Politique de confidentialité

Bourguignon est une application mobile éditée par Moonfizz, qui adapte vos recettes aux aliments que vous ne tolérez pas. Pour cela, elle traite des données personnelles, dont des données concernant votre santé. La présente Politique de confidentialité (la « Politique ») décrit quelles données nous traitons, pourquoi, avec qui, pendant combien de temps, et quels sont vos droits. Elle complète les Conditions Générales d'Utilisation (les « CGU »), dont elle reprend les termes définis : Application, Compte, Recette, Adaptation, Abonnement, Essai gratuit, Code de parrainage, Plateforme, Utilisateur.

Nous l'avons écrite pour qu'elle corresponde à ce que l'Application fait réellement, écran par écran. Si vous constatez un écart entre la Politique et l'Application, écrivez-nous.

1. Responsable du traitement

Moonfizz, société par actions simplifiée unipersonnelle au capital de 1 000 euros, immatriculée au RCS de Paris sous le numéro 106 702 160, dont le siège est situé 78 avenue des Champs-Élysées, bureau 326, 75008 Paris, France (« Moonfizz », « nous »), est responsable des traitements décrits dans la Politique.

Pour toute question relative à vos données : legal@moonfizz.io, ou par courrier à l'adresse ci-dessus. Moonfizz n'a pas désigné de délégué à la protection des données.

2. L'essentiel

• Ce que nous collectons : votre adresse e-mail (pour le Compte) ; la liste des aliments que vous écartez, votre régime, ce que vous n'aimez pas et vos préférences (pour adapter vos Recettes) ; vos Recettes et votre liste de courses ; l'état de votre Abonnement et de vos paiements, avec le pays de votre boutique ; l'adresse de notification de votre appareil, si vous autorisez les notifications (article 3.9) ; et des données techniques nécessaires à la sécurité et à la mesure du coût du service ; et, seulement si vous l'acceptez, la façon dont vous utilisez l'Application (article 3.11).
• Ce que nous ne faisons pas : pas de publicité ; pas de vente ni de cession de vos données ; pas de mesure d'audience sans votre accord (article 3.11), et aucun traceur publicitaire ; pas de géolocalisation ; pas d'accès à vos contacts ; pas de mot de passe stocké ; pas de données bancaires (le paiement est réalisé par Apple ou Google).
• Vos aliments écartés sont des données de santé. Nous ne les traitons qu'avec votre consentement explicite, pour adapter vos Recettes, et pour rien d'autre. Ce que vous n'aimez pas n'en est pas : ce sont des goûts (article 3.3).
• Deux prestataires d'intelligence artificielle (Google et Anthropic) reçoivent vos Recettes, la liste de vos aliments écartés, votre régime et ce que vous n'aimez pas pour produire les Adaptations. Ils ne reçoivent ni votre nom, ni votre adresse e-mail, ni l'adresse IP de votre appareil.
• La mesure d'usage : avec votre accord seulement, PostHog (hébergé dans l'Union européenne) reçoit la façon dont vous utilisez l'Application — les écrans ouverts, vos choix, votre essai — jamais la liste de vos aliments, votre régime ni vos Recettes. Sans cet accord, nous ne tenons que des totaux anonymes par jour.
• Vous gardez la main : profil modifiable à tout moment, suppression du Compte depuis l'Application, effacement automatique des données d'un parcours d'inscription non poursuivi — et d'un Compte que vous n'avez pas ouvert depuis trois ans, après un e-mail d'avertissement.

3. Les données que nous traitons, moment par moment

3.1 Avant la création du Compte

L'Application vous pose ses questions (aliments écartés, régime, ce que vous n'aimez pas, endroit où vous faites vos courses, ce qui compte pour vous, d'où viennent vos recettes, à quel moment vous rappeler) et adapte une première Recette avant toute création de Compte, puis vous demande ce que vous en pensez (une note de 1 à 5) et, le cas échéant, votre Code de parrainage ou votre code d'accès offert (article 3.8). Voici où vont ces réponses.

• Sur votre appareil : toutes vos réponses sont enregistrées localement au fur et à mesure, ainsi que l'étape où vous en êtes, la première Recette en attente et le Code de parrainage saisi, la note donnée à la première Recette et la date de votre consentement au traitement de vos données de santé (article 3.3). Rien ne quitte l'appareil avant l'étape « Enregistrer mon profil », hormis des comptages anonymes, sans identifiant (article 3.11).
• Sur nos serveurs, sous une session anonyme : à l'étape « Enregistrer mon profil », l'Application ouvre auprès de notre hébergeur une session anonyme — un identifiant technique aléatoire, sans nom ni adresse e-mail — et y enregistre votre profil alimentaire (article 3.3). C'est ce qui permet d'adapter votre première Recette : elle est lue par l'un de nos prestataires d'intelligence artificielle avec ce profil (article 3.5), avant tout Compte. Les données d'une session anonyme sont supprimées automatiquement après 7 jours, dès lors que l'Application n'a plus été ouverte depuis 24 heures (article 7).
• À la création du Compte : votre profil et votre première Recette, sa note et la date de votre consentement sont réenregistrés sous votre Compte à partir de la copie conservée sur votre appareil. La session anonyme n'est pas transférée : elle est supprimée automatiquement dans les mêmes conditions.
• Trois réponses ne rejoignent jamais nos serveurs : d'où viennent vos recettes, le moment du rappel quotidien et votre choix d'activer ou non les notifications — si vous les autorisez, l'adresse de notification de votre appareil est en revanche enregistrée sur nos serveurs (article 3.9). Si vous acceptez la mesure d'usage (article 3.11), les deux premières sont transmises à PostHog avec vos autres réponses au parcours.

Si vous supprimez l'Application avant d'avoir créé un Compte, la copie locale est perdue et la copie anonyme est effacée dans les conditions ci-dessus.

3.2 Le Compte

Le Compte se crée sans mot de passe, par l'une de trois portes :

• Adresse e-mail : vous saisissez votre adresse, nous vous envoyons un code à usage unique par e-mail (article 3.9). Nous conservons votre adresse e-mail.
• Sign in with Apple : nous ne demandons à Apple que votre adresse e-mail. Si vous choisissez « Masquer mon e-mail », nous recevons l'adresse relais fournie par Apple et l'utilisons comme votre adresse.
• Google : Google nous transmet votre adresse e-mail et, selon votre compte Google, votre nom et l'adresse de votre photo de profil. L'Application n'affiche ni n'utilise ces deux derniers, qui restent dans les métadonnées de votre Compte chez notre hébergeur. Notre hébergeur demande toujours à Google l'adresse e-mail et le profil de base : notre mode de connexion ne permet pas de demander l'adresse seule.

