Le RatCette politique décrit les données que l'application Le Rat collecte, pourquoi, avec qui elles sont partagées, et comment les récupérer ou les effacer. Elle s'applique aux applications iOS et Android et au service qui les accompagne.
1. Responsable du traitement
Florian Ceprika (« Wecko »), personne physique. Contact : lerat@wecko.ai.
2. Données collectées
| Donnée | Pourquoi | Base légale |
|---|---|---|
| Adresse email, mot de passe (haché avec bcrypt, jamais en clair) | Créer et sécuriser votre compte, réinitialiser un mot de passe | Exécution du contrat |
| Dépenses : montant, devise, taux de change figé, date, catégorie, commerçant, note, moyen de paiement | Le service lui-même : suivi de budget | Exécution du contrat |
| Comptes et portefeuilles saisis manuellement : nom, type, devise et solde | Totaliser votre patrimoine et estimer le nombre de mois de dépenses couverts | Exécution du contrat |
| Photos de tickets de caisse | Extraire automatiquement le montant et les lignes | Exécution du contrat |
| Messages échangés avec le coach | Tenir la conversation et son historique | Exécution du contrat |
| Fuseau horaire de l'appareil, compteurs d'usage IA quotidiens | Calculer « aujourd'hui » correctement, appliquer les quotas | Intérêt légitime (maîtrise des coûts, anti-abus) |
| Préférences de notifications, identifiant d'installation et jeton push | Programmer les bilans choisis et les remettre au bon appareil | Consentement |
| État d'accès : dates de début et de fin d'essai, identifiant de transaction Apple, identifiant d'achat Google Play, produit, date d'expiration | Ouvrir l'accès aux fonctions payantes | Exécution du contrat |
| Interactions dans l'app : étapes du parcours, boutons utilisés, résultat des actions, durée active, version, plateforme et langue, associés à un identifiant aléatoire puis à un identifiant de compte opaque | Comprendre les difficultés du parcours et améliorer les fonctions du Rat | Collecte actuellement désactivée ; si elle est activée, uniquement après consentement explicite dans Réglages → Confidentialité |
| Rapports de plantage | Corriger les bugs | Intérêt légitime (stabilité du service). Depuis la version 1.2.8 : type d'erreur et emplacement dans le code, version et plateforme de l'app, sans message d'erreur, compte, adresse IP ni contenu. Conservés 30 jours sur nos serveurs, jamais transmis à un tiers |
Ce que nous ne collectons pas : aucun identifiant bancaire, numéro de compte, accès IBKR, Revolut, Wise ou portefeuille crypto (les soldes sont saisis manuellement), aucune coordonnée bancaire de paiement (les paiements sont traités par Apple ou par Google Play, qui ne nous transmettent aucun numéro de carte), aucune position GPS, aucun contact, aucun identifiant publicitaire, aucun enregistrement audio (l'application n'utilise pas le microphone).
3. Traitement par intelligence artificielle
Pour lire un ticket ou faire répondre le coach, le contenu concerné (image du ticket, messages écrits au coach, historique récent de la conversation) est transmis à notre sous-traitant OpenRouter, qui le route vers un modèle d'IA : DeepSeek V4 Flash pour les messages écrits, Google Gemini 2.5 Flash pour les photos de tickets. Le modèle DeepSeek est exécuté par des hébergeurs tiers, pas par la société DeepSeek, choisis par OpenRouter parmi ceux qui pratiquent la rétention zéro : ils ne conservent ni la demande ni la réponse. Ces contenus sont envoyés uniquement pour produire la réponse. Nous ne les utilisons pas pour entraîner un modèle.
Mesure d'utilisation de l'app
L'intégration analytics est désactivée actuellement : aucun événement n'est transmis à PostHog. Si la collecte est activée ultérieurement, les événements serviront à comprendre les étapes consultées, les erreurs rencontrées et l'utilisation des fonctions, uniquement après votre consentement explicite dans Réglages → Confidentialité. Le parcours précédant la connexion pourra être rattaché à votre compte par un identifiant opaque, jamais par votre email ou votre prénom. Il s'agira de données pseudonymisées, et non anonymes.
Les événements prévus ne contiennent aucun montant de dépense, de revenu, de budget ou de solde, aucun marchand, nom de compte, libellé libre, message, photo, contenu de ticket, email, prénom, jeton de connexion ou reçu d'achat. Nous n'enregistrons pas vos écrans ou vos frappes et ne faisons pas de capture automatique des champs. Notre serveur transmet les événements à PostHog sans transmettre l'adresse IP de votre appareil ; l'enrichissement de localisation est désactivé.
Si la collecte est activée, vous pourrez retirer votre consentement dans Réglages → Confidentialité. Le retrait arrêtera la collecte sur cet appareil, supprime les événements encore en attente et demande l'effacement des données associées chez le prestataire. Une panne réseau peut retarder la synchronisation du retrait avec le serveur ; elle n'empêche pas l'utilisation de l'app. Contactez-nous pour exercer vos droits sur les données déjà transmises.
