Politique de confidentialité

Food Moments estime la valeur nutritionnelle de vos repas à partir de photos et de vos propres mots. L'application est conçue pour que vos données restent les vôtres : pas de publicité, pas de traçage, pas de nom — votre compte n'est rien de plus que votre adresse e-mail. Tout ce que vous enregistrez est stocké dans ce compte, sur nos propres serveurs dans l'Union européenne, les jours récents restant sur votre iPhone ou iPad ; c'est ce qui permet à un nouvel appareil de tout retrouver, et cela s'accompagne de deux boutons qui gardent les données vôtres en pratique : l'un télécharge tout, l'autre supprime tout. Ce qui est envoyé où est décrit précisément ci-dessous — et tout cela reste dans l'Union européenne ; l'analyse par IA et la dictée ne commencent chacune qu'après votre accord dans l'application, et nous ne regardons vos repas eux-mêmes que si vous nous y invitez (§11).

1. Qui est responsable

Le responsable du traitement est Smart Backoffice Solutions B.V., Saal van Zwanenbergweg 11, 5026 RM Tilburg, Pays-Bas, inscrite au registre du commerce néerlandais (KvK) sous le numéro 90141482. Contact : info@smart-backoffice.nl.

2. Ce que l'application traite, et où cela reste

Stocké dans votre compte, sur nos serveurs dans l'Union européenne :

• Vos photos de repas, notes, corrections et l'historique des modifications
• Les estimations nutritionnelles, les notes du modèle sur la façon dont il y est parvenu, et votre fil chronologique
• Votre profil nutritionnel (année de naissance, sexe, poids, taille, activité, objectif calorique)
• Vos objectifs quotidiens, jour par jour — pour les jours fondés sur Apple Health, y compris le chiffre de calories brûlées à partir duquel l'objectif a été calculé (voir plus bas)
• Vos photos d'arrière-plan du fil, si vous avez choisi les vôtres
• Les photos de repas et les produits scannés que vous avez mis en favori, pour qu'ils apparaissent en premier lorsque vous les réutilisez
• Les tailles que vous avez vous-même indiquées à l'app — la largeur de votre assiette, le poids d'une tranche de votre pain — conservées pour que l'app n'ait pas à les estimer de nouveau
• Vos réglages de l'app : l'apparence, l'heure à laquelle commence votre journée, si vos données d'activité proviennent d'Apple Health, et votre façon de manger — les niveaux de protéines, de fibres, de fruits et légumes, de sucres libres, de lipides et de sel que vous avez choisis pour vos objectifs quotidiens
• La mesure de taille de chaque photo que votre iPhone ou iPad a pu mesurer (voir plus bas), avec des détails techniques sur la façon dont elle a été obtenue — la stabilité avec laquelle l'appareil suivait ses mouvements, la surface qu'il a trouvée et son degré de certitude ; et — depuis le 24 septembre 2026 — pour quelques centaines de points à l'intérieur de l'image, à quelle distance de l'appareil chacun se trouvait, afin que la taille de ce que vous avez photographié puisse être lue plus tard même lorsque vous le teniez à la main plutôt que posé sur une table. Rien en dehors de l'image n'est conservé
• Un relevé de chaque requête d'analyse et de dictée, pour l'usage raisonnable : quand elle a été faite, de quel type elle était, quel modèle d'IA a répondu, combien de temps elle a pris, combien de données et de puissance de calcul elle a utilisées, à quel repas elle se rapportait et si elle a abouti, et sinon, un code court indiquant pourquoi (par exemple « délai dépassé ») — jamais son contenu (§3)
• Si vous avez activé « Aidez à améliorer Food Moments », et depuis quand (§11), et si vous avez désactivé les questions occasionnelles par e-mail (§12)
• Votre abonnement, tel qu'Apple le communique (voir ci-dessous)
• Le jour où vous avez utilisé l'application pour la dernière fois avec votre compte, afin qu'un compte que plus personne n'utilise puisse être supprimé (§6)

Ce stockage s'exécute sur Microsoft Azure en Europe de l'Ouest (§4). Votre iPhone ou iPad garde à portée de main environ les deux dernières semaines et récupère les jours plus anciens quand vous y revenez ; se connecter sur un nouvel appareil restaure tout. Supprimer l'application ne supprime donc plus vos données — supprimer votre compte, si : entièrement, et depuis l'application elle-même (§6, §8).

Votre compte est délibérément minimal : votre adresse e-mail, et rien d'autre — pas de nom, pas de mot de passe. Vous vous connectez avec un code à six chiffres à usage unique que nous vous envoyons par e-mail ; chaque iPhone ou iPad sur lequel vous vous connectez reçoit sa propre session, qui prend fin à la déconnexion. Base juridique du compte et du stockage de vos données de repas dans celui-ci : l'exécution de notre contrat avec vous (art. 6, §1, b du RGPD) — ce stockage est le service — et, parce que les repas peuvent en dire long sur votre santé, votre consentement explicite, que vous donnez en créant le compte (art. 9, §2, a du RGPD). Supprimer le compte le retire.

