Politique de confidentialité de l'application BCH Scan

Raison sociale : BetterCallHealth LLP

Forme juridique : Limited Liability Partnership (LLP), droit anglais

Numéro d'immatriculation : OC456774 (Companies House)

Enregistrement ICO : ZB905926 (Information Commissioner's Office, Royaume-Uni)

Siège social : 71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, United Kingdom

Représentant légal : Nicolas Hamon, Designated Member

Point de contact protection des données : privacy@bettercallhealth.com

3.1. Compte

• Création : depuis la version 1.0.7 de l'application, un compte est nécessaire pour l'utiliser. Vous le créez en vous connectant avec Apple, avec Google, ou avec votre adresse électronique : un code à six chiffres, valable quinze minutes, vous est alors envoyé. Aucun mot de passe n'est créé ni conservé.
• Données : l'identifiant que nous transmet Apple ou Google pour vous reconnaître, jamais un mot de passe ; l'adresse électronique associée à votre moyen de connexion (avec Apple, elle peut être une adresse relais qui masque la vôtre) ; votre prénom s'il nous est transmis (Apple le transmet une seule fois, à la première connexion ; nous ne gardons pas le nom de famille) ; les dates de création, de connexion et de dernière visite. L'application ouvre aussi une session technique, sans nom ni adresse.
• Finalité : vous reconnaître d'une ouverture à l'autre et d'un téléphone à l'autre, retrouver vos lectures, votre liste, votre semaine et votre abonnement.
• Base légale : exécution du service (article 6, paragraphe 1, point b) du RGPD).
• Durée : jusqu'à la suppression du compte depuis l'application, ou après 36 mois sans aucune ouverture.
• Connexion avec Apple : si vous retirez à BCH Scan l'accès à votre identifiant Apple (dans les réglages de votre iPhone) ou supprimez votre compte Apple, Apple nous en informe et nous retirons ce moyen de connexion ; votre compte reste accessible par un autre moyen. Quand vous supprimez votre compte BCH Scan, nous demandons à Apple de révoquer l'accès qu'il nous avait donné.

3.2. Profil déclaré, facultatif

• Données : sexe, tranche d'âge (par tranche, jamais une date de naissance), enseignes fréquentées, département (le numéro seul, jamais la ville ni le code postal, et seulement si vous participez aux statistiques de la section 4), ce que vous attendez de l'application, repères d'étiquette (allergènes que vous surveillez).
• Finalité : adapter les bornes du bilan sanguin selon le sexe, allumer vos repères sur les étiquettes, et, pour les enseignes et le département, alimenter les statistiques anonymes de la section 4.
• Base légale : votre consentement, donné question par question lors du premier lancement ; chaque réponse peut être passée, et modifiée ou effacée à tout moment dans le Profil.
• Durée : jusqu'à modification ou suppression du compte.

3.2 bis. Pays de vos courses

• Données : le pays où vous faites vos courses : France, Belgique, Suisse, Canada ou « Ailleurs ».
• Origine : depuis la version 1.5, l'application le propose au démarrage d'après la région réglée sur votre téléphone (un réglage, jamais une localisation), et seulement s'il s'agit de l'un de ces quatre pays. Vous pouvez le changer à tout moment dans le Profil (« Pays de vos courses ») ; votre choix n'est alors plus jamais remplacé. Sans pays connu, l'application retient la France.
• Finalité : ne vous proposer, dans les rayons et sous « À la place », que des produits vendus dans ce pays, et, dans le Profil, les enseignes de ce pays.
• Base légale : exécution du service (article 6, paragraphe 1, point b) du RGPD).
• Durée : jusqu'à modification ou suppression du compte.

3.3. Données de santé : terrain et ressentis

• Données : le terrain que vous déclarez (par exemple Hashimoto, syndrome de l'intestin irritable, fibromyalgie, MICI, polyarthrite rhumatoïde) et les ressentis que vous cochez (fatigue, douleurs, ventre, sommeil, poids, peau, moral).
• Finalité : pondérer la lecture des produits selon votre terrain. La lecture décrit toujours le produit, jamais votre état de santé, et ne constitue ni un avis médical ni aucun diagnostic.
• Base légale : votre consentement explicite, recueilli par une case dédiée après lecture du cadre (article 9, paragraphe 2, point a) du RGPD). Sans cette case, aucun terrain ni ressenti n'est enregistré et l'application fonctionne à l'identique.
• Retrait : à tout moment dans le Profil. Retirer le terrain efface le terrain, les ressentis et toutes les lectures par terrain déjà calculées.
• Depuis la version 1.0.7 : ces données sont rattachées à un compte identifié par l'adresse électronique de votre moyen de connexion (section 3.1). Le consentement que vous avez donné reste valable et se retire de la même façon.
• Durée : jusqu'au retrait du consentement ou à la suppression du compte.

