Politique de confidentialité

Ce que Budgiva enregistre, pourquoi, où, et comment vous en reprenez le contrôle.

Dernière mise à jour : 30 septembre 2026

1. Qui est responsable de vos données

Budgiva est édité par un particulier, à titre non professionnel et sans but lucratif. Conformément à l'article 6 III 2 de la loi pour la confiance dans l'économie numérique, ses coordonnées d'identification sont détenues par l'hébergeur, qui est tenu au secret professionnel à leur égard.

Pour toute question relative à vos données, ou pour exercer vos droits, écrivez à contact@budgiva.com. Toute demande reçoit une réponse dans un délai d'un mois, conformément au RGPD.

Hébergeurs

• Cloudflare, Inc. — 101 Townsend Street, San Francisco, CA 94107, États-Unis. Héberge les fichiers de l'interface.
• Supabase Pte. Ltd. — 65 Chulia Street, #38-02/03, OCBC Centre, Singapour 049513. Héberge la base de données, dans sa région européenne (voir le point 4).

2. Quelles données sont enregistrées

Presque toutes les données ci-dessous proviennent de vous ; les trois dernières lignes du tableau sont posées par l'application. Aucune n'est déduite de votre comportement, achetée, ou collectée ailleurs.

Ce qui n'est jamais enregistré

• Aucune donnée bancaire. Budgiva ne se connecte à aucune banque et ne demande jamais d'identifiants bancaires. Il n'y a rien à relier.
• Aucune coordonnée de paiement, ni numéro de carte.
• Aucun résultat de projection. Les projections, écarts et dates d'atteinte sont recalculés à chaque affichage, à partir de vos chiffres. Ils ne sont stockés nulle part.
• Aucune donnée de localisation, aucun profil publicitaire.

Certaines choses enregistrées ne viennent pas de votre saisie : la trace des rappels qui vous ont été envoyés (point 6), le compteur d'usage de l'agent IA, la formule enregistrée sur votre compte, et la trace technique d'un plantage de l'affichage. Aucune ne contient un chiffre de votre budget ni un libellé que vous avez écrit.

3. Sur quelle base légale

• L'exécution du contrat (article 6.1.b du RGPD) pour tout ce qui est nécessaire au fonctionnement : votre compte et vos données financières. Sans elles, l'application ne peut simplement rien calculer.
• L'intérêt légitime (article 6.1.f) pour la sécurité du service : empêcher les accès non autorisés et les abus.
• L'intérêt légitime encore (article 6.1.f) pour le rappel mensuel. Un budget qu'on ne met plus à jour cesse de servir sans prévenir, et ce courriel est la seule chose qui vous le signale. Il ne vend rien et ne promeut rien. Vous pouvez vous y opposer à tout instant, sans motif et sans nous écrire : le point 6 dit comment.
• L'intérêt légitime encore (article 6.1.f) pour le bon fonctionnement du service : savoir qu'une panne d'affichage a eu lieu. Sans cette trace, une application cassée le reste jusqu'à ce que quelqu'un pense à nous écrire. Elle ne contient ni montant, ni libellé, ni le contenu de la panne, et aucune décision vous concernant n'est prise à partir d'elle.

4. Où vos données sont hébergées

Vos données sont stockées chez Supabase, dans la région eu-west-1 (Irlande) — donc au sein de l'Union européenne.

Une seule chose sort de l'Espace économique européen, et seulement si vous l'utilisez : ce que vous écrivez dans l'agent IA — ou ce que vous y dictez, votre enregistrement partant alors tel quel — est transmis à OpenAI, aux États-Unis, avec les montants de votre mois en cours, votre capital, votre objectif, vos relevés de comptes, la langue que vous avez choisie et, si vous l'avez renseigné, votre prénom. Rien d'autre de ce que l'application enregistre ne quitte l'Europe : ni vos scénarios gardés, ni le montant de vos dépenses exceptionnelles, ni les libellés que vous avez écrits sur vos lignes de revenus et de dépenses. Le détail figure au point 5.

