Politique de confidentialité

SpendWe (« SpendWe », « nous ») édite une application de suivi des dépenses, personnelle et en couple, pour iPhone, iPad et Android, accompagnée d'une application web. Cette politique explique quelles données l'application traite, pourquoi, et les choix dont vous disposez. Nous avons conçu SpendWe pour être utile sans vous profiler : il n'y a pas de publicité, pas de traceurs publicitaires, et nous ne vendons jamais vos données.

1. Ce que nous collectons

Les données que vous créez dans l'application

• Données financières - les dépenses et revenus que vous ajoutez (montant, devise, commerçant, date, note, catégorie et qui a payé), vos catégories et vos budgets.
• Images de tickets - les photos que vous scannez sont d'abord lues sur votre appareil. Si Utiliser l'IA est activé, chaque photo scannée (réduite, sans sa position ni ses autres métadonnées) et le texte lu dessus sont envoyés au serveur de SpendWe, qui les transmet à Anthropic pour lire chaque article ; le serveur ne conserve ni n'enregistre la photo (voir Fonctions d'IA). Si Utiliser l'IA est désactivé, rien du scan ne quitte votre appareil. Par ailleurs, vous choisissez si une photo est conservée ou non, conservée uniquement sur cet appareil, ou conservée et sauvegardée (voir plus bas). Les photos de tickets ne sont jamais incluses dans la sauvegarde de votre téléphone.
• Nom affiché - un nom d'utilisateur que vous choisissez (pas forcément votre vrai nom), utilisé pour indiquer qui a payé une dépense.
• Achats Apple Pay que vous choisissez d'enregistrer (iPhone) - l'application ne lit jamais votre Apple Wallet. Si vous configurez vous-même une automatisation Raccourcis, votre raccourci envoie à SpendWe uniquement le montant, le commerçant et la date d'un achat, qui sont enregistrés comme une dépense, comme toute saisie manuelle.
• Revenus utilisés pour un partage au prorata des revenus - si vous répartissez les dépenses du foyer au prorata des revenus, les revenus que vous saisissez restent sur votre appareil. Seuls les pourcentages qui en résultent sont synchronisés avec votre foyer.
• Mémoire des prix - les prix d'articles mémorisés à partir de vos tickets sont conservés uniquement sur votre appareil. Ils ne sont pas synchronisés, ne sont pas inclus dans la sauvegarde cloud et ne sont jamais inclus dans la sauvegarde de votre téléphone.

Tant que vous n'utilisez ni fonctionnalité cloud ni l'IA, ces données financières restent sur votre appareil. Sur iPhone et iPad, elles font aussi partie de la sauvegarde de votre appareil (sauvegarde iCloud, ou sauvegarde sur votre ordinateur), si vous en utilisez une : cette sauvegarde vous appartient, dans votre compte Apple ou sur votre ordinateur, et nous n'y avons pas accès. Les photos de tickets et la mémoire des prix ne sont jamais incluses dans une sauvegarde de l'appareil. Sur Android, ni vos données, ni vos photos de tickets, ni la mémoire des prix ne vont dans la sauvegarde de l'appareil de Google : sans compte SpendWe, c'est une sauvegarde exportée qui permet de les transférer sur un nouveau téléphone. L'application peut tout de même contacter Firebase pour la livraison de la configuration et les diagnostics de plantage, comme décrit ci-dessous.

Ce qui change lorsque vous utilisez une fonctionnalité cloud

Deux choses stockent des données sur nos serveurs : la sauvegarde automatique et le partage d'un foyer avec un partenaire. L'une comme l'autre a besoin d'une identité à laquelle rattacher vos données :

• Sans inscription - par exemple si vous partagez seulement un foyer, ou si vous activez l'IA sans compte - l'application crée un identifiant anonyme pour votre appareil. Nous ne détenons ni e-mail ni nom pour vous, mais vos données synchronisées sont stockées sur nos serveurs sous cet identifiant. Comme il n'existe que sur cet appareil, réinitialiser ou remplacer le téléphone peut en faire perdre l'accès définitivement.
• Si vous ajoutez votre e-mail, cette identité devient un véritable compte, ce qui vous permet de restaurer vos données sur un nouveau téléphone et de garder plusieurs appareils synchronisés.

Données collectées uniquement si vous utilisez une fonctionnalité cloud (sauvegarde ou partage d'un foyer)

