Politique de confidentialité
La présente politique couvre les données personnelles traitées par l’intermédiaire du site web FixTheWeek, de la PWA installée et de toute application officielle proposée en vertu de la présente politique, pour les personnes situées dans l’UE/EEE et au Royaume-Uni.
1. Responsable du traitement et contact
Responsable du traitement : Aleksandar Mladenov, exerçant sous le nom commercial FixTheWeek, entrepreneur individuel (sole trader) établi au Royaume-Uni, adresse 5 Brayford Square, London E1 0SG, United Kingdom. Contact, y compris pour toute question relative aux données personnelles : contact@fixtheweek.com. Enregistré auprès de l’Information Commissioner’s Office (ICO) du Royaume-Uni sous le numéro d’enregistrement ZC276257.
Nous appliquons le RGPD de l’UE lorsque les conditions de son champ d’application territorial sont remplies, ainsi que le UK GDPR et le Data Protection Act 2018 du Royaume-Uni, tels que modifiés, lorsque les conditions de leur champ d’application sont remplies. Les références ci-dessous aux bases juridiques du RGPD couvrent les dispositions correspondantes de l’UE et du Royaume-Uni, le cas échéant. Le responsable du traitement est établi au Royaume-Uni.
Représentant dans l’UE/EEE (article 27 du RGPD) : nous avons désigné Data Protection Representative Limited (trading as DataRep) comme notre représentant dans l’Union européenne et l’Espace économique européen. Si vous vous trouvez dans l’UE/EEE, vous pouvez nous contacter par l’intermédiaire de DataRep au sujet de vos données personnelles ou de vos droits en matière de protection des données : par e-mail à datarequest@datarep.com, en indiquant « FixTheWeek » dans l’objet ; via le formulaire en ligne www.datarep.com/data-request ; ou par courrier adressé à DataRep, à l’adresse correspondant à votre pays, indiquée ci-dessous. Adressez vos courriers à « DataRep », et non à FixTheWeek, faute de quoi ils pourraient ne pas nous parvenir. Pour toute autre question, ou si vous vous trouvez au Royaume-Uni, contactez-nous directement à contact@fixtheweek.com.
- Allemagne : DataRep, 3rd and 4th floor, Altmarkt 10 B/D, Dresden, 01067, Germany
- Autriche : DataRep, City Tower, Brückenkopfgasse 1/6. Stock, Graz, 8020, Austria
- Belgique : DataRep, Rue des Colonies 11, Brussels, 1000, Belgium
- Bulgarie : DataRep, 25 Vitosha blvd. Fl. 2, office 4, 1000, Sofia, Bulgaria
- Chypre : DataRep, Victory House, 205 Archbishop Makarios Avenue, Limassol, 3030, Cyprus
- Croatie : DataRep, Ground & 9th Floor, Hoto Tower, Savska cesta 32, Zagreb, 10000, Croatia
- Danemark : DataRep, Lautruphøj 1-3, Ballerup, 2750, Denmark
- Espagne : DataRep, Calle de Manzanares 4, Madrid, 28005, Spain
- Estonie : DataRep, 2nd Floor, Tornimae 5, Tallinn, 10145, Estonia
- Finlande : DataRep, Luna House, 5.krs, Mannerheimintie 12 B, Helsinki, 00100, Finland
- France : DataRep, 72 rue de Lessard, Rouen, 76100, France
- Grèce : DataRep, Ippodamias Sq. 8, 4th floor, Piraeus, Attica, Greece
- Hongrie : DataRep, 1054 Honved street, 8 1/2, Budapest, Hungary
- Irlande : DataRep, 77 Camden Street Lower, Dublin, D02 XE80, Ireland
- Islande : DataRep, Laugavegur 13, 101 Reykjavik, Iceland
- Italie : DataRep, Viale Giorgio Ribotta 11, Piano 1, Rome, Lazio, 00144, Italy
- Lettonie : DataRep, 4th & 5th floors, 14 Terbatas Street, Riga, LV-1011, Latvia
- Liechtenstein : DataRep, City Tower, Brückenkopfgasse 1/6. Stock, Graz, 8020, Austria
