Politique de confidentialité

MaFamilly ne vit pas de vos données. Aucune régie publicitaire, aucun traceur d’un autre éditeur, aucune revente : le modèle économique est l’abonnement, pas l’exploitation de ce que contient votre foyer.

Une chose est mesurée, et il vaut mieux la lire ici que la découvrir : l’audience du site public — quelles pages sont lues, d’où viennent les visites, à quelle étape on s’arrête. Nous la comptons nous-mêmes, sur notre serveur, sans rien écrire ni lire sur votre appareil. Elle ne touche jamais au contenu d’un foyer, et en aucun cas au carnet de santé ni aux profils alimentaires. Tout est détaillé plus bas.

GL Digital (Lusty Goset), entreprise personne physique, BCE 1041.371.313, Rue Ivienne 29, 6511 Strée, Belgique. Contact : support@mafamilly.app.

Compte — nom, adresse e-mail, mot de passe (stocké sous forme d’empreinte, jamais en clair), préférences de thème, de langue et de notifications.

Contenu du foyer — ce que vous y écrivez : membres, événements d’agenda, repas, recettes, stocks, listes de courses, tâches, animaux, biens, véhicules, documents joints et photos.

Carnet de santé — si vous l’utilisez : actes médicaux et leurs dates, prochaines échéances, praticien, mesures suivies et traitements, pour chaque membre. Ce sont des données de santé, et elles sont traitées comme telles : elles ne sont visibles que du membre concerné et de qui détient l’autorisation de consultation dans le foyer, elles ne quittent jamais l’application, et elles ne figurent pas dans l’export du foyer. Elles ne sont enregistrées qu’avec votre consentement explicite (voir « Bases légales »).

Profils alimentaires — goûts, régimes et allergies des membres. Les allergies et intolérances sont des données de santé : elles relèvent du même consentement explicite que le carnet. Toutes ces informations servent uniquement à filtrer les suggestions de repas, ne sont visibles que dans votre foyer, et ne quittent jamais l’application.

Invitations — l’adresse e-mail de la personne que vous invitez dans votre foyer, même si elle n’a pas encore de compte. Elle sert à lui envoyer le lien d’invitation et n’est conservée qu’avec l’invitation elle-même, qui expire.

Tirages au sort — les prénoms des participants, que l’organisateur encode, et les idées de cadeaux qu’ils ajoutent par leur lien personnel. Les participants n’ont pas de compte : aucune adresse, aucun numéro ne leur est demandé, et nous ne leur écrivons jamais — c’est l’organisateur qui leur transmet leur lien. Ce lien cesse de fonctionner 60 jours après la date de l’échange ; le tirage reste dans le foyer, qui peut le supprimer à tout moment.

Journal d’activité — qui a fait quoi dans le foyer, pour que les actions restent explicables entre membres et que les opérations sensibles soient traçables.

Technique — sessions de connexion et, si vous les activez, abonnements aux notifications push. Une session enregistre le navigateur que votre appareil déclare (son « user-agent ») ; elle n’enregistre pas votre adresse IP — nous avons désactivé cette collecte, qui était activée par défaut par notre système d’authentification et dont nous n’avions aucun usage.

Audience du site public — les visites de la vitrine et les étapes du parcours d’abonnement, décrites en détail à la section « Mesure d’audience ». Ces lignes sont anonymes : elles ne portent ni votre nom, ni votre adresse e-mail, ni le contenu de votre foyer, et elles vivent dans des tables séparées de celles de l’application.

L’exécution du contrat pour tout ce qui fait fonctionner le service (compte, contenu du foyer, abonnement). Votre consentement pour les notifications push, la lettre d’information et la connexion facultative à MaCompta — chacun retirable à tout moment sans conséquence sur le reste. L’intérêt légitime pour la sécurité : journal des opérations sensibles, limitation des tentatives abusives et vérification anti-robots à l’inscription.

Une obligation légale (article 6.1.c du RGPD) pour les pièces de facturation — factures, paiements, remboursements, demandes de rétractation — que le droit comptable et fiscal belge impose de conserver.

L’intérêt légitime, également, pour la mesure d’audience du site public (article 6.1.f du RGPD) : connaître l’audience de son propre site. Vous pouvez vous y opposer sans avoir de compte et sans nous écrire, et la façon de faire est décrite plus bas.

Personne, par défaut. Vos données restent sur le serveur qui héberge l’application (OVH SAS, en France). Seuls les documents d’un foyer qui a pris une option de stockage sont conservés ailleurs, chiffrés, chez Hetzner Online GmbH en Allemagne (voir plus bas). Les exceptions sont listées ici, et toutes sont déclenchées par vous :

— Notifications push : si vous les activez, le titre et le texte de la notification transitent par le service de votre navigateur (Google, Mozilla ou Apple selon le cas). C’est le fonctionnement même du push web. Les notifications internes à l’application, elles, ne sortent pas.

