Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement est Valérian ZOLTOWSKI, entrepreneur individuel immatriculé sous le SIRET 984 210 625 00013, exploitant le service sous le nom commercial Casa Croqueta (ci-après « l'Éditeur »).

Contact : support@casacroqueta.fr. Aucun délégué à la protection des données n'a été désigné, cette désignation n'étant pas obligatoire au regard de l'article 37 du RGPD. Toute question relative à vos données peut être adressée à l'adresse ci-dessus, et reçoit une réponse d'une personne.

2. Données collectées

• Données de compte : adresse e-mail, nom d'affichage, nom d'utilisateur, langue choisie, avatar et biographie (facultatifs) ;
• Vos contenus : recettes, ingrédients, étapes, photographies, collections, plans de repas, favoris — et, si vous rejoignez un espace famille, votre appartenance à celui-ci ;
• Données de facturation : référence client Stripe, plan souscrit, statut et échéance de l'abonnement. Aucune donnée de carte bancaire ne transite par nos serveurs : le paiement s'effectue sur les pages de Stripe, vers lesquelles vous êtes redirigé ;
• Assistant d'import : le texte que vous collez ou les photographies que vous soumettez, ainsi que la consigne éventuelle qui les accompagne. Voir la section 4 ;
• Mesure d'usage : le fait qu'une fonctionnalité ait été utilisée, et son issue — jamais son contenu.

Ce que nous ne collectons pas. Votre adresse IP est utilisée de manière transitoire pour limiter les tentatives de connexion abusives ; elle n'est enregistrée dans aucune table de notre base de données. Elle figure dans les journaux techniques de nos serveurs, dont le volume est plafonné et qui sont écrasés en rotation continue — de l'ordre de quelques semaines. Nous ne collectons ni votre type de navigateur, ni votre historique de navigation, ni aucune donnée de mesure d'audience.

3. Finalités et bases légales

• Fourniture du service (exécution du contrat, art. 6.1.b) : création de compte, authentification, gestion de vos recettes, collections et plans de repas ;
• Assistant d'import (exécution du contrat, art. 6.1.b) : transcrire le texte ou la page que vous soumettez. Cette fonctionnalité ne s'active que si vous la déclenchez ;
• Contrôle de qualité et modération (intérêt légitime, art. 6.1.f) : les recettes que vous choisissez de rendre publiques sont analysées automatiquement afin d'écarter les contenus illicites ou manifestement inadaptés. Les recettes privées ne sont pas analysées. Voir la section 5 ;
• Gestion de l'abonnement (exécution du contrat, art. 6.1.b) : paiement, facturation, renouvellement ;
• Sécurité du service (intérêt légitime, art. 6.1.f) : limitation du nombre de tentatives de connexion, protection contre les requêtes automatisées ;
• Obligations légales (art. 6.1.c) : conservation des pièces comptables, réponse aux réquisitions judiciaires.

4. L'assistant d'import et le recours à l'intelligence artificielle

Lorsque vous utilisez l'assistant qui transcrit un texte collé ou une page photographiée, le contenu que vous soumettez est transmis à un prestataire de modèle de langage afin d'en extraire les champs d'une recette. Il en va de même pour l'analyse des recettes que vous publiez (section 3).

Ce qui est transmis : le texte ou les images que vous soumettez, et la consigne éventuelle. Ni votre nom, ni votre adresse e-mail, ni aucun identifiant de compte ne sont joints à l'appel — le prestataire reçoit un contenu, pas une personne.

Ce qu'il advient de vos photographies : elles sont effacées de nos serveurs dès la fin de la transcription, quelle qu'en soit l'issue, y compris en cas d'échec. Elles ne sont jamais publiées ni associées à la recette créée.

Prestataires utilisés :

• Mistral AI SAS, société française établie à Paris. Les traitements confiés à Mistral s'exécutent au sein de l'Union européenne : ils ne donnent lieu à aucun transfert international, et aucune garantie complémentaire n'est requise à ce titre ;
• OpenAI, dont l'entité contractante pour l'Espace économique européen est OpenAI Ireland Limited(Dublin). Le traitement peut impliquer un transfert vers les États-Unis. Ce transfert est encadré par la certification d'OpenAI au cadre de protection des données UE‑États-Unis (EU-US Data Privacy Framework) et, à défaut ou en complément, par les clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914) figurant dans son accord de sous-traitance. Une copie de ces garanties peut être obtenue sur demande à support@casacroqueta.fr.

Nous privilégions le prestataire européen chaque fois que la tâche le permet.

Vous n'êtes jamais tenu d'utiliser cet assistant : la saisie manuelle d'une recette ne fait intervenir aucun prestataire d'intelligence artificielle.

5. Décisions automatisées

Deux contrôles automatisés peuvent s'opposer à la publication d'un contenu :

• un contrôle de complétude, qui repasse en privé une recette publique dont il manque des éléments essentiels, et vous rend la liste de ce qui manque ;
• une analyse du contenu, qui peut refuser une transcription ou retarder une publication.

