Politique de confidentialité
Cette politique décrit les données que Tresyo collecte, les finalités poursuivies et vos droits. Le principe directeur du produit est simple : Tresyo ne se connecte jamais à un compte bancaire et ne récupère aucune transaction.
Mis à jour le
Responsable de traitement
Pour toute question relative à vos données, ou pour exercer vos droits, écrivez à contact@tresyo.com.
Ce que Tresyo ne collecte jamais
- Aucun identifiant bancaire. Tresyo ne propose aucune fonctionnalité d'agrégation et n'utilise aucun prestataire d'accès aux comptes.
- Aucune transaction. L'historique de vos opérations bancaires n'est ni lu, ni importé, ni stocké.
- Aucun numéro de compte ni IBAN.
- Aucune donnée sensible au sens de l'article 9 du RGPD.
Données collectées et finalités
| Donnée | Finalité | Base légale |
|---|---|---|
| Adresse e-mail | Création du compte, authentification, e-mails de vérification et de réinitialisation | Exécution du contrat |
| Mot de passe (haché) | Authentification. Le mot de passe n'est jamais stocké en clair. | Exécution du contrat |
| Prénoms saisis | Personnalisation de l'affichage, distinction des deux membres d'un foyer | Exécution du contrat |
| Revenus, charges récurrentes, soldes et dépenses exceptionnelles saisis | Calcul du plan mensuel d'allocation | Exécution du contrat |
| Avatar (style et couleur, ou image téléversée) | Personnalisation de l'interface | Exécution du contrat |
| Données de mesure d'audience | Statistiques de fréquentation et amélioration de l'interface | Consentement |
Cookies et mesure d'audience
Tresyo dépose un cookie de session strictement nécessaire au fonctionnement du service. Il est `httpOnly`, `secure`, limité au domaine tresyo.com, et constitue l'unique mécanisme d'authentification : aucun jeton n'est stocké dans le navigateur. Ce cookie ne requiert pas de consentement.
Le site utilise par ailleurs deux outils de mesure d'audience, soumis à votre consentement : Google Analytics 4 (Google Ireland Limited) pour les statistiques de fréquentation, et Microsoft Clarity (Microsoft Ireland Operations Limited) pour l'analyse ergonomique des parcours.
Deux précautions techniques encadrent cette mesure. Les adresses transmises à Google Analytics sont privées de leur chaîne de requête, afin qu'aucun jeton figurant dans un lien reçu par e-mail (vérification d'adresse, réinitialisation de mot de passe, invitation) ne soit transmis à un tiers. Microsoft Clarity, qui lit lui-même l'URL, n'est pas initialisé tant que le visiteur se trouve sur une page susceptible de porter un tel jeton.
Sous-traitants et destinataires
- Render Services, Inc. — hébergement de l'application et de la base de données. Les instances utilisées sont situées à Francfort (Allemagne).
- Resend — acheminement des e-mails transactionnels (vérification d'adresse, réinitialisation de mot de passe, invitation d'un partenaire).
- Google Ireland Limited — mesure d'audience, sous réserve de votre consentement.
- Microsoft Ireland Operations Limited — analyse ergonomique, sous réserve de votre consentement.
Vos données ne sont ni vendues, ni louées, ni transmises à des tiers à des fins publicitaires. Certains de ces prestataires relevant de groupes établis aux États-Unis, les transferts éventuels sont encadrés par les clauses contractuelles types de la Commission européenne ou par le cadre de protection des données UE–États-Unis.
Partage au sein d'un foyer
Lorsque vous utilisez Tresyo en couple, les données budgétaires du foyer — revenus déclarés, charges, soldes saisis et plan mensuel — sont visibles par les deux membres. C'est la condition même du calcul de répartition. Les identifiants de connexion, en revanche, restent strictement individuels.
Durée de conservation
- Données de compte et données budgétaires : conservées tant que le compte est actif, puis supprimées lors de la suppression du compte.
- Sauvegardes de la base de données : instantanés quotidiens conservés 7 jours, après quoi ils sont détruits.
- Jetons de vérification et de réinitialisation : à usage unique et à durée de validité limitée.
- Données de mesure d'audience : selon les durées de rétention propres à Google Analytics et Microsoft Clarity.
Sécurité
- Chiffrement de tous les échanges en HTTPS, avec en-tête HSTS.
- Mots de passe stockés sous forme de condensats, jamais en clair.
- Session portée par un cookie `httpOnly` inaccessible au JavaScript, ce qui neutralise le vol de session par injection de script.
- En-tête client requis sur les appels d'API, forçant une vérification préalable d'origine côté serveur.
- Base de données isolée, non exposée publiquement.
Vos droits
Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données.
- Accès et rectification : directement depuis les réglages de votre compte, où chaque donnée saisie est modifiable.
- Portabilité : une fonction d'export de vos données budgétaires est disponible dans les réglages.
- Effacement : la suppression du compte est accessible depuis les réglages et entraîne l'effacement des données associées.
- Autres demandes : écrivez à contact@tresyo.com.
Vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, 75007 Paris, ou sur cnil.fr.
Modifications
Cette politique peut être mise à jour. La date de dernière modification figure en tête de page. Toute évolution substantielle sera portée à votre connaissance par e-mail ou lors de votre prochaine connexion.