— Scan de code-barres : le code scanné est envoyé à Open Food Facts pour retrouver le produit. Seul le code part, jamais votre identité ni le contenu de vos stocks.

— Connexion MaCompta : si vous la configurez, le montant, la date, l’enseigne et une catégorie de dépense d’une sortie courses peuvent être envoyés à votre compte MaCompta, sur confirmation explicite à chaque fois.

— Paiement : si vous vous abonnez, votre adresse e-mail et l’identifiant de votre foyer sont transmis à Stripe Payments Europe, qui traite le paiement pour le compte de GL Digital. Vous saisissez directement chez Stripe votre moyen de paiement, votre nom, votre adresse de facturation et, si vous le souhaitez, votre numéro de TVA : ils figurent sur vos factures. Aucune donnée de carte ne transite par MaFamilly.

— Assistant en langage naturel (facultatif) : si vous l’activez — chaque membre décide pour lui-même, par une case à cocher —, le texte de vos demandes, la date du jour, les prénoms des membres du foyer et, quand c’est utile pour répondre, les éléments concernés (titres d’événements, repas, tâches, noms de recettes de la période demandée) sont transmis à Anthropic, entreprise établie aux États-Unis, qui les traite pour le compte de GL Digital. Aucune donnée de santé ni aucun document n’est transmis. Selon ses conditions commerciales, Anthropic n’utilise pas ces données pour entraîner ses modèles et les efface dans les 30 jours, sauf signalement par ses contrôles de sécurité ou obligation légale. MaFamilly ne conserve pas le texte des demandes, seulement leur nombre et leur coût. L’accord se retire à tout moment depuis le panneau de l’assistant.

— Protection contre les robots : à l’inscription, un défi Cloudflare Turnstile vérifie qu’un humain remplit le formulaire. Cloudflare, qui agit pour notre compte, reçoit pour cela votre adresse IP et des informations techniques sur votre navigateur, le temps de la vérification ; il ne reçoit ni votre nom, ni votre adresse e-mail, ni votre mot de passe.

— Connexion avec Google : si vous choisissez ce mode de connexion, Google vous identifie et nous transmet votre adresse e-mail et votre nom. Vous pouvez vous en passer entièrement en créant un compte par adresse et mot de passe.

— Envoi de nos courriels : réinitialisation de mot de passe, invitation à rejoindre un foyer, confirmation d’abonnement, échec de paiement, réponse à une demande d’aide. Ces messages partent par le service de messagerie d’OVH, qui héberge déjà l’application : l’adresse du destinataire et le contenu du message y transitent le temps de la remise. Aucun autre prestataire d’envoi n’intervient — pas de plateforme d’emailing, pas de régie, pas de pixel de suivi dans nos messages.

— Sauvegardes hors site : une copie de la base et des documents déposés part chaque nuit chez Cloudflare R2, pour que la perte du serveur principal ne soit pas la perte de vos données. Les archives sont chiffrées avant d’être envoyées (AES‑256) et la clé de déchiffrement n’est jamais transmise : Cloudflare ne détient qu’un fichier illisible pour lui. Ces copies sont conservées 30 jours, puis supprimées automatiquement.

— Options de stockage : les documents des foyers qui ont pris une option d’espace supplémentaire (« +200 Go » ou « Full 2 To ») sont stockés chez Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Allemagne, dans son centre de données de Falkenstein (Allemagne). Une copie de secours en est conservée chez un second prestataire, pour qu’une panne ou la fermeture d’un compte chez l’un ne fasse rien perdre : Cloudflare, Inc. (service R2), qui la reçoit chaque nuit. Un document supprimé y est conservé 90 jours, puis effacé automatiquement. Chaque fichier y est chiffré avant d’être envoyé (AES‑256) et la clé n’est jamais transmise : ces prestataires ne détiennent que des fichiers illisibles pour eux.

— Transferts hors de l’Union européenne : Cloudflare, Inc. est une société établie aux États-Unis. Lorsqu’un transfert de données vers les États-Unis peut avoir lieu, il s’appuie sur la décision d’adéquation de la Commission européenne relative au cadre de protection des données UE–États-Unis (« Data Privacy Framework ») pour les sociétés qui y sont certifiées, et/ou sur les clauses contractuelles types adoptées par la Commission, intégrées à leurs conditions de traitement des données (articles 44 et suivants du RGPD). Les sauvegardes et les documents qui leur sont confiés sont chiffrés avant l’envoi : ils ne reçoivent pas le contenu en clair.

