Confidentialité dans Caloplate

Ce qu’il advient de la photo de ton repas

Lorsque tu photographies un repas, l’image est réduite et transmise via le service BUILDFrame à un prestataire d’IA (Google, modèle d’image Gemini) ; là, un modèle d’image évalue ce qui se trouve dans l’assiette. Le résultat revient par le même chemin sur ton téléphone.

Des prestataires qui travaillent pour notre compte y participent : un hébergeur (Netlify) qui exploite le service BUILDFrame, reçoit la photo et la transmet, un intermédiaire pour les requêtes d’IA (OpenRouter ; tous deux établis aux États-Unis) et l’exploitant du modèle d’image (Google). La photo peut alors transiter par des serveurs aux États-Unis. Ce transfert est encadré : par le EU-U.S. Data Privacy Framework ou par les clauses contractuelles types de la Commission européenne. Qui souhaite connaître les destinataires en détail et recevoir une copie des garanties peut écrire à info@buildframe.de.

La photo quitte alors ton appareil. Nous ne prétendons pas le contraire.

Rien de ce qui t’identifie n’est envoyé avec l’image : pas de nom, pas d’adresse e-mail, pas d’identifiant d’appareil, pas d’identifiant publicitaire, pas de localisation. La requête se compose de l’image et de rien d’autre.

Le modèle d’image lui-même s’exécute dans des centres de données situés dans l’Union européenne. Ce chemin est fixe : s’il échoue, tu reçois un message d’erreur — il n’y a pas de repli silencieux vers un autre pays.

Ce qui reste en local

Caloplate lit les codes-barres et les tableaux nutritionnels sur l’appareil — avec le framework Vision d’Apple. Dans ces deux cas, aucune image ne quitte ton téléphone, que tu aies autorisé l’analyse ou non. Pour un code-barres, toutefois, les chiffres lus sont envoyés ; voir plus bas « Ce qui se passe avec le code-barres et la recherche de produits ».

Ton nom (si tu l’indiques), ton journal, tes données corporelles, ton plan, ton historique de poids, tes photos de progression, ta photo de profil et tes réglages se trouvent uniquement dans l’espace de stockage de l’app sur ton appareil. Caloplate ne les transmet pas. Comme les données de toute app, elles peuvent faire partie d’une sauvegarde de ton appareil (iCloud ou ordinateur) ; tu la gères chez Apple.

Pour chaque repas que tu photographies, Caloplate conserve sur ton appareil une copie réduite de la photo, afin que tu puisses le reconnaître dans « Aujourd’hui » et dans l’Historique. Cette copie n’est pas transmise et est supprimée avec le repas.

Dans Apple Santé, Caloplate ne lit que ce que tu autorises (voir « Santé »). Ces valeurs restent sur l’appareil.

Si tu utilises le widget, il reçoit le total du jour (calories et eau) par les mécanismes d’Apple, sur le même appareil. Cela ne passe pas par nous.

Si tu utilises l’Apple Watch, l’app de la montre affiche le total du jour (calories, macros, eau, entraînements) et envoie l’eau que tu bois et tes entraînements à ton iPhone. Cela passe directement entre la montre et l’iPhone par la connexion d’Apple, pas par nous. Si tu l’autorises, la montre mesure ton pouls pendant un entraînement et te l’affiche : il n’est ni enregistré, ni envoyé à l’iPhone ou à nous, ni écrit dans Apple Santé. La montre ne tient pas de journal ; elle conserve seulement le dernier total reçu et l’entraînement en cours.

Au besoin, Caloplate traduit les noms d’aliments avec la fonction de traduction d’Apple sur l’appareil et conserve les résultats sur l’appareil.

Une courte trace technique de tes dernières analyses (durées, types d’erreurs, derniers codes-barres lus) reste également sur l’appareil et n’est pas transmise.

