Politique de confidentialité

Qui est responsable

Le responsable du traitement décrit ici est Andrey Fedyukov, Mecumstraße 52, 40225 Düsseldorf, Allemagne.

Pour toute question sur tes données, écris à [email protected]. Tu peux aussi introduire une réclamation auprès d’une autorité de contrôle de la protection des données dans le pays de l’UE où tu vis.

Ce que nous enregistrons

Les données de compte, si tu en crées un : ton adresse e-mail, les identifiants de la méthode de connexion utilisée (Apple ou Google, si tu te connectes ainsi) et les horodatages techniques de tes sessions.

Le livre lui-même : opérations, comptes, catégories, opérations récurrentes, paiements prévus, budgets, réglages de devises et les notes que tu écris. Si tu partages un livre, la composition de ce groupe et ses codes d’invitation.

Si tu achètes Topf Plus : le fait que l’achat a eu lieu et sa durée de validité, l’identifiant anonyme que le service d’achat attribue à ton installation et, si tu as un compte, le lien entre les deux. Ni ta carte, ni ton identifiant Apple, ni ton compte Google : la boutique les conserve et ne nous en montre aucun.

Si tu utilises la saisie vocale avec un compte : pour chaque mois civil, le nombre de saisies vocales réussies imputées à ton compte, afin d’appliquer la limite en vigueur — une limite mensuelle dans la version gratuite et, avec Plus, un plafond qui protège contre les abus. Sont enregistrés le mois civil, ce nombre et l’heure de sa dernière modification ; la phrase que tu as prononcée et les brouillons qui en sont issus ne le sont pas. Dans un livre partagé, les saisies vocales des membres qui n’ont pas leur propre Plus sont imputées au compte du propriétaire du groupe.

Si tu utilises le scan de tickets avec un compte : pour chaque mois civil, le nombre de tickets lus pour ton compte, afin d’appliquer la limite en vigueur. Comme pour la saisie vocale, sont enregistrés le mois civil, ce nombre et l’heure de sa dernière modification ; la photo du ticket et les brouillons qui en sont issus ne le sont pas. Dans un livre partagé, les scans des membres qui n’ont pas leur propre Plus sont imputés au compte du propriétaire du groupe.

C’est la liste complète de ce qui est enregistré avec un compte. L’app ne contient ni identifiant publicitaire, ni empreinte de l’appareil, ni suivi par des tiers ; les statistiques d’utilisation décrites plus bas ne sont pas liées à ton compte.

Utiliser l’app sans compte

Topf s’utilise sans compte. Ton livre reste alors sur ton appareil et n’est pas envoyé. La saisie vocale et le scan de tickets ont besoin d’internet et envoient des données quand tu les utilises. Les achats de Plus passent par l’App Store ou Google Play et le service d’achat. L’app envoie aussi des statistiques d’utilisation anonymes, que tu peux désactiver. Le détail figure plus bas.

Pourquoi nous traitons ces données, et sur quelle base

Pour fournir le produit que tu as choisi d’utiliser : conserver ton livre, le synchroniser entre tes appareils et le restaurer sur un nouveau. Base légale : exécution du contrat (art. 6, par. 1, point b du RGPD).

Pour te connecter : envoi du code de connexion à ton adresse e-mail. Base légale : exécution du contrat (art. 6, par. 1, point b du RGPD).

Pour savoir si tu as Plus : vérification de l’achat auprès du service d’achat et conservation de son état actuel sur notre serveur. Base légale : exécution du contrat (art. 6, par. 1, point b du RGPD).

Pour appliquer les limites mensuelles de saisies vocales et de scans de tickets : décompte des uns et des autres par mois civil, car la version gratuite n’en comprend qu’un nombre limité. Base légale : exécution du contrat (art. 6, par. 1, point b du RGPD).

Pour comprendre comment l’app est utilisée et l’améliorer : statistiques d’utilisation. Base légale : intérêt légitime (art. 6, par. 1, point f du RGPD).

Pour que le service fonctionne et que la saisie vocale et le scan de tickets ne soient pas détournés. Base légale : intérêt légitime (art. 6, par. 1, point f du RGPD).

Où sont les données

Une copie complète de ton livre se trouve sur ton appareil, dans une base de données locale, et y fonctionne sans réseau.

Si tu as un compte, les mêmes données sont stockées dans une base PostgreSQL hébergée par Supabase à Francfort, en Allemagne (AWS eu-central-1), et arrivent sur tes appareils via le service de synchronisation PowerSync. L’accès est limité utilisateur par utilisateur par une sécurité au niveau des lignes (row-level security) : un compte lit son propre livre et, s’il fait partie d’un livre partagé, ce livre-là.

