Confidentialité
Vos données et vos droits
Le moins possible, pour faire marcher le site, et jamais pour autre chose. Rien n'est revendu, il n'y a ni publicité ni traceur. Vous pouvez tout télécharger et tout effacer, à tout moment.
01 · Engagements
Ce que nous ne faisons pas
- Pas de revente ni de partage de vos données à des fins commerciales.
- Pas de publicité, pas de traceur, pas de mesure d'audience : aucun script tiers, aucun cookie tiers. Les polices et les bibliothèques du scanner et de lecture des tickets sont hébergées sur le site.
- Pas de profilage : vos courses servent à vos courses (prix, liste), pas à vous classer.
- Pas de compte obligatoire : sans compte, tout reste sur votre appareil.
- Pas de mot de passe chez nous : la connexion passe par votre fournisseur (Google).
02 · Inventaire
Quelles données, pourquoi, combien de temps
Sur votre appareil (avec ou sans compte)
| Donnée | Pourquoi | Durée |
|---|---|---|
| Liste de courses, régime, allergies, drive choisi, magasin privilégié (nom, adresse, référence OpenStreetMap), repas en cours de composition, préférences d'affichage (vue du calendrier, réglages et alertes masquées de la cloche) | Le fonctionnement du site, sans compte | Jusqu'à ce que vous les effaciez (Mon compte > « Effacer les données de cet appareil », ou en vidant les données du navigateur) |
| Session de courses en cours, 10 dernières courses, prix payés | Le mode « je fais les courses » et le préremplissage des prix | |
| Mes repas (avec votre accord) : jours, repas, plats, produits et portions, et pour un plat pris au restaurant, le restaurant si vous l'indiquez (nom, adresse, type de cuisine et référence OpenStreetMap) ; Mes restaurants (ceux que vous notez ou ajoutez, avec leur forfait cuisine, et leur position si vous les localisez : celle du restaurant, jamais la vôtre) ; Mes recettes sans compte | Suivre ce que vous mangez et l'équilibre de vos repas | |
| Mon profil nutritionnel (avec votre accord) : poids, taille, âge, sexe, activité, objectif | Calculer vos repères (calories, protéines…) | |
| Mes placards : produits achetés, quantité, prix, date, magasin, « fini » | Savoir ce qu'il y a chez vous et remettre sur la liste ce qui est fini | |
| Menu de la semaine : jours, repas, plats prévus (nom, recette associée, ingrédients, note) et nombre de parts ; les 12 semaines les plus récentes | Préparer vos repas et, bientôt, votre liste de courses | |
| Identifiant aléatoire de l'appareil, curseur du journal des changements, messages de votre assistant (30 jours) | Ne relire que ce qui a changé ailleurs ; la cloche | |
| Copie hors ligne des pages et des fiches consultées | Utiliser le site en magasin sans réseau | |
| Jeton de connexion Open Food Facts (si vous partagez vos prix ; jamais votre mot de passe) | Envoyer les prix d'un ticket avec votre compte Open Food Facts ; si vous cochez « Rester connecté », faire aussi vos recherches Open Food Facts avec votre compte, et ne pas ressaisir vos identifiants | Le temps de l'onglet ; avec « Rester connecté » : sur cet appareil jusqu'à ce que vous l'oubliiez (Mes accords, déconnexion du site, ou « Effacer les données de cet appareil ») |
Dans votre compte (compte validé, hébergé chez Cloudflare)
| Donnée | Pourquoi | Durée |
|---|---|---|
| E-mail, nom, identifiant technique transmis par Google | Vous reconnaître à la connexion | Jusqu'à la suppression de votre compte |
| Statut (en attente, validé, refusé), rôle, dates de création et de dernière connexion | Valider les inscriptions, sécurité | |
| Liste de courses, régime, allergies, drive, magasin privilégié (nom, adresse, référence OpenStreetMap ; proposé pour vos courses et vos tickets), courses terminées ou importées d'un ticket (magasin, date, produits, prix payés, libellés du ticket, prix partagés sur Open Prices), Mes placards, vos accords (régime et allergies, Mes repas, profil nutritionnel : ce que vous avez accepté et quand), Mes recettes (produits, quantités, classement, préparation, photo), Menu de la semaine (les 10 semaines les plus récentes) ; Mes repas (restaurants indiqués et Mes restaurants compris ; retirer l'accord « compte » les efface du compte) et Mon profil nutritionnel, seulement avec leur accord « compte » | Retrouver vos données sur tous vos appareils | |
| Sessions : empreinte du jeton, jeton anti-falsification, dates | Vous garder connecté | 30 jours |
| Journal des changements : pour chaque modification de vos données dans le compte, son type (repas, menu, placards, recettes, liste, profil), ce qui a changé (un jour, une semaine, un identifiant), d'où elle vient (le site, ou l'application connectée et son nom), l'identifiant aléatoire de l'appareil qui l'a faite, et pour une application connectée un message court sans détail de ce que vous mangez (« Claude a noté votre dîner ») | Mettre à jour vos autres appareils quand vous revenez dans l'app, et vous dire ce que votre assistant a fait (la cloche) | 30 jours ; effacé avec votre compte |
