Politique de confidentialité

Qui est responsable

Sabzy est développée et exploitée par Boburmirzo Khudoyberdiev, développeur indépendant établi en Ouzbékistan. Pour toute question relative à cette politique, y compris les demandes concernant vos données, écrivez à mirzo.7767@gmail.com.

Ce que l'application conserve

Tout ce que vous saisissez est écrit dans une base de données sur votre appareil :

• Votre profil — taille, poids actuel, poids cible, date de naissance ou âge, sexe, niveau d'activité et objectif choisi. C'est à partir de là que l'objectif calorique quotidien est calculé.
• Votre journal — les repas et leurs aliments, les calories et les macronutriments, l'heure de chaque entrée et les photos que vous y joignez.
• Eau et pesées — les verres que vous cochez et les poids que vous notez au fil du temps.
• Réglages de l'application — unités, langue, rappels et nombre d'analyses IA utilisées.

Si iCloud est connecté sur votre appareil, cette base est reproduite dans la base iCloud privée de votre propre compte Apple. Cet espace de stockage vous appartient : il relève de la politique de confidentialité d'Apple, il compte dans votre espace iCloud, et le développeur de Sabzy n'a aucun moyen de le lire. Vous déconnecter d'iCloud, ou désactiver iCloud pour Sabzy dans les Réglages, met fin à cette reproduction.

La connexion

Sabzy fonctionne sans aucun compte, et c'est ainsi qu'il commence : tout ce qui précède reste sur votre téléphone et dans votre propre iCloud, et rien ne nous parvient. La connexion, vous la choisissez vous-même dans le Profil, et elle sert à deux choses : lire le même journal sur un deuxième appareil et rejoindre un groupe.

La connexion passe par Apple ou par Google. Il n'y a de mot de passe nulle part dans l'application, donc aucun que nous puissions conserver ou perdre. Ce que Firebase Authentication garde pour nous, c'est un identifiant de compte et l'adresse e-mail transmise par le fournisseur — avec Se connecter avec Apple, ce peut être une adresse de relais que vous désactivez quand vous voulez, et l'application fonctionne de la même façon dans les deux cas.

Une fois connecté, votre profil, vos repas, vos pesées et votre eau sont recopiés vers Cloud Firestore, et les vignettes des repas ainsi que votre photo de profil vers Cloud Storage, dans un dossier que les règles de sécurité ouvrent à votre compte et à aucun autre. Le document de profil porte quatre choses de plus, qui ne font pas partie de votre journal : si un abonnement est actif, sur quel produit et jusqu'à quand ; les jetons de notification des appareils où vous êtes connecté ; un renvoi vers le groupe dont vous faites partie ; et une empreinte de la plateforme et de la version de l'application qui a écrit en dernier. La base de données est hébergée dans l'Union européenne — Belgique et Pays-Bas — et les fonctions qui gèrent les groupes sont à Francfort.

Se déconnecter arrête la recopie et laisse la copie en place. Profil › Compte › Supprimer le compte la retire : chaque repas, pesée, entrée d'eau et journée publiée, puis le document de profil, le dossier de photos et le compte lui-même. Avec Apple, l'application révoque en plus le jeton émis par Apple — c'est ce qui rend la suppression entière plutôt qu'à moitié faite.

Les groupes

Un groupe est un abonnement partagé : une personne paie, et toutes celles qu'elle invite ont Premium tant que le forfait est actif. Celle qui paie n'est pas couverte par lui — un forfait pour cinq, ce sont cinq personnes en plus d'elle — et souscrit Sabzy Pro comme tout le monde si elle le souhaite. Pour le rejoindre, il faut un code d'invitation de la personne qui le gère ; sans lui, personne ne peut vous ajouter. On appartient à un seul groupe à la fois, et en sortir tient en un bouton.

Ce que les autres membres de votre groupe voient de vous :

• Le nom et la photo que vous avez définis dans le Profil — un membre sans nom apparaît comme « Member ».
• Votre série, votre meilleure série, votre objectif et l'évolution de votre poids sur les trente derniers jours, en un seul chiffre.
• Pour chaque journée : calories, protéines, glucides, lipides et fibres, vos objectifs de ce jour-là, l'eau, vos pas issus d'Apple Santé, le nombre de repas enregistrés et si la journée est tombée dans votre fourchette de calories.
• Les repas eux-mêmes — noms des plats, heures et photos.