Apple Health, si vous activez « Données d'activité depuis Apple Health » : l'application lit votre énergie au repos et active sur cet iPhone ou iPad pour fixer l'objectif énergétique du jour. Les mesures restent dans Apple Health — elles ne sont jamais envoyées au modèle d'IA, jamais utilisées pour la publicité, et l'application n'écrit jamais dans Health. Ce que votre compte stocke, c'est le résultat : l'objectif énergétique de chaque jour, avec le total de calories brûlées à partir duquel il a été calculé — conservé avec vos objectifs quotidiens, pour qu'un jour passé garde son véritable objectif sur un nouvel appareil.

Votre abonnement. L'abonnement est acheté et payé via Apple (§4). Pour que l'application sache si l'analyse vous est accessible, nous recevons d'Apple — via l'application, et directement des serveurs d'Apple lorsqu'un abonnement est renouvelé, prend fin ou est remboursé — et conservons avec votre compte : les numéros de transaction de l'abonnement, le produit, s'il s'agissait d'un achat réel ou d'un achat de test, la date de fin de la période en cours, la date à laquelle Apple a signé ces informations, s'il a été remboursé ou révoqué, un éventuel délai de grâce après un paiement échoué, si la période est l'essai gratuit, et la date de notre dernière mise à jour. Nous ne recevons aucune donnée de paiement — ni carte, ni compte bancaire, ni adresse de facturation — ni votre identifiant Apple. Base juridique : l'exécution de notre contrat avec vous (art. 6, paragraphe 1, point b, du RGPD). Ces informations sont supprimées avec votre compte ; Apple conserve son propre enregistrement de l'achat selon ses propres conditions.

La dernière fois que vous avez utilisé l'application. Lorsque l'application communique avec notre serveur alors que vous êtes connecté, le serveur note le jour — au plus une fois par jour — sur votre compte. Il n'enregistre rien de ce que vous avez fait. C'est ce qui nous permet de supprimer un compte que personne n'a utilisé depuis 18 mois et qui n'a pas d'abonnement en cours (§6) au lieu de le garder pour toujours. Base juridique : notre intérêt légitime à ne pas conserver des données plus longtemps qu'elles ne servent (art. 6, paragraphe 1, point f, du RGPD).

Nous exploitons aussi une passerelle par laquelle transite chaque requête d'analyse et de dictée, décrite au §3. Elle ne conserve rien du contenu de vos repas — photos, notes et enregistrements la traversent et disparaissent dès que la réponse revient. Ce qu'elle conserve, en revanche, ce sont un identifiant technique de votre appareil et un relevé de chaque requête pour l'usage raisonnable, tous deux expliqués au §3.

Envoyé pour l'analyse d'un repas (uniquement avec votre consentement, voir §3) :

• Les photos du repas en cours d'analyse
• Votre note et les corrections ultérieures pour ce repas
• Le texte des étiquettes nutritionnelles et les informations produit issues des codes-barres trouvés sur les photos
• Vos repas des deux dernières semaines sous forme abrégée — au plus 30, chacun avec son heure, son titre et ses plats avec leurs portions et leurs calories —, pour que les portions restent cohérentes d'un jour à l'autre ; ainsi que la date, l'heure et la langue du repas en cours d'analyse
• Une seule fois, pour chacun de vos repas des deux dernières semaines analysé avant le 19 septembre 2026 : son titre et ses plats avec leurs portions, leurs sucres et leur poids sous forme abrégée, pour que l'app puisse ajouter les sucres libres ainsi que les fruits et légumes sans analyser à nouveau le repas
• Pour un repas composé uniquement de produits scannés : leurs noms, formats et les valeurs pour 100 g de la base de données de produits, un instant après le scan, afin que l'application ajoute les vitamines et minéraux que ces bases indiquent rarement — sans photo
• Une fois, après la mise à jour du 29 septembre 2026 : chaque repas présent sur votre iPhone ou iPad — environ les deux dernières semaines, et les jours plus anciens lorsque vous y revenez — est analysé à nouveau comme décrit ici, afin qu'il ait lui aussi ses vitamines et minéraux. Votre appareil confie ces requêtes à notre passerelle, qui les exécute pendant que l'app est fermée — avec les photos déjà conservées dans votre compte — et ne garde chaque réponse que jusqu'à ce que votre appareil la récupère, puis la supprime ; la suppression de votre compte supprime avec lui les requêtes et réponses en attente
• Les tailles que vous avez indiquées à l'app (ci-dessus), pour que les portions soient mesurées d'après votre propre vaisselle plutôt que d'après une moyenne
• Une mesure de taille de chaque photo, lorsque votre iPhone ou iPad a pu en faire une : combien de centimètres l'image couvre sur la surface où repose la nourriture, à quelle distance et sous quel angle l'appareil a été tenu, et la taille des formes sur cette surface. Votre appareil le détermine lui-même pendant que vous cadrez, à partir des petits mouvements de votre main — ou, si vous le souhaitez, du petit mouvement autour de votre nourriture auquel invite le viseur — et, sur les modèles qui en disposent, du capteur de profondeur. Aucune image supplémentaire n'est prise et rien en dehors de l'image n'est cartographié ni conservé ; les mesures de profondeur que l'app conserve pour des points à l'intérieur de l'image figurent plus haut, parmi les données stockées. Chaque fois qu'il a trouvé une surface, l'application envoie aussi une copie de cette photo sur laquelle une grille en centimètres est tracée sur la surface, avec le degré de fiabilité de cette mesure, pour que le modèle puisse y lire les tailles ou l'écarter. Les photos issues de votre photothèque ne portent aucune mesure ; un repas qu'une autre personne partage avec vous conserve la mesure faite par son appareil

