Que regarder dans une application de nutrition respectueuse de la vie privée

Je développe une application de suivi nutritionnel, alors lisez ce qui suit en le gardant en tête. La liste de questions ci-dessous vaut pour n'importe quelle appli de santé, et j'ai essayé de l'écrire pour qu'elle reste utile si vous choisissez autre chose que la mienne. Là où GreaseFit répond mal à une question, je l'ai dit. Un guide d'achat qui donne la note maximale à son auteur n'est pas un guide d'achat.

Un journal alimentaire en dit anormalement long sur vous. Il sait quand vous mangez, combien, si vous buvez, si vous avez arrêté d'enregistrer pendant trois semaines en février. Ajoutez l'historique de poids par-dessus et vous obtenez un dossier médical qui ne dit pas son nom. Ça vaut dix minutes de vérification.

Qui paie pour tout ça ?

C'est la première question, parce qu'elle vous dit qui est le client. Si une appli est gratuite, n'affiche aucune publicité et ne vend rien, l'argent vient bien de quelque part, et ce quelque part, c'est en général vous, sous une forme que vous n'avez jamais explicitement acceptée.

Cherchez une réponse claire : un abonnement, un achat unique, un modèle de dons, ou de la publicité. Le flou, ici, est le signal d'alarme.

GreaseFit : la version gratuite, c'est l'application entière. Le scan de codes-barres, les aliments personnalisés, les recettes que vous construisez à la main, les séances, l'eau, le poids et tous les nutriments suivis sont gratuits. Il existe une offre payante appelée GreaseFit Supporter, à la semaine ou à l'année. Elle change deux choses : le quota d'IA passe de cinq crédits par jour à vingt-cinq, et elle débloque le scan de recette par IA, qui lit une page de recette et crée la recette et ses aliments à votre place. Ce scan est l'appel le plus coûteux que l'application effectue, et c'est la vraie raison pour laquelle il n'est pas gratuit. Les nouveaux comptes ont bien vingt-cinq crédits par jour pendant leur première semaine, mais le scan de recette n'en fait pas partie. Rien d'autre ne se trouve derrière le paywall. Les gens qui paient Supporter financent l'appli pour tous les autres.

La note honnête à ajouter : c'est un modèle économique modeste, et vous devriez en tenir compte quand vous estimez combien de temps une appli indépendante, quelle qu'elle soit, va tenir. Pour savoir qui la développe, voyez la page à propos.

Y a-t-il un SDK publicitaire dans l'appli ?

Ce n'est pas la même question que « est-ce qu'elle m'affiche des pubs ». Un SDK publicitaire peut très bien vivre dans une appli et collecter des identifiants sans jamais afficher la moindre bannière. L'indice, c'est la fiche de confidentialité sur le store. Si elle mentionne la publicité, le suivi ou des « données liées à vous » à des fins marketing, il y a un SDK, quelle que soit l'allure de l'interface.

Demandez précisément si l'appli collecte votre identifiant publicitaire, l'IDFA sur iOS ou son équivalent sur Android. C'est cet identifiant qui permet de rapprocher un journal alimentaire du reste de votre vie en ligne.

GreaseFit : aucune publicité et aucun SDK publicitaire, et la collecte de l'identifiant publicitaire est explicitement désactivée dans la configuration des statistiques. Vous ne pouvez pas le vérifier depuis l'extérieur, et c'est précisément pour ça que le conseil général ci-dessus compte plus que ma parole.

Quelles statistiques sont collectées, et pouvez-vous les couper ?

Pas de publicité ne veut pas dire pas de télémétrie. Presque toutes les applis mesurent quelque chose. Les questions utiles sont : quoi, pourquoi, et s'il existe une vraie option de refus dans l'appli plutôt qu'un lien vers un réglage du système.

GreaseFit : Firebase Analytics et Firebase Crashlytics sont tous les deux présents. Crashlytics me dit quand quelque chose a planté et sur quel appareil. Analytics me dit quels écrans les gens utilisent réellement, et c'est comme ça qu'un projet mené par une seule personne décide quoi construire ensuite. La collecte de l'identifiant publicitaire est coupée. Les statistiques d'utilisation sont activées par défaut, un réglage dans votre profil permet de les désactiver, et il fonctionne. Les rapports de plantage restent toujours actifs, parce que j'en ai besoin pour que l'appli continue de fonctionner. Rien de tout cela n'est anonyme : c'est lié à un identifiant aléatoire et non à votre nom ou à votre adresse e-mail, ce qui en fait des données pseudonymisées.

Je pourrais prétendre qu'il n'y a aucune statistique, ce serait faux. La politique de confidentialité précise aussi que ces services, comme plusieurs autres qu'elle nomme, peuvent traiter des données hors de l'UE dans le cadre du Data Privacy Framework UE-États-Unis ou des clauses contractuelles types. C'est une vraie réserve, pas une note de bas de page à enterrer.

Pouvez-vous récupérer vos données ?

L'export, c'est ce qui sépare une appli de suivi d'une prise d'otage. Demandez dans quel format vous les récupérez, si c'est en libre-service ou sur demande par e-mail, et combien de temps la demande prend. Une appli sûre de son produit ne rend pas le départ difficile.

GreaseFit : il n'y a pas de bouton d'export en un clic aujourd'hui. Au titre du RGPD, vous pouvez demander l'accès à vos données par e-mail au support, et j'y répondrai, mais un export en libre-service est un vrai manque. Je préfère le nommer plutôt que vous laisser le découvrir au moment de partir.

