Politique de confidentialité — Food Moments

Date d’entrée en vigueur : 19 septembre 2026. Cette politique est disponible en anglais, allemand, néerlandais, espagnol, français et portugais ; la version anglaise fait foi.

Food Moments estime la valeur nutritionnelle de vos repas à partir de photos et de vos propres mots. L'application est conçue pour que vos données restent les vôtres : pas de publicité, pas de traçage, pas de nom — votre compte n'est rien de plus que votre adresse e-mail. Tout ce que vous enregistrez est stocké dans ce compte, sur nos propres serveurs dans l'Union européenne, les jours récents restant sur votre iPhone ; c'est ce qui permet à un nouvel iPhone de tout retrouver, et cela s'accompagne de deux boutons qui gardent les données vôtres en pratique : l'un télécharge tout, l'autre supprime tout. Ce qui est envoyé où — et le seul flux qui peut quitter l'UE — est décrit précisément ci-dessous ; l'analyse par IA et la dictée ne commencent chacune qu'après votre accord dans l'application, et nous ne regardons vos repas eux-mêmes que si vous nous y invitez (§11).

1. Qui est responsable

Le responsable du traitement est Smart Backoffice Solutions B.V., Saal van Zwanenbergweg 11, 5026 RM Tilburg, Pays-Bas, inscrite au registre du commerce néerlandais (KvK) sous le numéro 90141482. Contact : info@smart-backoffice.nl.

2. Ce que l'application traite, et où cela reste

Stocké dans votre compte, sur nos serveurs dans l'Union européenne :

• Vos photos de repas, notes, corrections et l'historique des modifications
• Les estimations nutritionnelles et votre fil chronologique
• Votre profil nutritionnel (année de naissance, sexe, poids, taille, activité, objectif calorique)
• Vos objectifs quotidiens, jour par jour — pour les jours fondés sur Apple Health, y compris le chiffre de calories brûlées à partir duquel l'objectif a été calculé (voir plus bas)
• Vos photos d'arrière-plan du fil, si vous avez choisi les vôtres
• Les photos de repas et les produits scannés que vous avez mis en favori, pour qu'ils apparaissent en premier lorsque vous les réutilisez
• Les tailles que vous avez vous-même indiquées à l'app — la largeur de votre assiette, le poids d'une tranche de votre pain — conservées pour que l'app n'ait pas à les estimer de nouveau
• Vos réglages de l'app : l'apparence, l'heure à laquelle commence votre journée, si vos données d'activité proviennent d'Apple Health, et votre façon de manger — les niveaux de protéines, de fibres, de fruits et légumes, de sucres libres, de lipides et de sel que vous avez choisis pour vos objectifs quotidiens
• La mesure de taille de chaque photo que votre iPhone a pu mesurer (voir plus bas), avec des détails techniques sur la façon dont elle a été obtenue — la stabilité avec laquelle le téléphone suivait ses mouvements, la surface qu'il a trouvée et son degré de certitude
• Un relevé de chaque requête d'analyse et de dictée, pour l'usage raisonnable : quand elle a été faite, de quel type elle était, quel modèle d'IA a répondu, combien de temps elle a pris, combien de données et de puissance de calcul elle a utilisées, à quel repas elle se rapportait et si elle a abouti — jamais son contenu (§3)
• Si vous avez activé « Aidez à améliorer Food Moments », et depuis quand (§11)

Ce stockage s'exécute sur Microsoft Azure en Europe de l'Ouest (§4). Votre iPhone garde à portée de main environ les deux dernières semaines et récupère les jours plus anciens quand vous y revenez ; se connecter sur un nouvel iPhone restaure tout. Supprimer l'application ne supprime donc plus vos données — supprimer votre compte, si : entièrement, et depuis l'application elle-même (§6, §8).

Votre compte est délibérément minimal : votre adresse e-mail, et rien d'autre — pas de nom, pas de mot de passe. Vous vous connectez avec un code à six chiffres à usage unique que nous vous envoyons par e-mail ; chaque iPhone sur lequel vous vous connectez reçoit sa propre session, qui prend fin à la déconnexion. Base juridique du compte et du stockage de vos données de repas dans celui-ci : l'exécution de notre contrat avec vous (art. 6, §1, b du RGPD) — ce stockage est le service — et, parce que les repas peuvent en dire long sur votre santé, votre consentement explicite, que vous donnez en créant le compte (art. 9, §2, a du RGPD). Supprimer le compte le retire.