Les fichiers que vous déposez — ordonnances, papiers d’identité, factures — sont chiffrés sur le disque du serveur et dans les sauvegardes. Un disque récupéré, une copie de volume oubliée ou un accès au dépôt de sauvegardes ne donnent donc rien de lisible.

En revanche, la clé de déchiffrement vit sur le serveur, parce que l’application doit pouvoir vous rendre vos fichiers sans vous en redemander une. Cela signifie que l’éditeur conserve la possibilité technique d’y accéder. Il ne le fait pas dans le cadre de l’exploitation courante, et aucun écran d’administration n’ouvre ni ne liste vos documents : la seule information qui y figure est le volume occupé par votre foyer. Nous préférons l’écrire plutôt que de laisser entendre le contraire.

Avec une option de stockage (« +200 Go » ou « Full 2 To »), les documents du foyer ne sont plus conservés sur le serveur de l’application mais chez Hetzner Online GmbH, en Allemagne, avec une copie de secours chez Cloudflare (voir « Qui reçoit vos données »). Chaque fichier est chiffré (AES‑256) avant de quitter le serveur ; la clé reste sur le serveur de l’application et n’est jamais transmise à ces prestataires. Les documents déposés avant la prise de l’option y sont déplacés en arrière-plan, fichier par fichier, et le fichier d’origine n’est effacé qu’une fois sa copie distante vérifiée.

Quand l’option prend fin, rien n’est effacé et rien n’est rapatrié : les documents restent où ils sont, consultables et téléchargeables. Au-delà des 5 Go inclus dans l’abonnement, le drive passe en lecture seule jusqu’à ce que le foyer repasse sous cet espace ou reprenne une option. Ils sont effacés, comme tous les autres, avec le foyer ou sur votre demande.

Chaque requête à la base de données est filtrée par foyer au niveau de l’infrastructure, pas au cas par cas dans le code. Un membre d’un foyer ne peut pas atteindre les données d’un autre, même en modifiant un identifiant dans une adresse — c’est vérifié automatiquement à chaque livraison.

Les données du foyer sont conservées tant que le foyer existe. Une session de connexion expire au bout de 30 jours d’inactivité. Un élément supprimé reste récupérable 30 jours dans la corbeille ; il n’est ensuite plus proposé à la restauration, et il est effacé définitivement avec le foyer, ou plus tôt sur simple demande.

Supprimer un foyer (Paramètres, par son propriétaire) le rend immédiatement inaccessible à tous ses membres. Il est ensuite effacé définitivement 30 jours plus tard, par une tâche automatique quotidienne, avec tout ce qu’il contient, documents compris. Les sauvegardes chiffrées qui en gardent une copie disparaissent au plus tard 30 jours après, à leur propre échéance ; pour les documents d’un foyer à option de stockage, la copie de secours disparaît au plus tard 90 jours après.

Supprimer votre compte : écrivez-nous depuis l’adresse du compte à support@mafamilly.app. Nous le supprimons dans un délai d’un mois au plus, avec vos appartenances aux foyers ; un foyer dont vous êtes propriétaire est supprimé avec lui, sauf si vous en transférez d’abord la propriété à un autre adulte. Un abonnement en cours doit être résilié avant, depuis Paramètres › Abonnement.

Pièces de facturation : factures, paiements, remboursements et demandes de rétractation sont conservés 7 ans à compter de la fin de l’exercice auquel ils se rapportent, comme l’impose le droit comptable belge — y compris après la suppression du foyer ou du compte. Ils ne servent qu’à cette obligation.

Les données de mesure d’audience suivent des durées qui leur sont propres, décrites à la section qui leur est consacrée : trente jours pour les enregistrements bruts, treize mois pour la ligne qui résume une visite — qui ne porte aucune empreinte —, puis des totaux par jour qui n’en portent pas davantage.

Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. La plupart s’exercent directement dans l’application : chaque écran permet de corriger ou de supprimer, et la corbeille rattrape les erreurs. Le droit d’opposition à la mesure d’audience s’exerce sans compte et sans nous écrire — voir la section qui lui est consacrée. Pour tout le reste, écrivez à support@mafamilly.app.

Si notre réponse ne vous satisfait pas, vous pouvez saisir l’Autorité de protection des données (Rue de la Presse 35, 1000 Bruxelles — autoriteprotectiondonnees.be).

