Politique de confidentialité

Version du 10 octobre 2026 — application Faitout, éditée par Aplomb.

Cette politique décrit ce que l’application enregistre, où, pourquoi, pendant combien de temps, et ce que vous pouvez en faire. Elle est écrite avec les fonctions qu’elle couvre : chaque phrase correspond à un comportement de la version que vous utilisez.

1. Qui est responsable

Le responsable du traitement est Aplomb, [À COMPLÉTER : forme juridique, SIREN, adresse du siège], joignable à contact@aplomb-apps.fr. [À COMPLÉTER : nom de la personne référente pour les données, si différente.]

2. Ce que l’application enregistre

Tout ce qui suit est enregistré sur votre appareil, et nulle part ailleurs sur cette version :

• Le foyer : son nom, le jour de démarrage de la semaine, les repas actifs, les profils énergétiques et les niveaux de temps par repas, le nombre de convives.
• Les membres : un prénom ou un surnom, un type (adulte, adolescent, enfant), les aversions, les absences, et, uniquement si vous y avez consenti, les allergènes et les régimes.
• Les semaines de menus générées (52 au plus), avec les verrous, les remplacements et les portions.
• Vos retours : favoris, notes, recettes écartées, remplacements. Ils servent à l’apprentissage local, que vous pouvez consulter, désactiver et réinitialiser.
• Les recettes que vous créez ou importez, et les notes que vous y écrivez.
• Les listes de courses, les articles ajoutés à la main, le garde-manger (quantités, dates limites, origine de chaque ligne : saisie, code-barres, ticket), vos magasins et l’ordre de leurs rayons.
• Les préférences : thème, langue, canal de diffusion par défaut, arrondi au conditionnement, dernière adresse mail et dernier numéro de téléphone saisis pour envoyer une liste.
• La session de cuisson en cours (étape et minuteurs), le temps de la recette.
• Un identifiant d’appareil aléatoire, généré une fois par l’application, qui ne dérive ni de vous ni du matériel.
• L’abonnement : son statut (aucun, essai, actif, résilié, expiré), les dates de l’essai et de la période en cours, l’offre choisie (section 13).

L’application ne demande ni nom de famille, ni adresse, ni date de naissance, ni position. Un compte n’existe que si vous activez le foyer partagé (section 6) ; il est anonyme.

3. Allergènes et régimes : données de santé

Les allergènes et les régimes sont des données de santé au sens de l’article 9 du RGPD. L’application ne les enregistre qu’après votre consentement explicite, donné à l’accueil et retirable à tout moment dans la fiche du membre ou dans les réglages. Sans ce consentement, les membres sont enregistrés sans allergie ni régime, et le moteur ne peut pas exclure de recettes pour ce motif.

Ces données ne quittent jamais l’appareil. Quand une demande part vers l’assistant d’orientation (section 5), les contraintes sont transmises sous forme de règles anonymes (« sans arachide », « sans porc ») rattachées à aucune personne.

4. Ce qui reste sur l’appareil

Sur cette version, l’application fonctionne sans serveur : génération des semaines, recettes, listes, gamelle, mode magasin, mode cuisson, export et import se font hors ligne. Les données sont stockées dans l’espace privé de l’application sur votre appareil. [À COMPLÉTER : sur les téléphones, le chiffrement au repos par le système et par la base locale ; à confirmer lors de la première version mobile.]

L’envoi d’une liste par mail ou par SMS passe par les applications de votre appareil (messagerie, SMS) : l’application prépare le message, vous l’envoyez. Aucune passerelle d’envoi n’est utilisée.

En mode cuisson, l’application peut lire les étapes à voix haute (synthèse vocale de votre appareil) et écouter une commande (« suivant », « minuteur 10 minutes ») quand vous touchez le micro. Le micro ne s’ouvre qu’après ce geste, pour une phrase, et se referme seul ; l’autorisation du micro est demandée la première fois. La reconnaissance se fait sur l’appareil, hors ligne : le son n’est ni enregistré, ni envoyé à nos serveurs ni à ceux d’Apple ou de Google. Un appareil qui ne sait pas reconnaître la parole hors ligne n’ouvre pas le micro : la commande se tape. La commande vocale n’est pas proposée dans la version web.

5. Ce qui passe par nos serveurs : l’assistant IA

Trois fonctions, et seulement trois, envoient des données hors de l’appareil, à votre demande explicite :

• L’orientation d’une semaine en une phrase (« des soupes le soir », « pas de viande rouge »).
• L’import d’une recette depuis un texte, une adresse web ou une photo.
• La lecture d’un ticket de caisse photographié, pour remplir le garde-manger (la photo est envoyée, les lignes de produits reviennent ; ne photographiez pas un ticket qui porte votre nom ou vos données bancaires).