Apple Health, si vous activez « Données d'activité depuis Apple Health » : l'application lit votre énergie au repos et active sur cet iPhone pour fixer l'objectif énergétique du jour. Les mesures restent dans Apple Health — elles ne sont jamais envoyées au modèle d'IA, jamais utilisées pour la publicité, et l'application n'écrit jamais dans Health. Ce que votre compte stocke, c'est le résultat : l'objectif énergétique de chaque jour, avec le total de calories brûlées à partir duquel il a été calculé — conservé avec vos objectifs quotidiens, pour qu'un jour passé garde son véritable objectif sur un nouvel iPhone.

Nous exploitons aussi une passerelle par laquelle transite chaque requête d'analyse et de dictée, décrite au §3. Elle ne conserve rien du contenu de vos repas — photos, notes et enregistrements la traversent et disparaissent dès que la réponse revient. Ce qu'elle conserve, en revanche, ce sont un identifiant technique de votre appareil et un relevé de chaque requête pour l'usage raisonnable, tous deux expliqués au §3.

Envoyé pour l'analyse d'un repas (uniquement avec votre consentement, voir §3) :

• Les photos du repas en cours d'analyse
• Votre note et les corrections ultérieures pour ce repas
• Le texte des étiquettes nutritionnelles et les informations produit issues des codes-barres trouvés sur les photos
• Vos repas des deux dernières semaines sous forme abrégée — au plus 30, chacun avec son heure, son titre et ses plats avec leurs portions et leurs calories —, pour que les portions restent cohérentes d'un jour à l'autre ; ainsi que la date, l'heure et la langue du repas en cours d'analyse
• Une seule fois, pour chacun de vos repas des deux dernières semaines analysé avant le 19 septembre 2026 : son titre et ses plats avec leurs portions, leurs sucres et leur poids sous forme abrégée, pour que l'app puisse ajouter les sucres libres ainsi que les fruits et légumes sans analyser à nouveau le repas
• Les tailles que vous avez indiquées à l'app (ci-dessus), pour que les portions soient mesurées d'après votre propre vaisselle plutôt que d'après une moyenne
• Une mesure de taille de chaque photo, lorsque votre iPhone a pu en faire une : combien de centimètres l'image couvre sur la surface où repose la nourriture, à quelle distance et sous quel angle l'appareil a été tenu, et la taille des formes sur cette surface. Votre iPhone le détermine lui-même pendant que vous cadrez, à partir des petits mouvements de votre main et, sur les modèles qui en disposent, du capteur de profondeur. Aucune image supplémentaire n'est prise et rien de la pièce n'est cartographié ni conservé. Lorsque la mesure est fiable, l'application envoie aussi une copie de cette photo sur laquelle une grille en centimètres est tracée sur la surface, pour que le modèle puisse y lire les tailles. Les photos issues de votre photothèque ne portent aucune mesure ; un repas qu'une autre personne partage avec vous conserve la mesure faite par son iPhone

Envoyé lorsque vous dictez une note (uniquement avec votre consentement, voir §3) :

• L'enregistrement audio de votre dictée, pour être transcrit en texte, avec les dernières phrases de la note déjà écrite — saisie ou dictée —, pour que les mots et les noms restent cohérents. Contrairement à tout le reste de cette liste, il est traité sur un déploiement Azure mondial et peut donc quitter l'Union européenne — voir §3 et §5

Conservé uniquement sur votre iPhone, tant que quelque chose n'est pas terminé :