Le Compte porte en outre un identifiant technique (UUID), les dates de création et de dernière connexion, la porte d'identification utilisée, la liste des sessions ouvertes (avec l'adresse IP et le type d'appareil de chaque session, tenus par notre hébergeur pour la sécurité) et, le cas échéant, le Code de parrainage saisi (article 3.8), le code d'accès offert utilisé (article 3.8), ainsi que votre réponse à la mesure d'usage et sa date (article 3.11). L'Application retient par ailleurs, sur votre appareil seulement, la porte utilisée lors de votre dernière connexion, pour vous la rappeler à la suivante : chaque porte ouvre son propre Compte, et un Compte créé avec une adresse masquée par Apple ne se retrouve pas par l'adresse e-mail. Cette information ne quitte pas votre appareil.

L'Application ne vous demande ni nom d'affichage, ni photo de profil, ni date de naissance.

3.3 Votre profil alimentaire — des données de santé

Le profil alimentaire regroupe :

• les aliments que vous écartez : chaque aliment coché dans le catalogue de l'Application (lactose, gluten, œuf, fruits à coque, soja, poisson, arachide… — plus de deux cents entrées) ou ajouté à la main, avec, le cas échéant, les formes sous lesquelles vous l'écartez (« la farine et les graines ») et la date de son ajout ;
• votre régime : végétarien, vegan, sans porc, sans alcool, et la ligne libre « Autre… » (halal, casher, pescétarien…), avec la date à laquelle chacun a été choisi et, pendant huit jours au plus, celle à laquelle il a été retiré ;
• ce que vous n'aimez pas : chaque aliment choisi parmi les plus fréquents (coriandre, olives, abats…), trouvé dans le catalogue de goûts de l'Application ou écrit à la main, avec la date de son ajout. Ce ne sont pas des données de santé mais des goûts : nous les traitons pour l'exécution du contrat, sans consentement distinct ; un aliment que vous écartez déjà n'y est pas proposé. L'Application les évite dans vos Adaptations quand ils accompagnent le plat, et vous les signale quand ils en sont le cœur ;
• l'endroit où vous faites vos courses : en supermarché, en magasin bio, ou les deux. Si vous aviez répondu à l'ancienne question (ingrédients ordinaires ou produits de substitution), cette réponse reste enregistrée avec votre profil, sans plus servir à rien, jusqu'à son retrait dans une prochaine version ;
• « ce qui compte le plus pour vous », les priorités cochées au début du parcours.

Les aliments que vous écartez sont des données concernant la santé au sens de l'article 9 du RGPD, quelle que soit la raison pour laquelle vous les écartez. Le régime et la ligne libre peuvent en outre révéler des convictions religieuses ou philosophiques, qui relèvent du même article. Nous traitons ces données :

• sur la base de votre consentement explicite, recueilli par une action dédiée au moment où vous les déclarez, distincte de l'acceptation des CGU : une case « J'accepte que mes intolérances servent à adapter mes recettes », à cocher pour pouvoir enregistrer votre profil. La date de ce consentement est enregistrée avec votre profil ;
• aux seules fins de repérer dans vos Recettes les ingrédients qui contiennent ces aliments, de proposer des Adaptations et des améliorations qui les respectent, et de vous signaler les Recettes à relire quand votre profil change ;
• jamais à des fins publicitaires, de profilage commercial, de cession ou de vente, ni pour aucune autre finalité.

Vous pouvez modifier votre profil à tout moment (Profil > Aliments écartés, Ce que je n'aime pas, Régime, Remplacements). Retirer un aliment de la liste l'efface de nos serveurs. Retirer un goût l'efface de même, sans trace, et ne remet aucune Recette à relire. Retirer un régime le retire aussitôt de votre profil et de vos prochaines Adaptations ; nos serveurs retiennent encore, pendant huit jours au plus, qu'il avait été choisi et entre quelles dates — la ligne libre n'y figure que par une empreinte numérique, jamais par son texte —, à seule fin de ne pas vous demander de relire tout votre carnet si vous le remettez. Cette trace est ensuite effacée. Retirer votre consentement se fait en vidant votre liste ou en supprimant votre Compte ; l'Application ne pourra alors plus adapter vos Recettes.

Votre profil ne voyage jamais depuis votre appareil vers nos fonctions de lecture : celles-ci le lisent sur nos serveurs, sous votre identifiant, au moment de chaque lecture.

3.4 Vos Recettes

Ce que nous enregistrons pour chaque Recette de votre carnet : le titre, les ingrédients (nom, quantité, unité, rayon), les étapes et leurs durées, le temps, le nombre de parts, l'adresse et le nom du site ou du réseau d'origine pour une recette importée, l'adresse de la photo (jamais la vignette d'un réseau), les remplacements dus à votre profil, avec pour chacun l'élément de votre profil qui l'a imposé (« Lactose », « Sans porc », « Coriandre »), la version d'origine des lignes remplacées, les ingrédients que vous n'aimez pas mais que la Recette garde parce qu'ils en sont le cœur (« des olives »), le numéro de version et son résumé, le nombre de fois où vous l'avez cuisinée et la date de la dernière fois, votre réponse à « Ça a donné quoi ? » (parfait ou à ajuster), la note de 1 à 5 donnée à votre première Recette, la phrase d'ajustement en attente, et la date de la dernière vérification contre votre profil.

Comment une Recette entre dans l'Application, et ce qui circule à ce moment :

• Un lien vers un site de cuisine : l'adresse est envoyée à nos serveurs, qui récupèrent la page (le site voit l'adresse de nos serveurs, pas la vôtre) et en extraient la recette. Nous ne conservons pas la page ; nous conservons la recette extraite et l'adresse d'origine. Notre journal technique retient le nom de domaine du site (par exemple, « marmiton.org »), jamais l'adresse complète.
• Une publication Instagram ou Facebook : la page de la publication est récupérée depuis votre téléphone — ces réseaux refusent les requêtes venant de serveurs — et seule sa légende est envoyée à nos serveurs. Ni la vidéo, ni les commentaires, ni votre compte sur ces réseaux ne sont lus. Le réseau voit alors l'adresse de votre appareil, comme lorsque vous consultez la publication.
• Une vidéo TikTok : la légende est récupérée par nos serveurs via l'interface publique de TikTok ; la vidéo n'est pas téléchargée.
• Une vidéo YouTube : comme pour Instagram, la page de la vidéo est lue depuis votre téléphone, qui en tire le titre, la description et le nom de la chaîne ; seuls ces textes sont envoyés à nos serveurs. Si la page ne peut pas être lue, nos serveurs interrogent l'interface publique de YouTube (titre, chaîne, vignette). La vidéo n'est pas téléchargée. Sa vignette n'est pas conservée, comme celle des autres réseaux.
• Une fiche photographiée (page de livre, carte manuscrite, jusqu'à quatre pages) : les photos sont réduites sur votre appareil puis envoyées à nos serveurs, qui les transmettent à notre prestataire d'intelligence artificielle (Anthropic) pour les transcrire. Nous ne conservons pas les photos ; notre journal technique retient seulement leur nombre et leur poids. La recette transcrite entre dans votre brouillon, sur votre appareil, jusqu'à ce que vous l'enregistriez.
• Une recette écrite à la main : le brouillon reste sur votre appareil jusqu'à « Adapter la recette » ou « Terminer ».
• Une recette du catalogue (les six classiques du parcours d'inscription) : adaptée sur votre appareil, sans lecture ni transmission.

