Politique de confidentialité
Dernière mise à jour : 2026-09-08.
1. Éditeur et responsable de traitement
Le service Hygipack est édité et exploité par une personne physique exerçant à titre professionnel.
- Éditeur : Arthur Petraman
- Directeur de la publication : Arthur Petraman
- Adresse professionnelle : 5 cour du Parc aux Cerfs, 78760 Jouars-Pontchartrain, France
- Téléphone : +33 6 95 46 75 52
- Inscription au registre national des entreprises : l'éditeur n'y est pas inscrit à la date de la présente mise à jour. Voir les mentions légales.
- Contact, y compris pour l'exercice des droits : support@hygipack.eu
- Délégué à la protection des données : aucun délégué n'est désigné. La désignation n'est pas obligatoire au regard de la nature de l'activité et de la taille de la structure.
1.1 Qualification au sens du RGPD : un rôle double, traitement par traitement
Hygipack n'a pas un rôle unique. Le règlement définit le responsable de traitement comme celui qui détermine les finalités et les moyens (article 4.7), et le sous-traitant comme celui qui traite pour le compte du responsable (article 4.8). Un même organisme peut donc relever des deux qualifications selon le traitement considéré. C'est le cas ici, et la répartition est la suivante.
| Traitement | Rôle d'Hygipack | Pourquoi |
|---|---|---|
| Enregistrements sanitaires : relevés, contrôles, non-conformités, actions correctives | Sous-traitant | L'établissement décide de tenir son registre, de ce qu'il contrôle, à quelle fréquence et selon quels seuils. C'est lui le responsable de traitement |
| Lots, produits, réceptions de marchandises, étiquettes | Sous-traitant | Traçabilité propre à l'établissement, décidée par lui |
| Photographies de preuve, de relevé et de bon de livraison | Sous-traitant | Éléments du registre de l'établissement |
| Transcriptions de dictée et lecture des bons de livraison | Sous-traitant | Modalité de saisie d'une donnée qui appartient au registre de l'établissement |
| Paramétrage de l'établissement, équipements, seuils, planning, rôles et rattachements | Sous-traitant | Configuration décidée par l'établissement |
| Comptes utilisateurs, authentification, sessions, invitations, tentatives de rattachement | Responsable de traitement | Hygipack décide seul des moyens d'identification et de la sécurité de son service |
| Journaux techniques et rapports d'erreur | Responsable de traitement | Finalité propre à Hygipack : maintenir son service en état de marche |
| Compteurs anti-abus et mesure de consommation des fonctions d'intelligence artificielle | Responsable de traitement | Finalité propre : protéger le service et en calculer le coût |
| Relation commerciale, souscription et support | Responsable de traitement | Finalité propre à Hygipack |
Conséquence pratique pour l'utilisateur. Pour tout ce qui relève du registre sanitaire, le responsable est l'établissement employeur : c'est à lui qu'une demande d'accès ou d'effacement doit être adressée, et c'est à lui qu'il revient d'informer ses salariés. Pour tout ce qui relève du compte et du fonctionnement du service, le responsable est Hygipack, joignable à support@hygipack.eu.
Les engagements d'Hygipack en qualité de sous-traitant, exigés par l'article 28 du RGPD, figurent au §8 des conditions générales d'utilisation, qui valent contrat de sous-traitance.
2. Données réellement collectées
Établi par lecture du schéma de la base de données. Cette section décrit l'état réel du produit.
2.1 Compte et rattachement
| Donnée | Où elle est stockée | Finalité |
|---|---|---|
| Nom complet, adresse e-mail | Compte utilisateur | Identification, connexion |
| Rattachement à un établissement et rôle | memberships | Contrôle d'accès |
| Adresses e-mail invitées | membership_invites | Invitation nominative d'un nouveau membre |
| Tentatives de rattachement à un établissement | establishment_join_attempts | Sécurité, limitation des tentatives |
L'accès au service se fait exclusivement sur invitation. Il n'existe pas d'inscription libre.
2.2 Établissement
Raison sociale, adresse et paramétrage de l'établissement, liste de ses équipements, seuils de conformité, planning des contrôles récurrents, destinataires des rapports.
