Confidentialité

Ce que reçoivent les fournisseurs d’IA

WholeBudget travaille avec OpenAI et Anthropic, et avec TypeSafe pour Jev. Chaque fonction d’IA envoie sa requête soit avec votre propre clé, directement de votre Mac ou de votre iPhone vers ce fournisseur, soit par l’entremise de WholeBudget AI (voir plus bas). Dans les deux cas, voici ce que chaque fonction envoie :

• Lire un reçu : la photo et le texte qui en est tiré.
• Lire un talon de paie : la page, ou seulement son texte quand il peut être lu sur votre Mac.
• Classer des transactions bancaires et des revenus par catégorie : leurs descriptions, leurs montants et leurs dates.
• Analyses : un résumé de vos factures, de vos abonnements et de vos revenus.
• Jev, l’assistant des catégories : les articles d’un reçu, envoyés à TypeSafe, avec votre clé TypeSafe ou par l’entremise de WholeBudget AI.
• Trouver le site Web d’un commerce pour son logo : le nom du commerce.
• Recherche et suggestions de catégories : les mots que vous cherchez, les noms et les descriptions des commerces, et les noms de vos catégories.
• Décrire une catégorie (« Describe with AI » (Décrire avec l’IA)) : le nom de la catégorie, sa place dans votre liste et les noms des catégories qu’elle contient.

WholeBudget AI

Avec Plus, qu’il soit acheté, en essai gratuit ou obtenu par un code que l’équipe WholeBudget vous a donné, WholeBudget AI exécute les fonctions d’IA sans que vous ayez besoin de vos propres clés : sur l’iPhone, il lit et classe les reçus et exécute Jev, et sur le Mac, il exécute toutes les fonctions d’IA énumérées plus haut. Chaque app vous demande avant d’envoyer quoi que ce soit à WholeBudget AI pour la première fois, et vous pouvez retirer ce consentement dans « Settings » (Réglages). Si vous activez « Use my own keys instead » (Utiliser plutôt mes propres clés) sur le Mac, il utilise vos clés et laisse WholeBudget AI de côté.

Ce dont une fonction a besoin va au serveur de WholeBudget (Supabase, au Canada), qui le transmet directement à OpenAI, à Anthropic pour un reçu qui demande un second examen, et à TypeSafe pour Jev, sous les propres comptes d’API de WholeBudget.

Notre serveur ne stocke ni ne consigne la photo ni le texte qu’il transmet. Il conserve un relevé d’utilisation (la tâche, le modèle, le nombre de jetons et le coût) pour compter l’allocation mensuelle de votre ménage, un compte quotidien des requêtes qu’il a refusées pour votre ménage et pourquoi (pas de Plus, l’allocation mensuelle, trop de requêtes à la fois, ou la limite propre à Jev) et, pendant 24 heures seulement, une copie chiffrée de la réponse pour qu’une nouvelle tentative après une connexion interrompue ne soit pas facturée deux fois. L’équipe WholeBudget peut voir ces relevés et ces comptes, par ménage et par appareil, dans un tableau de bord privé, pour exploiter le service et en surveiller le coût. Ils n’incluent jamais ce que vous avez envoyé, que le serveur ne conserve pas. Votre iPhone prouve qu’il est la véritable app WholeBudget grâce à App Attest d’Apple, et votre Mac le prouve grâce à son compte connecté; ni l’un ni l’autre n’implique vos reçus.

Plus et les recharges d’IA s’achètent par Apple. WholeBudget ne voit jamais votre carte ni les détails de votre compte Apple. Quand vous achetez, votre iPhone envoie à notre serveur le reçu signé par Apple pour cet achat; le serveur le vérifie auprès d’Apple et conserve le produit, ses dates, son état et les identifiants de transaction d’Apple, rattachés à votre ménage, pour savoir si Plus est actif et combien de crédit de recharge il reste. Apple informe aussi notre serveur quand un abonnement se renouvelle, prend fin ou est remboursé.

