Politique de confidentialité

Bellusto compose une semaine de repas pour ton foyer, en tire la liste de courses et t’indique où acheter chaque produit près de chez toi. Pour cela, il a besoin de savoir qui mange à ta table et ce que chacun peut manger. Cette politique explique ce que nous en faisons.

Le responsable du traitement de tes données est Barcobist, société par actions simplifiée au capital de 1 000 €, immatriculée au RCS de Paris sous le numéro 999 668 551, dont le siège est situé 60 rue François Ier, 75008 Paris, représentée par Yann Wehrlin (ci-après « nous »).

Elle s’applique à l’application mobile Bellusto, sur iPhone et sur Android, et au site bellusto.com (article 3). Elle est rédigée conformément au Règlement général sur la protection des données (« RGPD », règlement (UE) 2016/679) et à la loi n° 78-17 du 6 janvier 1978 modifiée, dite « Informatique et Libertés ».

En bref

• Nous collectons ce qu’il faut pour composer tes menus : ton compte, ton foyer, ta ville. Rien de plus.
• Nous ne vendons aucune donnée, et Bellusto ne contient aucune publicité ni aucun traceur publicitaire.
• Les allergies et les régimes de ton foyer servent uniquement à écarter les recettes qui ne conviennent pas, et à faire écrire une recette qui les respecte — sans jamais transmettre un prénom. Ils n’apparaissent jamais dans nos statistiques.
• Tes menus, ta liste de courses et tes recettes favorites restent sur ton téléphone.
• Tu peux supprimer ton compte à tout moment, depuis l’application : la suppression est immédiate.

1. Données recueillies

1.1 Ton compte

• Ton adresse email, et le nom que tu choisis d’afficher.
• Si tu te connectes avec Google ou Apple : l’adresse email et le nom que ce service nous transmet avec ton accord. Avec Apple, tu peux choisir de masquer ton adresse : nous recevons alors une adresse relais créée par Apple.
• Un identifiant de compte, la date de création du compte et celle de ta dernière connexion.
• La date à laquelle tu as coché la case de consentement de l’écran de connexion, et la version du texte que tu as accepté : c’est ce qui nous permet de démontrer ton accord (1.3).
• Les journaux techniques de connexion tenus par notre hébergeur (date, adresse IP, type d’appareil), qui servent à la sécurité des comptes.

Il n’y a pas de mot de passe : tu te connectes avec Google, Apple ou un code reçu par email.

1.2 Ton foyer

Pour chaque personne que tu ajoutes à ton foyer :

• son prénom ;
• son mois et son année de naissance — pas le jour —, sa taille et son poids, si tu choisis de les indiquer. Nous en déduisons son âge, qui se met ainsi à jour tout seul ;

• ses régimes particuliers, un ou plusieurs (par exemple végétalien, sans gluten, halal), et la part de repas végétariens qu’elle souhaite ;
• ses allergies, et les ingrédients qu’elle ne mange jamais ;
• ses goûts : ingrédients aimés et moins aimés, cuisines préférées — si tu es abonné à Bellusto Premium, qui seul permet de les renseigner (1.11).

Pour le foyer dans son ensemble : le budget par repas, le temps de cuisine que tu acceptes, et les repas pris d’habitude à la maison, jour par jour (par exemple les dîners de la semaine), qui servent à préparer chaque nouveau menu.

Ces informations peuvent concerner d’autres personnes que toi, y compris des enfants. En les saisissant, tu t’engages à le faire avec leur accord — ou celui de leurs parents — et à les informer de cette politique (voir les Conditions générales d’utilisation, article 6.2).

1.3 Des données particulières : santé et convictions

Certaines informations du foyer sont des données sensibles au sens de l’article 9 du RGPD :

• les allergies, les intolérances et les régimes suivis pour raison médicale (sans gluten, par exemple) sont des données de santé ;
• un régime suivi pour des raisons religieuses (halal, casher) peut révéler des convictions religieuses.

Nous ne les utilisons que pour une chose : ne jamais te proposer une recette qu’un membre de ton foyer ne peut pas manger — qu’elle vienne de notre catalogue ou qu’elle soit écrite pour ton repas (1.9).

Nous ne les traitons qu’avec ton consentement explicite, que tu donnes en cochant la case prévue à cet effet sur l’écran de connexion, avant d’entrer dans l’application. Tu peux le retirer à tout moment, en effaçant ces informations de la fiche du membre ou en supprimant ton compte. Sans elles, Bellusto fonctionne, mais ne peut plus garantir l’adéquation des recettes.

