Vos données, vos règles.

• Nom commercial : ZymFit
• Numéro TVA : BE1036280494
• Localisation : Bruxelles, Belgique
• Email de contact : support@zymfit.app
• Téléphone : +32 456 96 31 46
• Site web : https://zymfit.app
• Statut : Indépendant complémentaire (Belgique)
• Législation applicable : RGPD (UE 2016/679) + Droit belge

ZymFit (« nous », « notre », « l’application ») s’engage à protéger la vie privée de ses utilisateurs. La présente politique de confidentialité s’applique à :

• L’application mobile ZymFit (iOS et Android).
• L’application web accessible sur https://zymfit.app.
• Toutes les fonctionnalités et services proposés par ZymFit.

En utilisant ZymFit, vous reconnaissez avoir pris connaissance de cette politique et acceptez les pratiques qui y sont décrites. Cette politique est rédigée conformément au Règlement Général sur la Protection des Données (RGPD — Règlement UE 2016/679) et à la loi belge du 30 juillet 2018.

3.1 Données de profil

Collectées lors de l’inscription et de l’onboarding pour faire fonctionner le calcul des besoins nutritionnels et la personnalisation du Service.

3.2 Données de santé — Article 9 RGPD

Les données suivantes sont considérées comme données de santé au sens de l’Article 9 du RGPD et bénéficient d’une protection renforcée. Leur collecte nécessite votre consentement explicite :

• Poids actuel et historique des pesées, tendance lissée.
• Journal alimentaire complet (repas, aliments, calories, macros).
• Données d’hydratation.
• Allergies et intolérances alimentaires.
• Nombre de pas issu de HealthKit ou Health Connect si cette synchronisation est activée.

Base légale : votre consentement explicite donné lors de l’inscription, conformément à l’Article 9(2)(a) du RGPD. Vous pouvez retirer ce consentement pour l’avenir en désactivant les fonctionnalités concernées ou en demandant la suppression du compte.

3.3 Données générées par l’utilisation

3.4 Données techniques et infrastructure

3.5 Analyse d’images par IA

• Usage : analyse d’une photo de repas ou lecture d’une étiquette de produit, uniquement à la demande de l’utilisateur.
• Photo de repas : traitée en mémoire puis retirée après la requête. Le prestataire peut appliquer une conservation technique limitée selon ses conditions de service et de sécurité.
• Photo d’étiquette : réencodée pour retirer les métadonnées, conservée dans un stockage privé comme preuve de la contribution et supprimée à la fin de sa durée de conservation.
• Données transmises pour un repas : photo et contexte pseudonyme limité (objectif nutritionnel, calories et protéines cibles ou restantes). Aucun nom, email ni identifiant de compte ZymFit n’est ajouté au prompt.
• Données transmises pour une étiquette : image du produit et code-barres concerné, sans nom, email ni identifiant de compte ajouté au prompt.
• Résultat : une estimation modifiable. Une extraction d’étiquette ne publie jamais automatiquement une fiche publique.
• Métadonnées opérationnelles : ZymFit journalise le modèle, le type d’analyse, les volumes de jetons, le coût estimé, la latence et l’identifiant de compte afin de suivre les quotas et le fonctionnement, sans stocker la photo ni le texte du prompt dans ce journal.

3.6 Ce que nous ne collectons jamais

• Données de localisation GPS.
• Contacts du téléphone.
• Données de tracking publicitaire (IDFA, GAID).
• Données de paiement (gérées exclusivement par Apple ou Google).
• Données biométriques (empreintes digitales, reconnaissance faciale).

ZymFit fait appel aux prestataires suivants dans la mesure nécessaire à la fourniture du Service :

• Supabase — base de données, stockage de fichiers et authentification dans la région configurée pour le projet.
• OpenAI API et Google Gemini API — analyse des photos de repas et lecture facultative des étiquettes de produits ; bascule entre prestataires en cas d’indisponibilité.
• Firebase Cloud Messaging et Apple Push Notification service — distribution des notifications push.
• RevenueCat — synchronisation des droits et abonnements, sans accès aux coordonnées bancaires complètes.
• Vercel — hébergement web/API dans la région de calcul configurée à Londres et mesure de performance via Speed Insights.
• Cloudflare Turnstile — protection anti-bot des formulaires web d’authentification.
• Apple App Store / Google Play (distribution mobile et facturation).
• Open Food Facts, ANSES-Ciqual et USDA FoodData Central — sources de données alimentaires et requêtes de produits.

