applies to all users whose personal information is collected or used in Quebec.

Designated Privacy Officer: Jad Gouiza, privacy@stacksense.ca. The Privacy Officer is responsible for compliance with this law and for responding to your rights requests.

Consent: We obtain your express, free, informed, and specific consent for processing your health data at signup. You can withdraw it at any time.

Privacy Impact Assessment: A PIA covering this processing is on file. Available to regulators on request.

Cross-border transfers: Some of your data is processed by service providers in the United States. We have assessed that the contractual, organizational, and technical measures in place provide protection equivalent to what Quebec law requires.

Automated decision-making: StackSense does not make decisions about you based solely on automated processing. Our AI research features generate information, not decisions about you.

Breach notification: If a confidentiality incident creates a real risk of serious harm to you, we will notify you and the Commission d'accès à l'information within 5 business days.

Right to data portability: You can request a copy of your data in a structured, commonly used technological format.

B. European Union and EEA - GDPR

This section applies to users in the EU and EEA.

We are a non-EU controller offering services to EU residents. We process your data under the legal bases listed in section 4.

Your rights under GDPR:

Right of access (Article 15)
Right to rectification (Article 16)
Right to erasure (Article 17)
Right to restriction (Article 18)
Right to data portability (Article 20)
Right to object (Article 21)
Right to withdraw consent (Article 7(3))
Right to lodge a complaint with a supervisory authority (Article 77)

EU representative: Once our EU user base reaches material scale, we will appoint a representative in the EU under Article 27. Until then, we rely on the de-minimis exception for occasional and small-scale processing. Contact us directly at privacy@stacksense.ca.

International transfers: Some data is transferred to the United States. We rely on Standard Contractual Clauses (Commission Implementing Decision 2021/914). Copies available on request.

Data Protection Officer (DPO): We are not required to appoint a DPO under Article 37. Our Privacy Officer (Jad Gouiza) handles equivalent responsibilities.

C. United Kingdom - UK GDPR and Data Protection Act 2018

This section applies to UK users.

The rights and obligations under UK GDPR mirror those under EU GDPR. Substitute "Information Commissioner's Office (ICO)" for the EU supervisory authority. Substitute the UK International Data Transfer Agreement for the EU SCCs where transfers go to the US.

UK representative: Same de-minimis approach as EU until material scale is reached.

D. California - CCPA and CPRA

This section applies to California residents.

Categories of personal information collected: Identifiers (email), commercial information (subscription history), internet activity (usage data), sensory data (none), geolocation (only IP-derived country), professional information (none), inferences (none), sensitive personal information (health data, with your consent).

Categories of sources: You, your device, our payment processor (Stripe).

Business purposes for collection: Providing the StackSense service, billing, security, analytics, customer support.

Categories of third parties data is disclosed to: Service providers listed in section 5.

Do we sell or share personal information? No. We do not sell your personal information. We do not share it for cross-context behavioral advertising. We have never done so.

Sensitive personal information: We collect health data only with your consent and only for providing the StackSense service. We do not use it for inferring characteristics about you. You have the right under CPRA to limit our use of sensitive personal information. To exercise this right, email privacy@stacksense.ca.

Your CCPA rights:

Right to know what we collect
Right to delete
Right to correct
Right to opt out of sale and sharing (n/a since we do not sell or share)
Right to limit use of sensitive personal information
Right to non-discrimination for exercising your rights

How to exercise: Email privacy@stacksense.ca. We will verify your identity by sending a confirmation email to the address on your account.

Authorized agents: You may designate an agent in writing.

Response time: 45 days, extendable by 45 more days with notice to you.

E. Washington State - My Health My Data Act (MHMDA)

This section applies to consumers in Washington State and to data collected from Washington consumers.

Consumer health data we collect: The supplement, peptide, symptom, body composition, and protocol data you choose to enter in StackSense.

Categories of sources: You.

Purposes of processing: To provide the StackSense tracking service to you.

