Tulyne est une application de gestion de finances personnelles en saisie manuelle. Elle ne se connecte à aucun compte bancaire et ne récupère aucune donnée par agrégation ou par un tiers. Toutes les informations financières présentes dans le Service y sont saisies volontairement par l'utilisateur.
Cette politique explique quelles données sont traitées, pourquoi, pendant combien de temps, avec qui elles sont partagées et quels sont vos droits.
1. Responsable du traitement
Le responsable du traitement est Gabriel Goldbronn, entrepreneur individuel (SIREN 980 820 831), éditeur du Service.
- Contact : contact@tulyne.com
- Coordonnées complètes : voir les Mentions légales.
Aucun délégué à la protection des données (DPO) n'a été désigné : les traitements réalisés dans le cadre du Service ne relèvent pas des cas rendant cette désignation obligatoire au sens de l'article 37 du RGPD (suivi régulier et systématique à grande échelle, ou traitement à grande échelle de données sensibles). Les demandes relatives aux données personnelles sont traitées directement par le responsable du traitement, à l'adresse contact@tulyne.com.
2. Données traitées
2.1 Données de compte
| Donnée | Détail |
|---|---|
| Adresse e-mail | Identifiant de connexion et adresse d'envoi des e-mails de service. Chiffrée dans notre base (voir 7). Elle reste en clair chez les prestataires qui en ont besoin pour facturer ou pour remettre le courrier (voir 4.1) |
| Mot de passe | Stocké uniquement sous forme de condensat (haché), jamais en clair, jamais lisible par l'éditeur |
| Date de création du compte | Horodatage technique |
| Appareils connectés | Pour chaque session ouverte : le navigateur et le système déclarés par votre appareil, l'adresse IP d'où elle a été ouverte, la date d'ouverture et celle de la dernière activité. C'est ce que l'écran « Appareils connectés » vous montre, pour que vous puissiez reconnaître et révoquer une session que vous n'avez pas ouverte. L'adresse IP y est chiffrée, comme votre adresse e-mail, et disparaît avec la session |
| Acceptation des CGU et des CGV | Date et version du document accepté à l'inscription (ou lors d'une mise à jour), preuve du consentement contractuel |
| Abonnement payant | Formule, statut, dates de période, identifiants techniques Stripe du client et de l'abonnement. Aucune donnée de carte bancaire n'est traitée ni conservée par Tulyne |
2.2 Données que vous saisissez dans l'application
- Comptes (nom, solde initial) ;
- Opérations (montant, date, libellé, catégorie, compte associé) ;
- Virements entre comptes ;
- Abonnements et charges récurrentes ;
- Budgets par catégorie.
Ces données peuvent révéler des éléments sur votre situation financière et vos habitudes de consommation. Elles ne servent qu'à vous fournir le Service : elles ne sont ni exploitées à des fins commerciales, ni revendues, ni utilisées à des fins publicitaires, ni analysées de façon individuelle par l'éditeur en dehors de ce qui est strictement nécessaire à l'exploitation et au dépannage du Service.
2.3 Données techniques (journaux)
Pour la sécurité et le bon fonctionnement du Service, les serveurs enregistrent automatiquement : adresse IP, date et heure des requêtes, type de navigateur (user-agent), chemins consultés (pages et API), codes de réponse et messages d'erreur. Ces journaux sont conservés au maximum 30 jours, puis supprimés.
2.4 Cookies et stockage local du navigateur
| Élément | Type | Finalité | Nécessaire ? |
|---|---|---|---|
Cookie de session (HttpOnly, Secure) | Cookie | Vous maintenir connecté | Oui |
Cookie de protection CSRF (Secure) | Cookie | Empêcher les requêtes falsifiées | Oui |
| Compte sélectionné | Cookie | Retenir le compte affiché par défaut | Confort |
Langue détectée (picsous_i18n_redirected, Secure) | Cookie | Ne pas vous renvoyer une seconde fois vers la version traduite du site | Confort |
| Thème, langue, brouillon de saisie, dernier compte utilisé | Stockage local | Confort d'utilisation | Confort |
Aucun cookie tiers, aucun cookie publicitaire, aucun profilage. Les cookies utilisés étant strictement nécessaires au Service (ou des préférences non traçantes), aucune bannière de consentement n'est requise (lignes directrices de la CNIL sur les cookies). La mesure d'audience décrite au 2.5 ne dépose, elle, aucun cookie.