• Adresse e-mail - uniquement si vous choisissez d'en ajouter une. Elle sert à vous connecter avec un code à usage unique et à identifier votre compte. Le code envoyé par e-mail est le moyen de connexion normal. La connexion avec Apple ou avec Google n'apparaît dans les applications que là où nous l'avons activée ; l'application web ne la propose pas. Si vous en utilisez une, ce service nous transmet votre adresse e-mail (avec « Masquer mon adresse e-mail » d'Apple, une adresse relais) et un identifiant stable pour votre compte ; Google peut y ajouter le nom et l'adresse de la photo de votre profil Google, que nous n'utilisons ni n'affichons. Nous ne recevons jamais votre mot de passe Apple ou Google. Sans adresse e-mail, vos données dans le cloud sont rattachées à un identifiant anonyme.
• Vos données financières synchronisées - les données ci-dessus, stockées dans votre espace cloud privé afin d'être sauvegardées et partagées au sein de votre foyer.
• Photos de tickets sauvegardées - uniquement si vous conservez une photo et choisissez de la sauvegarder (vous pouvez décider ticket par ticket). Elle est stockée dans l'espace de stockage cloud à accès contrôlé de votre foyer ; la photo d'une dépense marquée Privée est stockée à un endroit que vous seul pouvez lire.
• Appartenance à un foyer - si vous vous associez à un partenaire, le fait que vos comptes partagent un foyer, et un nom affiché pour chaque membre.
• Réactions et commentaires - les réactions et commentaires que vous ajoutez à une dépense dans un foyer partagé sont stockés avec ce foyer et sont visibles par ses membres.
• Préférences de notification - les notifications que vous avez activées, votre plage horaire de silence et votre fuseau horaire, afin que les alertes et les résumés arrivent à des heures locales raisonnables.
• Avis de nouvelle connexion - lorsqu'une nouvelle connexion à votre compte commence, notre serveur note cette session, l'identifiant de votre compte et l'heure (ni appareil, ni lieu, ni adresse IP) pour envoyer un avis de « nouvelle connexion » à vos appareils qui reçoivent les notifications ; cette note est supprimée au bout de sept jours.
• Jeton de notification de l'appareil - sur Android, un jeton fourni par Firebase Cloud Messaging (Google) pour vous délivrer les notifications que vous avez activées. Il n'est conservé que tant que les notifications sont activées, et le texte de chaque notification passe par le service de distribution de Google. Sur iPhone et iPad, les notifications envoyées par nos serveurs ne sont pas encore actives : l'application n'enregistre aucun jeton, et les rappels et alertes de budget que vous y voyez sont créés par l'application sur l'appareil lui-même. Lorsqu'elles seront activées dans une prochaine version, l'application vous demandera d'abord votre accord, et un jeton du service de notifications push d'Apple, obtenu via Firebase, sera conservé de la même façon. L'application web n'envoie aucune notification.

Fonctions d'IA (facultatives)

Les fonctions d'IA de SpendWe sont : la lecture des articles d'un ticket que vous scannez, Demander à SpendWe (vos questions sur vos dépenses), un résumé écrit de votre mois, des suggestions de catégories et la vérification des colonnes d'un fichier bancaire que vous importez. La lecture des tickets a lieu à chaque scan tant que Utiliser l'IA est activé (un compte gratuit a droit à 4 corrections de ticket par mois) ; les autres ne s'exécutent que lorsque vous les sollicitez et font partie de SpendWe Pro.

• L'IA est votre choix - l'IA fonctionne via notre serveur, pas sur votre téléphone. L'application vous le demande à sa première ouverture, et rien n'est envoyé tant que vous n'avez pas activé l'IA ; Utiliser l'IA reste désactivé jusque-là. Vous pouvez le désactiver ou le réactiver à tout moment dans les réglages de l'application ; le désactiver arrête toute requête d'IA, scans de tickets compris, et un scan garde alors ce que votre téléphone a lu. L'application web a son propre réglage Utiliser l'IA, conservé dans votre navigateur et demandé une fois après votre connexion ; il ne concerne que les fonctions d'IA du web. L'IA nécessite une liaison avec le serveur de SpendWe : un compte, ou l'identifiant anonyme décrit plus haut.
• Ce que l'IA envoie - uniquement ce dont la tâche a besoin, au serveur de SpendWe, qui le transmet à notre prestataire d'IA, Anthropic (son modèle Claude) : pour un ticket scanné, la photo de chaque page (réduite, 1 600 pixels au plus sur son grand côté, réencodée de façon à en retirer la position et les autres métadonnées), le texte lu dessus avec la position de chaque ligne, et le nom de vos catégories pour classer chaque article ; pour une question ou un résumé, vos totaux mensuels de dépenses et de revenus, les totaux par catégorie, vos principaux commerçants et leurs montants, vos budgets et leur période, votre devise et votre langue, la date du jour et la question que vous saisissez ; pour les suggestions de catégories, les commerçants et montants à classer et le nom de vos catégories ; pour un fichier bancaire, un profil de ses colonnes (titres, types de valeurs et proportions), jamais ses lignes ni ses montants. Les remboursements entre membres et les dépenses que vous marquez Privées sont exclus des totaux.
• Ce qui n'est jamais envoyé - vos notes, le nom des membres de votre foyer, vos commentaires, votre position, ni d'autres photos que le ticket que vous scannez ; et rien de ce qui vous identifie, comme votre adresse e-mail ou l'identifiant de votre compte, n'est transmis à Anthropic. Un ticket peut montrer tout ce qui y est imprimé (par exemple l'adresse du magasin ou les derniers chiffres d'une carte) : cela fait partie de la photo et de son texte.
• Ce qui est conservé - le serveur de SpendWe ne conserve ni n'enregistre dans ses journaux le contenu des requêtes d'IA ni les réponses, photos de tickets comprises : une photo est transmise à Anthropic pour cette seule requête puis abandonnée. Il garde un compteur de requêtes par compte, pour appliquer les limites (100 par jour ; pour un compte gratuit, 4 corrections de ticket par mois) ; les compteurs de plus de cinq semaines environ sont supprimés à votre prochaine utilisation de l'IA, et tous le sont avec votre compte. Pour maintenir le coût de l'IA dans un budget, il enregistre aussi, pour chaque requête, la tâche, le modèle, sa taille en jetons, son coût et son résultat, sans identifiant de compte ni contenu ; ces enregistrements sont supprimés au bout de 400 jours. Anthropic traite ces requêtes en tant que prestataire, selon ses conditions commerciales. Au 21 octobre 2026, Anthropic indique que, par défaut, elle n'utilise pas les entrées ni les sorties de son API pour entraîner ses modèles, et qu'elle supprime les entrées et sorties de l'API sous 30 jours, sauf lorsqu'elle doit les conserver plus longtemps en vertu de la loi ou pour faire respecter sa politique d'utilisation (par exemple, un contenu signalé comme y contrevenant). Voir les pages d'Anthropic sur l'entraînement des modèles et la conservation des données (en anglais).
• Les réponses de l'IA sont générées automatiquement et peuvent être erronées ; elles portent la mention « IA ». Vérifiez-les avant de vous y fier. Un ticket lu par l'IA affiche ses articles pour que vous les vérifiiez avant d'enregistrer.

