Une application de santé qui ne conserve aucun profil côté serveur : ce que « sur l'appareil » signifie en pratique, ce qu'une photo laisse quitter le téléphone, et pourquoi ce choix est structurel.
La plupart des applications de santé en savent plus sur vous que vous ne le souhaiteriez. Non pas parce que quelqu'un avait l'intention d'espionner — mais parce que l'architecture par défaut d'une application connectée est un serveur qui contient votre profil, et chaque fonctionnalité se développe autour de ce serveur jusqu'à ce que le supprimer devienne impensable.
Delta a été construit dans l'autre sens. Il n'y a pas de système de compte. Il n'y a pas de base de données de profils. Les décisions importantes ont été prises de manière structurelle, avant qu'aucune fonctionnalité n'existe.
Concrètement, pas comme phrase marketing :
Photographier un bilan sanguin est un problème difficile de vision par ordinateur, et le faire correctement nécessite actuellement plus de puissance de calcul qu'un téléphone. Donc : la photo de votre bilan est envoyée à l'analyseur de Delta, lue, et supprimée. L'analyseur ne conserve rien — aucune image, aucune valeur extraite, aucun identifiant lié à vous.
C'est la liste complète de ce qui quitte l'appareil, cela est divulgué sur l'écran où cela se produit, et le recours sur l'appareil (Apple Vision sur iOS, ML Kit sur Android) s'exécute chaque fois que l'analyseur est inaccessible, de sorte que le chemin sans réseau n'est jamais une impasse.
Tout ce qui suit cette première lecture — évaluation, stockage, courbes, historique — ne quitte jamais le téléphone.
Une politique de confidentialité est une promesse de comportement ; une architecture est un fait. Une entreprise avec une base de données de profils peut promettre n'importe quoi aujourd'hui et être acquise, violée ou contrainte par une citation à comparaître demain. Un produit qui n'a jamais collecté les données ne peut pas les fuiter, ne peut pas les vendre, et ne peut pas être contraint de remettre ce qu'il ne détient pas.
C'est aussi pourquoi il n'y a pas de compte. Un compte existe pour attacher un profil ; supprimez le profil et la connexion devient une friction pure — un mot de passe montant la garde sur rien.
Se passer de serveur a un coût. Nous l'avons choisi en connaissance de cause : pas de synchronisation entre appareils aujourd'hui, pas de tableau de bord web, et perdre votre téléphone signifie perdre votre historique à moins que vous ne l'ayez sauvegardé vous-même. Ce sont de véritables compromis, et si la synchronisation est suffisamment importante, nous préférerions la construire chiffrée et détenue par l'utilisateur plutôt que de développer silencieusement une base de données des analyses de sang de tout le monde.
Les outils de mesure gagnent la confiance en étant vérifiables. Arithmétique déterministe, flux de données divulgués, et une architecture qui rend la promesse physique — c'est toute l'histoire de la confidentialité. Il n'y a pas de petits caractères, pour la simple raison qu'il n'y a pas de serveur sur lequel les imprimer.
