Politique de confidentialité

Ce que nous collectons, et rien d'autre

Votre adresse e-mail, qui sert à vous connecter et à vous écrire. Elle est la seule donnée d'identification demandée : il n'y a ni mot de passe, ni numéro de téléphone, ni adresse postale.

Ce que vous saisissez : écritures, comptes, catégories, budgets, provisions, relevés de patrimoine. Ces données sont la raison d'être du service.

Vos réglages : la langue, le thème, la devise d'affichage, le rappel de saisie, les nouveautés par e-mail, et l’affichage simple ou avancé. Ils vivent sur le compte pour vous suivre d'un appareil à l'autre.

Des repères techniques : la date de création du compte, celle du dernier rappel envoyé, les sessions ouvertes, et ce que vous avez déjà vu — l'écran d'accueil, la visite guidée, les nouveautés d'une version.

Un journal de vos connexions : la date de chacune, et l'appareil réduit à une mention grossière telle que « chrome/windows ». Ni adresse IP, ni identifiant de navigateur. Il vous est montré dans vos réglages, parce que sans mot de passe, une connexion que vous ne reconnaissez pas est le seul signal d'alerte dont vous disposez.

La version des conditions d'utilisation que vous avez acceptée, et la date de cet accord. C'est la trace qui prouve le consentement, et elle est conservée pour cela.

Nous ne demandons jamais vos identifiants bancaires, et il n'existe aucune connexion à votre banque. C'est une conséquence directe du parti pris du produit.

Ce que nous comptons sans vous désigner

Trois compteurs tournent, et aucun ne porte d'identifiant ni de contenu. Un compteur de gestes : combien de fois, un jour donné, une écriture a été créée ou un budget déplacé — jamais par qui. Un compteur de refus : combien de fois le service a répondu « ce montant est illisible », par code de refus, jamais avec votre texte. Un compteur d'affichages des pages publiques : une page, un jour, un nombre.

L'éditeur calcule en outre des statistiques agrégées à partir de dates déjà enregistrées : combien de comptes ont saisi une première écriture, en combien de jours, combien sont encore actifs un mois après. Aucune donnée nouvelle n'est collectée pour cela.

Il n'y a ni traceur, ni script de mesure, ni cookie publicitaire, ni enregistrement de parcours ou de clics. Un rejeu de session sur une application de finances enregistrerait vos montants : c'est écarté, et délibérément.

Pourquoi nous les traitons

Pour fournir le service que vous avez demandé : l'exécution du contrat qui nous lie dès que vous ouvrez un compte.

Pour vous envoyer un rappel de saisie lorsque rien n'a été enregistré depuis quinze jours. Ce rappel se coupe dans les réglages, et le lien pour le couper figure dans chaque message.

Pour vous envoyer les nouveautés de chaque version. Si elles vous ont été annoncées à l'ouverture de votre compte, avec de quoi les refuser : intérêt légitime de l'éditeur à informer ses utilisateurs de l'évolution du service qu'ils utilisent. Sinon, seulement si vous les avez demandées : votre consentement. Dans les deux cas, elles s'arrêtent dans les réglages ou par le lien que porte chaque message, sans avoir à vous connecter.

Pour vous prévenir d'un changement des conditions d'utilisation, et garder la preuve de votre accord : obligation légale et exécution du contrat.

Pour vous montrer vos connexions récentes et vos sessions ouvertes : intérêt légitime, et le vôtre en premier — c'est ce qui vous permet de repérer un accès que vous n'avez pas fait.

Pour répondre à un message envoyé par le formulaire de contact.

Pour compter les gestes, les refus et les affichages — intérêt légitime de l'éditeur à savoir où son produit se laisse abandonner. Aucun résultat ne désigne quiconque.

Qui y a accès

Vous. L'éditeur peut techniquement accéder à la base pour l'exploiter et la sauvegarder, mais ne consulte pas le contenu des comptes.

