POLITIQUE DE CONFIDENTIALITÉ (RGPD)
1. Responsable du traitement
Le responsable du traitement des données personnelles collectées par l'Application est (à déterminer), (à déterminer), joignable à contact@lemenestreldelacuisine.com pour toute question relative à vos données personnelles.
L'Application est réservée aux personnes ayant l'âge minimum fixé par l'Éditeur (18 ans à ce jour) ; la date de naissance est demandée à l'inscription pour le vérifier.
2. Données collectées
| Catégorie | Exemples | Finalité |
|---|---|---|
| Compte | Pseudo, email, mot de passe (haché), date de naissance, langue, avatar (image de la galerie ou photo personnelle) ; facultatifs : pays, région, département, ville, code postal, genre | Création et gestion du compte |
| Connexion et sécurité du compte | Identifiant du compte Google si le Joueur se connecte par Google, second facteur d'authentification, clés d'accès de l'appareil, sessions ouvertes, journal des connexions (empreinte de l'adresse IP, type d'appareil, fuseau horaire, pays supposé) | Authentification, protection du compte |
| Progression de jeu | XP, rang, badges, historique de quêtes, préférences culinaires, réponses au questionnaire d'accueil | Fonctionnement du jeu, personnalisation |
| Allergies (donnée de santé) | Ingrédients que le Joueur déclare comme allergènes — enregistrés uniquement avec son accord explicite, daté et conservé ; il peut le retirer à tout moment, ce qui efface ses allergies | Ne jamais lui proposer une recette qui contient un ingrédient auquel il est allergique |
| Preuves de quêtes | Photos, vidéos soumises pour validation, et la date de prise de vue lue dans la photo | Validation des quêtes (humaine et/ou automatisée) |
| Paiement | Historique des transactions et des achats (le numéro de carte n'est jamais stocké par l'Éditeur) ; nom et adresse de facturation, lorsqu'une facture nominative doit être établie (livre imprimé) | Gestion des abonnements, achats, dons, commandes ; établissement des factures |
| Don avec reçu fiscal | Nom, adresse postale (uniquement si le Joueur en fait la demande) | Transmission à l'association partenaire pour émission du reçu fiscal |
| Livre imprimé | Nom, adresse de livraison, téléphone et email de contact pour la livraison | Transmission de la commande au prestataire d'impression |
| Messages | Messages écrits dans l'espace communautaire et dans les guildes, avec le pseudonyme au moment de l'écriture | Échanges entre joueurs |
| Relations entre joueurs | Joueurs bloqués, signalements faits ou reçus | Modération, tranquillité des joueurs |
| Assistance | Échanges avec l'assistance (SOS Chef, tickets de support) et leurs pièces jointes | Aider le Joueur |
| Fichiers | Photos et fichiers déposés (preuves, couvertures de livre, emblèmes, avatar) | Fonctionnement du jeu |
| Programme de test (bêta) | Retours écrits, captures d'écran et journaux techniques envoyés par le Joueur inscrit au programme | Correction de l'Application |
| Appareil | Fuseau horaire, type d'appareil, jeton de notification | Calcul des journées de jeu, notifications |
| Mesure d'audience | Pages et fonctions utilisées, réussites, échecs et durées. Sans accord du Joueur, ces comptages ne portent ni identifiant ni adresse IP : ils ne permettent pas de savoir qui a fait quoi. Avec son accord seulement, un identifiant technique, qui ne permet pas de retrouver le compte, relie ses visites entre elles | Amélioration de l'Application |
| Photos du frigo et des placards | Photos que le Joueur prend dans l'Application pour faire reconnaître ses ingrédients ; elles peuvent montrer l'intérieur de son logement. La liste d'ingrédients reconnue, et celle que le Joueur valide après l'avoir corrigée | Reconnaître ses ingrédients ; entraîner cette reconnaissance |
| Technique | Données de plantage de l'application (sans donnée personnelle identifiante) ; adresse IP des appels refusés par le contrôle d'intégrité de l'application | Sécurité, diagnostic technique |
3. Base légale et durée de conservation
Chaque traitement repose sur l'une des bases prévues par le RGPD :
| Traitement | Base légale |
|---|---|
| Compte, progression de jeu, validation des preuves, espace communautaire, assistance, achats et commandes | Exécution du contrat (CGU et CGV acceptées) |
| Allergies déclarées (donnée de santé) | Consentement explicite et distinct du Joueur |
| Notifications, mesure d'audience rattachée à un identifiant, reçu fiscal d'un don | Consentement |
| Sécurité du compte, lutte contre la fraude et la triche, contrôle d'intégrité de l'application, mesure d'audience sans identifiant | Intérêt légitime de l'Éditeur |
| Anonymisation des photos de preuve en vue de l'entraînement, et comparaison des intelligences artificielles avec des prestataires extérieurs, qui donnent aussi un avis sur la photo sans rien décider (article 4) | Intérêt légitime de l'Éditeur : améliorer la validation des quêtes |
| Reconnaissance des ingrédients sur les photos du frigo ; anonymisation de ces photos et conservation de leur version anonymisée pour l'entraînement | Exécution du contrat pour la reconnaissance demandée par le Joueur ; intérêt légitime de l'Éditeur pour l'entraînement |
| Factures, preuves de paiement, dons ; copie conservée un an après la suppression d'un compte | Obligation légale |
Tout consentement se retire à tout moment, aussi simplement qu'il a été donné, depuis les réglages de l'Application ou en écrivant à contact@lemenestreldelacuisine.com ; le retrait ne remet pas en cause ce qui a été fait avant lui. Le Joueur peut s'opposer à un traitement fondé sur l'intérêt légitime dans les conditions de l'article 8.