Envoyé lorsque vous dictez une note (uniquement avec votre consentement, voir §3) :

• L'enregistrement audio de votre dictée, pour être transcrit en texte, avec les dernières phrases de la note déjà écrite — saisie ou dictée —, pour que les mots et les noms restent cohérents. Comme une analyse de repas, il est traité sur notre propre déploiement Azure dans l'Union européenne (§3)

Conservé uniquement sur votre iPhone ou iPad, tant que quelque chose n'est pas terminé :

• Un repas commencé mais pas encore analysé — ses photos, ses codes-barres scannés et la note saisie —, afin que l'écran de capture se rouvre là où vous vous étiez arrêté si l'application est fermée, plante ou est interrompue par le système ; de même pour une correction commencée sur un repas mais pas encore appliquée. Il est conservé jusqu'à ce que vous touchiez Analyser ou Appliquer — il devient alors votre repas ou votre correction et est stocké dans votre compte comme décrit ci-dessus — ou Annuler, auquel cas il est supprimé. Il est également supprimé lorsque vous vous déconnectez ou supprimez votre compte, et rien de son contenu n'est envoyé pour analyse avant que vous touchiez Analyser ou Appliquer
• L'enregistrement d'une dictée, dès qu'il est complet — lorsque vous relâchez le bouton du micro, ou environ chaque minute pour une longue note — jusqu'à l'arrivée de son texte, normalement en une ou deux secondes ; il est ensuite supprimé. S'il ne peut pas encore être envoyé, faute de réseau ou parce que le service est indisponible, il attend sur votre appareil et est envoyé automatiquement dès que la connexion revient ou que vous rouvrez l'application, et votre note se complète d'elle-même. Un enregistrement en attente est également supprimé lorsque vous annulez le repas ou la correction auquel il appartient, vous déconnectez ou supprimez votre compte, et il n'est jamais envoyé sans votre consentement à la dictée

Les deux sont conservés dans l'espace de stockage privé de l'application sur votre iPhone ou iPad, protégés par le chiffrement du système et exclus des sauvegardes de l'appareil ; aucun n'est jamais téléversé dans votre compte.

Envoyé lorsque vous scannez un code-barres ou qu'il est trouvé sur une photo :

• Le numéro du code-barres, recherché dans la base de données publique Open Food Facts (§4). Le nom, le format, les valeurs nutritionnelles et la photographie du produit reviennent sur votre iPhone ou iPad et y sont conservés ; la photographie n'est jamais transmise à nos serveurs, jamais envoyée pour l'analyse et ne voyage jamais dans un repas partagé — votre appareil en récupère lui-même une copie auprès d'Open Food Facts. Base juridique : notre intérêt légitime à fonder l'estimation sur les valeurs imprimées du produit lui-même (art. 6, §1, f du RGPD) ; la recherche n'a lieu qu'une fois que vous avez accepté l'analyse des repas

Envoyé automatiquement si l'application plante, se bloque ou sollicite trop le processeur ou le stockage :

• Un rapport de diagnostic technique issu de la détection de plantage intégrée d'Apple (MetricKit) — le type de défaillance survenue, la partie de l'application concernée, le modèle de votre iPhone ou iPad et la version d'iOS ou d'iPadOS, ainsi que la version de l'application, afin que nous puissions trouver et corriger le problème. Il ne contient aucune de vos photos, notes ou éléments saisis, et il est conservé avec cette installation de l'application plutôt qu'avec votre compte. Base juridique : notre intérêt légitime à disposer d'une application qui fonctionne (art. 6, §1, f du RGPD).

Examiné pour que l'application fonctionne mieux — des détails techniques, jamais ce que vous avez mangé :

• Pour savoir où l'application échoue et si une modification a corrigé le problème, nous examinons des détails techniques sur son fonctionnement, qui sont de toute façon conservés avec vos repas ou sur notre passerelle : pour chaque photo, si votre iPhone ou iPad a pu la mesurer et avec quelle qualité (la qualité de la mesure, la raison pour laquelle il n'a pas pu mesurer, la distance et l'angle, la stabilité avec laquelle l'appareil suivait ses mouvements, et si les surfaces qu'il a trouvées concordaient entre elles) ; l'origine d'une photo — l'appareil photo, votre photothèque ou un repas précédent ; pour chaque analyse, quel modèle d'IA a répondu, combien de temps elle a pris, combien de tours elle a nécessités, combien de données elle transportait et si elle a abouti, et sinon, pourquoi ; et les rapports de plantage ci-dessus. Nous les examinons sans vos photos, notes, corrections, noms de repas ni valeurs nutritionnelles, et n'en rendons compte que sous forme de totaux qui ne renvoient pas à vous (« l'appareil photo a pu mesurer 44 % des photos »). Rien de nouveau n'est collecté pour cela : ces détails existent de toute façon, pour les finalités décrites dans cette section. Base juridique : notre intérêt légitime à disposer d'une application qui fonctionne et s'améliore (art. 6, §1, f du RGPD). Vous pouvez vous y opposer à tout moment en écrivant à l'adresse du §1 ; nous excluons alors votre compte.