Une réserve, et elle vaut pour tout e-mail au monde : un message que vous nous envoyez — une réponse à un rappel, une demande à contact@budgiva.com — voyage comme voyage le courrier électronique, et arrive dans une boîte ordinaire qui n'est pas hébergée en Europe. Ce n'est pas une donnée que l'application traite, c'est une lettre que vous postez. Nous le disons parce que la phrase précédente, sans cette réserve, se lirait plus large qu'elle ne l'est.

L'application fait appel à quatre prestataires, et à aucun autre :

5. L'agent IA

L'écran Agent IA est le seul de l'application à faire appel à un service extérieur. Dès que vous y envoyez un message, deux choses partent chez OpenAI : le texte que vous venez d'écrire avec les quelques échanges précédents de la même conversation, et un résumé chiffré de votre mois en cours.

Les lignes qui attendent votre validation font partie de ces échanges précédents : quand l'agent vous a proposé des lignes et que vous lui répondez — « non, les courses c'est 450 » —, elles repartent avec votre message, dans la forme où il les a écrites, pour qu'il sache de laquelle vous parlez. Leur libellé est celui qu'il a produit, et il n'est pas modifiable à l'écran : aucun libellé écrit par vous ne peut s'y trouver. Rien n'est encore enregistré à ce moment-là.

Depuis le 20 septembre 2026, l'agent répond aussi sur les mois à venir — « combien j'aurai de côté en décembre ? », « et si j'arrête cet abonnement ? ». Ces montants-là ne lui sont pas transmis : c'est l'application qui les calcule sur votre appareil, à partir de vos chiffres, et le modèle ne reçoit jamais de projection. Il ne reçoit que la question telle qu'il l'a comprise — un mois, un montant que vous avez vous-même dit, une catégorie. En revanche, la réponse qu'il vous affiche contient ces montants calculés, et cette réponse fait partie des échanges précédents : si vous continuez la conversation, elle repart avec votre message suivant. Autrement dit, un montant futur peut sortir de votre appareil, mais seulement après vous avoir été montré, et seulement si vous poursuivez l'échange.

Ce résumé accompagne chaque message, et pas seulement les demandes de lecture. C'est une conséquence directe de la façon dont l'agent fonctionne : une seule consigne couvre tous les cas, et c'est le modèle qui reconnaît si vous décrivez une dépense, si vous en corrigez une, ou si vous posez une question sur votre mois. Il lui faut donc les chiffres au moment où il lit votre phrase. Tant que vous n'avez enregistré aucune ligne, il n'y a pas de résumé et rien de tel n'est transmis.

Ce résumé est calculé sur votre appareil et contient : le mois concerné, la devise, le total de vos revenus et de vos charges qui reviennent chaque mois, la différence entre les deux, et le montant de chaque catégorie avec sa part en pourcentage. Les catégories y sont désignées par les noms fixes de l'application — « Logement », « Courses et alimentation », « Salaire » —, jamais par ce que vous avez écrit vous-même sur vos lignes.

Depuis le 20 septembre 2026, il contient aussi votre capital disponible et la date à laquelle vous l'avez enregistré, votre objectif — son nom, le montant visé et le mois visé — et vos relevés de comptes : le mois et le montant du dernier, et combien vous en avez enregistré. Chacun n'y figure que si vous l'avez renseigné.

Ces trois-là en étaient exclus jusque-là. Ils y entrent pour que l'agent puisse répondre à « combien j'ai de côté ? » et enregistrer le capital que vous lui dictez, au lieu de refuser les questions les plus naturelles d'une application de budget. Le nom de votre objectif est le seul texte que vous écrivez vous-même à partir dans ce résumé, et il y part pour une raison précise : une réponse qui dirait « votre objectif » sans le nommer ne servirait à rien. Les libellés de vos lignes de revenus et de dépenses, eux, ne partent toujours pas.