- Lituanie : DataRep, 44A Gedimino Avenue, 01110 Vilnius, Lithuania
- Luxembourg : DataRep, BPM 335368, Banzelt 4 A, 6921, Roodt-sur-Syre, Luxembourg
- Malte : DataRep, Tower Business Centre, 2nd floor, Tower Street, Swatar, BKR4013, Malta
- Norvège : DataRep, C.J. Hambros Plass 2c, Oslo, 0164, Norway
- Pays-Bas : DataRep, De Nieuwe Erven 3 Unit – 15162, 5431 NV Cuijk, Netherlands
- Pologne : DataRep, Budynek Fronton ul Kamienna 21, Krakow, 31-403, Poland
- Portugal : DataRep, Torre de Monsanto, Rua Afonso Praça 30, 7th floor, Algès, Lisbon, 1495-061, Portugal
- République tchèque : DataRep, Platan Office, 28. Října 205/45, Floor 3&4, Ostrava, 70200, Czech Republic
- Roumanie : DataRep, 15 Piaţa Charles de Gaulle, nr. 1-T, Bucureşti, Sectorul 1, 011857, Romania
- Slovaquie : DataRep, Apollo Business Centre II, Block E / 9th floor, 4D Prievozska, Bratislava, 821 09, Slovakia
- Slovénie : DataRep, Trg. Republike 3, Floor 3, Ljubljana, 1000, Slovenia
- Suède : DataRep, S:t Johannesgatan 2, 4th floor, Malmo, SE - 211 46, Sweden
2. Données que nous collectons
Lors de votre inscription : votre nom, votre adresse e-mail, l’identifiant de votre compte, l’empreinte (hash) de votre mot de passe, le statut de vérification de votre adresse e-mail et des horodatages. À des fins de sécurité, nous traitons votre session, votre adresse IP, des données relatives à votre navigateur et des clés temporaires qui limitent les tentatives de connexion.
Pour la planification : l’objectif que vous avez choisi, votre régime, vos calories, vos objectifs de macros, vos recettes, vos menus, vos recettes favorites et masquées, vos ingrédients à éviter, les appareils de cuisine dont vous disposez, vos paramètres et votre liste de courses. Si vous choisissez de renseigner des données corporelles, nous traitons votre âge, votre sexe, votre taille, votre poids, votre niveau d’activité et une catégorie approximative de masse grasse. Il n’existe pas de champs distincts pour un diagnostic, une grossesse, une allergie ou un poids cible. Toutefois, les ingrédients que vous évitez peuvent révéler une allergie ou une intolérance ; ils sont donc traités comme des données de santé et ne sont enregistrés qu’avec votre consentement explicite.
Pour créer un compte, votre nom, votre adresse e-mail, un mot de passe, l’acceptation des conditions générales et la confirmation que vous avez au moins 18 ans sont requis. Sans ces éléments, aucun compte ne peut être créé. Les préférences de planification ont des valeurs par défaut et peuvent être modifiées. Les données corporelles, les exclusions d’ingrédients et le consentement au marketing sont facultatifs : refuser le consentement au traitement des données de santé laisse la planification manuelle disponible, mais empêche l’enregistrement des données corporelles et des exclusions liées à la santé. Nous conservons également vos choix de notifications par e-mail, leur calendrier d’envoi, votre fuseau horaire et les horodatages des derniers envois. Les rappels hebdomadaires relatifs au menu et à la liste de courses sont activés lors de la création du compte ; vous pouvez les désactiver dans les Paramètres de notification ou vous désabonner depuis un e-mail de rappel. Les messages relatifs aux nouvelles recettes nécessitent l’activation de leur paramètre distinct ; les actualités et offres nécessitent un consentement au marketing.