Un code de l’équipe WholeBudget peut aussi activer Plus pour votre ménage, pour un nombre de jours donné ou pour de bon. Quand vous en utilisez un, notre serveur garde une trace du code, de votre ménage, du compte qui l’a saisi et du moment, tant que le ménage existe, afin de savoir que votre Plus vient de ce code et de pouvoir y mettre fin si le code est retiré. Si vous utilisez un code sur notre site Web, vous vous connectez en l’approuvant avec votre iPhone, le site ne reçoit qu’un jeton qui peut utiliser un code pendant 10 minutes, et la vérification d’un code y compte les requêtes par adresse réseau à l’aide d’une empreinte de cette adresse, supprimée peu après et jamais conservée.

Comment les fournisseurs traitent ces données

Chaque fournisseur traite vos requêtes selon ses propres conditions d’API et sa propre politique de confidentialité, qui s’appliquent entre vous et ce fournisseur parce que la clé est la vôtre. Avec WholeBudget AI, les requêtes passent par les comptes d’API de WholeBudget, aux mêmes conditions. OpenAI et Anthropic disent ne conserver les requêtes d’API que pendant une durée limitée et ne pas entraîner leurs modèles avec celles-ci par défaut. Leurs politiques se trouvent à openai.com/policies et à anthropic.com/legal/privacy.

OpenAI, Anthropic et TypeSafe traitent ces requêtes aux États-Unis. Cela signifie que ce qu’une fonction d’IA envoie quitte le Canada et que, tant que cela s’y trouve, les tribunaux et les autorités des États-Unis peuvent y avoir accès en vertu du droit américain. Nous n’envoyons à un fournisseur d’IA rien dont la fonction n’a pas besoin, et les apps vous demandent avant d’utiliser WholeBudget AI pour la première fois. Notre propre serveur et le compte facultatif se trouvent au Canada, comme décrit plus bas.

Hormis le compte facultatif décrit plus bas, WholeBudget n’envoie vos données à personne d’autre.

Vérifier la qualité du classement de Jev

Pour vérifier la qualité de Jev, l’assistant des catégories, WholeBudget peut l’exécuter discrètement à côté de vos propres choix (« Shadow »). Shadow envoie à TypeSafe la même chose que Jev, soit les articles d’un reçu, et seulement pour un ménage dont le consentement à l’IA couvre TypeSafe. La réponse de Jev est comparée à la catégorie que vous avez choisie, dans un journal conservé sur votre Mac. En mode Shadow, la réponse de Jev ne change rien à vos reçus. WholeBudget n’utilise la comparaison que pour juger la qualité du classement de Jev, et paie lui-même ces requêtes; elles n’entament jamais l’allocation mensuelle de votre ménage.

Autres connexions

L’app Mac consulte GitHub, où elle est publiée, pour y trouver de nouvelles versions. Pour afficher le logo d’un commerce, elle le demande au service d’icônes de Google et au site Web du commerce, en n’envoyant que l’adresse Web du commerce. Comme toute requête Web, elles révèlent votre adresse Internet au site qui répond.

Pour afficher en dollars canadiens un reçu ou une dépense dans une autre devise, l’app Mac télécharge le taux de change du jour à la Banque du Canada. La requête ne nomme que la devise et les dates, jamais un montant, un commerce ni rien à votre sujet, et les taux sont conservés sur votre Mac pour que cela fonctionne hors ligne. Comme toute requête Web, elle révèle votre adresse Internet à la Banque du Canada.

À chaque ouverture, au plus toutes les 15 minutes, une version d’essai de l’app iPhone (installée par TestFlight) vérifie sur GitHub s’il existe une version plus récente. Elle télécharge un numéro de version et n’envoie rien à votre sujet; comme toute requête Web, elle révèle votre adresse Internet à GitHub. Si vous activez « Tell me about every test build » (M’informer de chaque version d’essai), la même vérification lit un second fichier qui énumère les versions avant qu’elles n’atteignent le ménage. Vous pouvez désactiver la vérification dans les « Settings » (Réglages) de l’app.

Si vous utilisez le compte facultatif, les apps contactent le service de compte pour vous connecter et vous garder connecté. Comme toute requête Web, cela révèle votre adresse Internet à ce service.

Tant que l’app Mac est ouverte, elle s’annonce sur le réseau où elle se trouve pour que votre iPhone puisse la trouver. Vous pouvez partager vos clés d’IA du Mac vers votre iPhone jumelé; elles voyagent par la même connexion chiffrée que tout le reste.