1.4 Le lieu de tes courses

Pour te proposer des commerces proches et t’indiquer à quelle distance ils sont, nous gardons :

• le nom du lieu que tu as choisi : une adresse, une rue, un lieu (« Halles de Lyon Paul Bocuse »), un quartier ou une ville — ou, si tu utilises ta position, la rue et la ville où elle se trouve ;
• un point correspondant, arrondi à une dizaine de mètres avant d’être enregistré : assez précis pour que les distances affichées jusqu’aux commerces soient justes.

Ce point n’est visible d’aucun autre utilisateur — Bellusto n’a ni profil public, ni carte partagée — et il ne quitte notre base pour aucun prestataire.

Tu choisis comment nous l’obtenons : en autorisant l’accès à la position de ton téléphone, ou en cherchant un lieu. Refuser l’accès à la position ne t’empêche pas d’utiliser Bellusto.

Quand tu cherches un lieu, ce que tu tapes est envoyé à notre serveur, qui le transmet à Photon pour obtenir des suggestions (4.1), accompagné, s’il est connu, du point de ton lieu actuel arrondi à un kilomètre environ, pour proposer d’abord ce qui est proche. Photon ne reçoit ni ton identité, ni l’adresse IP de ton téléphone. Ni notre serveur ni nous ne gardons ces saisies : seul le lieu que tu valides est enregistré.

Quand tu lances l’itinéraire vers les commerces, Bellusto ouvre ton application de cartes — Google Maps, ou Plans d’Apple pour un seul commerce sur iPhone — avec la position des commerces du trajet, dans l’ordre. Il n’y joint ni ton lieu, ni ton identité, ni ta liste de courses : l’application de cartes part de la position de ton téléphone, qu’elle lit elle-même si tu le lui as permis, et traite la demande selon sa propre politique de confidentialité, comme toute recherche que tu y ferais.

La carte du trajet, sur l’écran « Où acheter », montre ton lieu et les commerces sur un fond de carte fourni par OpenFreeMap (4.1). Ton lieu et les commerces sont placés sur la carte par ton téléphone : ils ne sont pas envoyés. Pour afficher le fond, ton téléphone télécharge les morceaux de carte de la zone affichée : OpenFreeMap reçoit donc, comme tout site que tu visites, l’adresse IP de ton téléphone et la zone regardée, sans ton identité ni aucun compte. Il ne garde pas les adresses IP dans ses journaux, et efface ceux-ci au bout de sept jours.

1.5 Ce qui reste sur ton téléphone

Les informations suivantes sont enregistrées uniquement sur ton appareil et ne nous sont pas transmises :

• ton menu en cours et ses recettes, avec les ingrédients que tu as remplacés ;
• ce que tu as déjà au frigo ou dans les placards, si tu l’indiques en composant un menu (avec l’abonnement) : les produits, et la quantité quand tu la donnes ;
• les articles que tu coches pendant les courses ;
• les commerces où tu as choisi d’acheter certains produits, et ceux que tu nous as signalés comme ne les vendant pas ;
• l’historique des plats servis et tes recettes favorites ;
• l’apparence choisie (claire ou sombre) ;
• le fait d’avoir vu la présentation de l’application, et ta réponse aux propositions de mise à jour ;
• ce qu’il faut pour ne te proposer de noter l’application qu’au bon moment et pas plus souvent : les semaines que tu as validées, le nombre de fois où nous te l’avons proposé, et quand.

L’historique et les favoris servent aussi à composer tes menus, sur ton téléphone : un nouveau menu évite les plats servis ces deux dernières semaines, et quand tu changes un plat, tu peux en choisir un parmi tes favoris.

Elles disparaissent quand tu désinstalles l’application.

1.6 La mesure d’usage

Pour savoir si Bellusto est utile, nous enregistrons des événements d’usage : l’onboarding a été commencé ou terminé, une semaine a été générée, une recette a été consultée, changée, créée ou signalée, un ingrédient a été remplacé, un panier ou une liste de commerces a été affiché, un itinéraire a été lancé, l’offre Premium a été affichée ou souscrite, la proposition de noter l’application a été acceptée ou repoussée.

Chaque événement porte ton identifiant de compte, un identifiant de session créé à chaque ouverture de l’application et oublié à sa fermeture, la version de l’application et le système de ton téléphone. Il peut porter des nombres — combien de membres, combien de repas, combien de commerces, combien de produits déclarés comme déjà là.

