Politique de confidentialité

En bref

• Pas de compte, pas d'adresse e-mail, pas de publicité. Rien n'est revendu.
• Le contenu de vos espaces (montants, devises, libellés, notes, catégories, prénoms, pronoms, emblèmes, nom de l'espace, nom de chaque téléphone) est chiffré de bout en bout : le serveur le transmet sans pouvoir le lire. Vos données vivent sur vos téléphones.
• Le serveur garde des identifiants techniques, des dates et des tailles, pour faire passer les messages chiffrés d'un téléphone à l'autre.
• Pendant l'appairage seulement, les prénoms, le nom de l'espace et le nom du téléphone passent en clair par le serveur, qui les efface ensuite automatiquement (voir Pendant l'appairage).
• L'app envoie des statistiques d'usage anonymes, activées par défaut, que tu peux couper dans Réglages › À propos › Statistiques anonymes.
• Le site ne dépose aucun cookie et mesure son audience sans identifiant persistant.

Responsable du traitement

Rodrigue POCLET EI (entrepreneur individuel, micro-entreprise)
75 route de Villeneuve, 07170 Mirabel, France
SIREN 828 887 638 — SIRET 828 887 638 00033
Contact : [email protected]

Twocount est développé et exploité par une seule personne. Il n'y a pas de délégué à la protection des données désigné : toutes les demandes passent par l'adresse ci-dessus.

Le contenu de vos espaces est chiffré

Ce que vous saisissez dans un espace (montants, devises, libellés, notes, catégories, prénoms, pronoms, emblèmes, nom de l'espace, nom de chaque téléphone) est chiffré sur le téléphone avant d'être envoyé, avec l'algorithme XChaCha20-Poly1305. La clé ne quitte pas les téléphones de l'espace : le serveur ne reçoit que des messages chiffrés qu'il ne peut pas lire.

Le serveur sert de boîte aux lettres : il garde un message chiffré jusqu'à ce que l'autre téléphone l'ait reçu, puis l'efface. Les données de l'espace vivent sur vos téléphones.

Ce que le serveur voit et garde

Pour faire fonctionner un espace, le serveur de Twocount enregistre :

• Des identifiants techniques aléatoires : celui de l'espace, de chaque membre et de chaque appareil. Ils ne contiennent ni nom ni numéro de téléphone.
• L'état de chaque appareil : en attente, actif ou retiré, sa date d'inscription, la date de sa dernière connexion et sa position dans la file des messages.
• Les messages chiffrés, avec leur taille et leur date de réception. Ils sont effacés dès que tous les autres appareils de l'espace les ont reçus. Un identifiant technique et un numéro d'ordre de chaque message restent, pour éviter les doublons, tant que l'espace existe.
• La copie chiffrée de l'espace envoyée à un nouveau téléphone qui le rejoint : effacée dès qu'il l'a reçue (un envoi interrompu est effacé après une heure).
• Une empreinte du code PIN de chaque membre, calculée sur le téléphone : le code lui-même n'est jamais envoyé. Le serveur compte aussi les essais manqués, pour bloquer les tentatives répétées.
• Une empreinte des codes d'invitation, valables 15 minutes.
• Le jeton de notification du téléphone, si tu as activé les notifications (voir Notifications).
• Des compteurs d'usage par jour (par exemple le nombre d'espaces créés ou de messages relayés ce jour-là), sans aucun identifiant. Ils ne concernent personne en particulier et sont gardés sans limite de durée.

Durées. Ces informations sont gardées tant que l'espace existe sur le serveur. Quand un appareil quitte l'espace, son jeton de notification et ce qui lui était destiné sont effacés ; il ne reste qu'une ligne avec ses identifiants techniques et son état « retiré », jusqu'à la suppression de l'espace. Un appareil qui n'a jamais terminé son arrivée dans l'espace est retiré après 7 jours. L'espace et tout ce qui le concerne sont supprimés du serveur quand plus aucun appareil n'y est rattaché.

