Politique de confidentialité

Cette page décrit les données traitées par Au Menu (batch cooking), leurs finalités, leur durée de conservation et vos droits. Elle est accessible sans compte.

Contact données personnelles

Pour toute question ou demande relative à vos données, écrivez à confidentialite@aume.nu. Cette adresse est redirigée vers Roch, référent données initial.

Hébergement et prestataires

L'application est hébergée sur un VPS Contabo en Europe. Les données sont stockées sur ce serveur.

Prestataires réellement activés à ce jour :

Contabo — hébergement du VPS (base de données, application).
Better Auth — authentification des comptes adultes.

Les envois d'emails utilisent Brevo (API transactionnelle) en production et Mailpit en développement. Un état « soumis » signifie que le message a été accepté par le fournisseur ; il ne garantit pas la livraison au destinataire.

Aucun traceur publicitaire n'est activé. Aucun SDK de suivi tiers n'est chargé par défaut.

Umami, hébergé sur notre VPS, mesure les pages publiques consultées et les sources de visite, sans cookie ni identifiant de compte. Les paramètres de recherche, liens privés et jetons sont exclus. Le réglage « Do Not Track » est respecté. Une empreinte technique calculée à partir du réseau et du navigateur permet d'estimer les premières visites et les retours au cours du même mois. Elle est renouvelée au début de chaque mois. Un changement de réseau ou de navigateur peut être compté comme une nouvelle visite ; aucun rapprochement avec votre compte n'est effectué.

Données collectées et finalités

Seuls les adultes ont un compte. Les convives sont décrits par un surnom facultatif ; un nombre de portions suffit sans informations nominatives.

Catégories de données, finalités et audiences
Catégorie	Finalité	Audience
Identifiants du compte adulte (email, mot de passe)	Authentification, sécurité du compte	La personne concernée
Données du foyer (nom affiché, portions, préférences alimentaires)	Planification des repas, courses et préparations	Membres du foyer
Texte libre (remarques, retours post-repas)	Personnalisation des suggestions, mémorisation des habitudes	Membres du foyer ; la personne concernée pour les notes « Moi »
Données de recettes et de planning	Calcul des menus, listes de courses et tâches de cuisine	Membres du foyer
Photos de plats et avatars (fonction à venir)	Illustration des réalisations, profil du membre	Selon la visibilité du repas et du profil familial
Préférences de notification	Envoi des rappels et informations de service	La personne concernée
Journaux techniques	Sécurité, diagnostic, prévention des abus	Équipe d'exploitation

Les allergies déclarées peuvent constituer des données de santé. Leur traitement repose sur le consentement explicite de la personne (ou du responsable légal pour un enfant). Ce consentement est retirable à tout moment ; le retrait désactive la personnalisation liée sans effacer silencieusement la restriction.

L'application ne reçoit ni ne conserve d'audio. Une dictée fournie par le système de votre appareil arrive comme texte ordinaire.

Durées de conservation

Données du compte : conservées pendant la vie du compte, puis purge opérationnelle sous 30 jours après sa suppression, sauf obligation légale ou litige précisément documenté.
Export de données : le fichier reste téléchargeable 7 jours, puis est supprimé.
Support ordinaire (échanges avec l'équipe) : 6 mois.
Sécurité et modération (dossiers d'incidents) : 12 mois.
Journaux techniques : 30 jours.
Liste de suppression (désabonnements, rebonds, plaintes) : minimum nécessaire pour honorer ces oppositions.

Toute prolongation au-delà de ces délais répond à une obligation légale ou à un litige précis, documenté. Aucune conservation générale sans finalité n'est pratiquée.

Sauvegarde : la V1 ne dispose pas de copie de sauvegarde hors du VPS. Aucune garantie de perte maximale (RPO) ni de délai de reprise (RTO) n'est annoncée. Une perte du serveur peut entraîner la perte des données. Ce risque est accepté explicitement pour les premiers usages.

Le fil social de repas réalisés et les profils familiaux ne sont pas encore activés. Lorsqu'ils le seront, deux modes de profil seront proposés (privé et public) et chaque réalisation aura une visibilité explicite (visible ou cachée). Une réalisation cachée ne produira aucune lecture sociale. Les avatars des membres seront facultatifs, remplaçables et supprimables, avec initiales en repli.

Cette page sera mise à jour avant l'activation de ces fonctions.

Texte et dérivés IA

L'assistance par intelligence artificielle n'est pas encore activée. Lorsqu'elle le sera, les prompts transmettront les contraintes minimales, sans noms ni identifiants directs. Le texte brut, les propositions interprétées et les faits confirmés auront des durées et finalités distinctes. Aucun consentement marketing ne sera déduit de la création d'un compte.

