Politique de confidentialité

1. Responsable du traitement

La présente politique décrit le traitement des données personnelles dans le cadre de l'application mobile NaturoScan et du portail web naturoscan.aemn.org, édités par l'AEMN. Contact : alaintardif@aemn.org.

2. Principe fondateur : une application anonyme

L'application mobile NaturoScan s'utilise sans compte et sans identification. Nous ne demandons ni nom, ni adresse e-mail, ni numéro de téléphone pour l'utiliser. Nous ne sommes techniquement pas en mesure de relier une utilisation de l'application à une personne identifiée.

Des comptes existent uniquement sur le portail web, et seulement pour deux publics : les apporteurs (programme d'apport d'affaires) et les administrateurs du service. Un utilisateur de l'application mobile n'a jamais besoin d'un tel compte.

3. Votre profil de santé ne quitte jamais votre téléphone

Les terrains, traitements en cours, sensibilités et préférences que vous renseignez constituent des données de santé, relevant de l'article 9 du RGPD. Nous les traitons comme telles :

• elles sont enregistrées exclusivement dans la mémoire locale de votre appareil ;
• elles ne sont jamais transmises à nos serveurs, ni à un tiers ;
• l'évaluation de compatibilité des produits est calculée sur l'appareil, en confrontant le profil local au catalogue ;
• la désinstallation de l'application ou l'effacement de ses données supprime définitivement ce profil. Nous n'en détenons aucune copie et ne pouvons donc pas le restaurer.

Aucun consentement à un traitement de données de santé par nos serveurs n'est requis, puisqu'aucun tel traitement n'a lieu. La seule donnée qui sorte de l'appareil lors d'une analyse est, le cas échéant, la photographie de l'étiquette : voir la section 6.

4. Identifiant d'installation et décompte des analyses

NaturoScan s'utilise sans compte. Pour appliquer la limite de trois analyses gratuites par mois, l'application crée à sa première ouverture un identifiant aléatoire propre à cette installation. Il ne contient aucune information sur vous ni sur votre appareil : c'est une suite de caractères tirée au hasard.

Il est transmis à nos serveurs lors de chaque analyse assistée par intelligence artificielle, pour vérifier le nombre d'analyses déjà effectuées dans le mois. Nous conservons, associés à cet identifiant, le mois en cours et le nombre d'analyses consommées.

Ce à quoi il sert, et rien d'autre. Compter les analyses gratuites du mois et vérifier qu'une offre promotionnelle n'a pas déjà été accordée. Il n'est utilisé à aucune fin publicitaire ou statistique, n'est jamais rapproché d'un identifiant publicitaire, et n'est transmis à aucun tiers.

Durée de conservation. Le mois en cours et les douze mois précédents. Au-delà, ces enregistrements sont supprimés automatiquement.

Effacement. L'identifiant disparaît de votre appareil si vous effacez les données de l'application depuis les réglages de votre téléphone. Voir également la section 11, « Effacer vos données ».

5. Signalements d'ingrédients

Lorsqu'une analyse rencontre un ingrédient absent de notre catalogue, l'application nous le signale automatiquement afin que nous puissions l'ajouter. Nous conservons le nom de l'ingrédient, sa forme normalisée, l'endroit de l'étiquette où il figurait et la date.

Ce signalement est rattaché à votre identifiant d'installation — ou à votre compte, si vous en avez un — le temps de traiter d'éventuelles anomalies.

Durée de conservation du lien. Six mois. Au-delà, le rattachement est supprimé automatiquement : le signalement demeure, mais plus rien ne le relie à un appareil ou à un compte. Le nom de l'ingrédient reste utile à l'enrichissement du catalogue.

6. Photographies d'étiquettes

L'analyse simple s'effectue entièrement sur votre téléphone : la photographie ne quitte jamais l'appareil.

L'analyse assistée par intelligence artificielle nécessite en revanche que l'image soit transmise pour être lue. Elle est envoyée à nos serveurs, qui la relaient immédiatement vers un prestataire technique d'intégration, lequel l'achemine vers un fournisseur de modèle d'intelligence artificielle chargé de transcrire le texte de l'étiquette.

Nous ne conservons pas ces images. Elles ne sont enregistrées ni dans nos bases, ni sur nos disques, ni dans nos journaux. Elles transitent en mémoire le temps du traitement, puis sont oubliées.

