Légal

Politique de confidentialité

Version 2026-09-14 · publiée le 14 septembre 2026

Politique de confidentialité de l'application Tzedaka

Date d'entrée en vigueur : la version applicable et sa date figurent en tête du document lorsque vous l'ouvrez depuis l'application.

Cette politique explique quelles données personnelles l'application Tzedaka collecte, pourquoi, avec qui elles sont partagées, combien de temps elles sont conservées et comment vous pouvez agir sur elles. Elle est écrite pour être comprise par un donateur, pas par un juriste. Si un passage vous semble obscur, écrivez-nous : nous vous répondrons.

1. Qui est responsable de vos données

Le responsable du traitement de vos données personnelles est :

Dénomination : MONTPELLIER OLAMI
Forme juridique : association déclarée, régie par la loi du 1er juillet 1901
Date de création : 31 mai 2021
Activité déclarée : 94.99Z — autres organisations fonctionnant par adhésion volontaire
SIREN : 900 500 844
SIRET du siège : 900 500 844 00015
Numéro RNA : W343029032
Siège social : 23 quai des Tanneurs, 34090 Montpellier, France
Adresse de contact : montpellierolami@gmail.com
Téléphone : 07 59 69 35 61

Une seule structure, un seul nom : MONTPELLIER OLAMI au registre national, « Olami Montpellier » sur les écrans de l'application. C'est la même association, et c'est elle qui reçoit la totalité de vos dons.

L'association n'a pas désigné de délégué à la protection des données. Pour toute question relative à vos données, écrivez à montpellierolami@gmail.com : c'est la même adresse que celle indiquée ci-dessus, et elle est relevée par l'association.

2. Ce que fait l'application, en une page

Comprendre le fonctionnement de l'application aide à comprendre les données qu'elle traite.

Vous choisissez un montant par geste et un nombre de gestes visé par jour. C'est l'écran « Mon rythme ». Ces deux réglages sont des points de départ : vous pouvez choisir un montant plus élevé au moment d'un geste, et dépasser votre objectif du jour. Il n'existe plus de plafond mensuel à régler. Tant qu'une autorisation porte une version du mandat de prélèvement antérieure au 11 septembre 2026, les réglages qu'elle porte restent des limites, comme son texte le disait : les gestes du donateur gardent le montant de son rythme, l'objectif quotidien signé reste le nombre maximal de gestes d'une journée, et le total du mois ne peut pas dépasser le plafond théorique de cet accord (montant d'un geste multiplié par l'objectif quotidien, multiplié par le nombre de jours du mois) ni, si cette autorisation en fixait un, son plafond mensuel. Le plafond fixé était une option, que toutes les autorisations antérieures ne portent pas ; les autres limites valent pour toutes. Accepter une version du mandat datée du 11 septembre 2026 ou postérieure les lève toutes.
Chaque geste est validé par vous, manuellement, par un appui maintenu. Aucune somme n'est débitée à ce moment-là. Vous disposez ensuite d'environ 30 secondes pour annuler ce geste.
Vos gestes s'additionnent dans un relevé. Dès que ce total atteint le seuil de prélèvement, soit 10 €, le relevé est clôturé et vous êtes prélevé du montant accumulé. Il peut donc y avoir plusieurs prélèvements dans un même mois. Un relevé resté sous le seuil est clôturé au changement de mois, ou dans les premiers jours du mois suivant, et prélevé pour ce qu'il porte. Ce prélèvement au seuil vaut pour qui a accepté une version du mandat datée du 11 septembre 2026 ou postérieure ; tant qu'une autorisation porte une version antérieure, les gestes ne sont prélevés qu'une fois par mois, après la clôture du mois, et c'est cette date-là qui décide, non le fait qu'une mise à jour soit présentée.
Le prélèvement intervient environ 24 heures après chaque clôture, et un e-mail vous est envoyé au moment de la clôture.
Si le montant d'un relevé clôturé est inférieur à 0,50 €, rien n'est prélevé : la somme est reportée sur le relevé suivant.
Le bénéficiaire des dons est unique et n'est pas sélectionnable.
Vous pouvez à tout moment mettre votre rythme en pause, le modifier, retirer votre autorisation de prélèvement, supprimer votre carte, télécharger vos données et supprimer votre compte, directement depuis l'application.
L'application peut vous envoyer des rappels programmés sur votre appareil et des notifications à distance liées à vos paiements.
Les horaires du calendrier juif affichés dans l'application proviennent du service Hebcal, interrogé par notre serveur.

3. Vos données bancaires ne passent jamais par nous

C'est le point le plus important de ce document.