Si un iPhone jumelé a activé à la fois la bibliothèque du ménage et Partager la liste des cartes, le Mac lui envoie aussi la ligne bancaire à laquelle chaque reçu est rapproché : la date, le montant que la banque a facturé, la carte selon son réseau et ses quatre derniers chiffres, et la description de la banque elle-même, les longs numéros étant réduits à leurs quatre derniers chiffres. Pour un reçu rapproché d’une facture récurrente, il envoie plutôt le nom, la date et le montant de cette facture. Cela ne voyage que sur votre réseau domestique, que vers un iPhone que vous avez autorisé, et jamais vers notre nuage. L’iPhone le garde pour lui et le supprime quand vous désactivez la liste des cartes pour ce téléphone.

Le compte facultatif (en phase d’essai)

Le compte est facultatif : rien n’est créé tant que vous ne vous connectez pas, et l’app fonctionne pleinement sans lui. Si vous l’utilisez, vous vous connectez avec Apple sur votre iPhone; Apple peut donner à WholeBudget une adresse courriel relais privée plutôt que la vôtre. Votre Mac se connecte ensuite en balayant un code avec votre iPhone.

Le compte est stocké chez Supabase, au Canada (Montréal, ca-central-1). Il contient :

• Un identifiant de compte, et l’adresse courriel qu’Apple fournit, qui peut être une adresse relais privée.
• Le jeton d’actualisation de la connexion Apple, chiffré sur notre serveur, conservé seulement pour que la suppression de votre compte puisse aussi mettre fin à votre lien Se connecter avec Apple avec WholeBudget.
• Les noms de vos appareils connectés (par exemple « iPhone d’Alex ») et la date de leur dernière utilisation, que les membres de votre ménage peuvent voir sous « Household devices » (Appareils du ménage).
• À quel ménage le compte appartient et qui en fait partie. Le nom de votre ménage voyage chiffré de bout en bout, comme vos reçus, de sorte que nous ne pouvons pas le lire.
• Les clés publiques de vos appareils, et des enveloppes de clés chiffrées : des clés verrouillées de façon que seuls vos propres appareils puissent les ouvrir.
• Pour un iPhone qui utilise WholeBudget AI, la clé publique qu’App Attest d’Apple a créée pour lui.
• Pour chaque iPhone du ménage, une courte note de stockage pour « Settings › Storage » (Réglages › Stockage) sur votre Mac : le modèle du téléphone (comme « iPhone 17 Pro »), à qui il appartient, et combien d’images il garde sur le téléphone, dans votre iCloud et dans l’iCloud du ménage, avec leur taille totale. Elle est chiffrée de bout en bout comme vos reçus et n’inclut jamais les images, leurs noms ni leur contenu.
• Les catégories de votre ménage : leurs noms, leur organisation, si elles sont encore utilisées et leurs descriptions, pour que chaque appareil du ménage ait la même liste. Chaque appareil envoie les changements qu’il fait, chiffrés de bout en bout comme vos reçus.

Les reçus et le compte

Avec la synchronisation infonuagique activée, chacun de vos appareils téléverse sa copie du détail de chaque reçu — commerce, date, montants, articles, catégories, événement auquel il appartient, fin de la carte et paiements, liens entre les papiers, et suppressions — pour que les iPhone et le Mac de votre ménage restent synchronisés hors de la maison. La synchronisation des reçus est gratuite; elle n’exige pas Plus.

Ces copies sont stockées chez Supabase au Canada (Montréal, ca-central-1). Les membres de votre ménage peuvent les lire; personne d’autre.

Quand un reçu est lu sur un iPhone de votre ménage, qu’il s’agisse d’une nouvelle numérisation ou d’une relecture, un court résumé de la façon dont il a été lu est transmis aux autres appareils de votre ménage : quand, sur l’appareil de qui, les étapes, les modèles d’IA essayés, la durée de chacun et comment cela s’est terminé. Il n’inclut jamais ce qui a été lu ni la réponse de l’IA. Il voyage sur votre réseau domestique jusqu’à votre Mac et, avec la synchronisation infonuagique, chiffré avec le reste du reçu dans le nuage WholeBudget.

Chaque copie est chiffrée sur votre appareil avec la clé de votre ménage avant d’en sortir, en AES-256-GCM. La clé ne nous parvient jamais : elle reste sur les appareils de votre ménage (et votre clé de récupération, dans votre Trousseau iCloud). WholeBudget et Supabase, qui stocke ces copies, ne peuvent pas lire vos reçus. Même les identifiants des reçus sont cachés au serveur.

Les images des reçus restent par défaut sur vos appareils — sur l’iPhone qui les a prises et, si vous en avez un, sur votre Mac. Votre iPhone peut ne garder que les images récentes (« Settings › Storage », soit Réglages › Stockage) et aller chercher les plus anciennes dans votre iCloud, sur votre Mac ou, si vous l’utilisez, dans le nuage WholeBudget; il ne supprime jamais une image qui n’a pas d’autre copie.

Si votre ménage utilise le compte facultatif, votre iPhone peut aussi garder ses images dans votre propre iCloud, dans l’espace iCloud privé de WholeBudget auquel seul votre compte Apple a accès. Chaque image est chiffrée sur l’appareil avec la clé de votre ménage avant d’en sortir, de sorte que ni WholeBudget ni Apple ne peuvent la voir. Vous pouvez désactiver cela dans « Settings › Storage » (Réglages › Stockage), ce qui supprime ces copies de votre iCloud une fois que votre iPhone a gardé ce dont il a besoin.

Une personne de votre ménage peut aussi choisir de partager les images par son iCloud (« Settings › Storage », soit Réglages › Stockage). Les iPhone du ménage gardent alors leurs images, toujours chiffrées avec la clé du ménage, dans un espace WholeBudget de l’iCloud de cette personne, ce qui compte dans son stockage. Les autres téléphones s’y joignent par la synchronisation chiffrée du ménage, et cesser de partager met fin à l’accès de tous les autres.

Quand votre iPhone est loin de votre réseau domestique, il peut laisser une copie chiffrée de l’image d’un nouveau reçu dans une boîte aux lettres pour le Mac de votre ménage. La copie est chiffrée sur l’iPhone avec la clé de votre ménage, de sorte que ni WholeBudget ni Cloudflare ne peuvent la lire, et elle n’est conservée que jusqu’à ce que votre Mac la télécharge, puis elle est supprimée — 14 jours au plus. C’est gratuit et ne demande aucun réglage.

Votre Mac peut aussi lire les images chiffrées de votre ménage dans iCloud lorsqu’il est connecté à iCloud : l’espace WholeBudget partagé du ménage et, avec le même compte Apple que votre iPhone, le vôtre. Il ne fait que lire — il n’ajoute, ne modifie ni ne supprime jamais rien — et les images restent chiffrées avec la clé de votre ménage jusqu’à ce qu’elles arrivent sur votre Mac.

Le nuage WholeBudget pour les images est facultatif, exige Plus et reste désactivé tant que quelqu’un de votre ménage ne l’active pas. Chaque image est alors chiffrée sur l’appareil avec la clé de votre ménage avant le téléversement et stockée chez Cloudflare R2 (Amérique du Nord), de sorte que ni WholeBudget ni Cloudflare ne peuvent la voir. Le désactiver demande s’il faut supprimer les images du ménage qui s’y trouvent; la suppression a lieu 30 jours plus tard pour que chaque appareil puisse d’abord garder ses propres copies.

Pour partir, déconnectez-vous dans « Settings › Account » (Réglages › Compte) — plus rien n’est téléversé. « Delete account » (Supprimer le compte), dans « Settings › Account » (Réglages › Compte), supprime votre compte et les copies du ménage quand vous en êtes le seul membre; sinon, le ménage continue avec ses autres membres. Vos reçus sur vos appareils ne sont jamais supprimés par cette action.

Les autorisations que demande l’app iPhone

Chacune n’est utilisée que sur vos appareils :

• Appareil photo : pour numériser des reçus et pour balayer le code de jumelage de votre Mac.
• Réseau local : pour trouver votre Mac et se synchroniser avec lui.
• Contacts : seulement quand vous touchez « Use my photo from Contacts » (Utiliser ma photo des Contacts), pour utiliser la photo de votre propre fiche comme votre photo dans l’app, que votre Mac jumelé affiche aussi.
• Face ID : seulement pour vérifier que c’est bien vous avant que l’app affiche la clé de récupération de votre ménage. WholeBudget ne voit jamais vos données faciales; iOS lui dit seulement oui ou non.

