Politique de confidentialité

Dernière mise à jour : 28 octobre 2026

Yumli est une application de planification de repas. Elle a besoin de conserver ce que vous y écrivez pour vous le restituer, et rien de plus. Cette page dit précisément quoi. Pour toute question sur vos données, écrivez-nous par notre formulaire de contact. L'éditeur de Yumli, responsable de vos données, est présenté sur la page mentions légales.

Ce que Yumli conserve

Votre compte. Votre adresse e-mail, nécessaire pour vous connecter et retrouver vos données sur un autre appareil, et le prénom que vous saisissez. Il n'y a pas de mot de passe : la connexion se fait par un code à six chiffres envoyé par message, valable quinze minutes.

Si vous vous connectez avec Google ou Apple. Google ou Apple nous transmet un jeton qui confirme votre identité. Nous en recevons votre adresse e-mail, l'identifiant de votre compte chez eux et, si vous l'avez partagé, votre nom. Google y ajoute l'adresse de votre photo de profil. Ces informations sont enregistrées avec votre compte ; l'application n'utilise que le prénom, pour remplir votre profil s'il est vide, et n'affiche pas la photo. Chez Apple, vous pouvez masquer votre adresse : nous recevons alors une adresse relais, qui vous fait suivre nos messages. Yumli ne reçoit jamais votre mot de passe Google ou Apple.

Avec Apple, nous gardons aussi, sur nos serveurs, un jeton technique remis par Apple au moment de la connexion. Il ne sert qu'à une chose : retirer à Yumli l'accès à votre compte Apple quand vous supprimez votre compte, comme Apple l'exige. Il n'est jamais envoyé sur votre téléphone. À la suppression de votre compte, nous demandons à Apple de le révoquer, puis il est effacé.

Ce que vous écrivez. Vos repas planifiés et leurs plats, vos recettes avec leurs ingrédients, leurs étapes et vos notes personnelles, votre liste de courses, votre stock de plats et leurs dates de péremption, vos idées de repas. Ces informations appartiennent au foyer et sont visibles par ses membres.

Vos notes de recettes. Chaque membre peut noter une recette de une à cinq étoiles. Votre note est enregistrée à votre nom : les autres membres du foyer la voient, avec votre prénom, et la moyenne du foyer en tient compte. Elle disparaît si vous quittez le foyer ou supprimez votre compte.

Vos photos. Les photos de plats que vous ajoutez à vos recettes, si vous en ajoutez. Elles sont enregistrées avec un nom de fichier imprévisible, mais sur une adresse publique : qui détient cette adresse peut voir la photo. Ne photographiez donc pas ce que vous ne voudriez pas voir circuler.

Votre foyer. Son nom, sa composition, le rôle de chaque membre et le prénom sous lequel chacun apparaît. Les membres de votre foyer voient votre prénom et la mascotte que vous avez choisie.

Votre régime alimentaire et vos exclusions. L'application ne propose plus de les renseigner. Si vous les aviez indiqués dans une version précédente, ils restent enregistrés avec le foyer, ne sont montrés à personne d'autre que ses membres et ne servent à rien d'autre. Une exclusion pouvant révéler une allergie ou une intolérance, donc une information de santé, nous les effaçons sur simple demande, par notre formulaire de contact.

Ce que vous achetez souvent. Quand vous ajoutez un article à votre liste, Yumli retient combien de fois il est revenu et à quelle date pour la dernière fois. Cela sert à vous le proposer en tête la fois suivante. Yumli ne garde ni l'historique détaillé de vos achats, ni les dates de chacun.

Sur votre appareil seulement. Quelques préférences d'affichage, comme le fait d'avoir déjà vu un message d'accueil ou un geste expliqué, et les identifiants des rappels que vous avez programmés. Rien de tout cela ne quitte votre téléphone.