Le numéro de votre carte bancaire, sa date d'expiration complète et son cryptogramme ne sont jamais transmis à l'association, jamais affichés par notre serveur et jamais enregistrés dans notre base de données. Ces informations sont saisies dans un composant fourni par notre prestataire de paiement, Stripe, et transmises directement à Stripe.

Ce que l'application conserve de votre moyen de paiement se limite à :

la marque de la carte (par exemple « Visa ») ;
les quatre derniers chiffres ;
le mois et l'année d'expiration ;
l'identifiant technique attribué par Stripe à ce moyen de paiement.

Ces quatre éléments servent uniquement à vous permettre de reconnaître votre carte dans l'application et à vous prévenir avant qu'elle n'expire. Ils sont effacés lorsque vous supprimez votre compte.

4. Le détail : quelles données, pour quoi faire, pendant combien de temps

Pour chaque chose que fait l'application, vous trouverez ci-dessous trois réponses : ce que nous enregistrons, à quel titre le droit nous le permet — la « base légale », au sens de l'article 6 du règlement général sur la protection des données (RGPD) — et pendant combien de temps ces données sont conservées.

Comment lire les durées

Les durées écrites dans cette section sont réellement appliquées. Chaque nuit, un traitement automatique parcourt nos données et efface celles qui ont dépassé leur durée. Ce n'est pas une intention pour plus tard : c'est un programme qui s'exécute tous les jours, et chacun de ses passages est inscrit dans notre journal d'audit, avec le nombre de lignes effacées.

Ces durées sont des réglages de l'association, et non des valeurs figées dans le programme : l'association peut les ajuster, notamment les raccourcir. Le programme refuse les valeurs déraisonnables, dans un sens comme dans l'autre, et toute modification est datée et journalisée. La durée qui vous est applicable est toujours celle écrite dans la version de ce document que vous êtes en train de lire : si une durée change, ce document est modifié et vous en êtes informé (section 16).

Une durée court à partir du moment indiqué à chaque rubrique — la fin de validité d'un code, la dernière activité d'une demande d'assistance, la date d'envoi d'une notification — et non à partir de la création de votre compte.

Tout n'a pas de durée, et nous le disons chaque fois que c'est le cas. Les pièces qui justifient les sommes prélevées ne sont visées par aucune purge automatique. Les reçus déjà émis, au format PDF, non plus. Et deux catégories de journaux ne dépendent pas du code de l'application, mais d'un réglage de notre hébergeur. Ces trois exceptions sont écrites noir sur blanc aux rubriques concernées, plutôt que noyées dans une durée que nous n'appliquons pas.

Créer et gérer votre compte

Ce que nous enregistrons : votre adresse e-mail, votre prénom, votre nom, votre mot de passe sous forme d'empreinte irréversible, votre langue, votre fuseau horaire, le statut de votre compte, les dates de vérification et de fin d'installation. Cette rubrique couvre l'inscription, la connexion, la vérification de l'adresse e-mail et la réinitialisation du mot de passe.
Base légale : l'exécution du contrat qui nous lie (art. 6.1.b), c'est-à-dire les conditions générales que vous avez acceptées.
Durée de conservation : toute la durée de vie de votre compte.
Suppression d'office d'un compte devenu inactif : si votre compte ne donne plus aucun signe de vie pendant 3 ans, il est supprimé, par le même chemin et avec exactement les mêmes effets qu'une suppression que vous auriez demandée vous-même (voir la section 11).
Ce que nous appelons un signe de vie : une connexion ou un renouvellement de connexion depuis l'application, un geste enregistré, un appareil sur lequel l'application s'est manifestée, une demande d'assistance ouverte ou mise à jour, l'acceptation d'un de nos documents, un relevé modifié, ou la pensée du jour affichée. Un seul de ces signaux suffit à écarter la suppression, et le doute joue toujours en faveur du maintien du compte.
Vous êtes prévenu avant, et vous pouvez revenir : 30 jours avant la suppression, un e-mail vous annonce la date exacte. Il suffit de vous reconnecter pendant ce délai pour que la suppression soit annulée d'elle-même. Vous n'avez ni bouton à trouver, ni message à nous écrire.
Une exception : un compte suspendu par l'association n'est jamais supprimé par ce mécanisme. Une suspension est une décision que nous avons prise, pas un abandon de votre part.
À la suppression, quelle qu'en soit l'origine : votre adresse e-mail, votre nom et votre prénom sont remplacés par des valeurs sans lien avec vous. Une fiche technique sans identité subsiste, décrite en section 11.