Ce qui est envoyé : la phrase ou le texte que vous avez saisi, l’adresse web ou l’image de la recette, la liste des ingrédients connus de l’application (un vocabulaire fixe, sans rien de personnel), et l’identifiant d’appareil aléatoire. Ce qui n’est jamais envoyé : les prénoms, la composition du foyer, les allergènes et régimes en tant que tels, vos semaines, vos listes.

Le trajet : l’application appelle une fonction hébergée chez Supabase dans l’Union européenne (région Francfort), qui transmet la demande à l’interface de programmation d’Anthropic (modèle Claude) et vous renvoie la réponse structurée. Anthropic est établie aux États-Unis ; le transfert est encadré par [À COMPLÉTER : mécanisme de transfert retenu — clauses contractuelles types de l’accord de traitement des données d’Anthropic, ou certification au cadre UE-États-Unis ; à vérifier par un juriste]. Selon les conditions d’Anthropic applicables à l’interface de programmation, les données envoyées ne servent pas à entraîner ses modèles. [À COMPLÉTER : durée de conservation chez Anthropic selon l’accord en vigueur.]

Ce que nos serveurs gardent :

• Un compteur journalier par identifiant d’appareil (nombre de demandes du jour, limite de 20), effacé [À COMPLÉTER : durée de purge des lignes de quota, recommandation 7 jours].
• Un cache des réponses, indexé par une empreinte du texte normalisé : la même demande ne repart pas vers Anthropic. Le cache ne contient ni identifiant d’appareil ni donnée de membre ; [À COMPLÉTER : durée de conservation du cache, recommandation 90 jours].

Ces tables ne sont pas accessibles depuis l’application ni depuis l’extérieur : seule la fonction les lit et les écrit.

Vous pouvez ne jamais utiliser l’assistant : l’orientation par presets et l’analyse locale d’une recette collée fonctionnent sans lui, et le mode « IA simulée » du panneau Développeur coupe tout envoi.

5 bis. Le code-barres : Open Food Facts

Quand vous scannez ou tapez un code-barres dans le garde-manger, l’application interroge Open Food Facts, une base de données ouverte et collaborative (association française, licence ODbL). La requête contient le code-barres et, comme toute requête sur internet, l’adresse IP de votre appareil ; rien d’autre, ni compte, ni identifiant. Open Food Facts n’est pas informé de ce que vous en faites. Vous pouvez ne jamais scanner : la recherche par nom fait la même chose sans réseau.

5 ter. Les drives des enseignes : votre navigateur, pas nos serveurs

Si vous associez un magasin au drive de son enseigne, l’application peut ouvrir le site de cette enseigne dans votre navigateur : sur sa page de recherche avec le nom de l’article, ou sur sa page d’accueil, la liste étant alors copiée dans votre presse-papiers. C’est votre navigateur qui visite le site, avec ses propres cookies et sa propre politique ; l’application n’envoie rien à l’enseigne et n’en reçoit rien. Le nom de l’article dans l’adresse est la seule information qui part, et vous la voyez.

6. Le foyer partagé : un compte anonyme, des documents synchronisés

Si vous choisissez « Partager ce foyer » ou « Rejoindre avec un code », l’application crée un compte anonyme sur nos serveurs (Supabase, Union européenne) : un identifiant, sans mail ni mot de passe. Les documents du foyer sont alors copiés sur ce serveur et synchronisés entre les appareils membres : réglages du foyer, membres (avec allergènes et régimes si vous y avez consenti : ce sont précisément les informations que l’autre appareil doit connaître pour exclure les mêmes recettes), semaines de menus, listes de courses, garde-manger, magasins, recettes personnelles, presets et orientation permanente. Restent sur chaque appareil : les préférences, les retours d’apprentissage, la session de cuisson.

Chaque document porte une version ; une suppression est une marque rejouée avant toute fusion ; quand deux appareils modifient la même chose, la dernière écriture gagne et l’autre valeur est conservée dans un historique lisible sur l’appareil. Chaque membre porte un rôle, éditeur ou lecteur, et un libellé d’appareil choisi par la personne. Le code d’invitation à huit caractères donne accès au foyer : ne le transmettez qu’aux personnes du foyer.

Vous quittez le foyer en un geste : votre appareil garde ses données et cesse de partager ; s’il ne reste personne, le foyer et ses documents sont effacés du serveur. « Supprimer mon compte » efface côté serveur, en un geste, votre appartenance, le foyer s’il devient vide et le compte lui-même. Les données sont chiffrées en transit (TLS) et au repos par l’hébergeur ; les règles de sécurité par ligne font qu’un compte ne lit que les documents de son propre foyer.