Une copie temporaire subsiste sur votre téléphone, créée par l'appareil photo ou par le sélecteur d'images de votre système. Elle relève de votre appareil et non de nos serveurs, et s'efface avec les fichiers temporaires de celui-ci.

La durée de conservation par le prestataire technique et par le fournisseur de modèle n'est pas déterminée par nous. Ces services indiquent ne pas utiliser les données transmises pour entraîner leurs modèles. Nous ne sommes pas en mesure d'indiquer une durée de conservation précise de leur côté.

Métadonnées. Les photographies peuvent contenir des informations techniques inscrites par votre appareil — date de prise de vue, modèle de l'appareil, et, si vous l'avez autorisé pour votre application photo, un lieu. Ces informations sont transmises avec l'image. Nous ne les lisons pas, ne les extrayons pas et ne les conservons pas. Une prochaine version de l'application les retirera avant tout envoi.

Si vous ne souhaitez pas qu'un lieu figure dans vos photographies, désactivez la localisation pour l'application appareil photo dans les réglages de votre téléphone.

7. Autres données traitées côté serveur

• Identifiant de transaction du store — l'identifiant d'achat fourni par Apple ou Google (et, le cas échéant, un code d'apporteur), nécessaire pour vérifier l'abonnement et calculer les commissions d'apport. Base légale : exécution du contrat et obligations comptables. Conservation : durée légale applicable aux pièces comptables.
• Code apporteur et mois offert — le code apporteur saisi dans l'application, la date d'octroi du mois offert et l'identifiant d'installation auquel ils sont rattachés. Finalité : gestion du programme d'apport (attribution du bénéfice, détection des abus). Base légale : exécution du contrat d'apport. Conservation : durée légale applicable aux pièces comptables.
• Journal d'envoi d'e-mails — pour les seuls comptes web : date, type de message, statut d'envoi et motif d'échec éventuel. L'adresse e-mail y figurant est automatiquement anonymisée au bout de 6 mois (remplacée par une empreinte irréversible), et immédiatement lors de la suppression d'un compte. Base légale : intérêt légitime au diagnostic technique.

Pour les comptes web (apporteurs, administration), nous traitons en outre l'adresse e-mail, le mot de passe sous forme chiffrée, le code d'apporteur et l'historique des commissions.

Pour les apporteurs d'affaires uniquement, nous traitons également l'identifiant d'entreprise (SIRET, numéro BCE, IDE/UID ou équivalent), la raison sociale, le code d'activité lorsqu'il est communiqué par le registre officiel, le pays, l'adresse du siège, le numéro de TVA s'il est renseigné — à défaut la mention d'exonération applicable — et la date de vérification. Le SIRET d'un entrepreneur individuel constitue une donnée personnelle et est traité comme tel. Base légale : exécution du contrat d'apport et obligations légales de facturation. Conservation : durée légale applicable aux pièces comptables. Les coordonnées bancaires ne sont pas collectées par nos soins : elles figurent sur la facture trimestrielle que l'apporteur établit lui-même.

8. Ce que nous ne faisons pas

• Aucune vente ni location de données.
• Aucune publicité ciblée, aucun profilage publicitaire.
• Aucun traceur publicitaire ni identifiant publicitaire.
• Aucune conservation des photographies d'étiquettes sur nos serveurs.
• Aucun transfert de données de santé, dans quelque contexte que ce soit.
• Aucune décision automatisée produisant des effets juridiques à votre égard.

9. Paiements et abonnements

Les abonnements sont souscrits et facturés exclusivement via l'App Store d'Apple ou Google Play. Nous ne collectons, ne voyons ni ne stockons aucune donnée bancaire : elle est traitée par Apple ou Google selon leurs propres politiques de confidentialité.

La gestion technique des abonnements (état de l'abonnement, renouvellements, essais) est assurée par notre sous-traitant RevenueCat, Inc., qui reçoit l'identifiant d'installation et les informations de transaction du store, à l'exclusion de toute donnée de santé.

10. Sous-traitants et hébergement

• Apple et Google — distribution des applications, encaissement des abonnements.
• RevenueCat, Inc. — gestion des abonnements.
• Supabase, Inc. (société de droit américain, Delaware / San Francisco) — hébergement du portail web et de la base de données. Les données sont hébergées sur une infrastructure située au sein de l'Union européenne ; l'accès éventuel depuis les États-Unis par le personnel technique du sous-traitant est encadré par les clauses contractuelles types de la Commission européenne.
• Lovable Labs Incorporated — hébergement de l'application web, service d'envoi des e-mails transactionnels des comptes web, et passerelle technique d'intégration relayant les photographies d'étiquettes vers le fournisseur de modèle d'intelligence artificielle. Ce service peut recourir à ses propres sous-traitants techniques, sous contrat de sous-traitance ultérieure.
• Fournisseur de modèle d'intelligence artificielle — transcription du texte des étiquettes photographiées, pour la seule durée du traitement.