Dans l'autre sens, c'est plus simple : un export Lose It s'importe en un seul envoi, comme décrit sur la page des alternatives à Lose It. C'est le seul importateur qui existe pour l'instant.

Pouvez-vous vraiment supprimer vos données ?

Supprimer devrait vouloir dire le compte et les données qu'il y a derrière, pas masquer l'écran de connexion. Demandez si la suppression est possible dans l'appli ou s'il faut envoyer un e-mail, quel est le délai, et ce qui est conservé ensuite pour des raisons légales ou de facturation.

GreaseFit : vous pouvez supprimer votre compte dans l'appli, sous Profil > Paramètres > « Supprimer le compte », ou le demander par e-mail. La politique de confidentialité explique ce qui se passe ensuite. Les données personnelles sont supprimées autant que possible, et ce qui ne peut pas l'être, comme vos saisies, les photos de scan et les conversations avec l'IA, est anonymisé. Votre nom d'utilisateur, c'est-à-dire votre adresse e-mail, est conservé un an pour éviter les abus : il ne peut donc pas servir à créer un nouveau compte pendant ce temps. Les données de paiement et les factures sont conservées jusqu'à sept ans pour des raisons fiscales. Les demandes par e-mail reçoivent une réponse sous un mois, ou jusqu'à deux mois de plus pour les demandes complexes ou nombreuses. La suppression est irréversible.

Ce qui mérite d'être copié, ce n'est pas le délai, c'est le fait qu'il soit écrit dans la politique et pas dans un article de blog. Exigez ce niveau-là de toutes les applis, y compris celle-ci.

Où vivent les données, et sous quelle loi ?

Le lieu d'hébergement détermine quelle loi s'applique et qui peut exiger un accès. Cherchez un pays nommé, et idéalement un hébergeur nommé. « Serveurs sécurisés » ne veut rien dire. Vérifiez aussi si les sous-traitants sont listés, parce que les prestataires de statistiques et d'e-mail font partie de la réponse.

GreaseFit : la politique de confidentialité le dit noir sur blanc. Serveurs à Amsterdam, aux Pays-Bas, chez DigitalOcean. Je suis un développeur seul à Amsterdam, donc le RGPD n'est pas une posture de conformité adoptée pour le marketing. C'est la loi sous laquelle je vis. Les exceptions sont nommées aussi : les statistiques d'utilisation et les rapports de plantage (Firebase et Apple), les rapports d'erreurs du serveur (Sentry), les notifications internes (Slack), les paiements sur le site (Stripe) et l'hébergement du site (Vercel) peuvent être traités hors de l'UE, tout comme le traitement par IA.

En transit, tout est chiffré selon les standards actuels. Les sessions utilisent des jetons signés à durée de vie courte, et les mots de passe ne sont jamais stockés sous une forme lisible. Les algorithmes et les bibliothèques précis ne sont pas publiés, et c'est délibéré.

Que se passe-t-il sur l'appareil lui-même ?

La question vaut d'être posée, et la réponse vaut d'être prise avec méfiance, parce que « chiffré au repos » est l'expression la plus galvaudée du marketing des applis.

GreaseFit : sur Android, les identifiants mis en cache localement bénéficient d'une couche de protection supplémentaire fournie par la plateforme. C'est propre à Android. Je ne vais pas gonfler ça en une promesse générale valable sur tous les appareils, parce que du côté iOS l'équivalent n'est pas encore en place.

Tant qu'on est francs sur les limites : GreaseFit exige un compte et une connexion. Il n'y a pas de mode hors ligne ni de base de données locale, donc votre journal vit sur le serveur et non sur votre téléphone. Pour certaines personnes, c'est rédhibitoire, et ça doit l'être. Ce que l'appli fait et ne fait pas est listé sur la page des fonctionnalités.

Que se passe-t-il si l'entreprise est rachetée ?

Les politiques de confidentialité survivent aux rachats à peu près aussi bien que la glace survit au mois d'août. Presque toutes contiennent une clause autorisant le transfert des données en cas de fusion ou de vente. Lisez-la, attendez-vous à en trouver une, puis posez la question plus utile : est-ce que cette appli possède, sous la forme de vos données, un actif qui vaille la peine d'être acheté ?

Une appli financée par la publicité avec une large base d'utilisateurs, oui. Une appli sur abonnement sans activité publicitaire, beaucoup moins.

GreaseFit : c'est le projet d'une seule personne, et il n'y a ici aucune activité publicitaire à vendre. Mais personne ne peut honnêtement promettre quoi que ce soit sur ce qui se passera dans plusieurs années, et vous devriez vous méfier de quiconque le fait. La protection concrète est la même dans tous les cas : vous pouvez supprimer le compte.

La liste, en résumé

Posez ces huit questions à n'importe quelle appli de santé :

1. Qui paie pour elle, et qu'est-ce que l'offre payante change vraiment ?
2. La fiche de confidentialité sur le store mentionne-t-elle la publicité ou le suivi ?
3. Collecte-t-elle votre identifiant publicitaire ?
4. Quelles statistiques existent, et y a-t-il une vraie option de refus dans l'appli ?
5. Pouvez-vous exporter vos données vous-même, et dans quel format ?
6. Pouvez-vous supprimer votre compte, et le délai est-il écrit quelque part ?
7. Quel pays l'héberge, et quels sous-traitants sont nommés ?
8. Que dit la politique en cas de fusion ou de vente ?

Si une appli ne peut pas répondre à six de ces questions depuis son propre site, vous avez votre réponse.

D'autres questions de ce genre sont traitées dans la FAQ. Si les réponses ci-dessus vous conviennent, créer un compte est gratuit.