Politique de confidentialité

Qui est responsable

Le responsable du traitement décrit ici est Andrey Fedyukov, Mecumstraße 52, 40225 Düsseldorf, Allemagne.

Pour toute question sur tes données, écris à [email protected]. Tu peux aussi introduire une réclamation auprès d’une autorité de contrôle de la protection des données dans le pays de l’UE où tu vis.

Ce que nous enregistrons

Les données de compte, si tu en crées un : ton adresse e-mail, les identifiants de la méthode de connexion utilisée (Apple ou Google, si tu te connectes ainsi) et les horodatages techniques de tes sessions.

Le livre lui-même : opérations, comptes, catégories, opérations récurrentes, paiements prévus, budgets, réglages de devises et les notes que tu écris. Si tu partages un livre, la composition de ce groupe et ses codes d’invitation.

Si tu achètes Topf Plus : le fait que l’achat a eu lieu et sa durée de validité, l’identifiant anonyme que le service d’achat attribue à ton installation et, si tu as un compte, le lien entre les deux. Ni ta carte, ni ton identifiant Apple, ni ton compte Google : la boutique les conserve et ne nous en montre aucun.

Si tu utilises la saisie vocale avec un compte : pour chaque mois civil, le nombre de saisies vocales réussies imputées à ton compte, afin d’appliquer la limite en vigueur — une limite mensuelle dans la version gratuite et, avec Plus, un plafond qui protège contre les abus. Sont enregistrés le mois civil, ce nombre et l’heure de sa dernière modification ; la phrase que tu as prononcée et les brouillons qui en sont issus ne le sont pas. Dans un livre partagé, les saisies vocales des membres qui n’ont pas leur propre Plus sont imputées au compte du propriétaire du groupe.

Si tu utilises le scan de tickets avec un compte : pour chaque mois civil, le nombre de tickets lus pour ton compte, afin d’appliquer la limite en vigueur. Comme pour la saisie vocale, sont enregistrés le mois civil, ce nombre et l’heure de sa dernière modification ; la photo du ticket et les brouillons qui en sont issus ne le sont pas. Dans un livre partagé, les scans des membres qui n’ont pas leur propre Plus sont imputés au compte du propriétaire du groupe.

Si tu utilises Topf AI avec un compte : pour chaque mois civil, le nombre de questions comptées pour ton compte, afin d’appliquer la limite en vigueur, et, pendant qu’une question reçoit sa réponse, une note indiquant qu’elle a été comptée, qui expire au bout de quinze minutes. Les questions, les parties de ton livre envoyées avec elles et les réponses ne sont pas conservées. Dans un livre partagé, les questions des membres sans Plus à eux sont comptées sur le compte du propriétaire du groupe.

L’enregistrement automatique, si tu l’utilises : pour chaque opération qu’il a enregistrée, d’où venait le paiement (Apple Pay, une notification ou un SMS de la banque), le nom de la carte tel que Cartes l’affiche, et si et quel mois Topf l’a enregistrée seul ; ainsi que la mémoire du livre, c’est-à-dire quelle catégorie reçoit un commerçant et sur quel compte une carte ou une banque est enregistrée. Le libellé du terminal de paiement et le montant, tels qu’Apple Pay les transmet, accompagnent l’opération : tous les appareils du livre et tous les membres d’un livre partagé les voient. Le texte d’un message de la banque reste sur l’appareil qui l’a reçu. Avec un compte, pour chaque mois civil, combien de paiements le modèle a lus pour ton compte, afin que la limite applicable puisse s’appliquer.

C’est la liste complète de ce qui est enregistré avec un compte. L’app ne contient ni identifiant publicitaire, ni empreinte de l’appareil, ni suivi par des tiers ; les statistiques d’utilisation décrites plus bas ne sont pas liées à ton compte.

