Politique de confidentialité

Cette politique explique ce que deviennent vos données lorsque vous utilisez Billy, l’app de budget par enveloppes pour iPhone. Billy est développé par Felipe Passos, un développeur indépendant (« nous »). Elle décrit ce que fait réellement l’app, et non un modèle générique.

En bref : Billy n’a pas de compte utilisateur, et aucun serveur ne conserve votre budget. Votre budget, vos opérations, vos tickets de caisse et tout ce que vous ajoutez d’autre dans Billy restent sur votre iPhone, et nous ne les voyons jamais. Billy envoie une petite quantité de données d’utilisation et de rapports de plantage, associés à un identifiant d’analyse aléatoire, à PostHog, un service d’analyse hébergé dans l’Union européenne, pour nous aider à comprendre comment l’app est utilisée et à corriger les problèmes. Ces données n’incluent jamais rien de ce que vous saisissez ou choisissez à propos de vous ou de votre budget, comme les montants, les soldes, les bénéficiaires, les notes, les noms ou vos réponses lors de la présentation. Pas de publicité, pas de suivi, et nous ne vendons jamais de données.

1. Votre budget reste sur votre iPhone

Tout ce que vous créez dans Billy (budgets, comptes, pots, opérations, objectifs, bénéficiaires, notes, images de tickets de caisse, relevés importés et vos réglages) est stocké uniquement sur votre appareil, dans l’espace de stockage privé de Billy. Les widgets et les commandes de Billy lisent ces mêmes données sur ce même appareil. Il n’existe ni compte Billy ni serveur qui conserve quoi que ce soit de tout cela : nous n’en avons donc aucune copie et aucun moyen d’y accéder.

Comme les données des autres apps, les données de Billy sont incluses dans les sauvegardes de votre iPhone (sauvegarde iCloud ou sauvegarde sur votre ordinateur) si vous les avez activées. Billy ne synchronise pas de lui-même vos données avec iCloud.

Billy ne vous demande jamais vos identifiants bancaires et ne se connecte jamais à votre banque. Les seules informations financières dont il dispose sont celles que vous saisissez ou importez vous-même.

2. Tickets de caisse et appareil photo

Billy utilise l’appareil photo uniquement lorsque vous scannez un ticket de caisse. Le texte du ticket est lu sur votre iPhone, grâce à la reconnaissance de texte d’Apple effectuée sur l’appareil, pour remplir le montant, la date et le commerçant. L’image du ticket est enregistrée avec son opération sur votre appareil et n’est jamais envoyée en ligne. Si vous choisissez plutôt un ticket dans vos photos, Billy reçoit uniquement l’image que vous sélectionnez.

3. Importation de relevés

Lorsque vous importez un relevé bancaire (CSV, OFX, QFX, CAMT.053 ou MT940), Billy lit sur votre iPhone le fichier que vous choisissez. Le fichier n’est jamais envoyé en ligne. Pour les fichiers CSV, Billy mémorise la correspondance des colonnes afin que la prochaine importation depuis la même banque soit plus rapide. Vous pouvez supprimer ces profils d’importation dans les Réglages de Billy.

4. Face ID et verrouillage de l’app

Si vous activez le verrouillage de l’app, c’est iOS qui gère Face ID ou votre code. Billy apprend seulement si le déverrouillage a réussi. Les données biométriques ne parviennent jamais à Billy.

5. Rappels

Les rappels de factures et les autres notifications de Billy sont programmés sur votre iPhone. Billy n’utilise pas les notifications push : aucun jeton de notification n’est donc envoyé où que ce soit.

6. Achats

Billy Pro (abonnement mensuel ou accès à vie) est vendu et facturé par Apple, et nous ne recevons jamais vos informations de paiement. Billy vérifie votre achat auprès d’Apple sur votre appareil et mémorise le résultat sur votre appareil, pour continuer à fonctionner hors ligne. Lorsque vous achetez Billy Pro, l’app associe son identifiant d’analyse (voir la section 7) à l’achat. Cela nous permet de rapprocher les achats des données d’utilisation de l’app. Apple nous fournit aussi des rapports de ventes qui ne vous identifient pas.

7. Statistiques d’utilisation

Pour comprendre comment Billy est utilisé et ce qui peut être amélioré, l’app envoie un petit ensemble fixe d’événements à PostHog, un service d’analyse, via ses serveurs situés dans l’Union européenne (PostHog Cloud EU, à Francfort, en Allemagne). Ils portent sur trois choses :

• Utilisation : l’ouverture de l’app, sa durée d’utilisation et les fonctions utilisées, par exemple ajouter une opération, scanner un ticket de caisse, importer un relevé, déplacer de l’argent entre des pots ou boucler un mois.
• Achats : si l’écran d’achat a été affiché, quelle formule a été sélectionnée et si un achat ou une restauration des achats a réussi.
• Progression : les étapes de la présentation atteintes ou terminées, si une action a abouti, a été annulée ou a échoué, les codes d’erreur et si vous avez autorisé les notifications lorsque l’app vous l’a demandé.