Vous maintenir connecté sur vos appareils

Ce que nous enregistrons : l'empreinte du jeton de session, un identifiant d'appareil, l'agent utilisateur tronqué à 250 caractères, et des dates.
Base légale : l'exécution du contrat (art. 6.1.b).
Durée de validité : chaque session cesse d'être valable 30 jours après sa création. À chaque renouvellement, une nouvelle session est créée et l'ancienne est révoquée : une application ouverte régulièrement reste donc connectée sans limite de durée.
Durée de conservation : 90 jours après l'expiration ou la révocation de la session, puis l'enregistrement est effacé automatiquement. Ces trois mois servent à instruire une usurpation de compte découverte après coup ; ils restent en deçà des six mois que la CNIL retient pour les journaux de sécurité.
Une exception, et pourquoi nous la faisons : la plus récente de vos sessions est conservée tant que votre compte existe, même expirée. Elle n'ouvre plus rien, mais elle est la seule trace de la date de votre dernière connexion. Sans elle, un compte utilisé sans qu'aucun geste ne soit enregistré perdrait tout signe de vie au bout de 90 jours et finirait supprimé comme inactif, à tort. Cette ligne unique disparaît avec votre compte.

Vérifier votre adresse e-mail et réinitialiser votre mot de passe

Ce que nous enregistrons : l'empreinte du code à 6 chiffres ou du jeton, ses dates de validité et d'utilisation.
Base légale : l'exécution du contrat (art. 6.1.b).
Durée de validité : le code et le jeton cessent d'être valables au bout de 30 minutes.
Durée de conservation : 30 jours après la fin de validité, puis l'enregistrement est effacé automatiquement. Ce mois ne sert qu'à une chose : pouvoir vous répondre si vous nous demandez qui a demandé une réinitialisation de votre mot de passe, et quand.
L'enregistrement est également supprimé, sans attendre ce délai, lorsque vous supprimez votre compte.

Enregistrer votre rythme

Ce que nous enregistrons : le montant par geste, l'objectif quotidien, le statut (actif, en pause, annulé), et l'historique complet des versions successives de ces réglages. Le plafond mensuel figurait dans cette liste jusqu'au 11 septembre 2026 ; ce réglage a été retiré du service et n'est plus enregistré sur votre rythme. Le plafond que vous aviez accepté, si vous en aviez accepté un, reste inscrit dans la preuve de votre accord, avec le montant et l'objectif quotidien que vous aviez signés (voir plus bas, « Conserver la preuve de vos accords ») : c'est ce que vous avez signé, et tant que votre autorisation porte une version du mandat antérieure au 11 septembre 2026, ce sont ces réglages-là, et non ceux de votre rythme du moment, qui bornent votre journée et votre mois.
Modifier votre rythme n'enregistre aucun accord nouveau et ne change pas la version du mandat à laquelle vous avez consenti : seule votre acceptation explicite, sur l'écran qui vous montre le texte, en crée un.
Base légale : l'exécution du contrat (art. 6.1.b).
Durée de conservation : aucune purge automatique ne vise ces données. Elles forment le contexte contractuel des prélèvements passés : elles disent à quoi vous aviez consenti le jour où une somme a été prélevée. Elles sont donc conservées aussi longtemps que les pièces comptables qu'elles justifient, selon la durée légale de conservation des pièces comptables.
Nous préférons l'écrire ainsi plutôt que d'annoncer un nombre d'années : aucun programme ne les efface aujourd'hui, et nous ne voulons pas promettre un effacement qui n'a pas lieu.
À la suppression de votre compte, votre rythme est marqué « annulé » ; il n'est pas effacé, et il ne porte aucune donnée d'identité.

Enregistrer vos gestes et calculer le montant de vos relevés

Ce que nous enregistrons : le jour du geste, son numéro d'ordre dans la journée, le montant figé au moment de la validation, le statut, la fin de la fenêtre d'annulation, et l'identifiant technique anti-doublon fourni par l'application.
Base légale : l'exécution du contrat (art. 6.1.b).
Durée de conservation : aucune purge automatique ne vise ces données. Chaque geste justifie le montant d'un relevé ; il est conservé aussi longtemps que la pièce comptable qu'il justifie, selon la durée légale de conservation des pièces comptables.
Vos gestes ne portent aucune donnée d'identité : un identifiant technique, une date, un montant. À la suppression de votre compte, les gestes non payés sont marqués « annulés » ; ils ne sont pas effacés.

Vous envoyer les rappels que vous avez programmés

Ce que nous enregistrons : les heures locales de rappel et les jours de la semaine concernés.
Base légale : l'exécution du contrat (art. 6.1.b).
Durée de conservation : jusqu'à ce que vous supprimiez le rappel, ou votre compte.

