Politique de confidentialité
Dernière mise à jour : [à compléter à la publication]
1. Responsable du traitement
Le responsable du traitement des données personnelles collectées via Léa NutriSnap est :
K&L CONSEIL Route de Corbeil – 91230 Montgeron – France SIREN/SIRET : 88910359400012 Email : kl_conseil@hotmail.com
2. Délégué à la protection des données
Aucun délégué à la protection des données (DPO) n'est désigné à ce jour. Toute question relative à la protection des données peut être adressée à contact@leanutrisnap.org. La nécessité de désigner formellement un DPO dépend du volume et de la nature des traitements réalisés — ce point doit être évalué avec un conseil juridique.
3. Données collectées
| Donnée | Champ technique | Caractère obligatoire |
|---|---|---|
| Adresse email | Compte utilisateur | Oui |
| Mot de passe (haché, jamais stocké en clair) | Compte utilisateur | Oui (sauf connexion via compte tiers) |
| Nom complet | Profil | Non |
| Objectif nutritionnel, poids, âge, objectifs caloriques/macronutriments | Profil | Non |
| Historique des repas analysés (nom, calories, macronutriments, score santé) | Utilisation du Service | Résultant de l'usage du Service |
| Adresse IP, identifiant du navigateur | Connexion (journaux techniques) | Automatique |
| Données de paiement (email associé, montant, identifiants de transaction PayPal) | Souscription Premium | Résultant de la souscription |
Aucune photo de repas n'est conservée. Les photos transmises pour analyse sont envoyées de façon transitoire au prestataire d'intelligence artificielle et ne sont jamais enregistrées par le Service (ni en base de données, ni sur un espace de stockage).
L'audio des descriptions vocales n'est jamais transmis au Service. La transcription en texte est effectuée directement par le navigateur de l'utilisateur ; seul le texte résultant est traité par le Service.
4. Finalités et bases légales des traitements
| Finalité | Base légale |
|---|---|
| Création et gestion du compte utilisateur | Exécution du contrat |
| Fourniture du service d'analyse nutritionnelle | Exécution du contrat |
| Gestion de l'abonnement Premium et des paiements | Exécution du contrat |
| Envoi d'emails transactionnels (vérification de compte, réinitialisation de mot de passe, confirmation d'abonnement) | Exécution du contrat |
| Sécurité du Service (limitation des tentatives de connexion, prévention des abus) | Intérêt légitime |
| Conservation de l'historique de facturation | Obligation légale (comptabilité) |
5. Destinataires des données
Certaines données sont transmises à des prestataires tiers, strictement nécessaires au fonctionnement du Service :
| Prestataire | Données transmises | Finalité |
|---|---|---|
| OpenAI | Photo du repas ou texte de la description vocale (aucune donnée d'identification associée : ni email, ni nom, ni identifiant utilisateur) | Analyse nutritionnelle automatisée |
| Resend | Adresse email, nom si renseigné, contenu des emails transactionnels | Envoi d'emails (vérification de compte, réinitialisation de mot de passe, confirmation/annulation d'abonnement) |
| PayPal | Adresse email, montant, devise, identifiants d'abonnement et de transaction | Traitement des paiements de l'abonnement Premium |
| Railway | L'ensemble des données ci-dessus, en tant qu'hébergeur de l'application et de la base de données | Hébergement de l'infrastructure |
| OpenFoodFacts | Code-barres scanné uniquement (aucune donnée personnelle) | Identification du produit alimentaire |
K&L CONSEIL ne vend ni ne loue les données personnelles des utilisateurs à des tiers à des fins commerciales ou publicitaires.
6. Transferts de données hors Union européenne
Plusieurs prestataires mentionnés à l'article 5 traitent des données en dehors de l'Union européenne :
- Railway (hébergeur) : société américaine (Railway Corporation, San Francisco, États-Unis), dont le traitement principal a lieu aux États-Unis, sur une infrastructure Google Cloud Platform. Source vérifiée : Data Processing Addendum officiel de Railway (railway.com/legal/dpa).
- OpenAI et PayPal sont également susceptibles de traiter des données en dehors de l'Union européenne, notamment aux États-Unis.
Ces transferts sont encadrés par les garanties prévues par chaque prestataire (notamment les clauses contractuelles types de la Commission européenne), conformément à leurs propres politiques de confidentialité respectives.
7. Durée de conservation des données
| Donnée | Durée de conservation |
|---|---|
| Code de vérification par email | 10 minutes |
| Lien de réinitialisation de mot de passe | 60 minutes |
| Session de connexion | 30 jours glissants |
| Compte utilisateur actif | Pendant toute la durée d'utilisation du Service |
| Repas et historique d'usage, après suppression du compte | 14 jours après la demande de suppression, puis suppression définitive |
| Compte, après suppression | Anonymisation immédiate (email, nom, mot de passe supprimés) |
| Historique des paiements (abonnements, factures) | Conservé indéfiniment, dissocié de l'identité de l'utilisateur, pour les besoins des obligations légales de conservation comptable |
8. Sécurité des données
Le Service met en œuvre les mesures de sécurité suivantes :
- les mots de passe ne sont jamais stockés en clair (hachage) ;
- les jetons de session, de vérification d'email et de réinitialisation de mot de passe ne sont jamais stockés en clair (seule une empreinte cryptographique est conservée) ;
- les échanges entre le navigateur et le Service sont chiffrés (HTTPS) ;
- les cookies de session sont configurés en HttpOnly et Secure, limitant les risques d'interception ou d'accès par un script tiers ;
- l'accès aux fonctionnalités d'administration est strictement réservé aux comptes disposant d'un rôle administrateur.
9. Cookies
Le Service utilise uniquement des cookies strictement nécessaires à son fonctionnement :
| Cookie | Finalité | Durée |
|---|---|---|
nutrisnap_session | Maintien de la connexion de l'utilisateur | 30 jours |
Ces cookies sont indispensables au fonctionnement du Service (authentification) et ne nécessitent pas de recueil de consentement préalable au titre de la réglementation applicable (cookies strictement nécessaires). Le Service n'utilise aucun cookie de mesure d'audience, de publicité ou de traçage à des fins commerciales.
10. Droits des utilisateurs
Conformément au Règlement Général sur la Protection des Données (RGPD) et à la loi Informatique et Libertés, l'utilisateur dispose des droits suivants sur ses données personnelles :
- Droit d'accès : obtenir la confirmation que ses données sont traitées et en obtenir une copie ;
- Droit de rectification : corriger des données inexactes ou incomplètes ;
- Droit à l'effacement : demander la suppression de son compte et de ses données (voir article 7 — modalités et délais applicables) ;
- Droit à la limitation du traitement ;
- Droit à la portabilité des données fournies ;
- Droit d'opposition, pour les traitements fondés sur l'intérêt légitime.
Ces droits peuvent être exercés directement depuis l'espace personnel du Service (modification du profil, suppression du compte) ou en contactant contact@leanutrisnap.org.
L'utilisateur dispose également du droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) — www.cnil.fr.
11. Modification de la présente politique
K&L CONSEIL se réserve le droit de modifier la présente politique de confidentialité à tout moment, notamment pour se conformer à toute évolution réglementaire ou technique. Les utilisateurs seront informés de toute modification substantielle.
12. Contact
Pour toute question relative à la présente politique ou à l'exercice de vos droits : contact@leanutrisnap.org