3.4. Lectures de produits

• Données : pour chaque lecture, la date, le mode (code-barres, étiquette, assiette), le code-barres, le nom du produit, la liste d'ingrédients lue, le verdict calculé et, le cas échéant, sa lecture par terrain.
• Finalité : afficher et conserver votre historique, calculer la jauge de la semaine, améliorer la base de produits.
• Base légale : exécution du service.
• Durée : jusqu'à la suppression du compte.
• Sous-traitant : pour une lecture par code-barres, le code-barres est transmis à Open Food Facts (association française, base ouverte sous licence ODbL) afin de récupérer la fiche du produit. Aucune donnée vous concernant n'accompagne cette requête.

3.5. Photos d'étiquette ou d'assiette

• Données : la photo que vous prenez d'une étiquette ou d'une assiette.
• Finalité : extraire la liste des ingrédients pour la lecture.
• Base légale : votre consentement, demandé avant la première photo.
• Sous-traitant : la photo est transmise à un prestataire d'intelligence artificielle, Anthropic (États-Unis), qui en extrait le texte. Ce transfert hors de l'Union européenne est encadré par les clauses contractuelles types de la Commission européenne, intégrées à l'accord de traitement des données conclu avec ce prestataire, qui s'engage à ne pas utiliser les photos pour entraîner ses modèles.
• Durée : la photo n'est pas conservée par BetterCallHealth après l'extraction ; seule la liste d'ingrédients obtenue est enregistrée avec la lecture, sauf si, pour un produit que vous faites connaître, vous l'envoyez ensuite avec la photo du devant du paquet (section 3.5 bis). Ne photographiez pas de visage ni de document personnel.

3.5 bis. Photos d'un produit que vous faites connaître

• Quand : seulement si vous faites connaître à BCH Scan un produit qu'il ne connaissait pas (sa liste d'ingrédients lue, puis confirmée par vous), et seulement si vous choisissez, à la dernière étape, de photographier le devant du paquet. « Plus tard » passe cette étape sans rien envoyer.
• Données : la photo du devant du paquet et la photo de sa liste d'ingrédients prise juste avant ; le nom et la marque lus sur le devant ; l'identifiant de votre compte et la date.
• Finalité : constituer la base de produits de BCH Scan. La photo du devant devient l'image du produit, montrée à toutes les personnes qui le scannent ; le nom lu sur le paquet nomme le produit quand vous ne l'avez pas tapé.
• Vérification : avant d'être gardée, chaque photo est examinée par le prestataire d'intelligence artificielle de la section 3.5 (Anthropic, mêmes garanties). Une photo où l'on voit une personne, ou qui ne montre pas un emballage, n'est jamais gardée.
• Base légale : votre consentement : l'étape est facultative et suppose votre accord à la lecture des photos par intelligence artificielle (section 3.5).
• Durée : tant que le produit figure dans la base. Supprimer votre compte détache ces photos de vous : elles restent l'image du produit, sans plus aucun lien avec vous. Pour en faire retirer une, écrivez à privacy@bettercallhealth.com.

3.6. Lettre du mardi

• Données : l'adresse à laquelle vous recevez la lettre du mardi : celle de votre compte, ou une autre que vous saisissez dans le Profil, rubrique Courriel ; la date de votre accord.
• Ce que la connexion ne fait pas : se connecter ne vous inscrit pas à la lettre. Elle reste une case à part, jamais cochée d'avance.
• Finalités : vous envoyer la lettre du mardi de BetterCallHealth ; pour une adresse saisie dans le Profil, vous adresser une seule fois un message de confirmation (tant qu'elle n'est pas confirmée, aucune lettre ne part) ; ouvrir cinq lectures supplémentaires le mois où vous acceptez la lettre, une seule fois.
• Base légale : votre consentement (article 6.1.a du RGPD), recueilli par la case de la lettre. Ce consentement est libre : refuser ne ferme aucune fonction de l'application et ne coûte que les cinq lectures supplémentaires.
• Désabonnement et effacement : chaque lettre porte un lien qui l'arrête en un clic. Une adresse saisie dans le Profil s'efface par « Retirer l'adresse » : l'effacement est immédiat et emporte le consentement. Supprimer votre compte l'efface également.
• Sous-traitant d'envoi : Resend, qui achemine le code de connexion, le message de confirmation et la lettre du mardi. Ces messages partent du domaine app.bettercallhealth.com, distinct de celui du site.
• Durée : jusqu'au désabonnement, à l'effacement de l'adresse ou à la suppression du compte. Une seule chose subsiste après l'effacement : la date à laquelle les cinq lectures ont été ouvertes, sans l'adresse, pour qu'elles ne puissent pas être regagnées. Elle disparaît avec le compte.