Prélever le montant de vos relevés

Ce que nous enregistrons : l'identifiant de client attribué par Stripe, la marque, les quatre derniers chiffres et la date d'expiration de votre carte, les montants, les périodes, les identifiants de paiement Stripe, et le code et le message d'erreur en cas d'échec.
Base légale : l'exécution du contrat (art. 6.1.b).
Durée de conservation du récapitulatif de votre carte : il est effacé à la suppression de votre compte, en même temps que le lien vers votre fiche client Stripe.
Durée de conservation des relevés, des tentatives de paiement et de leurs identifiants Stripe : aucune purge automatique ne les vise. Ce sont les pièces qui justifient les sommes prélevées ; elles sont conservées selon la durée légale de conservation des pièces comptables.

Établir et vous remettre vos reçus

Ce que nous enregistrons : des reçus au format PDF portant vos nom et adresse e-mail, le montant et la période.
Base légale pour vous remettre le reçu : l'exécution du contrat (art. 6.1.b).
Base légale pour le conserver ensuite : l'obligation légale qui impose à l'association de garder les pièces justifiant les sommes qu'elle a reçues (art. 6.1.c). Ces reçus portent la mention « ceci n'est pas un reçu fiscal » : ils n'ouvrent droit à aucune réduction d'impôt et ne relèvent d'aucune obligation fiscale. L'obligation invoquée ici est comptable, non fiscale.
Durée de conservation du fichier PDF : nous n'en annonçons aucune, parce qu'il n'y en a aucune aujourd'hui. Aucun traitement automatique n'efface ces fichiers de notre espace de stockage. Ils y restent, avec vos nom et adresse e-mail, y compris après la suppression de votre compte (voir la section 11). C'est un choix assumé — un reçu est une pièce comptable, et le réécrire lui ferait perdre sa valeur — mais c'est aussi le seul endroit où votre identité survit à votre compte.

Conserver la preuve de vos accords

Ce que nous enregistrons, pour les conditions générales, la politique de confidentialité et le mandat de prélèvement : le type d'accord, la version du document, l'empreinte du texte exact que vous avez accepté, seuil de prélèvement compris, les réglages de votre rythme au moment de l'accord, la date d'acceptation, la date de retrait le cas échéant, une empreinte irréversible et salée de votre adresse IP (jamais l'adresse elle-même) et l'agent utilisateur tronqué à 250 caractères, 255 pour le mandat de prélèvement.
À quoi cet enregistrement sert aussi, et pas seulement comme archive : tant que votre autorisation porte une version du mandat antérieure au 11 septembre 2026, les réglages qu'elle porte sont ceux que nous vous appliquons, parce que ce sont ceux que vous avez signés. Le montant de vos gestes, d'abord, et cela vaut pour tout accord antérieur à cette date. L'objectif quotidien que vous avez signé, ensuite, qui reste le nombre maximal de gestes d'une journée, et le plafond théorique qu'il détermine avec le montant signé et le nombre de jours du mois : cela vaut aussi pour tout accord antérieur à cette date, parce que ces textes le promettaient à tous. Le plafond mensuel fixé, enfin, mais seulement si votre accord en chiffrait un : c'était une option, et le plus petit des deux plafonds l'emporte. Ces réglages cessent de produire effet le jour où vous acceptez une version du mandat datée du 11 septembre 2026 ou postérieure. Une version publiée après cette date-là n'y change plus rien : ce qui décide est la date, pas le fait qu'une mise à jour vous soit demandée.
Base légale : l'intérêt légitime de l'association à pouvoir prouver l'accord sur lequel repose chaque prélèvement (art. 6.1.f). Sans cette preuve, l'association ne pourrait plus démontrer qu'elle avait le droit de prélever, et vous ne pourriez pas davantage démontrer le contraire. Ce qui est conservé est réduit au strict nécessaire : l'adresse IP elle-même n'est jamais enregistrée, seulement une empreinte dont on ne peut pas la retrouver.
Durée de conservation : aucune purge automatique ne vise ces enregistrements. Ils sont conservés aussi longtemps qu'un prélèvement fondé sur l'accord correspondant peut être contesté, et ils survivent à la suppression de votre compte.

Vous envoyer les notifications liées à vos paiements et enregistrer leur envoi

Ce que nous enregistrons : un identifiant d'installation de l'appareil (un identifiant aléatoire créé par l'application, sans lien avec un identifiant publicitaire), le système d'exploitation, le jeton de notification, vos préférences par catégorie, puis le titre et le texte de chaque notification envoyée et son statut d'acheminement. Le texte des notifications ne contient jamais de montant.
Base légale : l'exécution du contrat (art. 6.1.b).
Durée de conservation d'un appareil : 180 jours sans que l'application ne se soit manifestée depuis cet appareil, puis l'appareil, son jeton et vos préférences sont effacés automatiquement. Passé six mois, le jeton d'envoi ne fonctionne de toute façon plus. L'appareil est également supprimé si vous le retirez vous-même, ou si vous supprimez votre compte.
Durée de conservation de l'historique des notifications envoyées : 365 jours, puis effacement automatique. Cet historique est la preuve que vous avez bien été informé de ce qui touchait à vos prélèvements ; un an couvre l'exercice comptable en cours et le suivant.
Cet historique ne porte que l'identifiant technique de votre compte : il ne survit pas à votre compte sous une forme qui vous identifie.

