Portée et données que nous traitons

Cette politique explique comment Pour & Cure traite les renseignements personnels liés à l’application et au site. Les recettes, formules, inventaires, coûts, séances, lots, essais, notes, étiquettes, photos, rapports IA et données de vente d’un atelier peuvent être confidentiels même s’ils ne sont pas toujours des renseignements personnels. Nous les traitons comme des données privées d’atelier.

• Compte : adresse courriel, identifiant de compte, données d’authentification gérées par Supabase et renseignements de plan.
• Atelier : les données que vous créez ou importez dans l’application, incluant photos et commentaires.
• Paiement : identifiants client et abonnement Stripe, état du plan et données de transaction nécessaires au service. Nous ne recevons pas votre numéro de carte complet.
• IA : les extraits de texte, données de recette ou de lot et photos que vous choisissez d’envoyer avec une demande IA; si vous utilisez votre propre clé xAI, une copie chiffrée de cette clé et ses quatre derniers caractères sont conservés pour fournir cette option.
• Soutien : votre courriel, votre message, votre plan et la version de l’application lorsque vous envoyez des commentaires.
• Technique : données d’appareil et de navigateur, adresse IP, heure de requête, journaux de sécurité ou d’erreur et témoins/stockage nécessaires au fonctionnement.

Comment et pourquoi

Nous recueillons les renseignements que vous fournissez, ceux générés lorsque vous utilisez le service et ceux nécessaires auprès de nos fournisseurs de paiement ou d’hébergement. Nous les utilisons pour créer et sécuriser votre compte, synchroniser votre atelier lorsque vous l’activez, fournir les fonctions demandées, traiter l’abonnement, répondre au soutien, prévenir la fraude ou l’abus, respecter la loi et améliorer la fiabilité du service. Nous ne vendons ni ne louons vos données d’atelier et nous ne les fournissons pas à des annonceurs.

Données locales, synchronisation et photos

Sans connexion, l’application enregistre des données sur votre appareil au moyen du stockage du navigateur, d’IndexedDB et du cache de l’application. Les recettes et dossiers hors ligne restent sur l’appareil : Pour & Cure ne les reçoit pas tant que vous n’activez pas la synchronisation nuage ou une autre fonction réseau (IA, photo nuage, facturation). Ces données peuvent être perdues si vous effacez le navigateur, réinitialisez ou perdez l’appareil. Lorsque vous vous connectez et utilisez la synchronisation, les données d’atelier sont enregistrées dans votre espace privé Supabase; les photos peuvent être enregistrées dans des espaces de stockage privés. Les QR des étiquettes sont produits localement dans le navigateur : le texte de l’étiquette n’est pas envoyé à un service QR externe.

IA

Les fonctions IA ne s’exécutent que lorsque vous les déclenchez. Seuls les renseignements sélectionnés pour cette demande sont transmis à xAI afin de produire la réponse. Pour la configuration API par défaut actuelle, xAI indique que les entrées et sorties API ne sont pas utilisées pour entraîner ses modèles sans permission expresse, mais qu’elles peuvent être conservées jusqu’à 30 jours à des fins d’audit; cette durée dépend de la configuration xAI et peut changer. Une clé xAI personnelle signifie aussi que votre utilisation est assujettie à votre propre compte et à vos conditions xAI. Avant le premier envoi, l’application vous informe que le texte et les photos choisis passent par notre fonction vers xAI et peuvent y être conservés pour surveillance d’abus. N’envoyez pas de secrets, mots de passe, informations bancaires, ni des données d’un client ou des photos de tiers sans autorisation.

Fournisseurs et transferts hors Québec

Pour fournir le service, nous pouvons communiquer les renseignements nécessaires à des fournisseurs qui agissent pour nous ou avec vous : Supabase (authentification, base de données et stockage), Netlify (hébergement et fonctions), Stripe (paiement et portail de facturation) et xAI (seulement pour une demande IA). Ces fournisseurs peuvent traiter ou conserver des renseignements au Canada, aux États-Unis ou dans d’autres territoires. Le niveau de protection peut alors différer de celui du Québec et les autorités de ces territoires peuvent y avoir accès selon leurs lois. Nous utilisons des mesures contractuelles et techniques raisonnables avant de confier des renseignements à ces fournisseurs; aucune mesure ne rend un service Internet sans risque.