Partagé par vous, directement de votre iPhone ou iPad vers un autre (rien ne passe par nous) :

• Lorsque vous partagez un repas avec une personne qui l'a mangé avec vous, le repas — ses photos et leurs mesures de taille, votre note, l'estimation, son historique et les notes du modèle — va directement de votre appareil au destinataire que vous choisissez, via AirDrop, Messages ou l'application de votre choix. Il ne passe pas par nos serveurs : nous ne le voyons jamais et n'en conservons aucune copie. Un repas que quelqu'un partage avec vous apparaît dans votre fil et est ensuite conservé dans votre compte comme un repas que vous auriez photographié vous-même.

3. Analyse des repas par IA — votre consentement

Pour calculer une estimation, l'application envoie les données listées ci-dessus à un modèle d'IA (OpenAI GPT) exécuté sur des serveurs Microsoft Azure dans l'Union européenne, sur notre propre déploiement. Ce que l'application envoie sert à calculer votre estimation nutritionnelle — et, uniquement si vous avez activé « Aidez à améliorer Food Moments », à améliorer l'application comme le décrit le §11. Ces données ne sont pas utilisées pour entraîner des modèles d'IA. Votre compte ne porte aucun nom, et le modèle d'IA n'en voit rien : ce qui parvient au modèle, c'est le repas — pas qui vous êtes.

Chaque requête passe d'abord par notre propre passerelle. C'est un petit serveur que nous exploitons sur Microsoft Azure dans l'Union européenne. Il existe pour que les identifiants du service d'IA ne se trouvent pas dans l'application, où n'importe qui pourrait les extraire du fichier téléchargé et engager des frais à notre charge. La passerelle vérifie qu'une requête provient bien d'une copie non modifiée de Food Moments sur un appareil Apple authentique — grâce à App Attest d'Apple — et qu'elle appartient à un compte connecté, de sorte que les limites d'usage raisonnable sont comptées par compte et non par appareil, puis la transmet. Pour une analyse, elle insère dans la requête vos photos, tirées du stockage de votre compte ; en dehors de cela, elle ne lit pas ce que vous envoyez et n'en conserve aucune copie. Pour l'usage raisonnable et la maîtrise des coûts, elle enregistre, par compte, une ligne pour chaque requête : quand, de quel type, quel modèle, combien de temps elle a pris, combien de données et de puissance de calcul elle a utilisées, quel repas elle concernait et si elle a abouti — et, en cas d'échec, un code court indiquant pourquoi, par exemple « délai dépassé », jamais un message d'erreur ni un contenu. Vos photos, vos notes et vos enregistrements n'apparaissent jamais dans ces relevés ni dans ses journaux, et les relevés sont supprimés avec votre compte.

Pour cette vérification, votre iPhone ou iPad crée une clé cryptographique qui ne quitte jamais l'appareil, et la passerelle conserve l'identifiant de cette clé ainsi qu'un compteur qui empêche de rejouer une requête interceptée. Cet identifiant est une valeur aléatoire créée par cette installation de l'application : il ne contient ni nom, ni adresse e-mail, ni numéro de série de l'appareil. Tant que vous êtes connecté, nos enregistrements le relient à la session de votre compte ; nous le traitons donc comme une donnée personnelle. Il naît la première fois que l'application communique avec notre serveur — lorsque vous vous connectez —, et la suppression de l'application le rend inutilisable. Base juridique de cette seule donnée technique : notre intérêt légitime à protéger le service contre les abus (art. 6, §1, f du RGPD).

L'application demande votre consentement explicite avant la première analyse (base juridique : art. 6, §1, a du RGPD, et art. 9, §2, a du RGPD parce que les repas peuvent en dire long sur votre santé). Vous pouvez retirer votre consentement à tout moment dans Réglages → Confidentialité ; l'analyse reste alors désactivée jusqu'à ce que vous acceptiez de nouveau, et le reste de l'application continue de fonctionner.

La dictée fait l'objet d'un consentement distinct. Une note dictée est transformée en texte par des modèles vocaux sur nos propres déploiements Microsoft Azure dans l'Union européenne — Azure Speech en North Europe (Irlande), et, uniquement pour les versions de l'application antérieures à la 1.2, Azure OpenAI en Sweden Central —, si bien qu'un enregistrement de dictée est lui aussi traité dans l'Union européenne. (Jusqu'au 1er octobre 2026, la dictée s'exécutait sur un déploiement mondial et un enregistrement pouvait être traité hors de l'UE ; ce n'est plus le cas.) L'application demande votre accord avant votre première dictée (également art. 6, §1, a du RGPD) et vous pouvez le retirer au même endroit — la dictée reste alors désactivée, et une note peut toujours être saisie au clavier.