2.3 Enregistrements sanitaires
C'est le cœur du service, et la catégorie la plus volumineuse.
| Donnée | Où elle est stockée | Finalité |
|---|---|---|
| Relevés de température, contrôles d'hygiène, sessions de contrôle | readings, control_sessions, control_session_points | Traçabilité sanitaire de l'établissement |
| Verdict de conformité, seuil appliqué au moment du relevé | mêmes tables | Valeur probante de l'enregistrement |
| Non-conformités et actions correctives associées | mêmes tables | Traçabilité sanitaire |
| Auteur et horodatage de chaque enregistrement | mêmes tables | Attribution de l'enregistrement, exigence de traçabilité |
| Lots, produits, dates limites, réceptions de marchandises | lots, products | Traçabilité amont |
| Étiquettes produites | label_prints | Traçabilité |
| Photographies de preuve et de relevé | Espaces de stockage proof-photos et reading-photos | Preuve à l'appui d'un contrôle |
| Score Hygiène et ses instantanés | tables de score | Indicateur de suivi interne à l'établissement |
Chaque enregistrement est attribué nominativement à la personne qui l'a saisi. C'est une caractéristique voulue : un registre sanitaire non attribuable n'a pas de valeur probante. Les salariés concernés doivent en être informés par leur employeur.
2.4 Assistant vocal HYGI
| Donnée | Traitement |
|---|---|
| Enregistrement audio de la voix | Transmis pour transcription, jamais conservé par Hygipack |
| Transcription textuelle de la dictée | Conservée dans voice_commands |
| Compteurs anti-abus | voice_api_calls, purgés automatiquement au bout de 24 heures |
Voir le détail au §5.
2.5 Réception de marchandises et lecture des bons de livraison
| Donnée | Traitement |
|---|---|
| Photographie du bon de livraison ou de la facture | Transmise pour lecture, puis conservée dans l'espace de stockage |
| Données extraites (fournisseur, produits, lots, dates) | Soumises à validation humaine, puis enregistrées |
Voir le détail au §6.
2.6 Données techniques
| Donnée | Où | Finalité |
|---|---|---|
| Rapports d'erreur : pile d'exécution, contexte technique, fil d'ariane, identifiant technique de l'utilisateur uniquement | Sentry | Diagnostic des pannes |
| Consommation des fonctions d'intelligence artificielle | ai_usage_events | Limitation d'usage et calcul de coût |
| Cache local sur l'appareil | Appareil de l'utilisateur | Fonctionnement hors connexion |
L'application ne comporte aucun traceur publicitaire, aucun identifiant publicitaire, aucun outil de mesure d'audience tiers. Aucune donnée n'est cédée ni vendue à un tiers.
2.7 Ce que l'application ne collecte pas
Aucune donnée de santé, de localisation, de contact du carnet d'adresses, de navigation, d'achat, ni aucune donnée bancaire. L'application n'accède ni à la position de l'appareil, ni au carnet d'adresses.
3. Bases légales
| Traitement | Responsable | Base légale |
|---|---|---|
| Traçabilité sanitaire et registre | Établissement | Obligation légale (article 6.1.c) — règlement (CE) n° 852/2004 et plan de maîtrise sanitaire |
| Paramétrage, équipements, seuils, planning | Établissement | Intérêt légitime (article 6.1.f) — organiser ses propres contrôles |
| Compte, rattachement, rôles | Hygipack | Exécution du contrat (article 6.1.b) |
| Sécurité, limitation d'usage, anti-abus | Hygipack | Intérêt légitime (article 6.1.f) |
| Diagnostic technique et correction des pannes | Hygipack | Intérêt légitime (article 6.1.f) |
| Assistant vocal HYGI — dictée d'une saisie | Établissement | Intérêt légitime (article 6.1.f) |
| Lecture des bons de livraison — extraction assistée | Établissement | Intérêt légitime (article 6.1.f) |
3.1 Pourquoi l'intérêt légitime, et non le consentement, pour l'assistant vocal et la lecture des bons de livraison
Ces deux fonctions ne créent pas une donnée nouvelle : elles sont une modalité de saisie d'un enregistrement que l'établissement est de toute façon tenu de produire. L'enregistrement lui-même repose sur l'obligation légale ci-dessus ; seul le moyen d'y parvenir relève d'une base distincte.
Le consentement du salarié n'est pas retenu, et ce choix protège le salarié. Un consentement n'est valable que s'il est libre (article 4.11 du RGPD). Dans une relation de travail, le lien de subordination rend cette liberté douteuse : un salarié qui refuserait se placerait en porte-à-faux avec son employeur. Fonder le traitement sur un consentement fragile reviendrait à faire reposer la licéité sur un acte contestable, et à priver le salarié de son droit d'opposition, qui n'existe que face à l'intérêt légitime.
Mise en balance, exigée par l'article 6.1.f.
- *Intérêt poursuivi* : permettre une saisie en cuisine, mains occupées ou gantées, dans un environnement où la saisie manuelle est malcommode et donc mal faite.
- *Nécessité* : la fonction est strictement facultative. Toute saisie qu'elle permet reste réalisable manuellement, sur l'ensemble des contrôles. Aucun parcours n'impose la voix.
- *Proportionnalité* : l'enregistrement audio n'est jamais conservé par Hygipack et est supprimé dès la fin du traitement, ce que vérifient les tests du dépôt. Seule la transcription textuelle est conservée, pour permettre de vérifier ce qui a été enregistré.
- *Absence d'effet sur la personne* : ces données ne servent ni au profilage, ni à la publicité, ni à aucune évaluation individuelle des salariés. Aucune décision automatisée n'est prise.
- *Garanties* : accès au microphone demandé à la première utilisation seulement, refus sans conséquence sur le reste de l'application, droit d'opposition ouvert auprès de l'employeur.
Autorisation système et base légale ne sont pas la même chose. L'autorisation d'accès au microphone ou à l'appareil photo demandée par iOS est une permission technique du système d'exploitation. Elle ne constitue ni un consentement au sens de l'article 6 du RGPD, ni la base légale du traitement. Elle ne relève pas davantage de l'article 82 de la loi Informatique et Libertés, l'accès n'ayant lieu que pour fournir un service expressément demandé par l'utilisateur au moment où il le déclenche.
Information des salariés. L'employeur qui met Hygipack à disposition de ses équipes doit les informer de ces traitements, de l'attribution nominative des enregistrements et de l'existence de la fonction vocale. Cette obligation lui incombe en sa qualité de responsable de traitement, et figure au §6 des conditions générales d'utilisation.
4. Destinataires et sous-traitants
Établi par lecture du code. Chaque destinataire ci-dessous reçoit réellement les données citées. Les localisations et garanties de transfert proviennent de la documentation publique de chaque fournisseur, consultée le 2026-09-07.
| Sous-traitant | Ce qu'il reçoit | Localisation | Garanties de transfert |
|---|---|---|---|
| Supabase Pte. Ltd (Singapour) | Hébergement de la base, du stockage et de l'authentification : l'ensemble des données du service | Données stockées dans l'Union européenne, région eu-central-1 (Francfort). L'entité contractante est établie hors de l'Union européenne | Accord de sous-traitance intégrant les clauses contractuelles types, module 2 (responsable vers sous-traitant) |
| Sentry | Rapports d'erreur : pile, contexte technique, identifiant technique seul | Union européenne (ingest.de.sentry.io) | Traitement dans l'Union pour l'ingestion |
| OpenAI | L'enregistrement audio de la voix lors d'une dictée | États-Unis | Clauses contractuelles types, intégrées à l'accord de sous-traitance du fournisseur |
| Anthropic | Le texte transcrit, et l'image du bon de livraison photographié | États-Unis | Clauses contractuelles types, et adhésion du fournisseur au cadre de protection des données UE–États-Unis |
| Resend | Adresses e-mail et contenu des messages envoyés : invitations et rapports | États-Unis | Clauses contractuelles types, et cadre de protection des données UE–États-Unis |
| Vercel Inc. (États-Unis) | Hébergement du site public, du back-office commercial et des tâches planifiées | États-Unis | Clauses contractuelles types |
| Apple | Distribution de l'application, diagnostics système | Selon les conditions Apple | Conditions Apple |
⚠️ Précision sur Supabase, à ne pas confondre. Le lieu de stockage des données et le lieu d'établissement de l'entité contractante sont deux choses différentes. Les données du service sont stockées dans l'Union européenne. Le fournisseur, lui, est une société de droit singapourien, susceptible d'un accès administratif depuis son pays d'établissement : le transfert est encadré par les clauses contractuelles types, il n'est pas inexistant.