• Un repas commencé mais pas encore analysé — ses photos, ses codes-barres scannés et la note saisie —, afin que l'écran de capture se rouvre là où vous vous étiez arrêté si l'application est fermée, plante ou est interrompue par iOS ; de même pour une correction commencée sur un repas mais pas encore appliquée. Il est conservé jusqu'à ce que vous touchiez Analyser ou Appliquer — il devient alors votre repas ou votre correction et est stocké dans votre compte comme décrit ci-dessus — ou Annuler, auquel cas il est supprimé. Il est également supprimé lorsque vous vous déconnectez ou supprimez votre compte, et rien de son contenu n'est envoyé pour analyse avant que vous touchiez Analyser ou Appliquer
• L'enregistrement d'une dictée, dès qu'il est complet — lorsque vous relâchez le bouton du micro, ou environ chaque minute pour une longue note — jusqu'à l'arrivée de son texte, normalement en une ou deux secondes ; il est ensuite supprimé. S'il ne peut pas encore être envoyé, faute de réseau ou parce que le service est indisponible, il attend sur votre iPhone et est envoyé automatiquement dès que la connexion revient ou que vous rouvrez l'application, et votre note se complète d'elle-même. Un enregistrement en attente est également supprimé lorsque vous annulez le repas ou la correction auquel il appartient, vous déconnectez ou supprimez votre compte, et il n'est jamais envoyé sans votre consentement à la dictée

Les deux sont conservés dans l'espace de stockage privé de l'application sur votre iPhone, protégés par le chiffrement d'iOS et exclus des sauvegardes de l'iPhone ; aucun n'est jamais téléversé dans votre compte.

Envoyé lorsque vous scannez un code-barres ou qu'il est trouvé sur une photo :

• Le numéro du code-barres, recherché dans la base de données publique Open Food Facts (§4). Le nom, le format, les valeurs nutritionnelles et la photographie du produit reviennent sur votre iPhone et y sont conservés ; la photographie n'est jamais transmise à nos serveurs, jamais envoyée pour l'analyse et ne voyage jamais dans un repas partagé — votre iPhone en récupère lui-même une copie auprès d'Open Food Facts. Base juridique : notre intérêt légitime à fonder l'estimation sur les valeurs imprimées du produit lui-même (art. 6, §1, f du RGPD) ; la recherche n'a lieu qu'une fois que vous avez accepté l'analyse des repas

Envoyé automatiquement si l'application plante, se bloque ou sollicite trop le processeur ou le stockage :

• Un rapport de diagnostic technique issu de la détection de plantage intégrée d'Apple (MetricKit) — le type de défaillance survenue, la partie de l'application concernée, le modèle de votre iPhone et la version d'iOS, ainsi que la version de l'application, afin que nous puissions trouver et corriger le problème. Il ne contient aucune de vos photos, notes ou éléments saisis, et il est conservé avec cette installation de l'application plutôt qu'avec votre compte. Base juridique : notre intérêt légitime à disposer d'une application qui fonctionne (art. 6, §1, f du RGPD).

Examiné pour que l'application fonctionne mieux — des détails techniques, jamais ce que vous avez mangé :

• Pour savoir où l'application échoue et si une modification a corrigé le problème, nous examinons des détails techniques sur son fonctionnement, qui sont de toute façon conservés avec vos repas ou sur notre passerelle : pour chaque photo, si votre iPhone a pu la mesurer et avec quelle qualité (la qualité de la mesure, la raison pour laquelle il n'a pas pu mesurer, la distance et l'angle, la stabilité avec laquelle le téléphone suivait ses mouvements, et si les surfaces qu'il a trouvées concordaient entre elles) ; l'origine d'une photo — l'appareil photo, votre photothèque ou un repas précédent ; pour chaque analyse, quel modèle d'IA a répondu, combien de temps elle a pris, combien de tours elle a nécessités, combien de données elle transportait et si elle a abouti ; et les rapports de plantage ci-dessus. Nous les examinons sans vos photos, notes, corrections, noms de repas ni valeurs nutritionnelles, et n'en rendons compte que sous forme de totaux qui ne renvoient pas à vous (« l'appareil photo a pu mesurer 44 % des photos »). Rien de nouveau n'est collecté pour cela : ces détails existent de toute façon, pour les finalités décrites dans cette section. Base juridique : notre intérêt légitime à disposer d'une application qui fonctionne et s'améliore (art. 6, §1, f du RGPD). Vous pouvez vous y opposer à tout moment en écrivant à l'adresse du §1 ; nous excluons alors votre compte.

