Politique de confidentialité

Tout ce que vous saisissez — soldes, revenus, dépenses, épargne, catégories — est enregistré sur votre appareil, dans une base chiffrée dont la clé reste dans le trousseau sécurisé du téléphone. Cette base n’entre pas dans les sauvegardes automatiques de votre compte Google.

Si vous activez le verrou de l’application, c’est la sécurité de votre téléphone (empreinte, visage, code) qui répond : aucune donnée biométrique ne parvient à JustePart.

Les rappels (notifications) sont calculés et déclenchés sur votre téléphone — rien ne passe par un serveur.

Le PDF d’un bilan mensuel est fabriqué sur votre téléphone : il ne passe par aucun serveur, et il n’est envoyé nulle part tant que vous ne le partagez pas vous-même.

Le compte est nécessaire pour utiliser JustePart, et il ne demande qu’une adresse e-mail, qui sert à vous envoyer vos liens de connexion et à vous reconnaître d’un appareil à l’autre. Pas de mot de passe.

Vous pouvez aussi vous connecter avec le compte de votre téléphone : « Continuer avec Google » sur Android, « Continuer avec Apple » sur iPhone. Un seul des deux vous est proposé, jamais les deux, et l’adresse e-mail reste toujours possible.

Avec Google, Google nous confirme votre adresse e-mail vérifiée et nous donne l’identifiant de votre compte Google ; nous vérifions sa signature et nous conservons cette adresse et cet identifiant, uniquement pour vous reconnaître quand vous vous reconnectez — y compris si vous ajoutez une autre méthode de connexion à votre compte ; ils sont effacés avec votre compte. Nous n’accédons ni à vos contacts, ni à vos fichiers, ni à rien d’autre dans votre compte Google, et nous ne transmettons rien à Google en retour.

Avec Apple, c’est la même chose. Nous ne demandons que l’adresse e-mail — pas votre nom. Notre serveur vérifie la signature d’Apple avec ses clés publiques, puis retient cette adresse, le fait qu’Apple l’a vérifiée et l’identifiant qu’Apple donne à votre compte pour JustePart, uniquement pour vous reconnaître quand vous vous reconnectez — y compris si vous ajoutez une autre méthode de connexion à votre compte ; ils sont effacés avec votre compte. Si vous choisissez « Masquer mon e-mail », Apple nous transmet une adresse de relais en privaterelay.appleid.com : pour JustePart, c’est une adresse comme une autre, et c’est la seule que nous ayons — vos liens de connexion y seront envoyés, et Apple vous les fera suivre. Nous ne transmettons rien à Apple en retour.

Une fois connecté, le budget commun — dépenses, revenus déclarés, dépenses fixes, enveloppes, soldes constatés, épargne, réglages du foyer — est recopié sur nos serveurs pour être partagé avec le téléphone de votre partenaire.

Votre espace personnel est sauvegardé avec votre compte. Ses dépenses, catégories, revenus, dépenses fixes, enveloppes, soldes constatés, épargne, libellés, son nom et ses réglages — et ceux de « Mon autre compte perso », si vous en avez un — sont recopiés sur nos serveurs, dans un espace qui n’appartient qu’à votre compte. C’est une sauvegarde : vous retrouvez votre espace personnel sur un nouveau téléphone en vous connectant. Votre partenaire n’y a pas accès, et nous ne le consultons pas. Chaque lecture et chaque écriture de cet espace passent par une connexion chiffrée et sont autorisées par votre compte connecté : aucun autre compte, celui de votre partenaire compris, ne peut le lire ni y écrire. Sans connexion à votre compte, rien de votre espace personnel ne part.

Votre partenaire ne voit qu’une chose de votre espace personnel, et il faut le dire : si vous calculez votre revenu de référence à partir de vos revenus personnels, le total de chaque mois lui est visible : il accompagne les réglages du foyer et détermine votre part. Le détail reste dans votre espace personnel.

Un ancien budget commun que vous gardez pour vous après avoir quitté un foyer (« Vos autres budgets ») reste sur votre téléphone, sans sauvegarde : il n’est envoyé ni sur nos serveurs, ni dans aucun foyer. Pour en garder une copie, exportez-le depuis Réglages › Mes données.

Le budget commun porte aussi les prénoms ou surnoms que vous donnez aux deux personnes du foyer et le nom du foyer ; le budget commun comme votre espace personnel portent les libellés que vous écrivez vous-même (catégories, dépenses, projets d’épargne). Écrivez ce que vous voulez : ces textes sont les vôtres, nous ne les lisons pas.

Deux numéros aléatoires accompagnent ces envois : un par installation de l’application, un par appareil. Ils servent à reconnaître vos téléphones, à ne pas appliquer deux fois la même modification et à vous permettre de révoquer une session. Ils ne viennent pas du matériel et ne sont pas des identifiants publicitaires. Quand vous supprimez votre compte, le lien entre cet appareil et lui est retiré sur-le-champ ; l’identifiant d’installation, lui, est révoqué aussitôt et effacé avec le reste, sous 30 jours.

Quand vous invitez votre partenaire par e-mail, son adresse est enregistrée avec l’invitation : elle sert à lui envoyer le lien, à vérifier que c’est bien elle qui l’accepte, à la reconnaître d’une invitation à l’autre dans votre foyer, et elle compte dans les plafonds qui nous protègent des envois en série. Elle n’est utilisée à rien d’autre. Elle est effacée dès que l’invitation est acceptée ou annulée ; si l’invitation expire sans que personne n’y touche, elle part au plus tard une heure après. La trace de l’invitation elle-même est effacée sous 90 jours.