Quand vous décrivez votre situation en quelques phrases pour la faire transformer en lignes de budget, vous relisez et validez chaque ligne avant tout enregistrement. L'agent peut aussi corriger ou supprimer une ligne existante — « mon loyer est passé à 850 », « je n'ai plus d'abonnement salle de sport ». Il désigne alors une catégorie, jamais une ligne : il ne voit aucun de vos libellés, et c'est votre appareil qui retrouve les lignes concernées et vous les présente. Là non plus, rien n'est modifié ni supprimé avant que vous ne validiez.

La langue de votre compte est transmise. C'est nouveau depuis le 22 septembre 2026, et c'est ce qui permet à l'agent de vous répondre dans la langue que vous avez choisie plutôt que dans celle de votre message. Ce n'est ni un montant ni un texte de vous : c'est l'une des quatre valeurs « français », « anglais », « espagnol » ou « arabe », la même que celle du sélecteur de vos Paramètres. Elle part à chaque message, y compris si vous n'avez jamais touché à ce réglage — le français est alors la valeur transmise.

Votre prénom est transmis, si vous l'avez renseigné. C'est nouveau depuis le 15 septembre 2026, et c'est la seule donnée transmise qui vous désigne : elle sert à ce que l'agent vous salue et vous réponde par votre prénom. Elle ne part que si vous l'avez écrite — le champ « Votre prénom » des Paramètres est facultatif, et le laisser vide, ou l'effacer, suffit à ce que plus rien ne soit transmis. L'accueil de l'agent, lui, vous salue depuis votre appareil : ce salut-là ne dépend d'aucun envoi.

Si vous dictez, votre voix part aussi. C'est nouveau depuis le 15 septembre 2026. Appuyer sur le micro enregistre ce que vous dites et envoie cet enregistrement à OpenAI, qui le transcrit et renvoie le texte. Ce texte se pose dans le champ de saisie, où vous le relisez et le corrigez ; rien ne part à l'agent tant que vous n'avez pas appuyé sur envoyer. L'enregistrement ne sert qu'à écrire ce que vous avez dit — il n'est ni compris, ni interprété, ni comparé à quoi que ce soit.

Cet enregistrement n'est conservé nulle part : ni dans la base, ni dans nos fichiers, ni dans nos journaux. Il ne survit pas à la requête qui le transporte. Le micro ne s'ouvre que lorsque vous appuyez dessus, votre navigateur vous demande d'abord votre autorisation, et l'enregistrement s'arrête de lui-même au bout d'une minute. Nous le disons parce qu'une voix en dit plus qu'un texte : elle porte les mots, et elle porte aussi de quoi reconnaître la personne qui les prononce.

Ce qui n'est jamais transmis, quel que soit l'usage :

• votre adresse e-mail, ni votre identifiant de compte ;
• les libellés que vous avez saisis sur vos lignes — c'est le seul endroit où un nom de personne, d'employeur ou de professionnel de santé peut apparaître ;
• vos scénarios gardés et leurs noms, le montant de vos dépenses exceptionnelles, et tout autre mois que le mois en cours — y compris les mois à venir, que l'agent n'obtient jamais autrement qu'en vous les ayant d'abord affichés (voir plus haut). Le résumé transmet en revanche le nombre de dépenses exceptionnelles enregistrées, sans aucun montant : c'est ce qui permet à l'agent de vous dire que sa lecture ne les compte pas ;
• quoi que ce soit si vous n'ouvrez pas cet écran.

Autrement dit : des montants, des catégories, la langue de votre compte, et votre prénom si vous l'avez renseigné — jamais vos libellés, et jamais votre historique. Attention toutefois — ce que vous tapez vous-même dans le champ part tel quel : n'y écrivez ni nom, ni information de santé.

La conversation n'est enregistrée ni chez nous, ni dans votre compte — ni la question, ni le résumé transmis, ni la réponse. Elle reste dans votre navigateur, dans le stockage de session : elle survit à un rechargement de page, pour que vous ne perdiez pas votre fil en revenant d'un autre écran, et elle disparaît quand vous fermez l'onglet, quand vous vous déconnectez et quand vous supprimez votre compte. Elle n'en sort qu'avec chaque nouveau message, sous la forme des quelques échanges précédents décrits plus haut. Seules les lignes que vous validez explicitement sont enregistrées, exactement comme si vous les aviez saisies à la main.

