Auguste
Rencontrer Auguste

Politique de confidentialité

Coach budget IA traite des données financières sensibles. Cette politique détaille ce qu'on collecte, où ça vit, et comment tu peux tout effacer.

1. Données collectées

  • Compte utilisateur : email, mot de passe haché (Supabase Auth), secret TOTP de second facteur.
  • Profil: revenu net mensuel déclaré, situation familiale, objectif principal, horizon — données saisies par l'utilisateur lors de l'onboarding.
  • Comptes et transactions : agrégés via Bridge by Bankin' (DSP2, agrément ACPR n°16648), sous consentement explicite révocable depuis l'espace utilisateur.
  • Conversations IA : messages échangés avec le coach, faits durables extraits par Mistral Small (visible dans Ce que je sais sur toi).
  • Événements analytiques: navigation, ouvertures d'écran, clics paywall — pour mesurer l'usage en bêta.

2. Sous-traitants

  • Supabase (Paris, France) — base de données et authentification. DPA EU.
  • Vercel (Frankfurt, Germany) — hébergement frontend. DPA EU + transferts UE-US encadrés (DPF).
  • Mistral AI (Paris, France) — embeddings et complétions IA. DPA EU.
  • Bridge by Bankin' (Paris, France) — agrégation bancaire DSP2, agrément ACPR.
  • Stripe Payments Europe Ltd (Dublin, Irlande) — paiements. DPA EU.
  • ElevenLabs Inc. (États-Unis) — synthèse vocale (text-to-speech) du coach vocal. Le seul flux transféré est le texte de la réponse à vocaliser, généré par notre LLM Mistral et post-filtré CIF. Aucune donnée bancaire, transaction, solde, ni nom propre identifiant n'est transmis. L'audio retourné est joué en streaming et n'est pas stocké côté ElevenLabs. Base légale : DPF (Data Privacy Framework) approuvé par la Commission européenne le 10 juillet 2023, complété par les Clauses Contractuelles Types (CCT) via le DPA. Engagement de migration : nous travaillons à un remplacement par une solution de synthèse vocale auto-hébergée en France (Coqui XTTS sur Scaleway).

Sauf le texte de réponse vocalisé par ElevenLabs (cf. ci-dessus), aucun sous-traitant ne reçoit tes données financières détaillées en dehors de l'Union européenne.

3. Durée de conservation

  • Compte + profil : durée de l'abonnement + 12 mois.
  • Transactions : 90 jours en mémoire de travail, archivage ré-encrypté au-delà.
  • Conversations IA et faits durables : conservés tant que tu ne les supprimes pas (effaçables fait par fait depuis /me/memory).
  • Événements analytiques : 24 mois maximum.

4. Tes droits (RGPD article 15-22)

  • Accès et portabilité (art. 20) : export complet de toutes tes données en un clic depuis /me/account. Format JSON, généré instantanément à la demande, jamais stocké côté serveur.
  • Rectification: depuis l'onboarding et le chat.
  • Effacement (art. 17) :
    • Faits IA + mémoires + conversations → /me/memory (suppression granulaire ou en bloc).
    • Compte complet → /me/account. Action immédiate, sans formalité ni délai.
  • Opposition : désactiver les rituels et alertes depuis /me/notifications.

5. Sécurité

Authentification multifacteur (TOTP) obligatoire. Row Level Security (RLS) Postgres : chaque utilisateur ne voit que ses propres données, vérifié par un test adversarial automatisé. Chiffrement TLS 1.3 en transit, AES-256 au repos (Supabase).

6. Contact DPO

Pour toute question relative à tes données personnelles : contact@coachbudgetia.fr — réponse sous 30 jours.

Dernière mise à jour : 14 mai 2026.