Que regarder dans une application de nutrition respectueuse de la vie privée

Je développe une application de suivi nutritionnel, alors lisez ce qui suit en le gardant en tête. La liste de questions ci-dessous vaut pour n'importe quelle appli de santé, et j'ai essayé de l'écrire pour qu'elle reste utile si vous choisissez autre chose que la mienne. Là où GreaseFit répond mal à une question, je l'ai dit. Un guide d'achat qui donne la note maximale à son auteur n'est pas un guide d'achat.

Un journal alimentaire en dit anormalement long sur vous. Il sait quand vous mangez, combien, si vous buvez, si vous avez arrêté d'enregistrer pendant trois semaines en février. Ajoutez l'historique de poids par-dessus et vous obtenez un dossier médical qui ne dit pas son nom. Ça vaut dix minutes de vérification.

Qui paie pour tout ça ?

C'est la première question, parce qu'elle vous dit qui est le client. Si une appli est gratuite, n'affiche aucune publicité et ne vend rien, l'argent vient bien de quelque part, et ce quelque part, c'est en général vous, sous une forme que vous n'avez jamais explicitement acceptée.

Cherchez une réponse claire : un abonnement, un achat unique, un modèle de dons, ou de la publicité. Le flou, ici, est le signal d'alarme.

GreaseFit : la version gratuite, c'est l'application entière. Le scan de codes-barres, les aliments personnalisés, les recettes que vous construisez à la main, les séances, l'eau, le poids et tous les nutriments suivis sont gratuits. Il existe une offre payante appelée GreaseFit Supporter, à la semaine ou à l'année. Elle change deux choses : le quota d'IA passe de cinq crédits par jour à vingt-cinq, et elle débloque le scan de recette par IA, qui lit une page de recette et crée la recette et ses aliments à votre place. Ce scan est l'appel le plus coûteux que l'application effectue, et c'est la vraie raison pour laquelle il n'est pas gratuit. Chaque nouveau compte dispose de trente jours pour l'utiliser. Rien d'autre ne se trouve derrière le paywall. Les gens qui paient Supporter financent l'appli pour tous les autres.

La note honnête à ajouter : c'est un modèle économique modeste, et vous devriez en tenir compte quand vous estimez combien de temps une appli indépendante, quelle qu'elle soit, va tenir. Pour savoir qui la développe, voyez la page à propos.

Y a-t-il un SDK publicitaire dans l'appli ?

Ce n'est pas la même question que « est-ce qu'elle m'affiche des pubs ». Un SDK publicitaire peut très bien vivre dans une appli et collecter des identifiants sans jamais afficher la moindre bannière. L'indice, c'est la fiche de confidentialité sur le store. Si elle mentionne la publicité, le suivi ou des « données liées à vous » à des fins marketing, il y a un SDK, quelle que soit l'allure de l'interface.

Demandez précisément si l'appli collecte votre identifiant publicitaire, l'IDFA sur iOS ou son équivalent sur Android. C'est cet identifiant qui permet de rapprocher un journal alimentaire du reste de votre vie en ligne.

GreaseFit : aucune publicité et aucun SDK publicitaire, et la collecte de l'identifiant publicitaire est explicitement désactivée dans la configuration des statistiques. Vous ne pouvez pas le vérifier depuis l'extérieur, et c'est précisément pour ça que le conseil général ci-dessus compte plus que ma parole.

Quelles statistiques sont collectées, et pouvez-vous les couper ?

Pas de publicité ne veut pas dire pas de télémétrie. Presque toutes les applis mesurent quelque chose. Les questions utiles sont : quoi, pourquoi, et s'il existe une vraie option de refus dans l'appli plutôt qu'un lien vers un réglage du système.

GreaseFit : Firebase Analytics et Firebase Crashlytics sont tous les deux présents. Crashlytics me dit quand quelque chose a planté et sur quel appareil. Analytics me dit quels écrans les gens utilisent réellement, et c'est comme ça qu'un projet mené par une seule personne décide quoi construire ensuite. La collecte de l'identifiant publicitaire est coupée. Il y a un réglage pour les désactiver dans votre profil, et il fonctionne.

Je pourrais prétendre qu'il n'y a aucune statistique, ce serait faux. La politique de confidentialité précise aussi que ces services peuvent traiter des données hors de l'UE dans le cadre des clauses contractuelles types. C'est une vraie réserve, pas une note de bas de page à enterrer.

Pouvez-vous récupérer vos données ?

L'export, c'est ce qui sépare une appli de suivi d'une prise d'otage. Demandez dans quel format vous les récupérez, si c'est en libre-service ou sur demande par e-mail, et combien de temps la demande prend. Une appli sûre de son produit ne rend pas le départ difficile.

GreaseFit : il n'y a pas de bouton d'export en un clic aujourd'hui. Au titre du RGPD, vous pouvez demander l'accès à vos données par e-mail au support, et j'y répondrai, mais un export en libre-service est un vrai manque. Je préfère le nommer plutôt que vous laisser le découvrir au moment de partir.

