Avertissement

Sommaire

I.Contexte du projet et données traitées

Synthèse du projet

MealGenius est une application mobile B2C disponible sur iOS et Android, destinée aux parents actifs de 25 à 40 ans. Elle génère automatiquement des menus hebdomadaires personnalisés, produit la liste de courses associée et propose des recettes à base de restes alimentaires. Le modèle économique repose sur un abonnement mensuel à 4,99 €/mois avec essai gratuit de 7 jours, géré via les systèmes natifs Apple StoreKit et Google Play Billing.

Secteur d'activité et qualification

MealGenius s'inscrit dans le secteur de la consommation et du bien-être alimentaire, en mode SaaS B2C grand public. Les données manipulées ne relèvent pas du secteur de la santé au sens strict (aucun suivi médical, aucune prescription), mais les préférences alimentaires peuvent inclure des informations relatives à des régimes thérapeutiques ou des pathologies (allergies, intolérances). Ce point mérite une attention particulière au regard de l'article 9 du RGPD.

Le cadre applicable est celui du droit commun de la protection des données (RGPD, loi Informatique et Libertés), complété par les règles du Code de la consommation pour les abonnements B2C et les politiques des stores pour la publication.

Données manipulées

Finalités du traitement

II.Cadre légal applicable

RGPD — Règlement (UE) 2016/679

Applicable dès lors que MealGenius collecte des données personnelles d'utilisateurs situés dans l'Union européenne. Le créateur est qualifié de responsable de traitement au sens du RGPD. Ce règlement encadre l'ensemble du cycle de vie des données : collecte, conservation, sécurité, droits des personnes, sous-traitance.

Loi Informatique et Libertés (modifiée)

Texte français d'application du RGPD, géré par la CNIL. Il précise notamment les modalités de recueil du consentement des mineurs (15 ans en France), les obligations déclaratives et les spécificités nationales. La CNIL publie des guides pratiques applicables aux apps mobiles.

ePrivacy / Article 82 de la loi Informatique et Libertés

Encadre les traceurs et cookies. Applicable aux SDK tiers intégrés dans l'app (analytics, monitoring, publicité éventuelle). Même sans navigateur web, les SDK mobiles collectant des identifiants publicitaires (IDFA/GAID) entrent dans ce périmètre. Un consentement préalable est requis avant tout dépôt de traceur non strictement nécessaire au service.

Règles des stores — App Store & Google Play

Apple (App Store Review Guidelines, section 5.1) et Google (Play Policy) imposent des obligations spécifiques : politique de confidentialité accessible et à jour obligatoire, déclaration des données collectées dans l'App Privacy (Apple) et la Data Safety Section (Google), consentement explicite pour les notifications push (iOS 14+). Le non-respect de ces règles peut entraîner un refus de publication ou un retrait de l'app.

Code de la consommation

Applicable aux abonnements B2C. Il prévoit des obligations d'information précontractuelle (prix, durée, conditions de résiliation), un droit de rétractation de 14 jours applicable sous conditions pour les services numériques, et des règles encadrant le renouvellement automatique des abonnements.

Code de la propriété intellectuelle

Protège le code source, le design de l'application, le nom et le logo MealGenius. Une vérification de disponibilité du nom comme marque est recommandée avant tout lancement public. Le catalogue de recettes peut également être protégé par le droit d'auteur selon son contenu.

III.Conformité RGPD & protection des données

IV.Hébergement & sécurité

Localisation des données

Le CDC prévoit un hébergement sur Supabase Cloud, région Europe (Frankfurt). Ce choix est en cohérence avec les recommandations RGPD : les données des utilisateurs européens restent sur le territoire de l'Union européenne. Il s'agit d'un point positif notable dans la configuration technique du projet.

La région Frankfurt (AWS eu-central-1, sous-jacente à Supabase) est soumise au droit européen. Aucune carte de risque élevée ne s'applique à l'hébergement principal.

Sous-traitants et inventaire

Tout sous-traitant traitant des données personnelles d'utilisateurs de MealGenius doit faire l'objet d'un contrat intégrant des clauses conformes à l'article 28 du RGPD. La pratique courante est de constituer un inventaire de ces sous-traitants et de signer leur DPA (Data Processing Agreement) disponible sur leurs sites respectifs.

Mesures de sécurité

Le CDC prévoit les mesures suivantes, en cohérence avec l'article 32 du RGPD :

• Mots de passe hachés via bcrypt — jamais stockés en clair
• Authentification sécurisée via Supabase Auth (tokens JWT avec refresh tokens)
• Monitoring des erreurs via Sentry

Les mesures suivantes sont recommandées en complément et ne sont pas explicitement mentionnées dans le CDC :

• Chiffrement TLS en transit sur toutes les communications client-serveur (activé par défaut sur Supabase)
• Chiffrement au repos des données sensibles (allergies, préférences) — à vérifier dans la configuration Supabase
• Gestion des accès back-office avec authentification forte (MFA) pour le compte administrateur
• Journalisation des accès administrateur

Plan de continuité

Supabase propose des sauvegardes automatiques quotidiennes sur ses plans payants. Il est recommandé de vérifier que le plan souscrit inclut cette fonctionnalité et de tester périodiquement la restauration. Pour un créateur solo, un plan de reprise minimal consiste à documenter la procédure de restauration et à la tester avant le lancement public.

