Politique de confidentialité — Aurealo

Le responsable du traitement des données est l'éditeur d'Aurealo :

• Éditeur : Audrey Lombo
• Statut : entrepreneur individuel (micro-entreprise)
• Numéro SIRET : 849 176 102 00010
• Contact (données personnelles) : contact@aurealo.com

L'identité complète de l'éditeur figure dans les mentions légales.

Nous collectons uniquement les données nécessaires au fonctionnement de l'Application. Nous ne vendons jamais vos données et n'effectuons aucun suivi publicitaire (NSPrivacyTracking = false).

2.1 Données de compte

• Adresse email — collectée lors de la création de votre compte (authentification par email / mot de passe via Firebase Authentication). Votre mot de passe est géré de façon sécurisée par Firebase et ne nous est jamais accessible en clair.

2.2 Contenu que vous créez

• Images de tickets de caisse que vous photographiez ou importez (PDF).
• Données extraites des tickets : nom et adresse du magasin, date, articles achetés, quantités, prix unitaires, prix totaux, taxes (TVA), marques et catégories de dépenses.
• Données de budget : budgets, historiques de dépenses, alertes de prix, listes de courses, recommandations et historiques d'économies.

2.3 Données de partage (foyer)

• Si vous utilisez la fonctionnalité de foyer partagé, les invitations et les tickets/budgets partagés sont accessibles aux membres du foyer que vous avez invités ou rejoints.

2.4 Données techniques et de diagnostic

• Rapports de plantage (crash) : collectés via Firebase Crashlytics, associés à un identifiant technique (UID d'authentification) pour stabiliser l'Application.
• Rapports d'erreur et journaux techniques : collectés via Sentry, hébergés dans l'Union européenne. Ils contiennent le message d'erreur, la pile d'appels et le même identifiant technique (UID d'authentification). Ils n'incluent ni capture d'écran, ni adresse IP, ni contenu de ticket.
• Données d'utilisation (analytics) : collectées via Firebase Analytics uniquement à des fins de mesure d'audience. Cette collecte est désactivée par défaut et ne s'active qu'avec votre consentement.

2.5 Données d'abonnement

• Les achats d'abonnement Aurealo Pro sont gérés par Apple via l'App Store (StoreKit 2). Nous ne recevons ni ne stockons vos données de paiement (numéro de carte bancaire, etc.) — elles sont traitées exclusivement par Apple. Nous recevons uniquement le statut de votre droit d'accès (actif / inactif) afin de débloquer les fonctionnalités premium.

2.6 Suivi de la prise en main (onboarding)

Pour repérer et corriger les étapes où la prise en main de l'Application bloque, nous enregistrons, avec votre compte, la progression de votre première utilisation : création ou jonction du foyer, puis chaque écran du guide de démarrage, jusqu'au premier affichage de l'accueil.

