Politique de confidentialité

Vos réponses de santé sont les données les plus sensibles que nous détenons. Voici ce que nous en faisons — et surtout ce que nous n'en faisons pas.

Ce que nous collectons

Vos réponses (symptômes, antécédents déclarés, habitudes), vos mesures (tour de taille, poids), vos points quotidiens et hebdomadaires, vos photos si vous en ajoutez, vos échanges avec Léa et avec l'équipe, l'adresse e-mail de votre compte, le numéro de téléphone demandé à l’inscription des nouveaux comptes, les choix de contact et les preuves d’accord d’appel, les informations de vos demandes de repas (formule, options, tarif indicatif, code postal, canal choisi, message et suivi), votre numéro si vous nous le donnez pour une livraison, ainsi que, séparément, le numéro et les accords facultatifs de contact WhatsApp si vous choisissez ce canal, l'identifiant technique des appareils sur lesquels vous acceptez de recevoir nos rappels, la mesure d'audience de l'application — quels écrans ont été ouverts et quand, jamais ce qu'ils contenaient —, et — si vous devenez cliente — votre adresse de livraison et l'historique de vos commandes. Rien d'autre.

Votre consentement est séparé, et il est premier

Aucune donnée de santé n'est enregistrée avant que vous ayez coché la case dédiée, jamais pré-cochée. Tant que vous ne l'avez pas fait, vos réponses restent sur votre seul appareil, dans la mémoire de votre navigateur. La date de votre choix le plus récent est conservée : celle de votre accord tant qu'il tient, celle de votre retrait dès que vous le retirez.

Pourquoi nous les traitons

Vos données de santé servent à une seule chose : construire et ajuster votre plan. Base légale : votre consentement explicite (article 9.2.a du RGPD). Vos données de commande servent à exécuter le contrat de prestation (article 6.1.b). Vos e-mails de conseils font partie du service et partent par défaut : base légale, notre intérêt légitime à vous accompagner (article 6.1.f). Vous les coupez en un geste depuis votre profil, ou par le lien en bas de chaque e-mail, et l'envoi s'arrête aussitôt.

Où elles vivent, et qui les voit

En Europe, dans une base où les données de chaque compte sont cloisonnées : techniquement, une cliente ne peut pas lire celles d'une autre. Les voient : vous, la diététicienne et le fondateur — et chacun de leurs accès est inscrit dans un journal dont aucune ligne ne peut être effacée ni réécrite. Une seule modification y est possible, et c'est votre droit à l'effacement qui l'impose : quand un compte est supprimé, le nom de la personne qui a agi est coupé de ses lignes ; ce qui a été fait, quand, et sur quoi, reste. Personne d'autre : aucune revente, aucun partage publicitaire. Deux de nos prestataires techniques sont établis aux États-Unis — Stripe pour le paiement, OpenAI pour l'assistante Léa : leurs accès sont encadrés par les clauses contractuelles types de la Commission européenne, et ce qu'ils reçoivent est écrit, prestataire par prestataire, dans la liste ci-dessous. Deux autres destinataires ne sont pas nos prestataires, et c'est vous qui les mettez en jeu : le service de notifications de votre téléphone, si vous acceptez nos rappels, et Meta, si vous nous écrivez par WhatsApp ou acceptez que nous vous y contactions. Selon la marque de votre téléphone, le premier est le plus souvent établi hors de l'Union européenne ; le second l'est toujours. La liste ci-dessous dit ce que chacun reçoit.

Si vos réponses signalent un trouble alimentaire

Si vos réponses signalent un trouble du comportement alimentaire, votre poids est masqué partout — dans l'application comme dans nos écrans internes. Seule la diététicienne peut le réafficher, et son nom reste inscrit dans le journal des accès.

Combien de temps

Vos données de santé sont conservées tant que votre compte existe, puis supprimées immédiatement à sa fermeture — à une exception près, que nous préférons nommer : le journal interne des corrections faites par l'équipe. Chaque fois que quelqu'un de la maison a corrigé une de vos données, ce journal garde la valeur d'avant et celle d'après, avec la date et l'auteur, parce que sa raison d'être est de prouver ce que la maison a fait de vos données. Ces lignes-là restent : elles ne sortent pas de la maison, et elles ne figurent pas dans le fichier que vous emportez. Sans compte, vos réponses ne sont enregistrées dans aucune base : elles vivent dans la mémoire de votre navigateur, et ne sont transmises à notre serveur que le temps de calculer votre première journée ou votre première semaine de menus. Les factures et montants sont conservés dix ans parce que le code de commerce l'impose : le lien avec votre compte est coupé, mais une facture porte par nature le nom et l'adresse de facturation auxquels elle a été émise, et ceux-là y restent.

Qui reçoit vos données

Supabase (hébergement de la base, UE), Vercel (hébergement de l'application, UE), Resend (envoi des e-mails), Stripe (paiement, États-Unis — nous ne voyons jamais votre numéro de carte), OpenAI (l'assistante Léa, États-Unis — reçoit votre prénom, votre Score, votre profil, la semaine où vous en êtes, vos allergies, vos menus du jour et les indicateurs de sécurité qui la font se taire ; jamais votre nom de famille, votre adresse, votre e-mail ni vos mesures), PostHog (mesure d'audience, région UE, sans donnée de santé), iClosed (prise de rendez-vous pour l'entretien de départ — votre prénom et votre moyen de contact, et RIEN D'AUTRE : aucune réponse de santé, aucun résultat, aucun niveau ne lui est transmis), Chronofresh (transport frigorifique, uniquement pour les produits qui vous livrent des repas — nom, adresse et téléphone, pour vous livrer). Deux derniers destinataires ne sont pas des sous-traitants, et la différence compte : ils décident seuls de ce qu'ils font de ce qui passe par eux, et c'est vous qui les mettez en jeu. Le service de notifications de votre téléphone — Google, Mozilla, Microsoft ou Apple, selon votre appareil et votre navigateur : si vous acceptez nos rappels, il reçoit l'adresse technique de cet appareil et achemine chacun d'eux. Le contenu du rappel voyage chiffré et ne lui est pas lisible ; l'adresse, elle, est chez lui, et il est le plus souvent établi hors de l'Union européenne. Refuser les notifications, ou les couper depuis votre profil, ferme ce chemin. Et Meta, pour WhatsApp : si vous choisissez d'écrire à l'équipe par ce canal ou acceptez d'y être contactée, votre numéro et le contenu de vos messages transitent par ses serveurs, hors de l'Union européenne. C'est pourquoi nous n'y demandons ni n'y traitons aucune donnée de santé : vos traitements, vos analyses et vos mesures restent dans l'application.

Vos droits, et comment les exercer

Accès et portabilité : un bouton, dans votre profil, télécharge vos données. Le fichier énumère lui-même, en tête, le peu qui n'y figure pas, pourquoi, et par où l'obtenir quand c'est possible. Effacement : la suppression de compte est un bouton, et quand elle aboutit vos données de santé sont effacées sur-le-champ. S'il reste une étape que nous ne pouvons pas terminer, l'écran vous le dit, et il vous dit laquelle : parfois que rien n'a été supprimé, et que nous le ferons à la main sous 24 heures. Rectification, opposition, limitation : écrivez-nous, réponse sous 30 jours. Vous pouvez aussi saisir la CNIL.