Partagé par vous, directement de votre iPhone vers un autre (rien ne passe par nous) :

• Lorsque vous partagez un repas avec une personne qui l'a mangé avec vous, le repas — ses photos et leurs mesures de taille, votre note, l'estimation et son historique — va directement de votre iPhone au destinataire que vous choisissez, via AirDrop, Messages ou l'application de votre choix. Il ne passe pas par nos serveurs : nous ne le voyons jamais et n'en conservons aucune copie. Un repas que quelqu'un partage avec vous apparaît dans votre fil et est ensuite conservé dans votre compte comme un repas que vous auriez photographié vous-même.

3. Analyse des repas par IA — votre consentement

Pour calculer une estimation, l'application envoie les données listées ci-dessus à un modèle d'IA (OpenAI GPT) exécuté sur des serveurs Microsoft Azure dans l'Union européenne, sur notre propre déploiement. Ce que l'application envoie sert à calculer votre estimation nutritionnelle — et, uniquement si vous avez activé « Aidez à améliorer Food Moments », à améliorer l'application comme le décrit le §11. Ces données ne sont pas utilisées pour entraîner des modèles d'IA. Votre compte ne porte aucun nom, et le modèle d'IA n'en voit rien : ce qui parvient au modèle, c'est le repas — pas qui vous êtes.

Chaque requête passe d'abord par notre propre passerelle. C'est un petit serveur que nous exploitons sur Microsoft Azure dans l'Union européenne. Il existe pour que les identifiants du service d'IA ne se trouvent pas dans l'application, où n'importe qui pourrait les extraire du fichier téléchargé et engager des frais à notre charge. La passerelle vérifie qu'une requête provient bien d'une copie non modifiée de Food Moments sur un appareil Apple authentique — grâce à App Attest d'Apple — et qu'elle appartient à un compte connecté, de sorte que les limites d'usage raisonnable sont comptées par compte et non par téléphone, puis la transmet. Pour une analyse, elle insère dans la requête vos photos, tirées du stockage de votre compte ; en dehors de cela, elle ne lit pas ce que vous envoyez et n'en conserve aucune copie. Pour l'usage raisonnable et la maîtrise des coûts, elle enregistre, par compte, une ligne pour chaque requête : quand, de quel type, quel modèle, combien de temps elle a pris, combien de données et de puissance de calcul elle a utilisées, quel repas elle concernait et si elle a abouti. Vos photos, vos notes et vos enregistrements n'apparaissent jamais dans ces relevés ni dans ses journaux, et les relevés sont supprimés avec votre compte.

Pour cette vérification, votre iPhone crée une clé cryptographique qui ne quitte jamais l'appareil, et la passerelle conserve l'identifiant de cette clé ainsi qu'un compteur qui empêche de rejouer une requête interceptée. Cet identifiant est une valeur aléatoire créée par cette installation de l'application : il ne contient ni nom, ni adresse e-mail, ni numéro de série de l'appareil. Tant que vous êtes connecté, nos enregistrements le relient à la session de votre compte ; nous le traitons donc comme une donnée personnelle. Il naît la première fois que l'application communique avec notre serveur — lorsque vous vous connectez —, et la suppression de l'application le rend inutilisable. Base juridique de cette seule donnée technique : notre intérêt légitime à protéger le service contre les abus (art. 6, §1, f du RGPD).

L'application demande votre consentement explicite avant la première analyse (base juridique : art. 6, §1, a du RGPD, et art. 9, §2, a du RGPD parce que les repas peuvent en dire long sur votre santé). Vous pouvez retirer votre consentement à tout moment dans Réglages → Confidentialité ; l'analyse reste alors désactivée jusqu'à ce que vous acceptiez de nouveau, et le reste de l'application continue de fonctionner.