Aucun interrupteur ne rétrécit cette liste, et il n'y en a jamais eu. Ce que voit quelqu'un de votre groupe, c'est ce que l'écran d'adhésion vous montre avant que vous ne tapiez le code : vos calories et vos macros, vos repas avec leurs photos, la direction que prend votre poids, votre série et votre activité — et cela reste ainsi tant que vous êtes dans le groupe. Ce qui l'arrête, c'est d'en sortir.

Sabzy écrit trois courts paragraphes pour un groupe : un sur la semaine, un sur la journée en cours et un sur un seul membre, sur la page de celui-ci. On y trouve des noms de personnes et des noms de plats, et c'est voulu — « quelqu'un a dépassé deux jours » n'aide personne, tandis que « Aziz a pris une grosse part de gâteau au petit-déjeuner mardi » est quelque chose sur quoi un entraîneur peut agir. Les noms apparaissent exactement tels qu'ils sont réglés dans le Profil, et les repas exactement tels qu'ils ont été enregistrés. Seules les personnes de votre groupe les lisent, et ces mêmes repas et photos leur sont déjà ouverts : un paragraphe ne leur montre donc rien qu'elles ne pourraient ouvrir elles-mêmes.

Rejoindre un groupe publie vos trente derniers jours d'un coup, pour que le groupe ne regarde pas un écran vide. En sortir arrête toute publication ultérieure, et supprimer votre compte efface les journées publiées avec tout le reste. Personne en dehors de votre groupe ne peut en lire quoi que ce soit : les règles de la base n'y laissent entrer personne d'autre.

Les notifications de groupe — quelqu'un a rejoint, la série de quelqu'un a atteint un chiffre rond, l'abonnement va expirer — passent par Firebase Cloud Messaging : l'application enregistre pour cela un jeton de notification rattaché à votre compte et retient dans quelle langue vous écrire. Les notifications de groupe se désactivent dans le Profil, et la déconnexion retire le jeton.

Ce qui quitte votre appareil

Google

Les photos, l'audio et les descriptions de repas sont envoyés aux modèles Gemini de Google via Firebase AI Logic et traités là-bas pour produire le résultat que vous voyez. Sabzy ne garde aucune copie de la photo, de l'audio ou du texte sur un serveur qu'il contrôle, et une telle requête ne porte ni nom, ni e-mail, ni identifiant de compte — seulement l'image, l'audio ou le texte et l'instruction de l'analyser. Le traitement de ces données par Google est régi par la politique de confidentialité de Google.

Les paragraphes d'un groupe passent par les mêmes modèles et font exception à ce qui précède. Pour en écrire un, l'application envoie à Google le nom de profil de chaque membre qu'il va mentionner et les noms des repas qui se sont détachés, avec des chiffres que l'appareil a déjà calculés. Aucune adresse e-mail, aucun identifiant de compte, aucune photo. Le paragraphe revient aux autres membres de votre groupe, qui peuvent déjà ouvrir ces repas eux-mêmes — mais l'écrire est une requête envoyée à Google, et voilà ce que porte cette requête.

Rapports d'utilisation et de plantage

Sabzy utilise deux services de Google Firebase : Analytics, qui compte ce qui se passe dans l'application, et Crashlytics, qui saisit la pile d'appels quand l'application s'arrête. Ce sont eux qui signalent qu'un écran embrouille ou qu'une version plante sur un iOS précis, sans que personne ait à écrire pour le dire.

Ils sont activés par défaut, et il n'existe aucun réglage dans l'application pour les désactiver. La version 1.4 en avait un, la 1.6 l'a retiré. Supprimer l'application les arrête. Nous préférons le dire clairement plutôt que décrire une commande qui n'existe pas.

Ce qui est envoyé :

• Des événements tirés d'une liste fermée que l'application définit elle-même : la configuration initiale est terminée, une photo a été analysée, un repas a été enregistré, l'écran d'abonnement a été montré, un achat a réussi ou échoué, et lequel d'un ensemble nommé de commandes a été touché. Aucun texte libre nulle part : chaque valeur est soit un nombre calculé par l'application, soit un mot d'un petit ensemble choisi d'avance.
• Le nom de l'écran où vous êtes, tiré d'une liste fermée d'une vingtaine.
• Quelques faits sur l'installation plutôt que sur l'instant : si un abonnement est actif et pour quelle durée, jusqu'où vous êtes rendu dans l'usage de l'application, si les rappels sont activés, si les fonctions d'IA sont autorisées, si la caméra est autorisée, et la langue de l'application.
• Les chiffres qui pourraient désigner une personne ou un instant sont volontairement donnés par tranches et non exactement. Un âge arrive sous la forme « 35–44 », et le délai avant le premier repas enregistré sous la forme « moins de 5 minutes » ou « le jour même ».
• Ce que la trousse Firebase ajoute d'elle-même : un identifiant pour cette installation, le modèle de l'appareil, la version d'iOS, la langue, et une localisation approximative — au mieux la ville — déduite de l'adresse IP de la connexion.
• De Crashlytics, quand l'application s'arrête : la pile d'appels, le modèle de l'appareil et la version d'iOS, et depuis combien de temps l'application tournait.

Ce qui n'est pas envoyé : rien de ce que vous photographiez, dites, écrivez, pesez ou mangez. Ni taille, ni poids, ni objectif de calories, ni le but que vous avez choisi, ni le nom d'un plat. Les faits attachés à l'identifiant d'installation excluent volontairement tout attribut de santé : un identifiant qui survit à une session n'est pas l'endroit pour cela.

Il n'y a aucun identifiant publicitaire. L'application ne lie pas la trousse AdSupport d'Apple et ne demande jamais l'autorisation de pistage, parce qu'elle ne vous suit pas dans les applications et les sites d'autres entreprises. C'est exactement ce que déclare son manifeste de confidentialité pour l'App Store.

Firebase est exploité par Google, qui traite ces rapports pour notre compte sur une infrastructure pouvant se trouver hors de votre pays, selon ses propres conditions et sa politique de confidentialité. Ils ne vont nulle part ailleurs et rien de ce qu'ils contiennent n'est vendu. Google supprime automatiquement les événements d'analytique à l'expiration de la durée de conservation fixée pour le projet ; les rapports de plantage sont gardés tant que le plantage vaut la peine d'être corrigé.

Firebase attache son identifiant d'installation à ces rapports, et nous n'avons aucun moyen de relier cet identifiant à vous — c'est le but, et c'est aussi la limite : nous ne pouvons pas retrouver vos lignes pour les supprimer sur demande. Supprimer l'application arrête les suivantes, et l'identifiant lui-même n'y survit pas.

Le catalogue de produits partagé

Lorsque vous scannez un code-barres que Sabzy doit rechercher, les détails du produit — code-barres, nom, marque, calories et macronutriments par 100 g, et taille de portion — sont écrits dans un catalogue hébergé dans une base iCloud publique, afin que d'autres personnes qui scannent le même produit obtiennent une réponse immédiate. Cette entrée porte sur le produit, pas sur vous : elle ne contient aucun identifiant de l'appareil ni de la personne ayant scanné, et elle ne peut pas être reliée à votre journal.

Paiements

Les abonnements sont vendus par Apple sur l'App Store. Apple traite le paiement ; les numéros de carte, les adresses de facturation et les renseignements de votre compte Apple ne sont jamais vus par Sabzy ni par son développeur. Ce que l'application reçoit, c'est l'attestation d'achat signée par Apple. Pour une formule de groupe, elle transmet cette attestation à une Cloud Function qui lui appartient, à Francfort, laquelle vérifie la signature d'Apple et lit la formule dans le contenu signé plutôt que dans ce que l'application affirme. Apple écrit aussi directement à cette même fonction, par les App Store Server Notifications, pour qu'un renouvellement ou une résiliation atteigne un groupe dont le titulaire n'a pas ouvert l'application depuis un mois.

Comment ces tiers sont tenus à cette politique

Chaque partie nommée ci-dessus est tenue, selon les conditions auxquelles elle intervient, de protéger les données qu'elle reçoit selon la norme énoncée dans cette politique, et aucune n'est autorisée à les utiliser à ses propres fins, à établir un profil ou à les transmettre plus loin. Rien de plus que ce que décrit le tableau ne leur est envoyé.

