Politique de confidentialité

1.Qui est le responsable du traitement

En bref : l'exploitant de Groworth, en Lettonie, est responsable de tes données, et tu peux lui écrire par e-mail pour toute question sur tes données.

Le responsable du traitement au sens du règlement général sur la protection des données (UE) 2016/679 (ci-après « RGPD » ou « le règlement ») est :

SIA Appmeway, n° d'immatriculation 40103588483, Mēness iela 16-8, Riga, LV-1013, Lettonie

Ci-après « nous » ou « Groworth ». Le service est accessible à l'adresse groworth.xyz. Si tu as une question sur cette politique ou sur le traitement de tes données, écris à support@groworth.xyz — nous répondons sans délai, au plus tard dans un délai d'un mois.

2.Quelles données nous traitons

En bref : ton adresse e-mail, une empreinte (hash) de ton mot de passe et les données financières que tu saisis toi-même. Nous ne collectons rien en cachette — tout ce qui se trouve dans notre base de données, soit tu l'as saisi, soit c'est techniquement nécessaire au fonctionnement de ton compte.

2.1. Données du compte

• Adresse e-mail — l'identifiant de ton compte, nécessaire pour te connecter et pour récupérer ton mot de passe.
• Empreinte du mot de passe (bcrypt) — ton mot de passe n'est à aucun moment enregistré en clair. Nous ne le connaissons pas et ne pouvons pas le retrouver ; si tu l'oublies, nous en attribuons un nouveau au lieu de te rappeler l'ancien.
• Secret de l'authentification à deux facteurs (2FA) — si tu l'actives ; enregistré chiffré.

2.2. Données démographiques facultatives

Lors de la première configuration (onboarding), tu peux indiquer ton genre et ta tranche d'âge. Les deux questions sont facultatives — tu peux les passer ou choisir « ne pas répondre », et l'application fonctionne exactement de la même façon. Nous utilisons ces données uniquement dans des statistiques anonymes et agrégées (par exemple « combien d'utilisateurs ont entre 25 et 34 ans »), jamais individuellement.

2.3. Données financières que tu saisis toi-même

Tout ce qui se trouve dans l'application est ton propre travail ou ta décision directe — nous ne recevons rien sans ton intervention :

• transactions (montants, dates, descriptions, notes) ;
• catégories et limites de budget ;
• ton objectif financier et son montant ;
• comptes et leurs soldes ;
• actifs et leur valeur (biens immobiliers, épargne, etc.) ;
• passifs (crédits, leur capital restant dû et leurs mensualités) ;
• positions du portefeuille (titres, crypto-actifs, leurs quantités et leur prix d'acquisition) ;
• adresses publiques de portefeuilles crypto, si tu en ajoutes ;
• données de relevés de compte importées au format CSV — elles sont traitées dans ton navigateur, et seules les lignes que tu confirmes pour l'import atteignent le serveur ;
• transactions issues de la connexion bancaire — uniquement si tu connectes toi-même une banque et autorises l'accès dans ta propre banque en ligne (comment cela fonctionne — voir 6.1.1).

2.4. Données techniques et données de session

• Entrées de session — pour chaque appareil depuis lequel tu te connectes : le type d'appareil et l'heure de la dernière activité. Ainsi, tu vois tes sessions actives dans les paramètres et tu peux fermer chacune d'elles séparément.
• Paramètres — le thème que tu as choisi, ta langue et des préférences similaires.
• Compteurs de limitation des requêtes — des compteurs de requêtes de courte durée qui protègent les formulaires de connexion contre les attaques par devinette de mot de passe.

2.5. Ce que nous n'avons PAS

• Nous n'avons pas tes identifiants de banque en ligne et ne te les demanderons jamais.
• Nous n'avons pas tes numéros de carte — les données de carte vont uniquement au prestataire de paiement (voir section 6), jamais à notre serveur.
• Nous ne créons pas de profils publicitaires et n'enregistrons pas d'historique de navigation.