Chaque prestataire reçoit uniquement les catégories nécessaires à sa mission. Les contrats, conditions et mécanismes de transfert applicables encadrent leur traitement.

• Votre email avec des tiers à des fins publicitaires ou commerciales.
• Vos données de santé avec des assureurs, employeurs, pharmacies ou partenaires commerciaux.
• Votre journal alimentaire individualisé.
• Vos données avec des courtiers en données (data brokers).
• Des données individuelles identifiables à des fins d’études ou de recherche.

La demande désactive immédiatement l’accès au compte et ouvre une période de récupération de 30 jours. Après ce délai, les données du compte actif sont supprimées ou anonymisées. Des copies résiduelles peuvent subsister temporairement dans des sauvegardes isolées suivant le cycle des prestataires, et certaines données peuvent être conservées lorsque la loi, la prévention de la fraude ou la défense de droits l’exige.

Nous mettons en œuvre les mesures suivantes :

8.1 Chiffrement

• Communications chiffrées via HTTPS/TLS.
• Données chiffrées au repos dans Supabase.
• Secrets d’authentification gérés par Supabase Auth et jamais stockés en clair par ZymFit.

8.2 Contrôle d’accès

• Row Level Security (RLS) — isolation stricte des données par utilisateur.
• Tokens JWT avec expiration automatique et rotation des refresh tokens.

8.3 Stockage des fichiers

• Photo de profil stockée dans Supabase Storage avec une URL publique difficile à deviner, afin de l’afficher sur les appareils de l’utilisateur.
• Photos de progression éventuelles stockées séparément et supprimées lors de la demande de suppression du compte.
• Photos facultatives de produits inconnus stockées dans un bucket privé, inaccessible au public et séparé du catalogue alimentaire.
• Ne téléversez pas d’éléments confidentiels dans votre avatar.

8.4 Protection contre les abus

• Rate limiting sur les routes API sensibles (throttle anti-abus 50 requêtes/15 minutes sur les scans).
• Protection anti-bot sur les formulaires d’authentification.

Conformément au RGPD et à la loi belge du 30 juillet 2018, vous disposez des droits suivants :

9.1 Droit d’accès (Art. 15)

Copie complète de toutes les données vous concernant, leur origine, leur finalité et leurs destinataires.

9.2 Droit de rectification (Art. 16)

Correction directe via Réglages → Profil ou en écrivant à support@zymfit.app.

9.3 Droit à l’effacement (Art. 17)

Suppression depuis Réglages → Compte → Supprimer mon compte. Le compte est désactivé immédiatement, récupérable pendant 30 jours, puis supprimé ou anonymisé conformément à l’Article 7. La suppression du compte n’annule pas l’abonnement Apple ou Google.

9.4 Droit à la portabilité (Art. 20)

L’outil d’export intégré peut être réservé à Pro. Quel que soit le plan, vous pouvez demander gratuitement une copie portable des données concernées à support@zymfit.app.

9.5 Droit d’opposition (Art. 21)

Opposition à tout traitement basé sur l’intérêt légitime via support@zymfit.app.

9.6 Droit à la limitation (Art. 18)

Limitation du traitement dans les cas prévus par l’Article 18.

9.7 Droit de retrait du consentement

Retrait à tout moment des consentements donnés (données de santé, notifications). Sans effet rétroactif sur les traitements antérieurs.

9.8 Droit de ne pas faire l’objet d’une décision automatisée (Art. 22)

Les calculs nutritionnels sont automatisés mais basés sur des formules scientifiques standardisées (Mifflin-St Jeor). Tous les objectifs sont éditables manuellement. En cas de contestation d’un résultat automatisé, contactez le support.

Pour exercer vos droits : support@zymfit.app — réponse dans un délai d’un mois, prolongeable de deux mois lorsque le RGPD le permet.

ZymFit fixe, par choix de produit, un âge minimum de 14 ans, même lorsque le seuil légal du consentement numérique est inférieur dans le pays de l’utilisateur. Si nous découvrons qu’un utilisateur de moins de 14 ans a créé un compte, nous supprimerons immédiatement ce compte et toutes les données associées sans délai.

ZymFit utilise des cookies ou stockages locaux nécessaires à la session, à la langue, au thème et à la sécurité. Aucun cookie publicitaireet aucun identifiant publicitaire mobile (IDFA/GAID) ne sont utilisés.