Les photos de repas et les notes peuvent révéler incidemment quelque chose de vous — un régime, une allergie, une pratique de jeûne. Nous minimisons cela en n'envoyant que le repas en cours d'analyse, en gardant les résultats dans votre propre compte, où vous seul pouvez y accéder, et en ne stockant rien de tout cela sur notre passerelle.

4. Prestataires de services

• Microsoft Ireland Operations Ltd. (Azure) fournit l'infrastructure et traite les requêtes d'analyse et les enregistrements de dictée en tant que sous-traitant, dans le cadre du Data Protection Addendum de Microsoft. Cela couvre les déploiements d'IA, la passerelle décrite au §3 — qui s'exécute sur Azure Functions en Europe de l'Ouest, avec les identifiants d'appareil et les diagnostics de plantage du §2 dans Azure Table Storage, dans la même région — et le stockage derrière votre compte (§2) : vos repas, photos et profil vivent dans un stockage Azure en Europe de l'Ouest, à l'intérieur de l'Union européenne. Les e-mails que nous envoyons — codes de connexion, liens d'export et les autres décrits au §12 — sont envoyés via Azure Communication Services, configuré avec une localisation des données dans l'Union européenne, depuis noreply@smart-backoffice.nl. L'analyse des repas s'exécute dans l'EU Data Zone d'Azure, et la dictée sur Azure Speech en North Europe (Irlande) — les versions de l'application antérieures à la 1.2 sur Azure OpenAI en Sweden Central — : photos, notes, corrections et enregistrements de dictée sont traités dans l'Union européenne. Le contrôle des abus de Microsoft vérifie les requêtes automatiquement au moment du traitement, sans les stocker ; seules les requêtes signalées comme potentiellement abusives peuvent être conservées temporairement pour examen, selon la procédure standard publiée par Microsoft — pour les déploiements UE, stockées et examinées dans l'UE — puis sont supprimées. Microsoft n'utilise pas vos données pour entraîner des modèles.
• Open Food Facts (une association française à but non lucratif) ne reçoit que les chiffres d'un code-barres scanné et renvoie des informations produit publiques ; votre iPhone ou iPad y récupère ensuite la photographie de ce produit. Comme pour toute requête internet, leurs serveurs voient techniquement votre adresse IP. Leurs données produit sont publiées sous Open Database License et leurs photographies sous Creative Commons Attribution-ShareAlike 3.0 ; l'application crédite leurs contributeurs là où elle les affiche.
• Apple distribue l'application et vend l'abonnement : le paiement, le renouvellement, la résiliation et les remboursements relèvent d'Apple, en tant que responsable de traitement indépendant, selon ses propres conditions. Apple nous communique les informations d'abonnement énumérées au §2, pour que l'application sache si l'analyse est accessible. Lorsque vous vous abonnez dans l'application, l'achat porte l'identifiant aléatoire de votre compte, afin que les messages ultérieurs d'Apple à son sujet puissent être rattachés à votre compte ; il ne contient ni nom ni adresse e-mail, et Apple n'apprend rien de vos repas. La lecture des étiquettes et la détection des codes-barres s'exécutent entièrement sur votre iPhone ou iPad avec les frameworks locaux d'Apple — aucune donnée ne quitte l'appareil pour cela.

Nous ne partageons de données avec personne d'autre. Nous ne vendons aucune donnée. L'application ne contient aucun SDK d'analyse ni de publicité. Cette politique couvre l'application ; le site web smart-backoffice.nl a sa propre déclaration de confidentialité et n'utilise Google Analytics qu'après que vous avez accepté sa bannière de cookies.

5. Transferts internationaux

L'analyse des repas est fixée à l'EU Data Zone d'Azure et la dictée à des régions Azure de l'Union européenne (North Europe et Sweden Central) ; toutes deux sont traitées dans l'Union européenne. La passerelle par laquelle elles transitent (§3), le stockage derrière votre compte (§2) et le service qui envoie nos e-mails (§4) se trouvent eux aussi dans l'Union européenne : rien de tout cela n'ajoute de transfert, et rien de ce que l'application envoie ne quitte l'UE. (Jusqu'au 1er octobre 2026, un enregistrement de dictée pouvait être traité hors de l'EEE dans le cadre des clauses contractuelles types de Microsoft ; la dictée est depuis passée dans l'UE.)

Dans la mesure où Microsoft, en tant qu'entreprise mondiale, pourrait exceptionnellement traiter des données de support ou de télémétrie hors de l'EEE, les engagements EU Data Boundary de Microsoft et les mêmes clauses contractuelles types s'appliquent comme garanties.

6. Conservation

Les données de votre compte sont conservées jusqu'à ce que vous les supprimiez — c'est à cela que sert un compte. Un repas isolé se supprime d'un glissement, sur nos serveurs comme sur l'appareil ; Réglages → Compte → Supprimer le compte efface d'un coup tout ce que nous détenons — repas, photos, profil, sessions et tout fichier d'export encore en attente. Supprimer l'application ne supprime plus rien : reconnectez-vous et tout revient ; supprimez le compte quand vous voulez que tout disparaisse.