Sauvegardes. Le serveur fait une copie de sa base par jour et garde les deux plus récentes. Une donnée effacée peut donc rester environ deux jours dans ces copies.

Journaux. Le serveur écrit une ligne par requête : la date, la durée, la méthode, le code de réponse et le chemin demandé, qui contient des identifiants techniques (espace, appareil). Il n'écrit pas l'adresse IP. Il s'en sert seulement en mémoire, pour limiter le nombre de tentatives d'appairage venant d'une même adresse. Ces journaux ne contiennent aucun contenu des espaces (montants, libellés, noms). Leur taille est limitée : une rotation réglée sur le serveur écrase les plus anciens au fil de l'eau. Les intermédiaires techniques placés devant le serveur (Cloudflare, le proxy de l'hébergement) peuvent journaliser l'adresse IP des connexions, pour leur sécurité et leur bon fonctionnement.

Taux de change. Pour les dépenses en devises, l'app demande au serveur les taux d'un jour donné, sans rien envoyer d'autre. C'est le serveur qui interroge le service public Frankfurter : aucune donnée d'utilisateur ne lui est transmise.

Hébergement. Le serveur est hébergé chez Infomaniak, sur un serveur situé en Suisse, pays reconnu par la Commission européenne comme offrant un niveau de protection adéquat. Les requêtes passent d'abord par Cloudflare (voir Prestataires).

Pendant l'appairage

Quand tu invites quelqu'un dans un espace, ou que tu y ajoutes un autre de tes téléphones, quelques informations passent en clair par le serveur, pour que chacun voie à qui il se connecte :

• ton prénom et celui des membres de l'espace, et le nom de l'espace s'il en a un (envoyés par le téléphone qui invite) ;
• le prénom choisi par la personne qui rejoint, et le nom du téléphone qui demande à rejoindre, tel qu'il est réglé dans le système (par exemple « Galaxy S24 de Sophie » : il peut contenir un prénom).

Ces informations ne servent qu'à l'appairage. Elles restent sur le serveur tant que l'écran d'invitation est ouvert, puis sont effacées automatiquement par le ménage horaire du serveur : en général dans l'heure qui suit la fin de l'appairage, au plus tard environ deux heures après. Elles peuvent aussi figurer dans les sauvegardes du serveur pendant environ deux jours. Le reste de l'appairage (clés et copie de l'espace) est chiffré. Une fois l'appairage terminé, les prénoms, le nom de l'espace et le nom du téléphone ne circulent plus que chiffrés, dans l'espace.

Notifications et lien entre espaces

Si tu actives les notifications, l'app obtient un jeton de notification auprès de Google Firebase Cloud Messaging et l'envoie au serveur. Le serveur s'en sert pour réveiller le téléphone quand l'autre membre a ajouté quelque chose. La notification envoyée ne contient rien de lisible : seulement « synchroniser » (ou « demande d'appairage ») et un repère d'espace obtenu par hachage, qui ne révèle pas l'identifiant de l'espace. Le texte de la notification que tu vois est écrit par ton téléphone. Sur iPhone, Google transmet ces notifications par le service d'Apple (Apple Push Notification service).

Un téléphone a un seul jeton de notification. Si tu as plusieurs espaces sur le même téléphone, ce même jeton est enregistré dans chacun d'eux, ce qui permet au serveur de savoir que ces espaces sont sur le même téléphone. Il n'en lit pas le contenu pour autant.

Le jeton est effacé du serveur quand tu coupes les notifications ou quand le téléphone quitte l'espace. Pour fonctionner, le service Firebase est intégré à l'app et peut attribuer au téléphone un identifiant technique d'installation, selon les règles de Google.

Statistiques anonymes de l'app

Pour savoir ce qui sert et ce qui casse, l'app envoie des statistiques d'usage à une instance Aptabase hébergée par l'éditeur (Aptabase est un outil de mesure open source). Elles sont activées par défaut. Tu peux les couper à tout moment dans Réglages › À propos › Statistiques anonymes : plus rien n'est envoyé, y compris ce qui attendait encore sur le téléphone, qui est normalement effacé peu après.

