CalAlly est un compteur de calories doté d'IA. Pour remplir sa fonction, il traite des informations sur votre corps, vos repas et vos objectifs. Au sens du RGPD, il s'agit de données de santé, une catégorie particulière qui bénéficie de la protection la plus élevée du droit de l'Union européenne. Cette page explique exactement ce que nous collectons, pourquoi, à qui nous le transmettons et comment vous pouvez le reprendre.
Qui nous sommes et comment nous joindre
CalAlly est le responsable du traitement des données à caractère personnel décrites sur cette page.
Pour toute question relative à la confidentialité, pour exercer vos droits ou pour demander une copie des garanties que nous utilisons pour les transferts internationaux, écrivez à support@calally.com. Nous répondons dans un délai de 30 jours.
Quelles données nous collectons
Données de compte. Votre adresse e-mail et le nom avec lequel vous vous inscrivez. Si vous vous connectez avec Apple ou Google, nous recevons l'identifiant que ces services nous transmettent.
Données de santé (catégorie particulière, RGPD art. 9). C'est le cœur de l'application et nous voulons être clairs à ce sujet :
- Poids, taille, âge et sexe
- Mensurations corporelles que vous saisissez
- Votre objectif (perdre, maintenir, prendre) et votre cible
- Préférences alimentaires et restrictions alimentaires. Elles peuvent révéler indirectement une conviction religieuse ou une condition médicale, ce qui est précisément la raison pour laquelle elles relèvent de la protection de l'art. 9
- Photos de vos repas et des étiquettes nutritionnelles
- Photos de progression de votre corps, si vous choisissez de les enregistrer
- Nombre de pas provenant d'Apple Health, si vous le connectez
Apple Health (HealthKit). La connexion à Apple Health est facultative et vous contrôlez les données que vous nous envoyez. Les données que vous partagez depuis HealthKit ne sont jamais utilisées à des fins de marketing ou de publicité, et ne sont jamais transférées à des tiers à des fins de marketing ou de publicité. Nous les utilisons uniquement pour rendre vos objectifs caloriques plus précis. Vous pouvez révoquer l'autorisation à tout moment dans l'application Santé d'iOS, et ce que vous partagez avec HealthKit est également régi par les conditions et la politique de confidentialité propres à Apple.
Données d'utilisation. Les repas que vous enregistrez, les questions que vous posez au coach IA et ses réponses.
Données techniques. Les journaux de sécurité et d'erreurs nécessaires au fonctionnement du service et à la détection des abus.
Nous n'utilisons pas de traceurs publicitaires, nous n'exploitons pas de régie publicitaire et nous ne vendons rien à des courtiers en données. CalAlly est une application iOS native : elle n'utilise pas de cookies. Notre site, calally.com, utilise un cookie pour mémoriser votre langue et ne charge le centre d'aide que si vous l'ouvrez. Voir la Politique de cookies.
Pourquoi les données de santé exigent une protection particulière
Les données de santé constituent une catégorie particulière au sens de l'art. 9 du RGPD, et c'est la raison pour laquelle nous les décrivons intégralement ci-dessus et gardons une liste courte et nommée de ceux qui les reçoivent. Nous les traitons sur le fondement de l'art. 6(1)(a), le consentement et de l'art. 6(1)(b), l'exécution du contrat que vous concluez lorsque vous créez un compte et demandez à l'application d'élaborer votre plan nutritionnel.
Concrètement : lors de votre inscription, vous acceptez les Conditions et la présente Politique de confidentialité, et l'application traite ensuite les données corporelles, de repas et d'objectifs que vous saisissez afin de fournir le plan nutritionnel, l'analyse des repas et le coach IA. Ces fonctionnalités constituent le service lui-même : elles ne peuvent donc pas fonctionner sans ces données. Si vous ne souhaitez pas que ce traitement ait lieu, ne créez pas de compte, ou supprimez celui que vous avez. Voir comment mettre fin au traitement ci-dessous.
Bases légales
| Finalité | Base légale |
|---|---|
| Création de compte et gestion des utilisateurs | art. 6(1)(b), exécution d'un contrat |
| Plan nutritionnel, analyse des repas, coach IA | art. 6(1)(a), consentement et art. 6(1)(b), exécution d'un contrat |
| Partage des données avec les fournisseurs d'IA listés ci-dessous | art. 6(1)(a), consentement et art. 6(1)(b), exécution d'un contrat |
| Sécurité, prévention des abus, journaux techniques | art. 6(1)(f), intérêt légitime |
Avec qui nous partageons vos données
CalAlly ne développe ni ses propres modèles d'IA ni sa propre base de données. Nous faisons appel à des prestataires nommés, et voici la liste complète de qui reçoit quoi. Il n'y en a pas d'autres.