L'application web

L'application web, sur spendwe.com/app, fonctionne avec le même compte SpendWe et les mêmes données dans le cloud que les applications (ce que vous sauvegardez ou partagez dans un foyer). Vous vous connectez avec un code à usage unique envoyé par e-mail. Votre session est conservée dans votre navigateur : pour l'onglet en cours seulement, sauf si vous cochez Se souvenir de ce navigateur, auquel cas elle y reste jusqu'à ce que vous vous déconnectiez. La déconnexion l'efface. L'application web conserve aussi dans le stockage local de votre navigateur : vos choix d'affichage (langue, thème, palette de couleurs, montants masqués, messages masqués), les taux de change mis en cache, vos étiquettes épinglées, les identifiants de paiement que vous enregistrez pour les remboursements, les revenus que vous saisissez pour un partage au prorata des revenus, les montants que vous saisissez dans « Mes factures sont-elles couvertes ? », vos seuils d'alerte de compte, la mise en page des fichiers bancaires que vous avez importés, votre réponse à Utiliser l'IA, votre progression dans les cartes « Pour commencer » de l'accueil, les lignes de relevé bancaire que vous avez marquées comme ne correspondant pas à une dépense, et de courts enregistrements techniques dont elle a besoin pour terminer son travail (les lignes ajoutées par votre dernier import, les photos de tickets restant à déplacer ou à supprimer). La déconnexion efface la session, vos étiquettes épinglées, les identifiants de paiement, les revenus saisis, les montants des factures, les seuils d'alerte de compte, les mises en page de fichiers bancaires, votre réponse à Utiliser l'IA, la progression « Pour commencer », ces réponses sur le relevé et l'enregistrement de votre dernier import ; vos choix d'affichage, les taux de change mis en cache et les enregistrements des photos de tickets restant à déplacer ou à supprimer demeurent dans ce navigateur jusqu'à ce que vous effaciez les données du site. Elle n'utilise ni cookies, ni mesure d'audience, ni publicité. Le seul script extérieur qu'elle charge est le paiement de Paddle, et uniquement lorsque vous appuyez sur un bouton pour acheter Pro.

Acheter SpendWe Pro sur notre site

Les achats sur spendwe.com sont traités par Paddle, notre revendeur et Merchant of Record (vendeur officiel) : Paddle est le vendeur, encaisse le paiement et gère les taxes (dont la TVA), les factures, les remboursements et les résiliations. Le paiement de Paddle s'ouvre par-dessus l'application web ; les données de carte, PayPal ou portefeuille que vous y saisissez sont transmises à Paddle, et SpendWe ne les voit jamais. Pour rattacher l'achat à votre compte, l'application web transmet à Paddle l'identifiant de votre compte SpendWe et votre adresse e-mail à l'ouverture du paiement, et Paddle nous indique l'offre, son statut et ses références d'achat, afin que Pro soit activé sur votre compte SpendWe, sur tous vos appareils. Paddle traite les informations qu'il collecte en tant que responsable de traitement distinct, selon sa propre politique de confidentialité (en anglais). Les achats sur le site ne sont pas encore ouverts ; ce paragraphe décrit leur fonctionnement une fois qu'ils le seront.

Acheter SpendWe Pro dans les applications

Les achats dans les applications passent par l'App Store d'Apple ou Google Play, qui encaissent le paiement ; nous ne voyons jamais votre carte. Pour activer Pro, l'application nous transmet la preuve d'achat signée du store, et nous conservons l'offre, son statut et les références d'achat du store avec votre compte SpendWe. Les achats dans les applications ne sont pas encore ouverts ; ce paragraphe décrit leur fonctionnement une fois qu'ils le seront.