Un compte que personne n'utilise n'est pas conservé pour toujours. Si un compte n'a pas été utilisé pendant 18 mois — l'application n'a pas été ouverte avec lui, rien n'a été synchronisé —, nous le supprimons, avec tout ce qu'il contient. Un compte dont l'abonnement est en cours — pendant l'essai gratuit, payé ou dans un délai de grâce après un paiement échoué — n'est jamais supprimé faute d'utilisation. 30 jours avant, nous écrivons à son adresse pour le dire, avec le moyen de tout télécharger d'abord ; ouvrir une fois l'application avec ce compte suffit à le garder. La fin d'un abonnement ne supprime rien par elle-même : vous pouvez toujours consulter vos repas, les télécharger et revenir.

Les informations d'abonnement (§2) sont conservées avec votre compte et supprimées avec lui — y compris lorsqu'il est supprimé faute d'utilisation. L'abonnement lui-même continue chez Apple jusqu'à ce que vous le résiliiez dans votre compte Apple.

Tout ce qui entoure le compte est éphémère. Un code de connexion fonctionne une fois et expire au bout d'une dizaine de minutes. Le zip de Télécharger toutes mes données est supprimé de notre serveur quelques jours après sa création (son lien de téléchargement cesse de fonctionner au bout de 24 heures) et, comme tout fichier supprimé, il reste ensuite récupérable dans notre sauvegarde pendant 35 jours au plus. Ce que vous envoyez pour une analyse ou une dictée n'est pas stocké sur notre passerelle — c'est transmis, puis c'est fini — et la conservation transitoire de Microsoft est décrite au §4.

Sur votre iPhone ou iPad, un repas ou une correction non terminés et un enregistrement de dictée qui attend encore son texte ne sont conservés que le temps décrit au §2 : jusqu'à ce que vous les terminiez ou les annuliez, ou jusqu'à l'arrivée du texte — et jamais au-delà de la déconnexion ou de la suppression de votre compte.

L'identifiant d'appareil décrit au §3 est conservé parce que c'est ce à quoi une requête est comparée ; il n'est pas encore supprimé automatiquement lorsqu'une installation cesse d'utiliser le service, c'est pourquoi nous le supprimons sur demande : écrivez à l'adresse du §1 en précisant que vous souhaitez faire supprimer l'enregistrement de votre appareil. Son lien avec votre compte prend fin lorsque vous vous déconnectez ou supprimez le compte. Il ne nous dit rien sur ce que vous mangez.

Les relevés d'usage raisonnable du §3 — la ligne par requête et les compteurs par semaine et par mois — sont conservés avec votre compte et supprimés avec lui.

Les diagnostics de plantage (§2) sont conservés 90 jours puis supprimés automatiquement — assez longtemps pour repérer et corriger un problème, pas un enregistrement permanent.

Journaux de remise des e-mails. Pour chaque e-mail que nous envoyons, notre service d’e-mail (§4) enregistre l’adresse, l’heure et si l’e-mail a été remis, rejeté ou retenu par le serveur destinataire. Nous conservons ce journal 90 jours — afin de comprendre pourquoi un code de connexion n’arrive pas — puis il est supprimé automatiquement. Il ne contient ni code, ni lien, ni aucun autre contenu de l’e-mail.

« Aidez à améliorer Food Moments » (§11) n'ajoute aucun stockage qui lui soit propre : vos repas restent dans votre compte. Une copie de travail faite pour une comparaison est supprimée lorsque la comparaison est terminée et, en tout état de cause, dans les 30 jours suivant la désactivation du réglage.

Nous conservons des sauvegardes. Votre compte est la seule copie complète de vos repas — votre iPhone ou iPad ne garde que les jours récents —, nous le sauvegardons donc. Les photos et les fichiers peuvent être restaurés à n'importe quel moment des 30 derniers jours, et le reste de votre compte est écrit chaque nuit dans un fichier daté, conservé lui aussi 30 jours. Un fichier supprimé — une photo, ou un fichier nocturne arrivé en fin de conservation — reste récupérable jusqu'à 35 jours de plus avant de disparaître définitivement. Le tout demeure, avec le reste de vos données, dans l'Union européenne et ne sert à rien d'autre. Une conséquence, dite clairement : supprimer votre compte efface immédiatement tout ce que nous détenons en service, mais ce qui subsiste dans ces sauvegardes disparaît au fil de son expiration — les photos en cinq semaines environ, les copies nocturnes de votre compte en 66 jours au plus tard — et non au même instant.