Si vous souscrivez à Premium ou à son essai gratuit, nous conservons vos identifiants de client et d’abonnement Stripe, la formule, la devise et le statut (essai, actif, paiement échoué ou résilié), la date de début de l’abonnement (à partir de laquelle court le délai de rétractation), les dates de fin de l’essai et de la période de facturation, et l’indication que l’abonnement doit prendre fin. Nous ne recevons ni ne conservons jamais votre numéro de carte ou vos données de paiement complètes ; ce sont Link et Stripe qui les collectent lors du paiement. Si vous demandez à être prévenu du lancement de Premium, nous conservons ce choix, sa date et votre langue. Pour afficher les prix en livres sterling ou en euros et vérifier que vous vous trouvez au Royaume-Uni ou dans l’UE/EEE, où FixTheWeek est proposé, nous utilisons le pays de votre connexion, que Cloudflare déduit de votre adresse IP à chaque requête ; nous ne le conservons pas.
3. Finalités et bases juridiques
L’accès au compte, les paramètres du profil, les menus, les e-mails de liste de courses que vous demandez et les rappels de service sélectionnés sont traités pour fournir le service — article 6, paragraphe 1, point b), du RGPD. L’authentification, la prévention des abus et les compteurs de sécurité reposent sur l’article 6, paragraphe 1, point f) : notre intérêt à protéger les comptes et le service, mis en balance avec vos droits. L’enregistrement de l’acceptation des conditions générales se rattache au contrat relatif au compte. Des enregistrements minimaux des consentements servent à nos obligations au titre du principe de responsabilité découlant de l’article 5, paragraphe 2, et de l’article 7, paragraphe 1, l’article 6, paragraphe 1, point c), s’appliquant à cette obligation spécifique ; il ne s’agit pas d’une base générale valant pour tous les enregistrements. Les e-mails facultatifs relatifs aux nouvelles recettes reposent sur votre choix d’y souscrire au titre de l’article 6, paragraphe 1, point a), dans le respect des règles applicables à la prospection commerciale par voie électronique. Les actualités et offres nécessitent un consentement distinct au marketing au titre de l’article 6, paragraphe 1, point a), qui peut être retiré dans le compte ou au moyen du lien de désabonnement figurant dans l’e-mail.
Nous traitons les données corporelles et les exclusions d’ingrédients ou de recettes comme des données potentiellement liées à la santé et ne les enregistrons qu’après votre consentement explicite au titre de l’article 6, paragraphe 1, point a), et de l’article 9, paragraphe 2, point a), du RGPD. Le consentement est enregistré séparément de l’acceptation des conditions générales. Son retrait dans « Confidentialité et données » supprime les données corporelles et les exclusions liées à la santé enregistrées du compte actif ainsi que de la copie de récupération locale dans le navigateur que vous utilisez ; il n’affecte pas les traitements licites effectués antérieurement. Les autres navigateurs et les fichiers que vous avez téléchargés doivent être effacés séparément. Ne saisissez pas de diagnostics en texte libre.
La planification automatique utilise les objectifs, les calories, les objectifs de macros, le régime, les exclusions et les préférences de recettes que vous avez choisis pour calculer des objectifs et classer ou sélectionner des repas. Cette personnalisation peut constituer un profilage. Elle ne prend pas de décisions produisant des effets juridiques ou des effets similaires significatifs au sens de l’article 22 du RGPD de l’UE, et elle ne pose aucun diagnostic. Vous pouvez modifier les données d’entrée, choisir des objectifs manuels et modifier les repas proposés.
