Politique de confidentialité

Le responsable de traitement

Le responsable de traitement est ZEPRAUG & CO, Société par actions simplifiée (SAS) au capital de 1 000 €, dont le siège est 173 rue de Courcelles, 75017 Paris, France. RCS Paris 103 751 970.

Aucun délégué à la protection des données n'est désigné : la désignation n'est obligatoire ni pour un organisme de cette taille, ni pour ce traitement. Les demandes sont traitées par Louis Langevin, président.

Les demandes relatives aux données se traitent à contact@zepraug.com.

Le principe

Zemiam traite ce qu'il faut pour estimer une assiette et tenir un journal. Rien n'est revendu, et aucune donnée de santé ne sort à des fins publicitaires : ni le journal alimentaire, ni les photos de repas, ni le poids, ni les mensurations, ni les pas.

Une seule chose sort à ces fins, et elle est nommée plus bas avec son destinataire : l'identifiant publicitaire de l'appareil, avec le fait que l'application a été installée, ouverte, et qu'un abonnement a été souscrit. C'est ce qui permet de savoir quelles publicités amènent des gens à Zemiam. Ça se refuse, et le refus n'enlève aucune fonction.

Le site ne dépose aucun cookie, n'appelle aucun script tiers et ne mesure pas son audience. Il n'y a donc pas de bandeau à accepter : il n'y a rien à consentir. Les polices sont servies depuis ce domaine, et non depuis un service de polices distant, ce qui évite une connexion vers un tiers au chargement.

L'application, elle, peut mesurer son usage, et seulement si la personne l'accepte : la question est posée à l'inscription, par une case décochée, et se retire en un geste dans l'onglet Profil. Le détail est plus bas.

Ce qui est traité, et pour quoi faire

La création d'un compte n'emporte aucun consentement marketing. Les cases de consentement sont décochées, distinctes des conditions d'utilisation, et distinctes les unes des autres.

L'analyse par intelligence artificielle

L'estimation d'une photo ou d'une description suppose de transmettre cette photo ou ce texte à un fournisseur de modèle. Cette transmission n'a lieu qu'après un consentement explicite, distinct de la création du compte, et il se retire à tout moment depuis le profil.

Le fournisseur d'estimation appelé est Gemini, fourni par Google. C'est le seul, et aucun autre modèle ne reçoit de photo ni de description. Le choix du fournisseur se fige au démarrage du serveur : il ne change pas d'un appel à l'autre, et un changement suppose un déploiement, à l'occasion duquel cette page est mise à jour.

Google est établi hors de l'Union européenne. L'envoi d'une photo ou d'une description constitue donc un transfert au sens du chapitre V du RGPD. Ce transfert est encadré par l'avenant de traitement des données de Google pour les produits où Google agit comme sous-traitant, dont le texte intégral est public à cette adresse. Les transferts qu'il couvre reposent sur la certification de Google au cadre de protection des données entre l'Union européenne et les États-Unis, vérifiable sur son registre public, et à défaut sur les clauses contractuelles types de la Commission européenne.

La photo n'est envoyée que le temps de l'appel, et elle n'est pas utilisée pour entraîner un modèle. Cette phrase tient à une condition précise, et elle est écrite plutôt que sous-entendue : l'appel passe par le palier payant de l'API Gemini, le seul dont les conditions interdisent à Google d'utiliser les contenus soumis pour améliorer ses produits. Le palier gratuit autorise l'inverse, revue humaine comprise, et n'est pas employé ici.

La dictée d'un repas

Dire ce que contient l'assiette envoie le son du micro, le temps d'une phrase, à Deepgram, qui l'écrit. Cette transmission n'a lieu qu'après un consentement distinct de celui de l'analyse, demandé au premier geste de dictée, et il se retire à tout moment depuis le profil. La phrase écrite revient dans l'application comme si elle avait été tapée, puis suit le chemin d'une description : elle part chez Google pour l'estimation, dans les conditions du paragraphe précédent.

Le point d'entrée appelé est celui que Deepgram réserve à l'Union européenne, et chaque appel porte l'option qui exclut le son de son programme d'amélioration des modèles : le son n'est conservé que le temps de l'écrire, ni sur le téléphone, ni chez Zemiam, ni chez Deepgram au-delà du traitement. Deepgram est établi aux États-Unis, et ce transfert est encadré par un accord de traitement des données comprenant les clauses contractuelles types de la Commission européenne.

