Calozi — Politique de confidentialité de Calozi

Version : 1er novembre 2026. Date d’entrée en vigueur : 10 novembre 2026

Responsable et portée

Cahier Digital Inc. exploite Calozi. Adressez vos questions et demandes au Responsable de la protection des renseignements personnels — Cahier Digital Inc., support@calozi.app. Adresse postale : 111-686 Grande Allée Est, Québec, QC G1R 2K5, Canada.

Cette politique vise l’application, le site et l’assistance. La disponibilité initiale est limitée aux États-Unis et au Canada. Les versions française, anglaise et espagnole décrivent les mêmes pratiques; la traduction n’élargit pas la disponibilité en boutique.

Renseignements et finalités

Catégorie	Renseignements et utilisation
Compte	Courriel, identifiant, données d’authentification et de session, accords aux politiques, choix de consentement à l’IA et à l’analyse facultative de l’utilisation, et messages de connexion, pour l’accès, la sécurité, la récupération et le respect de vos choix. Certains anciens comptes n’ont pas de courriel; cela ne les rend pas anonymes dans nos systèmes.
Profil et objectifs	Nom, date de naissance, taille, contexte de calcul comme le genre, poids, poids cible, préférences d’activité et réponses de configuration, pour calculer et personnaliser les objectifs.
Suivi	Repas, nutriments, portions, eau, exercice, historique du poids, aliments enregistrés, images de repas et photos de progression, pour le suivi et la récupération infonuagique.
IA facultative	Photos, descriptions, corrections, enregistrements, transcriptions et résultats nécessaires à la fonction demandée.
Abonnement	Identifiants de compte et de boutique, produits, transactions, essai, renouvellement, expiration et vérification, pour les droits d’accès, la restauration et les rapports sur les abonnements. Les boutiques ne nous transmettent pas les coordonnées complètes de votre carte.
Fonctionnement	Identifiants de requêtes, horodatages, erreurs, sécurité, recherches, corrections, codes-barres, sélections et identifiants aléatoires de session de recherche, pour fournir le service, prévenir les abus et améliorer le catalogue. Les fournisseurs traitent aussi des renseignements réseau/appareil, comme l’adresse IP et les métadonnées des requêtes.
Analyse facultative de l’utilisation et rapports d’erreurs	Interactions limitées avec l’application, résultats et montants d’abonnement, contexte technique et erreurs expurgées, avec votre autorisation distincte, pour comprendre l’utilisation et améliorer l’application. Les détails et les contrôles figurent ci-dessous.
Assistance	Courriel, messages, pièces jointes choisies et détails d’application/appareil inclus dans les brouillons d’assistance, pour traiter la demande.

Évitez de soumettre des renseignements sensibles inutiles ou les renseignements d’autrui. Les données alimentaires et d’activité peuvent révéler ou permettre d’inférer un état de santé. Nous les traitons comme sensibles lorsque la loi l’exige.

Stockage local et récupération infonuagique

Calozi conserve les données de suivi sur l’appareil. Une fois connecté au compte et au réseau, il synchronise les données et les photos privées de repas/progression via Supabase. La sauvegarde peut contenir les renseignements de santé que vous saisissez. Le mode hors ligne ou un échec de synchronisation peut retarder la récupération.

Les photos sont préparées à moins de 1 Mo avant leur transmission. L’analyse par IA demandée commence immédiatement ; les résultats réussis sont enregistrés automatiquement sur votre appareil. La sauvegarde permanente d’une photo devient possible deux minutes après l’enregistrement d’une entrée, sans exiger de révision ni de bouton Enregistrer. Une modification suspend cette sauvegarde et relance le délai lorsque la modification se termine. Une suspension de l’application ou une absence de connexion peut prolonger l’attente. Les détails des repas peuvent se synchroniser avant leur photo. Les analyses en attente et les photos abandonnées ne sont pas ajoutées au stockage permanent de photos. Chaque compte comprend 10 Go (10 000 000 000 octets) de sauvegarde de photos. À pleine capacité, les nouvelles photos attendent ; les détails des repas peuvent continuer à se synchroniser. La suppression d’une entrée retire sa copie locale appartenant à l’application et, après synchronisation, programme la suppression de sa photo infonuagique, sauf si une autre entrée enregistrée l’utilise encore. La suppression infonuagique est réessayée indépendamment de votre appareil ; l’espace est libéré une fois la suppression terminée. Cela ne supprime pas l’original de votre photothèque et ne modifie pas les conditions distinctes de conservation liées au traitement par IA décrites ci-dessous.

