Une photo de repas révèle des habitudes alimentaires : NutriScan la traite comme une donnée de santé de fait, même si elle n'en a pas le statut légal. Cette page dit précisément ce qui est gardé, où, et pour combien de temps.
| Donnée | Où | Durée |
|---|---|---|
| La photo du repas | Azure Blob Storage, France Central (UE) | 7 jours, purge automatique (règle de cycle de vie du stockage — pas du code applicatif qu'on peut oublier d'appeler) |
| Ton adresse IP | Hachée avant tout usage (jamais stockée en clair) — sert uniquement à limiter le nombre d'analyses par heure/jour et à plafonner la dépense quotidienne par visiteur, pour éviter qu'un abus par une seule IP n'épuise le budget de tout le monde | Compteur de débit : en mémoire, perdu au redémarrage. Compteur de dépense : remis à zéro chaque jour (Azure Blob Storage, France Central) |
| Vérification anti-robot (Cloudflare Turnstile) | Cloudflare — le jeton est vérifié côté serveur à chaque appel, jamais stocké | — |
| Une correction de portion (curseur ou saisie) | Journal applicatif ; identité réduite à un hash opaque, jamais l'IP ou l'adresse mail en clair | Conservée : c'est ce qui améliore le modèle de poids (aucune image, aucune identité) |
| Le code-barres d'un produit emballé | Jamais envoyé à NutriScan — lu et interrogé sur Open Food Facts directement depuis le téléphone | — |
NutriScan sait enregistrer un historique de repas, mais cette fonction est désactivée en accès public : une adresse IP n'identifie ni durablement ni exclusivement une personne (elle change, et un foyer ou un réseau partagé la partage entre plusieurs personnes) — l'utiliser mélangerait les repas de visiteurs différents dans une même vue, ce que NutriScan refuse de risquer. L'appel à l'API du journal est refusé (404) tant que l'accès reste public.
NutriScan est accessible sans compte : une vérification anti-robot (Cloudflare Turnstile, invisible) distingue un humain d'un script avant chaque analyse. Chaque visiteur est limité en nombre d'analyses par heure et par jour, et à un plafond de dépense quotidien qui lui est propre — épuiser son propre plafond ne bloque personne d'autre. Cloudflare applique en plus une limite de débit à la frontière du réseau, avant même que la requête n'atteigne le serveur.