Avis de confidentialité

1. Qui est responsable

Le site est exploité par 16555985 Canada Inc. (l'exploitant), comme projet personnel offert gratuitement. La personne qui répond de la protection des renseignements personnels a pour titre « Responsable de la protection des renseignements personnels ». Pour toute question, ou pour consulter, corriger ou faire supprimer des renseignements : hello@circulairesquebec.com. Une réponse écrite est donnée dans les 30 jours.

2. Ce qui est recueilli, et pourquoi

Visiter le site

Chaque page ouverte est comptée : le chemin de la page (sans ses paramètres), le code de réponse, la langue, le type d'appareil, le site d'où vient la visite, le paramètre utm_source, le pays (fourni par Cloudflare) et si la personne est connectée. Une étiquette calculée à partir de l'adresse IP, du navigateur, du jour et d'un secret permet de compter les visiteurs d'une même journée; elle change chaque jour et ne permet pas de suivre une personne d'un jour à l'autre. L'adresse IP elle-même n'est pas enregistrée dans ces comptes. But : savoir ce qui est utilisé et corriger les erreurs. Le journal technique du serveur (erreurs et accès refusés) peut contenir le chemin d'une page, sans ses paramètres, et aucune adresse IP; il est gardé 30 jours. Google Analytics reçoit aussi des renseignements sur chaque visite (voir « Qui reçoit les renseignements »).

Avoir un compte

Le courriel, le mot de passe (gardé sous forme d'empreinte chiffrée, jamais en clair), le nom (facultatif), la version des conditions d'utilisation acceptées et la date de l'acceptation, le jour de la dernière visite (une fois par jour au plus), les magasins préférés (jusqu'à 20), le code postal (le code complet saisi), les préférences alimentaires (végétarien, végan, sans lactose, sans gluten, keto, halal) et les dates de création et de mise à jour du compte. Les préférences alimentaires peuvent révéler une conviction religieuse ou un état de santé : elles servent seulement à proposer des idées de recettes, ne sont enregistrées que si la personne les choisit, et peuvent être retirées en tout temps. Les préférences de repas (nombre d'adultes et d'enfants, nombre de soupers par semaine, temps de cuisine maximal, budget par portion et mots à éviter, comme « arachides ») ne sont enregistrées que si la personne les donne et peuvent être retirées en tout temps; les mots à éviter peuvent révéler un état de santé et ne servent qu'à choisir les recettes d'un plan de repas. But : faire fonctionner le compte et retrouver la liste sur plusieurs appareils. Un compte Circulaires Québec sert aussi sur Samoto (samoto.app) : c'est le même compte, avec le même courriel et le même mot de passe, et la liste, les produits suivis et les recettes suivent la personne d'un site à l'autre. Ces sites appartiennent tous à 16555985 Canada Inc., qui garde ces renseignements dans une seule base de données.

Utiliser la liste, les produits suivis et les recettes

La liste d'épicerie (dans le navigateur et, avec un compte, sur le serveur), l'historique des gestes sur la liste (ajouts, retraits), les recettes ouvertes, les produits suivis, les suggestions reportées et les signalements d'origine (le courriel du compte et un texte libre de 500 caractères au plus). Sans compte, le même historique est lié à un identifiant anonyme gardé dans le navigateur. Les suggestions de la liste s'appuient sur les gestes de la personne sur sa propre liste durant les 12 dernières semaines; elles ne peuvent pas être désactivées pour le moment. L'historique copié depuis d'autres appareils reste lié à l'identifiant anonyme de ces appareils.