MaFamilly mesure l’audience de son site public : les pages consultées, la provenance des visites, et quelques gestes du parcours d’abonnement — la création d’un compte, celle du foyer, la fin de la mise en route, l’ouverture d’un paiement, la souscription et sa fin. C’est ce qui permet de savoir combien de personnes viennent, ce qu’elles lisent, et à quelle étape elles s’arrêtent.

Cette mesure n’écrit ni ne lit rien sur votre appareil : aucun cookie de mesure, aucun stockage local, aucun stockage de session. Tout se passe sur notre serveur. C’est aussi pourquoi aucun bandeau de consentement ne vous est présenté : il n’y a rien à déposer chez vous, donc rien à vous faire accepter.

Pour ne pas compter dix fois la même personne, le serveur calcule une empreinte technique à partir de votre adresse IP, du navigateur que votre appareil déclare, et d’un secret tiré au hasard qui change toutes les 24 heures. Seule cette empreinte est enregistrée : l’adresse IP n’est pas conservée. Le lendemain, le secret a changé : votre empreinte n’est plus la même, et vous êtes compté comme un nouveau visiteur. Elle vous distingue donc des autres visiteurs pendant une journée, et pas au-delà — ni pour reconstituer un historique de navigation, ni pour vous relier à une personne.

Deux précisions, plutôt qu’un arrondi. La clé maîtresse qui entre dans ce calcul ne figure jamais dans la base de données : elle vit dans la configuration du serveur, et la sauvegarde de la nuit n’en emporte donc pas de copie. Et le secret de la veille n’est pas détruit à minuit, mais par le nettoyage de la nuit suivante : tant qu’il existe, quelqu’un qui détiendrait à la fois notre base et cette clé pourrait vérifier qu’une adresse IP donnée correspond à une empreinte de ce jour-là. Passé ce délai, plus personne ne le peut, et c’est définitif.

De votre navigation, sont enregistrés :

— la page consultée ;

— la provenance de la visite : le site qui vous a envoyé, tel qu’il choisit de se déclarer, et les paramètres de campagne présents dans l’adresse (utm_source, utm_medium, utm_campaign, utm_content, utm_term) ;

— la famille d’appareil (ordinateur, téléphone, tablette), celle du navigateur et celle du système : « Firefox sur Android », jamais « Firefox 142.0.1 sur Android 14 ». Le numéro de version n’est pas enregistré, parce qu’un numéro de version précis sert d’abord à reconnaître un appareil ;

— les gestes du parcours d’abonnement cités plus haut, et quelques étapes de prise en main une fois le compte créé : le foyer a été créé, la mise en route a été terminée. Seul le fait est enregistré, jamais son contenu ;

— l’empreinte technique du jour et l’horodatage ;

— un identifiant technique de visite, tiré au hasard par notre serveur et rendu à votre navigateur, qui relie entre elles les pages d’une même visite. Il vit dans la mémoire de l’onglet et n’est jamais écrit sur votre appareil : ce n’est pas un cookie, il ne vous suit pas d’un site à l’autre, il ne désigne personne, et il disparaît avec l’onglet.

Une ligne par visite, conservée treize mois. Ce même identifiant ouvre, à votre arrivée, une ligne qui résume la visite : le jour, la page par laquelle vous êtes entré, le site qui vous a envoyé — son nom de domaine seulement, jamais l’adresse complète, qui peut porter la recherche que vous avez tapée —, les paramètres de campagne s’il y en a, puis la date des étapes franchies ensuite, jusqu’à un éventuel abonnement. Elle est ouverte pour toute visite, même celle qui lit une page et repart, et elle ne porte ni empreinte, ni adresse IP, ni navigateur déclaré. Elle ne porte l’identifiant d’un foyer et les références Stripe que si un abonnement a effectivement suivi. C’est ce qui permet de savoir, des mois plus tard, quelle campagne a mené à quel abonnement.

La limite, en toutes lettres. Les gestes écrits pendant que vous êtes devant l’écran — créer un compte, vous connecter, créer votre foyer, terminer la mise en route, ouvrir un paiement — portent à la fois l’empreinte du jour et l’identifiant du foyer concerné : c’est ce qui permet de savoir qu’une visite a mené à une inscription. Ce jour-là, donc, les pages publiques lues depuis la même adresse et le même navigateur peuvent être rapprochées de votre compte, et elles le restent tant que ces lignes existent — au plus tard jusqu’à leur suppression, dont la durée est donnée plus bas. Le lendemain, l’empreinte a changé : le rapprochement ne s’étend ni à la journée suivante, ni aux précédentes. En dehors de ces gestes, une page de la vitrine ne porte jamais votre foyer, même si vous êtes connecté au moment où vous la lisez.