Quand vous nous écrivez ou signalez un défaut. L'application porte un formulaire de contact et un bouton de signalement. Votre message part avec de quoi le comprendre : la version de Yumli, votre téléphone (le modèle commercial et la version du système), votre rôle dans le foyer, l'état de votre connexion, l'écran d'où vous écrivez, votre identifiant et celui de votre foyer. Un signalement de défaut y ajoute deux journaux techniques gardés en mémoire sur votre téléphone : les dernières erreurs rencontrées, et les trente derniers écrans et gestes de votre parcours, du type « ouvert le planning, ajouté un plat ». Ces deux journaux ne quittent votre téléphone qu'à ce moment, et seulement si vous appuyez sur envoyer. Ils servent à reproduire le défaut, rien d'autre.

Le formulaire de la page support du site recueille seulement ce que vous y saisissez : votre adresse e-mail, votre prénom et le type de téléphone si vous les indiquez, le sujet et votre message. Il nous parvient par Resend, et nous le gardons comme les autres messages de support. Pour freiner les envois automatisés, l'adresse IP d'où part le message est gardée quelques minutes en mémoire, puis oubliée.

Entrer sans compte. Yumli peut s'utiliser sans donner d'adresse e-mail. Un compte technique sans identité est alors créé pour que vos données tiennent sur nos serveurs, et votre foyer reste privé : il ne peut ni inviter, ni être rejoint. Si vous donnez votre adresse plus tard, c'est ce même compte qui la reçoit, et vous ne perdez rien. Un compte sans adresse qui n'a pas été ouvert depuis six mois est supprimé, avec son foyer.

L'identifiant de votre appareil, sans compte. Sans compte, l'import et la dictée se limitent à un essai. Pour que cet essai ne se renouvelle pas à chaque réinstallation, l'application envoie avec chaque import et chaque dictée un identifiant technique de votre téléphone : l'identifiant Android, ou sur iPhone un identifiant gardé dans le trousseau. Nos serveurs n'enregistrent jamais cet identifiant lui-même : ils n'en gardent qu'une empreinte chiffrée, avec un secret que nous sommes seuls à connaître, à côté du nombre d'essais consommés. Cette empreinte n'est rattachée ni à un compte, ni à un foyer. Elle ne sert qu'à cela, et elle est effacée après 24 mois sans nouvel essai. Dès que vous avez un compte avec adresse, elle n'est plus utilisée.

Ce que Yumli ne fait pas

Vos données ne sont ni vendues, ni louées, ni transmises à des annonceurs. Il n'y a aucune publicité dans l'application, donc aucun traceur publicitaire et aucun identifiant publicitaire. Le site yumli.fr ne pose pas de cookie, ce que détaille la politique de cookies. Seule la page qui ouvre une invitation garde dans l'onglet, le temps de la visite, une marque technique pour ne pas vous renvoyer deux fois vers le store : elle est strictement nécessaire, et s'efface quand l'onglet se ferme. L'application, elle, compte de façon anonyme les écrans consultés : la section « Mesure d'audience », plus bas, dit exactement quoi.

Yumli ne consulte ni vos contacts, ni votre position, ni votre agenda, ni votre historique de navigation. L'application ne demande que quatre autorisations, et uniquement au moment où elles servent :

• Le microphone, la première fois que vous appuyez sur le bouton de dictée. Il n'écoute que pendant que l'écran de dictée est ouvert et vous montre qu'il écoute, jamais en arrière-plan.
• L'appareil photo, quand vous choisissez de photographier un plat, ou une page de recette pour l'importer.
• Vos photos et vos fichiers, quand vous choisissez d'en joindre un à une recette ou de nous donner un PDF à lire. Yumli n'accède qu'à ce que vous désignez vous-même, jamais à l'ensemble de vos fichiers.
• Les notifications, quand vous activez un rappel. Ces rappels sont fabriqués par votre téléphone et ne passent par aucun serveur : Yumli ne sait pas quand ils s'affichent, ni si vous les ouvrez.

Mesure d'audience

Pour savoir quels écrans servent, et à quelle étape on abandonne l'inscription, l'application envoie des statistiques d'usage anonymes à PostHog, un service de mesure d'audience, sur des serveurs situés dans l'Union européenne.

