Politique de confidentialité

1. Données que nous collectons

Nous collectons uniquement les données nécessaires pour fournir, maintenir et améliorer le Service. Nous ne vendons pas vos données à des tiers.

2. Comment nous utilisons vos données

Nous utilisons vos données exclusivement pour exploiter et améliorer Rasa Money. Nous n'utilisons pas vos Données financières à des fins publicitaires, de profilage ou à toute autre fin sans lien avec la fourniture du Service.

• Pour fournir le Service — traiter vos transactions, calculer les soldes des comptes, appliquer les taux de change, générer l'état des budgets et afficher votre tableau de bord.
• Pour vous authentifier — vérifier votre identité lors de la connexion, gérer votre session via les jetons d'actualisation et sécuriser les opérations sensibles par une nouvelle vérification du mot de passe.
• Pour communiquer avec vous — envoyer des codes de vérification OTP, des e-mails de réinitialisation de mot de passe, des notifications d'accès anticipé et des communications importantes relatives au compte ou à la facturation. Nous n'envoyons pas d'e-mails marketing sans votre consentement explicite.
• Pour récupérer et mettre en cache les taux de change — récupérer les données de taux auprès de notre prestataire tiers en votre nom et stocker des instantanés de taux au moment de la transaction pour garantir l'exactitude historique.
• Pour protéger le Service et votre compte — détecter les accès non autorisés, prévenir les abus et faire respecter nos Conditions d'utilisation.
• Pour améliorer le Service — analyser des schémas d'utilisation anonymisés et agrégés afin d'identifier les axes d'amélioration. Les Données financières individuelles ne sont jamais utilisées à cette fin.
• Pour respecter les obligations légales — conserver les enregistrements requis par la loi applicable et répondre aux demandes légitimes des autorités.

3. Partage des données et tiers

Nous ne vendons, ne louons ni ne partageons vos données personnelles ou Données financières avec des tiers à des fins commerciales propres à ces tiers. Les données ne sont partagées que dans les circonstances limitées suivantes :

• Prestataire de taux de change (ExchangeRate-API) — nous envoyons le code de votre devise de base à ce prestataire pour récupérer les données de taux. Aucune donnée personnelle ni Donnée financière n'est partagée avec ce prestataire.
• Google LLC — si vous utilisez la connexion Google, l'authentification est gérée par Google. Nous ne recevons que les données de profil décrites à la section 1. Vos Données financières ne sont jamais partagées avec Google.
• Prestataires d'infrastructure et d'hébergement — nos serveurs et bases de données peuvent être exploités sur une infrastructure cloud tierce. Ces prestataires sont contractuellement tenus de traiter les données uniquement en notre nom et sont interdits d'utiliser vos données à leurs propres fins.
• Demandes légales et réglementaires — nous pouvons divulguer des données si la loi, une ordonnance judiciaire ou une autorité gouvernementale l'exige. Lorsque la loi le permet, nous vous informerons avant de nous conformer à de telles demandes.
• Transferts d'entreprise — en cas de fusion, d'acquisition ou de vente de tout ou de la quasi-totalité de nos actifs, vos données peuvent être transférées à l'entité acquéreuse. Nous vous en informerons à l'avance et vous aurez le droit de supprimer votre compte avant l'achèvement du transfert.
• Sous-traitants d’analytique produit et marketing (uniquement après que vous avez accordé le consentement Analytique et/ou Marketing sur nos sites) — Google Analytics 4 et Microsoft Clarity (chargés via Google Tag Manager), et PostHog (chargé depuis notre code). Ces sous-traitants reçoivent des données techniques et d’usage comme décrit à la section 7 ; ils ne reçoivent pas vos Données financières.

4. Sécurité des données

Nous mettons en œuvre des mesures techniques et organisationnelles pour protéger vos données contre tout accès non autorisé, toute perte ou toute divulgation.