Répondre à vos demandes d'assistance

Ce que nous enregistrons : l'objet et le contenu libre des messages que vous nous écrivez, et de nos réponses.
Base légale : l'exécution du contrat (art. 6.1.b).
Durée de conservation : 365 jours après la dernière activité sur la demande, et seulement pour les demandes résolues ou closes. Le ticket et tous ses messages sont alors effacés automatiquement. Un an couvre le suivi d'une réclamation et une éventuelle relance ; au-delà, il n'y a plus de raison de garder un texte que vous avez écrit librement, et qui peut contenir n'importe quoi.
Une demande restée ouverte n'est jamais effacée par ce traitement. Une demande sans réponse depuis des mois est une défaillance de notre part : l'effacer effacerait la preuve du manquement.
Vos échanges sont également supprimés lorsque vous supprimez votre compte. Seule subsiste, dans le journal d'audit, la trace qu'une demande a été ouverte, sans son objet ni son contenu.

Traiter votre demande de suppression de compte

Ce que nous enregistrons : l'empreinte du code de confirmation, les dates de la demande, de la confirmation, de la fin du délai d'annulation et de l'exécution.
Base légale : l'intérêt légitime de l'association à s'assurer que la demande émane bien de vous et à vous laisser un délai de rétractation de 7 jours (art. 6.1.f).
Durée de conservation du code de confirmation : il disparaît automatiquement au bout de 30 minutes.
Durée de conservation de la demande elle-même : aucune purge automatique ne la vise. Elle est conservée au statut « exécutée », parce qu'elle est la preuve que votre droit à l'effacement a été exercé et honoré. La supprimer reviendrait à effacer la preuve que nous vous avons obéi.

Assurer la sécurité et la traçabilité des opérations sensibles

Ce que nous enregistrons dans le journal d'audit : le type d'auteur, l'identifiant technique de l'auteur, le libellé de l'auteur, l'action réalisée, l'objet concerné, la date, et des informations de contexte — montants, périodes, numéros d'ordre de gestes, statuts, et, pour les seules opérations portant sur votre carte, sa marque et ses quatre derniers chiffres. Pour vos propres actions, le libellé de l'auteur est un identifiant technique, jamais votre adresse e-mail. Les actions réalisées par un administrateur portent le libellé de cet administrateur.
Base légale : l'intérêt légitime de l'association à prévenir et instruire les incidents, les erreurs et les contestations (art. 6.1.f). Ce journal protège aussi le donateur : c'est lui qui permet d'établir ce qui s'est réellement passé si vous contestez un prélèvement.
Durée de conservation : 5 ans, soit 1 825 jours, puis effacement automatique ligne par ligne. Cette durée est celle pendant laquelle un prélèvement peut être contesté devant un juge (prescription de droit commun, art. 2224 du code civil) : le journal doit survivre aussi longtemps que la contestation qu'il servira à instruire.
Ce n'est pas un journal de connexion. Les six mois recommandés par la CNIL visent les journaux techniques, décrits aux deux rubriques suivantes.
À la suppression de votre compte, les lignes vous concernant sont rendues non nominatives avant la fin de ce délai (voir la section 11).

Faire fonctionner et surveiller le service

Ce que nous enregistrons dans les journaux applicatifs : le numéro de suivi de la requête, la méthode, le chemin appelé sans les valeurs des paramètres, les noms des paramètres, la famille de client (application, navigateur, robot), le code de réponse, la durée et les messages d'erreur. Ces journaux ne contiennent ni adresse IP, ni agent utilisateur complet, ni en-tête, ni contenu de formulaire. Les adresses e-mail qui apparaîtraient malgré tout dans un message d'erreur y sont masquées.
Base légale : l'intérêt légitime de l'association à faire fonctionner et sécuriser le service (art. 6.1.f).
Durée de conservation : nous ne pouvons pas l'écrire ici, et nous préférons vous le dire plutôt que d'annoncer un chiffre. Ces journaux ne sont pas conservés dans notre base de données : ils sont recueillis par la plateforme de notre hébergeur, et leur durée dépend d'un réglage de cette plateforme, extérieur au code de l'application. Le traitement automatique décrit plus haut ne les atteint pas.