Ce qui est envoyé. Les écrans consultés, par leur seul nom (par exemple « planning »), sans ce qu'ils affichent ; trois étapes de l'inscription (le choix d'entrer avec ou sans compte, la création du compte, la fin de l'installation du foyer) ; l'ouverture de l'application et son passage en arrière-plan. Chaque envoi porte un identifiant tiré au hasard sur votre téléphone, remplacé par un nouveau au bout d'un an au plus, et des informations techniques comme le modèle du téléphone, la version du système et celle de Yumli.

Ce qui n'est jamais envoyé. Ni votre adresse e-mail, ni votre prénom, ni votre identifiant de compte, ni celui de votre foyer, ni rien de ce que vous écrivez. Aucun toucher n'est enregistré, et l'écran n'est jamais filmé. Nous avons aussi demandé à PostHog de ne pas déduire votre ville ou votre pays de votre adresse réseau. PostHog ne sait donc pas qui vous êtes, ni à quel foyer vous appartenez.

Nos essais ne comptent pas. Rien ne part des versions de Yumli que nous utilisons pour développer, ni du compte de démonstration qui sert à nos vidéos.

Vous pouvez refuser. Dans les Préférences de l'application, rubrique « Confidentialité », désactivez « Mesure d'audience anonyme ». Plus rien ne part de ce téléphone, tout de suite et aux lancements suivants. Ce choix est gardé sur le téléphone, et non dans votre compte : il est à refaire sur un autre appareil.

Sur quelle base. Cette mesure repose sur notre intérêt légitime à améliorer l'application, au sens de l'article 6.1.f du RGPD. Elle est anonyme, elle ne sert qu'à nos propres statistiques, et vous pouvez la refuser : c'est pourquoi nous ne vous demandons pas d'accord préalable, comme la CNIL le permet pour la mesure d'audience. Ces statistiques sont conservées chez PostHog pendant 1 an.

Le suivi des foyers reste chez nous. Pour savoir si les foyers continuent d'utiliser Yumli au fil des semaines, nous regardons notre propre base, à partir des dates déjà enregistrées avec ce que vous y écrivez. Aucune donnée de plus n'est collectée pour cela, et rien de ce calcul n'est envoyé à PostHog.

L'abonnement Premium

Le paiement reste chez Apple ou Google. L'abonnement s'achète par l'App Store ou par Google Play, avec votre compte Apple ou Google. Ce sont eux qui encaissent, facturent et remboursent, sous leur propre responsabilité et selon leur propre politique de confidentialité. Nous ne recevons jamais votre numéro de carte, ni votre adresse de facturation.

RevenueCat suit l'état des abonnements. Pour savoir si un abonnement est en cours, nous passons par RevenueCat, un service qui vérifie les achats auprès d'Apple et de Google. Il agit comme notre sous-traitant. Il connaît votre compte Yumli par un identifiant technique, jamais par votre adresse e-mail ni votre prénom, et il reçoit de votre store l'historique de vos achats Yumli : la formule, les dates, le prix, le pays, les renouvellements et les remboursements, ainsi que des informations techniques sur l'appareil comme sa plateforme et la version de l'application.

Ce que nous gardons. Dans notre base, une seule ligne par personne abonnée : la formule, le store, la date de fin du droit, si le renouvellement est actif, et un éventuel incident de paiement. Elle est effacée avec votre compte. Les membres de votre foyer voient que le foyer est Premium, et grâce à quel prénom.

L'essai gratuit. Seul votre téléphone sait que vous êtes en période d'essai : il le lit chez RevenueCat, et programme lui-même la notification qui vous prévient la veille de la fin. Les autres membres voient seulement que le foyer est Premium.

Le rappel avant le renouvellement annuel. La loi nous impose de vous rappeler, avant chaque échéance de l'abonnement annuel, que vous pouvez ne pas le reconduire. Nous vous envoyons donc un courriel à l'adresse de votre compte, entre trois mois et un mois avant. Nous gardons la date de l'échéance, celle de l'envoi et l'accusé de notre service d'e-mails, pour prouver que le rappel est parti. Ces informations sont effacées avec votre compte.

