Politique de confidentialité

Dernière mise à jour : 15 septembre 2026.

Cette page décrit les données que Calodex enregistre, pourquoi il les enregistre, combien de temps il les garde et ce que vous pouvez exiger. Elle vaut information au sens de l'article 13 du Règlement général sur la protection des données (RGPD).

Les quatre principes qui gouvernent tout le reste

Ces quatre règles sont fondatrices. Elles s'appliquent à tout ce qui suit, et le reste de cette page en est le détail.

1. Vous n'êtes pas obligé d'utiliser votre vraie identité

L'anonymat est accepté et prévu. Un pseudonyme et une adresse e-mail dédiée suffisent pour ouvrir un compte et pour l'utiliser entièrement. Calodex ne demande jamais votre nom réel, votre date de naissance complète, votre téléphone, votre adresse postale ni une pièce d'identité, et votre identité civile n'est pas vérifiée. Le nom que vous affichez est modifiable à tout moment.

La seule limite est technique : l'adresse e-mail doit être confirmée avant l'accès à la plateforme et sert ensuite à récupérer votre compte. Elle doit donc rester valide et accessible.

2. Vos données ne sont jamais revendues

Aucune donnée à caractère personnel n'est vendue, louée, ni cédée à un tiers. Elles ne servent pas à vous profiler pour de la publicité, et elles ne sont partagées ni avec des annonceurs, ni avec des courtiers en données, ni avec des assureurs, ni avec des employeurs. Ce n'est pas une promesse commerciale révisable : si elle devait changer un jour, le changement vous serait annoncé et votre consentement redemandé.

Calodex n'utilise aucun outil de mesure d'audience, aucun traqueur publicitaire et aucun réseau social embarqué.

3. L'intelligence artificielle tourne en France

Les modèles qui analysent vos repas sont hébergés par OVH, en France. Vos photos et vos descriptions ne sont envoyées à aucun fournisseur d'IA américain, et elles ne quittent ni le territoire français ni la juridiction européenne. Elles ne servent jamais à entraîner un modèle.

4. Un projet passion, gratuit pour toujours

Calodex est développé par une personne seule, par passion. Le journal, le suivi du poids et les statistiques sont gratuits et le resteront. Les fonctions d'intelligence artificielle deviendront payantes à terme, parce que l'infrastructure en serveur et en IA coûte cher, et parce qu'un service financé par ses utilisateurs n'a aucune raison de vendre leurs données. Ces fonctions seront proposées aux prix les plus bas du marché, pour couvrir les frais et non pour dégager une marge. Le meilleur tarif ne demandera aucun engagement annuel.

Qui est responsable de vos données

Le responsable du traitement est l'éditeur du site, une personne physique agissant à titre personnel. Son identité et ses coordonnées figurent sur la page mentions légales. Vous pouvez le joindre pour toute question relative à vos données à l'adresse contact@calodex.com.

Le service n'atteint pas les seuils qui rendent obligatoire la désignation d'un délégué à la protection des données. Vos demandes sont donc traitées directement par l'éditeur.

Les données enregistrées

Votre compte

Rien dans cette liste n'exige votre identité réelle, conformément au premier principe. Un pseudonyme et une adresse dédiée suffisent.

votre adresse e-mail ;
le nom que vous choisissez d'afficher, réel ou non ;
votre mot de passe, jamais en clair : seule une empreinte scrypt est enregistrée, et elle ne permet pas de retrouver le mot de passe ;
si vous utilisez la connexion Google, l'identifiant stable que Google attribue à votre compte. Ni votre nom Google, ni votre photo, ni aucun jeton d'accès ne sont conservés ;
si vous vous êtes inscrit avec un code de campagne, le code employé. Il indique par quelle opération vous nous avez connus, et rien d'autre.

Votre profil

sexe, année de naissance et hauteur, qui servent à calculer votre métabolisme de base ;
votre niveau d'activité, votre objectif de déficit calorique et votre poids cible ;
le pseudonyme public de votre profil et son niveau de visibilité, si vous choisissez de le partager ;
vos liens d'amitié dans l'application : les invitations, les amitiés acceptées et les bravos échangés. Vous réglez domaine par domaine et ami par ami la régularité, les succès, les repas et le poids. Le poids n'est jamais partagé par défaut. Les calories du jour sont partagées avec chaque ami accepté, sans réglage possible.

Votre journal alimentaire

la date et l'heure de chaque repas, son titre et la description libre que vous écrivez ;
chaque aliment du repas : son libellé, son poids, ses calories et ses macronutriments, la source qui a fourni ces valeurs, et le cas échéant le code-barres du produit ou le code de l'aliment dans la table Ciqual ;
les photos de repas que vous envoyez ;
vos pesées, à raison d'une valeur par jour ;
votre tour de taille, si vous le mesurez, à raison d'une valeur par jour.