2.5 Mesure d'audience (Umami)
Le Service utilise Umami, un outil de mesure d'audience auto-hébergé sur les serveurs de l'éditeur (stats.tulyne.com) : aucune donnée n'est envoyée à Umami en tant qu'éditeur ni à aucun autre tiers, rien n'est revendu et rien ne sert à de la publicité. Umami ne dépose aucun cookie et ne vous suit pas d'un site à l'autre.
| Donnée | Détail |
|---|---|
| Page consultée | Chemin de la page, sans la chaîne de requête. Un lien de réinitialisation de mot de passe ne peut donc pas s'y retrouver |
| Provenance | Site ou moteur de recherche par lequel vous êtes arrivé |
| Navigateur, système, type d'appareil, résolution, langue | Informations transmises par votre navigateur |
| Pays, région, ville | Déduits de l'adresse IP au moment de la visite. L'adresse IP elle-même n'est pas conservée |
| Identifiant de visite | Valeur calculée et non réversible, qui ne permet pas de vous identifier ni de vous suivre d'un site à l'autre |
| Trois gestes comptés | La création d'un compte, celle d'un budget et celle d'une charge récurrente. Chacun est compté sans aucun détail : ni votre identité, ni le nom de ce que vous avez créé, ni aucun montant. C'est un compteur, pas un historique |
Aucun cookie n'est déposé pour cette mesure, aucune donnée de compte ni aucune donnée financière ne lui est associée, et les visites ne sont pas recoupées avec votre compte. Ces données sont conservées au maximum 13 mois.
Cette mesure relève de l'exemption de consentement prévue par les lignes directrices de la CNIL pour les outils de mesure d'audience à finalité strictement limitée.
3. Finalités et bases légales
| Finalité | Base légale (RGPD) |
|---|---|
| Créer et gérer votre compte, fournir les fonctionnalités de l'application | Exécution du contrat (art. 6.1.b), relation née de votre inscription |
| Envoyer les e-mails de service (réinitialisation de mot de passe, changement d'adresse, abonnement) | Exécution du contrat (art. 6.1.b) |
| Encaisser l'abonnement, émettre et conserver les factures | Exécution du contrat (art. 6.1.b) et obligation légale (art. 6.1.c : art. L123-22 du Code de commerce) |
| Conserver la preuve de l'acceptation des CGU/CGV | Intérêt légitime (art. 6.1.f) : établir le contenu du contrat en cas de litige |
| Assurer la sécurité, prévenir les abus, tenir les journaux techniques | Intérêt légitime (art. 6.1.f) : protéger le Service et ses utilisateurs |
| Sauvegarder la base de données | Intérêt légitime (art. 6.1.f) : garantir la continuité et l'intégrité des données |
| Mémoriser vos préférences d'affichage | Bon fonctionnement du Service (cookies strictement nécessaires ou préférences non traçantes) |
| Mesurer la fréquentation du site et de l'application (2.5) | Intérêt légitime (art. 6.1.f) : savoir ce qui est utilisé pour améliorer le Service, sans profilage |
La fourniture d'une adresse e-mail et d'un mot de passe est nécessaire pour créer un compte : sans ces données, le Service ne peut pas être fourni. La saisie des données financières relève entièrement de votre initiative.
4. Destinataires et sous-traitants
4.1 Qui a accès à vos données
Vos données ne sont accessibles qu'au responsable du traitement et aux prestataires techniques strictement nécessaires au fonctionnement du Service, agissant comme sous-traitants au sens de l'article 28 du RGPD :
| Prestataire | Rôle | Données concernées | Localisation |
|---|---|---|---|
| Hostinger International Ltd | Hébergement des serveurs et de la base de données | Toutes les données du Service | France (Paris) |
| OVH SAS | Stockage des sauvegardes chiffrées de la base de données | Base de données (chiffrée) | France |
| Brevo (Sendinblue SAS, 17 rue Salneuve, 75017 Paris) | Envoi des e-mails transactionnels (réinitialisation de mot de passe) | Adresse e-mail, contenu de l'e-mail | France |
| Proton AG (Route de la Galaise 32, 1228 Plan-les-Ouates, Genève) | Boîte de réception des adresses @tulyne.com, reçoit les messages que vous nous adressez (support, exercice de vos droits) | Adresse e-mail et contenu des messages que vous envoyez | Suisse |
| Stripe Payments Europe, Limited (1 Grand Canal Street Lower, Grand Canal Dock, Dublin 2, Irlande) | Encaissement de l'abonnement payant, facturation, portail de gestion de l'abonnement. Stripe agit en responsable de traitement autonome pour la lutte contre la fraude et ses obligations réglementaires (politique de confidentialité de Stripe) | Adresse e-mail, données de paiement (saisies directement chez Stripe, jamais vues par Tulyne), formule, historique de facturation, acceptation des CGV et demande d'exécution immédiate | Irlande (UE), voir 4.2 |
L'outil de mesure d'audience (2.5) n'apparaît pas dans ce tableau : il est installé sur les mêmes serveurs que le Service, chez l'hébergeur déjà listé, et n'implique donc aucun destinataire supplémentaire.
Aucune autre communication à des tiers. Aucune vente de données. Aucune publicité. Aucune décision automatisée ni profilage au sens de l'article 22 du RGPD.
4.2 Transferts hors Union européenne
L'hébergement, les sauvegardes et l'envoi des e-mails de service ont lieu en France. La messagerie qui reçoit les e-mails que vous nous adressez est opérée par Proton AG en Suisse, pays reconnu par la Commission européenne comme offrant un niveau de protection des données adéquat (décision d'adéquation du 26 juillet 2000, toujours en vigueur). Stripe Payments Europe, Limited est établie en Irlande. Le groupe Stripe peut transférer certaines données vers sa maison mère aux États-Unis (Stripe, Inc.), sous couvert des clauses contractuelles types de la Commission européenne et de la certification de Stripe au cadre de protection des données UE-États-Unis (Data Privacy Framework). Aucun autre transfert hors de l'Union européenne / de l'Espace économique européen n'est réalisé. Une copie des clauses contractuelles types et des garanties qui encadrent ces transferts peut être obtenue sur simple demande à contact@tulyne.com.
5. Durées de conservation
| Donnée | Durée |
|---|---|
| Compte et données financières associées | Tant que le compte est actif |
| Après suppression du compte (base de production) | Effacement immédiat |
| Après suppression du compte (sauvegardes chiffrées) | Purge au fil de la rotation des sauvegardes, au maximum 6 mois |
| Sessions et appareils connectés (2.1) | Durée de la session : 24 heures, ou 30 jours avec « rester connecté ». Supprimées à la déconnexion, à la révocation ou à l'expiration |
| Jeton de réinitialisation de mot de passe | 1 heure |
| Demande de changement d'adresse en attente de confirmation | 24 heures, puis supprimée. L'adresse demandée y est chiffrée, comme celle du compte |
| Jeton d'annulation d'un changement d'adresse | 30 jours. Il porte votre ancienne adresse, chiffrée comme celle du compte, pour que vous puissiez revenir en arrière si le changement n'est pas de vous |
| Preuve d'acceptation des CGU/CGV | Durée du compte. Elle est effacée avec lui : cette preuve vit dans la fiche du compte, et la suppression n'en garde aucune copie |
| Données de facturation (factures, montants, dates) | 10 ans à compter de la clôture de l'exercice (art. L123-22 du Code de commerce), conservées chez Stripe et dans la comptabilité de l'éditeur. À la suppression du compte, votre fiche client chez Stripe est supprimée. Seules les factures restent, pour cette durée légale |
| Journaux techniques | 30 jours maximum |
| Données de mesure d'audience (2.5) | 13 mois maximum |
| Compte resté sans aucune connexion pendant 3 ans | Suppression possible après une tentative d'information à l'adresse e-mail associée |
| Journal des gestes d'administration | Conservé pendant la durée d'exploitation du Service, comme preuve de ce que l'éditeur a fait sur les comptes. Il ne porte ni votre adresse, ni votre adresse IP, seulement un identifiant technique qui ne renvoie plus à personne une fois le compte supprimé |
| Message envoyé depuis le formulaire de contact | Non conservé en base. Il part par courriel vers la boîte contact@tulyne.com, où il reste le temps de traiter la demande, puis il est supprimé |
6. Vos droits
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :
- Accès et portabilité. Obtenir une copie de vos données. Deux chemins, qui ne servent pas à la même chose.
Pour reprendre vos données et les réutiliser : l'export de l'application. Depuis les réglages, vous exportez vos saisies (comptes, opérations, catégories, récurrences) dans un tableur prêt à l'emploi (XLSX, ODS ou CSV) : colonnes nommées, montants en vraies valeurs monétaires, opérations groupées par année, totaux. Il s'ouvre directement dans Excel ou LibreOffice et se travaille tel quel. C'est le bon outil pour partir avec ses données propres. Cet export fait partie des fonctions de l'abonnement.
Pour obtenir tout ce que nous détenons : l'archive, sur demande. Écrivez à contact@tulyne.com : nous vous remettons, gratuitement et quel que soit votre palier, la copie intégrale de ce que nous détenons sur vous, vos saisies, mais aussi ce que vous n'avez pas tapé : date d'inscription, dernière connexion, appareils connectés, état de votre abonnement, version des conditions acceptées. Elle vous parvient sous trente jours au plus, accompagnée des informations que l'article 15 du RGPD nous impose de joindre et de la liste motivée de ce qui en est exclu.
Cette archive est une copie de données brutes, dans un format structuré et lisible par machine : elle n'est pas mise en forme et ne contient pas de tableur. C'est voulu. Mettre en forme, ce serait choisir quoi montrer, et une copie n'a pas à choisir. Si c'est un tableur que vous cherchez, c'est l'export ci-dessus. L'exercice d'un droit, lui, ne se paie jamais.
- Rectification. Corriger vos données. La quasi-totalité de vos données est modifiable directement dans l'application.
- Effacement. Supprimer votre compte et toutes les données associées depuis les réglages de l'application. L'opération est confirmée par votre mot de passe et elle est irréversible.
- Opposition et limitation. Vous opposer à un traitement fondé sur l'intérêt légitime, ou en demander la limitation, en écrivant à l'adresse ci-dessous.
- Retrait du consentement. Lorsqu'un traitement repose sur le consentement, le retirer à tout moment, sans effet rétroactif.
- Directives post-mortem. L'article 85 de la loi Informatique et Libertés vous permet de définir des directives, générales ou particulières, sur le sort de vos données après votre mort, et de désigner la personne chargée de les exécuter. Adressez-les à contact@tulyne.com. À défaut de directives, vos héritiers peuvent exercer certains de vos droits, notamment pour faire clôturer le compte.
Pour exercer un droit qui n'est pas directement accessible dans l'application, écrivez à contact@tulyne.com. Une réponse vous sera apportée dans un délai d'un mois. En cas de doute raisonnable sur l'identité du demandeur, des éléments complémentaires pourront être demandés, sans jamais exiger de pièce d'identité.
Vous pouvez également introduire une réclamation auprès de la CNIL : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, https://www.cnil.fr.
7. Sécurité
Des mesures techniques et organisationnelles raisonnables sont mises en œuvre : chiffrement des échanges (HTTPS / TLS), chiffrement des libellés que vous saisissez (noms de comptes, de catégories, de récurrences et libellés d'opérations) et de votre adresse e-mail au moyen d'une clé propre à votre compte, elle-même protégée par une clé maître conservée hors de la base. Une copie de la base, à elle seule, ne livre donc ni ces textes ni l'identité des personnes auxquelles ils appartiennent. Cette protection s'arrête à notre base : votre adresse reste connue des prestataires listés au 4.1, qui en ont besoin pour facturer ou pour vous écrire. Mots de passe stockés hachés, cookies de session HttpOnly et Secure, protection CSRF, isolation réseau de la base de données, sauvegardes chiffrées, journalisation et supervision, accès aux serveurs restreint et authentifié par clé. Aucun système n'étant infaillible, une sécurité absolue ne peut être garantie.
8. Mineurs
Le Service n'est pas destiné aux personnes de moins de 15 ans et ne collecte pas sciemment leurs données.
9. Modifications de cette politique
Cette politique peut être mise à jour pour refléter une évolution du Service ou de la réglementation. La date de dernière mise à jour figure en tête de document. En cas de changement substantiel, les utilisateurs sont informés par e-mail ou par une notification dans l'application.
10. Contact
Pour toute question relative à cette politique ou au traitement de vos données : contact@tulyne.com.