Supprimer votre compte Yumli ne résilie pas votre abonnement : pour l'arrêter, passez par les réglages de votre store, comme l'expliquent les conditions générales. L'historique d'achat reste chez RevenueCat ; nous le faisons effacer sur simple demande.

Pourquoi, sur quelle base, et combien de temps

Le RGPD demande que chaque usage de vos données ait une raison précise, une base légale et une durée. Les voici, usage par usage.

• Votre compte et la connexion (adresse e-mail, prénom, identifiant Google ou Apple, jeton Apple) : pour vous identifier et vous rendre vos données. Base : le contrat (article 6.1.b du RGPD). Durée : tant que votre compte existe ; six mois sans ouverture pour un compte sans adresse.
• Le contenu du foyer (repas, recettes, notes, photos, courses, stock, rôles) : pour faire fonctionner le service et le partager avec votre foyer. Base : le contrat. Durée : tant que le foyer existe.
• L'import et la dictée (lignes d'import, texte des dictées) : pour compter les quotas, repérer les pannes, maîtriser le coût et améliorer la compréhension. Base : notre intérêt légitime (article 6.1.f). Durée : douze mois, l'adresse d'un lien trente jours, le texte des dictées sept jours au plus après la suppression du compte.
• L'empreinte d'appareil du mode sans compte : pour éviter qu'un essai gratuit se renouvelle sans fin. Base : notre intérêt légitime. Durée : 24 mois après le dernier essai.
• L'abonnement Premium : pour donner au foyer ce qu'il a payé. Base : le contrat. Durée : tant que votre compte existe, chez nous ; chez Apple, Google et RevenueCat, selon leurs propres obligations, notamment comptables.
• Les messages de support et les signalements : pour vous répondre et corriger les défauts. Base : notre intérêt légitime. Durée : 3 ans après le dernier échange. À la suppression de votre compte, ils ne sont plus rattachés à votre identifiant.
• La mesure d'audience : pour savoir quels écrans servent. Base : notre intérêt légitime, avec un droit de refus dans l'application. Durée : l'identifiant change chaque année ; les statistiques sont gardées pendant 1 an.
• Les courriels de service (code de connexion, bienvenue, arrivée d'un membre, que le chef reçoit avec le seul prénom de qui arrive) : pour faire fonctionner le compte et le foyer. Base : le contrat. Aucun courriel publicitaire n'est envoyé.
• Le rappel avant le renouvellement annuel : pour vous laisser le choix de ne pas reconduire. Base : une obligation légale (article 6.1.c du RGPD, article L215-1 du Code de la consommation). Durée : tant que votre compte existe.

Où elles sont hébergées

Les données sont hébergées chez Supabase, sur des serveurs situés à Francfort, en Allemagne, donc dans l'Union européenne. L'accès est protégé au niveau de la base elle-même : un membre d'un foyer ne peut pas lire les données d'un autre foyer, quelle que soit la façon dont il s'y prend.

Tous les échanges entre votre téléphone et nos serveurs sont chiffrés. Les disques qui portent les données le sont également.

D'autres prestataires interviennent pour le fonctionnement courant. Resend envoie les e-mails de connexion : il reçoit votre adresse et le message qui porte votre code, le temps de vous l'acheminer, depuis ses serveurs situés en Irlande. Il nous transmet aussi les messages du formulaire de la page support. Hostinger héberge notre boîte de messagerie et envoie nos autres courriels de service : il reçoit votre adresse et le contenu de ces messages, le temps de vous les acheminer. Un réseau de distribution sert les photos et les mascottes, et voit à cette occasion l'adresse réseau de qui les affiche. Expo, qui distribue les mises à jour de l'application, voit l'adresse réseau du téléphone et la version installée quand l'application vérifie s'il en existe une. PostHog reçoit les statistiques anonymes décrites plus haut, et RevenueCat l'état des abonnements.

