Cette politique explique comment les données personnelles sont traitées dans AskFinance AI, pourquoi elles sont utilisées, avec qui elles peuvent être partagées et comment exercer vos droits.
1. Responsable du traitement et contact
Le responsable du traitement est Gabriel Kreutser, personne physique et éditeur non professionnel d’AskFinance AI. AskFinance AI est le nom du service et non celui d’une société.
Pour toute question ou demande relative à vos données personnelles, écrivez à gabriel.kreutser.etu@univ-lille.fr.
2. Personnes concernées et périmètre
Cette politique concerne les visiteurs du site, les titulaires de compte, les membres invités dans un espace et les personnes dont les informations sont saisies par un utilisateur, par exemple un client associé à un encaissement attendu. Lorsqu’un utilisateur importe ou saisit des données concernant un tiers, il doit disposer d’une base légitime et informer ce tiers lorsque la loi l’exige.
3. Données collectées
AskFinance peut traiter les nom, prénom, adresse électronique, fournisseur de connexion et identifiant d’authentification ; les espaces, rôles, invitations et actions de collaboration ; les noms de comptes, soldes, transactions, libellés, catégories, budgets, prévisions, dépenses partagées, encaissements, informations d’entreprise et fichiers CSV ; les questions, réponses et historiques Yassia ; ainsi que les données techniques nécessaires à la sécurité et au fonctionnement, telles que session, adresse IP, navigateur, journaux, langue, thème et résultat du contrôle anti-robot. AskFinance ne demande actuellement aucun identifiant bancaire et ne réalise aucune synchronisation bancaire.
4. Source des données
Les données proviennent principalement de l’utilisateur lorsqu’il crée son compte, configure un espace, importe un fichier ou utilise une fonctionnalité. Elles peuvent aussi provenir d’un autre membre autorisé du même espace, du fournisseur de connexion choisi par l’utilisateur ou être produites par le service à partir des opérations réalisées, par exemple un indicateur, une prévision ou une trace d’audit.
5. Finalités et bases légales
Les données de compte, d’espace et financières sont traitées pour exécuter les conditions d’utilisation et fournir les fonctionnalités demandées. La sécurisation des accès, la prévention des abus, Turnstile, les journaux techniques, l’audit et le diagnostic reposent sur l’intérêt légitime à protéger le service et ses utilisateurs. Les traitements imposés par un texte reposent sur l’obligation légale. Une communication facultative ou un traceur non nécessaire reposerait sur le consentement lorsqu’il est requis ; aucun outil publicitaire ni mesure d’audience non essentielle n’est actuellement intégré.
6. Caractère nécessaire des données
L’adresse électronique et les éléments d’authentification sont nécessaires pour créer et sécuriser un compte. Les autres informations fonctionnelles sont fournies selon les outils utilisés. Sans les données requises pour une fonctionnalité, celle-ci ne peut pas fonctionner. L’utilisation de Google OAuth et de Yassia reste facultative.
7. Yassia et intelligence artificielle
Lorsque l’utilisateur sollicite Yassia, sa question, les instructions du système et les éléments issus des outils financiers nécessaires à la réponse sont transmis à l’API Google Gemini. Les appels peuvent être associés à un identifiant d’interaction afin de conserver le contexte entre les messages. Il est recommandé de ne pas inclure d’information inutile ou particulièrement sensible dans une question. Les réponses ne produisent aucun effet juridique automatique et doivent être vérifiées par l’utilisateur.
8. Partage dans les espaces
Les données d’un espace peuvent être consultées ou modifiées par ses membres selon leur rôle et les règles d’accès. Le propriétaire et les administrateurs gèrent ces autorisations. Les conversations Yassia sont limitées à leur auteur lorsque les règles de l’espace le prévoient. L’utilisateur doit vérifier les membres présents avant d’ajouter des données concernant des tiers.
9. Destinataires et prestataires
Les données sont accessibles à Gabriel Kreutser dans la mesure nécessaire à l’administration et au support, aux membres autorisés d’un espace et aux prestataires suivants, dans la limite de leur mission :
- Vercel Inc. : hébergement et diffusion de l’interface web
- Render Services, Inc. : hébergement de l’API et des traitements serveur
- Supabase Pte. Ltd. : authentification, base de données, contrôle des accès et stockage privé
- Google LLC (Gemini API et OAuth) : connexion Google lorsque choisie et traitement des requêtes Yassia par Gemini
- Cloudflare, Inc. (Turnstile) : détection des robots et protection des formulaires de connexion et d’inscription
AskFinance ne vend ni ne loue les données personnelles et ne les transmet pas à des annonceurs.