Categories of third parties with whom we share consumer health data: The service providers listed in section 5 (Supabase, Vercel, Stripe, Anthropic, PostHog/Plausible, Sentry). These are processors acting on our instructions.

We do not:

Sell consumer health data
Use consumer health data for advertising
Use consumer health data for inferring eligibility for insurance, credit, or employment
Use consumer health data for targeting based on health conditions

Your MHMDA rights:

Right to confirm whether we collect, share, or sell your consumer health data
Right to access your consumer health data
Right to withdraw consent
Right to deletion (we will notify our processors and require them to delete too)
Right to a list of all third parties we share with

To exercise: Email privacy@stacksense.ca. Response within 45 days.

Geofencing: We do not use geofencing around healthcare facilities.

F. Other US states (Connecticut, Nevada, Colorado, Virginia, Texas)

If you are a resident of a US state with a comprehensive privacy law, the rights in section 8 apply to you. The Washington MHMDA section above covers the strictest US health data treatment. The CCPA section above covers the strictest US comprehensive privacy treatment. You get the benefit of both.

If you want jurisdiction-specific clarity, email privacy@stacksense.ca.

G. Canada (PIPEDA)

This section applies to Canadian users outside Quebec.

We comply with PIPEDA's 10 fair information principles:

Accountability (Privacy Officer Jad Gouiza)
Identifying purposes (this policy)
Consent (signup checkboxes and granular toggles)
Limiting collection (only what we need)
Limiting use, disclosure, retention (section 7)
Accuracy (you can correct via your account)
Safeguards (section 10)
Openness (this policy is public)
Individual access (section 8)
Challenging compliance (complaint procedure in section 13)

Breach reporting: Where a breach creates a real risk of significant harm, we will notify affected individuals and the Office of the Privacy Commissioner of Canada as soon as feasible.

H. Quebec, in French

Cette politique de confidentialité est rédigée en anglais. Une version française est disponible à l'adresse stacksense.ca/politique-confidentialite. En cas de divergence entre les versions, la version française prévaudra pour les utilisateurs résidant au Québec. Pour toute question, écrire à privacy@stacksense.ca.

End of Privacy Policy. Version 1.0. Last updated 05/20/26

Politique de confidentialité StackSense

Cette page explique quelles données nous collectons, pourquoi nous les collectons, avec qui nous les partageons, combien de temps nous les conservons et quels droits vous avez. Si quelque chose n'est pas clair, écrivez-nous à privacy@stacksense.ca.

1. Qui nous sommes

StackSense est une application de suivi de la santé personnelle. Vous l'utilisez pour enregistrer des suppléments, des peptides, des programmes de dosage, des symptômes et la composition corporelle pour votre usage personnel.

StackSense est exploité par Jad Gouiza, Québec, Canada. Nous sommes le responsable du traitement aux fins du RGPD, de la LPRPDE et de la Loi 25 du Québec. Le responsable de la confidentialité de StackSense est Jad Gouiza, joignable à privacy@stacksense.ca.

Lorsque StackSense Inc. sera enregistrée, cette section sera mise à jour pour nommer la société comme responsable.

2. Ce que StackSense n'est pas

StackSense n'est pas un dispositif médical. Ce n'est pas un système d'aide à la décision clinique. Ce n'est pas un outil de diagnostic. Il ne fournit pas de conseils médicaux. Il ne recommande pas de doses. Il ne remplace pas votre médecin.

Toutes les informations affichées par StackSense sont à caractère informatif et éducatif uniquement. Vous êtes responsable de vos propres décisions de santé.