Journaux d'accès de l'hébergeur

Ce qu'ils contiennent : ce sont des journaux produits par l'hébergeur lui-même, indépendamment de notre application. Ils comprennent notamment votre adresse IP en clair.
Base légale : l'intérêt légitime de l'association à sécuriser le service et à instruire les incidents (art. 6.1.f).
Durée de conservation : elle dépend, elle aussi, d'un réglage de la plateforme de notre hébergeur, et non du code de l'application. Nous n'écrivons pas de durée que nous n'appliquons pas.

Vous présenter la pensée du jour

Ce que nous enregistrons : l'identifiant de la pensée du jour, la date et l'heure de son affichage, rattachés à votre compte. Un seul enregistrement par journée, quel que soit le nombre de fois où vous ouvrez l'application ce jour-là.
Ce que nous n'enregistrons pas : la pensée qui vous est présentée après un geste, et la bibliothèque de pensées, ne donnent lieu à aucun enregistrement. Vous pouvez les consulter librement : rien n'en est conservé sur nos serveurs.
Base légale : l'exécution du contrat (art. 6.1.b). Cet enregistrement est relu à deux endroits, et à deux endroits seulement : sur la journée en cours, pour ne pas réenregistrer votre lecture chaque fois que vous rouvrez l'application ; et lors du contrôle d'inactivité des comptes, où il vaut comme signe de vie (voir « Créer et gérer votre compte »). Il ne sert pas à choisir la pensée qui vous est présentée : celle-ci suit un calendrier de parution puis une rotation identique pour tout le monde, et reste la même pendant toute la journée.
Durée de conservation : 90 jours, puis effacement automatique. Cette durée est volontairement courte : savoir quelle pensée de Torah une personne a lue, et quand, en dit long sur sa pratique religieuse. Le service n'a besoin que de la journée en cours ; trois mois couvrent déjà très largement ce besoin.
Cet historique est également supprimé lorsque vous supprimez votre compte. Ce que vous avez lu, et quand, ne survit pas à votre compte.

Afficher les horaires du calendrier juif

Ce que nous enregistrons : rien. La ville que vous choisissez est enregistrée uniquement sur votre appareil, et notre serveur interroge le service d'horaires avec une date et un identifiant de ville, sans jamais transmettre ni votre identité ni votre adresse IP.
Base légale : l'exécution du contrat (art. 6.1.b).
Durée de conservation : sans objet, aucune donnée personnelle n'est conservée pour cette fonction.

5. Les données qui ne viennent pas de vous

Certaines données vous concernant ne nous sont pas fournies par vous, mais par nos prestataires. Le RGPD nous impose de vous en indiquer la source et la nature (art. 14). Il y a deux sources, et voici, pour chacune, ce que nous en recevons.

Stripe, notre prestataire de paiement

Ce que nous en recevons : la marque de votre carte, ses quatre derniers chiffres et sa date d'expiration ; l'identifiant technique de votre carte et de votre fiche client ; le résultat de chaque prélèvement, y compris le code et le motif d'un refus ; l'indication qu'une authentification renforcée est demandée par votre banque et son issue.

Expo, notre prestataire de notifications

Ce que nous en recevons : le résultat de l'envoi de chaque notification vers votre téléphone, et l'identifiant technique de cet envoi.

Ces informations nous parviennent automatiquement, au moment où l'opération a lieu. Elles servent aux finalités « prélever le montant du mois » et « vous envoyer les notifications », décrites en section 4, et sont conservées dans les mêmes conditions.

6. Ce que vous devez nous fournir, et ce qui arrive si vous ne le fournissez pas

Votre adresse e-mail, votre prénom, votre nom et un mot de passe sont nécessaires pour créer votre compte. Sans eux, l'inscription est impossible. L'adresse e-mail doit en outre être vérifiée avant la première connexion : c'est le seul canal par lequel nous vous prévenons d'une clôture de relevé, donc d'un prélèvement à venir, ou d'un échec de prélèvement.
L'acceptation des conditions générales et de la présente politique est obligatoire à l'inscription. Sans elle, le compte n'est pas créé.
Une carte bancaire enregistrée et le mandat de prélèvement sont nécessaires pour qu'un prélèvement puisse être présenté. Sans eux, vous pouvez utiliser l'application, mais aucun don ne peut être encaissé.
Votre fuseau horaire et votre langue sont enregistrés automatiquement à l'inscription. Ils servent à calculer votre journée et à vous écrire dans la bonne langue.
Tout le reste est facultatif : les rappels, les notifications catégorie par catégorie, la ville des horaires.