Les données sont conservées le temps de l'utilisation du compte, puis archivées ou supprimées conformément aux délais légaux applicables (notamment en matière comptable et fiscale pour les données de paiement et de don).
Durées particulières :
| Donnée | Durée |
|---|---|
| Preuves de quête (photos, vidéos) | 30 jours après leur validation, avec leur lien au Joueur ; elles sont ensuite anonymisées (voir l'article 6), sauf celles que le Joueur a choisi de garder pour ses livres |
| Preuves jamais examinées | Supprimées 90 jours après leur dépôt |
| Journal des connexions | 90 jours |
| Notifications reçues dans l'Application | 90 jours |
| Adresse IP des appels refusés par le contrôle d'intégrité | 1 an |
| Suivi des courriels envoyés | L'adresse du destinataire est effacée du suivi au bout d'1 an |
| Messages de l'espace communautaire et des guildes | Le temps de l'utilisation du service |
| Tickets de support | 730 jours après leur clôture ; 3650 jours lorsqu'ils portent sur un paiement |
| Factures, preuves de paiement et dons | Durées des obligations comptables et fiscales |
| Sauvegardes de la base de données | 30 jours glissants |
Lorsqu'un compte est supprimé, une copie de son identité et du dossier de ses données est gardée un an, chiffrée, dans un espace sécurisé, consultable seulement sur motif écrit (réquisition de l'autorité judiciaire, article 6 de la loi pour la confiance dans l'économie numérique) ; elle est ensuite détruite.
4. Destinataires des données
Les données peuvent être transmises, dans la stricte limite nécessaire à chaque finalité, aux catégories de tiers suivantes :
- les boutiques d'applications (Google Play, et l'App Store d'Apple le moment venu), pour les achats intégrés à l'application — c'est la boutique qui encaisse et qui authentifie l'acheteur ;
- les prestataires de paiement (Stripe, PayPal), pour les dons et les livres imprimés ;
- le prestataire d'impression à la demande, uniquement pour l'exécution d'une commande de livre imprimé (contenu du livre, nom, adresse de livraison, téléphone et email de contact) ;
- les services de notifications (Google Firebase Cloud Messaging pour Android, Apple Push Notification service pour iOS), qui reçoivent le jeton de l'appareil et le texte de la notification pour l'acheminer ;
- Google, lorsque le Joueur choisit de se connecter avec son compte Google ;
- les services de recherche d'adresse (OpenStreetMap Nominatim, LocationIQ et, en dernier recours, OpenCage), qui reçoivent le pays et le nom de ville ou le code postal saisi par le Joueur lorsqu'il renseigne sa ville, sans aucun identifiant du Joueur ;
- les prestataires d'intelligence artificielle (Cloudflare, Inc. (États-Unis), Mistral AI (France) et Anthropic PBC (États-Unis)) : voir ci-dessous ;
- l'association partenaire de la saison en cours, uniquement en cas de demande de reçu fiscal par le Joueur (nom, adresse, montant) ;
- l'hébergeur des serveurs et le prestataire d'envoi de courriels ;
- les autorités compétentes, si la loi l'exige.