• Chiffrement en transit — toutes les données transmises entre votre appareil et nos serveurs sont chiffrées à l'aide de TLS (HTTPS). Nous n'autorisons pas les connexions non chiffrées.
• Chiffrement au repos — vos données sont chiffrées au repos sur notre infrastructure de stockage.
• Hachage des mots de passe — les mots de passe sont hachés à l'aide de bcrypt avec un facteur de coût élevé avant stockage. Nous ne pouvons ni lire ni récupérer votre mot de passe.
• Sécurité des jetons — les jetons d'accès sont des JWT à courte durée de vie. Les jetons d'actualisation sont stockés et révoqués lors de la déconnexion, et peuvent être invalidés à distance.
• Contrôles pour les actions sensibles — les opérations à haut risque (export de données, réinitialisation financière, suppression de compte) exigent une nouvelle vérification du mot de passe et une confirmation saisie en plusieurs étapes, réduisant le risque d'exécution accidentelle ou non autorisée.
• Expiration des OTP — les codes de vérification expirent automatiquement et sont à usage unique. Les codes expirés et utilisés ne peuvent pas être réutilisés.
• Nous ne stockons jamais votre mot de passe en clair et ne disposons d'aucun mécanisme pour le récupérer. Si vous perdez votre mot de passe, vous devez suivre le processus de réinitialisation.
• En cas de violation de données affectant vos données personnelles, nous vous informerons ainsi que les autorités compétentes, conformément à la loi applicable et dans les délais requis.

5. Conservation des données

Nous conservons vos données aussi longtemps que votre compte est actif. Lorsque vous supprimez votre compte :

• Votre compte est immédiatement désactivé. Votre adresse e-mail et votre numéro de téléphone sont obscurcis et vous êtes déconnecté de toutes les sessions.
• Vos Données financières (comptes, transactions, budgets, catégories) sont programmées pour une suppression définitive dans le cadre de notre processus standard de cycle de vie des données.
• Sauvegardes — vos données peuvent rester dans des sauvegardes système chiffrées pendant une période limitée après la suppression. Ces sauvegardes ne sont pas accessibles pour une utilisation active et sont détruites selon leur calendrier de rotation habituel.
• Nous pouvons conserver certaines données plus longtemps lorsque la loi l'exige, pour résoudre des litiges ou pour faire respecter nos accords.
• Enregistrements OTP et de vérification — les codes de vérification expirés sont conservés pendant une courte période à des fins d'audit de sécurité, puis supprimés définitivement.
• Données anonymisées et agrégées — nous pouvons conserver des données statistiques dérivées de votre utilisation qui ne permettent pas de vous identifier, à des fins d'amélioration du produit.

6. Vos droits et choix

Vous disposez des droits suivants sur vos données personnelles. Pour exercer l'un de ces droits, vous pouvez utiliser les outils disponibles dans les paramètres de votre compte ou nous contacter directement.

• Droit d'accès — vous pouvez consulter à tout moment votre profil complet, vos paramètres et l'ensemble de vos Données financières depuis l'application.
• Droit de rectification — vous pouvez mettre à jour à tout moment vos informations de profil, vos paramètres et vos Données financières depuis les paramètres de votre compte.
• Droit à la portabilité des données — vous pouvez exporter l'ensemble de vos données sous forme d'archive téléchargeable à tout moment depuis les paramètres de votre compte. Aucune restriction ne s'applique.
• Droit à l'effacement — vous pouvez supprimer définitivement votre compte et toutes les données associées depuis les paramètres de votre compte. La suppression est immédiate, définitive et irréversible.
• Droit à la réinitialisation — vous pouvez supprimer l'ensemble de vos Données financières (comptes, transactions, budgets, catégories) tout en conservant l'identité de votre compte et vos paramètres.
• Droit de dissocier Google — si votre compte est lié à Google, vous pouvez le dissocier en supprimant votre compte. Une nouvelle association nécessite la création d'un nouveau compte.
• Droit de refus des communications — vous pouvez vous désabonner des communications par e-mail non essentielles à tout moment via le lien de désabonnement présent dans chaque e-mail que nous envoyons.
• Si vous êtes situé dans l'Espace économique européen (EEE), au Royaume-Uni ou dans une autre juridiction disposant d'une loi applicable en matière de protection des données, vous pouvez bénéficier de droits supplémentaires, notamment le droit de vous opposer au traitement, de limiter le traitement et de déposer une plainte auprès de votre autorité de contrôle locale.

7. Cookies et stockage local

Rasa Money utilise un stockage client essentiel pour faire fonctionner le Service, et des technologies optionnelles d’analytique/marketing seulement après que vous les avez choisies dans notre bannière de consentement (SimpleCMP) sur rasamoney.com. Le stockage essentiel est nécessaire au site et à l’application ; les outils optionnels restent désactivés jusqu’à ce que vous acceptiez Analytique et/ou Marketing.