| Notifications, si vous les activez sur un appareil (Moi > Notifications) : l'adresse d'abonnement fournie par votre navigateur (chez Apple, Google, Mozilla ou Microsoft) et ses clés, l'identifiant aléatoire de l'appareil, les dates d'activation et du dernier envoi, vos réglages (les nouvelles versions de l'app, oui ou non). Le site n'envoie qu'un signal sans contenu : votre appareil lit ensuite lui-même le message auprès du site ; le service de notifications ne reçoit ni le message ni rien de ce que vous mangez | Vous signaler ce que fait votre assistant et les nouvelles versions de l'app (et, pour un administrateur, les demandes d'inscription ; à la validation de votre compte, vous le dire) | Jusqu'à ce que vous les désactiviez sur l'appareil, que vous vous déconnectiez de cet appareil, que le service les refuse (abonnement périmé) ou que vous supprimiez votre compte |
| Tickets de caisse en cours de vérification : le contenu lu du ticket (date, enseigne, magasin, lignes, prix, produits choisis), pas le PDF, qui ne quitte jamais votre appareil | Vérifier un ticket en plusieurs fois, sur n'importe lequel de vos appareils | Les 50 plus récents ; effacés quand vous les supprimez ou avec votre compte |
| Liste partagée, si vous créez un lien (La liste > Partager) : l'empreinte du lien (pas le lien lui-même), ses dates de création, d'expiration et de dernier usage. Toute personne qui a le lien voit votre liste de courses, la coche et peut envoyer la course faite (magasin, articles, total), qui rejoint vos courses et vos placards ; elle ne voit rien d'autre de votre compte, ni votre nom | Faire faire vos courses par quelqu'un, sans qu'il ait de compte | 7 jours au plus ; effacé si vous arrêtez le partage, créez un nouveau lien ou supprimez votre compte |
| Invitation, si un administrateur vous a invité : le nom qu'il vous a donné, les dates de l'invitation et de son acceptation, le compte qui l'a acceptée. Le lien porte un jeton dont seule l'empreinte est gardée ; tant que vous ne vous êtes pas connecté, il montre seulement votre prénom et celui de la personne qui vous invite. Pour les administrateurs : les invitations qu'ils ont créées (noms donnés, dates) | Vous accueillir par votre nom et valider votre compte dès votre arrivée, sans attendre ; permettre aux administrateurs de suivre leurs invitations | Lien valable 30 jours, une fois ; une invitation non acceptée est effacée 30 jours après son expiration ; une invitation acceptée, jusqu'à sa suppression par un administrateur ou la suppression de votre compte |
| Connexion en cours (codes à usage unique) | Sécuriser le retour depuis Google | 10 minutes |
| Applications connectées (Claude…), si vous en autorisez une : son nom et son adresse de retour, les droits accordés, la date de votre accord, les empreintes de ses jetons. Gardées par Cloudflare hors de la base des comptes (stockage KV, qui n'est pas limité à l'UE) ; vos repas n'y sont pas copiés | Laisser l'application que vous avez autorisée lire vos repas, et vous permettre de lui retirer cet accès | Accès d'une heure, renouvelé seul pendant 30 jours au plus ; effacées si vous retirez l'application (Mon compte), si vous retirez vos repas du compte ou si vous supprimez votre compte |
Données techniques
| Donnée | Pourquoi | Durée |
|---|---|---|
Cookie de session epicerie_session (seul cookie du site, strictement nécessaire) | Vous garder connecté | 30 jours, effacé à la déconnexion |
| Adresse IP | Limiter les abus (compteur de requêtes). Le site ne garde pas de journal de vos requêtes : seules les erreurs techniques sont journalisées, pour diagnostiquer les pannes | Compteur : une minute ; journal d'erreurs : quelques jours |
| Position (latitude, longitude) | Chercher les magasins proches, uniquement quand vous le demandez | Non conservée par le site |
Ticket de caisse : le fichier PDF est lu par votre navigateur et n'est pas envoyé au site. Seuls partent les mots de chaque ligne (« carotte », « skyr »), pour les retrouver dans notre sélection, comme une recherche tapée à la main. Ce que vous enregistrez ensuite suit les règles ci-dessus : placards sur l'appareil, course dans le compte s'il est validé. Quand vous vérifiez une ligne avec un produit précis (scanné ou choisi), le lien entre le libellé de caisse, l'enseigne et le code-barres (« SIGGI'S SKYR NATUR » chez Monoprix = tel produit) est retenu pour reconnaître les lignes des tickets suivants, les vôtres et ceux des autres : il est gardé sans aucun lien avec votre compte (ni nom, ni date d'achat, ni prix).