7. Ce que l’application ne fait pas

• Publicité, version gratuite seulement, et seulement si vous l’acceptez : un seul encart, dans l’onglet Recettes. L’application vous le demande une fois, à cet endroit ; sans réponse ou après un refus, elle n’affiche aucune publicité, et votre choix se change dans les réglages. Jamais dans la semaine, la liste de courses, en cuisine ni en magasin, jamais en plein écran ; rien pendant l’essai ni avec Premium, rien pendant les trois premières ouvertures. La régie prévue est Google AdMob ; tant qu’elle n’est pas branchée, les emplacements sont des cadres vides marqués « simulé ». Quand elle le sera : publicité non personnalisée par défaut dans l’Union européenne, consentement demandé avant toute publicité personnalisée (plateforme de consentement de Google, révocable dans les réglages), et la politique de Google s’appliquera à ces données. [À COMPLÉTER : identifiants AdMob, lien vers la politique de Google, date de mise en service.]
• Pas de mesure d’audience, pas de traceur, pas de kit de suivi d’erreurs sur cette version. [À COMPLÉTER : si un outil de suivi d’erreurs ou de mesure est ajouté, le nommer ici et le soumettre à consentement.]
• Pas de vente ni de transmission de données à des tiers.
• Pas de géolocalisation, pas d’accès aux contacts, pas de lecture de la messagerie.
• Pas de profilage à des fins commerciales : l’apprentissage local sert à proposer des repas, il reste sur l’appareil, il est consultable et réinitialisable.

8. Base légale et finalités

9. Durées de conservation

• Sur l’appareil : tant que vous gardez l’application et les données ; 52 semaines de menus au plus, les plus anciennes étant supprimées d’office.
• Sur nos serveurs : le compteur journalier et le cache de l’assistant, selon les durées de la section 5 ; les documents du foyer partagé tant que le foyer a au moins un membre ; le compte anonyme jusqu’à sa suppression. Rien d’autre.

10. Vos droits

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Sur cette version, ils s’exercent directement dans l’application, sans nous écrire :

• Accès et portabilité : Réglages › Mes données › Exporter mes données. Un seul fichier JSON, lisible, complet, qui se réimporte.
• Rectification : chaque fiche se modifie en place.
• Effacement : Réglages › Mes données › Tout effacer efface tout de l’appareil, en un geste ; Foyer › Supprimer mon compte efface tout côté serveur, en un geste. Les lignes de compteur et de cache côté serveur ne contiennent rien qui permette de vous retrouver ; elles sont purgées d’office.
• Retrait du consentement : dans la fiche d’un membre ou à l’accueil ; les allergènes et régimes sont alors effacés.
• Limitation et opposition : l’apprentissage se désactive dans Réglages › Apprentissage ; l’assistant IA se coupe dans le panneau Développeur.

Pour toute demande, écrivez à contact@aplomb-apps.fr. Vous pouvez aussi saisir la CNIL (www.cnil.fr).

11. Mineurs

L’application est destinée à la personne qui organise les repas d’un foyer. Les membres enfants sont décrits par un prénom, un type et des préférences alimentaires, saisis par l’adulte responsable. L’application ne s’adresse pas directement aux enfants et ne crée pas de compte à leur nom.

12. Sécurité

Les échanges avec nos serveurs sont chiffrés en transit (TLS). Les fonctions serveur n’exposent aucune table : l’accès passe par une clé publiable et des règles de sécurité par ligne fermées par défaut. Les données de l’appareil sont dans l’espace privé de l’application. [À COMPLÉTER : mesures de chiffrement au repos par plateforme, à documenter à la première version mobile.]

13. Abonnement

L’application propose un essai gratuit de quatorze jours et un abonnement Premium, décrits dans les conditions générales de vente. Sur cette version, l’essai et l’abonnement ne sont enregistrés que sur votre appareil (section 2) : aucun magasin d’applications n’est branché, aucun paiement n’est possible, aucune donnée de paiement n’existe.

Quand l’abonnement passera par les magasins d’applications (App Store d’Apple, Google Play), le paiement, la facture et la résiliation seront gérés par eux, selon leurs conditions ; Aplomb ne recevra ni ne conservera aucune donnée de paiement. Le prestataire de gestion des abonnements, qui reçoit un identifiant d’abonné anonyme et les reçus de transaction, sera nommé ici avant la mise en service. [À COMPLÉTER : prestataire retenu (RevenueCat prévu), localisation, accord de traitement des données.]

14. Évolutions

Cette politique porte une date de version ; la version en vigueur est celle affichée dans l’application. Tout changement de traitement y est décrit avant d’être mis en service.