• Ce qui est enregistré : le code de chaque étape atteinte (par ex. wizard_budget) et l'heure à laquelle nos serveurs l'ont reçue, la dernière étape atteinte, la façon dont le guide a été quitté (fin normale, « Passer », import d'un PDF, et votre réponse à la demande de mesure d'audience — acceptée ou refusée — mais pas les données de mesure elles-mêmes), l'étape d'où vous l'avez passé, le nombre de fois où le guide a redémarré, et le code technique de la dernière erreur rencontrée (par ex. household_join_expired), avec l'étape et l'heure.
• Ce qui n'est jamais enregistré : aucun montant (budget, ticket), aucun nom ou prénom, aucune adresse email, aucun nom de foyer, aucun code d'invitation, aucun message d'erreur en texte libre.
• Ce que nos règles de sécurité vérifient : à cet emplacement, notre base de données n'accepte que les éléments listés ci-dessus — des codes d'étape et de sortie pris dans une liste fermée, des horodatages fixés par nos serveurs (et non par votre appareil), un compteur de redémarrages borné, et, pour la dernière erreur, un code limité à 40 caractères parmi les minuscules non accentuées, les chiffres et « _ ». Ce format ne peut contenir ni adresse email ni phrase. Une fois enregistrées, les étapes atteintes ne peuvent être ni effacées ni réécrites depuis l'Application.
• Base légale : intérêt légitime (art. 6.1.f) — comprendre où la prise en main d'un service que vous avez ouvert échoue, afin de la corriger.
• Pourquoi ce n'est pas soumis à votre consentement analytics : ces informations sont liées au fonctionnement du compte que vous avez ouvert, ne sont pas transmises à un outil de mesure d'audience ni à un tiers, et ne servent qu'à améliorer la prise en main. La mesure d'audience (§2.4) reste, elle, désactivée tant que vous ne l'avez pas acceptée.
• Qui y accède, et sous quelle forme : uniquement l'éditeur. Pour établir ses statistiques (combien de nouveaux comptes atteignent chaque étape, et où ils s'arrêtent), l'éditeur recopie chaque jour ces informations dans un entrepôt de statistiques (Google BigQuery, hébergé dans l'Union européenne), à raison d'une ligne par compte et par jour. Ces lignes ne contiennent ni votre identifiant de compte, ni votre adresse email, ni l'identifiant de votre foyer : elles portent un code pseudonyme, calculé à partir de votre identifiant avec une clé secrète que seul l'éditeur détient. Elles reprennent les éléments listés ci-dessus et y ajoutent quatre informations tirées de votre compte : sa date de création, le fait qu'il appartienne ou non à un foyer, le fait que la prise en main soit terminée ou non, et la date du premier ticket enregistré dans votre foyer (le ticket de démonstration du guide n'est pas pris en compte). Pseudonymisées, ces lignes restent des données personnelles. Les comptes internes (tests, revue App Store) en sont exclus.
• Durée : dans votre compte, conservé 13 mois après la dernière étape enregistrée (ou, si aucune étape ne l'a été, après la dernière erreur), puis supprimé automatiquement ; supprimé immédiatement avec votre compte. Dans l'entrepôt de statistiques, chaque ligne quotidienne est supprimée automatiquement 13 mois après le jour qu'elle décrit. Une nouvelle ligne est produite chaque jour tant que votre compte existe. Après la suppression de votre compte, plus aucune ligne n'est produite, mais celles déjà produites sont conservées jusqu'à leur propre échéance, soit au plus 13 mois après la suppression.
• Opposition : vous pouvez vous opposer à ce traitement en nous écrivant à l'adresse de la section 1. La demande est traitée manuellement : nous supprimons cet historique. Si vous n'avez pas encore terminé la prise en main, les étapes suivantes pourraient à nouveau être enregistrées.

2.7 Signal d'activité du compte

Pour savoir si l'Application est utilisée (combien de comptes l'ouvrent chaque jour, chaque semaine, chaque mois), elle enregistre avec votre compte la date de votre dernière utilisation : une seule information, horodatée par nos serveurs, mise à jour au plus une fois par jour à l'ouverture de l'Application.

• Ce qui est enregistré : la date et l'heure (fixées par nos serveurs, et non par votre appareil — nos règles de sécurité refusent toute autre valeur) de la dernière ouverture de l'Application par votre compte. Rien d'autre : ni l'écran consulté, ni la durée, ni aucune action.
• Base légale : intérêt légitime (art. 6.1.f) — savoir si le service que vous avez ouvert est utilisé.
• Pourquoi ce n'est pas soumis à votre consentement analytics : même raisonnement qu'au §2.6 — cette information est liée au fonctionnement du compte, n'est transmise à aucun outil de mesure d'audience ni à aucun tiers, et ne sert qu'à compter les comptes actifs. La mesure d'audience (§2.4) reste, elle, désactivée tant que vous ne l'avez pas acceptée.
• Qui y accède, et sous quelle forme : uniquement l'éditeur, selon le même dispositif qu'au §2.6 : une recopie quotidienne dans l'entrepôt de statistiques (Google BigQuery, Union européenne), une ligne par compte et par jour, sous le même code pseudonyme, avec la date de création du compte et son appartenance ou non à un foyer. Les comptes internes en sont exclus.
• Durée : dans votre compte, conservée tant que le compte existe (une seule date, écrasée à chaque mise à jour), supprimée avec lui. Dans l'entrepôt, chaque ligne quotidienne est supprimée automatiquement 13 mois après le jour qu'elle décrit.
• Opposition : comme au §2.6, en nous écrivant à l'adresse de la section 1.