Sauvegarder une photo ne signifie pas l’envoyer à l’IA. Vos données ne constituent pas un profil public. Se déconnecter, désinstaller ou perdre un appareil ne supprime pas le compte infonuagique.

Traitement facultatif par IA

Calozi demande votre permission avant l’envoi de contenu aux fonctions d’IA. Via notre infrastructure, OpenAI reçoit les photos de repas ou d’étiquettes, descriptions et corrections nécessaires aux estimations; les enregistrements nécessaires à la transcription et le texte résultant pour l’analyse; ou les descriptions d’exercice pour identifier l’activité et sa durée.

Votre poids n’est pas envoyé à OpenAI pour identifier un exercice. L’énergie est calculée dans Calozi avec des valeurs de référence et le poids enregistré. Les photos de progression sauvegardées sont distinctes des demandes d’IA.

Notre serveur conserve les métadonnées et met en cache résultats et transcriptions pour les nouvelles tentatives, la détection des doublons et la protection du service. Ce traitement peut survenir même sans enregistrement du résultat dans votre suivi. Les enregistrements audio sont envoyés pour transcription et ne font pas partie de votre sauvegarde de suivi.

Les conditions API et contrôles de données publiés par OpenAI décrivent son traitement. Par défaut, le contenu API ne sert pas à entraîner les modèles, sauf activation volontaire par le client API. La surveillance des abus des points d’accès d’analyse peut conserver du contenu jusqu’à 30 jours, sous réserve des exceptions légales ou de sécurité décrites par OpenAI; le point d’accès de transcription audio a des règles distinctes. Calozi demande de ne pas conserver les réponses d’analyse dans l’historique, ce qui ne constitue pas une promesse de conservation nulle. Voir les contrôles API d’OpenAI.

Vous pouvez refuser l’IA et utiliser la saisie manuelle avec un abonnement actif. Dans l’application, ouvrez Profil → Confidentialité et données → Retirer le consentement à l’IA pour bloquer les nouvelles demandes d’IA de votre compte sur tous les appareils. Les demandes déjà envoyées peuvent se terminer. La réactivation exige une nouvelle confirmation de consentement. Contactez support@calozi.app pour tout autre retrait ou de l’aide. Le retrait n’annule pas le traitement passé ni ne supprime automatiquement les données existantes. Ces conditions n’accordent pas de licence générale pour publier votre contenu privé ou entraîner des modèles d’IA à usage général.

Apple Santé et autorisations

Avec votre permission, les versions iOS compatibles lisent les pas et l’énergie active d’Apple Santé pour afficher l’activité et éventuellement ajuster le budget calorique. Ces lectures et indicateurs d’autorisation restent sur l’appareil; cette intégration ne les envoie ni dans la sauvegarde de Calozi ni à OpenAI.

Si vous activez l’exportation nutritionnelle, Calozi écrit les calories, protéines, glucides et lipides des repas dans Apple Santé. Le repas original peut aussi être sauvegardé dans Calozi. Apple exploite Apple Santé et sa synchronisation.

Modifiez les autorisations dans Apple Santé ou les réglages de l’appareil. La déconnexion arrête les accès/exportations futurs, sans supprimer les entrées antérieures, qui se gèrent dans Apple Santé.

L’appareil photo et les photos servent aux images et codes-barres; le microphone sert à la saisie vocale. Les rappels sont des notifications planifiées localement. Une autorisation retirée peut rendre la fonction indisponible.

Site et recherche alimentaire

Les pages du site fournies ne déposent pas de témoins de suivi, n’exécutent pas de pixels publicitaires et n’utilisent pas d’outil spécialisé de mesure d’audience. L’hébergement et les services réseau traitent les données de requête ordinaires pour fournir et protéger les pages. Un lien de courriel ouvre votre logiciel sans envoyer automatiquement un message.