Mesure de l’usage

Lorsque la collecte serveur est configurée, les consultations réussies des fiches recette, de la semaine et des courses, ainsi que les changements effectifs de menu ou de portions, alimentent des compteurs globaux réservés aux superadmins habilités. Les références de compte et de foyer sont pseudonymisées avec un sel serveur. Aucun nom, texte familial, allergie, recherche, URL libre, cookie, adresse IP ou user-agent ne figure dans ces événements. Il n’y a ni détail nominatif ni enregistrement de session.

Les événements pseudonymes sont conservés 90 jours et les agrégats journaliers globaux sans identifiant 12 mois. L’effacement des pseudonymes concernés accompagne la procédure de suppression. Les consultations sont des rapports du navigateur, sans preuve de repas cuisiné ou de satisfaction. Cette préparation technique n’atteste pas une activation en production ni une conformité juridique vérifiée.

Choix de recettes pendant une visite

Lorsque ce journal serveur est activé, les recettes publiques proposées et vos décisions (choisir, passer ou garder le menu) sont conservées pour préparer de futures améliorations des suggestions. Cela concerne aussi les visites sans compte. Un identifiant aléatoire relie les étapes dans un même onglet ; il reste identique après rechargement et disparaît à la fermeture de cet onglet, sous réserve des fonctions de restauration du navigateur.

Ce journal ne contient ni référence de compte ou de foyer, ni cookie, adresse IP, date de menu, restriction alimentaire ou texte personnel. Les choix du catalogue sont enregistrés sans inventer des alternatives refusées. Les événements serveur sont conservés 90 jours, puis purgés quotidiennement. Ils ne servent pas encore à un apprentissage collectif. Les préférences utilisées pour votre personnalisation suivent leur stockage habituel, local dans le navigateur sans compte.

La langue choisie est conservée un an dans le cookie au-menu-language et, après connexion, dans vos préférences personnelles de compte avec leur date de mise à jour. Elle sert au choix de la langue de l’interface et du catalogue et n’est pas partagée avec le foyer.

Vos droits

Vous disposez des droits suivants. Chaque parcours indiqué est utilisable en l'état et précise ses préconditions et sa destination. Les écrans de compte qui permettront d'exercer ces droits directement dans l'application ne sont pas encore publiés ; cette page sera mise à jour à leur publication.

Accès et export — demander une copie de vos données dans un format utilisable. Préconditions : un compte adulte ; la génération depuis l'application exige une session authentifiée, et l'export complet exige une réauthentification par mot de passe de moins de dix minutes. Le fichier reste téléchargeable 7 jours après sa génération. Parcours email : demander l'export de vos données par email (précisez l'adresse de votre compte).
Correction — faire corriger les informations vous concernant. Parcours email : demander la correction de vos données par email en décrivant précisément les informations à corriger et l'adresse de votre compte.
Suppression — demander la suppression de votre compte et de vos données. La purge opérationnelle intervient sous 30 jours. Préconditions : un compte adulte et une réauthentification par mot de passe de moins de dix minutes. Parcours email : demander la suppression de votre compte par email depuis l'adresse de votre compte.
Désabonnement — vous désabonner de tout ou partie des emails facultatifs, sans connexion obligatoire, via le lien de désabonnement présent dans chaque message ; ce lien ouvre le désabonnement direct. L'écran des préférences de notification n'est pas encore publié. Parcours email accompagné : demander un désabonnement par email.
Opposition et signalement — signaler un contenu abusif ou vous opposer à un traitement. Parcours email : signaler un contenu ou vous opposer par email.
Retrait du consentement — retirer votre consentement pour les données sensibles (allergies) à tout moment. Le retrait désactive le traitement lié et vous propose l'export ou la suppression. Parcours email : demander le retrait de votre consentement par email.

Le départ d'un foyer révoque son accès et permet d'exercer ses droits. Les courses et réalisations collectives des autres membres ne sont pas supprimées automatiquement.

Pour exercer un droit par email, écrivez à confidentialite@aume.nu. Nous répondons à l'adresse utilisée pour la demande et pouvons demander une preuve de contrôle du compte concerné. Les délais de traitement et les exceptions seront documentés par Roch avant l'ouverture aux premiers utilisateurs externes.

Conservation après suppression

Après suppression de votre compte, sont conservés uniquement les éléments nécessaires pour honorer les désabonnements, rebonds et plaintes (liste de suppression minimale), et les dossiers de sécurité ou de modération dans la limite de 12 mois. Toute prolongation est motivée par une obligation légale ou un litige précis.