• Essentiel — le stockage de session conserve votre jeton d’accès pour la session authentifiée (effacé à la fermeture de l’onglet). Le stockage local peut conserver un jeton de rafraîchissement si vous choisissez « Se souvenir de moi ». Une petite quantité de préférences (y compris votre choix de cookies) peut être stockée localement. Elles ne contiennent pas vos Données financières.
• Analytique (optionnel, consentement requis) — Google Analytics 4 (via Google Tag Manager) mesure le trafic et les actions clés sur le site marketing et l’application. Microsoft Clarity (via GTM) fournit des enregistrements de session anonymisés et des heatmaps UX. PostHog (chargé depuis notre code, pas GTM) est notre outil d’analytique produit pour les événements d’usage. PostHog ne capture rien tant que le consentement Analytique n’est pas accordé, et est à nouveau désactivé si vous le retirez.
• Marketing (optionnel, consentement requis) — les balises marketing peuvent mesurer la performance des campagnes et aider à afficher du contenu pertinent. Elles restent désactivées jusqu’à ce que vous acceptiez Marketing dans la bannière.
• Google Consent Mode v2 — avant et après votre choix, nous signalons aux balises Google les états de consentement pour analytics_storage, ad_storage, ad_user_data et ad_personalization afin qu’elles n’utilisent pas de cookies non essentiels avant accord.
• Nous ne vendons pas vos données personnelles. Les outils optionnels d’analytique et de marketing sont des sous-traitants utilisés uniquement aux fins décrites ici et dans la bannière.
• Les enregistrements de session (Clarity, et PostHog si le session replay est activé) sont configurés pour masquer les saisies et les valeurs sensibles à l’écran lorsque c’est pris en charge.
• Vous pouvez modifier ou retirer le consentement Analytique et Marketing à tout moment via « Cookie settings » (contrôle flottant / pied de page) sur rasamoney.com. Le stockage essentiel ne peut pas être désactivé sans casser la connexion et les fonctions de base.
• Vous pouvez aussi effacer le stockage de session, local et les cookies dans les paramètres du navigateur. Cela peut vous déconnecter et réinitialiser les préférences (y compris le consentement), de sorte que la bannière peut réapparaître.
• Pour les pratiques de chaque sous-traitant, consultez leur documentation de confidentialité (Google, Microsoft, PostHog). Contactez [email protected] pour toute question sur notre usage de ces outils.

8. Confidentialité des enfants

Rasa Money n'est pas destiné à être utilisé par des personnes de moins de 18 ans. Nous ne collectons pas sciemment de données personnelles auprès d'enfants. Si nous apprenons qu'un utilisateur a moins de 18 ans, nous supprimerons son compte et les données associées dans les meilleurs délais. Si vous pensez qu'un enfant a créé un compte, veuillez nous contacter à [email protected] (mailto:[email protected]).

9. Transferts internationaux de données

Rasa Money peut stocker et traiter vos données dans des centres de données situés en dehors de votre pays de résidence. Lorsque des données sont transférées à l'international, nous mettons en œuvre des garanties appropriées — notamment des clauses contractuelles types ou des mécanismes équivalents — pour garantir que vos données bénéficient d'un niveau de protection adéquat, conforme à la présente Politique de confidentialité et à la loi applicable.

10. Modifications de la présente politique

Nous pouvons mettre à jour la présente Politique de confidentialité de temps à autre pour refléter l'évolution de nos pratiques, du Service ou de la loi applicable. En cas de modification substantielle, nous vous en informerons par e-mail et mettrons à jour la date « Dernière mise à jour » en haut de cette page. Nous vous encourageons à consulter régulièrement cette politique. Votre utilisation continue du Service après l'entrée en vigueur des modifications vaut acceptation de la politique révisée.

11. Nous contacter

Si vous avez des questions, des préoccupations ou des demandes concernant la présente Politique de confidentialité ou vos données personnelles, veuillez nous contacter :

• E-mail : [email protected] (mailto:[email protected])
• Juridique : [email protected] (mailto:[email protected])

Nous nous efforçons de répondre à toutes les demandes relatives à la confidentialité dans un délai de 5 jours ouvrables. Pour les demandes formelles d'exercice des droits des personnes concernées, nous répondrons dans le délai requis par la loi applicable (généralement 30 jours).