3. Quelles données nous collectons

Données de compte

Adresse e-mail
Mot de passe (stocké sous forme de hachage irréversible, pas en texte clair)
Date de création du compte

Données de santé et de suivi (catégorie spéciale selon l'article 9 du RGPD)

Compléments et peptides que vous enregistrez
Quantités et horaires de dosage
Journaux des sites d'injection (si vous les enregistrez)
Journaux de symptômes (humeur, énergie, sommeil, stress, concentration, tout ce que vous choisissez d'entrer)
Données de composition corporelle (poids, masse grasse, mesures si vous les saisissez)
Notes de protocole que vous rédigez
Photos jointes à des journaux (si vous choisissez d'en ajouter)

Données d'utilisation et techniques

Type d'appareil et système d'exploitation
Adresse IP (pour la sécurité et la limitation de débit, pas stockée à long terme)
Vues de pages et événements d'utilisation des fonctionnalités (anonymisés, via PostHog ou Plausible)
Rapports de crash (via Sentry, si vous optez pour cette option)

Données de facturation

Statut et niveau d'abonnement
Dates de renouvellement
Nous ne stockons pas votre numéro de carte de crédit. Stripe gère toutes les données de paiement. Stripe est certifié PCI-DSS Niveau 1. Nous ne voyons que des identifiants de carte masqués (4 derniers chiffres, date d'expiration).

Nous ne collectons pas : votre vrai nom sauf si vous le fournissez volontairement, votre numéro de téléphone, votre adresse personnelle, votre pièce d'identité, vos données biométriques, vos contacts, ni votre position précise au-delà du pays estimé par l'IP.

4. Pourquoi nous collectons ces données (base juridique au sens du RGPD article 6 et article 9)

Donnée	Base juridique (article 6)	Base pour catégorie spéciale (article 9, le cas échéant)
E-mail et mot de passe de compte	Exécution du contrat (article 6(1)(b))	n/a
Journaux de santé (suppléments, symptômes, composition corporelle)	Exécution du contrat (article 6(1)(b))	Consentement explicite (article 9(2)(a))
Analyses d'utilisation	Intérêt légitime (article 6(1)(f))	n/a
E-mails marketing	Consentement (article 6(1)(a))	n/a
Journaux de plantage et d'erreur	Intérêt légitime (article 6(1)(f))	n/a
Facturation	Obligation légale et contrat (article 6(1)(b) et 6(1)(c))	n/a

Le traitement des données de santé a lieu uniquement parce que vous avez donné votre consentement explicite à l'inscription avec une case séparée. Vous pouvez retirer votre consentement à tout moment en supprimant votre compte. Le retrait de consentement n'annule pas le traitement déjà effectué.

5. Avec qui nous partageons les données

Nous partageons les données avec les tiers ci-dessous. Chacun a signé un accord de traitement des données avec nous. Chacun est contractuellement tenu de protéger vos données et de les utiliser uniquement pour fournir son service.

Fournisseur	Rôle	Lieu de traitement	DPA en place
Supabase	Base de données et authentification	États-Unis	Oui
Vercel	Hébergement web et distribution edge	États-Unis	Oui
Stripe	Traitement des paiements	États-Unis et dans le monde	Oui
Anthropic	Fonctionnalité de recherche par IA (uniquement pour des informations génériques sur les composés, non personnelles)	États-Unis	Oui
PostHog ou Plausible	Analyses produit anonymisées	UE	Oui
Sentry	Surveillance des plantages et erreurs (optionnelle, sur opt-in)	États-Unis	Oui

Nous ne vendons pas vos données. Nous ne partageons pas vos données avec des annonceurs. Nous ne partageons pas vos données avec des courtiers en données. Nous ne permettons pas à des tiers de les scraper.

Nous partagerons des données avec les forces de l'ordre uniquement si nous sommes contraints par une décision judiciaire valide d'un tribunal canadien ou d'un tribunal étranger reconnu au Canada. Si nous recevons une telle décision, nous vous en informerons sauf si la loi nous en empêche.