Le quota gratuit — trois analyses de photos, cinq jours — est mémorisé sur ton appareil, dans le trousseau : deux compteurs et deux dates (ton premier démarrage et la dernière heure vue), sans nom, sans identifiant, sans serveur. Ce repère reste aussi après la suppression de l’app et après « Supprimer toutes les données », afin que le quota gratuit ne recommence pas à chaque fois. Il ne passe pas sur un autre appareil et n’est pas transmis.

Combien de temps l’image est stockée

Le service BUILDFrame ne stocke pas ta photo. Il la reçoit, la transmet à l’analyse et renvoie le résultat ; ensuite, elle a disparu.

Chaque requête impose deux conditions aux prestataires : tes données ne doivent pas servir à entraîner des modèles, et elles ne doivent pas être conservées (zero data retention). Si un prestataire ne peut pas s’y engager, la requête est refusée plutôt qu’assouplie en silence.

Les conditions de confidentialité des prestataires concernés s’appliquent en plus du présent texte.

Ce que nous consignons pour le contrôle des coûts

Sont consignés pour chaque analyse : l’horodatage, le modèle utilisé, le nombre de tokens, la taille de l’image en octets, la durée et, en cas d’erreur, son type. Cela sert exclusivement à garder un œil sur les coûts et les erreurs. Ces entrées figurent dans les journaux de notre hébergeur, où elles sont supprimées automatiquement après 7 jours au plus.

Ne sont pas consignés : l’image, le résultat, les aliments reconnus et ton adresse d’expéditeur. Ton adresse IP n’est utilisée que de manière éphémère et sous forme hachée, afin de limiter le nombre de requêtes ; elle n’est ni stockée ni communiquée.

Chaque requête porte en outre un identifiant de la version de l’app, identique pour toutes les installations. Il montre seulement que la requête vient de la vraie app Caloplate et ne dit rien sur toi.

Ce qui se passe avec le code-barres et la recherche de produits

Lorsque tu scannes un code-barres, Caloplate lit les chiffres sur ton appareil — et s’en sert pour demander à la base de données publique Open Food Facts ce qui est connu sur ce code. Les chiffres quittent alors ton téléphone.

Un identifiant indiquant que la requête vient de Caloplate est joint. Il ne dit rien sur qui tu es.

La photo du code-barres reste sur l’appareil. Open Food Facts est un projet à but non lucratif en France, donc dans l’UE ; la durée de conservation des requêtes est décidée par Open Food Facts et non par nous.

Si tu préfères ne rien envoyer, saisis les valeurs nutritionnelles à la main — cela fonctionne sans aucune transmission.

Si tu tapes dans la recherche un terme d’au moins trois caractères, Caloplate interroge en plus Open Food Facts pour des produits de marque correspondants. Là aussi, le terme de recherche quitte ton téléphone, également avec le seul identifiant indiquant que la requête vient de Caloplate. Si tu ne veux pas envoyer de termes de recherche, choisis des aliments dans les listes ou saisis les valeurs nutritionnelles à la main.

Si tu achètes Caloplate Pro

Un abonnement passe entièrement par Apple. Caloplate ne voit aucune donnée de paiement, aucun numéro de carte et aucune adresse de facturation — c’est Apple qui les reçoit, pas nous.

L’app demande à Apple si ton abonnement est actif — au démarrage et quand tu l’actualises. Nous ne stockons rien à ce sujet sur un serveur.

Caloplate ne crée aucun justificatif d’achat propre. Seul Apple répond à la question de savoir si un abonnement est actif — à partir d’un reçu signé que le système gère sur ton appareil. Caloplate le lit et ne conserve sur l’appareil que le dernier résultat (actif ou non, et jusqu’à quand), pour que l’app n’ait pas à attendre Apple au démarrage.

Si tu ne le souhaites pas

Tu peux révoquer l’analyse à tout moment. La révocation prend effet immédiatement : ensuite, plus aucune photo ne quitte ton appareil.