3.Finalités et bases juridiques

En bref : nous traitons des données uniquement pour que l'application fonctionne, reste sûre et que la loi soit respectée. Pour le marketing — uniquement avec ton consentement distinct.

Nous ne traitons jamais tes données pour les vendre, les louer ou les transmettre à des annonceurs. Nous n'avons pas cette finalité et ne l'aurons jamais.

4.Comment tes données sont protégées — en toute transparence

En bref : les champs personnels sont chiffrés, ton mot de passe n'est jamais enregistré en clair, et la base de données n'est pas accessible depuis Internet. Nous pouvons techniquement accéder aux données — et nous le disons clairement, au lieu de prétendre le contraire.

4.1. Chiffrement

• Les champs personnels — intitulés des transactions, notes, adresses de portefeuilles et contenus libres similaires — sont enregistrés dans la base de données avec un chiffrement au niveau du champ (Fernet, un procédé symétrique basé sur AES-128 avec contrôle d'intégrité).
• Les identifiants de la connexion bancaire — l'IBAN du compte et les identifiants de la session d'accès — sont enregistrés chiffrés au niveau du champ avec le même procédé.
• Les montants et les dates sont enregistrés en clair — volontairement : sans eux, aucun calcul ne fonctionnerait, ni les totaux du budget ni les prévisions de dettes. Un montant sans contexte (« −23,40 ») ne révèle pas à lui seul à quoi il correspondait.
• La clé est conservée sur le serveur séparément des sauvegardes de la base de données — une sauvegarde seule, sans la clé, ne révèle pas les champs personnels.
• Toutes les données entre ton navigateur et le serveur sont transmises exclusivement par une connexion HTTPS chiffrée.

4.2. Ce que nous n'affirmons volontairement PAS

Beaucoup de services affirment : « Nous ne pouvons pas accéder à tes données. » Nous ne dirons pas cela, parce que ce serait faux. La clé se trouve sur le serveur — sinon la récupération du mot de passe par e-mail ne fonctionnerait pas, et tes données seraient définitivement perdues avec un mot de passe oublié. Cela signifie que le responsable du traitement a techniquement accès aux données. Notre engagement : seul le responsable du traitement accède personnellement au contenu des données, et uniquement à des fins d'assistance, à la demande de l'utilisateur lui-même — jamais par curiosité, pour des analyses ou pour le marketing. La promesse exacte est : chiffrées, jamais vendues, supprimables en un clic — ni plus, ni moins.

4.3. Mots de passe et accès

• Les mots de passe sont enregistrés uniquement sous forme d'empreintes bcrypt.
• L'authentification à deux facteurs (TOTP) est disponible — nous te recommandons de l'activer.
• Les sessions sont liées à un appareil ; tu peux fermer chacune d'elles séparément dans les paramètres.
• Les formulaires de connexion sont protégés par des limitations de requêtes qui stoppent les attaques par devinette de mot de passe.
• Dans ses réponses lors de la connexion et de la récupération du mot de passe, le système ne révèle pas si un compte existe avec une adresse e-mail donnée.

4.4. Infrastructure

• La base de données n'est pas accessible depuis Internet — seule l'application elle-même, depuis le même serveur, peut y accéder.
• L'application fonctionne dans un environnement restreint, sans droits d'administrateur.
• Chaque action d'administration dans le système est inscrite dans un journal d'audit.
• Le panneau d'administration est techniquement séparé des données financières des utilisateurs — il ne voit que des chiffres agrégés, jamais de contenu.

5.Où se trouvent physiquement tes données

En bref : sur un serveur en Allemagne, dans l'Union européenne. Aucune donnée n'est transférée hors de l'UE/de l'EEE.

Toutes les données de Groworth sont enregistrées sur un serveur de Hetzner Online GmbH en Allemagne — donc dans l'Union européenne, où le RGPD s'applique directement. Aucune donnée n'est transférée vers des pays hors de l'UE/de l'EEE. Si cela devait un jour changer, nous mettrions d'abord à jour cette politique et nous l'annoncerions (voir section 13).