Pour Premium, l’enregistrement de l’abonnement, l’e-mail qui vous rappelle la fin prochaine de l’essai et les messages concernant votre abonnement sont nécessaires pour fournir l’abonnement que vous avez demandé — article 6, paragraphe 1, point b), du RGPD. L’utilisation du pays de votre connexion pour afficher les prix dans la devise dans laquelle vous paierez, et pour ne proposer FixTheWeek qu’au Royaume-Uni et dans l’UE/EEE, repose sur l’article 6, paragraphe 1, point f) : notre intérêt à vous indiquer le prix exact et à ne proposer le service que là où il est disponible. L’unique e-mail annonçant le lancement de Premium repose sur votre consentement au titre de l’article 6, paragraphe 1, point a), donné au moyen d’une case distincte non cochée ; vous pouvez le retirer à tout moment avec « Ne pas m’envoyer d’e-mail » dans l’onglet Abonnement. Les enregistrements relatifs aux clients et aux factures dans notre compte Stripe sont conservés pour respecter nos obligations fiscales et comptables — article 6, paragraphe 1, point c).
Lors de votre inscription, nous utilisons le pays de votre connexion pour ajouter une unité à un décompte mensuel des nouveaux comptes au Royaume-Uni, dans l’UE/EEE ou ailleurs. Seuls les totaux mensuels sont conservés, et ils ne sont pas liés à votre compte. Nous les utilisons pour savoir combien de personnes utilisent FixTheWeek dans chaque région, y compris pour notre représentant dans l’UE — article 6, paragraphe 1, point f), du RGPD, notre intérêt légitime.
4. Cookies, mesure d’audience et marketing
Les cookies de session sont nécessaires à la connexion et à la sécurité, et le cookie « locale » mémorise la langue que vous avez choisie pour le site web. Votre choix de thème et vos préférences en matière de cookies sont stockés dans votre navigateur. La version actuelle ne comporte aucun traceur actif de mesure d’audience ou de publicité. Si de tels traceurs sont ajoutés, les traceurs facultatifs ne seront pas chargés avant l’obtention d’un consentement approprié. Les messages marketing relèvent d’un choix distinct et facultatif. Les détails figurent dans la Politique relative aux cookies.
Pour les utilisateurs de l’UE/EEE, les règles nationales applicables en matière de vie privée et de communications électroniques (ePrivacy) s’appliquent également ; pour les utilisateurs du Royaume-Uni, ce sont les Privacy and Electronic Communications Regulations (PECR) qui s’appliquent. Nous recueillons un consentement préalable distinct (opt-in) pour les actualités et offres et, dans cette version, nous ne nous appuyons pas sur l’exception de « soft opt-in » en matière de marketing. Les e-mails relatifs à la sécurité et au compte, ainsi que les rappels de service sélectionnés décrits ci-dessus, sont distincts des messages promotionnels. Nous ne devons pas ajouter de contenu promotionnel à un rappel de service afin de contourner vos choix en matière de marketing.
5. Destinataires et transferts internationaux
Cloudflare fournit l’hébergement, la distribution réseau, le Worker et la base de données D1. Cela concerne les requêtes adressées au site web et les métadonnées de sécurité, ainsi que les données de compte et de planification stockées dans D1. Resend gère l’envoi des e-mails de vérification de compte et de réinitialisation du mot de passe, des listes de courses que vous demandez et des notifications activées. Il reçoit l’adresse du destinataire et le contenu des messages ; un e-mail de liste de courses peut révéler des préférences alimentaires. Le code prend également en charge une liaison Cloudflare pour l’envoi d’e-mails (email binding), si elle est configurée.