10. Transferts internationaux
Certains prestataires sont établis ou peuvent traiter des données hors de l’Espace économique européen, notamment aux États-Unis ou à Singapour. Selon le service et la région configurée, ces transferts sont encadrés par une décision d’adéquation applicable, des clauses contractuelles types ou les autres garanties proposées par le prestataire. Les liens ci-dessous permettent de consulter leurs informations et garanties actualisées.
11. Sécurité
AskFinance utilise notamment l’authentification Supabase, des politiques de sécurité au niveau des lignes, des permissions par espace et par rôle, un bucket privé pour les imports, une vérification côté serveur et Turnstile contre les abus. Les fichiers CSV sont supprimés du stockage de transit après traitement, en succès comme en échec. Malgré ces mesures, aucun système ne peut garantir une sécurité absolue ; tout accès suspect doit être signalé rapidement.
12. Durées de conservation
- Fichiers CSV bruts : uniquement pendant le transfert et le traitement, puis suppression du bucket privé après succès ou échec.
- Compte, profil et données financières : pendant l’existence du compte ou de l’espace concerné, jusqu’à leur suppression par un utilisateur autorisé ou à la fermeture du compte.
- Conversations Yassia et identifiants d’interaction : pendant l’existence de la conversation, de l’espace ou du compte, auxquels s’ajoutent les durées techniques appliquées par Google Gemini.
- Rôles, validations et journal d’audit : pendant l’existence de l’espace et aussi longtemps qu’ils sont nécessaires à la sécurité, à la traçabilité ou à la défense de droits.
- Sessions, CAPTCHA et journaux d’infrastructure : pendant leur durée de validité ou selon les durées opérationnelles de sécurité configurées par Supabase, Cloudflare, Vercel et Render.
Lorsqu’une suppression est demandée, les données sont retirées des systèmes actifs. Des copies résiduelles peuvent subsister temporairement dans les sauvegardes jusqu’à leur rotation par les prestataires ; elles ne sont pas réutilisées pour fournir le service. Certaines données peuvent être archivées séparément si une obligation légale ou la défense d’un droit l’exige.
13. Décision automatisée
AskFinance calcule des indicateurs, alertes, catégories proposées et prévisions. Ces traitements servent à informer l’utilisateur mais ne déclenchent pas seuls une décision produisant un effet juridique ou l’affectant de manière similaire. Les actions sensibles restent initiées ou validées par un utilisateur autorisé.
14. Cookies et stockage local
Le service utilise des cookies ou mécanismes équivalents strictement nécessaires à l’authentification, à la sécurité, au choix de l’espace, à la langue et au thème. Cloudflare Turnstile traite des signaux techniques afin de distinguer les utilisateurs légitimes des robots. AskFinance n’utilise actuellement ni cookie publicitaire ni outil de profilage commercial. Si des traceurs facultatifs sont ajoutés, une information et un choix seront proposés avant leur dépôt lorsque la loi l’exige.
15. Mineurs
Le service s’adresse en priorité aux personnes majeures. Un mineur ne doit créer un compte qu’avec l’autorisation de son représentant légal. Si des données ont été fournies sans autorisation appropriée, leur suppression peut être demandée à l’adresse de contact indiquée ci-dessus.
16. Évolution de la politique
Cette politique peut être mise à jour pour refléter une évolution du service, des prestataires ou du droit applicable. La date de mise à jour figure en haut de la page. Toute modification substantielle fera l’objet d’une information adaptée lorsque cela est requis.
17. Vos droits
Selon le traitement et sa base légale, vous pouvez demander l’accès à vos données, leur rectification, leur effacement, leur portabilité, la limitation du traitement ou vous opposer à un traitement fondé sur l’intérêt légitime. Vous pouvez retirer un consentement à tout moment sans remettre en cause les traitements antérieurs. Une preuve d’identité peut être demandée uniquement en cas de doute raisonnable. Une réponse est apportée dans les délais prévus par le RGPD, en principe sous un mois.
Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL).