Politique de confidentialité

Cette politique de confidentialité explique quelles données personnelles Budgero collecte, comment elles sont utilisées et partagées, ainsi que les droits dont vous disposez au titre des lois applicables sur la confidentialité — principalement le Règlement général sur la protection des données de l'UE/UK (RGPD / UK GDPR) et le California Consumer Privacy Act / California Privacy Rights Act (CCPA / CPRA).

Elle est rédigée en langage clair. Lorsqu'une section a une importance juridique — comme les bases légales ou vos droits — les termes juridiques sont conservés afin que vous puissiez les comparer aux réglementations. Si quelque chose n'est pas clair, écrivez à privacy@budgero.app.

1. Qui nous sommes

Budgero est le « responsable du traitement » des données personnelles traitées via le service au titre du RGPD.

Contact pour la confidentialité : privacy@budgero.app
Contact général : hello@budgero.app

Compte tenu de la taille actuelle de Budgero (base d'utilisateurs restreinte, aucune donnée à caractère spécial, pas de surveillance à grande échelle), l'exemption de l'article 27 du RGPD relative à la désignation d'un représentant dans l'UE s'applique — le traitement est occasionnel, non à grande échelle et ne présente pas de risque élevé. Si le projet dépasse ce seuil, un représentant dans l'UE sera désigné et cette politique sera mise à jour. Il en va de même pour un représentant au Royaume-Uni au titre de l'article 27 du UK GDPR.

2. En résumé

• Vos données financières sont chiffrées de bout en bout. Les transactions, les budgets, les soldes, les catégories et les notes sont chiffrés sur votre appareil avec une clé dérivée de votre mot de passe. Personne — ni Budgero, ni ses prestataires, ni un attaquant, ni un gouvernement — ne peut les lire. C'est cette partie de Budgero que l'on appelle zero-knowledge.
• Le reste correspond à des données SaaS classiques. Le fonctionnement du service nécessite tout de même une adresse e-mail et un mot de passe (gérés par un prestataire d'authentification), des informations de facturation (gérées par un prestataire de paiement), des analyses de produit (gérées par un prestataire d'analyse basé dans l'UE) et des journaux d'e-mails (gérés par un prestataire d'e-mails). Pour les espaces de travail partagés, le nom d'affichage que vous donnez à un espace de travail et les adresses e-mail des personnes que vous invitez sont également stockés en clair afin que la collaboration puisse fonctionner — voir §3.2 pour les détails précis. La liste complète se trouve au §6 ci-dessous.
• Vos données personnelles ne sont jamais vendues. Budgero ne partage aucune donnée avec les annonceurs d’une manière que le RGPD ou le CCPA définit comme une « vente » ou un « partage », et n’utilise aucune balise ni aucun traceur publicitaire.
• Vous disposez de tous les droits au titre du RGPD / UK GDPR / CCPA, notamment le droit d'accéder à, de corriger, de supprimer et d'exporter vos données, ainsi que de déposer une plainte auprès de votre autorité locale de protection des données. Voir §10.
• Aucun cookie de suivi, aucune publicité. Budgero ne dépose aucun cookie d’analyse ou publicitaire et n’utilise aucun traceur publicitaire ; il n’y a donc pas de bannière de cookies. L’analyse produit de Budgero Cloud fonctionne sans cookies, est pseudonymisée, n’inclut jamais vos données financières et peut être désactivée dans Paramètres → Sécurité et confidentialité. Budgero auto-hébergé n’envoie aucune télémétrie. Voir §3.5 et §8.

3. Quelles données personnelles sont collectées

3.1 Données de compte

• Adresse e-mail
• Mot de passe — jamais stocké en texte clair ; haché et salé par le fournisseur d'authentification (Clerk)
• Préférences et paramètres du compte
• Un identifiant de compte unique (identifiant utilisateur Clerk)

3.2 Données du coffre-fort chiffrées (zero-knowledge — illisibles par Budgero)

• Transactions, budgets, soldes, catégories, notes, données de dépenses
• Chiffrées sur votre appareil avec AES-256 à l'aide d'une clé dérivée de votre mot de passe
• Seul le texte chiffré résultant est stocké sur le serveur

Ce que le zero-knowledge ne couvre pas. Pour permettre le fonctionnement des espaces de travail partagés et de la synchronisation en temps réel, Budgero stocke une petite quantité de métadonnées de collaboration sur le serveur en texte clair : le nom d'affichage que vous donnez à un espace de travail, les adresses e-mail des personnes que vous y avez invitées, les rôles des membres et les numéros de version de synchronisation. Les contenus des notifications push eux-mêmes sont chiffrés ; seuls les identifiants de compte et d'espace de travail nécessaires à leur acheminement sont stockés en texte clair. Ces métadonnées ne contiennent jamais aucun des contenus financiers listés ci-dessus — vos transactions, soldes et catégories restent illisibles par Budgero.

3.3 Données de facturation et d'abonnement

• Formule, prix, devise, statut de l'abonnement, date de renouvellement, pays (pour la fiscalité)
• Numéro de commande, quatre derniers chiffres du moyen de paiement (lorsqu'ils nous sont fournis)
• L'ensemble des données du moyen de paiement (numéro de carte, etc.) est collecté et conservé par le prestataire de paiement (LemonSqueezy), ne par Budgero

3.4 Métadonnées des e-mails de service

• Événements d'envoi/ouverture/échec pour les e-mails transactionnels (bienvenue, demandes de retour, réinitialisation de mot de passe, reçus de facturation)

3.5 Analyse produit (pseudonymisée, sans cookies)

Budgero Cloud enregistre la façon dont le produit est utilisé afin de l’améliorer et de corriger les problèmes : quelles fonctionnalités sont utilisées, où les gens bloquent et ce qui ne fonctionne pas. C’est activé par défaut, sur la base de l’intérêt légitime (§4), et vous pouvez le désactiver à tout moment (voir ci-dessous). Budgero auto-hébergé n’envoie aucune donnée d’analyse ni de télémétrie.

Ce qui est enregistré :

• Les pages et écrans que vous ouvrez, sans les identifiants présents dans l’adresse
• Configuration : les étapes d’accueil que vous voyez et terminez, et le parcours choisi (démarrer de zéro, importer depuis YNAB ou rejoindre un budget partagé)
• Imports : le type d’import (par exemple YNAB, CSV ou PDF), s’il a réussi, échoué ou été annulé, ainsi que sa taille et sa durée approximatives
• Synchronisation bancaire : la connexion d’un fournisseur de synchronisation bancaire et chaque synchronisation, avec le résultat et un nombre approximatif de nouvelles transactions
• Utilisation des fonctionnalités : création, modification ou suppression d’objectifs, de règles et de transactions récurrentes ; saisie d’une transaction et la manière dont elle a été saisie ; utilisation des rapports, scénarios, budgets partagés, multidevise, rapprochement, ventilations, exports et sauvegardes. Seul le type d’élément est enregistré (par exemple le type d’objectif ou la fréquence d’une transaction récurrente), jamais son contenu
• Assistant IA : le fait qu’il a été ouvert et qu’un message a été envoyé, avec le résultat — jamais votre question ni la réponse
• Les paramètres que vous modifiez, parmi une liste fixe (par exemple thème, langue ou densité des lignes), et l’option choisie
• Étapes du compte et de l’abonnement : inscription, début d’un essai, ouverture du paiement, souscription, renouvellement ou résiliation d’un abonnement avec sa formule (mensuelle ou annuelle), le prix et la devise d’un achat, le motif que vous choisissez dans une liste lors d’une résiliation, création ou suppression d’un espace de travail, invitations et changements de membres (avec un nombre approximatif de membres), et ajout ou clôture d’un compte (son type et s’il utilise la devise de votre budget)
• Synchronisation entre vos appareils : si une modification envoyée depuis un autre appareil a été appliquée, avec le résultat et son ancienneté
• Fiabilité : erreurs, problèmes de synchronisation et avertissements d’intégrité des données, enregistrés sous forme de type d’erreur, d’un code issu d’une liste fixe, de l’écran concerné et d’emplacements dans le code (fichier et ligne) — ainsi que la suite des écrans et des événements internes qui ont précédé (noms uniquement, aucune valeur), l’état de l’application à ce moment sous forme de valeurs fixes (par exemple si la synchronisation était connectée, le type de stockage et l’utilisation approximative du stockage) et un identifiant aléatoire pour cette visite qui relie le rapport au journal serveur des mêmes requêtes — jamais le texte du message d’erreur
• Contexte envoyé avec chaque événement : version de l’application, utilisation de l’application web ou de l’application installée, langue de l’interface et mode de budget ; ainsi que le navigateur, le système d’exploitation, la taille d’écran et le référent indiqués par votre navigateur