Statistiques de visite de notre site

Notre site est hébergé par Cloudflare, et nous utilisons Cloudflare Web Analytics pour compter les visites de ses pages publiques (l'accueil, les pages légales et d'assistance). Un petit script de Cloudflare mesure chaque page vue et transmet : l'adresse de la page, le site qui y a mené, votre pays, votre type d'appareil, votre navigateur et votre système d'exploitation, ainsi que le temps de chargement de la page. Il ne dépose aucun cookie, n'enregistre rien dans votre navigateur et, selon Cloudflare, ne vous identifie pas par empreinte et ne vous suit pas sur d'autres sites. Nous ne voyons que des totaux (par exemple, le nombre de visites venues d'un pays ou d'un lien), jamais une liste de visiteurs. Il n'est pas utilisé dans l'application web, où nos réglages de sécurité le bloquent, et il ne fait pas partie des applications iPhone, iPad ou Android.

Cookies et stockage dans le navigateur

Notre site et l'application web ne déposent aucun cookie, pas plus que le script de statistiques de visite décrit ci-dessus. Quelques petits éléments sont gardés à la place dans le stockage de votre navigateur. Ils restent dans votre navigateur, ne nous sont jamais envoyés et ne servent ni à la publicité, ni au suivi, ni aux statistiques. Sur les pages publiques, il y en a quatre :

• spendwe.lang (stockage local) : la langue choisie avec le sélecteur EN | FR, pour que le site continue de l'afficher.
• spendwe.langAuto (stockage local) : une note indiquant que le site a déjà choisi une langue d'après celle de votre navigateur lors de votre première visite, pour qu'il ne change plus jamais de langue de lui-même.
• spendwe.langBannerOff (stockage local) : vous avez fermé le bandeau qui propose l'autre langue, il reste donc fermé.
• spendwe.country (stockage de session, effacé à la fermeture de l'onglet) : le code de pays à deux lettres utilisé pour afficher les prix dans votre devise, tiré du pays que Cloudflare indique pour votre connexion ou de votre fuseau horaire, pour ne pas le rechercher à chaque page.

L'application web garde votre session ainsi que les réglages et les courts enregistrements de travail décrits dans L'application web ci-dessus. Elle en a besoin pour vous connecter et faire ce que vous demandez, et ne dépose pas de cookie non plus.

Chaque élément est strictement nécessaire à un service que vous avez demandé, ou mémorise un choix que vous avez fait. Selon les règles ePrivacy (article 5(3) de la directive 2002/58/CE, appliqué en France par la CNIL), un tel stockage ne demande pas votre consentement : c'est pourquoi il n'y a pas de bandeau cookies. Si nous ajoutons un jour un élément qui exige un consentement, nous vous le demanderons avant de le déposer. Vous pouvez tout effacer à tout moment en supprimant les données de ce site dans les réglages de votre navigateur.

Rapports de plantage

Si l'application plante, Firebase Crashlytics (Google) nous envoie un rapport de diagnostic pour que nous puissions corriger le problème : la trace technique de l'erreur, le modèle de votre appareil, la version du système et celle de l'application, ainsi qu'un identifiant d'installation aléatoire. Nous n'y joignons pas volontairement vos dépenses, montants, commerçants, catégories ou adresse e-mail, et ces rapports ne contiennent aucun identifiant publicitaire. Ils servent uniquement à trouver et à corriger les plantages.

Ce que nous ne collectons pas

• Aucun identifiant publicitaire, aucun SDK publicitaire, aucune statistique comportementale ou d'usage dans les applications ni dans l'application web, et aucun suivi de localisation. Nous ne suivons pas ce que vous touchez, les écrans que vous consultez ni la fréquence à laquelle vous utilisez l'application. Notre site et notre application web ne déposent aucun cookie. Les seules statistiques que nous collectons sont les totaux de visites anonymes de nos pages web publiques, décrits dans Statistiques de visite de notre site.
• Nous n'accédons pas à vos comptes bancaires. L'import de relevés PDF se fait à partir de fichiers que vous choisissez.
• Nous n'enregistrons jamais vos jetons de session ni le contenu de vos données dans les journaux de nos serveurs.

2. Comment nous l'utilisons

• Pour faire fonctionner les fonctionnalités principales de l'application sur votre appareil (suivi, budgets, catégories, graphiques, scan, import et export).
• Pour sauvegarder vos données et les synchroniser entre vos appareils et avec votre partenaire de foyer, lorsque vous utilisez un compte.
• Pour envoyer uniquement les notifications que vous avez activées, en respectant votre plage horaire de silence ; l'avis d'une nouvelle connexion à votre compte est un avis de sécurité et peut arriver à toute heure.
• Pour lire les tickets que vous scannez et répondre aux requêtes d'IA que vous faites, tant que Utiliser l'IA est activé, comme décrit ci-dessus, et pour maintenir le coût de l'IA dans un budget.
• Pour activer Pro sur votre compte lorsque vous l'achetez.
• Pour sécuriser le service (par exemple en limitant les tentatives répétées pour deviner un code d'invitation de foyer) et pour corriger les problèmes.
• Pour comprendre, de façon globale, comment on découvre notre site et la vitesse de chargement de ses pages.

Nous n'utilisons pas vos données financières à des fins publicitaires, et nous ne les vendons ni ne les louons.