Les photos de repas

Les photos sont rangées dans un dossier propre à chaque compte, et seul ce compte peut y écrire ou y supprimer un fichier. La lecture d'un fichier ne demande pas d'authentification : elle demande l'adresse exacte du fichier, qui contient l'identifiant du compte et l'horodatage de la prise de vue, et qui n'est publiée nulle part.

Ce réglage est en cours de réexamen, avec pour objectif de passer le stockage en accès signé. La présente page sera mise à jour le jour où ce sera le cas.

Les données de santé et d'activité

Le nombre de pas et le poids peuvent être importés depuis Santé sur iOS ou Health Connect sur Android, après autorisation donnée dans le système. Ces données servent au seul calcul des objectifs.

Elles ne sont jamais utilisées à des fins publicitaires, ni cédées, ni vendues, ni transmises à un courtier en données. Apple l'interdit, et cette interdiction est reprise ici parce qu'elle gagne à être lisible.

La qualification des données de poids, de mensurations et d'apports alimentaires en données de santé au sens de l'article 9 du RGPD fait l'objet d'un examen. Dans le doute, ces données sont traitées sur la base du consentement explicite, qui est le régime le plus exigeant des deux.

Les e-mails

Les messages de Zemiam ne contiennent aucun pixel de suivi. L'ouverture d'un message n'est pas mesurée, et le suivi des clics est désactivé chez le prestataire d'envoi.

Les messages de service, qui accompagnent le fonctionnement du compte, partent sans consentement préalable parce qu'ils relèvent du contrat. Les messages promotionnels supposent une case cochée volontairement, et chaque envoi porte un lien de désinscription gratuit.

Une adresse qui s'est opposée aux envois est conservée dans une liste d'opposition. Cette conservation peut surprendre : elle est le seul moyen de tenir le refus, puisqu'effacer l'adresse reviendrait à pouvoir la réinscrire.

Les destinataires

Tous sont des sous-traitants, sauf le dernier : ils traitent pour le compte de Zemiam et n'ont pas le droit de réutiliser ce qu'ils reçoivent à leurs propres fins. Meta traite pour les siennes, ce qui est précisément pourquoi son cas fait l'objet de la section suivante et pourquoi il se refuse.

Aucune donnée n'est communiquée à un tiers en dehors de cette liste, sauf réquisition d'une autorité judiciaire.

La mesure publicitaire

Zemiam n'affiche aucune publicité. L'application en achète, sur Facebook et Instagram, et cherche à savoir lesquelles amènent des gens qui restent. C'est le seul objet de ce qui suit.

Un composant fourni par Meta est intégré à l'application. Quand le suivi est accepté, il transmet l'identifiant publicitaire de l'appareil, un identifiant anonyme que Meta attribue à cette installation, le fait que l'application a été installée puis ouverte, et le fait qu'un abonnement a été souscrit. Rien d'autre.

Ce qui ne part jamais vers Meta, quel que soit le réglage : le journal alimentaire, les photos de repas, le poids, les mensurations, les pas, l'âge, le sexe, les objectifs, l'adresse e-mail et le nom. Aucune donnée de santé, aucune donnée nominative. La liste des envois est close par la précédente : le composant n'est jamais appelé ailleurs dans le code.

Rien de tout cela ne part sans un consentement explicite. Il est demandé à l'inscription, par une case décochée, distincte de celle de l'analyse par IA et de celle des e-mails. Tant qu'il n'est pas donné, le composant de Meta est présent mais fermé : il ne lit aucun identifiant et n'enregistre aucun évènement.

Le retrait est aussi simple que l'accord, et il vit dans l'application : onglet Profil, section « Mesure des publicités ». Il prend effet immédiatement, sur iPhone comme sur Android, sans passer par les réglages du système. Le refus ne retire aucune fonction de Zemiam et ne change rien à ce que l'application fait.

Sur iPhone, une fenêtre du système pose en plus sa propre question au premier lancement. Elle relève d'une exigence d'Apple et ne remplace pas le consentement ci-dessus : sa réponse se change dans Réglages, Confidentialité et sécurité, puis Suivi. Sur Android, l'identifiant publicitaire se supprime depuis Paramètres, Google, puis Annonces. Un refus posé à l'un ou l'autre de ces endroits suffit à tout fermer, et le réglage de l'application aussi.

La mesure d'usage

Pour corriger l'application, il faut savoir où elle se rate : quels écrans sont ouverts, à quelle étape du parcours les gens s'arrêtent, par quelle méthode un repas est consigné, si une analyse a abouti. C'est le seul objet de ce qui suit.