• Chaque détail associé à un événement est une valeur issue d’une liste fixe ou une plage approximative (par exemple « 10–100 lignes » ou « 1–5 minutes »). Rien de ce que vous saisissez n’est jamais inclus.
• Une fois connecté, les événements sont liés à un identifiant pseudonyme — votre identifiant utilisateur Clerk — afin que le même compte puisse être reconnu d’une session et d’un appareil à l’autre. Avant la connexion, un identifiant aléatoire est utilisé, qui n’existe qu’en mémoire pendant cette visite. Votre nom et votre adresse e-mail ne sont pas envoyés au fournisseur d’analyse.
• Certains événements sont envoyés par le serveur Budgero plutôt que par votre navigateur — par exemple l’inscription, les changements d’abonnement, les changements d’espaces de travail et d’invitations, les jetons de synchronisation push, et le résultat des requêtes que le serveur traite pour la synchronisation bancaire ou l’assistant IA. Ils utilisent le même identifiant et suivent les mêmes règles.
• Adresse IP — utilisée au moment de la requête pour une géolocalisation approximative et la prévention des abus, puis supprimée côté serveur. Elle n'est pas conservée avec les événements d'analyse.
• Sans cookies : la bibliothèque d’analyse conserve ses identifiants uniquement en mémoire et n’écrit rien dans les cookies, le localStorage ou le sessionStorage de votre appareil.

Jamais collecté : les noms de transactions, de comptes, de catégories ou de bénéficiaires, les montants, les soldes, les dates, les notes, le texte des conversations avec l’IA ou tout ce que vous saisissez d’autre dans votre budget, le texte des messages d’erreur, les enregistrements de session, la capture automatique des clics (autocapture), les cartes de chaleur ou les enquêtes.

Le désactiver : Paramètres → Sécurité et confidentialité dans l’application. Le choix est enregistré dans votre compte, s’applique sur tous vos appareils et arrête aussi les événements côté serveur. Budgero fonctionne exactement de la même façon avec l’analyse désactivée.

3.6 Analyse du site web (budgero.app, sans cookies)

Sur le site web de Budgero, les pages vues et les clics sur des boutons comme « Essai gratuit » sont comptés pour comprendre comment les gens découvrent le produit. Deux outils sont utilisés, et aucun ne stocke quoi que ce soit sur votre appareil :

• Umami — auto-hébergé par Budgero, donc aucun tiers ne reçoit les données, et jamais relié à votre compte Budgero. Il ne dépose aucun cookie et ne stocke rien sur votre appareil. Votre adresse IP sert uniquement, au moment de la requête, à déterminer une localisation approximative (pays, région et ville) et n’est pas stockée. Les visites sont regroupées grâce à un hachage à clé de votre adresse IP et de votre navigateur qui change au début de chaque mois civil, de sorte qu’Umami ne peut pas vous reconnaître d’un mois à l’autre. Il enregistre la page, le référent, le navigateur, le système d’exploitation, le type d’appareil, la taille d’écran et la langue, et Budgero ne l’utilise que comme statistiques de visites agrégées. Umami compte aussi les étapes de l’inscription dans l’application.
• PostHog — sans cookies sur le site également : rien n’est stocké sur votre appareil. PostHog calcule un identifiant de visiteur sur ses propres serveurs à partir d’un hachage de votre adresse IP, de votre navigateur et du nom d’hôte du site, combiné à un sel qui change chaque jour puis est supprimé. Les visites d’une même journée peuvent être comptées ensemble, mais vous ne pouvez pas être reconnu d’un jour à l’autre, et les visites du site ne sont jamais liées à votre compte Budgero. Votre adresse IP n’est pas utilisée pour la localisation et n’est pas conservée avec ces événements. PostHog n’est pas chargé sur le site lorsque votre navigateur envoie un signal Global Privacy Control ou Do Not Track.

3.7 Vérification des mises à jour des serveurs auto-hébergés

Les serveurs Budgero auto-hébergés demandent à budgero.app, au plus toutes les 12 heures, s’il existe une version plus récente, en n’envoyant que leur version, leur numéro de build et le mot « selfhost ». Nous conservons des comptages quotidiens par version. Pour estimer le nombre d’installations actives, nous comptons aussi les expéditeurs distincts par semaine : l’adresse IP de la requête est hachée avec une clé aléatoire qui n’existe que pour la semaine en cours ; à la fin de la semaine, seul le total hebdomadaire est conservé et la clé et les hachages sont supprimés. Les adresses IP ne sont pas stockées. Les administrateurs peuvent désactiver la vérification avec UPDATE_CHECK_DISABLED=true.