Il ne porte jamais de prénom, d’allergie, de régime, d’adresse ni de position. Cette garantie ne repose pas sur une consigne : l’application n’a aucun moyen technique d’y écrire un texte libre.

1.7 Les rapports de plantage

Si l’application plante, un rapport technique est envoyé : l’endroit du code où l’erreur s’est produite, le modèle de ton téléphone, la version de son système et de l’application, et un identifiant d’installation aléatoire. Il ne contient ni ton nom, ni ton email, ni les informations de ton foyer.

1.8 Le code de connexion

Si tu te connectes par email, nous t’envoyons un code à six chiffres, valable cinq minutes et utilisable une seule fois.

1.9 Les recettes créées pour un repas

Quand notre catalogue n’a pas de plat qui convienne, Bellusto peut écrire une recette pour un repas précis — quand tu demandes une nouvelle recette pour un repas et que le catalogue n’en a plus que tu n’aies déjà vue, quand il compose une semaine, ou, si tu es abonné, quand aucun plat du catalogue n’emploie un produit que tu as déjà. Notre serveur transmet alors à OpenAI, qui fait fonctionner le modèle d’intelligence artificielle :

• le moment du repas et le nombre de convives ;
• les allergies, régimes et ingrédients écartés des convives, rassemblés pour le repas : jamais qui porte quoi ;
• les ingrédients permis pour ce repas, et le mois en cours ;
• si tu es abonné, les goûts des convives, rassemblés de la même façon, et les produits que tu as déjà sous la main, parmi ceux que ce repas permet — leur nom seulement, sans quantité.

Il ne transmet jamais de prénom, d’âge, de taille, de poids, d’adresse ni d’identifiant de compte. La recette obtenue rejoint notre catalogue, sans lien avec toi : un autre foyer pourra se la voir proposer.

Pour chaque recette créée, nous enregistrons son coût, sa durée et l’identifiant de ton compte : c’est ce qui nous permet de suivre la dépense et de fixer des plafonds.

1.10 Les signalements

Tu peux signaler une recette qui ne va pas, une fois par recette, en choisissant une raison parmi cinq (étapes, quantités, ingrédients, goût, autre). Nous gardons la recette, la raison, la date et l’identifiant de ton compte.

Un signalement ne supprime rien : il met la recette de côté — elle n’est plus proposée à personne — le temps qu’un membre de notre équipe la relise et décide de la rétablir ou de la retirer. « Ça ne donne pas envie » est une affaire de goût : la recette n’est mise de côté qu’à partir de trois avis de ce genre. Nous sommes prévenus par email ; ce message contient la recette, la raison et le nombre de signalements, jamais ton identité.

1.11 Ton abonnement

Si tu t’abonnes à Bellusto Premium, le paiement se fait auprès d’Apple ou de Google, selon ton téléphone : tes coordonnées de paiement ne nous parviennent jamais. Le store informe RevenueCat, le prestataire qui gère les abonnements pour notre compte, en lui transmettant l’identifiant de ton compte Bellusto et les caractéristiques de l’achat.

Nous gardons, dans notre base : la formule choisie, le store, la date d’échéance, si l’abonnement se renouvellera, et s’il s’agit d’une période d’essai.

2. Utilisation

Pourquoi	Quelles données	Base légale
Créer ton compte et te connecter	1.1, 1.8	L’exécution des conditions d’utilisation que tu acceptes (art. 6.1.b RGPD)
Composer tes menus, calculer ton panier et estimer ton budget	1.2 ; 1.5 pour varier les menus et proposer tes favoris	L’exécution des conditions d’utilisation (art. 6.1.b)
Écarter les recettes qu’un membre ne peut pas manger	1.3	Ton consentement explicite (art. 9.2.a)
Créer une recette adaptée à un repas	1.2, 1.9 ; 1.3 pour les allergies et régimes	L’exécution des conditions d’utilisation (art. 6.1.b) ; ton consentement explicite pour les données de 1.3 (art. 9.2.a)
Retirer du catalogue les recettes qui ne vont pas	1.10	Notre intérêt légitime à proposer des recettes qu’on peut cuisiner (art. 6.1.f)
Gérer ton abonnement	1.11	L’exécution du contrat d’abonnement (art. 6.1.b)
Te proposer de noter l’application, au bon moment	1.5	Notre intérêt légitime à faire connaître Bellusto (art. 6.1.f)
Te proposer des commerces proches	1.4	L’exécution des conditions d’utilisation (art. 6.1.b) ; pour la position du téléphone, ton consentement, donné par l’autorisation du système et retirable dans ses réglages
Comprendre comment Bellusto est utilisé, pour l’améliorer	1.6	Notre intérêt légitime à améliorer un service que tu utilises (art. 6.1.f)
Corriger les plantages	1.7	Notre intérêt légitime à fournir une application stable (art. 6.1.f)
Protéger les comptes : limiter les demandes de code, détecter les abus	1.1, 1.8	Notre intérêt légitime à sécuriser le service (art. 6.1.f)
Répondre à une autorité	Selon la demande	Une obligation légale (art. 6.1.c)