Les photos sont ré-encodées à la réception. Ce ré-encodage supprime l'intégralité des métadonnées du fichier d'origine, les coordonnées GPS et les données EXIF comprises. Une photo prise avec un téléphone n'apporte donc au serveur ni le lieu ni le modèle d'appareil.

Données techniques

vos sessions ouvertes : date de création, date d'expiration, dernière activité, navigateur utilisé, et une empreinte de votre adresse IP. L'adresse elle-même n'est pas enregistrée ;
le compte des tentatives de connexion échouées, qui sert à bloquer les attaques par essais successifs ;
à l'inscription, une empreinte irréversible de l'adresse IP conservée pendant une heure, un champ leurre invisible et la durée de remplissage du formulaire. Le champ leurre bloque les soumissions automatisées évidentes ; une durée très courte produit seulement un signal technique et ne bloque jamais à elle seule ;
un journal des actions d'administration, par exemple l'envoi ou le retrait d'une invitation ;
la file des e-mails de service en attente d'envoi ;
le coût de chaque appel au modèle d'analyse : modèle utilisé, nombre de jetons et prix. Ces lignes ne contiennent ni le texte de votre repas, ni vos photos.
l'enregistrement de chaque analyse, décrit dans la section suivante. Celui-là contient bien le texte de votre repas et vos photos.

L'enregistrement des analyses

Chaque fois que vous demandez une analyse, Calodex garde ce que l'analyse a lu et ce qu'elle a répondu. Cet enregistrement contient :

la description que vous avez écrite, et les codes-barres que vous avez scannés ;
la copie des photos que le modèle a lue. C'est une seconde copie, à une taille différente de celle affichée dans votre journal, parce que c'est celle qui a été envoyée au modèle ;
l'enregistrement audio, si vous avez dicté, et le texte que la transcription a renvoyé avant votre correction ;
le raisonnement du modèle, chaque recherche faite dans les bases d'aliments et ce que chaque recherche a répondu ;
la liste d'aliments proposée, la liste que vous avez validée, et laquelle des deux vous avez choisie.

Deux raisons à cela. La première : quand une analyse se trompe, c'est la seule façon de comprendre pourquoi. Le modèle ne donne pas deux fois la même réponse, donc une analyse qui n'a pas été enregistrée ne peut pas être rejouée. La seconde : comparer ce que le modèle a proposé à ce que vous avez validé est ce qui permet de vérifier qu'une nouvelle version fait mieux, sur de vrais repas plutôt que sur des exemples inventés.

Ces enregistrements ne sont ni vendus, ni partagés, ni publiés. Ils ne servent qu'à corriger et à mesurer Calodex. Ils ne quittent pas le serveur, sauf pour l'appel au modèle chez OVH en France, qui est le même appel que celui de l'analyse elle-même.

Vous pouvez refuser. Le réglage « Garder mes analyses pour améliorer l'app » est dans vos réglages. Décoché, plus rien n'est enregistré sur vos analyses, et une erreur d'identification sur votre compte ne peut plus être expliquée. Supprimer votre compte supprime aussi tous ces enregistrements, immédiatement.

Pourquoi ces données, et sur quelle base légale

Fournir le service (article 6.1.b du RGPD, exécution du contrat): Tenir votre compte, afficher votre journal, calculer vos statistiques et vous envoyer les e-mails de service comme une invitation, une réinitialisation de mot de passe ou, une seule fois, un rappel si vous n'avez encore ajouté aucun repas le lendemain de votre inscription. Ce rappel se désactive dans le réglage « Annonces de Calodex » de vos réglages.
Traiter des données de santé (article 9.2.a du RGPD, consentement explicite): Votre poids, votre tour de taille, votre alimentation et vos photos de repas renseignent votre état de santé. Le RGPD les classe parmi les données sensibles, et leur traitement repose sur votre consentement explicite. Ce consentement est recueilli à la création du compte, en cochant une case qui n'est pas pré-cochée et sans laquelle le compte ne peut pas être créé. La date de création du compte fait foi de la date du consentement. Vous pouvez le retirer à tout moment en demandant la suppression de votre compte, sans que cela remette en cause la licéité du traitement passé.
Corriger et mesurer l'analyse (article 6.1.f du RGPD, intérêt légitime): Garder l'enregistrement de chaque analyse, décrit plus haut. L'intérêt poursuivi est la correction d'un service qui se trompe encore, et la vérification qu'une nouvelle version fait mieux. Le réglage « Garder mes analyses pour améliorer l'app » est le droit d'opposition prévu par l'article 21, exerçable en une case à décocher et sans justification. Les photos de repas relèvent aussi de l'article 9.2.a ci-dessus, et le consentement recueilli à la création du compte couvre leur conservation ; le décochage arrête les deux.
Sécuriser le service (article 6.1.f du RGPD, intérêt légitime): Limiter les tentatives de connexion et les inscriptions à une par heure et par adresse IP, utiliser le champ leurre et la durée de saisie, conserver l'empreinte des adresses IP et journaliser les actions d'administration. L'intérêt poursuivi est la protection des comptes, et les données employées sont réduites à des empreintes plutôt qu'à des valeurs lisibles.

