Politique de confidentialité

Qui exploite Zidi

Zidi est exploité par bgato. L’entité juridique responsable du traitement est Bagadi ALNOUR, 25 Rue du Capitaine Ferber, 59000 Lille, France. Pour toute question sur vos données, écrivez à zidi@bgato.com.

Ce que nous conservons

Compte : votre adresse e-mail, les informations de votre profil et une empreinte bcrypt de votre mot de passe. Le mot de passe lui-même n’est jamais conservé.
Données de vos défis : paramètres des défis, actions, opportunités, revenus, paiements, sources de revenus et rituels. Les montants sont ceux que vous saisissez. Zidi ne se connecte pas à votre banque.
Groupes : les groupes que vous créez ou rejoignez. Les autres membres voient votre progression en pourcentage ; les montants restent privés.
Signalements et blocages : si vous signalez un groupe ou un membre, nous conservons le signalement, votre note facultative et son auteur, et les envoyons à notre boîte d’assistance. Si vous bloquez un membre, nous conservons ce choix. L’autre personne n’est pas informée.
Notifications : vos préférences, un jeton push Expo et un identifiant d’installation généré par l’application, utilisés uniquement pour joindre le bon appareil.
Sécurité : enregistrements de session et métadonnées de limitation de débit, qui protègent la connexion.
Rapports d’erreur : quand l’application rencontre une erreur non gérée, elle envoie à notre propre API le message d’erreur, la pile d’appels, la version de l’application et, si vous êtes connecté, votre identifiant utilisateur. Ces informations vont dans nos journaux serveur et ne sont jamais enregistrées en base de données.

Ce que nous ne collectons pas

L’application ne contient ni SDK d’analyse, ni identifiant publicitaire, ni traceur tiers. Nous ne collectons ni votre position, ni vos contacts, ni vos données de santé, ni votre historique de navigation, et nous ne vendons pas vos données.

Le déverrouillage par Face ID ou empreinte digitale est géré par votre appareil. Vos données biométriques n’atteignent jamais l’application ni nos services. L’application conserve seulement, sur votre appareil, le fait que vous avez activé le verrouillage.

Pourquoi nous les utilisons

Pour fournir le service auquel vous vous êtes inscrit (contrat) : votre compte, la connexion, les e-mails de vérification et de mot de passe, les données de vos défis, les fonctions de groupe.
Pour le sécuriser et le faire fonctionner (intérêt légitime) : limitation de débit, enregistrements de session, rapports d’erreur.
Rappels (votre choix) : les notifications n’arrivent que si vous les autorisez sur votre appareil. Les heures calmes sont par défaut de 22 h à 8 h, il y en a au plus deux par jour, et elles s’arrêtent d’elles-mêmes après dix rappels non ouverts.

Ce sont les bases légales sur lesquelles nous nous appuyons. Vous pouvez retirer votre consentement aux rappels à tout moment, dans l’application ou dans les réglages de votre appareil.

Qui les traite pour nous

Amazon Web Services : hébergement de l’API (ECS), base de données (RDS), diffusion de contenu (CloudFront) et e-mails transactionnels (SES).
Expo : relaie les notifications push vers Apple Push Notification service et Firebase Cloud Messaging.
Apple iCloud Mail : héberge zidi@bgato.com et détient donc ce que vous envoyez à l’assistance.

L’API et la base de données fonctionnent dans la région AWS de Paris (eu-west-3). CloudFront répond depuis le point le plus proche de vous. L’envoi des e-mails, Expo, Apple et Google peuvent traiter des données hors de l’UE, notamment aux États-Unis. Lorsque des données quittent l’UE, nous nous appuyons sur les garanties prévues par les conditions de traitement de ces prestataires, comme les clauses contractuelles types de l’UE ou le cadre de protection des données UE-États-Unis.

Combien de temps nous les conservons

Les données de vos défis sont conservées aussi longtemps que votre compte. Cela inclut l’historique des revenus corrigés et des paiements annulés, qui explique comment un chiffre a changé. Les données techniques sont supprimées selon ce calendrier :

Enregistrements de limitation de connexion réinitialisés : 1 jour après la réinitialisation.
Sessions expirées, jetons de réinitialisation et de vérification : supprimés à l’expiration.
Jetons push signalés comme désinscrits : 30 jours après leur désactivation.
Historique d’envoi des rappels : 90 jours.
Journaux serveur, y compris les rapports d’erreur : jusqu’à 2 mois.
Sauvegardes de la base de données : jusqu’à 6 mois.

Supprimer votre compte

Vous pouvez supprimer votre compte dans l’application à tout moment. Cela retire votre compte et tout ce qui y est lié de la base de données active. Voir comment supprimer votre compte.

Les données supprimées peuvent subsister dans les sauvegardes de la base de données jusqu’à 6 mois et dans les journaux serveur jusqu’à 2 mois, jusqu’à leur expiration. Nous ne conservons aucune donnée financière après la suppression.

Vos droits

Vous pouvez demander à accéder à vos données, à les rectifier, à les supprimer ou à en recevoir une copie, limiter leur traitement ou vous y opposer, et retirer votre consentement. Écrivez à zidi@bgato.com. Vous pouvez corriger la plupart des données, supprimer votre compte et exporter vos données dans un fichier JSON directement dans l’application.

Vous pouvez aussi saisir votre autorité de protection des données. Notre autorité chef de file est la CNIL, en France.

Sécurité

Les échanges avec notre API et la base de données sont chiffrés par TLS. Les mots de passe sont hachés. Si un incident touche vos données, nous vous en informerons lorsque la loi l’exige.

Modifications

Nous mettrons cette page et sa date à jour lorsque ces pratiques changeront.