Utiliser l’app sans compte

Topf s’utilise sans compte. Ton livre reste alors sur ton appareil et n’est pas envoyé. La saisie vocale et le scan de tickets ont besoin d’internet et envoient des données quand tu les utilises. Les achats de Plus passent par l’App Store ou Google Play et le service d’achat. L’app envoie aussi des statistiques d’utilisation anonymes, que tu peux désactiver. Le détail figure plus bas.

L’enregistrement automatique fonctionne aussi sans compte ; ce qu’il envoie, et quand, est décrit plus bas.

Topf AI nécessite un compte, car chaque question est comptée pour le compte qui la pose.

Pourquoi nous traitons ces données, et sur quelle base

Pour fournir le produit que tu as choisi d’utiliser : conserver ton livre, le synchroniser entre tes appareils et le restaurer sur un nouveau. Base légale : exécution du contrat (art. 6, par. 1, point b du RGPD).

Pour te connecter : envoi du code de connexion à ton adresse e-mail. Base légale : exécution du contrat (art. 6, par. 1, point b du RGPD).

Pour savoir si tu as Plus : vérification de l’achat auprès du service d’achat et conservation de son état actuel sur notre serveur. Base légale : exécution du contrat (art. 6, par. 1, point b du RGPD).

Pour appliquer les limites mensuelles de saisies vocales et de scans de tickets : décompte des uns et des autres par mois civil, car la version gratuite n’en comprend qu’un nombre limité. Base légale : exécution du contrat (art. 6, par. 1, point b du RGPD).

Pour appliquer la limite mensuelle des questions à Topf AI : nous les comptons par mois civil, car la version gratuite en inclut un nombre limité. Base légale : exécution d’un contrat (art. 6, paragraphe 1, point b, du RGPD).

Pour comprendre comment l’app est utilisée et l’améliorer : statistiques d’utilisation. Base légale : intérêt légitime (art. 6, par. 1, point f du RGPD).

Pour que le service fonctionne et que la saisie vocale et le scan de tickets ne soient pas détournés. Base légale : intérêt légitime (art. 6, par. 1, point f du RGPD).

Appliquer les limites de l’enregistrement automatique : compter, par mois civil, les paiements que Topf enregistre seul et ceux que le modèle lit. Base juridique : exécution d’un contrat (art. 6, par. 1, point b du RGPD).

Où sont les données

Une copie complète de ton livre se trouve sur ton appareil, dans une base de données locale, et y fonctionne sans réseau.

Si tu as un compte, les mêmes données sont stockées dans une base PostgreSQL hébergée par Supabase à Francfort, en Allemagne (AWS eu-central-1), et arrivent sur tes appareils via le service de synchronisation PowerSync. L’accès est limité utilisateur par utilisateur par une sécurité au niveau des lignes (row-level security) : un compte lit son propre livre et, s’il fait partie d’un livre partagé, ce livre-là.

Saisie vocale

Lors d’une saisie vocale, ta phrase est normalement transcrite par le service de reconnaissance vocale de ton appareil. Sur iPhone, c’est celui d’Apple ; sur Android, c’est le service choisi dans le système, le plus souvent celui de Google. Il peut fonctionner sur l’appareil ou sur les serveurs de son fournisseur, selon les conditions de celui-ci. Seul le texte obtenu est envoyé à notre serveur, avec le contexte nécessaire pour le comprendre : la langue de l’interface, la date du jour, ton fuseau horaire, ta devise principale et les noms de tes comptes et catégories actifs.

Ce texte est transmis à OpenAI, qui le transforme en brouillons d’opérations. Les brouillons reviennent sur ton appareil et te sont présentés ; rien n’est inscrit dans ton livre tant que tu n’as pas confirmé.

Si la reconnaissance de l’appareil n’est pas disponible, c’est l’enregistrement lui-même qui est envoyé et transcrit par le même prestataire. Dans les deux cas, le son et le texte ne font que traverser notre fonction en mémoire et ne sont pas conservés par nous — ni dans la base de données, ni dans un fichier, ni dans un journal. Si tu utilises un compte, une saisie réussie ne fait qu’augmenter d’une unité le nombre mensuel décrit plus haut.

OpenAI traite ces données pour notre compte, en tant que sous-traitant. Son API est utilisée avec le réglage qui exclut les données transmises de l’entraînement des modèles ; pour détecter les abus, le prestataire peut conserver la requête et sa réponse jusqu’à 30 jours, ou plus longtemps si la loi l’exige ou si cela est raisonnablement nécessaire pour protéger ses services ou des tiers contre un préjudice. Ne dicte rien que tu ne voudrais pas voir passer chez un sous-traitant.

Scan de tickets

Pour scanner un ticket, tu le prends en photo dans l’app ou tu choisis une image dans tes photos ; l’app ne reçoit que la photo que tu choisis. Avant de quitter ton appareil, la photo est réduite et enregistrée à nouveau sans ses métadonnées, comme le lieu et l’heure de la prise de vue. Rien n’est envoyé tant que tu ne l’as pas autorisé dans l’app, et tu peux retirer cette autorisation à tout moment dans Paramètres → Confidentialité.

La photo part vers notre serveur avec le contexte nécessaire pour la lire : la langue de l’interface, la date du jour, ton fuseau horaire, ta devise principale et les noms de tes catégories de dépenses. De là, elle est transmise à OpenAI, qui lit le ticket et en tire des brouillons d’opérations. Les brouillons reviennent sur ton appareil et te sont présentés ; rien n’est inscrit dans ton livre tant que tu ne l’as pas confirmé.

Tout ce qui est imprimé sur le ticket part avec la photo : si ton nom, ton adresse ou ton adresse e-mail y figurent, OpenAI les reçoit aussi. La photo traverse notre fonction en mémoire et nous ne la conservons pas, ni dans la base de données, ni dans un fichier, ni dans un journal. Si tu utilises un compte, un ticket lu augmente de un le nombre mensuel de scans ; une photo dont rien n’a pu être lu n’est pas comptée.

OpenAI traite ces données pour notre compte, en tant que sous-traitant, avec les mêmes réglages et la même conservation pour la détection des abus que pour la saisie vocale. Ne scanne rien que tu ne voudrais pas voir passer chez un sous-traitant.

Enregistrement automatique

L’enregistrement automatique passe par une automatisation personnelle que tu configures dans l’app Raccourcis d’Apple sur iPhone : quand tu paies avec Apple Pay, ou que ta banque envoie une notification ou un SMS, l’automatisation transmet le paiement à Topf. Topf lui-même ne peut lire ni ton app Cartes, ni tes messages, ni les notifications des autres apps ; il ne reçoit que ce que ton automatisation lui transmet, et l’enregistre d’abord sur ton appareil.

Un paiement Apple Pay chez un commerçant que Topf connaît déjà est enregistré sur ton appareil grâce à la mémoire de ton livre, sans rien envoyer à analyser. Pour un nouveau commerçant Apple Pay, et pour chaque message de la banque, que Topf connaisse le commerçant ou non, le paiement part vers notre serveur avec le contexte nécessaire pour le lire : le nom du commerçant et le montant tels qu’Apple Pay les donne, ou le texte du message exactement tel que ta banque l’a écrit, ainsi que la langue de l’interface, la date et l’heure d’arrivée du paiement, ton fuseau horaire, ta devise principale et les noms de tes catégories. De là, il est transmis à OpenAI, qui lit le montant et le commerçant et choisit une catégorie.

Un message de la banque peut contenir ton solde ou les derniers chiffres d’une carte ; ils partent aussi, car le texte est envoyé tel que la banque l’a écrit. Il passe par notre fonction en mémoire et n’est pas conservé sur nos serveurs. Rien n’est envoyé à OpenAI tant que tu ne l’as pas autorisé dans l’app ; avec « Sans OpenAI », rien n’est envoyé à OpenAI, et tu peux retirer cette autorisation à tout moment dans Paramètres → Confidentialité.

OpenAI traite ces données pour notre compte, en tant que sous-traitant, avec les mêmes réglages et la même conservation pour la surveillance des abus que pour la saisie vocale.