Premium est vendu par l’intermédiaire de Link, le service de Stripe dans lequel Link est le vendeur officiel (« Sold through Link ») : Link vous vend l’abonnement, encaisse les paiements, calcule et reverse la TVA et envoie les reçus, les factures et les e-mails relatifs aux paiements, et une société du groupe Stripe traite les paiements. Pour la vente et le paiement, Link et Stripe traitent vos nom, adresse e-mail, pays et adresse de facturation, moyen de paiement et données de prévention de la fraude en tant que responsables du traitement indépendants, conformément à leurs propres politiques de confidentialité : https://link.com/privacy et https://stripe.com/privacy. Nous transmettons à Stripe votre adresse e-mail et l’identifiant de votre compte FixTheWeek afin que les paiements soient rattachés à votre compte, et nous recevons en retour les informations d’abonnement décrites à la section 2. Pour les enregistrements relatifs aux clients et aux abonnements dans notre compte Stripe, Stripe agit pour notre compte. Stripe peut traiter des données en dehors du Royaume-Uni et de l’EEE avec ses propres garanties en matière de transferts.
Où vont vos données : Cloudflare, Inc. héberge le service conformément à son avenant relatif au traitement des données (Data Processing Addendum) ; notre base de données est stockée en Europe de l’Ouest, tandis que le trafic réseau et les journaux peuvent être traités dans le réseau mondial de Cloudflare, y compris aux États-Unis. Resend (Plus Five Five, Inc.) envoie nos e-mails depuis l’UE (Irlande) conformément à son avenant relatif au traitement des données ; la société et certains de ses sous-traitants ultérieurs se trouvent aux États-Unis. Stripe traite pour notre compte les enregistrements relatifs aux clients et aux abonnements dans notre compte Stripe, conformément à son accord relatif au traitement des données (Data Processing Agreement), et peut traiter des données dans le monde entier, y compris aux États-Unis. Les e-mails que vous envoyez à contact@fixtheweek.com sont reçus dans notre boîte aux lettres Microsoft Outlook.com, que Microsoft fournit selon ses propres conditions et peut stocker en dehors du Royaume-Uni et de l’EEE. Notre représentant dans l’UE/EEE, DataRep, se trouve en Irlande.
Les transferts vers les États-Unis reposent sur le cadre de protection des données UE–États-Unis (EU–US Data Privacy Framework), et sur son extension au Royaume-Uni (UK Extension) pour les données du Royaume-Uni, lorsque le prestataire est certifié, avec, à titre subsidiaire, les clauses contractuelles types de l’UE (et l’UK Addendum pour les données du Royaume-Uni) prévues dans le contrat du prestataire. Les données personnelles des utilisateurs de l’UE/EEE nous parviennent au Royaume-Uni sur la base de la décision d’adéquation de l’UE concernant le Royaume-Uni. Vous pouvez nous demander davantage d’informations sur ces garanties, ou une copie de celles-ci, à contact@fixtheweek.com.
6. Conservation et sécurité
Les durées suivantes s’appliquent à la base de données de l’application en production. Les informations du compte, les paramètres de planification, les menus enregistrés, les choix d’appareils, les préférences de notification, les enregistrements relatifs à l’abonnement et un historique minimal des événements relatifs aux conditions générales, à la majorité et au consentement sont conservés tant que le compte existe, à moins que vous ne les modifiiez ou ne les supprimiez plus tôt. La suppression vérifiée du compte supprime le compte et les enregistrements associés de cette base de données. L’historique des consentements n’est pas conservé dans une archive distincte après la suppression. Le retrait du consentement au traitement des données de santé supprime les champs spécifiques décrits ci-dessus sans nécessiter la suppression du compte.
Les sessions de connexion expirent au bout de 30 jours et peuvent être renouvelées par une utilisation continue ; la déconnexion révoque la session en cours. Les liens de vérification de l’adresse e-mail et de réinitialisation du mot de passe expirent au bout d’une heure. La tâche de maintenance horaire supprime les lignes de session et de vérification expirées, ainsi que les compteurs de limitation des tentatives d’authentification 30 jours après leur dernière requête enregistrée. Les compteurs d’e-mails de liste de courses sont supprimés 30 jours après le début de leur fenêtre enregistrée. En cas d’échec d’une exécution programmée, le nettoyage reprend lors de l’exécution réussie suivante ; les éléments d’authentification expirés restent invalides.