Ce qui est envoyé :

• des événements d'usage : écrans ouverts, ajout d'une dépense, certaines durées par tranches, etc. ;
• une fois par jour, un état du téléphone : nombre de dépenses, d'appareils, de catégories et d'espaces, âge de l'espace par tranches, réglages choisis (apparence, notifications…) ;
• des rapports d'erreur techniques (type d'erreur et emplacement dans le code), jamais le message brut de l'erreur, qui pourrait contenir du texte déchiffré ;
• avec chaque envoi : le système et sa version, la version de l'app, la langue et la région du téléphone, et un identifiant de session aléatoire, renouvelé après une heure d'inactivité.

Ce qui n'est jamais envoyé : montants, libellés, notes, prénoms, nom de l'espace, identifiants de l'espace ou de l'appareil, identifiant publicitaire. Il n'y a pas d'identifiant durable du téléphone, donc pas de suivi d'un jour à l'autre. L'instance Aptabase reçoit l'adresse IP du téléphone, comme tout serveur auquel on se connecte.

Base légale : l'intérêt légitime de l'éditeur à améliorer l'app, avec un droit d'opposition simple par l'interrupteur ci-dessus. Les statistiques déjà envoyées ne peuvent pas être rattachées à une personne et ne peuvent donc pas être retrouvées pour être effacées.

Sur ton téléphone

• Chaque espace a sa base de données sur le téléphone, dans l'espace privé de l'app, protégé par le système. Les clés et secrets sont rangés dans le trousseau de l'iPhone ou le Keystore d'Android.
• Sur Android, les données de l'app sont exclues des sauvegardes du système et des transferts vers un nouveau téléphone. Sur iPhone, les fichiers de l'app peuvent être inclus dans la sauvegarde iCloud ou sur ordinateur, selon les réglages du téléphone.
• La caméra sert uniquement à lire le QR code d'invitation. L'image est analysée sur le téléphone ; rien n'est enregistré ni envoyé. Sur Android, cette lecture utilise la bibliothèque ML Kit de Google intégrée à l'app, qui peut envoyer à Google des statistiques techniques sur son fonctionnement, sans les images.
• Le déverrouillage par visage ou empreinte est géré par le système : l'app reçoit seulement « réussi » ou « échoué ».
• Le rapport de diagnostic (version de l'app, système, nom du téléphone, état de la synchronisation, erreurs récentes) n'est partagé que si tu le copies ou le partages toi-même.

Le site twocount.app

• Le site ne dépose aucun cookie.
• Son audience est mesurée avec Umami, un outil hébergé par l'éditeur, sans cookie ni identifiant persistant : pages vues, site de provenance, pays, type d'appareil et de navigateur. Ces mesures ne permettent pas de suivre une personne d'une visite à l'autre. Base légale : l'intérêt légitime de l'éditeur à connaître la fréquentation du site.
• Le site est hébergé par OVH et passe par Cloudflare. Comme tout intermédiaire, ils voient l'adresse IP des requêtes et peuvent la garder dans leurs journaux techniques, selon leurs propres règles.
• Aucune page du site ne lit le code d'invitation contenu dans les liens d'invitation.

Si tu t'inscris pour tester l'app

Avant la sortie, le site propose un formulaire pour devenir testeur. Il est hébergé par Google (Google Forms) et les réponses sont rangées dans le Google Drive de l'éditeur.

• Données demandées : ton prénom, ton type de téléphone, l'adresse e-mail de ton compte Google ou de ton identifiant Apple, et si ton ou ta partenaire testera aussi.
• Elles servent seulement à t'inviter au test (Google Play ou TestFlight, qui reçoivent alors ton adresse) et à te contacter à son sujet. Pas de prospection, pas de revente.
• Elles sont supprimées à la fin de la phase de test, ou plus tôt si tu le demandes à [email protected].
• Base légale : ton consentement, que tu donnes en cochant la case du formulaire et que tu peux retirer à tout moment.