Planifier mes repas

Le plan de la semaine est enregistré avec le compte : les soupers placés sur chaque jour, avec une copie de chaque recette telle qu'elle était au moment du choix (titre, ingrédients, prix), les recettes que la personne a retirées et le résumé du coût. Les 8 semaines les plus récentes sont gardées; les plus anciennes sont retirées quand un nouveau plan est fait. Le plan est choisi parmi les recettes du site, sans fournisseur d'IA. Seul le choix « Une recette écrite pour moi » (dans Remplacer ou Ajouter un souper) fait écrire une recette par DeepSeek, un service d'intelligence artificielle (voir « Qui reçoit les renseignements ») : la demande contient les rabais du magasin du plan, le nombre de portions, les préférences alimentaires, les mots à éviter (qui peuvent révéler un état de santé), le temps de cuisine maximal et les titres des autres soupers du plan, jamais le courriel, le nom ni le code postal. La recette écrite est gardée dans le plan, comme les autres soupers; le journal des appels d'IA n'en garde ni le texte ni le compte, et un compteur sans texte limite le nombre de recettes écrites par semaine. Une recette écrite par IA peut contenir des erreurs. But : retrouver le plan d'une semaine à l'autre et en envoyer les ingrédients sur la liste.

Numériser une facture

Une personne connectée peut photographier une facture d'épicerie; la photo est envoyée à DeepSeek, qui la lit (ou, quand DeepSeek ne répond pas, lue sur l'ordinateur de l'exploitant), puis effacée : le site ne la garde pas. Pendant l'essai, les photos de l'exploitant et de l'équipe de révision sont gardées 30 jours pour améliorer la lecture. Quand la facture est enregistrée, le site garde ce qu'elle dit (le magasin, la date, les lignes, les totaux et le texte lu, sans les numéros de carte ni de fidélité) et s'en sert pour améliorer ses prix, ses suggestions et le site lui-même. Le texte des lignes de produits est aussi envoyé à DeepSeek pour reconnaître les produits (voir « Qui reçoit les renseignements »). Une facture ou une ligne peut être supprimée en tout temps depuis la page « Mes factures ». Le dictionnaire qui relie les textes imprimés sur les factures à des produits ne contient aucun identifiant de compte (il garde le texte, le produit et le nombre de comptes qui s'accordent) : il reste donc après la suppression d'un compte.

Utiliser le chat (Le Commis)

Le texte écrit est envoyé à DeepSeek, un service d'intelligence artificielle, pour obtenir une réponse (voir « Qui reçoit les renseignements »). Le site n'enregistre pas ce texte, sauf si la personne appuie sur 👍/👎 (la question, jusqu'à 2 000 caractères, et la réponse, jusqu'à 4 000, sont alors conservées) ou sur Partager (la conversation, jusqu'à 60 messages, devient une page publique accessible par son lien). Des compteurs sans texte et une étiquette qui change chaque jour (dérivée de l'adresse IP, sans permettre de la retrouver) sont conservés. Une photo ou un PDF de recette est lu sur l'ordinateur de l'exploitant (reconnaissance de texte), le fichier est supprimé aussitôt, et seul le texte lu est ensuite envoyé comme message du chat. Il est conseillé de ne pas écrire de renseignements personnels dans le chat; les réponses sont générées par IA et peuvent contenir des erreurs.

3. Témoins (cookies) et stockage dans le navigateur

Le site dépose les témoins suivants. Cloudflare peut aussi déposer ses propres témoins techniques de sécurité.

Le site écrit aussi dans le stockage du navigateur (il reste sur l'appareil, et n'est envoyé au site que là où cet avis le dit) :

4. Qui reçoit les renseignements

Aucun renseignement n'est vendu. Le site s'appuie sur des fournisseurs externes. Ils traitent certains renseignements pour le site selon leurs propres conditions, que le site ne contrôle pas; le site demeure responsable des renseignements qu'il leur confie. Certains sont hors du Québec, et DeepSeek est en Chine.