Conservation chez les fournisseurs, selon leur documentation publique : OpenAI indique que les données transmises par l'interface de programmation ne servent pas à entraîner ses modèles et que cette fonction de transcription ne conserve aucun journal de surveillance. Anthropic indique une suppression sous 30 jours. Resend indique 30 jours, et 90 jours après résiliation. Sentry indique 90 jours sur ses offres courantes.
Aucun autre destinataire. Aucune donnée n'est transmise à des fins publicitaires ou de profilage.
5. Assistant vocal HYGI
L'usage de l'assistant vocal est entièrement facultatif. Toutes les saisies qu'il permet restent réalisables manuellement.
- L'accès au microphone est demandé à la première utilisation de la fonction, et jamais avant. Le refus n'empêche aucun autre usage de l'application.
- L'enregistrement audio est transmis à OpenAI aux seules fins de transcription.
- Hygipack ne conserve jamais l'enregistrement audio. Il est supprimé dès la fin du traitement. Ce comportement est vérifié par les tests du dépôt.
- La transcription textuelle est conservée, afin de permettre la vérification de ce qui a été enregistré à partir d'une dictée.
- Le texte transcrit est ensuite transmis à Anthropic pour déterminer l'action demandée.
- L'enregistrement produit par une dictée est soumis à la même validation que les autres.
- Aucune de ces données n'est utilisée à des fins publicitaires, de profilage, ni d'évaluation individuelle des salariés.
⚠️ Information des salariés. L'employeur qui met Hygipack à disposition de ses équipes doit informer les personnes concernées de l'existence de cette fonction et du traitement de leur voix.
6. Lecture des bons de livraison
- La fonction s'active lorsque l'utilisateur photographie volontairement un bon de livraison ou une facture, dans le parcours de réception des marchandises.
- L'image entière du document est transmise à Anthropic pour en extraire les informations. Un bon de livraison peut comporter des données relatives à des tiers, notamment le nom d'un livreur ou d'un interlocuteur du fournisseur.
- Les données extraites sont systématiquement soumises à la validation de l'utilisateur avant enregistrement. Aucune donnée n'est enregistrée automatiquement.
- La photographie et les données structurées qui en sont issues sont conservées dans les conditions du §7.
- La base légale de ce traitement est celle indiquée au §3.
7. Durées de conservation
Cette section décrit l'état réel du produit, et non des durées cibles.
7.1 Ce qui est effectivement appliqué
| Donnée | Durée réellement appliquée |
|---|---|
| Enregistrement audio d'une dictée | Jamais conservé. Supprimé dès la fin du traitement |
| Compteurs anti-abus de l'assistant vocal | 24 heures, purge automatique |
| Cache local sur l'appareil | 7 jours, et vidé à la déconnexion |
| Sauvegardes de l'hébergeur | Environ 7 jours. Restauration à un instant donné désactivée |
7.2 Données sanitaires, de traçabilité et de compte
Aucune purge automatique n'est appliquée à ce jour. Ces données sont conservées aussi longtemps que l'établissement dispose d'un compte actif, et sont effacées dans les conditions prévues au §8 et à la clause de résiliation des conditions générales d'utilisation.
Cela vaut pour les relevés et contrôles, les lots et réceptions, les photographies de preuve et de bon de livraison, les transcriptions de dictée, et les invitations.
7.3 Durée applicable aux enregistrements sanitaires : qui la fixe, et pourquoi elle n'est pas unique
Il n'existe pas de durée légale unique applicable aux enregistrements d'autocontrôle sanitaire. Le règlement (CE) n° 852/2004 impose à l'exploitant de conserver ses documents « pendant une période appropriée », sans fixer de durée chiffrée, et laisse à l'exploitant le soin de la déterminer au regard de la nature des denrées et de son plan de maîtrise sanitaire. Les durées couramment citées dans le secteur varient selon le type de document, et aucune ne constitue une règle générale applicable à l'ensemble d'un registre.