7. Ce que l'application ne fait pas

Ces points ont été vérifiés dans le code de l'application :

Aucune publicité, aucune mesure d'audience : l'application mobile ne contient aucun outil publicitaire ni aucun outil de statistiques de fréquentation.
Aucun identifiant publicitaire : l'application n'utilise ni l'identifiant publicitaire d'Apple, ni celui d'Android. L'identifiant d'appareil qu'elle emploie est un numéro aléatoire créé par l'application elle-même et rangé dans le coffre-fort sécurisé du système d'exploitation, avec une copie de secours dans le stockage ordinaire de l'application (voir section 8).
Aucun cookie dans l'application mobile.
Aucune revente, aucune location, aucun échange de vos données.
Aucune géolocalisation : l'application ne demande jamais votre position. La ville servant aux horaires est choisie par vous dans une liste et reste sur votre appareil.
Aucun accès à vos contacts, à vos photos ou à vos fichiers.
Aucune donnée bancaire complète (voir section 3).

Une seule page du site web, celle qui sert à confirmer un paiement auprès de votre banque lorsque celle-ci exige une authentification renforcée, charge un composant de Stripe. Stripe y dépose alors ses propres traceurs de lutte contre la fraude. Cette page n'est atteinte que dans ce cas précis.

8. Ce qui est stocké sur votre appareil

L'application inscrit quelques informations dans la mémoire de votre téléphone. Nous vous les indiquons parce que la loi les traite à part des données stockées sur nos serveurs (art. 82 de la loi Informatique et Libertés).

Dans le coffre-fort sécurisé du système d'exploitation :

vos jetons de connexion ;
l'identifiant aléatoire de votre installation ;
une copie de votre profil, pour afficher votre nom sans attendre le réseau.

Dans le stockage ordinaire de l'application :

la ville choisie pour les horaires du calendrier juif ;
le fait que vous avez déjà vu l'écran d'accueil des nouveaux utilisateurs ;
votre préférence de rappel silencieux ;
une copie de secours de l'identifiant aléatoire de votre installation, utilisée lorsque le coffre-fort du système est indisponible : sans elle, un nouvel identifiant serait tiré à chaque lancement et vous recevriez vos notifications en plusieurs exemplaires ;
la liste des comptes utilisés sur ce téléphone dont l'ancienne inscription aux notifications a déjà été retirée de nos serveurs, pour que ce nettoyage n'ait lieu qu'une fois.

Aucune de ces informations n'est utilisée à des fins publicitaires ou de mesure d'audience. Chacune sert au service que vous avez demandé : vous maintenir connecté, vous délivrer vos rappels et vos notifications, et retenir les choix que vous avez faits. L'association considère qu'elles sont strictement nécessaires à la fourniture du service et qu'elles relèvent donc de l'exception prévue par ce même article 82, qui dispense alors de recueillir votre consentement. C'est pourquoi l'application ne vous présente aucun bandeau de consentement. Toutes ces informations disparaissent lorsque vous désinstallez l'application. Vos jetons de connexion et la copie de votre profil sont en outre effacés dès que vous vous déconnectez ; les autres restent sur le téléphone jusqu'à la désinstallation.

Un cas se règle en dehors de l'application, sur notre site web. La page qui sert à confirmer un paiement auprès de votre banque charge un composant de Stripe, et Stripe y dépose alors ses propres traceurs de lutte contre la fraude. Ils ne sont ni déposés ni exploités par l'association, ils ne servent ni à la publicité ni à la mesure d'audience, et ils relèvent de la politique de confidentialité de Stripe. Cette page n'est atteinte que lorsque votre banque exige une authentification renforcée pour un prélèvement. C'est la seule page de notre site qui charge un composant extérieur.

9. Avec qui vos données sont partagées

Nous ne partageons vos données qu'avec les prestataires strictement nécessaires au fonctionnement du service. Chacun est décrit ci-dessous par quatre indications : sa qualité, son rôle, ce qui lui est transmis, et où vos données sont traitées.

La qualité distingue trois situations. Un sous-traitant n'agit que sur nos instructions. Un responsable indépendant poursuit en outre ses propres finalités, sur lesquelles nous n'avons pas la main : c'est le cas de Stripe pour la lutte contre la fraude et ses obligations de contrôle réglementaire. Le traitement de vos données par Stripe pour ces finalités relève de sa propre politique de confidentialité. Un service enfin peut appliquer ses propres règles de bout en bout, sans que nous lui donnions d'instructions : c'est le cas de notre service de messagerie, décrit plus bas.