3.6 bis. Nouveautés de l'application et demandes d'avis

• Données : l'adresse électronique de votre moyen de connexion (section 3.1) et votre prénom s'il nous est connu.
• Finalité : vous présenter les nouveautés de BCH Scan et vous demander, de temps en temps, votre avis sur l'application.
• Base légale : notre intérêt légitime à informer les personnes qui utilisent BCH Scan de ses évolutions et à recueillir leur avis (article 6, paragraphe 1, point f) du RGPD). Vous en êtes informé à la création du compte, sur l'écran de connexion.
• Opposition : à tout moment et sans frais, par le lien présent dans chaque message ou par l'interrupteur « Recevoir les nouveautés de BCH Scan » du Profil. Votre choix s'applique aussitôt.
• Durée : tant que le compte existe et que vous ne vous y êtes pas opposé.

3.7. Abonnement Premium

• Données : l'identifiant d'abonné, le statut de l'abonnement, les dates de début, de fin et d'essai.
• Finalité : ouvrir les fonctions Premium sur votre compte.
• Base légale : exécution du contrat d'abonnement.
• Sous-traitants : le paiement est réalisé par Apple (App Store) ou Google (Google Play) sur votre compte de store ; la gestion des abonnements est assurée par RevenueCat (États-Unis, clauses contractuelles types). Aucune donnée bancaire ne transite par BetterCallHealth ni n'y est conservée.
• Durée : pendant l'abonnement, puis conservation limitée aux obligations comptables.

3.8. Journal d'usage

• Données : des événements liés à votre compte (par exemple : écran d'abonnement affiché, mieux classé ouvert et vers quel produit, produit ajouté à la liste, lecture terminée et ce qui l'a suivie, rayon parcouru, recherche tapée), sans aucune donnée de santé, et vos réponses facultatives à la question « Passé dans le panier ? » après avoir ouvert un produit mieux classé. Une recherche tapée est conservée coupée à quarante caractères, et jamais si elle ressemble à une adresse ou à un numéro.
• Finalité : comprendre l'usage de l'application et l'améliorer ; si vous participez, alimenter les statistiques anonymes de la section 4.
• Base légale : intérêt légitime de BetterCallHealth à améliorer son service, dans le respect de vos droits ; les réponses « Passé dans le panier ? » sont données librement, en un geste, et peuvent être ignorées.
• Durée : 24 mois, puis effacement ou agrégation définitive.

3.8 bis. Origine de l'installation (iPhone)

• Données : au lancement, l'application lit un jeton d'attribution fourni par Apple (cadre AdServices), qui ne contient aucun identifiant publicitaire. Si vous avez installé l'application après avoir touché une annonce Apple Ads, Apple indique notamment la campagne, le groupe d'annonces et le mot-clé de cette annonce ; sinon, l'installation est notée sans annonce. Ces informations sont rattachées à votre compte anonyme.
• Finalité : savoir quelles annonces mènent à une installation, puis à un abonnement, pour décider où placer les nôtres.
• Base légale : intérêt légitime de BetterCallHealth à mesurer l'efficacité de ses propres annonces, dans le respect de vos droits. Aucune donnée n'est partagée avec une régie publicitaire et aucun profil publicitaire n'est constitué. Ce n'est pas un suivi au sens d'Apple, et cette mesure ne dépend pas de la fenêtre d'autorisation de suivi, qui ne concerne que la mesure de nos publicités (section 3.11).
• Sous-traitant : RevenueCat (États-Unis, clauses contractuelles types), qui transmet le jeton à Apple et conserve la réponse avec la fiche d'abonnement.
• Durée : celle de la fiche d'abonnement (section 3.7).
• Opposition : vous pouvez vous opposer à cette mesure à tout moment en écrivant à privacy@bettercallhealth.com.

3.9. Données techniques

• Données : adresse IP et informations de connexion, dans les journaux des serveurs.
• Finalité : sécurité, prévention des abus, limitation des lectures par compte.
• Base légale : intérêt légitime de sécurité.
• Durée : 12 mois.

3.9 bis. Langue de l'application

• Données : à la première ouverture, le pays de votre connexion, déduit de votre adresse IP par notre serveur (base « IP to Country Lite », IP Geolocation by DB-IP, licence CC BY 4.0) ; puis la langue retenue (français ou anglais) et, si vous en changez, votre choix.
• Finalité : ouvrir l'application en français ou en anglais selon ce pays. Si vous utilisiez déjà l'application, elle reste en français. Vous changez de langue à tout moment sur l'écran d'accueil ou dans le Profil.
• Base légale : notre intérêt légitime à vous présenter l'application dans une langue que vous lisez.
• Durée : ni le pays ni, pour cet usage, l'adresse IP ne sont conservés. La langue retenue est gardée sur votre téléphone ; votre compte retient l'anglais quand vous l'avez choisi, pour ne pas vous écrire en français.