La dictée fait l'objet d'un consentement distinct, avec une différence qu'il faut connaître. Une note dictée est transformée en texte par un modèle vocal, également sur notre propre déploiement Microsoft Azure — mais ce déploiement est de type Global Standard, car le modèle vocal utilisé par l'application n'est pas proposé en déploiement fixé à l'UE. Microsoft achemine chaque requête vers le centre de données disposant de capacité, qui peut se trouver hors de l'Union européenne, y compris aux États-Unis. La dictée est donc la seule partie de Food Moments dont les données peuvent quitter l'UE ; le §5 décrit les garanties applicables. L'application demande votre accord avant votre première dictée (également art. 6, §1, a du RGPD) et vous pouvez le retirer au même endroit — la dictée reste alors désactivée, et une note peut toujours être saisie au clavier ; une note que vous ne faites que saisir, sans y dicter, reste à l'intérieur de l'Union européenne — dans votre compte, comme tout le reste.

Les photos de repas et les notes peuvent révéler incidemment quelque chose de vous — un régime, une allergie, une pratique de jeûne. Nous minimisons cela en n'envoyant que le repas en cours d'analyse, en gardant les résultats dans votre propre compte, où vous seul pouvez y accéder, et en ne stockant rien de tout cela sur notre passerelle.

4. Prestataires de services

• Microsoft Ireland Operations Ltd. (Azure) fournit l'infrastructure et traite les requêtes d'analyse et les enregistrements de dictée en tant que sous-traitant, dans le cadre du Data Protection Addendum de Microsoft. Cela couvre les déploiements d'IA, la passerelle décrite au §3 — qui s'exécute sur Azure Functions en Europe de l'Ouest, avec les identifiants d'appareil et les diagnostics de plantage du §2 dans Azure Table Storage, dans la même région — et le stockage derrière votre compte (§2) : vos repas, photos et profil vivent dans un stockage Azure en Europe de l'Ouest, à l'intérieur de l'Union européenne. Les e-mails portant un code de connexion ou un lien d'export sont envoyés via Azure Communication Services, configuré avec une localisation des données dans l'Union européenne, depuis noreply@smart-backoffice.nl. Les deux déploiements d'IA diffèrent par leur lieu d'exécution. L'analyse des repas s'exécute sur un déploiement Azure en EU Data Zone : ces photos, notes et corrections sont traitées dans l'Union européenne. La dictée s'exécute sur un déploiement Global Standard, car le modèle vocal n'est pas disponible fixé à l'UE : Microsoft achemine chaque enregistrement vers la capacité disponible dans n'importe quelle région du monde, éventuellement hors de l'UE (§5). Le contrôle des abus de Microsoft vérifie les requêtes automatiquement au moment du traitement, sans les stocker ; seules les requêtes signalées comme potentiellement abusives peuvent être conservées temporairement pour examen, selon la procédure standard publiée par Microsoft — pour les déploiements UE, stockées et examinées dans l'UE — puis sont supprimées. Microsoft n'utilise pas vos données pour entraîner des modèles.
• Open Food Facts (une association française à but non lucratif) ne reçoit que les chiffres d'un code-barres scanné et renvoie des informations produit publiques ; votre iPhone y récupère ensuite la photographie de ce produit. Comme pour toute requête internet, leurs serveurs voient techniquement votre adresse IP. Leurs données produit sont publiées sous Open Database License et leurs photographies sous Creative Commons Attribution-ShareAlike 3.0 ; l'application crédite leurs contributeurs là où elle les affiche.
• Apple distribue l'application et, si vous achetez un jour un abonnement, traite cet achat en tant que responsable de traitement indépendant, selon ses propres conditions. La lecture des étiquettes et la détection des codes-barres s'exécutent entièrement sur votre iPhone avec les frameworks locaux d'Apple — aucune donnée ne quitte l'appareil pour cela.

Nous ne partageons de données avec personne d'autre. Nous ne vendons aucune donnée. L'application ne contient aucun SDK d'analyse ni de publicité. Cette politique couvre l'application ; le site web smart-backoffice.nl a sa propre déclaration de confidentialité et n'utilise Google Analytics qu'après que vous avez accepté sa bannière de cookies.