Si vous activez les notifications push, nous pouvons vous envoyer :

• Rappels de repas (matin / midi / soir, configurables).
• Rappel de pesée hebdomadaire.
• Rappel d’objectif de pas.
• Rappels d’hydratation selon la plage, la fréquence et les heures calmes choisies.
• Sauvegarde de série en soirée et dernière chance à l’heure de début des heures calmes.
• Avertissement d’inactivité et récap mensuel.

Base légale : votre consentement, donné lors de l’activation des notifications. Les notifications transitent via Firebase Cloud Messaging et, sur iOS, Apple Push Notification service. Aucune notification publicitaire n’est envoyée.

Vous pouvez désactiver les notifications à tout moment depuis les paramètres de votre appareil ou depuis Réglages → Notifications dans l’application.

ZymFit utilise OpenAI et Google Gemini pour analyser une photo de repas ou lire une étiquette de produit lorsque l’utilisateur déclenche explicitement cette fonction. Une panne du prestataire principal peut entraîner une bascule vers le prestataire de secours.

Ce que l’IA reçoit

• L’image nécessaire à l’analyse. Une photo de repas n’est pas conservée après la requête ; une photo d’étiquette peut être conservée dans un espace privé comme preuve de contribution.
• Pour un repas : l’objectif nutritionnel et des valeurs cibles ou restantes limitées.
• Pour une étiquette : le code-barres concerné et le type de vue (face, nutrition ou ingrédients).

Ce que l’IA ne reçoit jamais

• Votre nom ou prénom.
• Votre adresse email.
• Votre identifiant utilisateur.

Limites

• Les estimations sont approximatives et à titre informatif.
• L’IA n’est pas un substitut à un professionnel de santé.
• ZymFit ne conserve ni le prompt ni la réponse brute dans son journal d’usage. Les preuves d’étiquette privées, les corrections confirmées et les aliments enregistrés suivent leurs durées de conservation propres.
• OpenAI ou Google peuvent appliquer une conservation technique limitée pour la sécurité et la prévention des abus conformément aux conditions du service utilisé par ZymFit.
• Les aliments, portions, huiles, sauces et modes de cuisson peuvent être mal reconnus ; l’utilisateur doit vérifier et peut modifier les résultats avant enregistrement.

Certains prestataires ou leurs sous-traitants peuvent traiter des données au Royaume-Uni, aux États-Unis ou dans d’autres pays. Selon le cas, ces transferts reposent sur une décision d’adéquation, des Clauses Contractuelles Types approuvées par la Commission européenne ou un autre mécanisme autorisé par le RGPD.

Prestataires concernés par des transferts hors UE :

• Vercel et ses sous-traitants, avec calcul principal configuré à Londres.
• OpenAI, Google Gemini, Firebase, Google Play et leurs sous-traitants.
• RevenueCat et ses sous-traitants.
• Apple App Store et Apple Push Notification service.
• Supabase et ses sous-traitants selon la région et les options du projet.

Nous réévaluons ces transferts lorsque la configuration ou les prestataires changent.

Pendant la vie du compte, certaines données opérationnelles sont pseudonymisées et restent reliées à un identifiant technique. Après suppression, cet identifiant peut être dissocié des statistiques de scans manqués et d’usage IA. ZymFit peut conserver et utiliser des données effectivement anonymisées ou agrégées pour améliorer la couverture des produits, la fiabilité et les coûts du Service.

Ces traitements sont basés sur notre intérêt légitime (Article 6(1)(f) du RGPD).

Si vous estimez que le traitement de vos données personnelles constitue une violation du RGPD, vous avez le droit d’introduire une réclamation auprès de l’autorité de protection des données compétente :

Nous pouvons mettre à jour cette politique en cas d’évolution de nos pratiques ou de la législation applicable.

Modification substantielle

• Information par email au moins 30 jours avant l’entrée en vigueur.
• Notification dans l’application.
• Mise à jour de la date en haut du document.

Modification mineure (corrections, clarifications)

Seule la date de mise à jour est modifiée, sans notification préalable.

Pour toute question relative à cette politique, pour exercer vos droits ou pour signaler une violation de données :

En cas de violation de données, ZymFit notifiera l’autorité de contrôle compétente dans les 72 heures lorsque l’Article 33 du RGPD l’exige. Les personnes concernées seront informées sans retard indu lorsque la violation est susceptible d’engendrer un risque élevé, conformément à l’Article 34.

Cette politique est régie par le RGPD et le droit belge, sans priver les personnes concernées des protections impératives applicables dans leur pays ni de leur droit de saisir une autorité de contrôle compétente.