Les photos que vous ajoutez vous-même à une Recette sont redimensionnées sur votre appareil, puis stockées chez notre hébergeur, dans un espace privé, dans un dossier propre à votre Compte, où vous seul pouvez lire et écrire. Elles n'ont pas d'adresse publique : pour les afficher, l'Application demande à chaque ouverture de votre carnet une adresse signée, valable une heure, que seule la session de votre Compte peut obtenir. Personne d'autre ne peut les afficher, même en connaissant leur emplacement. Les photos des sites d'origine ne sont jamais copiées : seule leur adresse est conservée, et l'image reste chez le site.

Une lecture en attente : pour que vous ne perdiez pas une Recette en quittant l'Application pendant qu'elle est lue ou adaptée — et pour ne pas avoir à relancer la lecture —, nous gardons sur nos serveurs, sous votre Compte (ou sous la session anonyme du parcours d'inscription), une ligne par lecture en cours : le lien que vous avez donné ou la recette que vous avez écrite, puis, quand la lecture a abouti, la Recette adaptée. L'Application relit cette ligne à son retour au premier plan. Elle est effacée dès que vous enregistrez la Recette ou y renoncez, et au plus tard au bout de sept jours. Il en va de même d'une amélioration demandée (article 3.5) : la Recette concernée, votre phrase, les changements proposés et ceux que vous avez retenus, puis la Recette ajustée, sont gardés dans les mêmes conditions.

Le partage vers Bourguignon : depuis une autre application, « Partager » vers Bourguignon transmet le lien à l'Application, qui le traite comme un lien collé. Le partage d'une Recette depuis l'Application a été retiré.

Le presse-papiers : dans « Coller un lien », l'Application détecte qu'un lien s'y trouve sans le lire ; son contenu n'est lu que lorsque vous touchez « Coller ».

La demande d'avis : après une note de 4 ou 5 donnée à la première Recette, ou quand une Recette améliorée vous convient, l'Application peut afficher, sur iOS, la fenêtre d'avis de l'App Store. C'est une fenêtre d'Apple : nous ne savons pas si vous laissez un avis, ni lequel ; seul un repère est gardé sur votre appareil pour ne pas vous la montrer deux fois.

3.5 L'Adaptation et l'amélioration : ce que reçoivent nos prestataires d'intelligence artificielle

Les Adaptations, les transcriptions de fiches et les propositions d'amélioration sont produites par des modèles d'intelligence artificielle fournis par deux prestataires, qui agissent en qualité de sous-traitants de Moonfizz : Google (API Gemini), pour la lecture d'une Recette importée par un lien ou écrite dans l'Application, et pour son Adaptation ; Anthropic, PBC (API Claude), pour la transcription des fiches photographiées et pour les propositions d'amélioration. Selon l'opération, nos serveurs transmettent à l'un ou à l'autre :

• la Recette concernée : le contenu de la page ou ses données structurées, la légende d'une publication, les photos d'une fiche (à Anthropic seulement), ou la recette que vous avez écrite ;
• la liste des aliments que vous écartez, avec leurs formes, votre régime (y compris la ligne libre telle que vous l'avez écrite), ce que vous n'aimez pas et l'endroit où vous faites vos courses, sous forme de texte et sans votre identifiant ;
• pour une amélioration (à Anthropic seulement) : votre Recette et la phrase que vous avez tapée ou dictée (« plus moelleux, moins sucré »).

Ne sont jamais transmis : votre adresse e-mail, votre identifiant, l'adresse IP de votre appareil (les appels partent de nos serveurs), votre liste de courses.

Anthropic s'engage contractuellement à ne pas utiliser les données reçues par son API pour entraîner ses modèles et les supprime dans les 30 jours, sauf pour une requête signalée comme contraire à ses règles d'utilisation, conservée jusqu'à deux ans. Ces données sont traitées aux États-Unis (article 6). Notre contrat est conclu avec Anthropic Ireland Limited ; les transferts sont encadrés par les clauses contractuelles types.

Google s'engage contractuellement à ne pas utiliser les données reçues par son API pour améliorer ses produits, ce qui inclut l'entraînement de ses modèles. Il les conserve 55 jours, à seule fin de détecter et de prévenir les usages interdits et de répondre à ses obligations légales ; seuls des employés habilités de Google peuvent alors y accéder. Ces données peuvent être traitées aux États-Unis et dans les autres pays où Google dispose d'installations (article 6). Notre contrat est conclu avec Google Cloud France ; le traitement est régi par l'accord de traitement des données de Google (Data Processing Addendum) ; les transferts sont encadrés par les clauses contractuelles types et par la certification de Google au Data Privacy Framework.

Traitement automatisé. Les Adaptations sont produites automatiquement, sans intervention humaine, à partir des données ci-dessus. Elles ne constituent pas une décision produisant des effets juridiques à votre égard : ce sont des propositions que vous relisez, que vous pouvez comparer à la version d'origine, modifier ou refuser, et dont l'article 3 des CGU rappelle les limites. Nous ne vous profilons pas au-delà de ce qui est nécessaire à cette adaptation.

3.6 La dictée

Pour dire ce que vous voulez améliorer, vous pouvez dicter plutôt que taper. La reconnaissance vocale est celle de votre téléphone (Apple sur iOS, Google sur Android) : elle peut traiter votre voix sur les serveurs de ces sociétés, selon vos réglages système. L'Application n'enregistre aucun son et ne reçoit que le texte reconnu, qui s'écrit dans le champ et que vous pouvez corriger avant de l'envoyer. Le micro n'est activé que lorsque vous touchez « Dicter », après votre autorisation.

