Règles de confidentialité

Où sont vos données

Toutes les données de l'application (comptes, mouvements, réglages) sont enregistrées dans un fichier unique sur votre propre Google Drive. L'application n'a accès qu'aux fichiers qu'elle a elle-même créés, et à ceux que vous choisissez de lui ouvrir dans le sélecteur de Google (fiche de paie, avis d'imposition, reçu de don) : c'est l'autorisation Google « drive.file ». Elle ne voit pas le reste de votre Drive, et ne demande aucun accès à vos e-mails.

Une copie locale de ces données est aussi gardée sur chaque appareil où vous utilisez l'application (stockage du navigateur) : le dernier état connu de votre fichier Drive, pour qu'elle s'ouvre vite et fonctionne hors ligne, et les modifications pas encore envoyées sur Drive. Elle reste sur l'appareil ; la déconnexion ou l'effacement des données du site la supprime. Quand vous choisissez entre deux versions (modifications faites sur deux appareils, restauration, import), la version écartée y est aussi gardée 30 jours, puis effacée ; la déconnexion l'efface aussi.

Ces copies sont chiffrées (AES-GCM) avec une clé créée par le navigateur, propre à l'appareil et non exportable : aucune page ni extension ne peut la lire, seulement l'application s'en servir. Soyons précis sur ce que cela protège : la clé est gardée par le navigateur dans son propre stockage (IndexedDB), sur le même disque que les copies. Le chiffrement empêche donc de lire vos montants à partir du seul stockage local de la page, mais pas à quelqu'un, ou à un logiciel malveillant, qui copierait tout le profil du navigateur. Si le navigateur ne peut pas garder cette clé (cas rare : stockage bloqué), la copie hors ligne n'est pas écrite ; en revanche, vos modifications pas encore envoyées sur Drive sont gardées en clair sur l'appareil plutôt que perdues, jusqu'à ce que Drive les ait reçues.

Chaque enregistrement note dans le fichier Drive sa date et le type d'appareil qui l'a fait (par exemple « téléphone Android (Chrome) », sans modèle ni numéro), pour vous aider à choisir la bonne version si deux appareils ont modifié vos données.

Le serveur de l'application

Un petit serveur (Cloudflare Workers) a trois rôles : maintenir votre connexion Google, envoyer des rappels, et tenir la veille fiscale. Si vous l'activez, il garde aussi une sauvegarde de secours chiffrée qu'il ne peut pas lire. Voici exactement ce qu'il conserve à votre sujet :

• Un jeton Google de longue durée (« refresh token »), chiffré (AES-256-GCM) avec une clé gardée à part, pour vous éviter de vous reconnecter à chaque ouverture ;
• Votre adresse e-mail et votre identifiant Google, pour savoir à quel compte appartient ce jeton ;
• Les sessions de vos appareils, sous forme d'empreintes (le jeton de session lui-même n'est jamais stocké), avec pour chacune le type d'appareil (par exemple « téléphone Android (Chrome) », sans modèle ni numéro), ses dates de connexion et de dernière utilisation, et une clé publique propre à l'appareil : chaque demande doit être signée par la clé privée correspondante, que les pages web ne peuvent pas lire, sur un code à usage court fourni par le serveur (10 minutes au plus). Un jeton de session copié seul ne sert donc à rien ; en revanche, une copie complète du profil de votre navigateur emporte aussi la clé, et un programme malveillant qui s'exécuterait dans Pécule pourrait faire signer des demandes tant qu'il y est. Paramètres affiche ces appareils et permet d'en déconnecter un. Une session expire après 30 jours sans utilisation, et dans tous les cas 60 jours au plus après la connexion ;
• Les abonnements aux notifications de vos appareils (adresse fournie par le service de notification du navigateur et clés de chiffrement), si vous les activez ;
• Des marqueurs « déjà envoyé » (le nom d'un rappel, sans son contenu), pour ne pas vous envoyer deux fois la même notification. Ils s'effacent d'eux-mêmes au bout d'environ 400 jours (une heure pour l'alerte de sécurité décrite plus bas) ;
• L'état de la tâche quotidienne : heure du dernier passage, succès ou échec, nombre de comptes traités ;
• Vos sauvegardes de secours chiffrées, seulement si vous activez cette option (voir ci-dessous).