L'application intègre dix trousses de développement tierces, et toutes les dix sont de Google. Neuf viennent de Firebase : Analytics et Crashlytics, décrites plus haut ; App Check ; AI Logic, qui porte une photo, une note vocale ou une description jusqu'à Gemini ; Authentication, Cloud Firestore, Cloud Storage et Cloud Functions, qui forment ensemble le compte, la synchronisation et les groupes ; et Cloud Messaging, qui livre les notifications d'un groupe. La dixième est Google Sign-In, l'une des deux façons de se connecter. Il n'y a aucune trousse de publicité ou de pistage d'aucune sorte, et il n'existe aucune société mère, filiale ou affiliée ayant accès à vos données — Sabzy, c'est un développeur indépendant, alors il n'y a personne d'autre à qui les données pourraient parvenir.

App Check mérite un paragraphe à lui, parce qu'il s'exécute sur votre appareil à chaque appel vers un service Google et que rien d'autre ici ne le décrit. Avant chaque appel, il demande à Apple d'attester que la requête vient d'une copie authentique de Sabzy sur un appareil Apple authentique — via App Attest là où le matériel le permet, et DeviceCheck là où App Attest n'existe pas — et joint à l'appel le jeton de courte durée qu'Apple délivre. Ce jeton dit quelque chose de l'application et de l'appareil, et rien de vous. C'est ce qui permet de publier Sabzy sans clé d'API à lui, que quelqu'un pourrait en extraire.

Un nom du tableau ci-dessus n'appartient pas à Google. Le code-barres que vous scannez va à Open Food Facts, une base de données ouverte de produits alimentaires tenue par une association française à but non lucratif. Elle reçoit le numéro du code-barres et rien d'autre — aucun compte, aucun identifiant d'appareil, aucun morceau de votre journal — et répond par le produit. Ce qui revient est publié sous la licence Open Database, et ce qu'Open Food Facts fait de la requête relève de ses propres conditions et de sa propre politique de confidentialité.

L'application Santé

L'intégration avec Santé est facultative et désactivée tant que vous ne l'activez pas. Lorsqu'elle est activée :

• Sabzy lit ce que votre journée contient déjà : l'énergie active que vous avez brûlée, votre nombre de pas, la distance de marche et de course, et les entraînements enregistrés par n'importe quelle application de votre téléphone ou de votre montre. L'écran Activité les affiche, et les calories qu'il vous reste tiennent compte de votre activité.
• Sabzy écrit l'énergie, les protéines, les glucides, les lipides et les fibres que vous consignez, ainsi que toute pesée que vous notez, pour que vos autres applications restent synchronisées.

À une exception près, les données de Santé circulent uniquement entre l'application et Apple Santé sur votre appareil. Tout le reste de ce que l'application lit n'est pas envoyé à Google, n'est pas écrit dans le catalogue commun et n'est pas stocké dans iCloud — ces chiffres sont lus quand un écran en a besoin et ne sont enregistrés nulle part. Ils ne servent jamais à la publicité.

L'exception, ce sont vos pas. Si vous êtes dans un groupe, les pas de la journée sont publiés avec le reste des totaux du jour, et les autres membres du groupe les voient comme ils voient vos calories et votre eau. Ce seul chiffre est la seule chose issue de Santé qui quitte votre appareil — rien d'autre dans la liste ci-dessus ne part avec lui, et l'évolution du poids que voit votre groupe est calculée à partir des pesées notées dans Sabzy, pas à partir de Santé. Si vous n'êtes dans aucun groupe, rien de Santé ne quitte votre appareil.

Les autorisations demandées

• Caméra — pour photographier un repas ou scanner un code-barres.
• Photothèque — uniquement pour vous laisser choisir une photo de repas existante. L'application lit l'image que vous choisissez et rien d'autre.
• Micro — pour enregistrer la description parlée d'un repas.
• Notifications — les rappels que vous configurez vous-même, comme la pesée hebdomadaire, et les notifications propres au groupe si vous êtes dans un. Ce sont deux interrupteurs distincts dans le Profil.
• Santé — comme décrit ci-dessus.
• Fonctions d'IA — votre accord pour qu'une photo, une note vocale ou une description saisie parte chez Google. Le même interrupteur gouverne les notes écrites, y compris celles que reçoit un groupe. Rien n'est envoyé avant que vous ne le donniez.

Chacune peut être refusée. Les cinq premières se retirent dans l'application Réglages; les fonctions d'IA se désactivent dans Sabzy même, sous Profil › Réglages. En refuser une désactive la fonction qui en a besoin, et rien d'autre.