L’application possède aussi une télémétrie opérationnelle de recherche, distincte du partage facultatif d’utilisation. Les recherches utilisent notre catalogue importé hébergé via Supabase. Une source de données créditée n’est pas automatiquement destinataire de vos recherches. La table d’événements du catalogue n’associe pas l’identifiant aléatoire de session à un identifiant de compte; les requêtes ou métadonnées peuvent néanmoins contenir des renseignements personnels. N’y incluez pas de détails personnels.

Nous ne vendons pas les renseignements personnels et ne les partageons pas pour de la publicité comportementale intercontextuelle. Nous n’utilisons pas Apple Santé pour la publicité. Toute nouvelle finalité de mesure d’audience ou de publicité exige une révision des informations et le consentement requis.

Analyse facultative de l’utilisation et rapports d’erreurs

Avec votre autorisation distincte et facultative, après vérification de l’admissibilité adulte, Calozi envoie des événements d’utilisation limités à PostHog et des rapports d’erreurs expurgés à Sentry, au moyen de leurs services aux États-Unis. Nous utilisons ces rapports pour comprendre l’achèvement de la configuration, la conversion des offres d’abonnement, les retours dans l’application et l’utilisation des fonctions, ainsi que pour repérer les défaillances et améliorer la fiabilité et les performances.

Les événements PostHog peuvent comprendre :

Activité dans l’application : visites, noms des écrans, étapes et achèvement de la configuration sans vos réponses, méthodes de saisie, enregistrements/modifications/suppressions, changements des réglages de rappel et ouvertures de notifications détectées par l’application.
Abonnement : offres consultées, choix mensuel ou annuel, admissibilité à l’essai, résultats d’achat/restauration et de vérification d’accès, ainsi que les événements d’abonnement comme les essais, renouvellements, annulations, expirations et problèmes de facturation. Certains événements d’achat et de renouvellement incluent le montant de la transaction en dollars américains lorsqu’il est fourni par notre prestataire de facturation; les coordonnées de carte et les reçus d’achat sont exclus.
Qualité du service : réussite, échec ou annulation de la saisie, de la recherche, de la lecture d’un code-barres, de l’analyse par IA, de la sauvegarde ou de la récupération; catégories d’erreurs limitées, nombre de résultats de recherche et temps de traitement des opérations mesurées.
Contexte technique : date et heure de l’événement, version de l’application, plateforme, langue, état d’accès lié à l’abonnement, contexte de production/test et identifiants aléatoires d’analyse, de session et d’événement.

Un identifiant aléatoire d’analyse permet de reconnaître les retours dans l’application. Son lien avec votre compte reste dans notre base privée; PostHog ne reçoit pas votre identifiant de compte Calozi. Ces renseignements sont pseudonymisés, et non complètement anonymes. L’utilisation peut indiquer que vous consultez une fonction liée à la santé, même si le contenu de vos dossiers de santé est exclu.

Les rapports Sentry contiennent l’heure de l’erreur, la version de l’application, le contexte de production/test et les emplacements de code expurgés nécessaires au diagnostic. Ils excluent les messages d’erreur d’origine, l’historique détaillé des actions, le contenu des requêtes et les identifiants de compte ou d’appareil stables. Nous configurons Sentry pour supprimer des rapports les adresses IP enregistrées et les données géographiques déduites. Sentry et les services réseau reçoivent néanmoins les informations de connexion nécessaires à la transmission des requêtes. La collecte des plantages natifs, le traçage automatique des performances, le profilage et l’enregistrement des sessions sont désactivés.

Ces rapports d’utilisation et d’erreurs excluent les descriptions de repas et d’exercice, photos, enregistrements audio, texte des recherches, chiffres des codes-barres, poids, valeurs de santé, noms, courriels et dates de naissance. Ces exclusions visent les rapports, et non les renseignements que Calozi traite pour le suivi, la recherche, l’IA ou la facturation décrits ailleurs dans cette politique. Ces outils n’enregistrent pas les sessions, ne recueillent pas d’identifiants publicitaires et ne vous suivent pas dans les applications d’autres entreprises. Notre serveur transmet les événements PostHog sans votre adresse réseau et désactive l’enrichissement géographique.