4. Destinataires
- Hostinger (hébergement du serveur, Union européenne) ;
- OpenRouter, Google et les hébergeurs du modèle DeepSeek choisis par OpenRouter en rétention zéro (traitement IA, voir ci-dessus) ;
- Brevo (envoi des emails de vérification et de réinitialisation). Brevo insère dans ces deux emails un pixel de mesure d'ouverture et réécrit les liens ainsi que l'adresse des images vers ses propres domaines. Nous n'avons pas trouvé moyen de le désactiver : ouvrir un de ces emails signale donc l'ouverture à Brevo. Aucun autre email ne vous est envoyé ;
- Apple (achats et abonnements ; nous ne recevons qu'un identifiant de transaction, le produit et, lorsqu'elle existe, une date d'expiration) ;
- Google (Google Play, achats et abonnements sur Android ; nous ne recevons qu'un identifiant d'achat, le produit et, lorsqu'elle existe, une date d'expiration) ;
- Google Firebase Cloud Messaging (acheminement des notifications vers Apple ou Android). Le message transmis est générique et ne contient ni montant, ni commerçant, ni détail de compte ;
- Sentry (aucun rapport de plantage de l'application ne lui est transmis ; les rapports de plantage restent sur nos serveurs) ;
- PostHog (mesure d'utilisation, sous-traitant), dans sa région États-Unis. Les événements pseudonymisés sont réservés à l'amélioration du Rat, sans publicité ni rapprochement avec d'autres applications. Le transfert vers PostHog sera activé seulement après la conclusion de son accord de traitement (DPA) et la vérification des garanties applicables au transfert vers les États-Unis. Le compte doit encore générer et signer cet accord ; la collecte analytics reste donc désactivée jusque-là.
Certains prestataires peuvent traiter des données hors de l'Union européenne. Les garanties de transfert dépendent de chaque prestataire et de l'accord applicable ; elles sont précisées ci-dessus lorsqu'elles sont établies.
Aucune donnée n'est vendue, louée ou transmise à des fins publicitaires.
5. Durée de conservation
- Vos dépenses, catégories et charges fixes : tant que votre compte existe. Les photos de tickets rattachées à une dépense vivent aussi longtemps que cette dépense.
- Messages du coach et photos qui y sont attachées : 30 jours. La purge est automatique et passe chaque jour, y compris si vous n'ouvrez plus l'application. Les dépenses créées depuis la conversation, elles, sont conservées.
- Codes de vérification email : quelques minutes.
- Mesure d'utilisation : les événements en attente d'envoi sont conservés au maximum 7 jours. Après transmission, le plan PostHog Free actuellement utilisé conserve les événements pendant 1 an. Ce délai sera revu si le plan change. Vous pouvez demander l'effacement à tout moment. Le retrait (opposition) déclenche également cette demande ; sa synchronisation et le traitement par PostHog peuvent prendre du temps.
- Jeton push : jusqu'à sa rotation, la désactivation sur l'appareil, la déconnexion ou la suppression du compte. Les états techniques de livraison expirés ne contiennent pas le texte financier de la notification.
- Après suppression du compte : vos dépenses, catégories, charges fixes, comptes et portefeuilles, conversations, préférences et appareils de notification, abonnement, dates d'essai et photos sont effacés immédiatement de la base de production et du disque du serveur. Votre adresse email et votre nom sont neutralisés dans la foulée ; il ne subsiste qu'un identifiant interne gelé, sans donnée personnelle, pour que ce numéro de compte ne soit jamais réattribué à quelqu'un d'autre et que les sessions déjà ouvertes ne donnent accès à rien.
6. Vos droits
Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité. Deux d'entre eux s'exercent directement dans l'application, sans nous écrire :
- Export : Réglages → Exporter mes données. Le fichier est au format JSON (pas CSV) et contient votre compte, votre profil, vos catégories, vos dépenses, vos charges fixes, vos conversations avec le coach et l'état de votre abonnement. Les images des tickets n'y sont pas incluses, seulement leur nom de fichier ;
- Suppression définitive : Réglages → Supprimer le compte.
Pour tout autre droit : lerat@wecko.ai. Vous pouvez également introduire une réclamation auprès de la CNIL (cnil.fr).
7. Sécurité
- Tous les échanges avec le serveur passent en HTTPS (TLS).
- Les mots de passe sont hachés avec bcrypt.
- Le jeton de session est rangé dans le trousseau iOS (Keychain).
- L'accès au serveur est restreint et journalisé.
- Sauvegardes locales et hors site. Un instantané cohérent de la base est pris chaque nuit et conservé 7 jours sur le serveur. Une copie quotidienne supplémentaire de la base et des photos est transférée par canal chiffré vers une machine distincte, puis conservée dans une archive AES-256 pendant 45 jours. Chaque copie hors site est déchiffrée automatiquement dans un espace temporaire et son intégrité SQLite est vérifiée. Vous pouvez également garder votre propre copie via Réglages → Exporter mes données.
8. Enfants
Le Rat n'est pas destiné aux enfants de moins de 16 ans et ne collecte pas sciemment leurs données. Si vous pensez qu'un tel compte existe, écrivez-nous : il sera supprimé.
9. Modifications
Cette politique peut évoluer. En cas de changement significatif, vous en serez informé dans l'application ou par email.