Rien de ce que vous saisissez ou choisissez à propos de vous ou de votre budget n’est envoyé aux statistiques : ni réponses ni objectifs de la présentation, ni montants ni soldes, ni bénéficiaires, notes ou catégories, ni noms de vos pots ou de vos comptes, ni images de tickets de caisse ou contenu de relevés, ni rien de ce que vous tapez. Chaque événement correspond à une seule action, comme l’ajout d’une opération, sans montant, bénéficiaire ni catégorie associés. Le seul prix que les événements peuvent contenir est celui que vous avez payé pour Billy Pro : lorsque vous l’achetez, l’événement d’achat inclut le produit, son prix et sa devise, ainsi que l’identifiant de transaction d’origine de l’achat, mais jamais votre reçu de l’App Store ni vos informations de paiement.

Chaque événement comporte aussi des informations techniques : la version et le build de l’app, la version d’iOS, le modèle de l’appareil, les réglages de langue et de région de votre appareil et la langue de Billy, le fuseau horaire, le pays de l’App Store, s’il s’agit d’un build TestFlight (bêta), le moment où l’app a été installée et un identifiant aléatoire de la session en cours, ainsi que quelques informations de base ajoutées par le SDK de PostHog, comme le type d’appareil, si l’app s’exécute sur un Mac ou dans un simulateur, et la version du SDK. Une seule fois après l’installation, l’app demande aussi au framework AdServices d’Apple si l’installation provient d’une campagne Apple Ads, et envoie le résultat (par exemple la campagne, le groupe d’annonces et le mot-clé, ou le fait que l’installation ne provient pas d’une annonce). Cela n’utilise ni l’identifiant publicitaire de votre appareil ni App Tracking Transparency, et ce n’est pas du suivi.

Les événements sont regroupés à l’aide d’un identifiant d’analyse aléatoire que Billy crée lors de sa première ouverture et conserve dans le trousseau (Keychain) de votre iPhone (ou, si le trousseau n’est pas disponible, dans le stockage propre de l’app). Ce n’est pas un compte, ni votre nom, ni votre compte Apple, ni un identifiant publicitaire ou d’appareil. Billy l’associe aussi aux achats de Billy Pro (section 6), afin que les achats puissent être rapprochés de l’utilisation. Comme tous les événements portent cet identifiant, ils sont pseudonymes et non anonymes : nous pouvons voir ce qu’une installation de Billy a fait, mais pas qui vous êtes. L’identifiant d’analyse est aussi l’identifiant que PostHog utilise pour votre installation : PostHog conserve donc un profil pseudonyme sous cet identifiant, avec les événements de cette installation et le résultat Apple Ads décrit plus haut. iOS conserve généralement les éléments du trousseau même après la suppression d’une app : si vous supprimez puis réinstallez Billy, il continue donc en général d’utiliser le même identifiant d’analyse. Lorsque vous nous demandez de supprimer vos données d’analyse (section 11), nous supprimons de PostHog le profil de cet identifiant et ses événements ; l’identifiant lui-même reste sur votre iPhone, et ce que vous faites ensuite dans Billy est donc de nouveau enregistré sous cet identifiant.

À l’exception des rapports de plantage (section 8), nous avons désactivé toute la collecte automatique de PostHog, comme les affichages d’écran et les touchers, si bien que l’app n’envoie que les événements décrits ici. L’enregistrement de session, les sondages et les indicateurs de fonctionnalités (feature flags) sont désactivés, et le SDK n’ajoute pas de lui-même d’informations sur l’appareil au profil ; PostHog y recopie toutefois quelques informations de base issues des événements, comme la version de l’app, la version d’iOS et le type d’appareil.

PostHog reçoit votre adresse IP, car c’est ainsi que les données circulent sur Internet, mais nous avons configuré notre projet PostHog pour qu’il la supprime : elle n’est donc pas conservée. Billy désactive aussi la géolocalisation de PostHog pour chaque événement : votre adresse IP n’est donc pas utilisée pour déterminer où vous vous trouvez. Les seules informations liées à la localisation dont nous disposons sont celles indiquées plus haut : le pays de votre App Store, votre fuseau horaire et le réglage de région de votre appareil (et, pour une installation issue d’une campagne Apple Ads, le pays de cette campagne).

Les versions de développement de Billy n’envoient jamais de statistiques. Les versions TestFlight (bêta) et la version de l’App Store en envoient, et les événements des versions bêta sont marqués comme bêta.

Nous utilisons ces données uniquement pour assurer le fonctionnement de Billy et l’améliorer. Nous ne les utilisons pas à des fins publicitaires, nous ne les vendons pas et nous ne les combinons pas avec des données d’autres entreprises.