| Prestataire | Ce qu'il reçoit | Où |
|---|---|---|
| Supabase | Tout ce qui est stocké : profil, données de santé, repas, photos de progression, conversations avec le coach | États-Unis (us-east-2, Ohio, infrastructure sur AWS) |
| Google (Gemini API) | Texte des repas, photos des repas, photos des étiquettes, messages adressés au coach, contexte du profil | États-Unis |
| Groq | Enregistrements vocaux, transcrits avec Whisper | États-Unis |
| Langfuse Cloud | Entrées et sorties du coach, ainsi que votre identifiant utilisateur | Union européenne |
| Apple, Google | Authentification OAuth uniquement | États-Unis |
| RevenueCat | L'état de votre abonnement, ainsi qu'un identifiant utilisateur de l'application | États-Unis |
| Sentry | Les rapports de plantage et d'erreur, avec votre identifiant utilisateur | États-Unis |
| Open Food Facts | Le numéro du code-barres uniquement. Aucune donnée personnelle | Union européenne |
| Featurebase | Les retours que vous envoyez, avec votre identifiant utilisateur | Infrastructure du prestataire |
Chacun de ces prestataires agit en qualité de sous-traitant sur nos instructions, dans le cadre d'un accord de traitement des données. Ils ne sont pas autorisés à utiliser vos données à leurs propres fins.
Données transférées hors de l'Union européenne
Notre base de données se trouve aux États-Unis, et plusieurs des prestataires ci-dessus sont établis aux États-Unis : Supabase, Google, Groq, RevenueCat, Sentry, Apple et Featurebase. Nous ne le cachons pas.
La garantie générale sur laquelle nous nous appuyons est constituée par les Clauses Contractuelles Types adoptées par la Commission européenne, intégrées à l'accord de traitement des données que nous avons conclu avec chacun de ces prestataires. C'est le mécanisme qui couvre Supabase, qui stocke les données de votre compte et vos données de santé, et c'est également le mécanisme prévu par l'avenant de traitement des données de Groq.
Certains prestataires sont en outre auto-certifiés au titre de l'EU-US Data Privacy Framework. Google en fait partie. Le Data Privacy Framework est une certification volontaire à laquelle chaque entreprise adhère individuellement : il ne couvre donc pas les prestataires américains en tant que groupe, et nous ne le mentionnons que pour ceux qui figurent effectivement sur la liste. Lorsqu'un prestataire n'est pas certifié, les Clauses Contractuelles Types s'appliquent seules.
Vous pouvez nous demander une copie des garanties applicables à vos données en écrivant à support@calally.com.
Combien de temps nous conservons vos données
Les photos de repas et les enregistrements vocaux ne sont pas stockés. Ils sont envoyés pour traitement, analysés, puis supprimés. Nous n'en conservons aucune archive.
Les données de compte, les données de santé, les photos de progression et les conversations avec le coach sont conservées aussi longtemps que votre compte est actif. Lorsque vous supprimez votre compte depuis l'application, ces données sont supprimées immédiatement. Lorsque vous nous demandez de les supprimer par e-mail, nous le faisons dans un délai de 30 jours.
Les journaux techniques et de sécurité sont conservés pendant 1 jour, puis effacés par rotation. Les traces pseudonymisées du coach IA stockées dans Langfuse sont conservées pendant 30 jours.
Comment mettre fin au traitement et supprimer votre compte
Il n'existe pas d'option distincte qui désactiverait le traitement des données de santé tout en conservant votre compte. Le plan nutritionnel, l'analyse des repas et le coach IA constituent le service : la manière de mettre fin au traitement est donc de supprimer votre compte :
- Ouvrez l'application CalAlly.
- Rendez-vous dans l'onglet Profil, faites défiler jusqu'à Actions du compte et appuyez sur Supprimer le compte. Cela supprime votre profil, vos données de santé, vos repas, vos photos de progression et vos conversations avec le coach. La suppression est immédiate et elle est irréversible.
Si vous préférez, écrivez à support@calally.com et nous le faisons pour vous, dans un délai de 30 jours.
La suppression de votre compte met fin au traitement à compter de ce moment. Elle ne remet pas en cause le traitement déjà effectué pendant que le compte était actif.
La procédure complète, y compris la manière de supprimer certaines données sans supprimer votre compte, se trouve sur la page de suppression du compte.
Vos droits
En vertu du RGPD, vous avez le droit de :
- Accéder aux données à caractère personnel que nous détenons à votre sujet
- Rectifier les données inexactes ou incomplètes
- Effacer vos données, le « droit à l'oubli »
- Limiter le traitement dans certaines circonstances
- Portabilité des données, en recevant vos données dans un format lisible par machine
- Vous opposer à un traitement fondé sur notre intérêt légitime
- Retirer votre consentement à tout moment, en supprimant votre compte comme décrit ci-dessus
- Introduire une réclamation auprès d'une autorité de contrôle. En Italie, il s'agit du Garante per la protezione dei dati personali (www.garanteprivacy.it)
Pour exercer l'un de ces droits, écrivez à support@calally.com.
Enfants
CalAlly n'est pas destiné aux enfants. Vous devez avoir au moins 16 ans pour créer un compte, ce qui correspond à l'âge du consentement numérique en Italie. Si nous apprenons que nous détenons des données appartenant à une personne n'ayant pas atteint cet âge, nous les supprimons.
Modifications de cette politique
Nous mettons cette page à jour lorsque la manière dont nous traitons les données évolue, par exemple lorsque nous ajoutons ou retirons un prestataire. La date en haut de page reflète toujours la dernière révision. Si une modification est importante, nous vous en informons dans l'application avant qu'elle ne prenne effet.