Saisie vocale

Lors d’une saisie vocale, ta phrase est normalement transcrite par le service de reconnaissance vocale de ton appareil. Sur iPhone, c’est celui d’Apple ; sur Android, c’est le service choisi dans le système, le plus souvent celui de Google. Il peut fonctionner sur l’appareil ou sur les serveurs de son fournisseur, selon les conditions de celui-ci. Seul le texte obtenu est envoyé à notre serveur, avec le contexte nécessaire pour le comprendre : la langue de l’interface, la date du jour, ton fuseau horaire, ta devise principale et les noms de tes comptes et catégories actifs.

Ce texte est transmis à OpenAI, qui le transforme en brouillons d’opérations. Les brouillons reviennent sur ton appareil et te sont présentés ; rien n’est inscrit dans ton livre tant que tu n’as pas confirmé.

Si la reconnaissance de l’appareil n’est pas disponible, c’est l’enregistrement lui-même qui est envoyé et transcrit par le même prestataire. Dans les deux cas, le son et le texte ne font que traverser notre fonction en mémoire et ne sont pas conservés par nous — ni dans la base de données, ni dans un fichier, ni dans un journal. Si tu utilises un compte, une saisie réussie ne fait qu’augmenter d’une unité le nombre mensuel décrit plus haut.

OpenAI traite ces données pour notre compte, en tant que sous-traitant. Son API est utilisée avec le réglage qui exclut les données transmises de l’entraînement des modèles ; pour détecter les abus, le prestataire peut conserver la requête et sa réponse jusqu’à 30 jours, ou plus longtemps si la loi l’exige ou si cela est raisonnablement nécessaire pour protéger ses services ou des tiers contre un préjudice. Ne dicte rien que tu ne voudrais pas voir passer chez un sous-traitant.

Scan de tickets

Pour scanner un ticket, tu le prends en photo dans l’app ou tu choisis une image dans tes photos ; l’app ne reçoit que la photo que tu choisis. Avant de quitter ton appareil, la photo est réduite et enregistrée à nouveau sans ses métadonnées, comme le lieu et l’heure de la prise de vue. Rien n’est envoyé tant que tu ne l’as pas autorisé dans l’app, et tu peux retirer cette autorisation à tout moment dans Paramètres → Confidentialité.

La photo part vers notre serveur avec le contexte nécessaire pour la lire : la langue de l’interface, la date du jour, ton fuseau horaire, ta devise principale et les noms de tes catégories de dépenses. De là, elle est transmise à OpenAI, qui lit le ticket et en tire des brouillons d’opérations. Les brouillons reviennent sur ton appareil et te sont présentés ; rien n’est inscrit dans ton livre tant que tu ne l’as pas confirmé.

Tout ce qui est imprimé sur le ticket part avec la photo : si ton nom, ton adresse ou ton adresse e-mail y figurent, OpenAI les reçoit aussi. La photo traverse notre fonction en mémoire et nous ne la conservons pas, ni dans la base de données, ni dans un fichier, ni dans un journal. Si tu utilises un compte, un ticket lu augmente de un le nombre mensuel de scans ; une photo dont rien n’a pu être lu n’est pas comptée.

OpenAI traite ces données pour notre compte, en tant que sous-traitant, avec les mêmes réglages et la même conservation pour la détection des abus que pour la saisie vocale. Ne scanne rien que tu ne voudrais pas voir passer chez un sous-traitant.

E-mail

Les codes de connexion sont envoyés via Amazon Simple Email Service (AWS, Francfort, Allemagne). Le service reçoit ton adresse e-mail pour distribuer le message. Nous n’envoyons pas d’e-mails publicitaires et il n’y a pas de liste de diffusion.

Taux de change

Les taux de change quotidiens proviennent du service public api.frankfurter.dev. La requête est faite une fois par jour par notre serveur, pour tout le monde, et non par ton appareil : utiliser plusieurs devises ne lui apprend donc rien sur toi.

Achats

Topf Plus s’achète avec ou sans compte : sur iPhone via l’App Store d’Apple, sur Android via Google Play. Le paiement est géré par la boutique : nous n’avons accès ni à ta carte, ni à ton identifiant Apple, ni à ton compte Google. Apple et Google traitent l’achat en tant que responsables du traitement indépendants, selon leurs propres politiques de confidentialité. RevenueCat (RevenueCat, Inc., États-Unis) reçoit la preuve d’achat de la boutique (le reçu de l’App Store ou le jeton d’achat de Google Play), un identifiant anonyme de ton installation et, si tu as un compte, l’identifiant de ce compte, et indique à l’app et à notre serveur si Plus est actif et jusqu’à quand. RevenueCat traite ces données pour notre compte, en tant que sous-traitant ; le transfert vers les États-Unis repose sur les clauses contractuelles types de l’UE.