Lorsqu'un sous-traitant est établi hors de l'Union européenne, les transferts sont encadrés par les clauses contractuelles types de la Commission européenne.

11. Effacer vos données

Sans compte. Ouvrez l'écran Profil et choisissez « Effacer mes données de cet appareil ». Cette action supprime immédiatement les signalements d'ingrédients envoyés depuis cet appareil.

Le décompte de vos analyses du mois en cours est conservé. Il ne contient ni votre nom, ni votre adresse, ni aucune donnée de santé : un identifiant aléatoire, un mois, un nombre. Nous le conservons pour empêcher que la limite mensuelle d'analyses gratuites soit contournée, et il est supprimé automatiquement au terme de la durée indiquée à la section 4.

Avec un compte. Depuis l'écran Profil, choisissez « Supprimer mon compte » et suivez le lien de confirmation reçu par courriel — un lien signé à usage unique, valable 60 minutes. L'ouverture du lien ne supprime rien : la suppression n'a lieu qu'après confirmation explicite de votre part sur la page. Elle efface votre compte d'authentification, votre profil, vos rôles, l'abonnement rattaché, ainsi que votre profil de santé et votre plan alimentaire enregistrés sur nos serveurs. Vos signalements d'ingrédients sont anonymisés, et l'adresse figurant au journal d'envoi d'e-mails l'est également. La demande peut aussi être formulée en écrivant à alaintardif@aemn.org.

Vos données enregistrées sur votre téléphone — profil de santé, préférences, favoris — ne quittent jamais l'appareil. Elles s'effacent depuis les réglages de votre téléphone, avec les données de l'application.

Ce qui subsiste après la suppression, pour les apporteurs d'affaires. La suppression du compte ne peut pas éteindre une créance : les commissions dues et non encore versées sont conservées, ainsi que l'historique d'attribution qui les justifie. La fiche d'apporteur est détachée du compte — elle n'ouvre plus aucun accès, et le code d'apporteur cesse d'être accepté — mais elle n'est pas détruite. Y survit également l'identité de facturation : e-mail de versement, raison sociale, identifiant d'entreprise, adresse du siège, numéro de TVA ou mention d'exonération. Finalité : permettre le versement des sommes dues et établir la facture correspondante, au titre de l'exécution du contrat d'apport et des obligations légales de facturation. Durée : la durée légale de conservation des pièces comptables, soit dix ans à compter de la clôture de l'exercice concerné ; au-delà, ces éléments sont supprimés ou anonymisés.

Ces éléments ne subsistent qu'à cette fin. Ils ne servent ni à vous recontacter, ni à recréer un compte, ni à aucun autre traitement. Si vous n'avez aucune commission en attente et souhaitez leur effacement complet, écrivez-nous : nous y procédons dès qu'aucune obligation comptable ne s'y oppose.

12. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, exerçables à alaintardif@aemn.org. Nous répondons dans un délai d'un mois.

Concernant l'application mobile : étant anonyme, elle ne nous permet pas de retrouver « vos » données à partir de votre identité. Le droit d'effacement de votre profil de santé s'exerce directement sur l'appareil, en effaçant les données de l'application. Vous pouvez également nous communiquer votre identifiant d'installation pour demander la suppression des données techniques associées.

Vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr).

13. Mineurs

Le service n'est pas destiné aux personnes de moins de 15 ans. Nous ne collectons pas sciemment de données relatives à des mineurs.

14. Sécurité

Les échanges sont chiffrés en transit (HTTPS). Les accès aux données des comptes web sont cloisonnés par des règles d'autorisation au niveau de la base de données. Les jetons sensibles (suppression de compte, désinscription) ne sont stockés que sous forme d'empreintes irréversibles.

15. Avertissement

NaturoScan est un outil d'information. Il ne fournit ni diagnostic, ni prescription, ni traitement, et ne remplace pas l'avis d'un professionnel de santé.

16. Modifications

Cette politique peut être mise à jour. Toute modification substantielle est signalée dans l'application ou par e-mail aux titulaires de comptes web. Voir aussi les conditions générales d'utilisation.