Deux sous-traitants interviennent. OVH SAS héberge le serveur, la base et les sauvegardes, en France — Strasbourg pour le serveur, Gravelines pour les copies. Resend, Inc. achemine les e-mails ; cette société étant établie aux États-Unis, l'acheminement de votre adresse e-mail et du contenu des messages constitue un transfert hors Union européenne, encadré par les clauses contractuelles types de la Commission européenne.

Aucune donnée n'est vendue, louée, échangée ou transmise à quiconque d'autre.

Combien de temps, et ce que la suppression efface vraiment

Vos données sont conservées tant que votre compte existe. Le supprimer efface immédiatement et définitivement tout ce que la base contient : il n'y a ni corbeille, ni délai de grâce.

Le journal de vos connexions est effacé au-delà de douze mois, sans que vous ayez à le demander.

Les codes et jetons de connexion expirent en quinze minutes et sont stockés hachés.

Les sauvegardes, elles, ne s'effacent pas à la demande, et il faut le dire clairement. Une copie quotidienne est gardée quatorze jours sur le serveur et trente-cinq jours hors serveur ; une copie mensuelle est gardée quatre cents jours. Ces copies hors serveur sont verrouillées : le dispositif qui les protège d'un effacement malveillant empêche aussi de les effacer par avance, y compris à notre propre demande.

Concrètement : un compte supprimé disparaît immédiatement du service, et peut subsister au plus quatre cents jours — un peu plus de treize mois — dans une sauvegarde chiffrée. Ces sauvegardes ne servent qu'à remettre le service entier en marche après un incident ; elles ne sont jamais consultées ni exploitées autrement, et une restauration serait suivie d'un nouvel effacement des comptes supprimés depuis.

Vos droits

Accès et portabilité : l'écran Paramètres permet de télécharger l'intégralité de vos données, en JSON pour tout emporter et en CSV pour les ouvrir dans un tableur. Aucune demande n'est nécessaire.

Effacement : le même écran supprime définitivement votre compte. La réserve des sauvegardes, expliquée ci-dessus, est la seule limite à cet effacement.

Rectification : toutes vos données sont modifiables directement dans l'application.

Opposition et limitation : écrivez-nous par le formulaire de contact.

Vous pouvez également introduire une réclamation auprès de la CNIL, 3 place de Fontenoy, 75007 Paris.

Cookies, et ce que votre appareil retient

Trois cookies, et aucun ne sert à vous suivre. Un cookie de session, indispensable pour rester connecté. Un cookie de langue, qui retient le français ou l'anglais. Un cookie temporaire qui retient l'adresse saisie le temps d'aller chercher son code de connexion. Un quatrième n'existe que pour l'éditeur, sur son propre compte, et sert à ouvrir le tableau d'exploitation.

Votre choix de thème clair ou sombre est stocké par le navigateur, sur votre appareil, et ne nous est jamais transmis.

Dans l'application pour téléphone, il n'y a pas de cookie : le jeton qui vous garde connecté est confié au trousseau du système — celui d'iOS, le magasin chiffré d'Android —, et rien d'autre n'y est stocké.

Aucun de ces éléments n'étant destiné à la mesure d'audience ou à la publicité, aucun bandeau de consentement n'est requis.

Sécurité

Les échanges sont chiffrés en TLS. Il n'existe aucun mot de passe à dérober : l'authentification repose sur un lien ou un code à usage unique, dont le jeton est stocké haché et expire en quinze minutes.

Chaque requête à la base est filtrée par identifiant d'utilisateur, au niveau le plus bas du code, de sorte qu'une erreur de programmation ne puisse pas exposer les données d'un autre compte. Cette isolation est éprouvée automatiquement, à chaque modification, contre une vraie base de données.

La base est sauvegardée chaque nuit et avant chaque mise en production, les copies sont chiffrées avant de quitter le serveur, et la restauration est vérifiée.