3.7 La liste de courses

La liste de courses est constituée des plats retenus et de leur nombre de parts, des articles ajoutés à la main, des cases cochées, de vos ajustements (« vous en avez déjà ? ») et du bilan des dernières courses. Elle vit sur votre appareil, et une copie suit votre Compte chez notre hébergeur pour la retrouver d'un téléphone à l'autre. Elle n'est transmise à aucun tiers.

3.8 L'Essai gratuit, l'Abonnement et le parrainage

Le paiement est réalisé par Apple (App Store) ou Google (Google Play), avec votre compte Plateforme, selon leurs propres politiques de confidentialité. Nous n'avons accès à aucune donnée bancaire.

RevenueCat, Inc., notre prestataire de gestion des abonnements, fait le lien entre l'Application et la Plateforme. Il reçoit : un identifiant de client (anonyme avant la création du Compte, puis l'identifiant technique de votre Compte — jamais votre adresse e-mail) ; les reçus et transactions transmis par la Plateforme (produit, dates de début, de renouvellement et de fin, période d'essai, boutique, pays et devise) ; des identifiants techniques de l'appareil et de l'installation ; et, si vous avez saisi un Code de parrainage, ce code et la mention « parrainage » comme source, pour mesurer l'effet du programme. RevenueCat nous transmet l'état de votre Abonnement (formule, statut, échéance), que nous conservons pour ouvrir ou fermer l'accès aux Services. Il nous transmet aussi chaque paiement (produit, prix, devise, pays de la boutique, taxes et commission de la Plateforme, date, numéro de renouvellement, Code de parrainage éventuel), que nous inscrivons dans un registre des paiements : il sert à notre comptabilité et à calculer la part due au partenaire dont vous avez utilisé le code. Un paiement en livres sterling est converti en euros, pour cette part, au cours de la Banque centrale européenne du jour du paiement ; le cours retenu est inscrit avec le décompte du partenaire. À la suppression de votre Compte, ces lignes sont conservées pour la traçabilité des paiements, détachées de votre Compte : elles ne gardent que l'identifiant technique qu'il portait, sans adresse e-mail (article 7).

Le Code de parrainage saisi pendant le parcours d'inscription est vérifié auprès de nos serveurs, qui ne renvoient que le prénom de la personne ou du partenaire qui l'a donné ; le code est ensuite inscrit sur votre Compte. Le titulaire du code ne sait pas qui l'a utilisé.

Le lien d'un partenaire : lorsque vous ouvrez l'Application depuis le lien d'un partenaire (par exemple un créateur de contenu), nous enregistrons le clic : le code du partenaire, la date, la plateforme, et des signaux techniques du navigateur — adresse IP, version du système, langue, fuseau horaire, taille de l'écran. Ils servent uniquement à reconnaître, au premier lancement de l'Application, que l'installation fait suite à ce clic, afin de vous appliquer l'offre du partenaire et de lui attribuer votre venue. Ces signaux sont effacés 48 heures après le clic ; seuls restent le code, la date, la plateforme et le fait qu'une installation a été reconnue (article 7). Sur iOS, l'Application peut vous proposer de coller le lien copié lors du clic ; elle ne lit votre presse-papiers que lorsque vous touchez le bouton « Coller ». Sur Android, Google Play transmet le code à l'Application lors de l'installation. Base légale : notre intérêt légitime à rémunérer nos partenaires et à mesurer nos campagnes ; vous pouvez ignorer le bouton « Coller » sans conséquence sur l'utilisation de l'Application.

L'accès offert : un code d'accès offert, remis par Moonfizz à ses partenaires ou à des proches, ouvre l'Application sans Abonnement, le cas échéant pour une durée limitée. Il se saisit dans le champ du Code de parrainage ou depuis l'écran d'abonnement (« J'ai un code »). Nos serveurs vérifient le code, puis l'inscrivent comme utilisé par votre Compte, avec la date. Ni RevenueCat ni la Plateforme n'en sont informés. Nous conservons avec le code le prénom de la personne à qui nous l'avons remis ; un code ne sert qu'une fois, et le lien avec votre Compte est effacé à sa suppression.

Le rappel de fin d'essai : lorsque vous commencez un Essai gratuit, nous enregistrons sur nos serveurs la date d'envoi du rappel, la date de fin d'essai, la formule, le prix affiché et la boutique, afin de vous envoyer un e-mail deux jours avant la fin (article 3.9) ; si vous résiliez pendant l'essai, le rappel est retiré. Votre adresse e-mail est lue au moment de l'envoi, pas stockée avec le rappel. Cette ligne est supprimée trois jours après la date d'envoi.

3.9 Notifications et e-mails

Notifications. Les notifications de l'Application sont de deux sortes. Les premières sont locales : programmées sur votre téléphone, sans passer par un serveur. Il y en a trois sortes : le rappel du jour, à l'heure que vous avez choisie ; le rappel de fin d'essai, deux jours avant ; et les minuteurs du mode cuisine. Les secondes viennent de nos serveurs : lorsqu'une Recette que vous avez fait lire, ou une amélioration que vous avez demandée, est prête alors que vous n'êtes plus sur l'écran qui l'attendait, nos serveurs vous envoient une notification (« Votre recette est prête »). Pour cela, si vous avez autorisé les notifications, l'Application enregistre sous votre Compte (ou sous la session anonyme du parcours d'inscription) l'adresse de notification de votre appareil — un jeton technique, qui ne dit rien de vous — et son système (iOS ou Android). Nos serveurs transmettent ce jeton, le titre et le texte de la notification (le titre de la Recette) à Expo (650 Industries, Inc.), notre prestataire d'acheminement, qui les remet à Apple ou, sur Android, à Firebase Cloud Messaging (Google) pour l'affichage sur votre téléphone ; sur Android, ce service attribue à l'installation de l'Application un identifiant technique. Le jeton est retiré de nos serveurs quand vous vous déconnectez, quand vous supprimez votre Compte, ou dès qu'il n'est plus valable. Vous les autorisez ou non lors de la demande du système, et vous pouvez désactiver le rappel du jour dans Profil > Notifications. Refuser les notifications ne vous prive de rien d'autre : la Recette vous attend dans votre carnet.

E-mails. Nous n'envoyons que trois types d'e-mails, tous liés au fonctionnement du service : le code de connexion, à chaque connexion par e-mail ; le rappel de fin d'essai, une fois par essai ; et l'avertissement qui précède la suppression d'un Compte inactif depuis trois ans, trente jours avant (article 7). Aucune newsletter, aucune prospection commerciale. Les e-mails partent par Resend, Inc., notre prestataire d'envoi, depuis l'adresse bonjour@bourguignon.app ; les réponses arrivent à bonjour@moonfizz.io. Resend traite votre adresse e-mail et le contenu du message pour l'acheminer.