3. Bases légales (RGPD / EEE et Royaume-Uni)

• Exécution d'un contrat - pour fournir les fonctionnalités de compte, de sauvegarde, de synchronisation et de notification que vous demandez, ainsi que l'offre Pro que vous achetez.
• Consentement - pour l'IA (le réglage Utiliser l'IA), pour les notifications push et pour les services de connexion facultatifs ; vous pouvez le retirer à tout moment dans l'application, dans votre navigateur ou dans les réglages de votre appareil, sans effet sur ce qui a été fait auparavant.
• Intérêts légitimes - pour assurer la sécurité et le bon fonctionnement du service (par exemple l'avis de nouvelle connexion, et les enregistrements de coût des requêtes d'IA, qui ne portent ni identité ni contenu), et pour mesurer de façon globale les visites de nos pages web publiques, en équilibre avec le respect de votre vie privée.

4. Qui traite vos données

Nous faisons appel à un petit nombre de prestataires reconnus, strictement pour faire fonctionner l'application. Ils traitent les données pour notre compte, dans le cadre de leurs propres engagements de sécurité et de confidentialité, et chacun publie des conditions de traitement des données (voir Garanties plus bas) qui l'engagent à la confidentialité et à des mesures de sécurité pour les données qu'il traite pour nous :

• Supabase - héberge la base de données, l'authentification et le stockage des sauvegardes des comptes, dans l'Union européenne (Francfort, Allemagne, sur Amazon Web Services), et exécute nos petits programmes serveur (par exemple ceux qui envoient les notifications, transmettent une requête d'IA dans le cloud ou suppriment un compte).
• Google - Firebase Cloud Messaging délivre les notifications push sur Android ; un petit document de configuration est transmis aux applications et à l'application web à leur lancement (Firestore, avec Firebase App Check sur Android) ; et Firebase Crashlytics reçoit les diagnostics de plantage des applications.
• Resend - envoie l'e-mail qui porte votre code de connexion (depuis noreply@spendwe.com) ; il reçoit votre adresse e-mail et le code. Selon Resend, ses journaux d'envoi sont conservés 30 jours.
• Apple - le service de notifications push d'Apple (APNs) acheminera les notifications vers l'iPhone et l'iPad lorsqu'elles y seront actives (voir « Jeton de notification de l'appareil » plus haut). Il n'est pas utilisé aujourd'hui.
• Anthropic - traite les requêtes d'IA (modèle Claude), y compris les photos de tickets que vous scannez, uniquement tant que Utiliser l'IA est activé, comme décrit dans Fonctions d'IA.
• Cloudflare - héberge le site et l'application web, les transmet à votre navigateur et fournit les statistiques de visite de nos pages web publiques (Cloudflare Web Analytics).
• Taux de change - un fichier public de taux, sans clé (servi par jsDelivr, avec une copie de secours sur Cloudflare Pages), est téléchargé pour convertir les tickets en devise étrangère ; ces requêtes ne contiennent ni votre identité ni vos données. Comme tout serveur web, l'hébergeur voit l'adresse IP d'où vient la requête.

Paddle, qui vend Pro sur notre site, n'est pas notre sous-traitant : en tant que Merchant of Record, c'est le vendeur, et il traite les informations d'acheteur qu'il collecte en tant que responsable de traitement (voir Acheter SpendWe Pro sur notre site).

L'App Store et Google Play, où vous téléchargez les applications et pourrez acheter Pro à l'ouverture des achats, ne sont pas non plus nos sous-traitants : Apple et Google gèrent votre compte de store et vos paiements selon leurs propres politiques de confidentialité.

Où vos données sont stockées, et transferts vers d'autres pays

• Vos données de compte (données synchronisées, foyer, informations de connexion et photos de tickets que vous sauvegardez) sont stockées dans l'Union européenne, à Francfort, en Allemagne.
• Traitements dans d'autres pays. Nos petits programmes serveur peuvent s'exécuter dans le centre de données de Supabase le plus proche de vous : une requête (par exemple une question à l'IA) peut donc être traitée hors de l'Union européenne avant de recevoir sa réponse ; rien n'y est conservé. Google (notifications, rapports de plantage), Resend (e-mails de code de connexion), Anthropic (IA) et Cloudflare (diffusion du site et de l'application web, statistiques de visite) sont des sociétés établies aux États-Unis ; elles peuvent y traiter les données décrites plus haut, ou dans les autres pays où elles-mêmes ou leurs propres prestataires opèrent.
• Garanties. Chacun de ces prestataires publie des conditions de traitement des données qui comprennent des clauses contractuelles types pour les transferts hors de l'Espace économique européen, du Royaume-Uni et de la Suisse : Supabase, Google Firebase, Anthropic, Cloudflare, Resend (pages en anglais). Google et Cloudflare indiquent aussi être certifiés au titre du cadre de protection des données UE-États-Unis (Data Privacy Framework), et Resend indique s'y conformer. Vous pouvez nous demander une copie de ces garanties à privacy@spendwe.com.
• Si vous vivez hors de l'Union européenne, utiliser une fonctionnalité cloud signifie que vos données sont envoyées et stockées dans l'Union européenne, et traitées par les prestataires ci-dessus.