Vos échanges ne servent pas à entraîner les modèles d'OpenAI : c'est le réglage par défaut de leur interface de programmation, et nous n'avons activé aucun partage. OpenAI conserve en revanche les requêtes jusqu'à 30 jours à des fins de détection d'abus, puis les supprime. Ce traitement a lieu aux États-Unis, encadré par les clauses contractuelles types de la Commission européenne, le cadre prévu par le RGPD pour ce cas. Nous ne promettons pas de date de bascule vers un traitement européen : ce qui est écrit ici décrit ce qui est, pas ce qui viendra.

L'agent ne donne jamais de conseil financier, ni de recommandation de placement. Il transforme vos phrases en lignes de budget, et décrit vos propres chiffres — il ne vous dit jamais ce qu'il faudrait en faire. Il ne compare vos dépenses à aucune moyenne, et ne cite aucun chiffre qui ne vienne pas de ce que vous avez saisi : chaque montant qu'il énonce est calculé par l'application, puis vérifié avant de vous être montré.

6. Le rappel mensuel

Si vous le laissez actif, Budgiva vous envoie un e-mail pour vous signaler que votre suivi commence à dater. C'est le seul envoi que l'application déclenche d'elle-même — tous les autres répondent à une action de votre part. Il mérite donc d'être décrit en entier.

Ce qui le déclenche

Une tâche automatique examine chaque heure les comptes à prévenir. Elle ne retient le vôtre que si toutes ces conditions sont réunies : le rappel est actif dans vos Paramètres, votre compte a plus de trente jours, vous avez au moins une ligne de budget, et votre dernier relevé — à défaut votre capital, à défaut la création du compte — date de plus de vingt-cinq jours. L'envoi part à 8 heures chez vous, d'après le fuseau horaire enregistré dans votre profil, et non à 8 heures chez le serveur.

Sa fréquence est celle que vous avez choisie : au plus un par mois, ou un par trimestre. Et il s'arrête tout seul : après deux rappels restés sans effet, le second vous annonce qu'il sera le dernier, puis plus rien ne part. Il reprendra de lui-même le jour où vous reviendrez sur votre budget, sans que vous ayez à le redemander.

Une exception : si vous êtes abonné, il ne s'arrête pas de lui-même. Le suivi mensuel fait partie de ce que vous payez, et vous laisser sans nouvelles jusqu'au renouvellement ne vous rendrait pas service. Pour appliquer cette seule règle, la tâche lit si votre abonnement est en cours — rien d'autre de votre abonnement. Abonné ou non, « Jamais », dans vos Paramètres, l'arrête à tout moment.

Ce qu'il contient

Aucun montant, nulle part — ni dans l'objet, ni dans le corps, ni dans l'aperçu que votre messagerie affiche à côté. Le message ne porte qu'une durée : « votre dernier relevé date de 125 jours ». S'y ajoutent votre prénom si vous l'avez renseigné, un lien vers l'application, et un lien pour arrêter les rappels. Rien de vos chiffres n'y figure, et un test automatique vérifie à chaque livraison qu'aucun « € » ne s'y est glissé.

Ce n'est pas de la pudeur de rédaction. Un e-mail traverse des serveurs que nous ne contrôlons pas et s'affiche sur un écran verrouillé : y mettre un capital reviendrait à exposer sans session et sans mot de passe ce que tout le reste de l'application protège derrière les deux.

Ce que Resend en reçoit

Le rappel est acheminé par Resend, comme les e-mails de compte, en région eu-west-1 (Irlande). Il reçoit donc votre adresse et le contenu du message — c'est-à-dire, ici, une durée et votre prénom. Le suivi d'ouverture et le suivi de clic sont désactivés : nous ne savons ni si vous l'avez ouvert, ni si vous avez cliqué. Le point 9 décrit la seule trace que l'image de nos e-mails peut laisser, et pourquoi elle ne vous désigne pas.