Dans l'autre sens, c'est plus simple : un export Lose It s'importe en un seul envoi, comme décrit sur la page des alternatives à Lose It. C'est le seul importateur qui existe pour l'instant.

Pouvez-vous vraiment tout supprimer ?

Supprimer devrait vouloir dire le compte et les données qu'il y a derrière, pas masquer l'écran de connexion. Demandez si la suppression est possible dans l'appli ou s'il faut envoyer un e-mail, quel est le délai, et ce qui est conservé ensuite pour des raisons légales ou de facturation.

GreaseFit : la suppression du compte est possible dans l'appli. Vous pouvez aussi envoyer une demande d'effacement par e-mail, et la politique de confidentialité s'engage à agir sans retard injustifié et sous 28 jours, prolongeables de deux mois au maximum pour les demandes complexes ou répétées. La suppression est irréversible.

Ce qui mérite d'être copié, ce n'est pas le délai, c'est le fait qu'il soit écrit dans la politique et pas dans un article de blog. Exigez ce niveau-là de toutes les applis, y compris celle-ci.

Où vivent les données, et sous quelle loi ?

Le lieu d'hébergement détermine quelle loi s'applique et qui peut exiger un accès. Cherchez un pays nommé, et idéalement un hébergeur nommé. « Serveurs sécurisés » ne veut rien dire. Vérifiez aussi si les sous-traitants sont listés, parce que les prestataires de statistiques et d'e-mail font partie de la réponse.

GreaseFit : la politique de confidentialité le dit noir sur blanc. Serveurs à Amsterdam, aux Pays-Bas, chez DigitalOcean. Je suis un développeur seul à Amsterdam, donc le RGPD n'est pas une posture de conformité adoptée pour le marketing. C'est la loi sous laquelle je vis. L'exception, là encore, c'est Firebase, qui peut traiter des données hors de l'UE.

En transit, tout est chiffré selon les standards actuels. Les sessions utilisent des jetons signés à durée de vie courte, et les mots de passe ne sont jamais stockés sous une forme lisible. Les algorithmes et les bibliothèques précis ne sont pas publiés, et c'est délibéré.

Que se passe-t-il sur l'appareil lui-même ?

La question vaut d'être posée, et la réponse vaut d'être prise avec méfiance, parce que « chiffré au repos » est l'expression la plus galvaudée du marketing des applis.

GreaseFit : sur Android, les identifiants mis en cache localement bénéficient d'une couche de protection supplémentaire fournie par la plateforme. C'est propre à Android. Je ne vais pas gonfler ça en une promesse générale valable sur tous les appareils, parce que du côté iOS l'équivalent n'est pas encore en place.

Tant qu'on est francs sur les limites : GreaseFit exige un compte et une connexion. Il n'y a pas de mode hors ligne ni de base de données locale, donc votre journal vit sur le serveur et non sur votre téléphone. Pour certaines personnes, c'est rédhibitoire, et ça doit l'être. Ce que l'appli fait et ne fait pas est listé sur la page des fonctionnalités.

Que se passe-t-il si l'entreprise est rachetée ?

Les politiques de confidentialité survivent aux rachats à peu près aussi bien que la glace survit au mois d'août. Presque toutes contiennent une clause autorisant le transfert des données en cas de fusion ou de vente. Lisez-la, attendez-vous à en trouver une, puis posez la question plus utile : est-ce que cette appli possède, sous la forme de vos données, un actif qui vaille la peine d'être acheté ?

Une appli financée par la publicité avec une large base d'utilisateurs, oui. Une appli sur abonnement sans activité publicitaire, beaucoup moins.

GreaseFit : c'est le projet d'une seule personne, et il n'y a ici aucune activité publicitaire à vendre. Mais personne ne peut honnêtement promettre quoi que ce soit sur ce qui se passera dans plusieurs années, et vous devriez vous méfier de quiconque le fait. La protection concrète est la même dans tous les cas : vous pouvez supprimer le compte.

La liste, en résumé

Posez ces huit questions à n'importe quelle appli de santé :

1. Qui paie pour elle, et qu'est-ce que l'offre payante change vraiment ?
2. La fiche de confidentialité sur le store mentionne-t-elle la publicité ou le suivi ?
3. Collecte-t-elle votre identifiant publicitaire ?
4. Quelles statistiques existent, et y a-t-il une vraie option de refus dans l'appli ?
5. Pouvez-vous exporter vos données vous-même, et dans quel format ?
6. Pouvez-vous supprimer votre compte, et le délai est-il écrit quelque part ?
7. Quel pays l'héberge, et quels sous-traitants sont nommés ?
8. Que dit la politique en cas de fusion ou de vente ?

Si une appli ne peut pas répondre à six de ces questions depuis son propre site, vous avez votre réponse.

D'autres questions de ce genre sont traitées dans la FAQ. Si les réponses ci-dessus vous conviennent, créer un compte est gratuit.