Régime et allergies : une allergie est une donnée de santé, un régime « sans porc » peut révéler une conviction. Ce sont des données sensibles (RGPD, article 9) : rien n'est utilisé sans votre accord explicite, demandé dans « Mon régime » :
- « J'accepte qu'ils servent à filtrer les produits » (obligatoire pour s'en servir) : ils restent sur votre appareil et accompagnent vos recherches pour filtrer les produits, sans être conservés par le site.
- « Les enregistrer aussi dans mon compte » (facultatif, décoché par défaut) : pour les retrouver sur vos autres appareils. Décocher les efface du compte.
Vous pouvez retirer votre accord ou vos réglages à tout moment (« Mon régime » > « Aucun régime »).
Vos accords valent sur tous vos appareils : connecté, ce que vous avez accepté (et quand) est enregistré dans votre compte, pour ne pas vous le redemander sur votre téléphone ou l'application installée ; le dernier choix l'emporte, un retrait aussi.
Mon profil nutritionnel : poids, taille, âge et objectif sont des données de santé. Même règle que le régime : un accord explicite (Mes accords), sur votre appareil par défaut, dans votre compte seulement avec un second accord ; retirer l'accord efface le profil. Il ne sert qu'à calculer vos repères, dans votre navigateur.
Les recettes de l'épicerie : une recette publiée par un administrateur (nom, photo, ingrédients, étapes) est visible de tous, sans nom d'auteur ; elle est retirée à sa demande ou avec son compte.
Menu de la semaine : un projet, comme Mes recettes (ce que vous prévoyez, pas ce que vous avez mangé) ; enregistré dans votre compte sans accord particulier, gardé pour les 10 semaines les plus récentes, dans l'export de vos données et effacé avec votre compte. Rien n'est noté dans Mes repas sans vous.
Mes recettes : elles ne disent pas ce que vous mangez (c'est le rôle du journal) ; elles sont enregistrées dans votre compte sans accord particulier. Leurs photos, réduites (800 px, 300 Ko au plus ; 50 Mo par compte), sont stockées chez Cloudflare (dans l'Union européenne), visibles de vous seul, et gardées sur votre appareil pour ne pas les retélécharger (effacées à la déconnexion) ; évitez d'y faire figurer des personnes. Supprimer une recette ou votre compte supprime ses photos. L'export de vos données contient vos recettes, et pour les photos leur référence (elles restent consultables dans Mes recettes). La photo d'un plat de Mes repas suit les mêmes règles, et seulement si Mes repas est enregistré dans votre compte : retirer le plat, ou la photo, la supprime.
Mes repas : ce que vous mangez peut révéler des informations sur votre santé. Même règle : un accord explicite avant tout usage, demandé à la première visite de Mes repas ; vos repas restent sur votre appareil, et ne vont dans votre compte (avec vos plats) que si vous cochez « Les enregistrer aussi dans mon compte ». Décocher efface les repas du compte ; retirer votre accord efface tous vos repas, ici et dans le compte (Mes accords).
03 · Destinataires
Qui voit quoi
- Cloudflare héberge le site et la base des comptes (sous-traitant). La base est créée en juridiction Union européenne : ses données sont stockées et traitées dans l'UE. Cloudflare s'engage contractuellement au respect du RGPD.
- Google, seulement si vous vous connectez : Google sait que vous vous connectez à ce site et nous transmet votre e-mail et votre nom. Rien d'autre ne lui est envoyé.
- Open Food Facts (association, base ouverte) : votre navigateur y charge les photos des produits, et y cherche un produit inconnu quand vous le scannez ; la recherche d'un produit hors sélection (dans une recette) passe par le site, qui ne transmet que les mots tapés. Votre adresse IP lui est visible ; aucune donnée de compte ne lui est envoyée.