Intelligence artificielle. Les services d'intelligence artificielle de l'Application (détourage, détection et floutage de visages, analyse et description de photo, reconnaissance d'ingrédients, analyse de texte, traduction, transcription et lecture vocale) tournent sur les serveurs de l'Éditeur. Afin de comparer leur qualité et leur rapidité à celles de services équivalents, et de mesurer si une intelligence artificielle sait juger une preuve, l'Éditeur fait traiter en parallèle les photos de preuve par des prestataires extérieurs : Cloudflare, Inc. (États-Unis), Mistral AI (France) et Anthropic PBC (États-Unis).
- qui reçoit : Cloudflare, Inc. (États-Unis), Mistral AI (France) et Anthropic PBC (États-Unis) — Cloudflare : 101 Townsend Street, San Francisco, Californie, États-Unis ; Mistral AI : 15 rue des Halles, 75001 Paris, France ; Anthropic : 548 Market Street, San Francisco, Californie, États-Unis —, chacun en qualité de sous-traitant de l'Éditeur ;
- quelles données : les photos de preuve telles que le Joueur les envoie (elles peuvent montrer un visage ou un intérieur), puis leur version anonymisée lorsqu'elles entrent au corpus d'entraînement (article 6). Avec la photo partent seulement le nom de la recette et de l'étape, la liste des ingrédients et du matériel de la recette et, s'il y en a une, la consigne donnée au Joueur pour cette photo. Aucun pseudo, email ni identifiant de compte n'accompagne ces photos. Les messages, textes et enregistrements sonores des Joueurs ne sont pas transmis à ces prestataires ;
- pourquoi : comparer les résultats, les délais et les coûts des intelligences artificielles, et recueillir leur avis sur la photo (correspond-elle à l'étape ou au plat, montre-t-elle un écran, la consigne est-elle respectée) ; cet avis est seulement enregistré : aucune décision concernant le Joueur n'est prise à partir du résultat de ces prestataires, et il n'en est pas informé. L'Éditeur efface de ses propres serveurs, au bout de 30 jours, les résultats de la comparaison faite sur une photo de preuve ;
- dans quel pays : selon le prestataire, les contenus sont traités dans l'Union européenne, aux États-Unis ou dans tout pays où il exploite ses centres de calcul ;
- sur quel mécanisme repose le transfert : la décision d'adéquation de la Commission européenne relative au cadre de protection des données Union européenne – États-Unis (Data Privacy Framework), lorsque le prestataire y adhère, ou à défaut les clauses contractuelles types de la Commission européenne intégrées à l'accord de traitement des données conclu avec lui ; un prestataire qui traite les contenus dans l'Union européenne ne donne lieu à aucun transfert.
Photos du frigo. Lorsque le Joueur utilise la reconnaissance du frigo, ses photos sont analysées par une intelligence artificielle qui en tire une liste d'ingrédients ; les autres intelligences artificielles, dont celles des prestataires extérieurs cités ci-dessus, les analysent en parallèle pour être comparées. Aucun pseudo, email ni identifiant de compte n'accompagne ces photos. Le Joueur corrige la liste avant qu'elle serve : rien n'est décidé sans lui.
Les rapports de plantage et les statistiques d'usage sont hébergés par l'Éditeur. Les fichiers déposés sont stockés sur les serveurs de l'Éditeur ; s'il venait à confier leur stockage à un hébergeur de fichiers, la présente Politique serait mise à jour au préalable.
L'Éditeur ne vend ni ne loue les données personnelles des Joueurs à des tiers à des fins commerciales.
5. Hébergement et transferts de données
Lieu d'hébergement des serveurs de l'Éditeur : Union européenne. Certains prestataires cités à l'article 4 (Google, Apple, Stripe, PayPal, le prestataire d'impression, Cloudflare, Inc. (États-Unis), Mistral AI (France) et Anthropic PBC (États-Unis)) peuvent traiter des données hors de l'Union Européenne ; ils le font dans le cadre des garanties prévues par le RGPD (clauses contractuelles types ou décision d'adéquation).
6. Validation des preuves par intelligence artificielle et entraînement
Selon les quêtes, la validation d'une preuve peut être réalisée par un modérateur humain, par un système automatisé, ou par les deux en parallèle à des fins de comparaison statistique. Le Joueur peut contester une décision de refus dans les 7 jours qui la suivent, une fois par preuve ; la décision est alors systématiquement réexaminée par un humain, conformément à son droit de ne pas faire l'objet d'une décision entièrement automatisée sans intervention humaine possible (article 22 du RGPD).