Diagnostics que vous choisissez d’envoyer

Après un plantage ou une erreur, le Mac demande avant d’envoyer un rapport de plantage à WholeBudget, et l’iPhone fait de même à partir de la version qui l’ajoute. Si vous avez choisi « Always send » (Toujours envoyer) dans « Settings » (Réglages), le rapport part sans demander; si vous avez choisi « Never » (Jamais), rien n’est envoyé. Un rapport contient des piles d’appels et des noms d’erreurs, la version de l’app, le modèle de l’appareil et son système d’exploitation, les noms des derniers écrans et des dernières actions, et un nombre aléatoire créé pour cette installation afin de regrouper les plantages répétés d’une même installation. Il ne contient ni reçus, ni noms, ni montants, ni requêtes, et il n’est rattaché à votre ménage que si vous êtes connecté.

Les rapports sont stockés chez Supabase au Canada, et l’équipe WholeBudget les lit pour trouver et corriger des bogues. Chacun est supprimé 90 jours après son arrivée. Le serveur ne conserve pas votre adresse Internet : pour limiter la fréquence d’arrivée des rapports, il n’en garde qu’une forme brouillée pendant une journée.

« Share diagnostics » (Partager les diagnostics) permet toujours de les envoyer vous-même. Sur l’iPhone, « Settings › General › About › Share diagnostics » (Réglages › Général › À propos › Partager les diagnostics) regroupe les rapports de blocage et de plantage qu’iOS garde sur WholeBudget. Sur le Mac, « Settings › About › Share diagnostics » (Réglages › À propos › Partager les diagnostics) enregistre un zip des rapports de plantage et du journal des mises à jour. Un zip enregistré ainsi ne quitte votre appareil que si vous l’envoyez.

Emporter vos données avec vous

Sur le Mac, « Settings › Data & backup › Export everything » (Réglages › Données et sauvegarde › Tout exporter) enregistre un zip contenant vos reçus et chacune de leurs lignes, vos dépenses et vos revenus sous forme de tableurs, et l’image de chaque reçu. Il est écrit directement sur votre disque et rien n’est téléversé. La même page indique où se trouve votre dossier de données, si vous préférez le copier en entier.

Supprimer vos données

• Mac : quittez WholeBudget, puis supprimez le dossier WholeBudget dans ~/Library/Application Support. Supprimer l’app seule laisse vos données en place. Vos clés d’IA, et la connexion au compte si vous l’utilisez, y sont aussi stockées, chiffrées par macOS.
• iPhone : supprimer l’app supprime ses données. Vos clés d’IA sont gardées dans le Trousseau de l’iPhone, qu’iOS peut conserver après la suppression d’une app; retirez-les donc d’abord dans les « Settings » (Réglages) de l’app si vous voulez aussi les effacer. Les images gardées dans votre iCloud y restent après la suppression de l’app; désactivez d’abord iCloud dans « Settings › Storage » (Réglages › Stockage) de l’app, ou retirez WholeBudget dans les réglages de stockage iCloud de votre iPhone.
• Compte : dans l’app iPhone, allez à « Settings › Account › Delete account » (Réglages › Compte › Supprimer le compte). Ce que le compte contient sur notre serveur est alors supprimé. Quand un ménage entier est supprimé, son utilisation de l’IA ne subsiste que sous forme de totaux mensuels anonymes d’appels et de coûts, sans ménage ni compte rattaché. Si vous êtes propriétaire d’un ménage auquel d’autres personnes appartiennent encore, la propriété passe au membre qui en fait partie depuis le plus longtemps et le ménage continue. Les rapports de plantage déjà envoyés perdent leur lien avec votre ménage et sont supprimés 90 jours après leur arrivée.
• Un iPhone et un Mac jumelés gardent chacun leur propre copie. Supprimez sur les deux pour tout effacer.

Combien de temps les données sont conservées

Sur vos appareils, jusqu’à ce que vous les supprimiez. Chez un fournisseur d’IA, aussi longtemps que les conditions de ce fournisseur le prévoient. Pour le compte facultatif, jusqu’à ce que vous supprimiez le compte. Sans compte, nous ne détenons rien à votre sujet, à part les rapports de plantage que vous avez choisi d’envoyer, qui sont supprimés 90 jours après leur arrivée.