7. Sécurité

Tout ce qui est envoyé quitte votre appareil par des connexions chiffrées (TLS), et sur l'appareil, vos données sont protégées par le chiffrement intégré du système et votre code de déverrouillage. Les données de votre compte vivent désormais aussi sur nos serveurs ; elles y sont donc protégées, plutôt que de l'être en n'existant pas : elles sont stockées sur Microsoft Azure dans l'Union européenne et chiffrées au repos ; on ne peut les atteindre qu'à travers l'application elle-même, car chaque requête doit prouver — via App Attest d'Apple (§3) — qu'elle provient d'une copie non modifiée de Food Moments et porter une session valide de votre compte ; les sessions sont propres à chaque appareil et prennent fin à la déconnexion ; et le serveur ne conserve les jetons de session que sous forme de hachages, de sorte qu'une copie volée de nos enregistrements ne permettrait à personne de se connecter à votre place. Il n'y a pas de mot de passe à voler : un code de connexion arrive par e-mail, fonctionne une fois et meurt au bout de quelques minutes.

8. Vos droits

En vertu du RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition, ainsi que du droit de retirer votre consentement à tout moment sans que cela n'affecte la licéité du traitement antérieur au retrait. L'application est conçue pour que vous les exerciez directement, sans écrire à personne :

• Accès : l'application vous montre vos repas, votre profil et vos réglages, et le téléchargement ci-dessous contient tout cela, y compris ce que l'application ne montre pas, comme les mesures des photos, les informations d'abonnement et le jour où vous avez utilisé l'application pour la dernière fois. Pour le reste — les relevés d'usage raisonnable du §3, les rapports de plantage, l'identifiant de l'appareil —, écrivez-nous et nous vous en envoyons une copie.
• Rectification : corrigez n'importe quel repas dans l'application ; modifiez votre profil dans les Réglages.
• Portabilité : Réglages → Compte → Télécharger toutes mes données fait tout empaqueter par le serveur — chaque photo, un ensemble de pages consultables sur n'importe quel ordinateur, un tableau lisible par un tableur et un fichier de données contenant tout ce que détient votre compte, corrections, profil, réglages et objectifs quotidiens compris — puis vous envoie un lien de téléchargement par e-mail.
• Effacement : supprimez un repas d'un glissement, ou effacez tout d'un coup avec Réglages → Compte → Supprimer le compte.
• Retrait du consentement : pour l'analyse et la dictée dans Réglages → Confidentialité, pour « Aidez à améliorer Food Moments » avec son propre interrupteur (§11).
• Opposition : à notre utilisation de détails techniques (§2), en nous écrivant ; nous excluons alors votre compte. À nos questions occasionnelles par e-mail (§12), avec l'interrupteur de Réglages → Confidentialité.

Pour le reste, ou pour toute question, écrivez à info@smart-backoffice.nl — nous répondons sous un mois. Vous avez également le droit d'introduire une réclamation auprès d'une autorité de contrôle ; aux Pays-Bas, il s'agit de l'Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl), en France de la CNIL (cnil.fr) — vous pouvez vous adresser à l'autorité de votre propre pays.

9. Enfants

Food Moments s'adresse aux personnes de 16 ans et plus. Si quelqu'un indique une année de naissance qui le rend plus jeune, le compte attend : rien n'est analysé et aucun nouveau repas ni photo n'est ajouté tant qu'un parent ou un tuteur n'a pas écrit à info@smart-backoffice.nl et que nous n'avons pas confirmé le consentement par e-mail. Si l'année a été saisie par erreur, le compte se rouvre dès qu'elle est corrigée dans les Réglages. Nous conservons cet e-mail comme preuve du consentement tant que le compte existe. Un parent ou un tuteur peut retirer le consentement par e-mail à tout moment ; le compte attend alors de nouveau. Modifier l'année ne met pas fin à cette attente. L'export et la suppression du compte fonctionnent toujours, et un abonnement App Store continue jusqu'à sa résiliation dans le compte Apple. Sans ce consentement, nous ne traitons sciemment rien des personnes de moins de 16 ans au-delà de ce que le compte contient à ce moment. Si vous pensez qu'un enfant a créé un compte avec une année erronée, écrivez à l'adresse du §1 et nous le supprimerons.

10. Modifications

Si les flux de données de l'application changent, cette politique est mise à jour avant la sortie du changement, avec la date d'entrée en vigueur ci-dessus.

Toute modification est publiée sur la page d'assistance. Les petites modifications — formulation, grammaire, une coquille, une précision qui ne change rien à ce qu'il advient de vos données — y sont annoncées et nulle part ailleurs.

Une modification ayant des implications substantielles pour vos données est en outre annoncée dans l'application, avant sa prise d'effet. Et un flux de données réellement nouveau qui traite ce que vous photographiez, écrivez ou dites — comme le font l'analyse et la dictée — exige plus qu'une annonce : il ne démarre pas tant que vous ne l'avez pas accepté. Un nouveau signal technique concernant l'application elle-même, comme les diagnostics de plantage du §2, ne change rien à la façon dont vos repas ou votre compte sont traités ; il est communiqué plutôt que soumis à votre accord, tout comme l'identifiant de l'appareil du §3 l'est déjà.

11. Aider à améliorer Food Moments — uniquement si vous l'activez

Food Moments s'améliore en voyant où ses estimations se trompent, et c'est sur la quantité dans l'assiette qu'elles se trompent le plus. Sous Réglages → Aidez à améliorer Food Moments se trouve un interrupteur qui nous permet d'utiliser vos repas précisément à cette fin. Il reste désactivé tant que vous ne l'activez pas.