Les photos de preuve servent à entraîner le système de reconnaissance de l'Éditeur, uniquement après anonymisation irréversible : les visages sont floutés, les objets de la photo sont découpés et reconnus, seuls restent visibles le plat, les ingrédients, le matériel et les ustensiles, tout le reste (mains, arrière-plan, objets personnels) est flouté, les données techniques de la photo (position, appareil, date) sont retirées, et la photo d'origine est supprimée. Une photo anonymisée ne se rattache plus à personne : elle ne peut donc plus être retrouvée pour être supprimée, ni faire l'objet d'une opposition après coup.
Les photos du frigo suivent le même chemin : dès que le Joueur a validé sa liste, elles sont anonymisées — seuls restent visibles les aliments et le matériel reconnus, tout le reste est flouté, les données techniques sont retirées, la photo d'origine est supprimée — puis conservées, avec la liste reconnue et la liste validée, pour entraîner la reconnaissance d'ingrédients. Le Joueur qui ne souhaite pas que ses photos servent ainsi n'utilise pas la reconnaissance du frigo : il saisit ses ingrédients à la main. Une photo anonymisée ne se rattache plus à personne et ne peut plus être retrouvée.
7. Rapports de plantage et mesure d'audience
En cas de plantage de l'application, un rapport technique est transmis automatiquement à un service hébergé par l'Éditeur, sans donnée personnelle identifiante, à des fins exclusives de correction technique.
La mesure d'audience est hébergée par l'Éditeur ; rien n'en est transmis à un tiers et elle ne sert à aucune publicité. Sans accord du Joueur, elle compte les pages et fonctions utilisées sans aucun identifiant ni adresse IP. Elle ne rattache l'usage à un identifiant technique que si le Joueur y a consenti (Réglages, Mon compte) ; il peut retirer ce consentement à tout moment, ce qui efface ce qui a été mesuré à son sujet.
8. Droits du Joueur et suppression du compte
Conformément au RGPD, le Joueur dispose d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de ses données, ainsi que du droit de définir des directives relatives à leur sort après son décès. Il les exerce :
- dans l'application : Réglages, Mon compte — exporter ses données, supprimer son compte, s'opposer à un traitement (messages, échanges avec l'assistance, fichiers, classements) sans supprimer son compte, donner ou retirer son consentement à la mesure d'audience ;
- opposition à la comparaison des intelligences artificielles (article 4) : en écrivant à contact@lemenestreldelacuisine.com ; les photos de preuve du Joueur cessent alors d'être soumises aux prestataires extérieurs ;
- sans l'application : sur la page de suppression de compte (https://suppression.lemenestreldelacuisine.com), ou en écrivant à contact@lemenestreldelacuisine.com. Toute demande est traitée dans un délai de 30 jours au plus.
Le Joueur dispose également du droit d'introduire une réclamation auprès de la CNIL (www.cnil.fr).
Ce que devient chaque donnée quand un compte est supprimé :
| Donnée | Traitement |
|---|---|
| Profil, préférences, allergènes déclarés, notifications, sessions | Supprimés |
| Points, rangs, badges, classements | Supprimés |
| Historique de progression | Anonymisé : conservé pour les statistiques, sans lien avec le Joueur |
| Photos et fichiers déposés | Anonymisés (voir l'article 6) ; ce qui ne peut pas l'être est supprimé |
| Messages de l'espace communautaire et des guildes | Conservés, affichés sous « utilisateur supprimé » ; aucune fiche n'est accessible |
| Échanges privés avec l'assistance SOS Chef | Supprimés |
| Tickets de support | Conservés 730 jours après leur clôture (3650 jours s'ils portent sur un paiement), sous un identifiant technique qui ne permet plus de retrouver le Joueur sans la réquisition prévue à l'article 3 |
| Factures et preuves de paiement | Conservées pour les obligations comptables et fiscales |
| Dons | Conservés pour les obligations comptables et fiscales, avec le nom et l'adresse lorsqu'un reçu fiscal a été demandé |
| Identité et dossier des données | Copie chiffrée gardée un an dans un espace sécurisé, consultable seulement sur réquisition écrite, puis détruite |
Un chef de guilde qui supprime son compte transmet son rôle au plus ancien membre ; s'il est seul, la guilde est dissoute.
9. Sécurité
Les mots de passe et les codes de secours sont stockés sous forme hachée (jamais en clair). Les sauvegardes de la base de données, lorsqu'elles sont réalisées, sont chiffrées et conservées sur un espace de stockage distinct du serveur de production, pendant 30 jours glissants au plus. L'accès à l'administration exige une double authentification, et chaque action d'administration est tracée.
10. Modification de la Politique de Confidentialité
Toute modification substantielle de la présente Politique est notifiée au Joueur, qui doit l'accepter pour continuer à utiliser l'Application.