V.Droits des utilisateurs & transparence

Information des personnes

Le CDC prévoit que la politique de confidentialité est accessible et doit être acceptée avant la création de compte. C'est en cohérence avec l'article 13 du RGPD. Les mentions obligatoires à intégrer dans cette politique sont :

• Identité et coordonnées du responsable de traitement (le créateur de MealGenius)
• Finalités et base légale de chaque traitement
• Catégories de données collectées
• Destinataires des données (sous-traitants listés au chapitre IV)
• Durées de conservation par catégorie
• Droits des personnes et modalités d'exercice
• Existence ou non de transferts hors UE et garanties applicables
• Droit d'introduire une réclamation auprès de la CNIL (cnil.fr)

Cette politique doit également être accessible via une URL stable renseignée dans App Store Connect et Google Play Console — c'est une condition de publication sur les deux stores.

Exercice des droits

Le CDC prévoit que la suppression du compte et de toutes les données est possible sur demande en back-office sous 30 jours. Ce délai est en cohérence avec les pratiques courantes (le RGPD prévoit un délai d'un mois pour répondre aux demandes d'exercice de droits).

Il est recommandé de mettre en place :

• Un canal de contact dédié pour l'exercice des droits (ex. privacy@mealgenius.fr ou un formulaire de contact spécifique)
• Une procédure interne documentant le traitement de chaque type de demande (accès, rectification, effacement, opposition, portabilité)
• Un accusé de réception automatique à chaque demande reçue

Consentement

Trois points de consentement sont identifiés dans le parcours MealGenius :

• Politique de confidentialité : case à cocher obligatoire avant création de compte — prévu au CDC, en cohérence avec l'art. 13 RGPD.
• Données alimentaires sensibles : si les allergies sont qualifiées de données de santé (art. 9 RGPD), un consentement explicite distinct est nécessaire — à clarifier avec un DPO (voir chapitre X).
• Notifications push : consentement système iOS obligatoire, à intégrer dans l'onboarding avec un écran de pré-permission (voir chapitre III).

VI.CGU, politique de confidentialité et propriété intellectuelle

Mentions légales

Si MealGenius dispose d'un site web de présentation ou de landing page, les mentions légales sont obligatoires en vertu de la LCEN (Loi pour la Confiance dans l'Économie Numérique). Elles doivent mentionner : identité de l'éditeur, hébergeur, coordonnées de contact. Pour une app mobile sans site web associé, cette obligation ne s'applique pas directement à l'app elle-même, mais est recommandée sur tout support web lié.

Politique de confidentialité

Document obligatoire et bloquant pour la publication sur l'App Store et le Google Play Store. Elle doit être :

• Accessible depuis une URL publique stable avant soumission
• Rédigée en français (et idéalement en anglais pour les stores)
• Conforme aux exigences Art. 13 RGPD listées au chapitre V
• Mise à jour à chaque évolution significative des traitements

La rédaction effective de ce document doit être confiée à un juriste spécialisé (voir chapitre X). Ce prompt ne rédige pas ce document.

Conditions Générales d'Utilisation

Non obligatoires légalement pour une app mobile, mais fortement recommandées pour encadrer : les droits et obligations de l'utilisateur, les conditions de l'abonnement et de résiliation, la responsabilité du créateur en cas d'indisponibilité du service, les règles d'utilisation du catalogue recettes. La rédaction effective doit être confiée à un juriste.

Droit de rétractation — abonnement B2C

MealGenius propose un abonnement mensuel à des consommateurs (B2C). Le Code de la consommation prévoit un droit de rétractation de 14 jours pour les contrats conclus à distance. Cependant, pour les contenus numériques dont l'exécution a commencé avec l'accord exprès du consommateur, ce droit peut être exclu. La pratique courante est de le mentionner explicitement dans les CGU et de recueillir l'accord de l'utilisateur au moment de la souscription. Ce point mérite une validation par un juriste compte tenu de l'essai gratuit de 7 jours prévu.

Propriété intellectuelle

Le code source de MealGenius, son design, son nom et son logo sont des actifs appartenant au créateur. Avant tout lancement public, il est recommandé de :

• Vérifier la disponibilité du nom "MealGenius" comme marque en France et dans l'UE via la base de données de l'INPI (inpi.fr) et de l'EUIPO
• Envisager un dépôt de marque si le nom est disponible (protection pour 10 ans, renouvelable)
• Vérifier que le catalogue de recettes initial ne reproduit pas des contenus protégés par le droit d'auteur

VII.Spécificités sectorielles

Analyse sectorielle

MealGenius s'inscrit dans le secteur de la consommation et du bien-être alimentaire grand public. Après analyse du CDC, aucune spécificité sectorielle contraignante (HDS, ACPR, RGAA, COPPA) ne s'applique au projet dans sa configuration V1.

En dehors de ce point de vigilance, le cadre RGPD général et les chapitres précédents s'appliquent intégralement.

VIII.Matrice de conformité

IX.Plan d'actions priorisé

Avant la soumission sur les stores

Dans les 6 mois suivant la mise en ligne

X.Sujets à escalader à un professionnel du droit