Nous partageons des données avec un membre du foyer uniquement lorsque vous associez délibérément vos comptes. Par défaut, chaque dépense de ce foyer est visible par ses membres, et le réglage de solde partagé d'une dépense détermine l'équilibrage des comptes, pas qui peut la voir. Une dépense que vous marquez Privée fait exception : elle reste visible par vous seul, elle n'est jamais incluse dans le solde partagé, et nos serveurs le garantissent : les autres membres ne peuvent pas la récupérer, même en principe. Nous pouvons divulguer des informations si la loi l'exige, ou pour protéger nos droits et la sécurité des utilisateurs.

5. Durée de conservation

• Sur votre appareil. Vos données y restent jusqu'à ce que vous les supprimiez, que vous choisissiez « Effacer toutes les données » ou que vous désinstalliez l'application. Sur iPhone, votre connexion peut survivre à la suppression de l'application et revient si vous la réinstallez sur le même téléphone ; déconnectez-vous d'abord si vous ne le souhaitez pas.
• Quand vous vous déconnectez ou supprimez votre compte. L'application sauvegarde d'abord ce qui doit l'être, puis efface sa copie locale sur ce téléphone. Les autres appareils gardent la leur jusqu'à ce que vous y fassiez de même.
• Dépenses conservées sur ce téléphone. Si vous vous connectez à un compte dont le foyer n'est pas celui du téléphone, ou si un changement de foyer ne peut pas aboutir, l'application ne supprime rien : les lignes qu'elle ne peut pas déplacer restent sur le téléphone, en lecture seule, sous « Dépenses conservées sur ce téléphone ». Elles ne sont envoyées à aucun serveur et ne comptent dans aucun total. Vous pouvez les exporter ou les supprimer ; la déconnexion et la suppression du compte ne les effacent pas, seul « Effacer toutes les données » le fait.
• Photos de tickets. Une photo que vous gardez « sur cet appareil » n'existe que sur ce téléphone. Une photo sauvegardée reste dans le stockage de votre foyer tant que sa dépense existe ; quand vous supprimez la dépense, retirez la photo, cessez de la sauvegarder ou rendez la dépense privée ou partagée, l'ancienne copie est supprimée du cloud, au plus tard lors d'une synchronisation suivante. Quand le dernier membre quitte un foyer, ou quand vous effacez toutes les données d'un foyer dont vous êtes le seul membre, toutes ses photos sont supprimées.
• Sauvegardes de l'appareil. Sur iPhone et iPad, vos dépenses font partie de votre propre sauvegarde iCloud ou sur ordinateur, que vous gérez et à laquelle nous n'avons pas accès ; les photos de tickets et la mémoire des prix n'y figurent jamais. Sur Android, rien de tout cela ne va dans la sauvegarde de Google. Ces sauvegardes suivent les durées de conservation d'Apple ou de Google, pas les nôtres.
• Dans le cloud. Les données de votre compte sont conservées tant que le compte est actif. Une dépense supprimée laisse sur nos serveurs un marqueur vide (sans montant, commerçant ni note) pour que vos autres appareils et votre foyer la suppriment aussi.
• Quand vous supprimez votre compte. Vos données de compte sont effacées de nos systèmes. Si un autre membre reste dans un foyer partagé, ce que ce foyer partageait déjà lui reste accessible ; vos dépenses privées, elles, sont supprimées.
• Vos photos privées quand vous quittez un foyer. Quand vous quittez un foyer que d'autres membres conservent, ou supprimez votre compte alors que vous en faites partie, vos dépenses privées de ce foyer sont supprimées de nos serveurs immédiatement, puis l'application supprime du cloud leurs photos sauvegardées juste après. Si cette suppression est interrompue (pas de réseau, application ou page fermée), elle reprend à la prochaine ouverture de SpendWe sur le même appareil ou dans le même navigateur, avec le même compte ; jusque-là, vous seul pouvez lire ces photos. La suppression du compte attend qu'elle soit terminée. Si elle ne peut pas se terminer (par exemple si l'appareil est perdu, l'application désinstallée ou les données du navigateur effacées avant), écrivez à privacy@spendwe.com : nous les supprimerons.
• Enregistrements techniques. Les marqueurs « envoyé une fois » des notifications sont purgés en sept jours, et ceux des alertes de budget en 62 jours (pour qu'une même alerte ne soit pas envoyée deux fois sur une période de budget). La note d'une nouvelle connexion est supprimée au bout de sept jours. Les compteurs de requêtes d'IA de plus de cinq semaines environ sont supprimés à votre prochaine utilisation de l'IA, et tous avec votre compte ; les enregistrements de coût des requêtes d'IA, sans identifiant de compte ni contenu, sont supprimés au bout de 400 jours ; le contenu des requêtes d'IA, photos de tickets comprises, n'est pas conservé par SpendWe.
• Achats. La trace de votre offre Pro (offre, statut et références du store ou de Paddle) est conservée tant que votre compte existe et supprimée avec lui, à l'exception des traces de l'élément suivant ; Paddle et les stores conservent leurs propres traces de transaction selon leurs propres conditions.
• Traces d'achat qui survivent au compte. Certaines traces d'achat restent après la suppression du compte, parce qu'elles servent à garantir qu'un achat n'est jamais appliqué deux fois et à traiter les remboursements, les litiges et la comptabilité : les notifications d'achat que nous recevons, conservées chiffrées ; un code à sens unique de chaque achat (ni votre nom, ni votre e-mail, ni vos données de paiement) ; et, pour un achat qui n'a pas pu être appliqué à un compte, sa référence de transaction, détachée du compte. Elles ne servent à rien d'autre. Les notifications d'achat sont supprimées 13 mois après leur réception, une fois traitées ; une référence de transaction 13 mois après la clôture de son dossier (achat appliqué ou remboursé). Le code à sens unique, qui ne renvoie plus à aucun compte, est conservé sans date de fin, car c'est lui qui empêche d'appliquer deux fois le même achat.
• Journal du support. Quand nous agissons sur un compte (par exemple une suppression demandée par e-mail, ou Pro accordé par notre support), une entrée de journal conserve l'identifiant du compte, l'action et son motif, pour montrer ce qui a été fait et pourquoi. Elle est supprimée au bout de 24 mois.
• Identifiants anonymes inutilisés. Un identifiant anonyme (voir la section 1) sans aucune activité pendant 12 mois est supprimé avec ses données, photos de tickets du cloud comprises, exactement comme lors de la suppression d'un compte. Un identifiant qui détient un achat, un essai ou un octroi en cours n'est jamais supprimé ainsi. Un compte avec une adresse e-mail n'est jamais supprimé pour inactivité.
• Signalements et blocages. Quand vous signalez un commentaire ou un membre du foyer, nous conservons le motif, un court extrait (280 caractères au plus), le foyer et les identifiants de la personne qui signale et de la personne signalée ; le signalement est supprimé 12 mois après son traitement, et l'identifiant d'un compte supprimé en est retiré aussitôt. Quand vous signalez une réponse de l'IA, nous conservons le motif, un extrait de la réponse (500 caractères au plus), l'application et sa version, et un code à sens unique à la place de l'identifiant de votre compte ; il est supprimé au bout de 90 jours. Les membres que vous bloquez et votre acceptation des règles des commentaires sont conservés tant que votre compte existe et supprimés avec lui.
• Dans votre navigateur (application web). La session et les éléments personnels énumérés dans L'application web sont effacés à la déconnexion ; les choix d'affichage, les taux de change mis en cache et les enregistrements techniques qui y sont décrits restent jusqu'à ce que vous effaciez les données du site.