6. Transferts internationaux de données

StackSense est exploité depuis le Québec, Canada. Certains fournisseurs ci-dessus traitent des données aux États-Unis. Nous nous appuyons sur les mécanismes juridiques suivants pour les transferts internationaux :

Pour les utilisateurs de l'UE et de l'EEE : Clauses contractuelles types (CCT) en vertu de la décision d'exécution 2021/914 de la Commission, plus des analyses d'impact sur le transfert lorsque nécessaire.
Pour les utilisateurs du Royaume-Uni : Accord de transfert international britannique (IDTA) ou CCT avec addenda UK.
Pour les utilisateurs canadiens : Principe de responsabilité de la LPRPDE. Nous restons responsables des données traitées par des prestataires américains en notre nom.
Pour les utilisateurs québécois : Article 17 de la Loi 25 du Québec. Nous avons mené une analyse d'impact sur la vie privée et confirmé que les transferts vers les États-Unis offrent une protection adéquate grâce à nos mesures contractuelles.

Si vous souhaitez une copie des CCT ou de notre analyse d'impact, écrivez à privacy@stacksense.ca.

7. Combien de temps nous conservons vos données

Type de données	Période de conservation
Données de compte pendant la durée active	Tant que votre compte existe
Journaux de santé pendant la durée active	Tant que votre compte existe
Données de santé après suppression du compte	Supprimées définitivement sous 90 jours
Données de compte après suppression	Suppression logique immédiate, suppression définitive sous 90 jours
Historique de facturation et de paiement	7 ans (exigence de la loi fiscale canadienne et de la loi québécoise sur la protection du consommateur)
Événements d'analyse	90 jours
Journaux de plantage	90 jours
Journaux serveur (IP, user agent)	30 jours
Sauvegardes	Jusqu'à 6 mois sur une base glissante. Les sauvegardes sont chiffrées au repos et nous ne pouvons pas les supprimer sélectivement sans reconstruire la sauvegarde. Les suppressions dans les sauvegardes se font selon le cycle de rotation habituel.

Après 90 jours à compter de la suppression du compte, vos journaux de santé sont définitivement perdus. Nous ne pouvons pas les restaurer. Exportez vos données avant de supprimer votre compte si vous souhaitez en conserver une copie.

8. Vos droits

Vous disposez des droits suivants sur vos données. Exercez-les en envoyant un courriel à privacy@stacksense.ca ou via le panneau de droits des données dans l'application Profil → Vos données.

Droit	Ce que cela signifie	Délai de réponse
Accès	Obtenir une copie de ce que nous détenons sur vous	30 jours
Rectification	Corriger ce qui est inexact	30 jours
Suppression	Effacer votre compte et toutes les données de santé (sous réserve des exceptions de conservation ci-dessus)	30 jours
Portabilité	Télécharger vos données dans un format structuré (CSV)	30 jours, sur demande via le bouton d'export
Opposition	Arrêter le traitement pour l'analyse ou le marketing	30 jours
Restriction	Mettre le traitement en pause pendant la résolution d'un différend	30 jours
Retrait du consentement	Retirer le consentement pour le traitement des données de santé ou du marketing	Immédiatement après réception
Réclamation	Déposer une plainte auprès de votre autorité de protection des données	Voir section 13

Nous ne vous pénaliserons pas pour l'exercice de vos droits. Nous ne facturerons pas la première demande dans une période de 12 mois. En cas de demandes répétées ou excessives, nous pouvons facturer des frais raisonnables ou refuser la demande, mais nous vous en informerons.

9. Cookies et suivi

Nous n'utilisons que les cookies nécessaires au fonctionnement de StackSense, plus des cookies d'analyse facultatifs que vous pouvez refuser.

Type de cookie	Objectif	Requis	Comment désactiver
Cookie de session	Vous garder connecté	Oui, l'application ne fonctionne pas sans	Se déconnecter
Jeton de rafraîchissement d'authentification	Maintenir votre session active	Oui	Se déconnecter
Analyse (PostHog/Plausible)	Usage anonyme du produit	Non	Basculer dans la bannière de cookies ou activer la protection contre le pistage du navigateur

Nous n'utilisons pas de cookies publicitaires. Nous n'utilisons pas de pixels de suivi tiers (pas de pixel Meta, pas de Google Ads, pas de pixel TikTok, rien). Si nous en ajoutons un jour, nous mettrons à jour cette politique et demanderons votre consentement.