Accès de l’exploitant

L’accès à votre atelier n’est pas public. L’exploitant autorisé peut néanmoins accéder aux données nécessaires pour répondre à une demande de soutien, résoudre un incident, protéger le service, enquêter sur un abus, gérer la facturation ou respecter une obligation légale. Cet accès n’est pas une utilisation de routine de vos recettes ou de vos photos.

Conservation, suppression et sauvegarde

Nous conservons les données de compte et d’atelier pendant que votre compte est actif et aussi longtemps que nécessaire aux fins décrites ici. Vous pouvez exporter votre atelier depuis l’application. Vous pouvez demander la fermeture et la suppression du compte par courriel. Avant une suppression, annulez d’abord l’abonnement dans « Gérer la facturation ». La suppression du compte n’est pas à elle seule une annulation Stripe. Une fois la facturation arrêtée, les données d’atelier, commentaires, clés IA et photos sont supprimés lorsque possible. Des copies résiduelles peuvent demeurer temporairement dans les sauvegardes, journaux ou systèmes de fournisseurs, et certaines données de facturation ou de transaction peuvent devoir être conservées selon la loi. Les messages de soutien peuvent être conservés jusqu’à leur résolution puis supprimés ou dépersonnalisés selon les besoins réels du service.

Vos droits

Sous réserve des limites légales et d’une vérification raisonnable de votre identité, vous pouvez demander l’accès à vos renseignements personnels, leur correction, des précisions sur les communications à des tiers, le retrait d’un consentement non nécessaire, la suppression lorsque permise et la réception des renseignements personnels informatisés dans un format technologique structuré et couramment utilisé. Nous expliquerons tout refus requis ou permis par la loi. Vous pouvez aussi porter plainte auprès de la Commission d’accès à l’information du Québec.

Publicité, profilage et témoins

Nous n’utilisons pas de publicité ciblée, d’analytique comportementale, de géolocalisation marketing ni de profilage commercial. Les témoins et le stockage servant à l’authentification, à la sécurité, au thème, à la langue et au fonctionnement hors ligne de l’application sont essentiels.

Conservation

Critères habituels, sous réserve d’une obligation légale contraire : compte et atelier tant que le compte est actif; photos d’atelier tant que vous les gardez ou jusqu’à la suppression du compte; messages de soutien jusqu’à résolution puis suppression ou dépersonnalisation; journaux de sécurité ou d’erreur jusqu’à environ 12 mois; copies de sauvegarde de fournisseurs jusqu’à environ 90 jours après une suppression; dossiers Stripe de facturation selon les règles fiscales et de lutte contre la fraude (souvent plusieurs années); extraits envoyés à xAI selon la configuration xAI (souvent jusqu’à 30 jours du côté xAI).

Demandes et incidents

Écrivez à pourandcure@pm.me. Nous vérifions l’identité du compte avant un accès, une correction, un retrait de consentement ou une suppression. Nous accusons généralement réception dans les 30 jours et expliquons tout délai. En cas d’incident de confidentialité présentant un risque de préjudice sérieux, nous aviserons les personnes concernées et la Commission d’accès à l’information lorsqu’exigé.

Sécurité, enfants et changements

Nous appliquons des mesures raisonnables adaptées à la sensibilité des données, notamment le chiffrement en transit, des contrôles d’accès et des espaces privés. Aucun système n’est invulnérable. L’application n’est pas destinée aux enfants de moins de 14 ans; ne créez pas de compte pour eux sans l’autorisation requise d’un parent ou tuteur. Nous afficherons toute modification importante de cette politique et demanderons un consentement distinct lorsqu’il est requis.

Privacy Policy

English translation for convenience. The French version applies in Québec to the extent required by law.

Scope and data we handle

This policy explains how Pour & Cure handles personal information connected with the app and site. Recipes, formulas, inventory, costs, sessions, batches, tests, notes, labels, photos, AI reports, and sales data may be confidential even when not always personal information. We treat them as private shop data.

