Politique de confidentialité

GY Digital est responsable du traitement pour Budgetto. C'est le nom commercial sous lequel Romain Goyeau travaille comme étudiant-entrepreneur, et la partie qui gère le serveur sur lequel vos données se trouvent. Aucun délégué à la protection des données n'a été désigné : le traitement est trop limité en volume et en nature pour l'exiger.

Strictement limitées à ce dont l'application a besoin :

Ce que nous ne traitons pas : traqueurs ou statistiques sur le site (le seul comptage est celui, anonyme, de Brevo sur l'ouverture et les clics de nos e-mails, voir le paragraphe 12), données bancaires, localisation ou identifiants d'appareil. Nous n'achetons aucune donnée et ne relions rien à des profils externes. Si vous utilisez Budgetto avec d'autres personnes, vous nous donnez aussi des données sur quelqu'un d'autre : l'adresse e-mail de la personne que vous invitez, que nous ne conservons pas en clair, et le prénom et le mois de naissance de votre enfant.

Vous n'êtes pas obligé de fournir ces données, mais sans adresse e-mail ni mot de passe, aucun compte ne peut exister et le service ne peut donc pas être fourni. L'e-mail de rappel est la seule chose qui repose sur le consentement : tous les autres e-mails existent parce que vous avez créé un compte, parce que vous les avez demandés, ou parce que quelqu'un vous a invité ou a fait quelque chose dans un profil dont vous êtes membre (voir le paragraphe 12).

Aussi longtemps que vous avez un compte. Lorsque vous cliquez sur Supprimer le compte dans Paramètres, votre compte et votre propre profil, avec toutes les transactions et catégories, sont supprimés immédiatement et définitivement de la base de données, y compris vos préférences d'e-mail et votre historique d'envoi. Si vous partagez un profil avec d'autres personnes (un profil partagé, un profil enfant ou le profil de votre enfant), ce profil continue d'exister pour les personnes qui y restent : ce que vous y avez saisi y reste, sans votre nom. Un profil partagé ou un profil enfant dans lequel il ne reste personne d'autre disparaît avec votre compte ; vous le voyez à l'avance. Les sauvegardes du serveur conservent vos données 30 jours au maximum ; ensuite, elles disparaissent partout. La sauvegarde effectuée chaque nuit est chiffrée immédiatement, une copie se trouve sur un deuxième serveur de Hetzner à Falkenstein (Allemagne), et la clé permettant de l'ouvrir ne se trouve pas sur le serveur. Le journal technique du serveur web et de l'application, qui contient votre adresse IP, disparaît après 30 jours au maximum. Des e-mails envoyés nous tenons un journal technique (le type d'e-mail, le compte concerné, le fait qu'il soit parti ou non, jamais le contenu), effacé automatiquement après 90 jours. L'application tient aussi un journal technique des charges fixes comptabilisées automatiquement (le numéro du profil et de la charge fixe, sa fréquence, combien de fois et jusqu'à quel jour elle a été comptabilisée, jamais de montant ni de nom), qui disparaît après environ deux mois. Vos préférences d'e-mail et le fait que vous vous soyez désinscrit restent en revanche enregistrés tant que votre compte existe : oublier une désinscription reviendrait à vous renvoyer ce que vous veniez de couper. Brevo, le service qui envoie nos e-mails, tient en outre son propre journal d'envoi. Celui-ci se trouve chez Brevo et il n'existe pas de réglage pour en raccourcir la durée ; notre contrat avec eux prévoit toutefois que tout est détruit ou anonymisé au plus tard cent jours après la fin de celui-ci, avec une attestation sur demande. Ce que vous nous avez envoyé via le formulaire de contact, l'enquête ou une réponse à un message dans l'application reste lié à votre compte et disparaît avec lui si vous le supprimez. La copie arrivée par e-mail chez l'administrateur est supprimée sur demande. Pour l'utilisation partagée et les enfants, les durées suivantes s'appliquent en outre :