En conséquence, la durée est fixée par l'établissement, qui en est le responsable de traitement, conformément à ses propres obligations réglementaires. Hygipack, sous-traitant, conserve ces données pour son compte et sur ses instructions.
Ce que fait réellement Hygipack aujourd'hui, sans embellissement :
- Aucune purge automatique n'est appliquée aux enregistrements sanitaires.
- Ils sont conservés tant que l'établissement dispose d'un compte actif.
- À la résiliation, un export complet lui est mis à disposition, les données sont conservées intactes pendant une période de grâce de trente jours, puis effacées dans les conditions du §13 des conditions générales d'utilisation.
- Le service ne propose pas encore de paramètre de durée de conservation. Un établissement qui souhaite une durée plus courte que la conservation par défaut doit en faire la demande à support@hygipack.eu, qui procède à l'effacement.
Identifiant pseudonyme après suppression d'un compte. Il suit exactement le sort des enregistrements qu'il signe, décrit au §8 : il est effacé avec eux, et pas avant, puisqu'un registre privé de l'attribution de ses écritures perdrait la valeur probante qui justifie sa conservation.
7.4 Évolutions annoncées
Les durées suivantes sont décidées mais non encore appliquées techniquement. Elles ne sont pas en vigueur, et ne doivent pas être comprises comme telles :
| Donnée | Durée cible | En vigueur ? |
|---|---|---|
| Transcription d'une dictée | 30 jours | ❌ Non |
| Photographie brute d'un bon de livraison | 90 jours | ❌ Non |
| Invitation non acceptée | 30 jours après expiration | ❌ Non |
| Adresse d'une invitation acceptée | anonymisation à 90 jours | ❌ Non |
Cette politique sera mise à jour lorsque ces purges seront effectivement en service.
8. Suppression de compte
Cette section décrit le comportement réel implémenté, vérifié par les tests du dépôt.
La suppression est accessible dans l'application, à la rubrique « Plus », puis « Supprimer mon compte ».
Sont effacés définitivement : le nom, l'adresse e-mail, le mot de passe, les identités de connexion, les sessions, le contenu des dictées vocales, les tentatives de rattachement et les invitations en attente. L'accès est révoqué immédiatement et définitivement : il n'est possible de revenir ni avec un code d'établissement, ni avec une invitation adressée à l'ancienne adresse.
Sont conservés : les contrôles d'hygiène enregistrés par la personne. Un registre sanitaire doit être intègre et attribuable ; ces enregistrements ne peuvent donc être ni supprimés, ni réattribués. Ils restent rattachés à un identifiant technique qui ne permet plus de remonter à une personne nommée, l'ensemble des données nominatives du compte ayant été effacé. Cette conservation relève de l'article 17.3 b) du RGPD.
La durée de conservation de cet identifiant pseudonyme suit celle des enregistrements qu'il signe, visée au §7.3.
9. Droits des personnes
Toute personne concernée dispose des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité.
Ces droits s'exercent auprès de : support@hygipack.eu
La demande est traitée dans un délai d'un mois à compter de sa réception, conformément à l'article 12.3 du RGPD. Une pièce justificative d'identité peut être demandée en cas de doute raisonnable sur l'identité du demandeur.
⚠️ Lorsque Hygipack agit comme sous-traitant d'un établissement, une demande relative aux données sanitaires de cet établissement est transmise à celui-ci, qui en est responsable.
Autorité de contrôle compétente : la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr. Toute personne concernée a le droit d'introduire une réclamation auprès de cette autorité.
10. Sécurité
- Les données sont chiffrées en transit et au repos par l'hébergeur.
- L'accès est cloisonné par établissement au niveau de la base de données, et cette séparation est vérifiée à chaque requête, côté serveur.
- Les autorisations reposent sur le rôle réel de chaque membre, appliquées en base et non seulement dans l'application.
- Les accès aux fichiers stockés passent par des liens temporaires signés.
- Les identifiants de connexion sont conservés dans le stockage sécurisé du système d'exploitation de l'appareil.
11. Modification de la présente politique
Toute modification substantielle est portée à la connaissance des utilisateurs. La date de dernière mise à jour figure en tête du document.