• Cloudflare (peut être hors du Québec) — Tout le trafic du site passe par son réseau : adresse IP, témoins, contenu des formulaires et du chat, pendant le transit.
• Google Analytics (peut être hors du Québec) — Chaque page ouverte (adresse complète, y compris le code postal de la zone ou les mots cherchés quand ils figurent dans l'adresse), l'adresse IP et le navigateur tels que Google les voit, et ces gestes : voir un produit, ajouter à la liste (produit, magasin, prix), partager, cliquer sur un lien, rechercher dans la bibliothèque de recettes (le texte cherché est envoyé). Aucun choix n'est proposé; Google applique ses propres règles.
• DeepSeek (peut être hors du Québec) — Le texte écrit dans le chat (jusqu'à 6 000 caractères), les 20 derniers échanges, le texte d'une recette collée ou lue depuis un lien ou un fichier, et les résultats de recherche. Ni compte, ni courriel de compte, ni adresse IP. Les courriels, codes postaux, numéros de téléphone et longs numéros écrits dans le message sont retirés avant l'envoi (les noms et le reste du texte ne le sont pas). Ses serveurs sont en Chine; sa politique prévoit que le texte peut servir à améliorer ses modèles, sans durée de conservation fixe, et qu'il peut être communiqué aux autorités. Quand une personne numérise une facture, la photo de la facture lui est aussi envoyée pour être lue, puis les lignes de produits, sous forme de texte (ce qui a été acheté et le prix payé), et le nom de la bannière, pour être reliés à des produits connus; les numéros de carte, de fidélité et de téléphone, les courriels et les codes postaux sont retirés de ce texte d'abord.
• Flipp, Loblaw, Metro, Open Food Facts… (peut être hors du Québec) — Les photos de produits viennent de ces sites : l'adresse IP et le navigateur de la personne leur sont visibles quand une photo s'affiche.
• Hébergement — Le site fonctionne sur un ordinateur de l'exploitant, derrière Cloudflare. Les copies de sauvegarde de la base sont gardées par l'exploitant, sur ses disques ou sur un serveur de développement partagé avec un partenaire.
• Resend (peut être hors du Québec) — Quand une personne demande un nouveau mot de passe, le courriel du compte et le lien à usage unique sont transmis à ce service d'envoi de courriels, aux États-Unis, qui envoie le message.
• Courrier (peut être hors du Québec) — Le fournisseur du courrier de l'adresse de contact reçoit ce qu'une personne écrit à cette adresse.
• Outils d'IA de l'exploitant (peut être hors du Québec) — L'exploitant utilise des outils d'intelligence artificielle pour maintenir le site; ces outils peuvent lire des journaux et des extraits de la base de données, dont des renseignements de comptes.

5. Combien de temps les renseignements sont gardés

• Les comptes de pages sont supprimés après 30 jours.
• Les ouvertures de recettes (avec l'étiquette du jour) sont supprimées après 90 jours.
• Une demande de nouveau mot de passe (le moment, et une empreinte du lien envoyé, jamais le lien lui-même) est supprimée après 1 jour. Le lien ne sert qu'une fois, pendant une heure.
• Une recette que l'IA n'a pas pu écrire pour un compte (essai échoué) est effacée après 7 jours. Une recette écrite est gardée dans « Mes recettes » jusqu'à ce que la personne la retire; elle est alors effacée aussi.
• Les plans de repas sont conservés tant que le compte existe, au plus 8 semaines; les plus anciens sont retirés quand un nouveau plan est fait.
• Les factures numérisées et enregistrées dans « Mes factures » (le magasin, la date, les lignes, les totaux et le texte lu, sans la photo) sont conservées tant que le compte existe. La personne peut supprimer une ligne ou une facture en tout temps; elles sont aussi supprimées avec le compte.
• Pendant l'essai de « Mes factures », les photos de factures de l'exploitant et de l'équipe de révision (jamais celles d'une autre personne) sont gardées 30 jours sur l'ordinateur de l'exploitant, hors de la base de données, puis supprimées lors du nettoyage du jeudi matin.
• Les compteurs du chat (sans le texte) et les fiches d'appels à l'IA (sans le texte) sont supprimés après 90 jours.
• Les compteurs d'utilisation de l'assistant (messages, recettes, plans et factures numérisées par jour et par semaine, et leur coût estimé, sans aucun texte) sont supprimés 90 jours après la dernière utilisation.
• Une conversation partagée reste accessible par son lien pendant 365 jours, puis est supprimée.
• Les fiches du chat portent une étiquette qui change chaque jour (calculée à partir de l'adresse IP, du navigateur, du jour et d'un secret) : elle ne permet ni de retrouver l'adresse ni de suivre une personne d'un jour à l'autre.
• Aucune empreinte stable d'adresse IP n'est conservée dans le chat.
• Le texte d'une conversation n'est pas enregistré. Pendant 30 minutes, la mémoire du serveur garde les échanges les plus récents pour que l'exploitant puisse corriger une erreur; rien n'est écrit sur le disque, et un redémarrage les efface.
• Une question et une réponse envoyées avec 👍/👎 sont supprimées après 90 jours.
• Le compte et tout ce qui lui appartient sont conservés tant que le compte existe. Sur demande écrite à l'adresse ci-dessus, ils sont supprimés (l'exploitant les efface lui-même, au plus tard dans les 30 jours).
• La page « Profil » permet aussi de télécharger une copie des données ou de supprimer le compte sur-le-champ, sans délai.
• Un compte sans visite pendant 12 mois est supprimé. Le site n'envoie pas de courriel : aucun avertissement n'est possible.
• Les lignes de l'historique de la liste sans compte (liées à l'identifiant anonyme du navigateur) sont supprimées quand elles ont plus de 6 mois (nettoyage chaque jeudi matin).
• Le courriel et le texte d'un signalement d'origine sont retirés quand il est traité, ou après 12 mois.
• L'exploitant fait des copies de sauvegarde de la base de données. Elles sont remplacées au fil du temps; l'objectif est de ne pas les garder plus de 30 jours.
• Le journal technique du serveur (erreurs) est gardé 30 jours; il ne contient plus de paramètres d'adresse ni d'adresse IP.
• Quand un compte est supprimé, son identifiant interne (un code sans courriel ni nom) est gardé 60 jours, pour que la restauration d'une copie de sauvegarde ne ramène pas le compte.
• Les traces de l'équipe de révision (qui a répondu, fusionné ou corrigé) sont conservées tant que la personne travaille sur le site. Sur demande, son courriel y est remplacé par un pseudonyme.