Supprimer l'application d'un appareil ne supprime pas à lui seul un compte cloud : utilisez pour cela la suppression dans l'application.

6. Vos droits et vos moyens de contrôle

• Accès et portabilité - exportez à tout moment une sauvegarde JSON complète ou un tableur CSV depuis les Réglages. Vous pouvez aussi nous demander une copie des données que nous détenons sur vous.
• Effacement - supprimez votre compte et ses données dans l'application (Réglages → Sauvegarde automatique), ou via notre page de suppression de compte.
• Rectification - modifiez ou supprimez n'importe quelle donnée directement dans l'application.
• Limitation - vous pouvez nous demander de suspendre l'utilisation de vos données dans les cas prévus par la loi, par exemple pendant l'examen d'une de vos demandes.
• Retrait du consentement - désactivez Utiliser l'IA ou les notifications, ou quittez votre foyer (« Quitter le foyer ») à tout moment.
• Opposition - vous pouvez vous opposer aux traitements que nous fondons sur nos intérêts légitimes (sécurité du service, totaux de visites du site) ; contactez-nous.
• Réclamation - vous pouvez saisir l'autorité de protection des données de votre pays (voir « Par pays ou région » ci-dessous).

Pour exercer l'un de ces droits, écrivez à privacy@spendwe.com. Nous répondons dans un délai d'un mois. Nous pouvons vous demander ce qu'il faut pour vérifier qu'une demande vient bien du titulaire du compte, en général un message envoyé depuis l'adresse e-mail du compte. Si vos données dans le cloud sont rattachées à un identifiant anonyme, nous ne pouvons pas les retrouver à partir d'un nom ou d'une adresse e-mail : utilisez l'export et la suppression dans l'application. Exercer un droit est gratuit et ne change jamais la façon dont vous êtes traité.

Donner votre adresse e-mail est facultatif : sans elle, vous pouvez utiliser l'application, partager un foyer et utiliser l'IA, mais vous ne pouvez pas restaurer vos données sur un nouveau téléphone ni utiliser l'application web. Aucune décision produisant des effets juridiques ou vous affectant de manière significative n'est prise sur le seul fondement d'un traitement automatisé ; les résultats de l'IA sont des suggestions que vous vérifiez.

Par pays ou région

SpendWe est proposé dans le monde entier, et les moyens de contrôle ci-dessus sont les mêmes pour tous. Certaines lois y ajoutent ce qui suit.