10. Sécurité des données

Toutes les connexions à StackSense utilisent HTTPS avec TLS 1.2 ou supérieur
Les mots de passe sont hachés avec bcrypt (hachage unidirectionnel, pas chiffrement)
L'accès à la base de données est restreint par les politiques de sécurité au niveau des lignes Supabase. Même notre code serveur ne peut pas lire les données d'un autre utilisateur en dehors des règles.
Les API sont soumises à une limitation de débit
Les API requièrent une authentification sauf pour les points d'accès clairement publics
Les secrets et clés API sont stockés dans des variables d'environnement, jamais dans le code
Les sauvegardes sont chiffrées au repos
Nous consignons l'accès aux systèmes de production et examinons les journaux mensuellement

Nous ne stockons pas vos données sur nos appareils personnels. Nous n'envoyons jamais de données de santé par e-mail non chiffré. Nous ne partageons jamais de données de santé sur Slack ou d'autres systèmes de messagerie.

En cas de violation de données, nous vous en informerons dans les 72 heures selon le RGPD, dans les 5 jours ouvrables selon la Loi 25 du Québec, et selon les exigences de la LPRPDE, du CCPA et du MHMDA de Washington.

11. Enfants

StackSense est destiné aux adultes de 18 ans et plus. Nous ne collectons pas sciemment de données de personnes de moins de 18 ans. Si vous avez moins de 18 ans, n'utilisez pas StackSense.

Si vous êtes parent ou tuteur et que vous pensez que votre enfant s'est inscrit, écrivez à privacy@stacksense.ca et nous supprimerons le compte et toutes les données associées.

12. Modifications de cette politique

Nous pouvons mettre à jour cette politique de temps en temps. Lorsque nous apportons des modifications importantes, nous :

Mettons à jour la date « Dernière mise à jour » en haut de cette page
Vous avisons par e-mail au moins 30 jours avant l'entrée en vigueur des changements importants
Suivons la version acceptée lors de l'inscription
Obtenons un nouveau consentement pour les changements affectant le traitement de données de catégorie spéciale

Les modifications non importantes (clarifications, corrections de format, mises à jour d'URL de fournisseurs) prennent effet immédiatement et ne déclenchent pas de notification par courriel.

13. Comment nous contacter et déposer une plainte

Questions de confidentialité courantes, demandes de droits, plaintes : privacy@stacksense.ca

Avis juridiques, demandes des régulateurs : legal@stacksense.ca

Si nous ne résolvons pas votre plainte, saisissez votre régulateur :

Région	Régulateur	Contact
Canada (fédéral)	Commission d'accès à l'information du Canada	https://www.priv.gc.ca, 1-800-282-1376
Québec	Commission d'accès à l'information du Québec	https://www.cai.gouv.qc.ca
Union européenne	Autorité nationale de contrôle	https://edpb.europa.eu/about-edpb/about-edpb/members_en
Royaume-Uni	Information Commissioner's Office	https://ico.org.uk
Californie	Procureur général de Californie	https://oag.ca.gov/privacy
Washington	Procureur général de l'État de Washington	https://www.atg.wa.gov

Sections spécifiques à une juridiction

Les sections ci-dessous s'appliquent aux utilisateurs de juridictions spécifiques en plus de la politique générale ci-dessus.

A. Loi 25 du Québec

Cette section s'applique à tous les utilisateurs dont les renseignements personnels sont collectés ou utilisés au Québec.

Responsable de la protection des renseignements personnels : Jad Gouiza, privacy@stacksense.ca. Le responsable de la confidentialité est chargé de la conformité à cette loi et de répondre à vos demandes de droits.

Consentement : Nous obtenons votre consentement exprès, libre, éclairé et spécifique pour le traitement de vos données de santé à l'inscription. Vous pouvez le retirer à tout moment.