Statistiques d’utilisation

Pour comprendre où les gens décrochent et ce qu’il faut améliorer, l’app envoie des statistiques d’utilisation à PostHog (PostHog Inc., États-Unis ; les données sont stockées dans l’UE, à Francfort) : la façon dont l’app est utilisée — quels écrans sont ouverts et quelles actions y sont effectuées. Chaque événement contient la version de l’app, le système d’exploitation et sa version, la langue, le fuseau horaire et un identifiant aléatoire de l’installation.

Ne sont jamais envoyés : les montants, les notes, les noms des comptes et des catégories, ce que tu as dit, ton adresse e-mail ni l’identifiant de ton compte. L’adresse IP est écartée et ne sert pas à déterminer ta position. Les statistiques ne sont pas liées à ton compte ; après une réinstallation de l’app, l’identifiant de l’installation est nouveau. L’envoi peut être désactivé dans l’app : Paramètres → Confidentialité → Statistiques d’utilisation.

Base légale : notre intérêt légitime à améliorer l’app (art. 6, par. 1, point f du RGPD). PostHog traite ces données pour notre compte, en tant que sous-traitant ; le transfert vers les États-Unis repose sur les clauses contractuelles types de l’UE. Les événements restent disponibles pour l’analyse pendant un an ; les plus anciens n’apparaissent plus dans les rapports, mais PostHog peut les conserver dans ses archives. Comme les statistiques ne sont pas liées à toi, nous ne pouvons ni isoler ni supprimer les événements d’une installation donnée.

Ce site

Le site est hébergé sur Cloudflare Pages. Il n’a ni formulaire, ni cookie, ni outil d’analyse, ni contenu tiers intégré. Seule la page d’accueil lit les langues réglées dans ton navigateur, pour s’ouvrir dans l’une d’elles, et rien n’en est conservé. Cloudflare traite les données techniques que voit tout serveur web — ton adresse IP, l’adresse demandée, le user agent — pour afficher la page et protéger le service.

Qui d’autre voit les données

Uniquement les sous-traitants cités plus haut, chacun pour la seule tâche qu’il accomplit :

• Supabase — hébergement de la base de données et du service de connexion ;
• PowerSync — synchronisation entre la base de données et tes appareils ;
• OpenAI — transformation d’une phrase prononcée ou de la photo d’un ticket en brouillons ;
• Amazon Web Services — distribution des e-mails et infrastructure sur laquelle tourne la base de données ;
• RevenueCat — traitement des achats intégrés et état de ton droit à Plus ;
• PostHog — statistiques d’utilisation de l’app ;
• Cloudflare — hébergement de ce site et du domaine.

Nous veillons à ce que les tiers auxquels nous transmettons des données d’utilisateurs les protègent dans une mesure identique ou équivalente à celle décrite dans la présente politique de confidentialité et exigée par les règles de protection des données applicables à notre app.

Tes données ne sont ni vendues, ni louées, ni communiquées à des annonceurs, ni utilisées pour entraîner les modèles de qui que ce soit.

Durée de conservation

Aussi longtemps que ton compte existe. La suppression du compte supprime le livre sur le serveur ; une copie déjà synchronisée sur tes propres appareils disparaît quand tu te déconnectes ou supprimes l’app.

Une opération que tu supprimes dans l’app disparaît aussitôt du livre et de tous les totaux ; juste après, la suppression peut encore être annulée. Sur le serveur, elle reste enregistrée, marquée comme supprimée, jusqu’à la suppression de ton compte.

Tes droits

Le RGPD te donne un droit d’accès, de rectification, d’effacement, de limitation du traitement et de portabilité des données, ainsi que le droit de t’opposer à un traitement fondé sur l’intérêt légitime.

La suppression est intégrée à l’app : Paramètres → Compte → Supprimer le compte efface tes données sur le serveur et, si tu te connectes avec Apple, révoque aussi cette autorisation. Pour tout le reste, écris à [email protected].

Enfants

Topf ne s’adresse pas aux enfants et n’est pas destiné aux personnes de moins de 16 ans.

Modifications

Quand cette politique change, la date en haut change avec elle. Une modification qui touche sensiblement la façon dont tes données sont traitées sera annoncée dans l’app avant de prendre effet.