Caloplate reste ensuite utilisable : le code-barres, le tableau nutritionnel et tout ce que tu saisis à la main continuent de fonctionner.

Ce que Caloplate ne fait pas

Aucun réseau publicitaire. Aucun suivi entre les apps. Aucune transmission de tes données à des tiers pour leurs propres fins et aucune vente. Les transmissions décrites dans ce texte (photo vers l’analyse, chiffres du code-barres et termes de recherche vers Open Food Facts) servent uniquement à ce que tu déclenches dans l’app. Aucun profilage.

Santé

Caloplate estime. Chaque chiffre est une estimation. Caloplate n’est pas un dispositif médical et ne remplace ni un avis médical ni un conseil en médecine nutritionnelle.

Apple Santé : seulement si tu l’autorises, Caloplate lit les pas, l’énergie active et les plages horaires de tes entraînements (quand ils ont eu lieu, pas quels exercices) — pour te montrer ton activité, relever ton objectif quotidien si tu le souhaites et ne pas compter deux fois un sport saisi à la main. Lors de la configuration, Caloplate lit en outre, si tu le souhaites, ta taille, ton poids, ton année de naissance et ton sexe pour préremplir tes informations. Caloplate n’écrit rien dans Apple Santé. Ces valeurs restent sur ton appareil et ne sont pas transmises. Ce que Caloplate a le droit de lire, tu le décides à tout moment dans les réglages d’iOS. Sur la montre, Caloplate lit ton pouls pendant un entraînement si tu l’autorises : uniquement pour l’afficher, sans l’enregistrer.

Les données de santé sont particulièrement protégées par l’art. 9 du RGPD. Caloplate ne les traite que sur la base de ton consentement et uniquement sur ton appareil.

Qui est responsable

Le responsable du traitement de tes données est Alessandro Gerola. Tu peux nous joindre à info@buildframe.de.

L’adresse complète et toutes les autres mentions figurent dans les mentions légales.

Sur quelle base

Nous traitons l’analyse photo sur la base de ton consentement (art. 6, § 1, a RGPD). Tu le donnes avant que la première photo ne quitte l’appareil et tu peux le retirer à tout moment dans les réglages. Le retrait prend effet à partir du moment où tu le déclares ; ce qui a été traité auparavant n’en est pas affecté.

Nous fondons la recherche par code-barres, la recherche de produits et la gestion d’un abonnement sur l’exécution du contrat avec toi (art. 6, par. 1, point b, du RGPD).

Nous fondons le contrôle des coûts et le repère du quota gratuit sur notre intérêt légitime à pouvoir exploiter le service et le protéger contre les abus (art. 6, par. 1, point f, du RGPD).

Nous traitons les données d’Apple Santé sur la base de ton consentement (art. 6, par. 1, point a, et art. 9, par. 2, point a, du RGPD). Tu le donnes dans la boîte de dialogue système d’iOS et peux l’y révoquer à tout moment.

Tes droits

Tu as droit à l’accès, à la rectification, à l’effacement, à la limitation du traitement, à la portabilité et à l’opposition à un traitement fondé sur l’intérêt légitime.

Tu peux faire l’essentiel toi-même, sans nous demander : ton journal, tes données corporelles, tes photos et ton historique sont sur ton appareil. Tu supprimes un repas dans l’app ; sa photo part avec lui. Avec « Supprimer toutes les données » dans le profil, tu retires tout ce que Caloplate a stocké sur l’appareil — journal, données corporelles, photos, photo de profil, sauvegardes et exports. Font exception le choix de la langue, le dernier état d’abonnement signalé par Apple et le repère du quota gratuit. Si tu supprimes l’app, tout part avec elle — sauf ce repère, qui reste dans le trousseau.

Pour le reste, écris à info@buildframe.de.

Tu as aussi le droit d’introduire une réclamation auprès d’une autorité de protection des données ; est compétente l’autorité de ton lieu de résidence, de ton lieu de travail ou du lieu où tu soupçonnes une violation.