3.10 Données techniques, sécurité et limites d'usage

Pour faire fonctionner et protéger l'Application, nous traitons :

• des journaux d'accès, tenus par notre hébergeur : adresse IP, type d'appareil et d'application, horodatage et point d'accès de chaque requête, connexions comprises ;
• un journal des lectures : pour chaque appel à nos fonctions de lecture ou d'amélioration, votre identifiant, le type d'appel, le nom de domaine de la source, le réseau d'origine le cas échéant, le nombre de photos et leur poids, la durée, le modèle utilisé, le nombre de jetons consommés et le coût, l'issue de l'appel et le nombre de remplacements — jamais le contenu de la Recette ni celui des photos. Il sert à mesurer le coût du service et à détecter les abus. Votre identifiant y est effacé au bout de douze mois, ou dès la suppression de votre Compte ; l'heure de chaque ligne est alors ramenée au jour, et les mesures ainsi anonymisées sont conservées à des fins statistiques ;
• une limite d'appels : chaque appel à nos fonctions est compté par Compte (60 par heure, 200 par jour ; 6 par jour pour une session anonyme) et globalement, pour prévenir les abus. Ce registre est purgé après 48 heures ;
• les journaux de nos fonctions serveur, conservés par l'hébergeur pendant la durée indiquée à l'article 7. Ils ne contiennent que des mesures techniques (durée, nombre d'ingrédients, d'étapes et d'aliments écartés rencontrés, nom de domaine de la source, erreurs) — jamais le nom d'un aliment que vous écartez, ni votre régime, ni le contenu d'une Recette.

3.11 La mesure d'usage

Nous mesurons l'usage de l'Application de deux façons.

• Des comptages anonymes, pour tout le monde : à certains moments (une étape du parcours franchie, une Recette ajoutée, une note donnée, l'écran d'abonnement ouvert…), l'Application demande à nos serveurs d'ajouter un à un compteur du jour. Seuls le nom de l'événement, le jour et le total sont enregistrés : ni identifiant, ni adresse IP, ni appareil. Ces totaux ne permettent pas de vous identifier et sont conservés sans limite de durée.
• Une mesure détaillée, seulement avec votre accord : à la fin du parcours d'inscription, l'Application vous demande « Nous aider à améliorer l'app ? ». Si vous répondez « Oui, volontiers », elle envoie à PostHog, notre outil de mesure d'audience, hébergé dans l'Union européenne : les écrans que vous ouvrez ; les choix que vous y faites (étapes du parcours, source d'une Recette, note, écran d'abonnement et formule choisie) ; l'ouverture et la mise en arrière-plan de l'Application ; et vos réponses au parcours — ce qui compte pour vous, d'où viennent vos recettes, le moment du rappel, l'endroit où vous faites vos courses, et l'usage d'un Code de parrainage. Chaque événement porte aussi le pays de votre boutique App Store ou Google Play (« FR », « ES », « GB »), lu auprès de la Plateforme — celui de votre compte Apple ou Google, pas celui où vous vous trouvez ; le premier pays connu est gardé sur votre profil PostHog. Ne sont jamais envoyés : rien de vos aliments écartés ni de votre régime — ni leur liste, ni leur nombre —, le contenu de vos Recettes, votre adresse e-mail. Votre adresse IP n'est pas conservée et ne sert pas à vous localiser, et aucun enregistrement d'écran n'est fait. Chaque événement porte aussi les caractéristiques techniques que PostHog ajoute d'office : type, fabricant et modèle de l'appareil (« iPhone 16 », jamais le nom que vous lui avez donné), système et sa version, taille de l'écran, langue et fuseau horaire, nom et version de l'Application.
• Avant votre réponse, ces événements sont gardés en mémoire sur votre téléphone : ils ne sont envoyés que si vous acceptez, et oubliés si vous refusez. Une fois votre Compte créé, ils sont rattachés à l'identifiant technique de votre Compte (jamais à votre adresse e-mail), y compris ceux envoyés avant sa création.
• Votre Abonnement : si vous avez accepté, nos serveurs transmettent aussi à PostHog, sous le même identifiant, les événements de votre Abonnement reçus de RevenueCat (début, conversion ou fin de l'essai, renouvellement, résiliation et sa raison, formule, prix et devise, boutique et son pays, Code de parrainage). Sans accord, rien n'est transmis.

Cette mesure repose sur votre consentement. Refuser (« Non merci ») n'a aucune conséquence sur l'Application. Vous pouvez changer d'avis à tout moment dans Profil > Mesure d'usage ; votre réponse et sa date sont enregistrées avec votre Compte, pour être respectées sur un autre téléphone. Si vous retirez votre accord, l'Application cesse tout envoi et oublie l'identifiant PostHog de l'appareil. PostHog conserve ces événements pendant un an. La suppression de votre Compte les efface, avec la personne qu'ils décrivent.

3.12 Ce que l'Application ne collecte pas

Pas de géolocalisation (le pays de votre boutique, article 3.11, est celui de votre compte Apple ou Google, pas celui où vous êtes). Pas d'accès à vos contacts. Pas d'identifiant publicitaire, pas de SDK publicitaire, pas d'outil d'analyse d'audience sans votre accord (article 3.11), pas d'outil de remontée de plantages. Pas de lecture de votre photothèque : le sélecteur du système ne nous donne que les photos que vous choisissez. Pas d'enregistrement audio. Pas de téléchargement de vidéos. Pas de cookies dans l'Application.

