Politique de confidentialité

1. Identification de l'entreprise

La présente politique décrit la manière dont BonApp! solutions numériques inc. recueille, utilise, communique et conserve les renseignements personnels des utilisateurs de l'application mobile BonApp! et du site bon-app.info.

Dans le présent document, « l'entreprise » désigne BonApp! solutions numériques inc. et « vous » désigne la personne physique qui utilise l'application ou le site.

Cette politique est régie par la Loi sur la protection des renseignements personnels dans le secteur privé (Québec) telle que modifiée par la Loi 25, et par la Loi sur la protection des renseignements personnels et les documents électroniques (Canada).

2. Responsable de la protection des renseignements personnels

Conformément à l'article 3.1 de la Loi sur la protection des renseignements personnels dans le secteur privé, la personne suivante exerce la fonction de responsable de la protection des renseignements personnels :

Toute question relative à la présente politique, toute demande d'exercice de droits et toute plainte concernant nos pratiques doivent lui être adressées.

3. Renseignements personnels recueillis

3.1 Compte et authentification

L'adresse courriel constitue le seul renseignement obligatoire à la création d'un compte. L'authentification s'effectue au moyen d'un code à usage unique transmis par courriel. Aucun mot de passe, aucun numéro de téléphone et aucune connexion par compte tiers ne sont utilisés.

3.2 Profil et préférences

Ces renseignements sont facultatifs, à l'exception de ceux nécessaires au calcul des portions. Ils permettent la composition de menus adaptés.

3.3 Contenu créé par l'utilisateur

Sont conservés au compte : les menus planifiés (recette, date et repas, lesquels constituent un relevé daté des habitudes alimentaires du foyer), les listes d'épicerie et les articles qui les composent, le contenu déclaré du garde-manger, les recettes personnelles, les recettes mises en favoris, ainsi que l'historique des échanges avec l'assistant Gusto.

Lorsqu'une liste d'épicerie est partagée, l'entreprise génère une adresse web consultable sans compte, valide quatorze jours et révocable en tout temps. Cette page affiche le contenu de la liste et, le cas échéant, le pseudonyme du titulaire. Elle n'affiche ni l'adresse courriel, ni le budget, ni les recettes, et n'est pas indexable par les moteurs de recherche.

3.4 Renseignements traités sans conservation

Les éléments suivants sont traités puis abandonnés sans être enregistrés en base de données, sur disque ou dans les journaux :

• les photographies de recettes soumises à la numérisation ou à l'assistant, lesquelles sont transmises au service d'intelligence artificielle aux fins de lecture puis supprimées; l'historique de conversation n'en conserve qu'une mention;
• les textes de recettes soumis à l'importation;
• les propositions de menus générées avant enregistrement, lesquelles sont conservées trente minutes en mémoire temporaire.

3.5 Renseignements techniques

Les journaux applicatifs consignent la méthode, la ressource demandée, le code de réponse et la durée de traitement, à l'exclusion de l'adresse IP et du corps des requêtes.

3.6 Renseignements conservés sur l'appareil

Le jeton de session est conservé dans le coffre sécurisé du système d'exploitation (Keychain sous iOS, Keystore sous Android) et effacé à la déconnexion. Le thème d'affichage et les collections de recettes personnelles demeurent locaux à l'appareil et ne sont pas transmis à l'entreprise. Les autres données ne subsistent sur l'appareil que pour la durée de la session.

4. Renseignements sensibles

Les allergies et intolérances alimentaires constituent des renseignements relatifs à la santé. Les régimes alimentaires sont susceptibles de révéler des convictions religieuses ou philosophiques. Le budget d'épicerie est un renseignement de nature financière. Ces catégories font l'objet d'un traitement distinct :

• leur collecte est subordonnée à un consentement manifeste, libre et éclairé, demandé de façon distincte de tout autre consentement, au moment de la saisie;
• leur utilisation est strictement limitée au filtrage des recettes et à la composition des menus, à l'exclusion de toute finalité publicitaire, statistique ou commerciale;
• elles ne sont ni vendues ni communiquées, sous réserve de leur transmission à l'assistant Gusto lorsque l'utilisateur demande qu'il en tienne compte;
• elles peuvent être supprimées en tout temps depuis les paramètres du compte, sans que la suppression du compte soit nécessaire.

L'application demeure fonctionnelle sans que ces renseignements soient fournis.

5. Renseignements non recueillis

L'entreprise ne recueille ni la position géographique, ni les données du microphone, des contacts ou de l'agenda, ni les codes-barres ou reçus de caisse, ni les identifiants publicitaires, ni les jetons de notification poussée.

L'application requiert trois autorisations : l'accès au réseau, l'accès à la caméra aux fins de photographier une recette et l'accès à la photothèque aux fins d'en sélectionner une image existante.

6. Finalités et fondements du traitement

L'entreprise n'établit aucun profil à des fins publicitaires et ne rend aucune décision fondée exclusivement sur un traitement automatisé de renseignements personnels.

7. Communication à des tiers

L'entreprise ne vend, ne loue ni n'échange aucun renseignement personnel. Les fournisseurs ci-dessous agissent à titre de sous-traitants, pour le compte de l'entreprise et selon ses instructions, en vertu d'ententes écrites.

OpenRouter est la seule passerelle d'intelligence artificielle utilisée : l'entreprise ne communique directement avec aucun fournisseur de modèle. OpenRouter confie l'exécution des requêtes à des fournisseurs que l'entreprise a restreints par configuration : le modèle de conversation s'exécute chez DeepInfra et le modèle de lecture des recettes chez Google. Ces fournisseurs agissent à titre de sous-traitants ultérieurs. Le repli vers tout autre fournisseur est désactivé : une requête que le fournisseur retenu ne peut servir échoue, plutôt que d'être acheminée ailleurs.