6.À qui nous transmettons des données

En bref : à personne en dehors de nos sous-traitants techniques — l'hébergement dans l'UE, l'envoi des e-mails et, uniquement si tu connectes toi-même une banque, la connexion pour les données bancaires. Les sources de prix ne voient que des symboles d'instruments. Tes données ne sont jamais vendues — à aucun moment, à personne, sous aucune forme.

6.1. Sous-traitants actuels

6.1.1. La connexion pour les données bancaires — comment elle fonctionne

Connecter une banque est un choix, pas un réglage par défaut — sans elle, Groworth fonctionne entièrement avec la saisie manuelle et l'import CSV. Si tu connectes une banque :

• Tu donnes ton consentement auprès de la banque elle-même. Tu es redirigé vers ta banque pour l'autorisation (Smart-ID ou l'application de la banque). Groworth ne voit jamais le mot de passe de ta banque en ligne — l'autorisation a lieu sur le site de la banque, et nous recevons uniquement un accès en lecture à la liste des transactions.
• Ce que nous recevons : les transactions du compte (date, montant, devise, nom du bénéficiaire, libellé) et l'identifiant du compte (IBAN). L'IBAN et les identifiants de session sont enregistrés chiffrés dans notre base de données (voir 4.1). Nous ne pouvons pas effectuer de paiements — l'accès est en lecture seule (AISP) ; l'initiation de paiement n'a pas été demandée et n'est pas possible.
• Base juridique : exécution du contrat (art. 6, par. 1, point b) RGPD) — la lecture de tes transactions est une fonction que tu demandes toi-même. L'intermédiaire est Enable Banking Oy, un prestataire de services d'information sur les comptes agréé (AISP) en Finlande, UE.
• Le consentement expire de lui-même, au plus tard après 180 jours (une limite de la PSD2) — ensuite, la banque doit être autorisée à nouveau. Tu peux le retirer à tout moment : Paramètres → Banques → « Déconnecter », ou directement dans ta banque en ligne. Si tu coupes la connexion, les transactions déjà importées restent dans ton compte — ce sont tes données, et elles peuvent être supprimées comme n'importe quelle autre entrée.
• Les lignes importées ne deviennent pas vraies d'elles-mêmes. Chaque transaction bancaire arrive non confirmée et attend ta confirmation — la catégorie, c'est toi qui la choisis.

6.2. Sources de données de prix — aucune donnée personnelle

Pour afficher les prix actuels dans ton portefeuille, le serveur interroge régulièrement des sources de prix publiques : CoinGecko (crypto-actifs), DexScreener (jetons de plateformes d'échange décentralisées — par adresse de contrat), Yahoo Finance (titres) et la Banque centrale européenne (taux de change). Seuls des symboles d'instruments ou des adresses de contrats de jetons sont envoyés à ces sources (par exemple « BTC », « VWCE » ou une adresse de jeton) — jamais ton nom, ton adresse e-mail, des quantités ou quoi que ce soit d'autre qui t'identifie. Le serveur récupère chaque prix une seule fois et le partage avec tous les utilisateurs ; il est donc impossible de déduire des requêtes quel utilisateur détient quel actif.

6.2.a. Adresses publiques de portefeuilles crypto

Si tu ajoutes dans le portefeuille l'adresse publique d'un portefeuille crypto, nous l'enregistrons chiffrée comme les autres champs personnels et interrogeons régulièrement des nœuds publics de blockchain (Solana RPC, Ethereum RPC, Blockstream Bitcoin API) sur son solde. Ces nœuds reçoivent uniquement l'adresse elle-même — elle est de toute façon publique sur la blockchain. Nous ne demandons jamais de clés privées ni de phrases de récupération (seed), et elles n'arrivent jamais dans cette application. Tu peux supprimer l'adresse à tout moment, et les soldes récupérés disparaissent avec elle.