Analyse d'impact sur la vie privée : Une AIPD couvrant ce traitement est disponible sur demande auprès des régulateurs.

Transferts transfrontaliers : Certaines de vos données sont traitées par des prestataires de services aux États-Unis. Nous avons évalué que les mesures contractuelles, organisationnelles et techniques en place offrent une protection équivalente à celle exigée par la loi québécoise.

Décision automatisée : StackSense ne prend pas de décisions vous concernant uniquement sur la base d'un traitement automatisé. Nos fonctionnalités de recherche IA génèrent des informations, pas des décisions à votre sujet.

Notification de violation : Si un incident de confidentialité crée un risque réel de préjudice grave, nous vous notifierons ainsi que la Commission d'accès à l'information dans les 5 jours ouvrables.

Droit à la portabilité : Vous pouvez demander une copie de vos données dans un format structuré et couramment utilisé.

B. Union européenne et EEE - RGPD

Cette section s'applique aux utilisateurs de l'UE et de l'EEE.

Nous sommes un responsable non-UE offrant des services aux résidents de l'UE. Nous traitons vos données selon les bases juridiques listées à la section 4.

Vos droits au titre du RGPD :

Droit d'accès (article 15)
Droit de rectification (article 16)
Droit à l'effacement (article 17)
Droit à la limitation (article 18)
Droit à la portabilité des données (article 20)
Droit d'opposition (article 21)
Droit de retirer votre consentement (article 7(3))
Droit d'introduire une réclamation auprès d'une autorité de contrôle (article 77)

Représentant UE : Dès que notre base d'utilisateurs UE atteint une échelle significative, nous nommerons un représentant dans l'UE en vertu de l'article 27. Jusqu'à cette échéance, nous nous appuyons sur l'exception de minimis pour un traitement occasionnel et à petite échelle. Contactez-nous directement à privacy@stacksense.ca.

Transferts internationaux : Certaines données sont transférées aux États-Unis. Nous nous appuyons sur des clauses contractuelles types (décision d'exécution 2021/914). Des copies sont disponibles sur demande.

Délégué à la protection des données (DPD) : Nous ne sommes pas tenus de nommer un DPD en vertu de l'article 37. Notre responsable de la confidentialité (Jad Gouiza) assume des responsabilités équivalentes.

C. Royaume-Uni - UK GDPR et Data Protection Act 2018

Cette section s'applique aux utilisateurs du Royaume-Uni.

Les droits et obligations au titre du UK GDPR sont similaires à ceux du RGPD. Remplacez « Information Commissioner's Office (ICO) » par l'autorité de contrôle britannique. Remplacez l'Accord de transfert international du Royaume-Uni par les CCT de l'UE lorsqu'il s'agit de transferts vers les États-Unis.

Représentant UK : Même approche de minimis que pour l'UE jusqu'à atteinte d'une échelle significative.

D. Californie - CCPA et CPRA

Cette section s'applique aux résidents californiens.

Catégories d'informations personnelles collectées : Identifiants (e-mail), informations commerciales (historique d'abonnement), activité Internet (données d'utilisation), données sensorielles (aucune), géolocalisation (seulement pays dérivé de l'IP), informations professionnelles (aucune), inférences (aucune), informations personnelles sensibles (données de santé, avec votre consentement).

Catégories de sources : Vous, votre appareil, notre processeur de paiement (Stripe).

Finalités commerciales de la collecte : Fourniture du service StackSense, facturation, sécurité, analytics, support client.

Catégories de tiers auxquels des données sont divulguées : Les prestataires listés à la section 5.

Vendons-nous ou partageons-nous des informations personnelles ? Non. Nous ne vendons pas vos informations personnelles. Nous ne les partageons pas pour de la publicité comportementale inter-contexte. Nous ne l'avons jamais fait.

Informations personnelles sensibles : Nous collectons des données de santé uniquement avec votre consentement et uniquement pour fournir le service StackSense. Nous ne les utilisons pas pour inférer des caractéristiques vous concernant. Vous avez le droit en vertu du CPRA de limiter notre utilisation des informations personnelles sensibles. Pour exercer ce droit, écrivez à privacy@stacksense.ca.