Chaque demande de lien de connexion enregistre aussi l’adresse saisie, même si aucun compte ne lui correspond : c’est ce qui empêche de se servir de l’écran de connexion pour deviner qui est inscrit chez nous. Ces lignes sont effacées environ trente jours après l’expiration du lien.

Ces serveurs sont situés en France (hébergeur : OVH). Disons-le précisément : le trajet est chiffré, la base de votre téléphone est chiffrée, mais ces copies — celle du budget commun comme la sauvegarde de votre espace personnel — sont enregistrées en clair dans la base du serveur : les libellés et les montants y sont des textes et des nombres ordinaires. Ce qui les protège, ce sont l’accès restreint à la machine, l’isolement de la base (elle n’est joignable que par notre serveur) et nos sauvegardes, elles, chiffrées. Nous ne consultons pas ces copies : elles n’alimentent ni publicité, ni statistique, ni aucun autre service — c’est un engagement, et non une impossibilité technique.

Le paiement de Couple+ est traité par la boutique d’applications depuis laquelle vous avez installé JustePart — l’App Store d’Apple ou Google Play selon votre téléphone : JustePart ne voit jamais votre moyen de paiement. Pour savoir si Couple+ est actif, l’application s’appuie sur RevenueCat, qui agit pour notre compte. Il reçoit l’identifiant de votre compte JustePart — un numéro tiré au hasard, qui ne contient ni votre nom ni votre adresse, mais qui désigne bien votre compte : il n’est pas anonyme — et, de la boutique, le détail de l’abonnement (formule achetée, échéance, renouvellement) — jamais votre budget, ni votre nom, ni votre adresse e-mail, ni votre moyen de paiement. Notre serveur enregistre l’état de l’abonnement : actif ou non, jusqu’à quand, la formule, la boutique d’où il vient, s’il se renouvelle tout seul et l’heure de notre dernière lecture. Il garde aussi un journal des signaux reçus du fournisseur, qui porte l’identifiant de votre compte ; ce journal est effacé en même temps que votre compte.

Base légale : l’exécution du contrat (vous donner accès à ce que vous avez acheté). Conservation : tant que votre compte existe ; les relevés de ventes que la boutique nous transmet, qui ne vous nomment pas, sont conservés dix ans au titre de nos obligations comptables.

• Pas de publicité, pas de traceur, pas de mesure d’audience.
• Pas de rapport d’incident automatique.
• Pas de vente ni de partage de données avec des tiers à des fins commerciales.
• Pas de connexion à votre banque : les chiffres sont ceux que vous saisissez.

Consulter et emporter : Réglages › Mes données › « Garder une copie » vous remet l’ensemble de vos données, à enregistrer où vous voulez.

Effacer l’appareil : Réglages › Mes données › « Tout effacer » supprime tout de votre téléphone. Si vous avez un compte, le budget commun et, s’il est sauvegardé, votre espace personnel reviennent à la prochaine connexion ; un ancien budget commun, qui n’est pas sauvegardé, et ce qui n’a pas encore été envoyé sont perdus.

Supprimer le compte et la copie serveur : Réglages › Compte › « Supprimer mon compte » ferme votre compte sur-le-champ, ferme vos sessions et libère votre place dans le foyer ; l’effacement de nos serveurs — votre compte et la sauvegarde de votre espace personnel — suit sous 30 jours. La copie du budget commun est supprimée lorsque le foyer n’a plus de membre — tant que votre partenaire reste, ce budget est aussi le sien et il n’est pas effacé. Sur votre téléphone, vos données restent, mais votre espace personnel n’est plus sauvegardé. La marche à suivre, écran par écran, est détaillée sur la page Supprimer votre compte.

Les sauvegardes du serveur (des copies de secours de toute la base, distinctes de la sauvegarde de votre espace personnel). Chaque nuit, une sauvegarde chiffrée de la base du serveur est faite, pour pouvoir la remettre en état après un incident. Ces sauvegardes chiffrées sont conservées 90 jours, puis effacées : ce qui a été effacé de la base en disparaît donc au plus tard 90 jours après.

Vous avez changé d’avis ? Pendant les 30 jours qui suivent, votre compte est fermé mais pas encore effacé. Reconnectez-vous simplement avec la même adresse — lien par e-mail, « Continuer avec Google » ou « Continuer avec Apple » — et il est rétabli tel quel, avec son identifiant et la sauvegarde de votre espace personnel ; votre place dans le foyer vous est rendue si elle est restée libre. L’application vous dit ce qui a été retrouvé, et ce qui ne pouvait plus l’être. Passé 30 jours, il n’y a plus rien à rétablir.

Ce qui reste chez votre partenaire. Si vous quittez un foyer où quelqu’un reste, deux choses de vous demeurent dans le budget de cette personne, sans limite de durée : le prénom que vous y aviez donné et votre part. Ils nomment et répartissent des mois qu’elle continue de lire ; les retirer fausserait son propre historique. Votre revenu de référence, lui, n’a plus d’usage sans vous : il est effacé en même temps que votre compte.

Sans l’application : si vous avez désinstallé JustePart ou changé de téléphone, écrivez à contact@justepart.com depuis l’adresse de votre compte, avec la mention « suppression de compte ». Nous supprimons le compte, la sauvegarde de votre espace personnel et la copie serveur qui en dépend sous 30 jours, et nous vous le confirmons par retour.

Vous pouvez aussi exercer vos autres droits (accès, rectification, effacement, portabilité) à la même adresse. Vous disposez du droit d’introduire une réclamation auprès de la CNIL.