6.3. Traitement des paiements — Stripe

• Stripe (Stripe Payments Europe, Ltd., Irlande) — le prestataire de paiement et un responsable du traitement indépendant pour les données de paiement. Ton numéro de carte n'atteint jamais notre serveur — seul Stripe le voit, dans son propre environnement de paiement. De Stripe, nous recevons uniquement les identifiants du client et de l'abonnement, le montant du paiement et son statut.

6.4. Quand la loi l'exige

Nous ne pouvons communiquer des données aux autorités que si le droit applicable l'exige et que la demande repose sur une base juridique. Sauf si la loi l'interdit, nous t'informons d'une telle demande.

6.5. Ce que nous ne faisons pas

• Nous ne vendons ni ne louons de données — ni individuelles, ni agrégées.
• Nous n'envoyons aucune donnée à des réseaux publicitaires ou à des courtiers en données.
• Nous n'affichons pas de publicité et n'intégrons pas de traceurs publicitaires.

7.Cookies et suivi

En bref : il n'y a aucun cookie de suivi — ni les nôtres, ni ceux de tiers. Le seul cookie est ton choix de langue, et il est strictement nécessaire ; c'est pourquoi il n'y a pas de bannière de cookies. Ta session se trouve dans le stockage local de ton navigateur, et les statistiques de visite sont anonymes, sans adresses IP.

7.1. Cookies

Groworth utilise un cookie — lang — et uniquement si tu choisis toi-même une langue (LV/EN) sur la page d'accueil. Il enregistre deux lettres (« lv » ou « en »), reste 12 mois et sert un seul but : ouvrir la page dans ta langue la prochaine fois. C'est un cookie fonctionnel, pas un cookie de suivi, et la loi n'exige pas de consentement pour lui — c'est pourquoi nos pages n'ont pas de bannière de cookies. Il n'y a aucun cookie publicitaire, d'analyse ou de tiers.

7.2. Stockage local du navigateur (localStorage)

Après la connexion, ta clé de session est conservée dans le stockage local du navigateur (localStorage) sur ton appareil. C'est techniquement nécessaire pour que tu restes connecté — sans elle, l'application ne peut pas fonctionner. La clé n'est envoyée nulle part ailleurs qu'à notre propre serveur, et elle disparaît quand tu te déconnectes ou que tu effaces les données de ton navigateur.

7.3. Statistiques de visite

Nous comptons les visites de la page d'accueil de deux façons, et les deux sont anonymes. Premièrement, un total quotidien anonyme — un seul nombre dans notre base de données. Deuxièmement, Umami, un outil de statistiques de visite open source qui fonctionne sur notre propre serveur, n'utilise pas de cookies et n'enregistre aucune adresse IP : il voit combien de personnes ont ouvert quelle page et depuis quel pays, mais pas qui tu es, et il ne peut pas relier deux de tes visites entre elles. Pendant l'inscription, il note de la même façon anonyme jusqu'à quelle étape une personne est arrivée (par exemple « questionnaire, étape 3 »), sans e-mail, nom ni montants ; après l'inscription, il ne mesure rien dans l'application. Rien ne quitte notre serveur. Il n'y a ni Google Analytics ni aucun autre outil d'analyse de tiers sur nos pages.

7.4. Protection contre les robots

Pour protéger les formulaires contre les robots, nous utilisons une énigme mathématique que ton navigateur résout lui-même (« preuve de travail ») — aucun service tiers, aucun suivi, aucune énigme en images à résoudre. Aucune donnée te concernant ne nous parvient de cette façon.

8.Inscription par e-mail sur la page d'accueil

En bref : si tu laisses ton adresse e-mail sur la page d'accueil, nous t'envoyons une seule chose — les annonces de Groworth. Rien d'autre. Des e-mails marketing uniquement si tu y consens séparément.