• Espace économique européen, Royaume-Uni et Suisse. Le RGPD, le RGPD britannique ou la loi suisse sur la protection des données s'applique. Vous disposez de tous les droits ci-dessus, les bases légales sont celles de la section 3, et vous pouvez saisir votre autorité nationale : la liste pour l'UE et l'EEE figure sur edpb.europa.eu ; au Royaume-Uni, c'est l'Information Commissioner's Office (ico.org.uk) ; en Suisse, le Préposé fédéral à la protection des données et à la transparence (edoeb.admin.ch).
• France. L'autorité est la CNIL (cnil.fr). Vous pouvez aussi définir des directives relatives au sort de vos données après votre décès. Un enfant de moins de 15 ans a besoin de l'accord d'un parent pour un traitement fondé sur le consentement.
• Californie (États-Unis). Selon les termes de la loi californienne sur la vie privée (CCPA), nous collectons : des identifiants (adresse e-mail, identifiant de compte, jeton de notification de l'appareil, et un identifiant d'installation aléatoire dans les rapports de plantage) ; les données financières et autres contenus que vous créez et choisissez de synchroniser ; les photos de tickets que vous sauvegardez ; les traces d'achat, à l'ouverture des achats ; et, pour les visiteurs de notre site, une activité internet sous forme de totaux de visites. Nous les collectons auprès de vous et de votre appareil, pour les finalités de la section 2, et ne les communiquons qu'aux prestataires de la section 4 et aux membres du foyer que vous choisissez. Nous ne vendons pas d'informations personnelles, nous ne les partageons pas à des fins de publicité comportementale intercontextuelle, et nous n'utilisons aucune information sensible à d'autres fins que la fourniture du service. Vous avez le droit de connaître, de faire supprimer et de faire corriger vos informations, et de ne pas être traité différemment pour avoir exercé ces droits. Utilisez les moyens de contrôle ci-dessus ou écrivez à privacy@spendwe.com ; un mandataire autorisé peut écrire pour vous.
• Autres États des États-Unis. Si vous vivez dans un autre État américain doté d'une loi sur la vie privée des consommateurs (par exemple la Virginie, le Colorado ou le Connecticut), vous disposez des mêmes droits que ci-dessus, que cette loi s'applique à nous ou non ; nous ne vendons pas vos données, ne les utilisons ni pour de la publicité ciblée ni pour du profilage, et ne traitons aucune donnée sensible au-delà de ce que vous choisissez de saisir.
• Canada. En vertu de la LPRPDE, ou de la loi provinciale sur le secteur privé là où elle s'applique, vous pouvez accéder à vos renseignements, les faire corriger et retirer votre consentement. Vos renseignements sont traités pour notre compte par les prestataires de la section 4, dans l'Union européenne et aux États-Unis, où les lois locales s'appliquent. Vous pouvez porter plainte auprès du Commissariat à la protection de la vie privée du Canada (priv.gc.ca) ou de votre commissaire provincial.
• Australie. En vertu des Australian Privacy Principles, vous pouvez accéder à vos informations et les faire corriger. Elles sont communiquées aux prestataires de la section 4, dans l'Union européenne et aux États-Unis. Écrivez d'abord à privacy@spendwe.com ; si notre réponse ne vous satisfait pas dans les 30 jours, vous pouvez porter plainte auprès de l'Office of the Australian Information Commissioner (oaic.gov.au).
• Autres pays. Vous disposez des droits que vous donne la loi de protection des données de votre pays. Rien dans cette politique ne limite les droits que la loi du pays où vous vivez rend impératifs.

7. Sécurité

Les échanges sont chiffrés en HTTPS. Les jetons de session sont stockés dans l'espace sécurisé de l'appareil (Trousseau iOS / préférences chiffrées Android), jamais dans des fichiers en clair ; dans l'application web, la session reste dans votre navigateur comme décrit plus haut, laissez donc Se souvenir de ce navigateur décoché sur un ordinateur partagé. Les données dans le cloud sont protégées par des règles d'accès par utilisateur et par ligne, de sorte qu'un compte ne peut pas lire les données d'un autre. Les applications ne contiennent aucune clé secrète : les identifiants sensibles se trouvent uniquement sur des serveurs sécurisés. Aucun système n'est parfaitement sûr, mais nous nous efforçons de protéger vos informations et de limiter, dès le départ, ce que nous détenons.

8. Enfants

SpendWe ne s'adresse pas aux enfants de moins de 13 ans, et nous ne collectons pas sciemment leurs données. Lorsque la loi de votre pays fixe un âge plus élevé pour consentir seul au traitement de ses données (15 ans en France ; 16 ans dans plusieurs pays européens, par exemple l'Allemagne, l'Irlande et les Pays-Bas), une personne plus jeune ne peut utiliser les fonctionnalités cloud qu'avec l'accord d'un parent ou d'un tuteur. Si vous pensez qu'un enfant nous a transmis des données, contactez-nous et nous les supprimerons.

9. Modifications de cette politique

Nous pouvons mettre à jour cette politique à mesure que l'application évolue. Nous modifierons la date de « Dernière mise à jour » ci-dessus et, en cas de changement important, vous en informerons de façon plus visible.

10. Qui est responsable, et contact

SpendWe est édité par un éditeur d'applications indépendant, qui décide comment et pourquoi les données personnelles décrites dans cette politique sont utilisées (le « responsable de traitement », selon les termes du RGPD). Questions ou demandes relatives à la confidentialité : privacy@spendwe.com. Assistance générale : spendwe.com/fr/support. L'identité légale et l'adresse postale de l'éditeur sont communiquées sur demande à une autorité, ou à toute personne qui en a besoin pour exercer un droit : écrivez à privacy@spendwe.com.

Hébergement. Le site et l'application web sont hébergés par Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, États-Unis. Les données de compte sont hébergées par Supabase, à Francfort, en Allemagne.