L'entreprise n'a accès à aucun numéro de carte de paiement ni à aucune coordonnée bancaire. Les outils de relevé des prix et des circulaires fonctionnent sur les serveurs de l'entreprise sans traitement de renseignements personnels.

Des renseignements peuvent en outre être communiqués lorsque la loi l'exige ou pour l'exercice des droits de l'entreprise en justice.

8. Traitements effectués hors du Québec

L'infrastructure de l'entreprise est hébergée au Québec, chez OVHcloud, dans la région de Beauharnois : serveurs d'application, base de données, images et copies de sauvegarde chiffrées. Les renseignements personnels conservés par l'entreprise y demeurent.

Les communications hors Québec se limitent à celles qui sont nécessaires au fonctionnement des services décrits à la section 7, et sont effectuées vers les États-Unis d'Amérique : OpenRouter, DeepInfra, Mailgun, RevenueCat, Apple, Google et GitHub.

L'exécution des requêtes d'intelligence artificielle est restreinte par configuration aux seuls fournisseurs nommés ci-dessus, et le repli vers tout autre fournisseur est désactivé. Aucun renseignement personnel n'est ainsi acheminé vers un fournisseur établi ailleurs qu'au Canada ou aux États-Unis.

Conformément à l'article 17 de la Loi sur la protection des renseignements personnels dans le secteur privé, l'entreprise a procédé à une évaluation des facteurs relatifs à la vie privée avant la mise en service de ces communications. Cette évaluation conclut que les renseignements bénéficient d'une protection adéquate, notamment au regard des principes de protection des renseignements personnels généralement reconnus. Les communications font l'objet d'ententes écrites encadrant les finalités, la durée de conservation et les mesures de sécurité applicables.

Les lois des juridictions concernées peuvent, dans les cas qu'elles prévoient, permettre aux autorités locales d'exiger l'accès aux renseignements qui s'y trouvent.

L'utilisateur qui souhaite éviter ces communications peut saisir ses recettes manuellement et s'abstenir d'utiliser l'assistant. Les autres fonctions de l'application demeurent accessibles.

9. Durées de conservation

À l'expiration de ces délais, les renseignements sont détruits de manière sécuritaire ou anonymisés de façon irréversible.

10. Mesures de sécurité

L'entreprise met en œuvre des mesures de sécurité propres à assurer la protection des renseignements personnels, raisonnables compte tenu de leur sensibilité, de leur finalité, de leur quantité et de leur support :

• chiffrement de l'ensemble des communications entre l'application et les serveurs (TLS);
• authentification sans mot de passe, les codes d'authentification étant conservés sous forme chiffrée et d'une validité de dix minutes;
• jetons de session chiffrés, renouvelés à chaque usage, et révocation de l'ensemble des appareils à la demande de l'utilisateur;
• chiffrement des copies de sauvegarde;
• restriction de l'accès aux données de production aux seules personnes dont les fonctions le requièrent;
• paramètres de confidentialité assurant le plus haut niveau de confidentialité par défaut, sans intervention de l'utilisateur.

11. Droits des utilisateurs

Sous réserve des conditions prévues par la loi, vous pouvez exercer les droits suivants :

• Accès — obtenir la communication des renseignements personnels détenus à votre sujet.
• Rectification — faire corriger tout renseignement inexact, incomplet ou équivoque.
• Retrait du consentement — retirer en tout temps le consentement donné à la collecte des allergies, des régimes, du budget ou à l'envoi de communications, sans que la suppression du compte soit nécessaire.
• Suppression — supprimer votre compte depuis l'application, l'opération étant confirmée par un code transmis par courriel et entraînant la suppression du profil, des sessions, des menus, des listes, du garde-manger, des favoris, des conversations et des recettes personnelles.
• Suppression sélective — supprimer un article, une liste, une recette ou une entrée de menu, révoquer un lien de partage et déconnecter l'ensemble des appareils.
• Portabilité — recevoir les renseignements informatisés que vous avez fournis dans un format technologique structuré et couramment utilisé, ou en demander la communication à un tiers.
• Cessation de la diffusion — demander que cesse la diffusion d'un renseignement personnel ou que soit désindexé tout hyperlien y donnant accès, dans les cas prévus par la loi.

Les demandes sont adressées au responsable désigné à la section 2 et traitées dans un délai maximal de trente jours suivant leur réception. Le responsable prête assistance à toute personne qui le requiert pour la formulation d'une demande.

12. Personnes mineures

L'application s'adresse aux personnes âgées de quatorze ans et plus. Les renseignements personnels concernant une personne mineure de moins de quatorze ans ne sont recueillis qu'avec le consentement du titulaire de l'autorité parentale ou du tuteur. L'entreprise supprime sans délai tout renseignement porté à sa connaissance qui aurait été recueilli en contravention du présent article.

13. Incidents de confidentialité

L'entreprise tient un registre des incidents de confidentialité. En cas d'incident présentant un risque de préjudice sérieux, elle avise avec diligence la Commission d'accès à l'information ainsi que les personnes concernées, et prend les mesures raisonnables pour réduire le risque de préjudice et éviter la survenance de nouveaux incidents de même nature.

14. Modifications de la politique

L'entreprise peut modifier la présente politique. Le numéro de version et la date d'entrée en vigueur figurent en tête du document. Toute modification substantielle des finalités ou des modalités de traitement fait l'objet d'un avis dans l'application avant sa prise d'effet et, lorsque la loi l'exige, d'une nouvelle demande de consentement.

15. Coordonnées et recours

La personne insatisfaite du traitement de sa demande peut porter plainte auprès de la Commission d'accès à l'information du Québec, à l'adresse cai.gouv.qc.ca.