Ce que nous en gardons

Une trace d'envoi par rappel : le mois concerné, le fait qu'il soit parti ou non, l'ancienneté que le message annonçait, et l'identifiant que le transporteur nous a rendu. Aucun montant. Cette trace est ce qui empêche de vous écrire deux fois le même mois, et ce qui permet à un envoi interrompu par une panne d'être repris plutôt que perdu. Elle disparaît avec votre compte.

Si vous y répondez

Le rappel accepte les réponses : elles arrivent à contact@budgiva.com, la même adresse que le point 1 donne pour exercer vos droits — une seule porte, plutôt qu'une deuxième à surveiller. Le trajet passe par Cloudflare Email Routing, qui achemine le courrier entrant de budgiva.com vers une boîte ordinaire. Ce que vous écrivez dans cette réponse nous parvient donc en entier, comme n'importe quel e-mail : n'y mettez que ce que vous accepteriez d'envoyer par courrier électronique. Rien n'oblige à répondre — arrêter les rappels ne demande aucun message.

Comment l'arrêter

Trois chemins, tous immédiats, sans délai et sans justification à donner :

• Depuis l'écran Paramètres, un interrupteur — c'est aussi là que se choisit la fréquence.
• Depuis le lien en bas du message, qui fonctionne sans vous connecter : il porte une signature qui ne vaut que pour votre compte.
• Depuis le bouton de votre messagerie, si elle en affiche un : nos rappels portent les en-têtes standard qui le déclenchent.

Couper les rappels ne touche à rien d'autre : ni à votre compte, ni à vos données. Vous continuerez de recevoir les e-mails que vous demandez vous-même — une confirmation d'adresse, une réinitialisation de mot de passe.

7. Combien de temps elles sont conservées

• Tant que votre compte existe. Vos données restent disponibles pour vous, sans limite de durée, aussi longtemps que vous utilisez le service.
• Effacement immédiat à votre demande. « Effacer mes données financières » supprime définitivement capital, revenus, dépenses, événements, relevés, objectif et scénarios gardés, en conservant votre compte.
• Les traces d'envoi des rappels (point 6) restent tant que votre compte existe et disparaissent avec lui. « Effacer mes données financières » ne les touche pas : elles ne contiennent aucun chiffre, et les effacer rouvrirait la porte à un doublon.
• Les traces techniques de plantage (point 2) restent tant que votre compte existe et disparaissent avec lui. « Effacer mes données financières » ne les touche pas : elles ne contiennent aucun de vos chiffres, et les effacer supprimerait la trace d'un défaut que nous n'avons pas encore corrigé.
• Suppression du compte. Elle supprime votre compte et l'intégralité de vos données, en une seule opération irréversible. Aucune copie n'est conservée.

8. Qui peut voir vos données

Personne d'autre que vous. Chaque table de la base est protégée par une isolation stricte au niveau des lignes : techniquement, une requête faite avec le compte d'une autre personne ne renvoie aucune de vos lignes. Cette protection est vérifiée par des tests automatiques exécutés contre la base réelle.

Une exception, et elle n'est pas une transmission. L'éditeur, responsable de ces données, peut lire le journal technique des plantages (point 2) pour corriger l'application — c'est d'ailleurs la seule donnée de cette page que vous ne pouvez pas consulter vous-même dans l'application. Il y voit une date, un écran, un type d'erreur, une version et une position dans le code : jamais un montant, jamais un libellé, jamais le contenu de la panne. Si nous vous écrivons à la suite d'un plantage, nous vous dirons d'où nous le tenons.

Vos données ne sont ni vendues, ni louées, et ne servent jamais à entraîner un modèle d'intelligence artificielle — ni les nôtres, nous n'en avons pas, ni ceux de nos prestataires.

Elles ne sont transmises à personne. Deux prestataires en voient une part pour faire leur travail, et le point 4 les nomme : Resend, qui achemine nos e-mails et reçoit donc votre adresse et le contenu du rappel mensuel — une durée et votre prénom, jamais un montant (point 6) ; et OpenAI, si vous utilisez l'agent IA, qui reçoit ce que vous y écrivez et les montants de votre mois en cours (point 5). Personne d'autre, à aucun titre.