D'autres n'interviennent que si vous importez une recette ou si vous dictez. Les sections « Importer une recette » et « Dicter vos courses et vos repas » leur sont consacrées, parce qu'ils font sortir du contenu de nos serveurs et que cela doit se dire clairement.

Votre accord, et son retrait. Avant votre première dictée, Yumli vous demande votre accord : rien ne part tant que vous n'avez pas touché « J'accepte ». Pour l'import, l'envoi est l'objet même de ce que vous demandez : votre accord est noté à votre premier import. Dans les Préférences de l'application, rubrique « Confidentialité », l'interrupteur « Accord pour l'IA partenaire » le retire à tout moment ; Yumli vous le redemande alors avant tout nouvel envoi. La date de votre accord est gardée avec votre compte.

Importer une recette

Yumli sait remplir une fiche de recette à partir de ce que vous lui donnez : un texte collé, une ou plusieurs photos (une page de livre, une fiche manuscrite), un PDF, ou le lien d'une publication. Avec la dictée, c'est la seule fonction qui fait sortir du contenu de nos serveurs. Voici exactement ce qui se passe.

Ce que vous donnez part chez Google. La lecture est faite par Gemini, le service d'intelligence artificielle de Google. Gemini reçoit donc votre texte collé, vos photos ou votre PDF selon ce que vous avez choisi. Pour un lien, il reçoit le texte de la publication, pas le lien lui-même. Deux exceptions, quand ce texte n'a pas suffi : pour une vidéo YouTube, son adresse est transmise pour que la vidéo soit regardée ; pour une vidéo TikTok, c'est la vidéo elle-même qui lui est envoyée, comme expliqué plus bas. Google agit ici comme notre sous-traitant, sur une offre payante dont les conditions interdisent d'utiliser ce contenu pour entraîner ses modèles.

Attention à ce que contient une photo. Si vous photographiez une page de carnet, tout ce qui est sur la page part aussi, y compris une annotation en marge ou une écriture qui vous identifie. Cadrez la recette, et rien d'autre.

La publication est lue. Quand vous collez un lien, nos serveurs ouvrent la page publique correspondante pour en tirer le texte et l'image, comme le ferait un navigateur. Selon le site, nous interrogeons en plus l'interface publique de TikTok, de Pinterest ou de YouTube. Pour Instagram, nous passons par l'interface professionnelle de Meta afin de récupérer toutes les images d'un carrousel, car la recette est souvent écrite sur la deuxième ou la troisième. Ces services voient alors l'adresse de la publication demandée et celle de notre serveur, jamais la vôtre, ni votre identité, ni votre adresse e-mail.

Les vidéos TikTok. La recette est souvent dite à voix haute, ou écrite à l'image, et absente de la légende. Nous procédons donc par étapes, et nous arrêtons dès que l'une suffit. D'abord la légende. Ensuite, l'adresse de la vidéo est envoyée à un service que nous hébergeons nous-mêmes chez Google Cloud Run, en Belgique, qui en récupère les sous-titres déjà publiés par TikTok et nous rend du texte. En dernier recours, si ni la légende ni les sous-titres ne suffisent, ce même service télécharge la vidéo publique, et nous l'envoyons à Gemini pour qu'il lise la recette à l'image.

La vidéo n'est conservée nulle part : elle passe en mémoire, le temps de la lecture, sans être enregistrée ni sur ce service, ni sur nos serveurs. Elle est réservée aux vidéos courtes et légères ; au-delà, nous y renonçons. Ce service ne reçoit ni votre identité ni votre adresse.

Ce que nous gardons de l'import. Pour compter les imports de votre foyer, repérer les pannes et maîtriser le coût, nous conservons une ligne par tentative : la date, le type de source, l'adresse du lien quand c'en était un, le résultat, et le compte de ce que la lecture a coûté. Cette ligne porte votre identifiant et celui de votre foyer. Nous ne conservons ni vos photos, ni votre PDF, ni le texte que vous avez collé : ils traversent le serveur et ne sont pas enregistrés. La recette obtenue, elle, est enregistrée parce que c'est ce que vous demandiez.