Topf AI

Topf AI répond aux questions sur ton argent à partir de ton livre. Il ne fonctionne qu’avec un compte, et rien n’est envoyé avant que tu l’aies autorisé dans l’app ; cette autorisation reste sur ton appareil. Tu peux la retirer à tout moment dans Paramètres → Confidentialité.

À chaque question, notre serveur envoie à OpenAI ta question, la langue de l’app, la date du jour, ton fuseau horaire, ta devise principale et les noms de tes comptes et catégories. Pour répondre, le modèle demande à l’app ce dont il a besoin ; l’app le cherche dans le livre sur ton appareil et ne renvoie que cela : les opérations trouvées avec leur date, montant, catégorie, compte et note, des totaux par catégorie, mois ou compte, les soldes de tes comptes, tes budgets de la période en cours et tes opérations récurrentes. La conversation jusque-là accompagne chaque étape de la réponse. Ton adresse e-mail et l’identifiant de ton compte ne sont pas envoyés à OpenAI.

Une question posée à voix haute est enregistrée sur ton appareil, envoyée à notre serveur, transcrite par OpenAI et renvoyée sous forme de texte. Un ticket ajouté dans Topf AI suit le chemin du scan de tickets décrit plus haut et n’est pas montré au modèle. Topf AI ne modifie rien dans ton livre de lui-même : les brouillons d’opérations et les changements de catégories, de comptes, de budgets et d’opérations récurrentes ne sont écrits que lorsque tu les confirmes.

Les questions, les enregistrements, les parties de ton livre envoyées avec eux et les réponses transitent en mémoire par notre fonction et ne sont pas conservés par nous ; la conversation reste dans l’app jusqu’à ce que tu en commences une nouvelle ou fermes l’app. Si tu utilises un compte, une question augmente de un le compteur mensuel décrit plus haut, quel que soit le nombre d’étapes de sa réponse. OpenAI traite ces données pour notre compte, en tant que sous-traitant, avec les mêmes réglages et la même conservation pour la détection des abus que pour la saisie vocale. Ne pose aucune question que tu ne voudrais pas voir passer chez un sous-traitant.

E-mail

Les codes de connexion sont envoyés via Amazon Simple Email Service (AWS, Francfort, Allemagne). Le service reçoit ton adresse e-mail pour distribuer le message. Nous n’envoyons pas d’e-mails publicitaires et il n’y a pas de liste de diffusion.

Taux de change

Les taux de change quotidiens proviennent du service public api.frankfurter.dev. La requête est faite une fois par jour par notre serveur, pour tout le monde, et non par ton appareil : utiliser plusieurs devises ne lui apprend donc rien sur toi.

Achats

Topf Plus s’achète avec ou sans compte : sur iPhone via l’App Store d’Apple, sur Android via Google Play. Le paiement est géré par la boutique : nous n’avons accès ni à ta carte, ni à ton identifiant Apple, ni à ton compte Google. Apple et Google traitent l’achat en tant que responsables du traitement indépendants, selon leurs propres politiques de confidentialité. RevenueCat (RevenueCat, Inc., États-Unis) reçoit la preuve d’achat de la boutique (le reçu de l’App Store ou le jeton d’achat de Google Play), un identifiant anonyme de ton installation et, si tu as un compte, l’identifiant de ce compte, et indique à l’app et à notre serveur si Plus est actif et jusqu’à quand. RevenueCat traite ces données pour notre compte, en tant que sous-traitant ; le transfert vers les États-Unis repose sur les clauses contractuelles types de l’UE.

Statistiques d’utilisation

Pour comprendre où les gens décrochent et ce qu’il faut améliorer, l’app envoie des statistiques d’utilisation à PostHog (PostHog Inc., États-Unis ; les données sont stockées dans l’UE, à Francfort) : la façon dont l’app est utilisée — quels écrans sont ouverts et quelles actions y sont effectuées. Chaque événement contient la version de l’app, le système d’exploitation et sa version, la langue, le fuseau horaire et un identifiant aléatoire de l’installation.