9. Cookies et stockage local

Budgiva ne dépose aucun cookie publicitaire ni de mesure d'audience. Il n'y a donc aucune bannière de consentement à afficher.

L'application utilise uniquement le stockage de votre navigateur pour :

• maintenir votre session ouverte entre deux visites — ce qui garde dans ce navigateur votre adresse e-mail, l'identifiant de votre compte et les jetons qui prouvent votre connexion — et retenir le code à usage unique qui relie ce navigateur au lien de confirmation ou de réinitialisation que nous vous envoyons par e-mail ;
• retenir votre préférence de thème clair ou sombre ;
• retenir la langue de votre compte, pour ouvrir l'application directement dans cette langue à la visite suivante et, après une déconnexion, vous présenter la page de connexion dans cette langue ; comme le thème, elle reste sur l'appareil après la déconnexion, et même après la suppression du compte : ce n'est qu'une préférence d'affichage ;
• retenir l'offre dont vous avez cliqué le bouton sur notre page d'accueil, le temps qu'elle rejoigne votre compte à la prochaine ouverture de l'application dans ce navigateur ; elle y est ensuite oubliée ;
• garder la conversation de l'agent IA le temps de l'onglet, pour qu'un rechargement ou un passage par un autre écran ne vous fasse pas perdre votre fil (point 5) — et, au même endroit, l'avis d'une ligne mensuelle devenue ponctuelle dont l'arrêt n'a pas pu s'enregistrer, pour vous proposer de le refaire ;
• noter, le temps de l'onglet, l'heure à laquelle une page a été rechargée parce qu'un fichier du site n'a pas pu être chargé — le plus souvent après une mise à jour —, pour ne pas la recharger en boucle ;
• garder une copie des fichiers publics du site — la page de l'application, ses scripts, ses feuilles de style et sa police, cette politique, les conditions d'utilisation et la page « À propos » —, pour que le site s'ouvre même sans connexion. Ce sont les mêmes fichiers pour tout le monde : aucune de vos données ni aucun de vos chiffres n'y entre ;
• depuis le 26 septembre 2026, retenir, quand vous choisissez « Garder mon capital » face à un relevé plus récent que votre capital, ce relevé et son montant, pour que la même question ne vous soit pas reposée à chaque ouverture. Ce choix est effacé quand vous vous déconnectez, quand vous supprimez votre compte et quand vous effacez vos données financières.

Un autre usage figurait ici jusqu'au 4 septembre 2026 : nous retenions laquelle de nos trois phrases d'accueil vous avait été montrée, pour qu'elle ne change pas sous vos yeux. Le tirage au sort a été supprimé, la phrase est désormais la même pour tout le monde, et cette ligne de stockage n'existe plus. Nous le signalons plutôt que de l'effacer en silence : ce jour-là, ce point a décrit moins que ce qu'il décrivait, jamais plus.

À l'inverse, trois usages de la liste ci-dessus — la langue, l'offre choisie et le rechargement après une mise à jour — existaient avant d'y être écrits : ils ne l'ont été que le 26 septembre 2026. Des trois, seule l'offre choisie quitte votre appareil : elle est recopiée sur votre compte et effacée du navigateur. La copie hors connexion, en place depuis le 1er septembre 2026, et le code à usage unique de connexion, en place depuis l'ouverture du service, sont dans le même cas : ils ne sont décrits ici que depuis le 26 septembre 2026.

Ces informations restent sur votre appareil, à quatre exceptions près : les jetons de session, que votre navigateur présente à Supabase, qui gère votre connexion (point 4), pour prouver que c'est bien vous et la renouveler ; le code à usage unique, qu'il lui présente une seule fois, quand vous ouvrez le lien reçu par e-mail ; l'offre choisie, recopiée sur votre compte ; et les derniers échanges avec l'agent, qui repartent avec chaque message (point 5). Vider les données de votre navigateur les efface, sans toucher à votre compte.