3.8 Journaux serveur / sécurité

• Journaux de requêtes du fournisseur d'hébergement — adresse IP, horodatage, chemin de la requête, statut de la réponse, user agent — utilisés pour le fonctionnement du service, la sécurité et la prévention des abus

Non collectées : identifiants de comptes financiers (Budgero ne reçoit jamais vos identifiants bancaires ; les clés d'accès facultatives de synchronisation bancaire sont stockées chiffrées dans votre budget), données de localisation au-delà du pays déterminé par l'IP, contacts, photos, microphone, ou toute catégorie spéciale de données personnelles listée à l'art. 9 du RGPD.

4. Pourquoi les données sont utilisées, et sur quelle base légale

Pour les utilisateurs de l'UE/RU, Budgero identifie une base légale pour chaque finalité de traitement en vertu de l'art. 6 du RGPD :

Lorsque Budgero s'appuie sur l'intérêt légitime, l'équilibre entre cet intérêt et vos droits a été pris en compte. Si vous souhaitez discuter du raisonnement pour un cas spécifique, écrivez à privacy@budgero.app.

5. Combien de temps les données sont conservées

Lorsque vous supprimez votre compte, les données ci-dessus sont supprimées ou anonymisées selon les délais indiqués, sauf si Budgero est légalement tenu de les conserver (par exemple, les registres fiscaux).

6. Avec qui elles sont partagées (Sous-traitants)

Les données personnelles sont jamais vendues ni louées. Des données personnelles limitées sont partagées avec les prestataires de services listés ci-dessous, qui agissent sur les instructions de Budgero dans le cadre de contrats écrits (accords de traitement des données lorsque le prestataire le propose). Les conditions contractuelles standards de chaque prestataire sont examinées avant leur ajout.

Budgero peut également divulguer des données personnelles à :

• Conseillers professionnels (avocats, comptables) soumis à des obligations de confidentialité, lorsque cela est requis ;
• Forces de l'ordre ou autorités de régulation lorsque cela est exigé par une procédure légale valide — auquel cas, si la loi le permet, vous en serez informé.

7. Transferts internationaux

Certains des prestataires mentionnés au §6 traitent des données personnelles en dehors de l'Espace économique européen — principalement aux États-Unis.

Pour les transferts de prestataires hors de l’EEE (par ex. LemonSqueezy, région US de Resend), Budgero s’appuie sur les Clauses contractuelles types de la Commission européenne du prestataire Clauses contractuelles types (CCT, version 2021) et les avenants britanniques équivalents le cas échéant. Les données du coffre-fort restent chiffrées de bout en bout chez tous les prestataires et sont illisibles pour quiconque à part vous.

8. Cookies et suivi

Budgero n’utilise aucun cookie d’analyse, publicitaire ou autrement non essentiel, ni aucun script publicitaire tiers. L’analyse ne stocke rien sur votre appareil, il n’y a donc pas de bannière de cookies : seul le stockage strictement nécessaire au service est utilisé, et selon les règles ePrivacy il ne requiert pas de consentement. Ce qui est stocké :

• Strictement nécessaires — votre session de connexion (déposée par le fournisseur d’authentification, Clerk), vos données de budget chiffrées conservées sur votre appareil pour l’usage hors ligne et la synchronisation, et des préférences comme la langue. Toujours activé ; ne peut pas être désactivé, car le service ne fonctionne pas sans.
• Analytique — rien. L’analyse produit dans l’application (§3.5) et l’analyse du site web (§3.6) ne conservent rien sur votre appareil. Pour arrêter l’analyse produit, utilisez Paramètres → Sécurité et confidentialité dans l’application.

9. Comment les données sont sécurisées

• Chiffrement de bout en bout pour les données du coffre — AES-256 avec une clé dérivée de votre mot de passe sur votre appareil. La clé n'est jamais vue par Budgero, et les données en clair du coffre ne sont jamais vues par Budgero.
• TLS 1.2+ pour toutes les données en transit.
• Chiffrement au repos aux couches de base de données et de stockage.
• Contrôles d'accès à opérateur unique. Seul l'opérateur dispose d'un accès administrateur ; cet accès est utilisé uniquement pour faire fonctionner le service.
• Diligence raisonnable des fournisseurs lors du choix de chaque fournisseur au §6.
• Réponse aux violations — si une violation de données personnelles se produit, susceptible d'entraîner un risque pour vos droits, l'autorité de contrôle compétente sera notifiée dans les 72 heures suivant sa prise de connaissance (RGPD art. 33), et les utilisateurs concernés seront notifiés sans retard injustifié lorsque le risque est élevé (art. 34).

