Politique de confidentialité

AllergyPass traite des données personnelles, dont certaines relèvent des données de santé (allergies alimentaires). Cette politique détaille comment nous collectons, utilisons, conservons et protégeons vos données, ainsi que les droits dont vous disposez.

1. Responsable du traitement

Le responsable du traitement des données personnelles est la SAS Allergypass, éditeur du site AllergyPass, dont le siège social est situé à 83500 La Seyne-sur-Mer, France. Les informations complètes (SIRET, RCS) sont disponibles dans les mentions légales.

Point de contact vie privée : dpo@allergypass.fr

2. Données collectées

2.1 Utilisateurs allergiques

• Identité : prénom, nom, email (via Clerk), photo de profil optionnelle.
• Date de naissance :collectée uniquement pour vérifier la majorité (18 ans). La date exacte n'est pas conservée après vérification.
• Données de santé (article 9 RGPD) : allergies alimentaires déclarées parmi les 14 allergènes INCO, niveau de sévérité (intolérance, allergie, sévère), allergies spécifiques hors liste INCO.
• Profils secondaires :profils enfants ou autres personnes que l'utilisateur gère avec son consentement (prénom, allergies).
• Historique d'usage : scans de menus restaurants effectués, scans de produits en supermarché, liens de partage générés pour un professionnel de santé.

2.2 Restaurateurs

• Identité : nom, prénom, email, téléphone.
• Établissement :nom, adresse, type d'établissement, type de cuisine, site web, photo.
• Facturation : SIRET, raison sociale, adresse de facturation, TVA intracommunautaire (facultatif).
• Menu : plats, ingrédients, prix, allergènes déclarés.

2.3 Données techniques

• Adresse IP (pour la sécurité et la lutte anti-abus).
• Type de navigateur, système d'exploitation, résolution d'écran.
• Cookies (voir politique cookies).

3. Finalités et base légale

4. Destinataires

Vos données sont partagées uniquement avec les prestataires suivants :

• Clerk (Clerk.com Inc., États-Unis) — Authentification et gestion de session. Cadre : Clauses contractuelles types (CCT) de la Commission européenne.
• Supabase (Supabase Inc., Royaume-Uni / États-Unis) — Hébergement de la base de données (région AWS eu-west-2, Londres).
• Vercel (Vercel Inc., États-Unis)— Hébergement de l'application et analytics techniques.
• Stripe (Stripe Payments Europe Ltd., Irlande) — Traitement des paiements. Les données de carte bancaire ne transitent jamais par nos serveurs.
• Open Food Facts— API publique consultée pour identifier les allergènes d'un produit scanné. Aucune donnée personnelle n'est envoyée.
• DeepL (DeepL SE, Allemagne) — Traduction automatique des menus (optionnel).
• Anthropic (via Vercel AI Gateway) — OCR de menus papier importés par les restaurateurs. Les données de menu sont transmises pour traitement puis effacées.

Nous ne vendons ni ne louons vos données. Le partage avec un professionnel de santé (allergologue) se fait uniquement par lien de partage que vous générez et pouvez révoquer.

5. Transferts hors Union européenne

Certains prestataires (Clerk, Vercel, Stripe, Anthropic) sont établis aux États-Unis. Les transferts sont encadrés par les Clauses Contractuelles Types (CCT) de la Commission européenne et, le cas échéant, par les certifications Data Privacy Framework (DPF) UE-USA.

6. Durée de conservation

• Compte actif :pendant toute la durée d'utilisation du service.
• Compte inactif : les comptes sans connexion depuis 3 ans sont supprimés après notification par email.
• Après suppression du compte : les données personnelles sont supprimées sous 90 jours. Les données de facturation sont conservées 10 ans (obligation comptable).
• Historique de scans : 12 mois glissants pour les utilisateurs gratuits, illimité pour les abonnements Premium/Famille (accessible dans votre espace).
• Journaux techniques (logs) : 12 mois maximum.

7. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

• Accès — obtenir une copie des données que nous détenons sur vous.
• Rectification — corriger des données inexactes (directement dans votre espace ou par email).
• Effacement — demander la suppression de votre compte et de vos données.
• Limitation — geler certains traitements en cas de contestation.
• Portabilité — recevoir vos données dans un format lisible et interopérable.
• Opposition— vous opposer à un traitement fondé sur l'intérêt légitime.
• Retrait du consentement — retirer votre consentement pour les données de santé ou les cookies analytiques à tout moment (le retrait ne remet pas en cause la licéité du traitement précédent).
• Directives post-mortem — définir le sort de vos données après votre décès.

Pour exercer vos droits, écrivez à dpo@allergypass.fr. Nous répondons sous 1 mois maximum. Une pièce d'identité pourra vous être demandée en cas de doute sur votre identité.

8. Réclamation auprès de la CNIL

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés : www.cnil.fr/plaintes

9. Mineurs

Le service est réservé aux personnes majeures (18 ans). Une vérification d'âge est effectuée à l'inscription. Un parent peut créer un profil secondaire pour son enfant allergique, sous sa responsabilité et avec ses propres allergies.

10. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles :

• Chiffrement TLS pour tous les échanges.
• Chiffrement au repos de la base de données.
• Séparation des rôles applicatifs et journalisation des accès.
• Contrôle d'accès basé sur les rôles Clerk et vérifications côté serveur.
• Audits de sécurité périodiques.

11. Modifications

Cette politique peut évoluer. Les modifications substantielles sont notifiées par email et dans l'application. La date de dernière mise à jour figure en haut de cette page.

12. Contact

Pour toute question relative à cette politique : dpo@allergypass.fr