Ces lignes d'import sont conservées douze mois, puis supprimées. L'adresse du lien, elle, en est effacée dès trente jours. Ces lignes reposent sur notre intérêt légitime à faire fonctionner un service largement gratuit sans le laisser dériver, au sens de l'article 6.1.f du RGPD.

Transferts hors de l'Union européenne. Gemini et Meta sont des services d'entreprises américaines, et votre contenu d'import peut donc être traité hors de l'Union européenne, avec les garanties décrites plus bas, dans la liste des destinataires. Si ce point vous gêne, n'utilisez pas l'import : tout le reste de Yumli fonctionne sans, et vous pouvez saisir une recette à la main.

Dicter vos courses et vos repas

Sur l'accueil, un bouton micro vous permet de dire ce que vous voulez ajouter, par exemple « du lait, du pain, et jeudi soir des lasagnes ». Yumli range chaque chose dans vos courses, votre planning ou votre stock, et vous montre le résultat. Rien n'est ajouté avant que vous l'ayez relu et validé.

Votre voix part chez Google. L'enregistrement est envoyé à Gemini, le même service que pour l'import, qui l'écoute et nous rend du texte. Google agit ici comme notre sous-traitant, sur une offre payante dont les conditions interdisent d'utiliser ce contenu pour entraîner ses modèles. Si le micro n'a entendu aucune voix, rien n'est envoyé.

L'enregistrement n'est pas gardé. Nous ne conservons pas l'audio : il traverse notre serveur sans y être enregistré, et votre téléphone efface le fichier dès qu'il est envoyé.

Ce que nous gardons, c'est le texte. Pour chaque dictée, nous conservons ce que vous avez dit, mot pour mot, sa version sans les hésitations, ce que Yumli en a compris, et ce que vous avez finalement ajouté après vos corrections, avec la date, la durée de l'enregistrement et son coût. C'est ce qui nous permet de repérer où la compréhension se trompe et de la corriger. Ce texte porte votre identifiant et celui de votre foyer. Dans l'application, personne d'autre que vous n'y a accès : les autres membres de votre foyer ne le voient pas. Nous le consultons pour améliorer la dictée, et pour rien d'autre. Il repose sur notre intérêt légitime à faire fonctionner correctement le service que vous utilisez, au sens de l'article 6.1.f du RGPD.

Pendant combien de temps. Le texte de vos dictées est effacé au bout de douze mois. Si vous supprimez votre compte, il est effacé dans les sept jours qui suivent.

Dites seulement ce qui doit être écrit. Tout ce que le micro entend pendant la dictée est transcrit, y compris une conversation autour de vous. Si vous ne voulez pas que votre voix quitte votre téléphone, n'utilisez pas la dictée : tout se saisit aussi au clavier.

Qui reçoit vos données, en une liste

Ce qui précède est détaillé par fonction. Voici la même chose en une liste, pour que rien ne se perde dans le texte. Aucun autre destinataire n'existe, et vos données ne sont transmises à personne d'autre, à moins qu'une autorité judiciaire ne nous y oblige.