5. Transferts internationaux

L'analyse des repas est fixée à l'EU Data Zone d'Azure et traitée dans l'Union européenne. La passerelle par laquelle elle transite (§3), le stockage derrière votre compte (§2) et le service qui envoie les e-mails de connexion et d'export (§4) se trouvent eux aussi dans l'Union européenne : rien de tout cela n'ajoute de transfert.

La dictée ne l'est pas. Son déploiement vocal est mondial : l'audio d'une dictée — et les dernières phrases de la note déjà écrite, saisie ou dictée, envoyées avec lui pour que les mots et les noms restent cohérents — peut être traité hors de l'EEE, y compris aux États-Unis. Ce transfert est encadré par les clauses contractuelles types de l'UE du Data Protection Addendum de Microsoft, ainsi que par les mesures complémentaires de Microsoft : chiffrement en transit et au repos, aucune utilisation des données pour entraîner des modèles, et aucune conservation au-delà du contrôle des abus transitoire décrit au §4. Microsoft participe en outre au cadre de protection des données UE-États-Unis, pour lequel la Commission européenne a adopté une décision d'adéquation le 10 juillet 2023. Aucun élément vous identifiant n'accompagne un enregistrement, et vos repas, photos et historique ne font jamais partie d'une requête de dictée.

Si vous préférez que rien de ce qui vous concerne ne quitte l'UE, saisissez vos notes au clavier et ne dictez pas : l'application est pleinement utilisable sans dictée, et le consentement à la dictée peut être retiré à tout moment dans Réglages → Confidentialité.

Dans la mesure où Microsoft, en tant qu'entreprise mondiale, pourrait exceptionnellement traiter des données de support ou de télémétrie hors de l'EEE, les engagements EU Data Boundary de Microsoft et les mêmes clauses contractuelles types s'appliquent comme garanties.

6. Conservation

Les données de votre compte sont conservées jusqu'à ce que vous les supprimiez — c'est à cela que sert un compte. Un repas isolé se supprime d'un glissement, sur nos serveurs comme sur le téléphone ; Réglages → Compte → Supprimer le compte efface d'un coup tout ce que nous détenons — repas, photos, profil, sessions et tout fichier d'export encore en attente. Supprimer l'application ne supprime plus rien : reconnectez-vous et tout revient ; supprimez le compte quand vous voulez que tout disparaisse.

Tout ce qui entoure le compte est éphémère. Un code de connexion fonctionne une fois et expire au bout d'une dizaine de minutes. Le zip de Télécharger toutes mes données est supprimé de notre serveur quelques jours après sa création (son lien de téléchargement cesse de fonctionner au bout de 24 heures) et, comme tout fichier supprimé, il reste ensuite récupérable dans notre sauvegarde pendant 35 jours au plus. Ce que vous envoyez pour une analyse ou une dictée n'est pas stocké sur notre passerelle — c'est transmis, puis c'est fini — et la conservation transitoire de Microsoft est décrite au §4.

Sur votre iPhone, un repas ou une correction non terminés et un enregistrement de dictée qui attend encore son texte ne sont conservés que le temps décrit au §2 : jusqu'à ce que vous les terminiez ou les annuliez, ou jusqu'à l'arrivée du texte — et jamais au-delà de la déconnexion ou de la suppression de votre compte.

L'identifiant d'appareil décrit au §3 est conservé parce que c'est ce à quoi une requête est comparée ; il n'est pas encore supprimé automatiquement lorsqu'une installation cesse d'utiliser le service, c'est pourquoi nous le supprimons sur demande : écrivez à l'adresse du §1 en précisant que vous souhaitez faire supprimer l'enregistrement de votre appareil. Son lien avec votre compte prend fin lorsque vous vous déconnectez ou supprimez le compte. Il ne nous dit rien sur ce que vous mangez.

Les relevés d'usage raisonnable du §3 — la ligne par requête et les compteurs par semaine et par mois — sont conservés avec votre compte et supprimés avec lui.

Les diagnostics de plantage (§2) sont conservés 90 jours puis supprimés automatiquement — assez longtemps pour repérer et corriger un problème, pas un enregistrement permanent.

« Aidez à améliorer Food Moments » (§11) n'ajoute aucun stockage qui lui soit propre : vos repas restent dans votre compte. Une copie de travail faite pour une comparaison est supprimée lorsque la comparaison est terminée et, en tout état de cause, dans les 30 jours suivant la désactivation du réglage.