Sur la page d'accueil, tu peux t'inscrire sur la liste e-mail en ne donnant rien d'autre qu'une adresse e-mail. Nous utilisons cette adresse dans un seul but : t'envoyer les annonces de Groworth. La page d'accueil promet « Nous ne t'enverrons rien d'autre » — et cette promesse nous engage aussi juridiquement : tous les autres e-mails (nouveautés, offres) nécessiteraient ton consentement distinct et librement donné, que nous demanderions ouvertement et que nous ne présumerions jamais tacitement.

Tu peux quitter la liste à tout moment en écrivant à support@groworth.xyz ou en utilisant le lien dans l'e-mail — l'adresse est alors supprimée. Pour les durées de conservation, voir la section 9.

9.Combien de temps nous conservons les données

En bref : aussi longtemps que ton compte est actif. Si tu supprimes ton compte, les données disparaissent immédiatement de la base de données de travail et des sauvegardes chiffrées au plus tard dans un délai de 30 jours.

10.Tes droits et comment les exercer

En bref : pour chaque droit prévu par le RGPD, nous avons un bouton concret, pas un formulaire avec délai d'attente. Export — un clic. Suppression — un clic. Rectification — tout se modifie directement dans l'application.

Le RGPD te garantit des droits sur tes données. Pour chacun d'eux, nous avons intégré un mécanisme directement dans l'application, pour que tu n'aies jamais à écrire de demande formelle pour les exercer :

11.Décisions automatisées et profilage

En bref : aucun algorithme ne prend de décisions ayant des effets juridiques pour toi. Les XP, les niveaux et les prévisions sont des calculs faits avec tes propres chiffres, pas un jugement sur toi.

Groworth ne prend pas de décisions automatisées au sens de l'art. 22 RGPD — c'est-à-dire de décisions qui produiraient des effets juridiques à ton égard ou qui t'affecteraient de manière significative de façon similaire. Les calculs de l'application (XP, niveaux, prévisions de remboursement des dettes, totaux du budget) sont de simples calculs faits avec des données que tu as saisies toi-même, et ils ne servent qu'à toi, à titre d'information. Nous ne créons pas de profils d'utilisateurs pour la publicité, l'évaluation de solvabilité ou toute autre forme de sélection.

12.Limite d'âge

En bref : Groworth est destiné aux adultes — à partir de 18 ans.

Le service s'adresse aux personnes à partir de 18 ans, et en t'inscrivant, tu confirmes que tu es majeur. Nous ne collectons pas sciemment de données sur des mineurs. Si nous apprenons qu'un compte a été créé par une personne de moins de 18 ans, le compte et ses données sont supprimés.

13.Modifications de cette politique

En bref : nous annonçons les modifications importantes au moins 14 jours à l'avance par e-mail. Sur les points qui comptent, il n'y aura pas de modifications discrètes et inaperçues.

Cette politique peut changer — par exemple si les sous-traitants ou les fonctions de l'application changent. Les modifications importantes — celles qui changent l'étendue des données traitées, les sous-traitants ou tes droits — sont annoncées au moins 14 jours avant leur entrée en vigueur à l'adresse e-mail de ton compte. La date d'entrée en vigueur et le numéro de chaque version figurent en haut et en bas de la page. Les corrections rédactionnelles (fautes de frappe, précisions de formulation sans changement de fond) peuvent être faites sans annonce distincte.

14.Contact et réclamations

En bref : écris-nous — nous répondons au plus tard dans un délai d'un mois. Si la réponse ne te satisfait pas, tu peux à tout moment t'adresser à l'autorité de protection des données de Lettonie (Datu valsts inspekcija).

Pour toute question sur cette politique et sur le traitement de tes données :

• Responsable du traitement : SIA Appmeway, n° d'immatriculation 40103588483, Mēness iela 16-8, Riga, LV-1013, Lettonie
• E-mail : support@groworth.xyz
• Autorité de contrôle : autorité de protection des données de Lettonie (Datu valsts inspekcija), dvi.gov.lv