• Supabase héberge la base de données, les photos et l'authentification, sur des serveurs situés à Francfort, dans l'Union européenne.
• Google (Gemini) lit le contenu que vous donnez à importer (y compris, en dernier recours, une vidéo TikTok), et écoute vos dictées. Rien d'autre ne lui est envoyé.
• Google Cloud Run héberge, en Belgique, notre service pour TikTok. Il reçoit l'adresse d'une vidéo à importer, en récupère les sous-titres et, en dernier recours, télécharge la vidéo pour Gemini, sans la conserver.
• PostHog reçoit les statistiques d'usage anonymes de l'application (écrans consultés, quelques étapes de l'inscription), sur des serveurs situés dans l'Union européenne. Il ne reçoit ni votre identité, ni rien de ce que vous écrivez, et vous pouvez le refuser dans les Préférences.
• Meta est interrogé pour récupérer les images d'une publication Instagram que vous importez. Meta reçoit l'adresse de cette publication, pas la vôtre.
• TikTok, Pinterest et YouTube sont interrogés de la même façon, par leurs interfaces publiques, pour le seul lien que vous importez.
• Resend (société Plus Five Five, Inc., aux États-Unis) envoie les e-mails de connexion, depuis ses serveurs situés en Irlande, dans l'Union européenne. Il reçoit votre adresse e-mail et le contenu du message, c'est-à-dire votre code de connexion. Il transmet aussi les messages du formulaire de la page support : il reçoit alors votre adresse e-mail, le sujet et votre message, et votre prénom et le type de téléphone si vous les indiquez.
• Hostinger, établi dans l'Union européenne, héberge notre boîte de messagerie et envoie nos autres courriels de service : bienvenue, arrivée d'un membre, rappel avant le renouvellement. Il reçoit votre adresse et le contenu de ces courriels, ainsi que les messages que vous nous écrivez à cette adresse.
• RevenueCat suit l'état des abonnements Premium, à partir d'un identifiant technique et de l'historique d'achat transmis par votre store.
• Expo distribue les mises à jour de l'application, et voit l'adresse réseau du téléphone qui en vérifie une.
• Vercel héberge le site yumli.fr, et non l'application ni vos données.

Apple et Google interviennent aussi, mais pour leur propre compte et sous leur propre responsabilité : quand vous vous connectez avec votre compte Google ou Apple, quand vous téléchargez l'application, et quand vous achetez ou gérez un abonnement dans leur store. Leurs politiques de confidentialité s'appliquent alors.

Les transferts hors de l'Union européenne. Supabase, Google, Meta, PostHog, RevenueCat, Resend, Expo et Vercel sont des entreprises américaines, ou ont des équipes aux États-Unis : même quand vos données sont hébergées dans l'Union européenne, elles peuvent y être consultées pour la maintenance, et le contenu d'un import peut y être traité. Chacun de ces transferts s'appuie sur l'une des garanties prévues par le RGPD : l'adhésion de l'entreprise au cadre de protection des données entre l'Union européenne et les États-Unis (Data Privacy Framework), ou les clauses contractuelles types de la Commission européenne. Vous pouvez nous en demander une copie par notre formulaire de contact.

Combien de temps

Ce qui vous identifie, votre adresse e-mail et votre prénom, est conservé tant que votre compte existe, et disparaît avec lui.

Ce que contient votre foyer, les repas, les recettes, la liste de courses et le stock, est conservé tant que le foyer existe. Il n'y a pas de suppression automatique : ce que vous écrivez reste disponible aussi longtemps que vous en avez l'usage.

Ces deux durées sont distinctes. Un foyer disparaît avec le compte de son dernier membre ; tant que d'autres y vivent, il reste. La section suivante dit exactement ce qui se passe.

Nous faisons nous-mêmes des copies de sauvegarde de la base, pour pouvoir la restaurer après un incident, et pour rien d'autre. Une donnée effacée peut y figurer encore pendant trente jours, puis elle disparaît avec la sauvegarde.

Supprimer votre compte

La suppression se fait depuis l'application, en bas des Réglages, ou par courriel, comme l'explique la page supprimer votre compte. Depuis l'application, elle est immédiate et définitive. Voici exactement ce qui se passe.

Ce qui disparaît : votre adresse e-mail, votre prénom, votre mascotte, votre appartenance au foyer, vos notes de recettes, l'état de votre abonnement et la trace de ses rappels de renouvellement, votre accord pour l'IA partenaire et, si vous vous connectiez avec Apple, le jeton gardé pour Apple. Les codes d'invitation que vous aviez créés cessent de fonctionner. Le texte de vos dictées est effacé dans les sept jours.

Ce qui reste, sans votre nom : les repas, les recettes, les articles et les plats que vous aviez ajoutés restent dans le foyer, mais ne portent plus votre identifiant. Ils appartiennent au foyer, et les autres membres continuent de s'en servir. C'est le principe même du partage : partir ne doit pas trouer le planning de ceux qui restent.