Qui reçoit ces données

Calodex fait appel à un petit nombre de prestataires, chacun pour une tâche précise. Aucun d'eux n'est autorisé à utiliser vos données pour son propre compte.

OVH SAS — hébergement, en France: Le serveur, la base de données et les photos sont hébergés en France par OVH. Les sauvegardes restent sur ce même serveur.
OVH AI Endpoints — analyse des repas, en France: Quand vous demandez l'analyse d'un repas, la photo et le texte que vous avez écrits sont envoyés au modèle d'intelligence artificielle hébergé par OVH, qui renvoie une estimation. Ni votre adresse e-mail, ni votre identifiant de compte ne sont transmis avec la demande, et le modèle ne reçoit donc jamais de quel compte vient une photo. C'est le troisième principe énoncé plus haut : aucune analyse ne part chez un fournisseur d'IA hors d'Europe.
Open Food Facts — recherche de produits: Pour retrouver un produit emballé, le serveur envoie à Open Food Facts un nom de produit ou un code-barres. Aucune donnée vous concernant n'accompagne cette requête, et Open Food Facts ne sait pas qui a posé la question.
Google — connexion, uniquement si vous la choisissez: La connexion Google est facultative. Si vous l'utilisez, l'échange d'authentification passe par Google, ce qui implique un transfert hors de l'Union européenne encadré par le cadre de protection des données UE–États-Unis. Calodex ne demande que les portées openid et email. Si vous vous connectez par mot de passe, Google ne reçoit rien.
OVH — envoi des e-mails, en France: Les e-mails de service partent par la solution de messagerie MX Plan d'OVH, hébergée dans les centres de données d'OVH en France. Ce prestataire reçoit votre adresse e-mail et le contenu du message envoyé, c'est-à-dire une invitation ou un lien de réinitialisation.

L'hébergement, l'analyse des repas et l'envoi des e-mails reposent donc sur un seul prestataire, OVH, et sur des serveurs situés en France.

La table Ciqual de l'ANSES est embarquée dans le site sous forme de fichier. Elle n'est jamais interrogée à distance, et consulter un aliment n'envoie donc aucune requête à l'ANSES.

Combien de temps ces données sont gardées

Compte, profil et journal alimentaire: Jusqu'à la suppression de votre compte, que vous déclenchez vous-même depuis vos réglages.
Compte dont l'adresse e-mail n'a pas été validée: Jusqu'à l'expiration du dernier lien de validation, valable 48 heures. Passé ce délai, le compte et les données associées sont effacés par le passage automatique suivant. Demander un nouveau lien avant l'expiration reporte ce délai.
Compteur anti-abus d'inscription: Une heure. Il contient une empreinte de l'adresse IP, jamais l'adresse lisible.
Compte resté vide et inactif: 22 jours. Un compte qui n'a jamais rien enregistré et qui n'a pas été ouvert depuis 15 jours reçoit un e-mail annonçant sa fermeture. Un rappel suit deux jours avant l'échéance, et le compte est supprimé 7 jours après le premier message. Un dernier e-mail vous le confirme. Une seule connexion pendant ce délai annule la suppression, et le compte repart alors pour 15 jours. Un compte qui contient un repas, un plat, une pesée, une mesure ou une activité n'est jamais supprimé de cette façon, quelle que soit son ancienneté. La suppression efface les mêmes données que celle que vous déclenchez vous-même : il en reste la trace dans notre journal d'administration, et le dernier e-mail dans notre journal d'envoi.
Repas supprimés: 7 jours. Un repas supprimé rejoint une corbeille, affichée sur la journée concernée, d'où vous pouvez le restaurer. Un ami à qui vous avez confié la gestion de votre journal peut lui aussi en supprimer : le repas rejoint la même corbeille, la ligne indique qui l'a supprimé, et vous en êtes prévenu. Passé ce délai, le repas, ses aliments et les photos de votre journal sont effacés définitivement. L'enregistrement de l'analyse, lui, est gardé : il contient la copie envoyée au modèle, et c'est justement un repas supprimé qui apprend le plus sur une erreur. La suppression de votre compte efface les deux immédiatement.
Enregistrement des analyses: Jusqu'à la suppression de votre compte, sans autre limite pour l'instant. Calodex est en construction et ces enregistrements sont ce qui permet de le corriger. Si un délai devait être fixé un jour, il serait écrit ici. Le réglage « Garder mes analyses pour améliorer l'app » arrête l'enregistrement quand vous le décochez, et supprimer votre compte supprime tout ce qui a déjà été gardé.
Sessions: 365 jours au maximum, ou jusqu'à leur révocation depuis la page Mon compte.
Sauvegardes de la base: 14 jours. Une suppression de compte disparaît donc des sauvegardes au plus tard 14 jours après avoir été exécutée.
Invitations et liens de réinitialisation: Jusqu'à leur date d'expiration.