La police de caractères est servie depuis notre propre domaine : aucune requête n'est envoyée à un service tiers pendant votre visite.

Les images de nos e-mails

Les e-mails de compte — confirmation d'adresse, mot de passe oublié — contiennent une seule image : notre logo, servi depuis budgiva.com. Il faut le dire clairement, parce que c'est un mécanisme dont on parle rarement : quand votre logiciel de messagerie affiche cette image, il la demande à notre hébergeur, qui journalise la requête. Nous apprenons donc qu'un e-mail a été ouvert.

Ce que ce mécanisme ne fait pas, et c'est la différence qui compte. Notre logo est le même fichier pour tout le monde : son adresse ne contient aucun identifiant, elle ne permet donc de rattacher l'ouverture à personne. C'est précisément ce qui distingue une image de marque d'un pixel de suivi — une image d'un pixel sur un, invisible, dont l'adresse porte un code propre à chaque destinataire. Nous n'en utilisons aucun. Le suivi d'ouverture et le suivi de clic sont désactivés chez notre transporteur, ce qui veut dire que les liens de nos e-mails vous mènent où ils disent aller, sans passer par une adresse de comptage.

Si même cela vous gêne, bloquer l'affichage des images dans votre messagerie — la plupart le font par défaut — suffit à supprimer cette trace : nos e-mails restent parfaitement lisibles sans leur logo.

10. Vos droits

Le RGPD vous donne les droits suivants, que vous pouvez exercer à tout moment.

• Accès et rectification — vos données sont visibles et modifiables directement dans l'application, sans intermédiaire.
• Effacement — depuis Paramètres, immédiatement, sans avoir à le demander.
• Accès — vos données sont visibles et modifiables directement dans l'application, sans intermédiaire. Deux traces techniques font exception et n'y sont pas affichées : celle des rappels envoyés (point 6) et celle des plantages (point 2). Écrivez-nous à l'adresse du point 1 pour en obtenir la copie.
• Portabilité — écrivez-nous à l'adresse indiquée au point 1 pour obtenir une copie de vos données dans un format lisible par machine.
• Opposition et limitation du traitement.
• Réclamation — vous pouvez saisir la CNIL si vous estimez que vos droits ne sont pas respectés.

11. Sécurité

• Toutes les communications sont chiffrées en transit (HTTPS obligatoire).
• Les mots de passe ne sont jamais stockés en clair, ni accessibles à qui que ce soit.
• L'isolation entre comptes est appliquée par la base de données elle-même, et non par le code de l'application — une erreur de programmation ne peut donc pas exposer les données d'un autre compte.

Aucun système n'est infaillible. En cas de violation de données susceptible d'engendrer un risque pour vos droits, vous serez informé dans les meilleurs délais, conformément à l'article 34 du RGPD.

12. Modifications

Cette politique peut évoluer avec le service. La date de dernière mise à jour figure en haut de cette page. Tout changement substantiel vous sera signalé par e-mail ou dans l'application avant son entrée en vigueur.

Ce qui a été annoncé, et quand

Septembre 2026 — l'enregistrement des plantages d'affichage. Décrit au point 2 depuis le 4 septembre, il n'écrivait alors rien : le code refusait l'enregistrement. Un avis est affiché dans l'application, sur l'écran d'arrivée, et l'enregistrement commence le 12 septembre 2026. L'avis et le code lisent la même date, si bien que l'application ne peut pas enregistrer pendant qu'elle annonce encore l'échéance au futur. Cet avis disparaît de lui-même à cette date ; la description qui suit reste, elle, dans vos Paramètres.

Ce qui est enregistré alors : l'endroit du code où l'affichage s'est bloqué, l'écran concerné, le nom technique de l'erreur et la version de l'application. Ni le message d'erreur, ni son détail, ni l'adresse de la page — donc aucun de vos montants et aucun de vos libellés. Le point 2 en donne le détail, le point 7 sa durée de conservation, et le point 10 la façon d'en demander l'effacement.