• →L'activité d'un profil partagé, d'un profil enfant ou du profil d'un enfant disposant de son propre accès (qui a ajouté, modifié ou supprimé quelque chose, qui est arrivé ou parti), et, dans votre propre profil, qui l'a consulté : 12 mois.
• →Le moment où un parent a consulté le profil de son enfant disposant de son propre accès : 90 jours.
• →Une invitation : la forme masquée de l'adresse jusqu'à sa clôture, 21 jours au maximum ; l'invitation elle-même, avec l'empreinte de l'adresse, jusqu'à 30 jours après sa clôture. Le comptage des e-mails d'invitation par adresse : 8 jours au maximum.
• →L'empreinte d'une adresse qui ne veut plus recevoir d'invitations : jusqu'à ce que cette adresse lève elle-même ce choix.
• →Les notifications dans l'application sur l'utilisation partagée et les enfants : 30 jours après leur lecture, sinon 90 jours.
• →Les compteurs par personne et par jour (codes, invitations, e-mails), qui freinent les abus : 2 jours.
• →Le mois de naissance d'un enfant disposant de son propre accès et le moment où il a reçu son profil : tant que son compte existe.
• →Un profil enfant sans accès propre d'un enfant qui a eu 18 ans : nous ne l'effaçons pas automatiquement ; il reste jusqu'à ce qu'un parent le confie à l'enfant ou le supprime.

Sur un seul serveur dans un centre de données en Allemagne, donc au sein de l'Union européenne. L'hébergement passe par Hetzner Online GmbH, dans leur parc de centres de données à Falkenstein :

Hetzner fournit la machine et la sécurité physique et agit comme sous-traitant au sens de l'article 28 RGPD : ils traitent vos données uniquement sur nos instructions et ne peuvent rien en faire eux-mêmes. Cela vaut aussi pour les sauvegardes chiffrées : outre le serveur, elles se trouvent sur un deuxième serveur de Hetzner (une Storage Box), dans le même parc de centres de données à Falkenstein. Sans la clé, qui ne se trouve pas sur le serveur, elles sont illisibles. Aucune copie de la base de données n'est conservée chez un autre prestataire ni dans un autre pays. Pour vérifier qu'une sauvegarde est utilisable, nous en ouvrons de temps en temps une sur l'ordinateur de l'administrateur en Belgique, uniquement pour compter si elle est complète, et nous l'effaçons aussitôt après.

Avec personne qui en fasse quelque chose.

Pas de Google Analytics, pas de Meta Pixel, pas de Cloudflare Insights, pas de CDN pour le code. Votre navigateur ne communique qu'avec ce serveur, jamais avec un service publicitaire ou statistique. Vos données ne sont jamais vendues, louées ni partagées à des fins commerciales. Voici la liste complète des parties qui voient quelque chose, et pourquoi : l'hébergeur, le service qui envoie nos e-mails (Brevo, France), Google si vous utilisez ce bouton, et deux services de cours si vous investissez. Par ailleurs, d'autres utilisateurs voient ce que vous partagez avec eux, et les parents d'un enfant disposant de son propre accès voient son profil : c'est expliqué sous "Les personnes que vous admettez".

Votre compte, vos transactions et vos données de patrimoine restent sur les serveurs en Allemagne et ne quittent pas l'EEE. Il existe deux cas où du trafic sort de l'EEE, et dans aucun des deux il ne s'agit de données permettant de savoir qui vous êtes :

• →Lors de la récupération des cours boursiers, notre serveur contacte Yahoo Finance, un service d'une entreprise américaine. Ce qui y est envoyé est un symbole boursier, transmis par le serveur. Aucune donnée à caractère personnel.
• →Si vous vous connectez avec Google, cette connexion passe par Google, qui peut également traiter des données en dehors de l'EEE. Google LLC est certifié à cet effet sous le EU-US Data Privacy Framework, la décision d'adéquation de la Commission européenne. Cela n'a lieu que si vous utilisez ce bouton.

Mesures techniques en place sur cette instance :

• →Mots de passe hachés avec bcrypt (12 rounds), non réversibles.
• →Sessions dans des cookies httpOnly, illisibles par JavaScript, non volables par XSS.
• →Limitations de débit à la connexion, à l'inscription et au captcha pour arrêter les attaques par force brute.
• →HTTPS via Caddy (TLS automatique, en-têtes HSTS).
• →En-têtes de sécurité (helmet) : X-Frame-Options, X-Content-Type-Options, Referrer-Policy.
• →Content-Security-Policy : le navigateur n'exécute que les scripts de ce serveur et ne charge rien d'un autre site, de sorte qu'un script que quelqu'un glisserait dans une page ne s'exécute pas.
• →CAPTCHA et honeypot à l'inscription pour écarter les bots.
• →Accès par profil : chaque requête passe par un contrôle qui décide, profil par profil, qui peut faire quoi, et un test automatique essaie chaque route avec chaque rôle.
• →Effacement : ce que vous supprimez est aussi écrasé dans la base de données, pas seulement libéré.
• →Sauvegardes de la base de données chaque nuit, chiffrées immédiatement avec une clé qui ne se trouve pas sur le serveur, et aussi sur un deuxième serveur de Hetzner. Toutes les sauvegardes, y compris les copies du serveur entier chez Hetzner, disparaissent après 30 jours au maximum.

