Politique de confidentialité

Quelles données CookMate traite, pourquoi, combien de temps, et comment exercer vos droits.

Version en vigueur : 2026-10

1. Responsable du traitement

Le responsable du traitement est Adrien Quennehen, entrepreneur individuel (SIRET 891 638 629 00024), 20 le Val d’Huberville, 27530 Ézy-sur-Eure, France. Pour toute question relative à vos données ou pour exercer vos droits, écrivez à [email protected].

2. Traitements réalisés

Le tableau ci-dessous reprend, pour chaque finalité, les données concernées, la base légale et la durée de conservation.

Compte utilisateur

Finalité: Créer et gérer votre compte, vous authentifier, vous envoyer les e-mails de service.
Données: Nom d’utilisateur, adresse e-mail, prénom et nom (facultatifs), mot de passe (haché), statut de vérification de l’e-mail, dates d’inscription et de connexion.
Base légale: Exécution du contrat (CGU).
Conservation: Durée de vie du compte, puis purge 7 jours après la demande de suppression.

Données de santé

Finalité: Calculer vos besoins nutritionnels, adapter les recettes proposées à vos besoins alimentaires, suivre votre poids, tenir votre journal alimentaire.
Données: Poids, taille, sexe, historique des pesées, note pour le professionnel, date de naissance, régimes alimentaires, besoins alimentaires (sans gluten, pauvre en sel… — jamais de diagnostic ni de maladie), objectif et niveau d’activité, entrées du journal alimentaire et photos de repas.
Base légale: Consentement explicite (art. 9.2.a RGPD), recueilli avant toute saisie et retirable à tout moment.
Conservation: Durée de vie du compte, puis purge 7 jours après la demande de suppression. Historique d’expérience (XP) : 24 mois.

Partage avec un professionnel

Finalité: Permettre au professionnel de la nutrition qui vous invite d’assurer votre suivi et de vous préparer des plannings.
Données: Nom, e-mail, les pesées, les plannings (avec les repas cochés), les besoins nutritionnels (calculés à partir du profil santé), le résumé du profil (objectif, niveau d’activité, âge, IMC, aliments exclus, régimes et limitation des sucres ajoutés), la note pour le professionnel (Profil › Santé) et les rendez-vous fixés avec le professionnel, limités au professionnel que vous avez accepté. Restent privés : le journal alimentaire, les listes de courses et le suivi de l’hydratation.
Base légale: Consentement explicite, donné à l’acceptation de l’invitation.
Conservation: Tant que le rattachement est actif ; fin du partage à sa révocation (les rendez-vous à venir sont alors annulés et tous les rendez-vous supprimés). Rendez-vous passés : 12 mois.

Journal d’audit de sécurité

Finalité: Détecter les accès frauduleux, tracer les actions d’administration, répondre à un incident.
Données: Identifiant du compte, action, horodatage, adresse IP et agent utilisateur.
Base légale: Intérêt légitime (sécurité du Service, art. 6.1.f RGPD).
Conservation: Adresse IP : 90 jours. Entrées du journal : 400 jours.

Connexion Google

Finalité: Vous permettre de créer un compte ou de vous connecter via Google.
Données: Identifiant Google, adresse e-mail, prénom et nom, transmis par Google Identity Services.
Base légale: Exécution du contrat, à votre initiative.
Conservation: Identique au compte utilisateur.

Vérification des mots de passe compromis

Finalité: Refuser les mots de passe présents dans des fuites de données connues.
Données: Les 5 premiers caractères d’une empreinte SHA-1 de votre mot de passe, transmis au service Have I Been Pwned (k-anonymat). Ni votre mot de passe ni aucun identifiant ne sont transmis.
Base légale: Intérêt légitime (sécurité des comptes).
Conservation: Aucune conservation.

