Politique de confidentialité

1. Responsable du traitement

Au sens de la loi turque n° 6698 sur la protection des données personnelles (la « KVKK »), Foodlex est responsable du traitement des données relatives aux comptes des diététiciens, aux abonnements et aux paiements, ainsi qu'aux visites des pages publiques. Pour les données des patients que les diététiciens enregistrent sur la plateforme, le diététicien est responsable du traitement ; Foodlex est le sous-traitant qui les traite pour son compte et sur ses instructions. Les patients adressent d'abord leurs demandes à leur diététicien ; Foodlex l'aide à y répondre.

2. Données personnelles traitées

Les catégories de données personnelles suivantes sont traitées via notre plateforme :

• Données d'identité : nom complet, date de naissance, sexe
• Coordonnées : adresse e-mail, numéro de téléphone
• Données de santé : taille, poids, indice de masse corporelle, masse grasse, tours de taille et de hanches, problèmes de santé, médicaments, allergies
• Préférences alimentaires : restrictions, aliments préférés, cuisine préférée
• Données financières : données de paiement, traitées via Polar. Nous ne conservons pas les données de carte.
• Données d'utilisation : visites de la plateforme et des pages publiques, événements d'inscription et de confirmation d'e-mail, heures d'accès, page de provenance et informations du navigateur ; les balises Google ne se chargent qu'après votre choix

3. Finalités du traitement

• Fournir aux diététiciens des services de gestion des patients
• Établir des plans alimentaires personnalisés assistés par IA
• Suivi hebdomadaire des progrès et rapports
• Gérer les abonnements et les paiements
• Assurer la sécurité de la plateforme
• Respecter les obligations légales
• Mesurer et améliorer les pages publiques ; les statistiques facultatives ne fonctionnent qu'avec votre consentement

4. Base juridique

Vos données personnelles sont traitées en vertu des articles 5 et 6 de la KVKK, sur les bases suivantes :

• Votre consentement explicite, notamment pour les données de santé et les statistiques facultatives
• La conclusion et l'exécution d'un contrat
• Le respect d'une obligation légale
• Nos intérêts légitimes, à savoir la sécurité de la plateforme

5. Durée de conservation

Les données des patients sont conservées tant que le compte du diététicien est ouvert et qu'il garde le patient dans le système. Quand un diététicien supprime un patient, son dossier, ses mesures et ses plans sont définitivement supprimés. Quand un diététicien ferme son compte, le compte et toutes les données patients liées sont supprimés.

6. Sécurité des données

Les mesures suivantes protègent vos données :

• Les données de santé (problèmes de santé, médicaments, allergies, résultats biologiques) et les coordonnées sont chiffrées avec Fernet (AES-128-CBC + HMAC-SHA256) avant d'être écrites dans la base de données
• Toutes les données en transit sont chiffrées avec TLS
• L'accès à la base de données est restreint par une sécurité au niveau des lignes (RLS)
• Chaque accès aux données et chaque modification sont consignés dans un journal d'audit

6a. Lieu de stockage et transferts internationaux

Les serveurs et la base de données de Foodlex sont hébergés dans l'Union européenne, à Amsterdam (Pays-Bas). Pour fournir le service, vos données personnelles sont transmises aux sous-traitants suivants :

• Railway (Pays-Bas) – hébergement de l'application et de la base de données
• Netlify (États-Unis) – diffusion de l'interface web
• OpenRouter / Google (États-Unis) – établissement des plans alimentaires. Le nom, l'e-mail et le téléphone du patient ne sont pas transmis ; les noms, e-mails et numéros figurant dans des champs de texte libre sont supprimés avant l'envoi. L'âge, le sexe, les mesures et les informations de santé sont traités. Les requêtes ne sont envoyées qu'à des services qui ne conservent pas les données et ne les utilisent pas pour entraîner des modèles (zéro conservation).
• Mailjet (France) – envoi des e-mails
• Polar (États-Unis) – abonnements et paiements. Concerne uniquement les données de facturation du diététicien ; aucune donnée patient n'est transmise.
• Google Tag Manager et Google Analytics (Google) – chargés sur les pages publiques uniquement si vous autorisez les statistiques, pour mesurer les pages vues. Google peut traiter la page visitée, la page de provenance, des informations sur le navigateur et l'appareil et des données de connexion ; des données peuvent être transférées hors de votre pays via l'infrastructure de Google. Ces outils ne se chargent pas sur les pages de connexion, de compte ou de dossiers patients.

Les transferts de données patients nécessaires au service se font sur la base de la notice correspondante et du consentement du patient. Votre choix concernant les statistiques facultatives des pages publiques est recueilli séparément : si vous le refusez, Google Tag Manager ne se charge pas. Vous pouvez modifier votre choix avec le bouton Paramètres de confidentialité en bas de page. Ce choix est distinct du consentement relatif aux données patients.

7. Vos droits

En vertu de l'article 11 de la KVKK, vous disposez des droits suivants :

• Savoir si vos données personnelles sont traitées
• Demander des informations sur ce traitement s'il a eu lieu
• Connaître la finalité du traitement et savoir si les données sont utilisées conformément à celle-ci
• Savoir si les données sont transférées dans le pays ou à l'étranger
• Demander la rectification des données incomplètes ou inexactes
• Demander leur effacement ou leur destruction
• Vous opposer à une décision défavorable prise uniquement par l'analyse automatisée de vos données
• Demander réparation si un traitement illicite vous a causé un préjudice

8. Destinataires des données

Vos données personnelles peuvent être transmises aux parties suivantes par l'intermédiaire de nos prestataires :

• OpenRouter : établissement de plans alimentaires assistés par IA (le nom et les coordonnées du patient ne sont pas transmis ; seuls des services à zéro conservation sont utilisés)
• Polar : traitement des paiements, en tant que marchand officiel
• Mailjet : envoi des e-mails
• Google : Google Tag Manager pour la mesure des pages publiques, seulement si vous l'autorisez

9. Contact

Pour exercer vos droits, contactez-nous par l'un de ces moyens :

E-mail : kvkk@foodlex.co

10. Si vous vous trouvez dans l'Espace économique européen ou au Royaume-Uni

Pour les comptes de diététiciens, Foodlex est aussi responsable du traitement au sens du RGPD et du UK GDPR. Pour les données des patients, le diététicien est responsable du traitement et Foodlex les traite pour son compte en vertu de l'Accord de traitement des données, qui intègre les clauses contractuelles types de l'UE.

Bases juridiques au sens de l'article 6 du RGPD : l'exécution du contrat relatif à votre compte et à votre abonnement (6.1.b) ; le respect d'obligations légales comme la conservation des documents fiscaux (6.1.c) ; notre intérêt légitime à sécuriser la plateforme et à prévenir les abus (6.1.f) ; et votre consentement aux statistiques facultatives (6.1.a), que vous pouvez retirer à tout moment.

Foodlex est exploité depuis la Turquie et certains de ses prestataires sont situés aux États-Unis. Les transferts hors de l'EEE et du Royaume-Uni reposent sur les clauses contractuelles types de la Commission européenne, avec l'UK Addendum pour le Royaume-Uni, ou, lorsque le prestataire est certifié, sur le cadre de protection des données UE–États-Unis.

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation du traitement, de portabilité et d'opposition, ainsi que du droit de retirer votre consentement à tout moment. Écrivez à kvkk@foodlex.co. Vous pouvez aussi introduire une réclamation auprès de l'autorité de protection des données du pays où vous vivez ou travaillez.