Ce qui n’y entre jamais. Rien de ce que contient votre foyer : aucun membre, aucun événement d’agenda, aucun repas, aucune recette, aucun stock, aucune liste de courses, aucune tâche, aucun document, aucune photo. Et en aucun cas — nous l’écrivons parce que c’est ce qu’un parent veut lire — le carnet de santé ni les profils alimentaires : ni leur contenu, ni le fait de les avoir ouverts, ni un total qui en serait tiré. La mesure porte sur la vitrine et sur le parcours d’abonnement, jamais sur ce que vous écrivez dans l’application.

Durée de conservation. Les enregistrements bruts, empreinte comprise, sont supprimés au bout de 30 jours par une tâche automatique quotidienne, et au plus tard au 37e jour. Ces sept jours de plus sont un sursis, et nous préférons annoncer le pire cas que la moyenne : la tâche refuse d’effacer une journée dont le total n’a pas encore pu être calculé, parce que l’effacer reviendrait à perdre cette journée pour de bon. Ce refus a une fin : passé le sursis, la journée est effacée même sans son total. Garder une empreinte indéfiniment serait plus grave que perdre un chiffre. La ligne qui résume une visite, elle, est conservée treize mois, et tant que vit l’abonnement auquel elle a mené — elle ne porte aucune empreinte. Ne subsistent ensuite que des totaux par jour — nombre de visiteurs, de pages vues, d’inscriptions — qui ne portent plus aucune empreinte ni aucun identifiant, et qui sont conservés sans limite de durée.

Vous y opposer, sans compte et sans nous écrire. Si votre navigateur émet un signal de refus de suivi — Do Not Track ou Global Privacy Control — notre serveur le lit avant toute écriture et n’enregistre alors rien de votre navigation : ni empreinte, ni page, ni provenance. Pas même une ligne indiquant que vous vous êtes opposé, puisque l’écrire serait déjà écrire quelque chose sur vous. Ce réglage se trouve dans les préférences de confidentialité de la plupart des navigateurs, ou dans une extension qui l’émet pour vous. Cela vaut aussi au moment de payer : refuser d’être compté n’est pas refuser de s’abonner, et nous perdons seulement de savoir ce qui vous a fait venir. Vous pouvez également nous écrire à support@mafamilly.app.

Ce que ce signal ne peut pas faire, et il vaut mieux l’écrire : il ne concerne que ce qui part de votre navigateur. Si vous devenez abonné, notre serveur enregistre le fait qu’un abonnement a été créé, renouvelé ou résilié — nous en avons besoin pour tenir nos propres comptes. Ces lignes-là ne portent ni empreinte, ni page consultée, ni provenance.

Tous les cookies déposés par MaFamilly sont strictement nécessaires au fonctionnement du service : sans eux on ne peut ni rester connecté, ni terminer une connexion à un service externe. Aucun cookie publicitaire, aucun cookie de mesure d’audience — la mesure décrite plus haut fonctionne entièrement sans cookie. La liste est exhaustive, et le mot est pesé :

— __Secure-better-auth.session_token : vous maintient connecté. Durée : 30 jours sans utilisation, prolongée par l’activité.

— __Secure-better-auth.session_data : garde quelques minutes le résultat de la vérification de session, pour éviter d’aller le redemander à la base à chaque page. Durée : 5 minutes.

— google_calendar_state : n’existe que pendant l’autorisation de la synchronisation Google Agenda, si vous la demandez. Il protège ce parcours d’un détournement. Durée : 10 minutes.

— mafamilly_macompta_state et mafamilly_macompta_verifier : même rôle pour la connexion facultative à MaCompta, et détruits dès le retour. Durée : 10 minutes.

C’est pourquoi aucune bannière de consentement ne vous est imposée : il n’y a rien à consentir. Si un cookie non nécessaire venait à être ajouté un jour, un moyen de choisir serait mis à disposition à cet endroit.

Le stockage du navigateur, qui n’est pas un cookie. L’application garde trois choses sur votre appareil, et jamais rien qui serve à vous compter ou à vous reconnaître : le thème choisi, pour éviter un clignotement au chargement suivant ; le fait que vous ayez écarté la proposition d’installer le raccourci, pour ne pas la reposer ; et la file des courses faites hors connexion, qui attend le réseau pour partir. Tout cela reste sur l’appareil, ne nous est jamais renvoyé tel quel, et s’efface avec les données du site.

Un foyer contient des enfants, et c’est prévu : ils peuvent y figurer sans aucun compte, apparaître dans l’agenda, les repas et les tâches, sans qu’aucune donnée de connexion ne les concerne. Un compte n’est créé que si un adulte du foyer le décide.