Si vous êtes le seul membre de votre foyer, le foyer est supprimé avec votre compte, et tout ce qu'il contient avec lui : repas, recettes, notes, courses, stock et photos.

Si vous êtes chef d'un foyer qui compte d'autres membres, le membre arrivé le plus tôt devient chef à votre place (une personne en lecture seule ne l'est que s'il n'y a personne d'autre), pour que le foyer reste utilisable. Vous pouvez aussi choisir vous-même qui vous succède avant de partir, depuis l'écran du foyer.

Les photos que vous avez ajoutées à une recette sont effacées quand cette recette est supprimée, ou quand le foyer l'est. Tant que la recette reste au foyer, sa photo reste avec elle. Supprimez vos recettes avant de partir si vous voulez que leurs photos disparaissent, ou écrivez-nous.

Votre abonnement Premium n'est pas résilié par la suppression du compte : résiliez-le dans les réglages de votre store.

Si vous indiquez une raison de départ, elle est conservée sans aucun lien avec vous : ni votre adresse, ni votre identifiant, ni votre foyer, et la date n'est gardée qu'au jour près pour qu'on ne puisse pas la rapprocher de votre suppression. Elle sert uniquement à comprendre ce qui ne va pas.

Vos droits

Vous disposez sur vos données des droits suivants :

• accès : savoir ce que nous avons sur vous, et en obtenir une copie ;
• rectification : corriger ce qui est faux ;
• effacement : faire supprimer vos données ;
• limitation : en geler l'usage le temps d'une vérification ;
• portabilité : les récupérer dans un fichier ;
• opposition : refuser un usage fondé sur notre intérêt légitime, comme la mesure d'audience ;
• retrait du consentement, quand un usage repose sur lui, à tout moment ;
• directives après votre décès : nous dire ce que doivent devenir vos données après votre mort.

Plusieurs s'exercent directement dans l'application : modifier votre prénom ou votre adresse, supprimer ce que vous avez écrit, refuser la mesure d'audience ou retirer l'accord pour l'IA partenaire dans les Préférences, exporter le contenu du foyer dans un fichier depuis les Réglages, ou supprimer votre compte dans votre profil.

Pour toute autre demande, écrivez-nous par notre formulaire de contact. Nous répondons dans un délai d'un mois, qui peut être prolongé de deux mois pour une demande complexe ; nous vous le dirions alors dans le premier mois. Nous pouvons vous demander de prouver votre identité, en nous donnant dans le formulaire l'adresse de votre compte.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou sur cnil.fr.

La sécurité

Les échanges sont chiffrés, les disques aussi. Chaque table de la base est protégée par des règles qui réservent les données d'un foyer à ses membres. Les jetons les plus sensibles, comme celui d'Apple ou le secret qui sert à l'empreinte de l'appareil, sont rangés dans des tables qu'aucun téléphone ne peut lire. Aucune sécurité n'est parfaite : en cas de violation de données présentant un risque pour vous, nous prévenons la CNIL et, si le risque est élevé, les personnes concernées, comme le RGPD l'impose.

Les enfants

Yumli s'adresse aux adultes qui organisent les repas d'un foyer. Un mineur de moins de quinze ans ne doit pas créer de compte seul : en France, c'est l'âge à partir duquel on peut consentir seul au traitement de ses données en ligne. Un foyer peut comprendre des enfants, invités par son chef. Yumli ne leur demande aucune information supplémentaire et ne leur adresse aucune publicité. Le chef du foyer reste responsable des comptes qu'il y invite.

Les données qui ne viennent pas de vous

Pour ranger vos courses par rayon et vous proposer des articles pendant la saisie, Yumli s'appuie sur Open Food Facts, une base de données collaborative publiée sous licence ODbL. Ces données sont embarquées dans l'application : rien de ce que vous tapez n'est envoyé à Open Food Facts.

Modifications

Si cette politique change, la date en haut de page est mise à jour. Un changement important vous sera signalé dans l'application avant qu'il s'applique.