Légal · RGPD
Politique de confidentialité
Dernière mise à jour : 24 août 2026 · Version 1.1
Cette traduction est fournie à titre informatif. En cas de divergence, la version néerlandaise fait foi.
Budgetto tourne sur un seul serveur en Allemagne, géré par GY Digital. Vos données s'y trouvent, et nulle part ailleurs. Ce document explique quelles données sont collectées, pourquoi, qui peut les voir, et quels sont vos droits sous le RGPD.
Qui traite vos données
GY Digital est responsable du traitement pour Budgetto. C'est le nom commercial sous lequel Romain Goyeau travaille comme étudiant-entrepreneur, et la partie qui gère le serveur sur lequel vos données se trouvent. Aucun délégué à la protection des données n'a été désigné : le traitement est trop limité en volume et en nature pour l'exiger.
GY Digital
Romain Goyeau, étudiant-entrepreneur
Région de Malines, Belgique
E-mail: privacy@gy-digital.be
Téléphone: +32 492 49 38 04
Quelles données nous traitons
Strictement limitées à ce dont l'application a besoin :
Données de compte
Prénom, nom, adresse e-mail, devise préférée, et votre mot de passe sous forme hachée avec bcrypt (illisible, y compris pour l'administrateur).
Transactions financières
Tout ce que vous encodez vous-même : nom, montant, date, notes personnelles, catégorie, ainsi que les positions et achats du module Patrimoine. Nous relions cela à l'identifiant de votre compte, à personne d'autre.
Données via la connexion avec Google
Uniquement si vous utilisez ce bouton. Google nous transmet alors votre adresse e-mail, votre prénom et votre nom, ainsi qu'un identifiant de compte Google interne. Pas de contacts, pas d'agenda, pas de fichiers, pas de photo de profil conservée. Si vous vous connectez avec un mot de passe, Google n'intervient pas.
Cookie de session
Un seul cookie (budgetto_session) contenant un jeton JWT, valable 7 jours. Plus d'informations sur la page cookies.
Adresse IP (brièvement)
Uniquement en mémoire vive, pour les limitations de débit (quelques minutes au maximum). Elle n'est pas enregistrée dans la base de données ni journalisée.
Ce que nous ne traitons pas : traqueurs, statistiques, données bancaires, localisation, identifiants d'appareil, ni quoi que ce soit provenant de tiers. Nous n'achetons aucune donnée et ne relions rien à des profils externes.
Pourquoi nous les traitons
Exécution du contrat (art. 6.1.b RGPD)
Sans compte, nous ne pouvons pas fournir le service. Vos transactions sont littéralement ce que vous voulez faire avec l'application.
Intérêt légitime (art. 6.1.f RGPD)
Limitations de débit à la connexion et à l'inscription afin de limiter les abus. L'adresse IP n'est ni partagée ni conservée en dehors de la mémoire vive.
Vous n'êtes pas obligé de fournir ces données, mais sans adresse e-mail ni mot de passe, aucun compte ne peut exister et le service ne peut donc pas être fourni.
Combien de temps nous les conservons
Aussi longtemps que vous avez un compte. Lorsque vous cliquez sur Supprimer le compte dans Paramètres, votre compte, toutes vos transactions et toutes vos catégories sont supprimés immédiatement et définitivement de la base de données. Les sauvegardes du serveur peuvent conserver vos données pendant 30 jours au maximum; ensuite, elles disparaissent également.
Où vos données se trouvent physiquement
Sur un seul serveur dans un centre de données en Allemagne, donc au sein de l'Union européenne. L'hébergement passe par Hetzner Online GmbH, dans leur parc de centres de données à Falkenstein :
Hetzner Online GmbH
Am Datacenter-Park 1, 08223 Falkenstein/Vogtland, Saxe, Allemagne
Siège social : Industriestr. 25, 91710 Gunzenhausen, Allemagne
Hetzner fournit la machine et la sécurité physique et agit comme sous-traitant au sens de l'article 28 RGPD : ils traitent vos données uniquement sur nos instructions et ne peuvent rien en faire eux-mêmes. Aucune copie de la base de données ne se trouve chez un autre prestataire, dans aucun autre pays.
Avec qui nous les partageons
Avec personne qui en fasse quelque chose.
Pas de Google Analytics, pas de Meta Pixel, pas de Cloudflare Insights, pas de CDN pour le code. Votre navigateur ne communique qu'avec ce serveur, jamais avec un service publicitaire ou statistique. Vos données ne sont jamais vendues, louées ni partagées à des fins commerciales. Voici la liste complète des parties qui voient quelque chose, et pourquoi.
Hetzner (Allemagne)
L'hébergeur mentionné ci-dessus. Les données se trouvent physiquement chez eux puisque le serveur y est installé, mais ils ne les traitent que sur nos instructions.