Nous conservons des sauvegardes. Votre compte est la seule copie complète de vos repas — le téléphone ne garde que les jours récents —, nous le sauvegardons donc. Les photos et les fichiers peuvent être restaurés à n'importe quel moment des 30 derniers jours, et le reste de votre compte est écrit chaque nuit dans un fichier daté, conservé lui aussi 30 jours. Un fichier supprimé — une photo, ou un fichier nocturne arrivé en fin de conservation — reste récupérable jusqu'à 35 jours de plus avant de disparaître définitivement. Le tout demeure, avec le reste de vos données, dans l'Union européenne et ne sert à rien d'autre. Une conséquence, dite clairement : supprimer votre compte efface immédiatement tout ce que nous détenons en service, mais ce qui subsiste dans ces sauvegardes disparaît au fil de son expiration — les photos en cinq semaines environ, les copies nocturnes de votre compte en 66 jours au plus tard — et non au même instant.

7. Sécurité

Tout ce qui est envoyé quitte votre appareil par des connexions chiffrées (TLS), et sur l'appareil, vos données sont protégées par le chiffrement intégré d'iOS et votre code de déverrouillage. Les données de votre compte vivent désormais aussi sur nos serveurs ; elles y sont donc protégées, plutôt que de l'être en n'existant pas : elles sont stockées sur Microsoft Azure dans l'Union européenne et chiffrées au repos ; on ne peut les atteindre qu'à travers l'application elle-même, car chaque requête doit prouver — via App Attest d'Apple (§3) — qu'elle provient d'une copie non modifiée de Food Moments et porter une session valide de votre compte ; les sessions sont propres à chaque appareil et prennent fin à la déconnexion ; et le serveur ne conserve les jetons de session que sous forme de hachages, de sorte qu'une copie volée de nos enregistrements ne permettrait à personne de se connecter à votre place. Il n'y a pas de mot de passe à voler : un code de connexion arrive par e-mail, fonctionne une fois et meurt au bout de quelques minutes.

8. Vos droits

En vertu du RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition, ainsi que du droit de retirer votre consentement à tout moment sans que cela n'affecte la licéité du traitement antérieur au retrait. L'application est conçue pour que vous les exerciez directement, sans écrire à personne :

• Accès : l'application vous montre vos repas, votre profil et vos réglages, et le téléchargement ci-dessous contient tout cela, y compris ce que l'application ne montre pas, comme les mesures des photos. Pour le reste — les relevés d'usage raisonnable du §3, les rapports de plantage, l'identifiant de l'appareil —, écrivez-nous et nous vous en envoyons une copie.
• Rectification : corrigez n'importe quel repas dans l'application ; modifiez votre profil dans les Réglages.
• Portabilité : Réglages → Compte → Télécharger toutes mes données fait tout empaqueter par le serveur — chaque photo, un ensemble de pages consultables sur n'importe quel ordinateur, un tableau lisible par un tableur et un fichier de données contenant tout ce que détient votre compte, corrections, profil, réglages et objectifs quotidiens compris — puis vous envoie un lien de téléchargement par e-mail.
• Effacement : supprimez un repas d'un glissement, ou effacez tout d'un coup avec Réglages → Compte → Supprimer le compte.
• Retrait du consentement : pour l'analyse et la dictée dans Réglages → Confidentialité, pour « Aidez à améliorer Food Moments » avec son propre interrupteur (§11).
• Opposition : à notre utilisation de détails techniques (§2), en nous écrivant ; nous excluons alors votre compte.

Pour le reste, ou pour toute question, écrivez à info@smart-backoffice.nl — nous répondons sous un mois. Vous avez également le droit d'introduire une réclamation auprès d'une autorité de contrôle ; aux Pays-Bas, il s'agit de l'Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl), en France de la CNIL (cnil.fr) — vous pouvez vous adresser à l'autorité de votre propre pays.