- OpenStreetMap (Nominatim) : votre position, ou le nom du magasin cherché, et votre adresse IP, quand vous cherchez un magasin. Uniquement sur demande.
- Open Prices (Open Food Facts), seulement si vous choisissez de partager les prix d'un ticket : votre identifiant et votre mot de passe Open Food Facts lui sont envoyés directement (jamais à ce site), puis l'image du ticket, le magasin, la date et les prix. Ils deviennent publics sur Open Prices (licences ODbL et CC BY-SA), rattachés à votre compte Open Food Facts. Ce site n'en garde rien. Si vous cochez « Rester connecté », le jeton de connexion rendu par Open Food Facts (pas votre mot de passe) reste sur votre appareil, et vos recherches de produits hors sélection passent par ce site avec ce jeton : il est transmis à Open Food Facts pour la recherche, jamais enregistré ni journalisé par le site.
- Anthropic (Claude), ou une autre application compatible MCP, seulement si vous la connectez à votre compte (essai réservé aux administrateurs) : vous l'autorisez sur une page du site, après vous être connecté, en cochant un à un les accès que vous lui donnez :
- lire vos repas des 7 derniers jours (jour, repas, plats, produits, quantités, apports calculés). C'est une donnée sensible : cet accès demande que Mes repas soit dans votre compte, et retirer vos repas du compte coupe l'accès de l'application ;
- noter vos repas dans Mes repas (à la maison ou au restaurant ; un nouveau restaurant rejoint Mes restaurants), après un aperçu que vous validez dans la conversation : même condition que la lecture des repas ;
- corriger vos repas : retirer de Mes repas un plat ou un repas noté par erreur, après un aperçu que vous validez dans la conversation ; même condition que la lecture des repas ;
- lire vos menus (Menu de la semaine : repas prévus, lieu, plats, recettes associées, parts) et préparer vos menus (écrire le menu d'une semaine, après un aperçu que vous validez dans la conversation ; ni Mes repas ni votre liste ne sont touchés) ;
- lire vos placards (produits, quantités, date d'achat) et lire vos recettes (ingrédients, quantités, parts, préparation) ;
- créer des recettes dans Mes recettes, après un aperçu que vous validez dans la conversation.
- Sans l'accès « corriger vos repas », elle ne peut ni modifier ni supprimer ce qui existe : seulement ajouter. Avec lui, elle ne peut que retirer des repas ; elle ne touche jamais au reste. « Préparer vos menus » remplace ou complète le menu d'une semaine, rien d'autre.
- Les administrateurs du site voient la liste des comptes (nom, e-mail, statut, dates) pour valider les inscriptions. Les listes, réglages et courses ne sont pas affichés dans l'administration.
04 · Sécurité
Comment elles sont protégées
- Chiffrées en transit (HTTPS) et au repos : la base de Cloudflare chiffre toutes les données stockées (AES-256-GCM).
- Pas de mot de passe stocké ; les jetons de session ne sont gardés que sous forme d'empreinte (SHA-256) : une copie de la base ne permettrait pas de se connecter à votre place.
- Cookie de session protégé (inaccessible aux scripts, limité au site), protection anti-falsification de toutes les écritures, limitation des abus par adresse.
- Accès d'administration réservé aux adresses désignées, et aux seuls comptes validés pour enregistrer des données.
05 · Vos droits
Télécharger, corriger, effacer
- Accès et portabilité : Mon compte > « Télécharger toutes mes données » : un fichier JSON avec tout ce qui est rattaché à votre compte. « Restaurer depuis un fichier » le recharge dans votre compte (liste, drive, courses, plats ; régime, allergies et repas seulement avec votre accord « compte »).
- Effacement : « Supprimer mon compte » efface immédiatement et définitivement compte, sessions, liste, réglages, courses, placards, repas et plats, journal des changements, abonnements aux notifications, et retire l'accès des applications connectées. « Effacer les données de cet appareil » vide ce que le site garde sur votre téléphone ou ordinateur (dont vos placards).
- Rectification : vos réglages se modifient sur le site ; votre nom et votre e-mail viennent de votre compte Google.
- Opposition, limitation, question : écrivez au contact ci-dessous ; réponse sous un mois.
- Réclamation : vous pouvez saisir la CNIL (cnil.fr).
06 · Responsable
Qui est responsable
Responsable du traitement : l'éditeur du site, éditeur du site (projet personnel, non commercial). Contact pour vos données : voir les mentions légales.
Hébergeur : Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, États-Unis. Voir aussi les mentions légales.