Votre choix : le partage est désactivé initialement. Refuser ou reporter ne modifie ni votre accès lié à l’abonnement ni son prix. Modifiez votre choix dans Confidentialité et données; l’autorisation pour l’IA est distincte. Nous n’envoyons pas d’historique d’activité antérieur à l’autorisation. Le retrait arrête immédiatement les nouveaux rapports et efface les événements d’utilisation en attente sur cet appareil. Dès que le retrait parvient à notre serveur, celui-ci refuse les nouveaux événements du compte. Les autres appareils actifs et connectés vérifient une fois par minute ou au retour au premier plan. Si l’enregistrement de votre choix échoue ou si vous êtes hors ligne, le partage reste désactivé sur cet appareil et l’application réessaie de transmettre le retrait; le changement pour l’ensemble du compte et la demande de suppression prennent effet à leur réception par le serveur. Les requêtes déjà envoyées peuvent se terminer.

Le retrait ou la suppression du compte met en attente la suppression de l’ancien identifiant PostHog et de ses événements. Une nouvelle autorisation crée un nouvel identifiant. La suppression chez le fournisseur est asynchrone; la confirmation de votre choix ne signifie pas qu’elle est terminée. Les rapports Sentry ne contiennent aucun identifiant de compte ou d’appareil stable permettant de les associer à un compte précis pour les supprimer; ils expirent selon la durée de conservation ci-dessous.

La file d’attente de l’appareil conserve au plus 200 événements pendant 24 heures; les envois en attente sur le serveur expirent après sept jours. Selon nos offres de service actuelles, les événements PostHog sont conservés un an et les rapports Sentry 30 jours, sauf suppression antérieure. Nous conservons des reçus de livraison limités pendant 90 jours et les données minimales nécessaires pour traiter les demandes de suppression ou en démontrer le traitement.

Destinataires et lieux de traitement

Nous utilisons les renseignements aux fins décrites, pour répondre aux demandes de droits et respecter la loi. L’accès est limité aux personnes et fournisseurs qui en ont besoin.

Supabase : authentification, base de données, photos privées et infrastructure. La base principale est actuellement au Canada, région centrale. L’exécution en périphérie, l’assistance et l’infrastructure peuvent impliquer d’autres lieux.
OpenAI : contenu des demandes d’IA facultatives. Le traitement peut être international, notamment aux États-Unis.
RevenueCat : identifiants de compte/achat et données techniques, d’appareil et de transaction pour vérifier et restaurer l’abonnement. Ses services traitent des données aux États-Unis. Calozi ne lui envoie pas vos repas, photos ou enregistrements à des fins de facturation.
PostHog et Sentry : analyse facultative de l’utilisation et diagnostic des erreurs décrits ci-dessus, au moyen de leurs services aux États-Unis. PostHog reçoit les événements de notre serveur sans votre adresse réseau ni enrichissement géographique. Sentry et les services réseau reçoivent les informations de connexion nécessaires à la transmission des rapports.
Apple et Google : achats, renouvellements, remboursements et services de plateforme sur les boutiques compatibles, sous leurs propres conditions. Apple exploite aussi Apple Santé.
Courriel, hébergement et réseau : messages de connexion/d’assistance et requêtes Web. Les courriels d’assistance sont traités par Google Workspace. Notre site utilise l’hébergement Netlify, qui traite les requêtes Web habituelles et les métadonnées réseau.
Conseillers ou autorités : uniquement si raisonnablement nécessaire et légal pour la comptabilité, les obligations, demandes légales valides, la sécurité ou un litige.

Un transfert d’entreprise peut inclure des renseignements sous réserve des protections, avis et consentements requis. Il n’autorise pas à modifier les finalités des données de santé sans respecter les exigences applicables.

Des renseignements peuvent quitter le Québec ou le Canada. Les lois étrangères peuvent permettre l’accès légal par des autorités ou tribunaux. Nous évaluons les transferts et utilisons les ententes et mesures appropriées lorsque requis. Contactez le responsable pour en savoir plus.

Conservation, suppression et sécurité

Nous conservons les renseignements uniquement aux fins décrites, pour les obligations légales et pour les besoins légitimes et documentés liés aux litiges ou à la sécurité. Leur sensibilité, leur nécessité, vos demandes et la loi déterminent la conservation.