Tu peux t’opposer à tout traitement fondé sur notre intérêt légitime en nous écrivant (article 8).

Nous ne prenons aucune décision automatisée qui produise des effets juridiques à ton égard : Bellusto propose des recettes, tu choisis.

3. Cookies et traceurs

L’application ne contient aucun traceur publicitaire et ne te suit pas d’une application à l’autre. Elle n’utilise pas l’identifiant publicitaire de ton téléphone.

Les seuls identifiants qu’elle utilise sont ceux décrits plus haut : l’identifiant de session de la mesure d’usage (1.6), oublié à la fermeture de l’application, et l’identifiant d’installation des rapports de plantage (1.7).

Le site bellusto.com ne dépose aucun cookie et ne contient ni outil de mesure d’audience ni traceur : il n’a donc rien à te demander. Ses polices et ses images sont servies par le site lui-même, sans appel à un tiers. Comme tout site, il passe par un hébergeur — Google, avec Firebase Hosting — qui reçoit l’adresse IP et les caractéristiques techniques de ton navigateur pour t’envoyer les pages demandées.

4. Destinataires

Tes données sont accessibles aux seules personnes de notre équipe qui en ont besoin pour faire fonctionner le service. Aucun autre utilisateur n’y a accès : Bellusto n’a ni profil public, ni communauté, ni messagerie. Nous pouvons les communiquer à une autorité judiciaire ou administrative qui nous le demande légalement.

Nous ne vendons, ne louons et ne cédons aucune donnée.

4.1 Les prestataires

Prestataire	Rôle	Données concernées
Supabase	Héberge la base de données et gère les comptes et les connexions	1.1, 1.2, 1.3, 1.4, 1.6
Resend	Envoie l’email qui contient ton code de connexion	Ton adresse email, le code
Google (Firebase Crashlytics)	Reçoit et conserve les rapports de plantage	1.7
Google (Firebase Hosting)	Héberge et sert le site bellusto.com	L’adresse IP et les caractéristiques du navigateur de qui visite le site (3)
Google (Sign-In)	Te connecte avec ton compte Google, si tu le choisis	1.1
Apple (Sign in with Apple)	Te connecte avec ton identifiant Apple, si tu le choisis	1.1
Apple ou Google, selon ton téléphone	Le service de géolocalisation du système trouve le nom de la rue et de la ville à partir de ta position, ou situe une saisie quand la recherche de lieux ne répond pas	Ta position, ou le lieu saisi
Google (Maps) ou Apple (Plans), selon ton choix et ton téléphone	Affiche l’itinéraire vers les commerces, quand tu le lances	La position des commerces du trajet, sans identité ; ta propre position, l’application la lit elle-même (1.4)
OpenFreeMap (Hongrie)	Fournit le fond de la carte du trajet, à partir des données d’OpenStreetMap	L’adresse IP de ton téléphone et la zone de carte affichée, sans identité (1.4)
Photon (komoot GmbH, Allemagne)	Propose des lieux pendant que tu en cherches un, à partir des données d’OpenStreetMap	Ce que tu tapes, et un point arrondi à un kilomètre environ, sans identité ni adresse IP (1.4)
OpenAI	Fait fonctionner le modèle qui écrit une recette pour un repas	Les contraintes rassemblées d’un repas, sans identité (1.9)
RevenueCat	Gère les abonnements pour notre compte, à partir des informations du store	L’identifiant de ton compte, les caractéristiques de ton abonnement (1.11)
Apple ou Google (App Store, Google Play)	Encaissent le paiement de l’abonnement	Tes coordonnées de paiement, que nous ne recevons pas

Google et Apple, lorsqu’ils te connectent, distribuent l’application sur leurs boutiques ou affichent un itinéraire, agissent aussi pour leur propre compte, selon leurs propres politiques de confidentialité.