Ce que Sabzy ne fait pas

• Aucune trousse de publicité ni de pistage. L'application intègre dix trousses tierces, toutes de Google ; elles sont énumérées plus haut, et aucune n'est là pour vous suivre.
• Aucune publicité et aucun identifiant publicitaire.
• Aucun pistage à travers d'autres applications ou sites web.
• Aucun profil établi à votre sujet et aucune décision automatisée produisant des effets juridiques ou similaires.
• Aucune vente ni communication de renseignements personnels, sous quelque définition et à quelque fin que ce soit.

Durée de conservation

Votre journal reste sur votre appareil jusqu'à ce que vous le supprimiez. Supprimer l'application efface la base de données sur l'appareil. Si la recopie iCloud était activée, la copie dans votre iCloud se retire via Réglages › votre nom › iCloud › Gérer le stockage › Sabzy.

Si vous vous êtes connecté, la copie dans Cloud Firestore et Cloud Storage est conservée aussi longtemps que le compte existe. Pas au-delà : Profil › Compte › Supprimer le compte l'efface avant que le compte ne parte, et nous ne gardons aucune sauvegarde d'où elle pourrait revenir. Les totaux quotidiens publiés à un groupe partent avec, et quitter un groupe arrête l'écriture des suivants.

Les événements d'utilisation et les rapports de plantage détenus par Firebase sont supprimés par Google à l'expiration de la durée de conservation fixée sur le projet, et supprimer l'application empêche qu'il y en ait de nouveaux. Les entrées du catalogue de produits partagé sont des valeurs nutritionnelles de produits commerciaux et sont conservées indéfiniment ; comme elles ne contiennent rien sur vous, supprimer vos données ne les affecte pas.

Enfants

Sabzy ne s'adresse pas aux enfants de moins de 13 ans et ne recueille sciemment rien auprès d'eux. Si vous croyez qu'un enfant a fourni des renseignements personnels par l'application, écrivez à l'adresse ci-dessus et ils seront supprimés.

Vos droits

Comme l'application garde votre journal sur votre propre appareil, vous exercez la plupart des droits directement : vous voyez tout dans l'application, vous modifiez ou supprimez n'importe quelle entrée, et vous retirez l'ensemble en supprimant l'application et ses données iCloud. Si vous vous êtes connecté, Profil › Compte › Supprimer le compte fait de même pour la copie de notre côté — en une étape et sans écrire à personne.

Pour les lecteurs situés dans l'Espace économique européen et au Royaume-Uni, les bases légales au titre de l'article 6 du RGPD sont les suivantes. Tout ce que l'application fait pour vous donner ce que vous avez demandé — conserver le journal, reconnaître une photo, synchroniser un compte que vous avez créé, faire fonctionner un groupe que vous avez rejointe — relève de l'article 6, paragraphe 1, point b, l'exécution d'un contrat avec vous. Les rapports d'utilisation et de plantage sont traités au titre de l'article 6, paragraphe 1, point f, notre intérêt légitime à savoir que l'application fonctionne — c'est pourquoi ils ne portent rien sur votre santé et pourquoi l'interrupteur existe dans le Profil. Les données de santé constituent une catégorie particulière au sens de l'article 9 et ne sont traitées qu'avec votre consentement explicite, donné dans la fenêtre d'autorisation Santé et retiré au même endroit.

Si vous êtes dans l'Espace économique européen ou au Royaume-Uni, le RGPD vous donne le droit d'accéder à vos données personnelles, de les rectifier, de les effacer, d'en limiter le traitement et de vous y opposer, ainsi qu'un droit à la portabilité. Si vous êtes en Californie, la CCPA vous donne les droits de savoir, de supprimer, de corriger et de vous soustraire à la vente ou au partage — étant entendu que Sabzy ne vend ni ne partage de renseignements personnels. Pour exercer l'un de ces droits, ou pour porter plainte, écrivez à mirzo.7767@gmail.com.

Modifications de cette politique

Si cette politique change, la date en haut change avec elle, et une modification importante est publiée ici avant de prendre effet. L'application n'a aucun moyen de vous envoyer un message, c'est donc sur cette page qu'elle paraît. La version en vigueur se trouve toujours à cette adresse.