3.10. Sauvegarde de votre liste, de votre semaine et de vos choix ; récupération du compte

• Données : votre liste de courses (Ma liste : produits et ingrédients de recettes, avec leur nom, leur rayon et leur date d'ajout), le journal qui calcule votre semaine (les produits et recettes que vous avez pris, avec leur chiffre et leur date, et les produits lus), et vos choix d'échanges dans les recettes. Jamais une valeur de bilan sanguin : nos serveurs refusent toute donnée de ce type dans cette sauvegarde.
• Finalité : retrouver ces éléments sur un autre téléphone, ou après une réinstallation. La sauvegarde est remplacée à chaque changement ; elle n'est pas un historique.
• Retrouver son compte : sur un nouvel appareil, connectez-vous avec le même moyen qu'avant (Apple, Google ou votre adresse) : votre compte revient, avec son historique, sa situation déclarée, son abonnement, sa liste et sa semaine. Pour passer d'un iPhone à un téléphone Android, où la connexion Apple n'existe pas, connectez-vous avec l'adresse de votre compte : un code y est envoyé, valable quinze minutes, cinq essais au plus.
• Base légale : exécution du service.
• Durée : jusqu'à la suppression du compte, qui efface la sauvegarde avec lui.

3.11. Mesure de nos publicités, uniquement si vous dites oui

À partir de la version 1.0.5, l'application vous pose la question au début de son utilisation : selon la version, dès la première ouverture ou juste après votre premier produit lu. Si vous ne l'avez pas encore vue, elle peut vous être posée à une ouverture suivante. Vous pouvez aussi répondre, ou changer d'avis, à tout moment dans le Profil. Tant que vous n'avez pas répondu « Oui, avec plaisir », rien de ce qui suit n'a lieu : l'outil de mesure de Meta est présent dans l'application mais éteint, il ne lit, n'enregistre et n'envoie rien.

• Données : l'installation et les ouvertures de l'application, avec des informations techniques sur le téléphone (modèle, version du système, langue, fuseau horaire, opérateur, adresse IP de la connexion) et un identifiant anonyme créé par l'outil de Meta ; l'identifiant publicitaire du téléphone (sur iPhone, seulement si vous l'autorisez dans la fenêtre d'Apple ; sur Android, l'identifiant publicitaire de Google) ; le début d'un essai, un abonnement et ses renouvellements, avec leur montant, transmis par RevenueCat avec l'identifiant anonyme. Jamais un produit lu, vos envies, votre situation, votre bilan, votre adresse électronique ni votre nom.
• Finalité : savoir quelles publicités de BetterCallHealth sur Facebook et Instagram font découvrir l'application et mènent à un essai ou à un abonnement, pour garder celles qui fonctionnent et arrêter les autres.
• Base légale : votre consentement (article 6, paragraphe 1, point a) du RGPD et article 82 de la loi Informatique et Libertés), donné dans l'application ; « Non merci » est aussi simple que « Oui, avec plaisir », et refuser n'a aucun effet sur l'application. Sur iPhone, l'identifiant publicitaire demande en plus l'autorisation d'Apple, posée seulement après votre oui : si vous la refusez, Meta ne reçoit que des mesures sans cet identifiant.
• Destinataires : Meta Platforms Ireland Ltd (Irlande), responsable conjoint avec BetterCallHealth de la collecte et de la transmission de ces données ; Meta peut les transférer à Meta Platforms, Inc. (États-Unis), dans le cadre du Data Privacy Framework UE-États-Unis. RevenueCat (États-Unis, clauses contractuelles types) transmet à Meta les événements d'essai et d'abonnement.
• Retrait : à tout moment dans l'application, onglet Profil, rubrique « Mesurer nos publicités ». Le retrait coupe l'outil de Meta et efface l'identifiant chez RevenueCat : plus rien ne part vers Meta, ni du téléphone ni de nos serveurs. Le retrait est enregistré comme votre réponse (voir ci-dessous). Supprimer votre compte vaut aussi retrait.
• La trace de votre réponse : à partir de la version 1.0.6, votre réponse (oui ou non), l'écran où vous l'avez donnée (l'accueil ou le Profil), sa date et, sur iPhone après un oui, votre réponse à la fenêtre d'Apple sont aussi enregistrées sur nos serveurs, liées à votre compte. Elles prouvent votre choix, comme le demande le RGPD (article 7, paragraphe 1), et nous servent à compter, en nombres globaux, la part des personnes qui acceptent (intérêt légitime). Elles ne sont jamais transmises à Meta.
• Durée : votre choix est conservé sur votre téléphone, et sa trace sur nos serveurs jusqu'à la suppression de votre compte, qui l'efface. Meta conserve les données reçues selon sa propre politique de confidentialité.