La recherche de commerces, elle, ne passe par aucun prestataire : elle se fait dans notre propre base, à partir de données publiques d’OpenStreetMap.

5. Stockage et transferts

Notre base de données est hébergée dans l’Union européenne, à Paris.

Certains prestataires sont établis aux États-Unis ou peuvent y traiter des données : Supabase pour l’assistance technique, Resend pour l’envoi des emails, Google pour les rapports de plantage et l’hébergement du site, OpenAI pour l’écriture des recettes, RevenueCat pour la gestion des abonnements. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, pour les prestataires qui y ont adhéré, par le cadre de protection des données UE–États-Unis (Data Privacy Framework).

Photon, qui propose des lieux pendant une recherche, est hébergé en Allemagne : ce que tu y tapes ne quitte pas l’Union. OpenFreeMap, qui fournit le fond de carte, est un service établi en Hongrie.

Ne quittent jamais notre base ni ton téléphone pour un tiers : les prénoms, âges, tailles et poids des membres de ton foyer, ta position précise, ton menu et ta liste de courses. Seul un point arrondi à un kilomètre environ accompagne une recherche de lieu (1.4). Les allergies, régimes, goûts et produits déjà là n’en sortent que rassemblés pour un repas, sans aucune identité, quand une recette est écrite pour lui (1.9). L’itinéraire ne transmet que la position des commerces (1.4).

6. Durées de conservation

Données	Durée
Ton compte, ton foyer, ta zone, ton consentement	Tant que ton compte existe. Supprimés immédiatement quand tu supprimes ton compte
Ton abonnement	Tant que ton compte existe. À sa suppression, la ligne de notre base est effacée, et nous demandons à RevenueCat d’effacer ton dossier client. Apple et Google conservent leur propre historique d’achat, selon leurs règles
Code de connexion	5 minutes, usage unique
Événements de mesure d’usage	Tant que ton compte existe. À sa suppression, ils sont immédiatement détachés de toi : l’identifiant de compte est effacé, seuls restent des compteurs anonymes
Coût des recettes créées, signalements	Tant que ton compte existe ; à sa suppression, détachés de toi de la même façon
Recettes créées pour un repas	Elles rejoignent notre catalogue, sans aucun lien avec toi
Rapports de plantage	90 jours
Journaux techniques de connexion	La durée fixée par notre hébergeur pour la sécurité des comptes
Données sur ton téléphone (1.5)	Jusqu’à la désinstallation de l’application

7. Tes droits

Tu disposes des droits suivants sur tes données :

• accès : savoir ce que nous détenons sur toi, et en obtenir une copie ;
• rectification : corriger une information inexacte — les informations de ton foyer se modifient directement dans l’application ;
• effacement : supprimer ton compte depuis l’application, dans Réglages → Supprimer mon compte. La suppression est immédiate et définitive : elle emporte ton foyer, ses membres, et tout ce qui s’y rattache. Elle ne résilie pas un abonnement en cours, qui se résilie auprès d’Apple ou de Google ;
• retrait du consentement : pour les données de santé et de convictions (1.3), en les effaçant de la fiche du membre, ou en supprimant ton compte ; pour la position, dans les réglages de ton téléphone ;
• limitation et opposition, notamment aux traitements fondés sur notre intérêt légitime (article 2) ;
• portabilité : recevoir les données que tu nous as fournies dans un format lisible par une machine ;
• directives post-mortem : définir ce que deviennent tes données après ton décès.

Pour exercer ces droits, écris-nous à l’adresse de l’article 8. Nous répondons dans un délai d’un mois, qui peut être prolongé de deux mois pour une demande complexe ; nous te le dirions alors dans le premier mois. Nous pouvons te demander de confirmer ton identité si nous avons un doute raisonnable.

Si tu estimes que tes droits ne sont pas respectés, tu peux adresser une réclamation à la CNIL (www.cnil.fr).

8. Nous contacter

Pour toute question sur cette politique ou sur tes données : contact@bellusto.com.

9. Modifications

Nous pouvons faire évoluer cette politique, notamment quand Bellusto gagne une fonctionnalité. La date de mise à jour figure en haut de cette page. Si une modification change la façon dont tes données sont utilisées, nous te préviendrons dans l’application ou par email avant qu’elle ne s’applique.