Mise en garde importante : zero-knowledge signifie votre coffre ne peut pas être récupéré si vous oubliez votre mot de passe. Conservez-le dans un endroit sûr — un gestionnaire de mots de passe est la solution standard.

10. Vos droits

Où que vous résidiez, vous pouvez :

• Accéder aux données personnelles que Budgero détient à votre sujet — demander une copie
• Corriger les données personnelles inexactes (rectification)
• Supprimer votre compte et les données personnelles associées (« droit à l'effacement ») — sous réserve des exceptions de conservation légale
• Exporter vos données dans un format portable et lisible par machine (portabilité des données)
• Restreindre traitement pendant la résolution d'un litige
• S'opposer au traitement fondé sur l’intérêt légitime, y compris l’analytique — pour l’analyse produit, vous pouvez le faire vous-même à tout moment dans Paramètres → Sécurité et confidentialité
• Retirer votre consentement à tout moment pour tout traitement fondé sur le consentement — le retrait n’affecte pas la licéité du traitement effectué avant ce retrait
• Ne pas faire l'objet de décisions automatisées produisant des effets juridiques ou similaires — Budgero n'effectue pas ce type de prise de décision automatisée

Pour exercer l'un de ces droits, écrivez à privacy@budgero.app . Les demandes seront traitées dans les meilleurs délais, et dans un délai de 30 jours conformément au RGPD (prolongeable jusqu'à 60 jours pour les demandes complexes, avec notification).

Vous pouvez également déposer une plainte auprès d'une autorité de contrôle:

• Résidents de l'UE/EEE : auprès de l'autorité de protection des données de votre lieu de résidence habituelle, de votre lieu de travail, ou du lieu de l'infraction alléguée. Une liste est publiée par le CEPD à l'adresse https://edpb.europa.eu.
• Résidents du Royaume-Uni : le Bureau du Commissaire à l'information à l'adresse https://ico.org.uk.

11. Résidents de Californie (avis CCPA / CPRA)

Si vous êtes un résident de Californie, cette section vous fournit des informations supplémentaires requises par la California Consumer Privacy Act, telle que modifiée.

Catégories de données personnelles collectées, correspondant aux catégories CCPA : identifiants (e-mail, identifiant de compte, adresse IP), informations commerciales (formule d'abonnement), activité internet/réseau (événements d'analyse, journaux de serveur), déductions (aucune). Ces données sont collectées à des fins commerciales décrites au §4.

Sources : directement de vous, de votre appareil, et de prestataires de services.

Divulgation à des fins commerciales : uniquement aux prestataires de services mentionnés au §6.

Vente ou partage de données personnelles : Les informations personnelles ne sont ni vendues ni partagées au sens où ces termes sont définis dans le CCPA. Budgero ne pratique pas de publicité comportementale inter-contextes et n’utilise aucune balise ni aucun traceur publicitaire. Les données d’analyse servent uniquement à améliorer Budgero, via son prestataire PostHog.

Étant donné que rien n'est vendu ni partagé, aucun lien « Ne pas vendre ni partager mes informations personnelles » n'est fourni. Vous pouvez néanmoins exercer vos droits de connaître, corriger, supprimer et limiter l'utilisation des informations personnelles sensibles en contactant privacy@budgero.app.

Les informations personnelles sensibles ne sont ni utilisées ni divulguées à d'autres fins que celles identifiées au §7027(m) du CPRA.

Vous ne subirez aucune discrimination pour avoir exercé vos droits.

12. Confidentialité des enfants

Budgero ne s'adresse pas aux personnes de moins de 16 ans, ou de l'âge de consentement numérique local s'il est supérieur, et ne peut être utilisé par celles-ci. Aucune donnée personnelle n'est collectée sciemment auprès d'enfants. Si vous pensez qu'un enfant a fourni des données personnelles, écrivez à privacy@budgero.app et elles seront supprimées.

13. Modifications de cette politique

Cette politique peut être mise à jour en fonction de l'évolution du service ou de la loi. La date « Dernière mise à jour » en haut de cette page indiquera la dernière révision. En cas de modifications substantielles affectant l'utilisation des données personnelles, vous serez informé par e-mail avant leur entrée en vigueur.

14. Contact

• Questions relatives à la confidentialité et demandes liées à vos droits : privacy@budgero.app
• Support général : hello@budgero.app