Ce que vous autorisez en l'activant. Nous — les personnes de Smart Backoffice Solutions B.V. qui font Food Moments, et personne d'autre — pouvons regarder les repas de votre compte : les photos, vos notes et corrections, les estimations et leur historique, ainsi que les mesures de taille qui accompagnent les photos. Nous les utilisons dans un seul but : découvrir où et pourquoi les estimations de l'application se trompent, et vérifier si une modification de l'application les améliore. Pour vérifier une modification, nous pouvons soumettre de nouveau un repas à l'analyse avec les instructions améliorées, sur le même déploiement Microsoft Azure dans l'Union européenne que celui qui analyse vos repas (§4) ; la réponse est comparée à l'originale et ne modifie jamais le repas dans votre fil. Les repas peuvent en dire long sur votre santé — un régime, une allergie, la quantité que vous mangez —, c'est pourquoi cela requiert votre consentement explicite (art. 9, §2, a et art. 6, §1, a du RGPD). L'interrupteur est ce consentement : son libellé dit ce que vous acceptez, l'activer revient à accepter, et l'application affiche la date à laquelle vous l'avez fait.

Ce qu'il ne permet jamais. Vos repas ne servent pas à entraîner des modèles d'IA, ni les nôtres ni ceux de quiconque. Ils ne sont partagés avec personne, ni vendus, ni publiés, ni utilisés à des fins publicitaires. Ce que nous apprenons est conservé sous forme de constats généraux et de totaux (« la première estimation s'écartait en moyenne de 15 % ») qui ne renvoient pas à vous. Personne ne vous contactera à ce sujet.

Où restent vos repas. Dans votre compte, dans l'Union européenne, comme avant. Lorsqu'une comparaison nécessite une copie de travail — une photo à côté de son ancienne et de sa nouvelle estimation —, cette copie n'est conservée que sur nos propres ordinateurs chiffrés, le temps que dure la comparaison, puis supprimée.

Le désactiver. Vous pouvez le désactiver au même endroit à tout moment, aussi facilement que vous l'avez activé ; vos autres appareils suivent en quelques minutes. Dès lors, nous ne regardons plus vos repas, et nous supprimons sans délai toute copie de travail de ceux-ci, au plus tard dans les 30 jours. Le retrait n'annule pas ce qui a été fait auparavant (art. 7, §3 du RGPD), et les constats généraux qui ne renvoient plus à vous demeurent. Rien d'autre ne change dans l'application, dans un cas comme dans l'autre. Supprimer votre compte le désactive également, et une connexion avec un autre compte commence avec l'interrupteur désactivé.

12. Les e-mails que nous envoyons

Nous écrivons uniquement à l'adresse e-mail avec laquelle vous vous connectez, et seulement pour deux types de raisons.

Les e-mails qui font partie du service : vos codes de connexion, le lien vers votre téléchargement, l'avis donné 30 jours avant la suppression d'un compte que plus personne n'utilise (§6), les modifications de la présente politique ou des conditions dont nous devons vous informer, et la fin du service. Base juridique : l'exécution de notre contrat avec vous (art. 6, paragraphe 1, point b, du RGPD).

Des questions occasionnelles. En dehors de ceux-là, nous écrivons rarement — uniquement à propos de quelque chose d'important, ou pour vous demander votre avis : ce qui fonctionne pour vous, ce qui ne fonctionne pas, ce que vous souhaiteriez. Nous n'envoyons ni publicité ni lettre d'information. Base juridique : notre intérêt légitime à entendre les personnes qui utilisent Food Moments (art. 6, paragraphe 1, point f, du RGPD). Vous pouvez vous y opposer à tout moment (art. 21 du RGPD) avec Réglages → Confidentialité → Questions occasionnelles par e-mail : désactivé, nous ne vous envoyons plus de questions. Il est activé tant que vous ne le désactivez pas, il suit votre compte sur vos autres appareils, et chacun de ces e-mails indique en une ligne, à la fin, où le désactiver. Répondre reste toujours votre choix.

13. Recherche avec des universités

Nous pouvons collaborer avec des universités et des instituts de recherche à des études ou des expériences de terrain portant sur l'alimentation et l'application. Vos données ne sont utilisées pour une étude que si vous avez donné votre consentement distinct et éclairé à cette étude précise. Avant de décider, vous apprenez qui la mène, ce qu'elle implique, quelles données vous concernant elle utiliserait, pendant combien de temps, et comment arrêter. Chaque étude est examinée par un comité d'éthique avant de commencer. La participation est toujours volontaire ; vous pouvez arrêter à tout moment, sans avoir à vous justifier et sans aucun désavantage, et votre consentement est enregistré séparément pour chaque étude. Si vous ne consentez pas, vous ne participez jamais, et aucune de vos données n'est utilisée pour l'étude. Ceci est distinct de « Aidez à améliorer Food Moments » (§11) : l'activer ne vous fait pas participer à une étude, et consentir à une étude ne l'active pas.