8. Rapports de plantage

Si Billy plante, l’app envoie un rapport de plantage via le suivi des erreurs de PostHog, avec le même identifiant d’analyse : le type d’erreur et son message, une trace d’appels (stack trace) indiquant à quel endroit du code de Billy le problème s’est produit, la version et le build de l’app, le modèle de l’appareil et la version d’iOS, ainsi que les mêmes informations techniques que les autres événements et les noms des bibliothèques de code de l’app figurant dans la trace (ils servent à la rendre lisible). Il ne contient ni le contenu de l’écran, ni aucune donnée de votre budget, ni rien de ce que vous avez tapé. Il nous indique ce qui s’est mal passé et où, afin que nous puissions corriger le problème.

Si vous avez choisi de partager les données d’analyse avec les développeurs d’apps dans Réglages sur votre iPhone (Confidentialité et sécurité, puis Analyse et améliorations), Apple peut aussi nous transmettre des rapports de plantage et des statistiques d’utilisation, conformément à la politique de confidentialité d’Apple.

9. Ce que nous ne faisons pas

• Aucune publicité, et aucun SDK publicitaire.
• Aucun enregistrement de session ni enregistrement d’écran. Le seul logiciel tiers présent dans Billy est le SDK de PostHog (y compris son outil intégré de rapports de plantage), qui envoie les statistiques et les rapports de plantage décrits ci-dessus.
• Aucun suivi : nous ne combinons pas les données de Billy avec celles des apps ou des sites web d’autres entreprises, et nous n’utilisons pas l’identifiant publicitaire de votre appareil.
• Nous ne vendons, ne louons ni n’échangeons jamais vos données.
• Aucune connexion bancaire et aucun courtier en données.
• Aucun compte utilisateur : il n’y a donc rien à quoi se connecter.

Ces pages de Billy n’utilisent pas non plus d’outils d’analyse ni de cookies.

10. Qui traite des données pour notre compte

• PostHog, Inc. reçoit les statistiques d’utilisation et les rapports de plantage décrits ci-dessus et les stocke dans l’Union européenne (PostHog Cloud EU, à Francfort, en Allemagne), conformément à l’accord de traitement des données (DPA) de PostHog. Consultez la politique de confidentialité de PostHog.
• Apple traite les achats, les téléchargements, l’attribution Apple Ads, les rapports de plantage que vous choisissez de partager et les éventuelles sauvegardes de votre iPhone, conformément à la politique de confidentialité d’Apple.

Lorsqu’une loi comme le RGPD ou la LGPD brésilienne exige une base légale, nous nous appuyons sur notre intérêt légitime à assurer le fonctionnement de Billy et à l’améliorer, en n’utilisant que les données limitées et pseudonymes décrites ci-dessus.

11. Conservation et suppression de vos données

Votre budget reste sur votre iPhone jusqu’à ce que vous le supprimiez. Pour tout effacer, ouvrez les Réglages de Billy, puis Données, puis Supprimer toutes les données, ou supprimez l’app. Les données antérieures peuvent subsister dans d’anciennes sauvegardes de l’iPhone jusqu’à ce qu’elles soient remplacées.

Les exportations et les sauvegardes que vous créez depuis les Réglages de Billy sont des fichiers que vous enregistrez où vous le souhaitez, par exemple dans l’app Fichiers ou sur iCloud Drive. Dès lors, ces fichiers sont sous votre contrôle et soumis aux conditions du service sur lequel vous les avez enregistrés.

Les événements d’analyse et les rapports de plantage sont conservés dans PostHog jusqu’à 7 ans, la durée de conservation de notre projet PostHog. Vous pouvez à tout moment nous demander de les supprimer plus tôt : écrivez-nous à support@getcorpus.app en indiquant l’identifiant d’analyse affiché dans les Réglages de Billy, et nous supprimerons de PostHog le profil de cet identifiant et ses événements. Supprimer Billy, ou ses données dans les Réglages, ne supprime pas les statistiques déjà envoyées.

12. Vos droits

Selon l’endroit où vous vivez (par exemple en vertu du RGPD dans l’UE et au Royaume-Uni, de la LGPD au Brésil ou du CCPA en Californie), vous pouvez avoir le droit d’accéder à vos données personnelles, de les rectifier, de les exporter ou de les supprimer, ainsi que de vous opposer à leur traitement. Les données de votre budget sont entièrement entre vos mains : vous pouvez les exporter ou les supprimer à tout moment depuis les Réglages de Billy. Pour toute autre demande, y compris concernant vos données d’analyse, écrivez-nous à support@getcorpus.app (pour les données d’analyse, indiquez l’identifiant d’analyse affiché dans les Réglages de Billy). Vous pouvez aussi contacter l’autorité de protection des données de votre pays.

13. Enfants

Billy ne s’adresse pas aux enfants de moins de 13 ans (ou de l’âge minimum applicable dans votre pays), et nous ne collectons pas sciemment de données les concernant.

14. Modifications de cette politique

Si cette politique change de façon notable, nous mettrons à jour la date en haut de cette page et, pour les changements importants, nous vous en informerons dans l’app.

15. Contact

Felipe Passos, support@getcorpus.app. Merci d’indiquer Billy dans l’objet.