4. Récapitulatif des traitements

• Adresse e-mail, identifiant technique, sessions

  Finalité

  Créer et sécuriser le Compte, vous envoyer les codes de connexion

  Base légale

  Exécution du contrat (CGU)

  Durée

  Durée du Compte ; un Compte non ouvert depuis trois ans est supprimé (article 7)

• Aliments écartés, formes, régime, lieu des courses

  Finalité

  Adapter et améliorer vos Recettes, signaler celles à relire

  Base légale

  Consentement explicite (art. 9.2 a RGPD)

  Durée

  Durée du Compte, ou jusqu'au retrait ; un régime retiré laisse une trace huit jours au plus (article 7)

• Ce que vous n'aimez pas (goûts)

  Finalité

  Éviter ces ingrédients dans vos Adaptations quand ils accompagnent le plat, vous les signaler quand ils en sont le cœur

  Base légale

  Exécution du contrat

  Durée

  Durée du Compte, ou jusqu'au retrait

• Date du consentement aux données de santé

  Finalité

  Prouver le consentement

  Base légale

  Obligation légale (art. 7.1 RGPD)

  Durée

  Durée du Compte

• Priorités (« ce qui compte le plus »)

  Finalité

  Personnaliser le parcours et les textes de l'Application

  Base légale

  Exécution du contrat

  Durée

  Durée du Compte

• Réponses du parcours avant le Compte, sous session anonyme

  Finalité

  Adapter votre première Recette avant l'inscription

  Base légale

  Consentement explicite (données de santé) ; exécution de mesures précontractuelles

  Durée

  7 jours après 24 h sans ouverture de l'Application

• Recettes, versions, réponses « Ça a donné quoi ? », phrase d'ajustement

  Finalité

  Fournir le carnet, le mode cuisine, les Adaptations et les améliorations

  Base légale

  Exécution du contrat

  Durée

  Durée du Compte, ou jusqu'à suppression de la Recette

• Note de la première Recette

  Finalité

  Mesurer l'accueil des Adaptations, proposer la demande d'avis

  Base légale

  Intérêt légitime (amélioration du service)

  Durée

  Durée du Compte, ou jusqu'à suppression de la Recette

• Photos ajoutées à une Recette

  Finalité

  Illustrer la Recette dans votre carnet

  Base légale

  Exécution du contrat

  Durée

  Jusqu'à modification ou suppression de la Recette, ou du Compte

• Photos de fiches, pages et légendes lues

  Finalité

  Transcrire et adapter la Recette

  Base légale

  Exécution du contrat

  Durée

  Non conservées après la lecture

• Liste de courses

  Finalité

  Fournir la liste et la retrouver d'un appareil à l'autre

  Base légale

  Exécution du contrat

  Durée

  Durée du Compte

• Lecture ou amélioration en attente (lien ou recette écrite, phrase d'ajustement, changements proposés, Recette adaptée ou ajustée)

  Finalité

  Vous rendre le résultat d'une lecture ou d'une amélioration si vous avez quitté l'Application entre-temps, sans la relancer

  Base légale

  Exécution du contrat

  Durée

  Jusqu'à l'enregistrement de la Recette ou son abandon ; 7 jours au plus

• Adresse de notification de l'appareil (jeton), système de l'appareil

  Finalité

  Vous prévenir qu'une Recette ou une amélioration est prête

  Base légale

  Exécution du contrat, sous réserve de votre autorisation des notifications

  Durée

  Jusqu'à la déconnexion ou la suppression du Compte ; retirée dès qu'elle n'est plus valable

• Code de parrainage utilisé

  Finalité

  Appliquer l'Essai gratuit prolongé, mesurer le programme, prévenir la fraude

  Base légale

  Exécution du contrat ; intérêt légitime (prévention de la fraude)

  Durée

  Durée du Compte

• Clic sur le lien d'un partenaire (code du partenaire, date, plateforme ; pendant 48 heures : adresse IP, version du système, langue, fuseau horaire, taille de l'écran)

  Finalité

  Reconnaître, au premier lancement de l'Application, que l'installation fait suite au clic, pour vous appliquer l'offre du partenaire et lui attribuer votre venue

  Base légale

  Intérêt légitime (rémunération des partenaires, mesure des campagnes)

  Durée

  Signaux techniques : 48 heures après le clic ; code, date, plateforme et installation reconnue : conservés ensuite, pour la mesure des campagnes (article 7)

• Code d'accès offert (code, date d'utilisation, prénom du bénéficiaire)

  Finalité

  Ouvrir l'Application sans Abonnement

  Base légale

  Exécution du contrat

  Durée

  Lien avec le Compte : durée du Compte ; code et prénom : 3 ans après la fin de l'accès offert

• État de l'Abonnement transmis par RevenueCat

  Finalité

  Ouvrir ou fermer l'accès aux Services

  Base légale

  Exécution du contrat

  Durée

  Durée du Compte

• Registre des paiements (produit, prix, devise, pays de la boutique, taxes, commission, date, Code de parrainage)

  Finalité

  Comptabilité, calcul de la part due aux partenaires

  Base légale

  Obligation légale (comptabilité) ; intérêt légitime (rémunération des partenaires)

  Durée

  10 ans à compter du paiement ; à la suppression du Compte, gardé sous le seul identifiant technique de l'ancien Compte

• Rappel de fin d'essai (dates, formule, prix, boutique)

  Finalité

  Vous prévenir avant le premier prélèvement

  Base légale

  Exécution du contrat ; obligation d'information précontractuelle

  Durée

  3 jours après l'envoi

• Avis de suppression pour inactivité (date de l'avis, date annoncée)

  Finalité

  Vous prévenir avant la suppression de votre Compte

  Base légale

  Intérêt légitime (limitation de la conservation) ; obligation d'information

  Durée

  Jusqu'à la suppression du Compte, ou retiré dès que vous rouvrez l'Application

• Journal des lectures (identifiant, domaine, jetons, coût, issue)

  Finalité

  Mesurer le coût du service, détecter les abus, améliorer la fiabilité

  Base légale

  Intérêt légitime (sécurité, viabilité du service)

  Durée

  Identifiant effacé au bout de 12 mois ou à la suppression du Compte, l'heure ramenée au jour ; mesures anonymisées conservées ensuite à des fins statistiques

• Comptages anonymes (événement, jour, total)

  Finalité

  Mesurer l'usage de l'Application

  Base légale

  Aucune donnée personnelle

  Durée

  Sans limite

• Réponse à la mesure d'usage et sa date

  Finalité

  Respecter votre choix sur tous vos appareils, prouver le consentement

  Base légale

  Obligation légale (art. 7.1 RGPD)

  Durée

  Durée du Compte

• Mesure d'usage PostHog (écrans, choix, réponses au parcours, pays de la boutique, événements d'Abonnement)

  Finalité

  Comprendre et améliorer l'Application

  Base légale

  Consentement

  Durée

  1 an chez PostHog ; envoi arrêté dès le retrait de l'accord

• Registre de la limite d'appels

  Finalité

  Prévenir les abus

  Base légale

  Intérêt légitime (sécurité)

  Durée

  48 heures

• Journaux d'accès et de fonctions (adresse IP, requêtes)

  Finalité

  Sécurité, diagnostic des pannes

  Base légale

  Intérêt légitime (sécurité)

  Durée

  7 jours chez l'hébergeur

5. Destinataires et sous-traitants

Vos données sont accessibles, dans la limite de leurs missions, aux personnes habilitées de Moonfizz et aux prestataires suivants, qui agissent sur nos instructions en qualité de sous-traitants :

• Supabase Pte. Ltd. (Singapour)

  Rôle

  Hébergement de la base de données, authentification, stockage des photos, exécution de nos fonctions serveur, envoi des codes de connexion

  Données concernées

  Toutes les données de l'article 3

  Localisation

  Base et fichiers hébergés dans l'Union européenne (AWS, région Paris). Fonctions serveur exécutées dans la région Supabase la plus proche de l'appareil qui les appelle ; support technique pouvant intervenir depuis l'extérieur de l'Union européenne.