6. Les droits et comment les exercer

Toute personne peut demander à consulter les renseignements gardés sur elle, en obtenir une copie dans un format structuré, les faire corriger ou les faire supprimer, et retirer un consentement donné. Le nom, le code postal, les préférences alimentaires et les magasins se corrigent sur la page « Profil ». Une copie des données (fichier JSON) et la suppression immédiate du compte se font aussi sur cette page; le mot de passe est demandé, et les comptes de l'équipe du site se suppriment par courriel. Le reste se demande par écrit à hello@circulairesquebec.com, depuis l'adresse courriel du compte (c'est la façon de confirmer l'identité : le site ne vérifie pas les adresses à l'inscription). Un mot de passe oublié se change avec « Mot de passe oublié ? » sur la page de connexion : un lien, valable une heure et une seule fois, est envoyé au courriel du compte. Une réponse écrite est donnée dans les 30 jours. Une personne insatisfaite peut s'adresser à la Commission d'accès à l'information du Québec (cai.gouv.qc.ca).

7. Sécurité et incidents

Les mots de passe sont gardés sous forme d'empreinte chiffrée. Le témoin de connexion n'est pas lisible par les scripts de la page, et le site n'est servi que par connexion sécurisée (HTTPS). En cas d'incident de confidentialité, l'exploitant évalue le risque; s'il y a un risque de préjudice sérieux, il avise la Commission d'accès à l'information et les personnes concernées (par courriel, à la main, depuis l'adresse de contact) et inscrit l'incident dans un registre conservé 5 ans.

8. Équipe de révision

Quelques personnes aident à vérifier les données du site. Leur courriel est gardé avec ce qu'elles ont répondu, fusionné ou corrigé, pour que le travail soit traçable. Ces personnes ont les mêmes droits que toute autre, à la même adresse.

9. Enfants de moins de 14 ans

Le site n'est pas destiné aux enfants de moins de 14 ans. Une personne de moins de 14 ans ne devrait pas créer de compte sans l'accord d'un parent ou d'un tuteur.

10. Changements à cet avis

La version en vigueur est celle de cette page, avec sa date. Elle décrit ce que le site fait réellement : une règle prévue mais pas encore appliquée n'y figure pas comme si elle l'était.