• Account: email, account ID, Supabase-managed authentication data, and plan information.
• Shop: data you create or import, including photos and comments.
• Payment: Stripe customer and subscription identifiers, plan status, and transaction information needed for service—not full card numbers.
• AI: text, recipe/batch data, and photos you select for an AI request; when you use your own xAI key, an encrypted copy and its last four characters are held to provide that option.
• Support: your email, message, plan, and app version when you submit feedback.
• Technical: device/browser data, IP address, request time, security/error logs, and essential cookies or storage.

How and why

We collect information you provide, information created through your use, and information needed from payment or infrastructure providers. We use it to create and secure your account, sync your shop when enabled, provide requested features, process subscriptions, answer support, prevent fraud or abuse, comply with law, and improve service reliability. We do not sell or rent your shop data or give it to advertisers.

Local data, sync, and photos

Without sign-in, the app saves information on your device through browser storage, IndexedDB, and app cache. Offline-only recipes and records stay on the device: Pour & Cure does not receive them until you turn on cloud sync or another network feature (AI, cloud photos, billing). They may be lost if you clear browser data, reset, or lose the device. When you sign in and use sync, shop data is stored in your private Supabase workspace and photos may be stored in private storage. Label QR codes are generated locally in the browser; label text is not sent to an outside QR service.

AI

AI runs only when you trigger it. Only data selected for that request is sent to xAI to generate an answer. Under xAI’s current default API setup, xAI says API inputs and outputs are not used to train models without explicit permission, but may be retained for up to 30 days for auditing; this can vary by xAI configuration and change. A personal xAI key also makes your use subject to your own xAI account and terms. Before the first send, the app tells you that the selected text and photos go through our function to xAI and may be kept there for abuse monitoring. Do not send secrets, passwords, banking data, or a customer’s data or third-party photos without authority.

Providers and transfers outside Québec

We may disclose necessary data to providers acting for us or with you: Supabase (authentication, database, storage), Netlify (hosting and functions), Stripe (payments and billing portal), and xAI (only for an AI request). They may process or store data in Canada, the United States, or elsewhere. Protection may differ from Québec and authorities there may access it under local law. We use reasonable contractual and technical safeguards before entrusting data to providers, but no Internet service is risk-free.

Operator access

Your workspace is not public. An authorized operator may access data needed to answer support, resolve an incident, secure the service, investigate abuse, manage billing, or comply with law. This is not routine use of your recipes or photos.

Retention, deletion, and backup

We keep account and shop data while your account is active and as needed for the purposes above. You can export your shop in the app. You may request account closure and deletion by email. Cancel the subscription in Manage billing first. Deleting the account is not by itself a Stripe cancellation. Once billing is stopped, shop data, feedback, AI keys, and photos are deleted where possible. Residual copies may temporarily remain in backups, logs, or provider systems, and billing/transaction information may need to be retained by law. Support messages may be retained until resolved and then deleted or de-identified as genuinely needed.

Your rights

Subject to legal limits and reasonable identity verification, you may request access, correction, details of third-party disclosures, withdrawal of non-essential consent, deletion where permitted, and computerized personal information in a structured, commonly used technological format. We will explain any refusal required or allowed by law. You may also complain to Québec’s Commission d’accès à l’information.

Advertising, profiling, and cookies

We do not use targeted advertising, behavioural analytics, marketing geolocation, or commercial profiling. Cookies and storage used for sign-in, security, theme, language, and offline app function are essential.

Retention

Usual criteria, unless law requires otherwise: account and shop data while the account is active; shop photos until you delete them or the account is closed; support messages until resolved, then deleted or de-identified; security or error logs about 12 months; provider backups about 90 days after a deletion; Stripe billing records per tax and fraud rules (often several years); excerpts sent to xAI per xAI’s setup (often up to 30 days on xAI’s side).

Requests and incidents

Write pourandcure@pm.me. We verify account identity before access, correction, consent withdrawal, or deletion. We usually acknowledge within 30 days and explain any delay. If a privacy incident presents a risk of serious harm, we will notify affected people and Québec’s Commission d’accès à l’information when required.

Security, children, and changes

We use reasonable safeguards suited to data sensitivity, including encryption in transit, access controls, and private storage. No system is invulnerable. The app is not intended for children under 14; do not create an account for one without required parent/guardian authorization. We will post material changes and obtain separate consent where required.