9. Enfants

Food Moments ne s'adresse pas aux enfants, et nous ne traitons sciemment aucune donnée d'enfants. Si vous pensez qu'un enfant a créé un compte, écrivez à l'adresse du §1 et nous le supprimerons.

10. Modifications

Si les flux de données de l'application changent, cette politique est mise à jour avant la sortie du changement, avec la date d'entrée en vigueur ci-dessus.

Toute modification est publiée sur la page d'assistance. Les petites modifications — formulation, grammaire, une coquille, une précision qui ne change rien à ce qu'il advient de vos données — y sont annoncées et nulle part ailleurs.

Une modification ayant des implications substantielles pour vos données est en outre annoncée dans l'application, avant sa prise d'effet. Et un flux de données réellement nouveau qui traite ce que vous photographiez, écrivez ou dites — comme le font l'analyse et la dictée — exige plus qu'une annonce : il ne démarre pas tant que vous ne l'avez pas accepté. Un nouveau signal technique concernant l'application elle-même, comme les diagnostics de plantage du §2, ne change rien à la façon dont vos repas ou votre compte sont traités ; il est communiqué plutôt que soumis à votre accord, tout comme l'identifiant de l'appareil du §3 l'est déjà.

11. Aider à améliorer Food Moments — uniquement si vous l'activez

Food Moments s'améliore en voyant où ses estimations se trompent, et c'est sur la quantité dans l'assiette qu'elles se trompent le plus. Sous Réglages → Aidez à améliorer Food Moments se trouve un interrupteur qui nous permet d'utiliser vos repas précisément à cette fin. Il reste désactivé tant que vous ne l'activez pas.

Ce que vous autorisez en l'activant. Nous — les personnes de Smart Backoffice Solutions B.V. qui font Food Moments, et personne d'autre — pouvons regarder les repas de votre compte : les photos, vos notes et corrections, les estimations et leur historique, ainsi que les mesures de taille qui accompagnent les photos. Nous les utilisons dans un seul but : découvrir où et pourquoi les estimations de l'application se trompent, et vérifier si une modification de l'application les améliore. Pour vérifier une modification, nous pouvons soumettre de nouveau un repas à l'analyse avec les instructions améliorées, sur le même déploiement Microsoft Azure dans l'Union européenne que celui qui analyse vos repas (§4) ; la réponse est comparée à l'originale et ne modifie jamais le repas dans votre fil. Les repas peuvent en dire long sur votre santé — un régime, une allergie, la quantité que vous mangez —, c'est pourquoi cela requiert votre consentement explicite (art. 9, §2, a et art. 6, §1, a du RGPD). L'interrupteur est ce consentement : son libellé dit ce que vous acceptez, l'activer revient à accepter, et l'application affiche la date à laquelle vous l'avez fait.

Ce qu'il ne permet jamais. Vos repas ne servent pas à entraîner des modèles d'IA, ni les nôtres ni ceux de quiconque. Ils ne sont partagés avec personne, ni vendus, ni publiés, ni utilisés à des fins publicitaires. Ce que nous apprenons est conservé sous forme de constats généraux et de totaux (« la première estimation s'écartait en moyenne de 15 % ») qui ne renvoient pas à vous. Personne ne vous contactera à ce sujet.

Où restent vos repas. Dans votre compte, dans l'Union européenne, comme avant. Lorsqu'une comparaison nécessite une copie de travail — une photo à côté de son ancienne et de sa nouvelle estimation —, cette copie n'est conservée que sur nos propres ordinateurs chiffrés, le temps que dure la comparaison, puis supprimée.

Le désactiver. Vous pouvez le désactiver au même endroit à tout moment, aussi facilement que vous l'avez activé ; vos autres iPhone suivent en quelques minutes. Dès lors, nous ne regardons plus vos repas, et nous supprimons sans délai toute copie de travail de ceux-ci, au plus tard dans les 30 jours. Le retrait n'annule pas ce qui a été fait auparavant (art. 7, §3 du RGPD), et les constats généraux qui ne renvoient plus à vous demeurent. Rien d'autre ne change dans l'application, dans un cas comme dans l'autre. Supprimer votre compte le désactive également, et une connexion avec un autre compte commence avec l'interrupteur désactivé.