En cas de violation de données présentant un risque pour vos droits et libertés, nous la signalons dans les 72 heures à l'Autorité de protection des données, et directement à vous si le risque est élevé.

Budgetto ne prend aucune décision vous concernant qui produise des effets juridiques ou vous affecte de manière significative (art. 22 RGPD). La prévision mensuelle estime votre solde à partir de vos propres chiffres ; au sens du RGPD, cela peut constituer un profilage (art. 4.4), mais cela reste un calcul que seules les personnes autorisées à voir ce profil peuvent voir, sans scoring, sans évaluation de crédit ni conseil transmis où que ce soit. La limite de 18 ans pour un enfant disposant de son propre accès est une date tirée du mois de naissance que l'enfant a lui-même indiqué, pas un jugement sur la personne.

Vous disposez des droits suivants sous le RGPD. La plupart sont directement intégrés dans l'application. Vous pouvez toujours envoyer une demande par e-mail ; nous répondons dans un délai d'un mois.

Si nous modifions ce document, nous augmentons le numéro de version en haut de page et mettons la date à jour. En cas de modification importante, vous recevez un message dans l'application lors de votre visite suivante. La version 2.2 décrit les virements entre les profils que vous tenez et le récapitulatif mensuel d'un profil partagé dans votre propre e-mail mensuel. Elle ne concerne que les personnes qui les utilisent elles-mêmes, et aucun nouveau destinataire ne s'ajoute ; c'est pourquoi vous ne recevez pas de message à ce sujet dans l'application. La version 2.1 ouvre à tous les fonctions pour les enfants : un profil enfant, et un accès propre à partir de 13 ans. Ce que nous conservons et qui le voit ne change pas ; c'est pourquoi vous ne recevez pas de message à ce sujet dans l'application. La version 2.0 décrivait l'utilisation partagée ouverte à tous : les profils partagés, la consultation et les invitations, ce que nous conservons pour cela et combien de temps, et qui voit quoi ; les personnes qui avaient déjà un compte ont reçu un message à ce sujet dans l'application. La version 1.8 indique que, si vous vous connectez uniquement avec Google, vous confirmez la suppression de votre compte avec un code envoyé par e-mail. La version 1.7 décrivait l'utilisation partagée et les enfants disposant de leur propre accès lorsqu'ils n'étaient ouverts qu'aux testeurs ; les versions 1.6 et 1.5 précisaient des détails sur le journal technique, les cookies, la liste de nos e-mails et les sauvegardes.

Budgetto envoie peu d'e-mails, et jamais pour vous vendre quelque chose. Voici la liste complète. Ce que vous recevez, vous le choisissez vous-même dans l'application, sous Paramètres puis Préférences, et vous pouvez changer ce choix à tout moment.