Sur notre propre serveur, voici les données et la durée de conservation de chacune :

• Compte, ménage, appareils, reçus chiffrés et enveloppes de clés de chiffrement : jusqu’à ce que vous supprimiez le compte ou que le ménage soit supprimé.
• Données de Plus et des recharges (le produit, ses dates et son état, et les identifiants de transaction d’Apple) : tant que le ménage existe, et supprimées avec lui. Un journal distinct des avis qu’Apple envoie à notre serveur au sujet des abonnements, qui ne contient ni ménage ni nom, est conservé comme registre de facturation.
• Relevés d’utilisation de l’IA (la tâche, le modèle, les jetons et le coût) : 24 mois, puis supprimés. Il ne reste que des totaux mensuels anonymes d’appels et de coûts, sans ménage, compte ni appareil rattaché.
• Réponses d’IA gardées pour une nouvelle tentative après une connexion interrompue, et vérifications à usage unique qui prouvent qu’un iPhone est la véritable app : supprimées quelques minutes après leur expiration, les réponses expirant après 24 heures.
• Demandes de connexion d’un Mac qui balaie un code : supprimées une heure après leur expiration. Invitations au ménage et demandes d’adhésion : les essais de code d’invitation sont supprimés après une journée, et les demandes d’adhésion une semaine après leur expiration.
• Images dans le nuage WholeBudget : supprimées 30 jours après que le ménage a désactivé le nuage et choisi de les supprimer. Une image qui attend dans la boîte aux lettres pour votre Mac : supprimée quand le Mac la télécharge, ou après 14 jours au plus.
• Rapports de plantage que vous avez choisi d’envoyer : 90 jours.
• Journaux du serveur : Supabase conserve les journaux de nos fonctions serveur pendant la période que permet son forfait. Ils contiennent des messages d’erreur et des types d’événements, jamais vos reçus, vos images ni ce que vous avez envoyé à une IA.

Qui est responsable de vos renseignements

Alexander (Alex) Bisgould, un particulier établi à Toronto, en Ontario, est la personne chargée de la protection des renseignements personnels chez WholeBudget, et celle qui décide de la façon dont ils sont traités. Vous pouvez le joindre à support@wholebudget.io.

Vos droits

Vous pouvez nous demander quels renseignements personnels nous détenons à votre sujet, et nous demander de les corriger s’ils sont inexacts. Écrivez à support@wholebudget.io, et nous répondrons dans les 30 jours. Ce que nous détenons sur notre serveur est peu de chose et décrit plus haut; ce qui se trouve sur vos propres appareils, vous pouvez déjà le voir et le modifier vous-même. Vous pouvez aussi retirer votre consentement à WholeBudget AI dans les « Settings » (Réglages) de l’app, et y supprimer votre compte.

Si vous n’êtes pas satisfait de la façon dont nous avons traité vos renseignements, vous pouvez porter plainte auprès du Commissariat à la protection de la vie privée du Canada (priv.gc.ca) ou, si vous habitez au Québec, auprès de la Commission d’accès à l’information du Québec (cai.gouv.qc.ca).

Comment nous encadrons vos renseignements

En bref, les règles que nous suivons, y compris celles que la loi québécoise sur la protection des renseignements personnels nous demande de publier :

• Une personne, nommée plus haut, en est responsable et répond aux demandes et aux plaintes.
• Nous ne recueillons que ce dont une fonction a besoin, nous ne le gardons que le temps indiqué dans la liste de conservation ci-dessus, et nous chiffrons ce que votre ménage synchronise pour que nous ne puissions pas le lire.
• Avant d’envoyer des renseignements personnels hors du Québec, comme une requête d’IA vers les États-Unis, nous évaluons les risques et ce qui les protège, et nous conservons cette évaluation.
• Nous tenons un registre de chaque incident de confidentialité. Si l’un d’eux présente un risque réel de préjudice grave, nous avisons les personnes touchées et les autorités de protection de la vie privée, et nous prenons des mesures pour limiter le préjudice.
• Nous révisons ces règles chaque fois que ce qui quitte vos appareils change, et cette page change d’abord.

Modifications de cette politique

Si WholeBudget change un jour ce qui quitte vos appareils, par exemple en téléversant des reçus vers le compte facultatif, cette page change d’abord et la date en haut est mise à jour.