Une fois par jour, si les notifications sont activées, le serveur lit votre fichier de données sur Drive pour calculer les rappels (échéances, révision des taux, jour de paie…). Il n'en garde rien : ni copie, ni montant, ni historique. En dehors des sauvegardes de secours chiffrées, qu'il ne peut pas lire, il ne stocke aucune donnée financière.

Il garde aussi des données publiques, qui ne vous concernent pas : le texte des pages officielles lues pour la veille fiscale (3 jours) et le dernier relevé de cette veille (valeurs officielles, sources, date).

L'accès au serveur est limité au compte Google de son propriétaire. Pour bloquer les abus, le nombre de requêtes par adresse IP est limité par Cloudflare ; ces adresses ne sont pas enregistrées par Pécule : le journal des appels de Cloudflare (une ligne par requête, avec son adresse IP) est désactivé, et le serveur ne note que ses propres messages d'erreur, sans adresse IP ni contenu.

Veille fiscale

Chaque lundi, le serveur lit une liste fixe de pages publiques de service-public.gouv.fr et de l'INSEE (inflation) et en fait relever les taux, plafonds et barèmes par l'IA de Cloudflare (Workers AI). Seul le texte de ces pages publiques est envoyé à l'IA : aucune donnée vous concernant, ni montant, ni paramètre de votre fichier. L'application compare ensuite ce relevé à ses propres paramètres, sur votre appareil, et vous propose les différences ; rien n'est modifié sans votre accord.

Si le relevé du serveur manque ou date de plus de 8 jours, et si vous avez enregistré une clé Gemini, l'application fait la même vérification avec Gemini (voir ci-dessous).

Sauvegarde de secours chiffrée (facultative)

Si vous l'activez dans les réglages, l'application envoie au serveur une copie de vos données chiffrée sur votre appareil, pour pouvoir les récupérer si le fichier Drive était abîmé ou supprimé. Drive reste l'emplacement principal de vos données.

• Ce que le serveur reçoit : uniquement un texte chiffré (AES-256-GCM) et les informations techniques nécessaires pour le déchiffrer avec votre code (date de création, sel, valeur de contrôle). La clé est dérivée d'un code de secours affiché une seule fois, à l'activation. Ni ce code ni la clé ne sont jamais envoyés : le serveur, son hébergeur et toute personne qui accéderait à son stockage ne peuvent pas lire ces copies. Votre clé Gemini n'en fait pas partie.
• Sur votre appareil : une clé non exportable, qui ne sait que chiffrer, permet l'envoi automatique ; elle ne permet pas de relire les copies. Restaurer demande toujours de saisir le code.
• Fréquence et durée : au plus un envoi automatique par semaine, quand l'application est ouverte et que vos données ont changé. Le serveur garde une copie par jour au plus : les 7 plus récentes, plus la première de chacune des 5 dernières semaines et la première de chacun des 12 derniers mois (24 copies au plus), pour qu'une série d'envois récents ne puisse jamais remplacer toutes les copies anciennes. Chacune s'efface d'elle-même au bout d'un an.
• Code perdu : les copies deviennent définitivement illisibles, pour vous comme pour quiconque. Personne ne peut le retrouver. C'est pourquoi l'activation demande de recopier deux morceaux du code : il faut l'avoir vraiment noté.
• Suppression : « Désactiver » dans les réglages, comme « Supprimer mes données serveur », programme l'effacement des copies existantes 7 jours plus tard (les copies envoyées ensuite ne sont pas concernées). Vos appareils qui reçoivent les notifications en sont prévenus (y compris ceux retirés depuis moins de 30 jours : le serveur garde leur adresse de notification pendant ce délai, pour cette seule alerte), l'app l'affiche à chaque ouverture, et vous pouvez l'annuler d'ici là : quelqu'un qui aurait pris la main sur une de vos sessions ne peut donc pas détruire ces copies sur-le-champ. Retirer l'accès de l'application depuis votre compte Google ne les efface pas, pour que vous puissiez encore restaurer après vous être reconnecté : utilisez l'un de ces deux boutons, ou attendez leur effacement automatique au bout d'un an.