• →Bienvenue et confirmation de votre adresse Une seule fois, juste après votre inscription. Nous expliquons comment l'application fonctionne et vous demandons de cliquer sur un bouton pour que nous soyons sûrs que l'adresse est bien la vôtre. Base légale : exécution du contrat (art. 6.1.b RGPD). Tant que vous n'avez pas confirmé, aucun e-mail périodique ne part. Si vous changez d'adresse plus tard, nous redemandons cette confirmation et le reste est suspendu jusque-là.
• →Confirmation lorsque vous désactivez quelque chose Un court e-mail après votre désinscription, pour que vous ayez noir sur blanc que cela a fonctionné et comment le réactiver. Un tel accusé de réception est obligatoire (AR du 4 avril 2003) ; cet e-mail n'a pas lui-même de lien de désinscription, puisqu'il est la désinscription.
• →E-mails concernant votre mot de passe Uniquement si vous le demandez vous-même ou si votre mot de passe change : le lien pour choisir un nouveau mot de passe (valable une heure), une explication si votre compte fonctionne avec Google, et un avertissement après la modification de votre mot de passe, pour que vous le remarquiez si quelqu'un d'autre l'a fait. Base légale : exécution du contrat (art. 6.1.b RGPD). Pas de lien de désinscription : ces e-mails font partie de l'utilisation sûre de votre compte.
• →Ce que vous demandez vous-même Dans les Préférences, vous pouvez vous envoyer un nouvel e-mail de confirmation, ou un e-mail de test pour vérifier que nos e-mails arrivent (c'est l'e-mail de bienvenue une nouvelle fois). Vous ne les recevez que si vous cliquez vous-même sur le bouton. Base légale : exécution du contrat (art. 6.1.b RGPD).
• →Votre mois en trois chiffres Le premier du mois, avec vos propres chiffres du mois précédent : ce qui est entré, ce qui est sorti, ce qui reste, vos trois plus grandes catégories et le nombre de jours où vous avez encodé quelque chose. Pas de noms de transactions, pas de notes, aucun montant dans l'objet. Base légale : intérêt légitime (art. 6.1.f RGPD). Vous pouvez le désactiver dans l'application ou d'un seul clic en bas de l'e-mail. Si vous activez le récapitulatif mensuel d'un profil partagé, votre récapitulatif mensuel contient aussi les totaux et les trois plus grandes catégories de ce profil, avec son nom. Cet e-mail passe par Brevo, comme les autres. Les autres membres du profil peuvent voir sur la page du profil que vous l'avez activé.
• →Rappel d'encoder Désactivé par défaut. Si vous l'activez, vous recevez le soir un petit coup de pouce les jours où vous n'avez rien encodé, au rythme que vous choisissez. Base légale : votre consentement (art. 6.1.a RGPD), que vous pouvez retirer à tout moment. Si vous ne réagissez pas plusieurs fois de suite, il s'arrête de lui-même.
• →Un code pour confirmer que c'est bien vous Uniquement si vous le demandez vous-même : un code pour confirmer une action, par exemple supprimer votre compte si vous vous connectez uniquement avec Google, supprimer un profil ou donner un accès à quelqu'un. Valable dix minutes. Base légale : intérêt légitime (art. 6.1.f RGPD), la sécurité de votre compte. Pas de lien de désinscription : il fait partie de l'utilisation sûre de votre compte.
• →Une invitation Uniquement si quelqu'un vous invite à un profil partagé, à consulter son profil, en tant que parent d'un enfant, ou pour vous confier, en tant qu'enfant, votre propre profil : un e-mail avec le prénom de la personne qui invite, une forme masquée de son adresse et un lien vers l'invitation. Au maximum un par profil et trois au total par période de sept jours, et jamais de publicité. Base légale : intérêt légitime (art. 6.1.f RGPD). En bas figure un lien pour ne plus recevoir d'invitations de personne.
• →E-mails sur un profil partagé Uniquement lorsqu'il se passe quelque chose qui vous concerne : quelqu'un a accepté votre invitation et vous devez confirmer de qui il s'agit, une personne a été ajoutée à un profil dont vous êtes membre, ou quelqu'un consulte votre propre profil à partir d'aujourd'hui. La personne ajoutée est mentionnée par son prénom, avec le nom d'un profil partagé ; jamais de montants. Base légale : exécution du contrat (art. 6.1.b RGPD). Pas de lien de désinscription : ces e-mails font partie de l'utilisation sûre d'un profil partagé, et ils ne partent qu'en cas d'événement.
• →E-mails au sujet d'un enfant Uniquement si vous êtes parent dans un profil d'enfant et qu'il se passe quelque chose qui vous concerne : votre accord est nécessaire, un parent a été ajouté, le profil a été confié à l'enfant, ou un profil enfant sans accès propre passera bientôt ou est passé en lecture seule parce que l'enfant atteint 18 ans. Jamais de montants, et jamais le nom de l'enfant, une date ou une adresse. Base légale : exécution du contrat (art. 6.1.b RGPD). Pas de lien de désinscription : ces e-mails font partie de l'utilisation sûre d'un profil d'enfant. Si vous vous êtes désinscrit de tous les e-mails, vous ne recevez les messages sur un enfant qui atteint 18 ans que dans l'application.

En bas de chaque e-mail périodique se trouve un lien de désinscription qui agit immédiatement, ainsi qu'un lien pour tout couper en une fois. Brevo compte de façon anonyme le nombre d'ouvertures et de clics sur nos e-mails ; cela ne peut pas être désactivé, et nous n'utilisons ces chiffres nulle part. Votre adresse ne sert jamais à une lettre d'information, à une offre ou à quoi que ce soit venant de quelqu'un d'autre.

Questions, demandes ou réclamations concernant vos données : écrivez à privacy@gy-digital.be ou appelez le +32 492 49 38 04. Pour savoir qui se cache derrière, voir gy-digital.be.