Si tu nous écris

Si tu écris à [email protected], ton adresse e-mail et ton message servent seulement à te répondre et à suivre ta demande. Ils ne sont pas utilisés pour de la prospection et sont supprimés quand ils ne sont plus utiles à ce suivi.

Prestataires et transferts hors de l'Union européenne

• Infomaniak (Suisse) : hébergement du serveur de l'app. La Suisse fait l'objet d'une décision d'adéquation de la Commission européenne.
• Cloudflare : intermédiaire réseau devant le serveur de l'app et le site. Voit l'adresse IP et les requêtes (chiffrées de bout en bout pour le contenu des espaces).
• Google Firebase Cloud Messaging : acheminement des notifications, sans contenu lisible.
• Apple Push Notification service : acheminement des notifications sur iPhone, sans contenu lisible.
• Frankfurter : taux de change, interrogé par le serveur seul, sans aucune donnée d'utilisateur.
• OVH (France) : hébergement du site.
• Google Forms : formulaire d'inscription des testeurs et stockage des réponses.

Google, Apple et Cloudflare sont des sociétés américaines : des données techniques (adresse IP, jeton de notification) et les réponses au formulaire des testeurs peuvent être traitées aux États-Unis. Ces transferts reposent sur le cadre de protection des données UE–États-Unis (Data Privacy Framework) auquel ces sociétés adhèrent, et sur les clauses contractuelles types de la Commission européenne.

Bases légales

• Synchronisation des espaces, appairage, notifications, sauvegardes du serveur : fournir le service que tu utilises (exécution du contrat, article 6.1.b du RGPD).
• Journaux et limitation des tentatives : l'intérêt légitime à protéger le service (article 6.1.f).
• Statistiques anonymes de l'app et mesure d'audience du site : l'intérêt légitime à améliorer l'app et le site (article 6.1.f), avec opposition possible à tout moment.
• Réponse à tes e-mails : l'intérêt légitime à traiter ta demande (article 6.1.f).
• Inscription au test : ton consentement (article 6.1.a).

L'app ne repose pas sur ton consentement : il n'y a rien à accepter pour l'utiliser.

Tes droits et comment les exercer

Tu disposes d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité. Concrètement :

• Effacer un espace : dans l'app, supprime ou archive l'espace. Le téléphone est alors retiré de l'espace sur le serveur. Quand plus aucun appareil n'y est rattaché, l'espace et tout ce qui le concerne sont supprimés du serveur (puis disparaissent des sauvegardes après environ deux jours).
• Si tu as désinstallé l'app sans quitter l'espace, ton inscription reste sur le serveur, ainsi que les messages chiffrés qui t'étaient destinés. Écris à [email protected] pour en demander l'effacement. Comme Twocount ne connaît ni ton nom ni ton e-mail, le serveur ne peut te retrouver que par des identifiants techniques : indique ce qui peut aider à retrouver l'espace (date approximative de création, de dernière utilisation, appareil utilisé). L'éditeur te dira honnêtement s'il n'arrive pas à l'identifier avec certitude.
• Statistiques : coupe-les dans Réglages › À propos › Statistiques anonymes. Celles déjà envoyées ne sont pas rattachables à une personne.
• Accès et portabilité : les données de tes espaces sont sur ton téléphone, lisibles dans l'app. Le serveur, lui, n'a que des données chiffrées et techniques.

Pour toute autre demande, écris à [email protected]. Si tu estimes que tes droits ne sont pas respectés, tu peux adresser une réclamation à la CNIL (Commission nationale de l'informatique et des libertés), www.cnil.fr/fr/plaintes, ou à l'autorité de protection des données du pays où tu vis.

Âge

Twocount n'impose pas d'âge minimum. L'app ne demande ni identité, ni adresse e-mail, ni âge, et ne repose pas sur le consentement : elle ne collecte rien de plus pour une personne mineure que pour une autre.

Modifications et historique

Si cette politique change, la nouvelle version est publiée sur cette page avec sa date. Les versions datées sont conservées dans le dépôt du projet.

• 21 octobre 2026 : première version.