Quand la mesure est acceptée, un composant fourni par PostHog transmet, sous l'identifiant du compte, les écrans ouverts, les étapes du parcours d'inscription, la méthode et le total en calories d'un repas consigné, le résultat d'une analyse, un code-barres trouvé ou non, l'ouverture du paywall et la souscription. PostHog héberge ces données en Union européenne, région de Francfort, pour le compte de Zemiam, et n'a pas le droit de les réutiliser.

Ce qui ne part jamais, quel que soit le réglage : le journal alimentaire, les photos de repas, le poids, les mensurations, les pas, l'âge, le sexe, les objectifs, l'adresse e-mail et le nom. Aucun identifiant publicitaire non plus. Le seul chiffre qui voyage est le total en calories d'une ligne consignée.

Ces informations ne sont ni partagées ni vendues à des tiers. Elles servent à Zemiam et à personne d'autre : aucune régie, aucun courtier, aucun recoupement avec un autre service.

Rien ne part sans un consentement explicite. Il est demandé à l'inscription, par une case décochée, distincte des trois autres. Tant qu'il n'est pas donné, le composant n'est pas même démarré.

Le retrait et la suppression sont possibles à tout moment : onglet Profil, section « Mesure d'usage ». Le retrait prend effet immédiatement et ne retire aucune fonction. La suppression du compte efface aussi ce qui a été mesuré, événements compris, et une demande écrite à contact@zepraug.com obtient le même effacement sans supprimer le compte.

Combien de temps

Les durées figurent dans le tableau des traitements. Deux précisions s'y ajoutent.

• À la suppression du compte, les données partent immédiatement. Les sauvegardes chiffrées de la base en conservent une copie pendant sept jours, puis cette copie disparaît d'elle-même.
• Les pièces comptables liées à un abonnement sont conservées dix ans, parce que la loi comptable l'impose. Elles ne contiennent pas le journal alimentaire.

Les droits, et le chemin pour chacun

Toute personne dispose d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de retirer un consentement à tout moment. Voici où ils se trouvent.

• Effacer le compte et les données. Dans l'app : onglet Profil, section Le compte, puis Supprimer le compte. La suppression est immédiate et emporte le journal, les photos, le profil, les objectifs, les pesées, les pas et les favoris. Sans l'app, la page de suppression de compte décrit le chemin par courriel et détaille ce qui subsiste.
• Effacer seulement le journal. Même écran, ligne Effacer le journal. Le compte, le profil et les objectifs restent en place.
• Emporter ses données. Même écran, ligne Emporter mes données. L'export est un fichier lisible par une autre application.
• Retirer un consentement. Le consentement à l'analyse par IA, celui aux données de santé, celui aux messages promotionnels, celui à la mesure publicitaire et celui à la mesure d'usage se retirent séparément depuis le profil. Un retrait ne remet pas en cause ce qui a été fait avant lui.
• Écrire, plutôt que passer par l'app. Une demande adressée à contact@zepraug.com est traitée dans un délai d'un mois au plus, prolongeable de deux mois pour une demande complexe, auquel cas la prolongation et son motif sont annoncés dans le premier mois.

Réclamer auprès de la CNIL

En cas de réponse insatisfaisante, ou d'absence de réponse dans le délai d'un mois, une réclamation peut être déposée auprès de la Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou sur www.cnil.fr.

Décision automatisée

L'estimation produite par le modèle est une aide à la saisie. Elle ne produit aucun effet juridique et ne constitue pas une décision automatisée au sens de l'article 22 du RGPD. Elle se corrige, et elle se supprime.

Les mineurs

Le service s'adresse aux personnes de quinze ans et plus, comme le précisent les conditions d'utilisation. En dessous de cet âge, le consentement du titulaire de l'autorité parentale est requis, et Zemiam ne dispose pas des moyens de le recueillir de façon fiable.

Sécurité

Les échanges avec le service sont chiffrés en transit. La base applique un cloisonnement par compte au niveau des lignes : une requête ne peut lire que les données du compte qui l'émet. Les clés d'administration ne circulent jamais côté application.

Modifications

Cette politique peut évoluer, notamment si un sous-traitant change ou si le stockage des photos passe en accès signé. La date de révision en tête de page fait foi, et un changement substantiel est annoncé dans l'application avant son entrée en vigueur.

Version applicable depuis le 3 septembre 2026.