Ces contrôles peuvent se tromper. Vous pouvez demander le réexamen par une personne en écrivant à support@casacroqueta.fr dans les 90 jourssuivant le refus. Au-delà, l'extrait que nous avions conservé n'existe plus et nous vous demanderons de soumettre à nouveau votre texte. Aucune de ces décisions n'a d'effet juridique à votre égard : elle porte sur la publication d'un contenu, jamais sur votre compte, et vos recettes restent dans votre carnet dans tous les cas.

Ce que nous gardons quand un import est refusé. Lorsqu'une transcription est refusée, nous enregistrons la date, le motif du refus et un extrait du texte que vous aviez soumis, limité à 400 caractères. Cet extrait nous sert à vérifier que le refus était fondé si vous le contestez, et à repérer les comptes qui soumettent des contenus interdits de façon répétée. Il est effacé au bout de 90 jours.Passé ce délai, nous ne conservons plus que le fait qu'un refus a eu lieu et son motif, pendant un an — sans le texte. Nous ne gardons jamais la photographie d'origine : elle est détruite dès la fin de la transcription. Sa lecture est réservée aux administrateurs ; les modérateurs voient le motif du refus, pas le texte. Cet enregistrement repose sur notre intérêt légitime à protéger le service (article 6.1.f du RGPD) ; vous pouvez vous y opposer en nous écrivant, et nous examinerons votre demande.

6. Destinataires et sous-traitants

Vos données ne sont jamais vendues, ni cédées à des tiers à des fins publicitaires ou commerciales. Elles ne sont partagées qu'avec les personnes que vous invitez dans votre espace famille, selon la visibilité que vous choisissez pour chaque recette, et avec les prestataires techniques suivants :

• OVH SAS (France) — hébergement des serveurs et de la base de données ;
• Stripe, Inc. (États-Unis) — paiement en ligne. Données transmises : adresse e-mail, montant, référence d'abonnement. Stripe est certifié PCI DSS ; son accord de sous-traitance est publié sur stripe.com/fr/legal/dpa ;
• Proton AG (Suisse) — acheminement des e-mails de service (vérification d'adresse, réinitialisation de mot de passe, notifications de modération). La Suisse bénéficie d'une décision d'adéquation de la Commission européenne ;
• Mistral AI SAS (France) et OpenAI (entité contractante pour l'EEE : OpenAI Ireland Limited, Irlande) — assistant d'import et contrôle qualité. Voir la section 4.

Transferts hors de l'Union européenne. L'hébergement, la base de données et les traitements confiés à Mistral AI se situent dans l'Union européenne. Seuls le paiement (Stripe) et, le cas échéant, les traitements confiés à OpenAI peuvent donner lieu à un transfert vers les États-Unis. Les e-mails de service transitent par la Suisse, qui bénéficie d'une décision d'adéquation.

7. Durées de conservation

Suppression du compte. Vous pouvez supprimer votre compte vous-même, depuis votre profil, sans avoir à nous écrire. Vos données de compte, vos recettes, vos photographies, vos collections et vos plans de repas sont alors effacés immédiatement et de manière irréversible — y compris les fichiers images stockés. Subsistent uniquement les pièces comptables mentionnées ci-dessus.

8. Vos droits

Conformément au règlement (UE) 2016/679 et à la loi n° 78-17 du 6 janvier 1978, vous disposez des droits suivants :

• Droit d'accès et à la portabilité : vous pouvez télécharger vous-même, à tout moment et depuis votre profil, une copie complète de vos données au format JSON. Cette fonction est gratuite, sans limite de fréquence, et accessible quel que soit votre plan ;
• Droit de rectification : vos données de compte et vos contenus sont modifiables directement depuis le service ;
• Droit à l'effacement : voir la section 7 ;
• Droit d'opposition : vous pouvez vous opposer aux traitements fondés sur notre intérêt légitime (section 3) ;
• Droit à la limitation : vous pouvez demander la suspension d'un traitement.

Pour les droits qui ne s'exercent pas directement depuis le service, écrivez à support@casacroqueta.fr. Nous répondons dans un délai d'un mois à compter de la réception, délai que nous pouvons prolonger de deux mois en cas de demande complexe, en vous en informant et en vous en expliquant le motif (art. 12.3). L'exercice de vos droits est gratuit (art. 12.5).

En cas de réponse insatisfaisante, vous pouvez introduire une réclamation auprès de la CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, cnil.fr.

9. Sécurité

Les communications sont chiffrées (HTTPS/TLS), les mots de passe hachés avec bcrypt, et l'accès aux données soumis à un contrôle de propriété vérifié à chaque requête. Les adresses e-mail sont masquées dans nos journaux applicatifs. Aucun système n'étant infaillible, nous ne pouvons garantir une sécurité absolue ; en cas de violation de données susceptible d'engendrer un risque élevé pour vos droits, vous en serez informé conformément à l'article 34 du RGPD.

10. Cookies

Le service n'utilise que des traceurs strictement nécessaires à son fonctionnement et ne charge aucun script tiers. Le détail figure dans notre politique de cookies.

11. Modifications

Cette politique peut être mise à jour. En cas de modification substantielle, nous vous en informons par e-mail au moins trente jours avant son entrée en vigueur, en indiquant ce qui change. La date de dernière mise à jour figure en tête du présent document, et les versions antérieures sont conservées et communiquées sur demande.