Données	Conservation et suppression
Compte, suivi et photos	Pour fournir le compte, l’historique et la récupération jusqu’à suppression ou fin du besoin. Des marqueurs de synchronisation ou copies de conflit peuvent subsister temporairement. La suppression du compte retire les données actives et photos privées associées.
Résultats IA, transcriptions et requêtes	Cache pour les nouvelles tentatives et la protection. Une tâche horaire fait expirer les caches de requêtes de production et TestFlight de plus de 24 heures, après la fin de tout bail de traitement actif. Un nettoyage à la requête existe aussi. Un échec peut retarder la suppression jusqu’à une nouvelle exécution réussie, sans garantie à la minute près. Les données liées au compte sont incluses dans sa suppression infonuagique.
Événements de recherche	Les événements bruts sont conservés jusqu’à 90 jours pour la qualité et la prévention des abus, puis expirent par la tâche de nettoyage. Un échec peut retarder l’expiration jusqu’à une exécution réussie. Les sessions aléatoires peuvent nécessiter des renseignements supplémentaires pour retrouver les événements d’une personne.
Registres d’infrastructure/sécurité	Selon la configuration du fournisseur et les besoins de diagnostic ou de protection. Supprimer le compte n’efface pas nécessairement immédiatement les registres de sécurité indépendants.
Copies de récupération	Peuvent rester dans les systèmes de récupération isolés jusqu’à expiration ou suppression requise. Leur usage est limité à la récupération/sécurité, les délais légaux sont respectés et les suppressions sont réappliquées après restauration.
Assistance, facturation et obligations	Pour résoudre la demande ou transaction et satisfaire les obligations documentaires, litiges ou besoins légaux, uniquement pour les renseignements nécessaires. Les boutiques contrôlent leurs propres dossiers.

La suppression dans l’application tente de retirer les données et photos infonuagiques actives, puis efface le suivi local sur l’appareil après réussite. Une erreur est signalée pour permettre une nouvelle tentative ou le recours à l’assistance. La page Suppression du compte explique les demandes, limites et délais.

Nous utilisons des contrôles d’accès et des connexions réseau chiffrées. La protection locale dépend aussi des réglages de l’appareil. Calozi n’offre pas un chiffrement de bout en bout. Aucun système ne garantit une sécurité absolue. Signalez rapidement un accès non autorisé présumé.

Vos choix et demandes

Écrivez au responsable à support@calozi.app pour l’accès, une copie, la rectification, la suppression, le retrait du consentement ou une plainte. Décrivez la demande sans mots de passe, codes de connexion ou données de santé inutiles. Nous pouvons vérifier proportionnellement votre identité ou l’autorité d’un mandataire. Aucun nouvel achat ou compte n’est requis pour demander.

Nous répondons dans les délais applicables et expliquons tout refus légal, prolongation ou recours. Retirer le consentement peut affecter une fonction, sans annuler l’abonnement.

Québec : les droits applicables comprennent l’accès, la rectification et la portabilité de renseignements informatisés admissibles. Les demandes écrites d’accès/rectification reçoivent une réponse écrite dans les 30 jours de leur réception. Un recours est possible auprès de la Commission d’accès à l’information du Québec, sous réserve des délais légaux.

Autres résidents du Canada et des États-Unis : selon la loi, les droits peuvent inclure accès, portabilité, rectification, suppression, retrait, mandataire, appel et opposition à certains traitements. Nous n’exerçons aucune discrimination illégale à cet égard. Pour un appel prévu par la loi, écrivez avec l’objet « Privacy appeal ». Vous pouvez contacter le régulateur ou procureur général compétent.

Washington : consultez la Politique sur les données de santé des consommateurs pour les catégories, sources, divulgations, consentements et droits.

Enfants et âge minimal

Calozi est réservé aux personnes d’au moins 18 ans. Une autorisation parentale ne rend pas un mineur admissible. Si nous apprenons qu’un mineur a fourni des renseignements, nous enquêtons, limitons l’utilisation et prenons les mesures de suppression du compte et des données prévues par la loi. Signalez un compte de mineur à support@calozi.app.

Modifications et contact

Nous actualisons cette politique, donnons un avis approprié des changements importants et obtenons le consentement requis aux nouvelles finalités.

Responsable de la protection des renseignements personnels — Cahier Digital Inc. support@calozi.app 111-686 Grande Allée Est, Québec, QC G1R 2K5, Canada.