Google (uniquement avec la connexion Google)
Si vous utilisez ce bouton, vous êtes redirigé vers Google pour vous connecter. Google sait dès lors que vous avez un compte Budgetto et voit votre adresse IP à cette occasion. Pour les utilisateurs européens, Google Ireland Limited est lui-même responsable du traitement, avec ses propres conditions de confidentialité. Si vous vous connectez avec un e-mail et un mot de passe, cela n'a pas lieu.
Yahoo Finance et Frankfurter (uniquement pour les placements)
Pour les cours, notre serveur demande un symbole boursier à Yahoo Finance et un taux de change au service ouvert Frankfurter, qui publie les cours journaliers de la Banque centrale européenne. Seul le symbole ou la paire de devises y est envoyé, comme TTWO ou EUR/USD. Pas de nom, pas d'adresse e-mail, pas de montants, pas de quantités, rien qui indique qui effectue la demande. Comme votre navigateur ne contacte pas ces services lui-même, ils ne voient pas non plus votre adresse IP : ils ne voient que notre serveur. Les cours sont mis en cache de manière partagée : dix personnes détenant la même action génèrent ensemble une seule requête par jour.
Les autorités, uniquement si la loi l'impose
En présence d'une injonction judiciaire valable, nous sommes légalement tenus de communiquer des données. Cela n'est jamais arrivé. Si cela devait arriver, nous vous en informerions, sauf si la loi nous l'interdit.
Transferts en dehors de l'Espace économique européen
Votre compte, vos transactions et vos données de patrimoine restent sur le serveur en Allemagne et ne quittent pas l'EEE. Il existe deux cas où du trafic sort de l'EEE, et dans aucun des deux il ne s'agit de données permettant de savoir qui vous êtes :
- →Lors de la récupération des cours boursiers, notre serveur contacte Yahoo Finance, un service d'une entreprise américaine. Ce qui y est envoyé est un symbole boursier, transmis par le serveur. Aucune donnée à caractère personnel.
- →Si vous vous connectez avec Google, cette connexion passe par Google, qui peut également traiter des données en dehors de l'EEE. Google LLC est certifié à cet effet sous le EU-US Data Privacy Framework, la décision d'adéquation de la Commission européenne. Cela n'a lieu que si vous utilisez ce bouton.
Sécurité
Mesures techniques en place sur cette instance :
- →Mots de passe hachés avec bcrypt (12 rounds), non réversibles.
- →Sessions dans des cookies httpOnly, illisibles par JavaScript, non volables par XSS.
- →Limitations de débit à la connexion, à l'inscription et au captcha pour arrêter les attaques par force brute.
- →HTTPS via Caddy (TLS automatique, en-têtes HSTS).
- →En-têtes de sécurité (helmet) : X-Frame-Options, X-Content-Type-Options, Referrer-Policy.
- →CAPTCHA et honeypot à l'inscription pour écarter les bots.
En cas de violation de données présentant un risque pour vos droits et libertés, nous la signalons dans les 72 heures à l'Autorité de protection des données, et directement à vous si le risque est élevé.
Pas de profilage, pas de décisions automatisées
Budgetto ne prend aucune décision vous concernant qui produise des effets juridiques ou vous affecte de manière significative, et ne pratique aucun profilage. La prévision mensuelle est un calcul sur vos propres chiffres que vous seul voyez : pas de scoring, pas d'évaluation de crédit, aucun conseil transmis où que ce soit.
Vos droits (RGPD)
Vous disposez des droits suivants sous le RGPD. La plupart sont directement intégrés dans l'application. Vous pouvez toujours envoyer une demande par e-mail; nous répondons dans les 30 jours.
Droit d'accès
Toutes les données que nous détenons à votre sujet sont visibles dans votre compte. Rien ne vous est caché.
Droit de rectification
Via Paramètres, vous pouvez modifier les données de votre profil. Les transactions et les catégories se modifient directement sur leur page.
Droit à l'effacement (droit à l'oubli)
Un clic dans Paramètres, Supprimer le compte. Vous confirmez avec votre mot de passe, et tout disparaît.
Droit à la portabilité des données
Exportez vos données vous-même en CSV ou JSON via le bouton d'export dans l'application, ou demandez-les par e-mail.
Droit à la limitation du traitement
Écrivez-nous si vous souhaitez que nous conservions vos données sans les utiliser davantage, par exemple pendant l'examen d'une réclamation.
Droit d'opposition
Écrivez à l'administrateur si vous souhaitez vous opposer à un traitement fondé sur l'intérêt légitime.
Droit d'introduire une réclamation
Auprès de l'Autorité de protection des données, Rue de la Presse 35, 1000 Bruxelles : gegevensbeschermingsautoriteit.be
Modifications de cette politique
Si nous modifions ce document, nous augmentons le numéro de version en haut de page et mettons la date à jour. En cas de modification importante, un message apparaît dans l'application lors de votre connexion suivante.
Contact
Questions, demandes ou réclamations concernant vos données : écrivez à privacy@gy-digital.be ou appelez le +32 492 49 38 04. Pour savoir qui se cache derrière, voir gy-digital.be.