• Anthropic Ireland Limited (contrat) ; Anthropic, PBC (traitement)

  Rôle

  Modèles d'intelligence artificielle (transcription des fiches photographiées, amélioration)

  Données concernées

  Recettes, photos de fiches, liste des aliments écartés, régime, ce que vous n'aimez pas, lieu des courses, phrase d'ajustement

  Localisation

  États-Unis

• Google Cloud France (contrat) ; Google LLC (traitement)

  Rôle

  Modèles d'intelligence artificielle (lecture d'une Recette importée ou écrite, Adaptation)

  Données concernées

  Recettes, légendes, liste des aliments écartés, régime, ce que vous n'aimez pas, lieu des courses

  Localisation

  États-Unis et autres pays où Google dispose d'installations

• RevenueCat, Inc.

  Rôle

  Gestion des abonnements et des essais

  Données concernées

  Identifiant de client, transactions transmises par la Plateforme, identifiants techniques, Code de parrainage

  Localisation

  États-Unis

• Plus Five Five, Inc. (Resend)

  Rôle

  Envoi des e-mails (codes de connexion, rappel de fin d'essai, avertissement avant suppression pour inactivité)

  Données concernées

  Adresse e-mail, contenu des messages

  Localisation

  États-Unis (toutes les données du compte, quelle que soit la région d'envoi)

• PostHog, Inc.

  Rôle

  Mesure d'usage, uniquement avec votre accord (article 3.11)

  Données concernées

  Identifiant technique du Compte, écrans et choix, réponses au parcours, pays de la boutique, événements d'Abonnement, caractéristiques de l'appareil

  Localisation

  Union européenne (Francfort) ; accès possible depuis les États-Unis

• 650 Industries, Inc. (Expo)

  Rôle

  Acheminement des notifications envoyées par nos serveurs, vers Apple et Google

  Données concernées

  Jeton de notification de l'appareil, titre et texte de la notification (titre de la Recette)

  Localisation

  États-Unis

Interviennent en outre, en qualité de responsables de traitement indépendants, selon leurs propres politiques de confidentialité :

• Apple et Google : le paiement et la gestion de l'Abonnement, l'identification par « Sign in with Apple » ou par un compte Google, la reconnaissance vocale de la dictée, la fenêtre d'avis de l'App Store, l'acheminement et l'affichage des notifications (Apple Push Notification service ; Firebase Cloud Messaging, de Google, sur Android) et les autorisations système ;
• les sites et réseaux sociaux dont vous importez des Recettes : ils reçoivent la requête de lecture (depuis nos serveurs pour les sites et TikTok, depuis votre appareil pour Instagram, Facebook et YouTube).

Nous ne vendons ni ne louons vos données, et nous ne les communiquons à aucun annonceur. Nous pouvons être amenés à les communiquer à une autorité administrative ou judiciaire qui nous en ferait légalement la demande.

6. Transferts hors de l'Union européenne

Vos données sont hébergées dans l'Union européenne. Certains de nos prestataires sont établis aux États-Unis (RevenueCat, Resend, PostHog, Expo), en Irlande avec un traitement aux États-Unis (Anthropic), en France avec un traitement aux États-Unis et dans d'autres pays (Google) ou à Singapour (Supabase), et leurs équipes peuvent accéder aux données depuis l'extérieur de l'Union européenne. Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne, intégrées à nos contrats avec ces prestataires, et, le cas échéant, par leur certification au cadre de protection des données UE–États-Unis (Data Privacy Framework). Concrètement : clauses contractuelles types pour Supabase, Anthropic et RevenueCat ; certification au Data Privacy Framework pour Resend et PostHog, avec les clauses contractuelles types en complément ; certification au Data Privacy Framework pour Expo ; clauses contractuelles types et certification au Data Privacy Framework pour Google. Vous pouvez obtenir une copie des garanties applicables en écrivant à legal@moonfizz.io.