Notifications

Les notifications sont chiffrées de bout en bout entre le serveur et votre appareil : le service qui les achemine ne peut pas les lire. En revanche, elles peuvent afficher des montants (paie à placer, prélèvement, bilan du mois…), visibles sur l'écran de votre appareil, même verrouillé. Le mode discret, dans les réglages, remplace ces textes par des messages génériques sans aucun montant.

Deux alertes de sécurité, sans aucune donnée financière, sont envoyées à vos appareils : quand le retrait du verrou de l'application est demandé sur l'un d'eux (« Code oublié » : date et type d'appareil, et ce qu'il faut faire si ce n'est pas vous), et quand l'effacement des copies de secours est demandé (date prévue, et comment l'annuler).

Services tiers

• Google Drive : stockage des données, dans un fichier créé par l'application sur votre propre Drive.
• Google Gemini (facultatif), toujours avec votre propre clé, gardée sur l'appareil seulement et effacée à la déconnexion (la clé contenue dans un fichier importé n'est jamais reprise) :
  • fiches de paie : le document est envoyé pour en extraire les montants. Il contient des informations personnelles (nom, adresse, numéro de sécurité sociale, employeur, salaire) ;
  • avis d'imposition : le document est envoyé pour en relever le revenu fiscal de référence et le nombre de parts. Il contient aussi des informations personnelles (nom, adresse, numéro fiscal, revenus du foyer) ;
  • relevés bancaires (« Lire un relevé ») : le PDF ou la capture d'écran que vous choisissez sur votre appareil est envoyé directement de l'appareil à Google Gemini, jamais au serveur de Pécule ni sur votre Drive, pour en relever les soldes et les opérations. Il contient des informations personnelles (nom, adresse, numéros de compte, opérations). Seuls les soldes et les opérations que vous validez sont enregistrés dans votre fichier, les longs numéros (IBAN, numéros de compte) retirés des libellés ou réduits à leurs 4 derniers chiffres ; Pécule ne garde pas le document lui-même ;
  • fichiers partagés vers Pécule (« Partager » depuis Gmail, Drive ou une autre app, avec l'app installée sur Android) : le PDF ou l'image reçu reste sur votre appareil seulement, dans un espace de stockage du navigateur réservé à Pécule, jamais sur le serveur de Pécule. Rien n'est lu ni affiché avant le déverrouillage de l'app et le chargement de vos données ; le fichier n'est envoyé à Google Gemini qu'après que vous avez choisi ce qu'il contient (fiche de paie, relevé bancaire ou avis d'imposition), et suit alors la règle du document correspondant ci-dessus. Une fiche de paie partagée n'est pas copiée sur votre Drive : seuls son nom et les montants que vous validez sont enregistrés dans votre fichier ;
  • « Demander à Pécule » (questions sur vos propres chiffres) : chaque question part de votre appareil directement vers Google Gemini, avec un résumé de vos données calculé à l'ouverture de la fenêtre (comptes avec leur nom, type, établissement, solde, part propre et part de vos parents, taux, plafond et échéances ; épargne mois par mois sur deux ans ; soldes de fin de mois ; prélèvements et échéances des 60 prochains jours ; virements récurrents (compte, montant, jour) ; abonnements (nom, montant, fréquence, compte débité) ; paie nette des fiches de paie sur douze mois ; intérêts de l'année ; impôt estimé et revenu fiscal de référence ; restitution aux parents) et les questions et réponses précédentes de la conversation. Ce résumé ne contient ni votre adresse e-mail, ni identifiant de fichier Drive, ni clé, ni information sur l'appareil ou la session, ni code de secours, ni note ou libellé que vous avez saisi librement (journal, opérations, libellés des virements, dons). Pour ses calculs, Gemini peut exécuter du code dans son propre environnement chez Google, sur ces mêmes données et rien d'autre. Pécule ne garde rien de la conversation : ni sur votre Drive, ni sur l'appareil, ni sur son serveur ; elle est effacée à la fermeture de la fenêtre, au verrouillage et à la déconnexion. Les réponses peuvent contenir des erreurs et ne sont pas un conseil financier ; l'assistant ne modifie jamais vos données ;
  • veille fiscale, en secours seulement : le texte de pages publiques de service-public.gouv.fr et de l'INSEE (ou, s'il est indisponible, une demande de recherche Google sur les valeurs officielles) ; aucune donnée personnelle, aucun paramètre de votre fichier.
  Avec l'offre gratuite de Gemini, Google peut utiliser les contenus envoyés pour améliorer ses modèles, et des personnes peuvent les relire : n'importez un document et ne posez une question à « Demander à Pécule » que si cela vous convient, ou utilisez une clé d'une offre payante. Aucun document ni résumé n'est envoyé sans une action de votre part.
• Cloudflare : héberge le serveur (Workers, stockage KV, Workers AI) ; gère aussi le nom de domaine pecule-app.com et se place devant le site pour lui ajouter des protections de sécurité (en-têtes HTTP), sans en modifier le contenu ; redirige enfin les messages envoyés à [email protected] vers la boîte personnelle du propriétaire. Comme tout hébergeur, Cloudflare voit l'adresse IP et les requêtes techniques au moment où elles passent ; le journal des appels du serveur est désactivé, et seuls ses messages d'erreur (sans adresse IP ni contenu) sont conservés quelques jours.
• GitHub Pages : héberge les fichiers de l'application (pages, scripts, icônes), sans aucune donnée vous concernant.
• Services de notification (Google, Apple, Mozilla, Microsoft, selon l'appareil) : ils acheminent les notifications chiffrées sans pouvoir les lire.