Mesure d’audience

Finalité: Connaître la fréquentation du Service (nombre de personnes connectées, pages les plus consultées) pour l’améliorer.
Données: Compteurs agrégés : type de page consulté (« fiche recette », jamais son adresse ni son contenu), connecté ou non. Pour compter les personnes « en ligne », l’identifiant de votre compte est gardé en mémoire 5 minutes au plus (retiré dès la déconnexion), sans historique, jamais exporté ni affiché : seul le nombre de personnes connectées est consulté. Aucun cookie ni adresse IP n’est conservé.
Base légale: Intérêt légitime (art. 6.1.f RGPD), mesure exemptée de consentement (strictement nécessaire, first-party, agrégée). Entièrement désactivée, présence « en ligne » comprise, si vous vous y opposez (« Gérer les cookies » en bas de page, ou Profil › Mes données) ou si votre navigateur envoie « Do Not Track » ou « Global Privacy Control ».
Conservation: Compteurs journaliers : 13 mois.

Sessions et jetons

Finalité: Maintenir votre connexion de façon sécurisée.
Données: Jeton de rafraîchissement (cookie `cm_refresh`), jeton d’accès en mémoire.
Base légale: Exécution du contrat.
Conservation: 7 jours, renouvelés à chaque utilisation ; révoqués à la déconnexion.

3. Destinataires et sous-traitants

Scaleway SAS (Paris, France) : hébergement de l’application, de la base de données et des fichiers (photos). Données stockées dans l’Union européenne.
Cloudflare, Inc. : résolution DNS et protection du trafic. Cloudflare peut traiter des métadonnées de connexion (adresse IP) en transit ; transferts encadrés par les clauses contractuelles types de la Commission européenne.
Google LLC : uniquement si vous choisissez la connexion Google.
Have I Been Pwned : vérification anonymisée des mots de passe (voir ci-dessus).
Professionnel de la nutrition : uniquement celui que vous avez explicitement accepté.
Google LLC (Google Fonts) : chargement des polices du site ; votre adresse IP est transmise à Google pour les télécharger (aucun cookie). Les e-mails et le suivi des erreurs sont gérés par nos propres serveurs, sans prestataire tiers.

Aucune donnée n’est vendue ni cédée à des fins publicitaires.

4. Cookies

CookMate n’utilise aucun cookie publicitaire ni de réseau social. Les cookies et traceurs utilisés (session de connexion, sécurité, préférences d’affichage, mesure d’audience exemptée et connexion avec Google soumise à votre accord), leurs durées et la façon de gérer vos choix sont détaillés dans la politique de cookies.

5. Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants, exerçables directement depuis l’onglet « Mes données » de votre profil ou par e-mail :

Accès et portabilité : téléchargez l’intégralité de vos données au format JSON (jusqu’à 3 exports par jour).
Rectification : modifiez vos informations depuis votre profil.
Effacement : supprimez votre compte depuis votre profil ; il est désactivé immédiatement et purgé définitivement 7 jours plus tard.
Retrait du consentement : vous pouvez retirer à tout moment votre consentement au traitement de vos données de santé ou au partage avec un professionnel, sans remettre en cause la licéité des traitements antérieurs. Le retrait du consentement santé entraîne la suppression des données concernées.
Limitation et opposition : pour les traitements fondés sur l’intérêt légitime (journal d’audit), sur demande motivée.
Réclamation : vous pouvez saisir la CNIL (www.cnil.fr).

6. Durées de conservation

Compte et données associées : jusqu’à la suppression, purge 7 jours après la demande.
Jetons de session : 7 jours.
Journal d’audit : adresse IP 90 jours, entrées 400 jours.
Historique d’expérience (XP) : 24 mois.
Compteurs de mesure d’audience (agrégés, anonymes) : 13 mois ; présence « en ligne » : 5 minutes.
Rendez-vous avec votre professionnel : 12 mois après leur date.
Exports de données : générés à la demande, non conservés côté serveur.

7. Sécurité

Mots de passe hachés, chiffrement des échanges (TLS), jetons de courte durée, contrôle d’accès par rôles pour l’administration, journalisation des actions sensibles et vérification des mots de passe compromis. Les données de santé ne sont accessibles qu’à vous et, le cas échéant, au professionnel que vous avez accepté.

8. Mineurs

Le Service est réservé aux personnes de 13 ans et plus. Pour les moins de 15 ans, le consentement au traitement des données de santé doit être donné conjointement avec le titulaire de l’autorité parentale.

9. Évolution de cette politique

Chaque version de ce document est datée. En cas de modification substantielle, nous vous en informerons et solliciterons à nouveau votre acceptation.