Lorsque vous scannez un ticket, son image est envoyée de façon sécurisée à nos serveurs (Firebase Cloud Functions), qui font appel au service d'intelligence artificielle Google Gemini pour en extraire automatiquement le texte et les articles (OCR). Cette transmission est nécessaire pour reconnaître le contenu de votre ticket.

L'image est stockée dans Firebase Cloud Storage afin de vous permettre de revoir et corriger l'extraction. Vous pouvez supprimer un ticket (et son image) à tout moment.

Nous faisons appel à des prestataires techniques (sous-traitants au sens du RGPD) qui traitent des données pour notre compte et selon nos instructions. Nous ne vendons ni ne louons vos données à des tiers.

Certains de ces prestataires peuvent traiter des données en dehors de l'Union européenne. Dans ce cas, les transferts sont encadrés par des garanties appropriées (clauses contractuelles types de la Commission européenne ou mécanismes équivalents).

• Données de compte et de contenu : conservées tant que votre compte est actif. Elles sont supprimées lorsque vous supprimez votre compte.
• Tickets et images : conservés jusqu'à ce que vous les supprimiez ou que vous supprimiez votre compte. Des tâches de nettoyage automatiques peuvent supprimer les images orphelines (tickets sans image utile).
• Rapports de plantage : conservés conformément aux durées par défaut de Firebase Crashlytics (généralement jusqu'à 90 jours).
• Rapports d'erreur et journaux techniques : conservés conformément aux durées de rétention par défaut de Sentry (90 jours pour les erreurs, 30 jours pour les journaux).
• Données d'abonnement : conservées le temps requis par nos obligations légales et comptables.
• Suivi de la prise en main (§2.6) : conservé 13 mois après la dernière étape enregistrée (ou, si aucune étape ne l'a été, après la dernière erreur), puis supprimé automatiquement ; supprimé immédiatement avec votre compte. Les statistiques pseudonymisées qui en sont tirées sont supprimées 13 mois après le jour qu'elles décrivent, donc au plus 13 mois après la suppression de votre compte.
• Signal d'activité (§2.7) : une seule date par compte, conservée tant que le compte existe et supprimée avec lui. Les statistiques pseudonymisées qui en sont tirées sont supprimées 13 mois après le jour qu'elles décrivent.

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès à vos données ;
• Droit de rectification des données inexactes ;
• Droit à l'effacement (« droit à l'oubli ») ;
• Droit à la portabilité de vos données ;
• Droit d'opposition et de limitation du traitement ;
• Droit de retirer votre consentement à tout moment (par ex. pour les analytics), sans que cela n'affecte la licéité du traitement effectué auparavant.

Comment exercer vos droits dans l'Application

• Suppression du compte : vous pouvez supprimer votre compte et l'ensemble de vos données directement depuis l'Application (Paramètres → suppression du compte). Cette action est irréversible.
• Export des données : la fonctionnalité d'export du foyer vous permet de récupérer une copie de vos données.
• Suppression d'un ticket : chaque ticket peut être supprimé individuellement, avec son image.

Pour toute demande complémentaire, contactez-nous à l'adresse indiquée à la section 1. Nous répondrons dans un délai d'un mois.

Vous avez également le droit d'introduire une réclamation auprès de la CNIL (Commission nationale de l'informatique et des libertés) — www.cnil.fr.

Nous mettons en œuvre des mesures techniques et organisationnelles pour protéger vos données :

• Communications chiffrées (HTTPS / TLS) entre l'Application et nos serveurs ;
• Règles de sécurité Firestore et Cloud Storage restreignant l'accès aux seules données de votre compte et de votre foyer ;
• Protection anti-abus via Firebase App Check ;
• Les clés d'API sensibles (par ex. Gemini) ne sont jamais incluses dans l'application installée et restent côté serveur.

Aucun système n'étant infaillible, nous ne pouvons garantir une sécurité absolue, mais nous nous efforçons de protéger vos données par des moyens conformes à l'état de l'art.

Aurealo n'est pas destinée aux personnes de moins de 15 ans et ne collecte pas sciemment de données les concernant.

Nous pouvons mettre à jour cette politique de confidentialité. En cas de modification substantielle, nous vous en informerons par un moyen approprié (dans l'Application ou par email). La date de « dernière mise à jour » en haut de ce document indique la version en vigueur.

Pour toute question relative à cette politique ou au traitement de vos données personnelles :

• Email : contact@aurealo.com