Aucune publicité, aucun outil de mesure d'audience, aucune revente de données.

Supprimer vos données et révoquer l'accès

Deux façons d'effacer ce que le serveur détient sur vous (jeton, e-mail, identifiant, sessions, abonnements aux notifications, marqueurs « déjà envoyé ») :

• dans l'application, « Supprimer mes données serveur » : l'effacement est immédiat et complet, et l'accès est aussi retiré chez Google. Seules les sauvegardes de secours chiffrées, s'il y en a, sont effacées 7 jours plus tard (protection contre une session volée ; vous pouvez annuler en vous reconnectant) ;
• ou retirer l'accès de l'application depuis myaccount.google.com/permissions : le serveur le constate à la demande suivante, ou au plus tard lors de la tâche quotidienne, et efface alors tout, sauf les sauvegardes de secours chiffrées (illisibles pour lui, effacées au bout d'un an, ou 7 jours après « Désactiver »).

Le fichier de données reste sur votre Drive, où vous pouvez le supprimer (ainsi que les copies mensuelles suivi_epargne_backup_…), et la copie locale sur chaque appareil, que la déconnexion efface.

Durées de conservation

• Sessions : 30 jours sans utilisation, 60 jours au plus ;
• marqueurs « déjà envoyé » : environ 400 jours ;
• sauvegardes de secours chiffrées : 24 copies au plus (les 7 plus récentes, une par semaine sur 5 semaines, une par mois sur 12 mois), un an chacune ; effacement demandé : 7 jours plus tard ;
• abonnements aux notifications : jusqu'à leur désactivation ou la déconnexion de l'appareil (ou de tous les appareils). Un appareil retiré ou déconnecté depuis un autre appareil reste 30 jours de plus, pour la seule alerte d'effacement des copies de secours ; la suppression de vos données serveur l'efface aussitôt ;
• jeton Google, e-mail et identifiant : seulement tant qu'ils servent, c'est-à-dire tant qu'un de vos appareils reste connecté ou reçoit les notifications. Ils sont effacés à la déconnexion du dernier appareil (ou de tous les appareils), à la suppression de vos données serveur, au retrait de l'accès chez Google, et dans tous les cas 61 jours au plus après leur dernière utilisation ;
• votre fichier sur Drive : tant que vous le gardez ; les copies mensuelles des 12 derniers mois ;
• fichier partagé vers Pécule (sur votre appareil seulement) : effacé dès que l'app l'a lu, après le déverrouillage, avant même votre choix ; effacé aussi si le partage est refusé (type ou taille) et à la déconnexion. Un fichier jamais ouvert est effacé à la prochaine ouverture de l'app dès qu'il a plus d'une heure ; le fichier lu, gardé en mémoire le temps de l'import, disparaît en quittant l'import ou en fermant l'app.

Contact

Une question sur ces règles ou sur vos données : [email protected]. Pour signaler une faille de sécurité, suivez la politique de sécurité.