Politique de confidentialité CareMeal

Responsable du traitement

Le responsable du traitement est Fanta KEBE, entrepreneure individuelle, SIRET 838 966 026 00034, 6 avenue de Verdun, 94700 Maisons-Alfort, France. Contact : contact@caremeal.fr.

Données collectées

CareMeal collecte uniquement les informations utiles au fonctionnement du service.

• Identité et coordonnées nécessaires au compte, au support et aux livraisons.
• Informations alimentaires déclarées : allergies, préférences et aliments à éviter.
• État du moment et rythme de traitement renseignés par la personne accompagnée.
• Commandes, livraisons, autorisations aidant et demandes de contact.

Finalités et bases légales

• Création et gestion du compte, précommandes, livraisons et support : exécution du service demandé ou mesures précontractuelles.
• Informations de santé, état du moment, allergies et autres données sensibles déclarées : consentement explicite.
• Gestion des autorisations accordées à un aidant : consentement et demande de la personne accompagnée.
• Sécurité, prévention des abus et preuve des actions : intérêt légitime de CareMeal, après mise en balance avec les droits des personnes.
• Facturation et pièces comptables lorsqu'une vente réelle sera ouverte : obligations légales applicables.
• Communication commerciale électronique, si elle est activée : consentement préalable et possibilité de retrait à tout moment.

Consentement et aidants

Les informations sensibles sont renseignées avec un consentement explicite. Ce consentement peut être retiré à tout moment, sans remettre en cause les traitements effectués avant le retrait. La personne accompagnée choisit les accès accordés à son aidant et peut les modifier ou les retirer depuis l'application.

Destinataires et sous-traitants

Les données sont accessibles uniquement à la personne concernée, aux aidants qu'elle autorise et aux personnes habilitées par CareMeal. Les prestataires techniques actuellement retenus ou préparés sont :

• GoDaddy.com, LLC et ses entités d'infrastructure européennes : hébergement du site, de l'API et de la base sur un VPS configuré dans la région Europe. GoDaddy.com, LLC est établie aux États-Unis ; ses sous-traitants d'infrastructure peuvent être établis dans l'Espace économique européen ou dans des pays tiers.
• Sendinblue SAS, exerçant sous la marque Brevo, France : envoi des emails transactionnels. Brevo indique que ses bases sont hébergées dans l'Union européenne, principalement en France et en Allemagne, avec des données stockées sur Google Cloud en Belgique.
• Stripe Payments Europe, Limited, Irlande : tests de paiement et, uniquement après activation du service réel, traitement des paiements. Les données de carte sont saisies et traitées par Stripe et ne sont pas conservées par CareMeal.

Aucun prestataire de préparation ou de livraison ne reçoit actuellement de données personnelles. Cette liste sera mise à jour avant l'activation d'un nouveau destinataire ou sous-traitant.

CareMeal ne vend pas les données personnelles et ne les utilise pas pour du ciblage publicitaire.

Export et suppression

Vous pouvez demander l'export, la correction ou la suppression de vos données depuis l'application ou en écrivant à contact@caremeal.fr. Une vérification d'identité peut être demandée avant traitement.

Durées de conservation et sécurité

• Compte, profil et informations alimentaires : pendant l'utilisation du compte, puis suppression ou anonymisation lors de la suppression du compte.
• Autorisations aidant : jusqu'à leur retrait, la révocation du lien ou la suppression du compte.
• Précommandes et transactions de test : pendant la phase de test, puis anonymisation lors de la suppression du compte.
• Pièces comptables liées à une vente réelle : jusqu'à dix ans lorsque cette conservation est imposée par la loi.
• Demandes de support : le temps nécessaire à leur traitement et au suivi d'un éventuel litige.
• Preuves de consentement et journaux de sécurité : le temps nécessaire à la preuve et à la protection du service, puis suppression ou anonymisation.

CareMeal met en place des mesures destinées à limiter les accès, protéger les sessions et réduire les données conservées. Les durées seront réévaluées avant toute ouverture commerciale et documentées dans le registre des traitements.

Vos droits

Vous pouvez demander l'accès, la rectification, l'effacement, la limitation ou la portabilité de vos données, et vous opposer aux traitements fondés sur l'intérêt légitime. Vous pouvez retirer votre consentement à tout moment. Ces droits s'exercent depuis l'application ou à contact@caremeal.fr. Une réponse est apportée dans les délais prévus par le RGPD, sous réserve d'une vérification d'identité si elle est nécessaire.

Vous pouvez également introduire une réclamation auprès de la CNIL.

Transferts hors de l'Espace économique européen

Certains prestataires ou leurs sous-traitants peuvent accéder à des données depuis un pays situé hors de l'Espace économique européen. CareMeal exige alors un mécanisme reconnu par le RGPD : décision d'adéquation, cadre de protection des données UE-États-Unis lorsqu'il est applicable, ou clauses contractuelles types de la Commission européenne accompagnées, si nécessaire, de mesures supplémentaires.

Les accords de traitement de GoDaddy et de Stripe prévoient ces mécanismes pour les transferts concernés. Brevo indique un stockage principal de ses bases dans l'Union européenne. CareMeal revoit la liste des sous-traitants et les garanties associées lors de toute modification de prestataire.

Hébergement des données sensibles

L'environnement actuel reste un environnement de préproduction et de test. CareMeal ne présente pas le VPS actuel comme certifié HDS. L'ouverture à des données de santé réelles est bloquée jusqu'à la validation documentée d'un hébergement et de mesures de sécurité adaptés.

Cadre non médical

CareMeal ne pose pas de diagnostic, ne promet pas de guérison et ne remplace pas l'équipe soignante. Les propositions de repas doivent rester adaptées aux recommandations personnelles reçues.