Le stockage dans le navigateur est soumis aux durées et aux moyens de suppression indiqués dans la Politique relative aux cookies. La clôture d’un compte ne permet pas d’effacer à distance les copies présentes dans d’autres navigateurs ou dans des fichiers exportés. Cloudflare conserve les journaux de requêtes pendant 7 jours au maximum et les sauvegardes de la base de données pendant 30 jours ; Resend conserve les données des e-mails pendant 30 jours. Si nous restaurons un jour la base de données à partir d’une sauvegarde, nous enregistrons d’abord les comptes existants et, après la restauration, nous supprimons de nouveau tout compte supprimé entre-temps.
Pour Premium, l’enregistrement de l’abonnement est conservé tant que le compte existe et est supprimé avec lui, après la résiliation de tout abonnement en cours. Les identifiants des événements Stripe traités sont supprimés au bout de 30 jours, et le choix relatif au lancement de Premium 30 jours après l’envoi de son e-mail. Les enregistrements relatifs aux clients et aux factures dans notre compte Stripe sont conservés aussi longtemps que l’exige la législation fiscale et comptable, normalement au moins cinq ans après la date limite de la déclaration fiscale concernée ; Link et Stripe conservent leurs propres enregistrements des transactions selon leurs propres politiques.
L’accès est limité à votre propre compte et aux opérateurs autorisés ; nous utilisons des connexions chiffrées, des mots de passe hachés et des contrôles d’accès. Aucun système ne peut garantir une sécurité absolue.
7. Vos droits
Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, de portabilité le cas échéant, d’opposition au traitement fondé sur l’intérêt légitime et de retrait du consentement. Utilisez « Confidentialité et données » dans votre compte ou écrivez à contact@fixtheweek.com. Nous devons répondre dans les meilleurs délais et, en principe, dans un délai d’un mois à compter de la réception d’une demande. Lorsque la complexité ou le nombre de demandes le justifie, ce délai peut être prolongé de deux mois supplémentaires au maximum ; nous devons expliquer cette prolongation au cours du premier mois. Nous pouvons demander une confirmation d’identité proportionnée en cas de doutes raisonnables. Si une demande est refusée ou si une exception légale s’applique, nous devons en indiquer les motifs et vous informer des possibilités d’introduire une réclamation et de former un recours juridictionnel.
Les utilisateurs de l’UE/EEE peuvent introduire une réclamation auprès de l’autorité de protection des données compétente, en particulier dans le pays de leur résidence habituelle, de leur lieu de travail ou du lieu où la violation alléguée a été commise. L’autorité bulgare est la Commission de protection des données personnelles : https://cpdp.bg/. Pour les traitements soumis au droit britannique de la protection des données, vous pouvez introduire une réclamation auprès de l’Information Commissioner’s Office (ICO) : https://ico.org.uk/make-a-complaint/. Ces droits ne sont pas limités à la Bulgarie et ne privent pas de l’accès à un recours juridictionnel.
8. Réclamations relatives à la protection des données
Adressez toute réclamation relative à la protection des données à contact@fixtheweek.com. Indiquez-nous ce qui s’est passé et le résultat que vous souhaitez obtenir ; aucune terminologie juridique n’est requise. Pour les réclamations soumises au droit britannique, nous devons accuser réception dans un délai de 30 jours, examiner la réclamation et prendre les mesures appropriées dans les meilleurs délais, vous tenir informé et vous expliquer l’issue dans les meilleurs délais. Cette procédure diffère du délai, en principe d’un mois, applicable à une demande d’exercice de droits individuels.
Exigences britanniques en matière de réclamations : ICO : réclamations relatives à la protection des données
9. Modifications
Si les finalités ou les traitements changent de manière significative, nous publierons une nouvelle version et, si nécessaire, en informerons les utilisateurs ou leur demanderons un nouveau consentement. La version et la date sont indiquées ci-dessous.