Vos droits CCPA :

Droit de savoir ce que nous collectons
Droit de supprimer
Droit de corriger
Droit d'opter pour l'exclusion de la vente et du partage (n/a car nous ne vendons ni ne partageons)
Droit de limiter l'utilisation d'informations personnelles sensibles
Droit à la non-discrimination pour l'exercice de vos droits

Comment exercer : Écrivez à privacy@stacksense.ca. Nous vérifierons votre identité en envoyant un e-mail de confirmation à l'adresse associée à votre compte.

Mandataires autorisés : Vous pouvez désigner un mandataire par écrit.

Délai de réponse : 45 jours, prolongeable de 45 jours supplémentaires avec notification.

E. Washington State - My Health My Data Act (MHMDA)

Cette section s'applique aux consommateurs de l'État de Washington et aux données collectées auprès des consommateurs de Washington.

Données de santé des consommateurs que nous collectons : Les données de supplément, de peptide, de symptôme, de composition corporelle et de protocole que vous choisissez d'entrer dans StackSense.

Catégories de sources : Vous.

Finalités du traitement : Fournir le service de suivi StackSense.

Catégories de tiers avec qui nous partageons des données de santé des consommateurs : Les prestataires de services listés à la section 5 (Supabase, Vercel, Stripe, Anthropic, PostHog/Plausible, Sentry). Ce sont des processeurs agissant sur nos instructions.

Nous ne :

Vendons pas de données de santé des consommateurs
N'utilisons pas les données de santé des consommateurs pour la publicité
N'utilisons pas les données de santé des consommateurs pour inférer l'admissibilité à une assurance, un crédit ou un emploi
N'utilisons pas les données de santé des consommateurs pour le ciblage basé sur des conditions de santé

Vos droits MHMDA :

Droit de confirmer si nous collectons, partageons ou vendons vos données de santé
Droit d'accès à vos données de santé
Droit de retirer votre consentement
Droit de suppression (nous informerons nos processeurs et exigerons leur suppression également)
Droit à la liste de tous les tiers avec lesquels nous partageons des données

Pour exercer : Écrivez à privacy@stacksense.ca. Réponse sous 45 jours.

Géorepérage : Nous n'utilisons pas de géorepérage autour des établissements de santé.

F. Autres États américains (Connecticut, Nevada, Colorado, Virginie, Texas)

Si vous résidez dans un État américain doté d'une loi de confidentialité complète, les droits de la section 8 s'appliquent à vous. La section Washington MHMDA ci-dessus couvre le traitement des données de santé le plus strict. La section CCPA couvre le traitement de confidentialité le plus strict pour les États américains. Vous bénéficiez des deux.

Si vous souhaitez des précisions spécifiques à votre juridiction, écrivez à privacy@stacksense.ca.

G. Canada (LPRPDE)

Cette section s'applique aux utilisateurs canadiens hors Québec.

Nous respectons les 10 principes de l'information équitable de la LPRPDE :

Responsabilité (responsable de la confidentialité : Jad Gouiza)
Identification des fins (cette politique)
Consentement (cases à cocher à l'inscription et bascules granulaires)
Limitation de la collecte (uniquement ce qui est nécessaire)
Limitation de l'utilisation, de la divulgation et de la conservation (section 7)
Exactitude (vous pouvez corriger via votre compte)
Sauvegardes (section 10)
Ouverture (cette politique est publique)
Accès individuel (section 8)
Recours en cas de non-conformité (procédure de plainte section 13)

Notification des violations : Lorsqu'une violation crée un risque réel de préjudice important, nous notifierons les personnes concernées et le Commissariat à la protection de la vie privée du Canada dans les meilleurs délais.

H. Québec, en français

Fin de la politique de confidentialité. Version 1.0. Dernière mise à jour 05/20/26