Ne sont jamais envoyés : les montants, les notes, les noms des comptes et des catégories, ce que tu as dit, ton adresse e-mail ni l’identifiant de ton compte. L’adresse IP est écartée et ne sert pas à déterminer ta position. Les statistiques ne sont pas liées à ton compte ; après une réinstallation de l’app, l’identifiant de l’installation est nouveau. L’envoi peut être désactivé dans l’app : Paramètres → Confidentialité → Statistiques d’utilisation.

Base légale : notre intérêt légitime à améliorer l’app (art. 6, par. 1, point f du RGPD). PostHog traite ces données pour notre compte, en tant que sous-traitant ; le transfert vers les États-Unis repose sur les clauses contractuelles types de l’UE. Les événements restent disponibles pour l’analyse pendant un an ; les plus anciens n’apparaissent plus dans les rapports, mais PostHog peut les conserver dans ses archives. Comme les statistiques ne sont pas liées à toi, nous ne pouvons ni isoler ni supprimer les événements d’une installation donnée.

Ce site

Le site est hébergé sur Cloudflare Pages. Il n’a ni formulaire, ni cookie, ni outil d’analyse, ni contenu tiers intégré. Seule la page d’accueil lit les langues réglées dans ton navigateur, pour s’ouvrir dans l’une d’elles, et rien n’en est conservé. Cloudflare traite les données techniques que voit tout serveur web — ton adresse IP, l’adresse demandée, le user agent — pour afficher la page et protéger le service.

Qui d’autre voit les données

Uniquement les sous-traitants cités plus haut, chacun pour la seule tâche qu’il accomplit :

• Supabase — hébergement de la base de données et du service de connexion ;
• PowerSync — synchronisation entre la base de données et tes appareils ;
• OpenAI — transformation d’une phrase prononcée, de la photo d’un ticket ou d’un message de paiement en brouillons et en catégories, et réponses aux questions sur ton livre dans Topf AI ;
• Amazon Web Services — distribution des e-mails et infrastructure sur laquelle tourne la base de données ;
• RevenueCat — traitement des achats intégrés et état de ton droit à Plus ;
• PostHog — statistiques d’utilisation de l’app ;
• Cloudflare — hébergement de ce site et du domaine.

Nous veillons à ce que les tiers auxquels nous transmettons des données d’utilisateurs les protègent dans une mesure identique ou équivalente à celle décrite dans la présente politique de confidentialité et exigée par les règles de protection des données applicables à notre app.

Tes données ne sont ni vendues, ni louées, ni communiquées à des annonceurs, ni utilisées pour entraîner les modèles de qui que ce soit.

Durée de conservation

Aussi longtemps que ton compte existe. La suppression du compte supprime le livre sur le serveur ; une copie déjà synchronisée sur tes propres appareils disparaît quand tu te déconnectes ou supprimes l’app.

Une opération que tu supprimes dans l’app disparaît aussitôt du livre et de tous les totaux ; juste après, la suppression peut encore être annulée. Sur le serveur, elle reste enregistrée, marquée comme supprimée, jusqu’à la suppression de ton compte.

Tes droits

Le RGPD te donne un droit d’accès, de rectification, d’effacement, de limitation du traitement et de portabilité des données, ainsi que le droit de t’opposer à un traitement fondé sur l’intérêt légitime.

La suppression est intégrée à l’app : Paramètres → Compte → Supprimer le compte efface tes données sur le serveur et, si tu te connectes avec Apple, révoque aussi cette autorisation. Pour tout le reste, écris à [email protected].

Enfants

Topf ne s’adresse pas aux enfants et n’est pas destiné aux personnes de moins de 16 ans.

Modifications

Quand cette politique change, la date en haut change avec elle. Une modification qui touche sensiblement la façon dont tes données sont traitées sera annoncée dans l’app avant de prendre effet.