Décisions automatisées

L'estimation des calories d'un repas est produite par un modèle automatique, mais elle ne constitue pas une décision au sens de l'article 22 du RGPD : elle ne produit aucun effet juridique et vous la corrigez vous-même. Aucun repas n'est comptabilisé avant que vous l'ayez validé sur l'écran de vérification, où chaque aliment, chaque poids et chaque valeur reste modifiable.

Une estimation reste une estimation. Calodex n'est pas un dispositif médical et ne remplace pas l'avis d'un professionnel de santé.

Cookies

Le site dépose deux cookies, tous deux strictement nécessaires à son fonctionnement :

un cookie de session, qui vous maintient connecté. Il expire au bout de 365 jours ou à la déconnexion ;
un cookie temporaire pendant une connexion Google, qui protège l'échange contre la falsification et disparaît dès la fin de la connexion.

Aucun cookie publicitaire ni de mesure d'audience n'est déposé. C'est pourquoi le site ne vous demande pas votre consentement à des cookies : la loi ne l'exige pas pour un cookie strictement nécessaire, et il n'y en a pas d'autre.

Vos droits

Le RGPD vous donne, sur vos données, les droits suivants :

Accès : obtenir une copie des données vous concernant.
Rectification : corriger une donnée inexacte.
Effacement : demander la suppression de votre compte et de son contenu.
Portabilité : recevoir vos données dans un format lisible par une machine.
Limitation et opposition : demander le gel d'un traitement ou vous y opposer.
Retrait du consentement : à tout moment, pour les données de santé, sans effet sur les traitements déjà effectués.

Deux d'entre eux s'exercent en un clic

L'accès, la portabilité et l'effacement ne demandent ni courrier ni délai. Les deux boutons sont dans vos réglages, en bas de la page, sous « Vos données ».

Exporter mes données: Télécharge une archive ZIP contenant un fichier donnees.json et vos photos de repas. Le JSON couvre votre compte, votre profil, vos repas et leurs aliments, vos pesées, vos mesures de tour de taille, vos plats enregistrés et vos succès. C'est un format lisible par n'importe quel programme, ce que l'article 20 du RGPD appelle un format structuré et couramment utilisé.
Supprimer mon compte: Efface définitivement le compte, le profil, les repas, les aliments, les pesées, les mesures de tour de taille, les plats, les succès et les fichiers photos sur le disque. L'effacement est immédiat et il n'y a pas de corbeille. Le bouton demande votre mot de passe et une confirmation, parce que rien ne peut être annulé ensuite. Les sauvegardes de la base qui contiennent encore ces données sont supprimées au plus tard 14 jours après.

Deux traces survivent volontairement à une suppression, et aucune ne vous nomme. Le registre des coûts d'analyse garde le prix des appels déjà facturés, sans référence à votre compte. Le journal d'administration garde la trace d'une action d'administrateur, également sans référence à votre compte.

Les autres droits, la rectification, la limitation et l'opposition, s'exercent par e-mail à contact@calodex.com, avec une réponse sous 30 jours au plus.

Si une réponse ne vous satisfait pas, vous pouvez saisir la Commission nationale de l'informatique et des libertés, cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.

Ce que voient les autres utilisateurs

Votre journal est privé par défaut. Il ne devient visible que si vous activez vous-même le partage de votre profil, et vous choisissez alors entre deux niveaux : les statistiques seules, ou le profil complet avec les noms de repas et les photos.

Un ami est une relation acceptée des deux côtés, à partir d'un code échangé en dehors de l'application. Ce qu'un ami voit de vous se règle domaine par domaine : régularité, succès, repas du jour, calories, poids. Par défaut, un ami voit votre régularité et vos succès, et ne voit ni votre poids ni vos calories. Vous pouvez restreindre ou élargir chaque domaine pour un ami précis, suspendre tout le partage d'un interrupteur, ou retirer un ami à tout moment.

Modification de cette page

Cette politique peut évoluer avec le service. La date en haut de page indique la dernière modification, et tout changement qui réduirait la protection de vos données vous serait annoncé par e-mail avant son entrée en vigueur.