7. Durées de conservation

• Compte et contenu (adresse e-mail, profil alimentaire, ce que vous n'aimez pas, Recettes, photos, liste de courses, état de l'Abonnement) : tant que votre Compte existe. À la suppression du Compte, ils sont effacés immédiatement de nos systèmes ; ils peuvent subsister dans les sauvegardes de l'hébergeur pendant 7 jours au plus.
• Compte inactif : un Compte que vous n'avez pas ouvert depuis trois ans est supprimé automatiquement, avec l'ensemble de son contenu, dans les mêmes conditions qu'une suppression que vous auriez demandée. Nous vous en avertissons par e-mail, à l'adresse du Compte, trente jours avant la date de suppression ; ouvrir l'Application avant cette date — ou la réinstaller et vous connecter — suffit à conserver votre Compte. Un Compte dont l'Abonnement est en cours n'est pas concerné.
• Session anonyme (parcours d'inscription non poursuivi, ou copie anonyme antérieure au Compte) : suppression automatique après 7 jours, dès lors que l'Application n'a plus été ouverte depuis 24 heures.
• Recette supprimée : effacée immédiatement, sa photo aussi.
• Régime retiré : la trace de son choix (ses dates et, pour la ligne libre, une empreinte numérique de son texte) est effacée au plus tard huit jours après son retrait, et immédiatement à la suppression du Compte.
• Lecture ou amélioration en attente : effacée dès que la Recette est enregistrée ou abandonnée, et au plus tard au bout de 7 jours.
• Adresse de notification de l'appareil : jusqu'à la déconnexion ou la suppression du Compte ; retirée dès qu'elle n'est plus valable, par exemple quand l'Application est désinstallée.
• Rappel de fin d'essai : 3 jours après la date d'envoi.
• Registre de la limite d'appels : 48 heures.
• Journal des lectures : votre identifiant y est effacé au bout de 12 mois, ou dès la suppression de votre Compte, et l'heure de la ligne est alors ramenée au jour ; les mesures ainsi anonymisées (sans identifiant ni heure) sont conservées à des fins statistiques.
• Registre des paiements : 10 ans à compter du paiement, durée de conservation des pièces comptables (article L123-22 du Code de commerce) ; à la suppression du Compte, les lignes sont conservées pour la traçabilité des paiements, sous le seul identifiant technique de l'ancien Compte, sans adresse e-mail.
• Code d'accès offert : le lien avec votre Compte dure autant que le Compte ; le code, sa date d'utilisation et le prénom de son bénéficiaire sont conservés trois ans après la fin de l'accès offert — son échéance, sa révocation ou la suppression du Compte —, puis effacés.
• Lien d'un partenaire : les signaux techniques du navigateur enregistrés au clic (adresse IP, version du système, langue, fuseau horaire, taille de l'écran) sont effacés 48 heures après le clic ; seuls restent ensuite le code du partenaire, la date, la plateforme et le fait qu'une installation a été reconnue, pour la mesure de nos campagnes.
• Mesure d'usage : chez PostHog, un an, et effacée à la suppression du Compte ; les comptages anonymes, sans limite ; votre réponse et sa date, tant que votre Compte existe.
• Avis de suppression pour inactivité : jusqu'à la suppression du Compte, ou retiré dès que vous rouvrez l'Application.
• Journaux d'accès et de fonctions : 7 jours chez l'hébergeur.
• Chez nos prestataires : Anthropic supprime les données reçues par son API dans les 30 jours (jusqu'à deux ans pour une requête signalée comme contraire à ses règles d'utilisation) ; Google conserve les données reçues par son API pendant 55 jours, pour détecter les usages interdits ; RevenueCat conserve les données de votre client tant que votre Compte existe, et nous les supprimons chez lui à la suppression du Compte ; Resend conserve les journaux d'envoi pendant 30 jours. PostHog conserve les événements de mesure d'usage pendant un an ; nous les y effaçons à la suppression du Compte. Expo ne conserve pas le contenu d'une notification au-delà du temps nécessaire pour la remettre à Apple ou à Google, et efface l'accusé de remise après 24 heures ; il conserve en revanche le jeton de votre appareil pour pouvoir acheminer les notifications, sans annoncer de durée.
• Sur votre appareil : vos brouillons, votre liste de courses, vos réglages de rappel, votre réponse à la mesure d'usage, votre accès offert et votre session restent sur l'appareil jusqu'à la déconnexion, la suppression du Compte ou la désinstallation de l'Application. La porte de votre dernière connexion, elle, reste après la déconnexion — c'est à la connexion suivante qu'elle sert — et s'efface à la suppression du Compte ou à la désinstallation.

8. Sécurité

• Les échanges entre l'Application et nos serveurs sont chiffrés (TLS).
• Chaque Utilisateur ne peut lire et écrire que ses propres données : des règles d'accès au niveau de la base de données (Row Level Security) le garantissent pour chaque table, et pour le dossier de photos de chaque Compte.
• Les photos sont stockées dans un espace privé, sans adresse publique : elles ne sont servies que par des adresses signées, valables une heure, que seule la session du Compte peut obtenir.
• Aucun mot de passe n'est stocké : la connexion passe par un code à usage unique envoyé par e-mail, ou par Apple ou Google.
• Nos fonctions serveur exigent un jeton d'authentification signé, vérifié à chaque appel ; les clés d'accès à nos prestataires ne sont jamais embarquées dans l'Application.
• Le profil alimentaire n'est jamais transmis par l'Application à nos fonctions : elles le lisent sur nos serveurs, sous l'identifiant vérifié de l'appelant.
• Les appels aux prestataires d'intelligence artificielle sont limités par Compte et globalement, pour prévenir les abus.
• Les données sur votre appareil sont protégées par les mécanismes de votre téléphone ; nous vous recommandons d'y activer un code de verrouillage.

En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits et libertés, nous vous en informerons dans les conditions prévues par le RGPD.

9. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation du traitement, d'opposition et de portabilité de vos données, du droit de retirer votre consentement à tout moment (sans remettre en cause la licéité du traitement fondé sur le consentement effectué avant ce retrait), et du droit de définir des directives relatives au sort de vos données après votre décès.

Depuis l'Application :

• rectifier votre profil : Profil > Aliments écartés, Ce que je n'aime pas, Régime, Remplacements ; corriger ou supprimer une Recette : depuis la Recette (⋯) ;
• retirer votre consentement au traitement de vos données de santé : vider votre liste d'aliments écartés ;
• retirer votre accord à la mesure d'usage : Profil > Mesure d'usage ;
• supprimer votre Compte et l'ensemble de vos données : Profil > Compte > Supprimer mon compte. La suppression efface votre Compte chez notre hébergeur et chez RevenueCat, vos Recettes, vos photos, votre profil et votre liste de courses, vos lectures en attente et l'adresse de notification de votre appareil, et anonymise le journal des lectures. Elle efface aussi, chez PostHog, la personne et tous ses événements de mesure d'usage. Elle détache de votre Compte les lignes du registre des paiements et le code d'accès offert, conservés pour les raisons indiquées à l'article 7. Elle ne résilie pas votre Abonnement, qui doit l'être auprès de la Plateforme (CGU, article 7.6).

Par écrit, pour tous les autres droits — en particulier l'accès et la portabilité, l'Application ne proposant pas encore d'export — à legal@moonfizz.io ou par courrier au siège, en indiquant l'adresse e-mail de votre Compte. Nous pouvons vous demander de confirmer votre identité, par exemple par un message envoyé depuis cette adresse. Nous répondons dans un délai d'un mois, prolongeable de deux mois si la demande est complexe.

Vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr. Si vous résidez en Espagne ou au Royaume-Uni, vous pouvez aussi vous adresser à l'autorité de votre pays : l'Agencia Española de Protección de Datos (www.aepd.es) ou l'Information Commissioner's Office (ico.org.uk).

10. Mineurs

L'Application est réservée aux personnes âgées d'au moins 18 ans (CGU, article 4.3). Nous ne collectons pas sciemment de données concernant des mineurs ; si vous pensez qu'un mineur a créé un Compte, écrivez-nous et nous le supprimerons.

11. Modifications de la Politique

Nous pouvons modifier la Politique, notamment pour tenir compte d'évolutions de l'Application, de nos prestataires ou de la réglementation. Toute modification substantielle vous sera notifiée au moins 30 jours avant son entrée en vigueur, via l'Application ou par e-mail. La version en vigueur est datée et consultable à tout moment dans l'Application et à l'adresse https://www.bourguignon.app/confidentialite.

12. Contact

Moonfizz — 78 avenue des Champs-Élysées, bureau 326, 75008 Paris, France

E-mail : legal@moonfizz.io