Stripe, prestataire de paiement

Qualité : sous-traitant pour l'exécution des prélèvements ; responsable indépendant pour la lutte contre la fraude et ses obligations réglementaires.
Rôle : enregistrement de votre carte, exécution des prélèvements, gestion des remboursements.
Ce qui lui est transmis : votre adresse e-mail, vos prénom et nom, un identifiant technique de compte, puis pour chaque prélèvement : le montant, la période concernée, le nom du bénéficiaire. Et, saisies directement par vous chez lui : les données de votre carte.
Où sont traitées les données : l'entité contractante est Stripe Payments Europe, Limited, One Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irlande (immatriculée sous le n° 513174), donc dans l'Union européenne. Dans l'Espace économique européen, les opérations de paiement sont exécutées par Stripe Technology Europe, Limited, 1 Wilton Park, Wilton Place, Dublin 2, D02 FX04, Irlande, agréée par la Banque centrale d'Irlande (réf. C187865). Stripe appartient à un groupe américain et indique transférer des données vers ses entités aux États-Unis : il y a donc transfert hors Union européenne.

Google Cloud, hébergeur

Qualité : sous-traitant.
Rôle : hébergement des serveurs, de la base de données, des reçus PDF et des journaux techniques.
Ce qui lui est transmis : l'ensemble des données décrites en section 4.
Où sont traitées les données : l'entité contractante est Google Cloud France, société à responsabilité limitée, 8 rue de Londres, 75009 Paris (SIREN 881 721 583), donc dans l'Union européenne. Les serveurs sont situés dans l'Union européenne, région europe-west1, à Saint-Ghislain, en Belgique. La société mère est américaine : Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043. Un transfert hors Union européenne est donc possible.

Google, service de messagerie

Qualité : Google applique ici ses propres règles. Nos e-mails partent de la boîte de messagerie Google de l'association, et Google les achemine et les traite selon ses propres conditions d'utilisation et sa propre politique de confidentialité, sur lesquelles nous n'avons pas la main.
Rôle : acheminement des e-mails que nous vous envoyons.
Ce qui lui est transmis : le contenu intégral de ces e-mails, c'est-à-dire votre adresse, votre prénom, les montants, les périodes, la marque et les quatre derniers chiffres de votre carte, sa date d'expiration, et les codes de vérification à 6 chiffres.
Où sont traitées les données : Google est un groupe américain et ces messages ne sont pas traités uniquement dans l'Union européenne. Il y a donc transfert hors Union européenne.

Expo, service de notifications

Qualité : sous-traitant.
Rôle : acheminement des notifications vers votre téléphone.
Ce qui lui est transmis : le jeton de notification de votre appareil, le titre et le texte de la notification. Ce texte ne contient jamais de montant.
Où sont traitées les données : Expo est un service de 650 Industries, Inc., société américaine. Il y a donc transfert hors Union européenne.

Hebcal, horaires du calendrier juif

Qualité : aucune donnée personnelle ne lui est transmise.
Rôle : fourniture des horaires affichés dans l'application, sous licence Creative Commons Attribution 4.0.
Ce qui lui est transmis : aucune donnée personnelle. Notre serveur transmet une date et un identifiant de ville. Votre adresse IP n'est jamais transmise.
Où sont traitées les données : service américain, interrogé sans donnée personnelle.

Nous pouvons également être amenés à communiquer des données à une autorité administrative ou judiciaire lorsque la loi nous y oblige.

Encadrement des transferts hors Union européenne

Les entités avec lesquelles l'association a passé contrat pour les paiements et pour l'hébergement sont établies dans l'Union européenne : Stripe Payments Europe, Limited et Stripe Technology Europe, Limited en Irlande, Google Cloud France en France. À ce niveau, il n'y a pas de transfert hors de l'Union.

Des transferts vers les États-Unis ont lieu au-delà, vers les sociétés mères et les services américains de ces groupes. Voici sur quoi ils reposent :

Google LLC et Stripe, Inc. déclarent adhérer au cadre de protection des données UE—États-Unis (« EU-U.S. Data Privacy Framework »). La Commission européenne a reconnu ce cadre comme offrant un niveau de protection adéquat par sa décision d'exécution du 10 juillet 2023. Un transfert vers une organisation qui y adhère se fonde donc sur une décision d'adéquation, au sens de l'article 45 du RGPD.
Expo (650 Industries, Inc.) déclare appliquer les clauses contractuelles types adoptées par la Commission européenne dans sa décision d'exécution (UE) 2021/914, mécanisme prévu à l'article 46.2.c du RGPD.
Les e-mails que nous vous envoyons partent de la boîte de messagerie Google de l'association. Ce transfert-là repose sur la même adhésion de Google LLC au cadre de protection des données UE—États-Unis.

Ces garanties sont des textes publics, que vous pouvez lire sans passer par nous : la décision d'adéquation est publiée par la Commission européenne, la liste des organisations adhérant au cadre UE—États-Unis est tenue en ligne par l'administration américaine, et les clauses contractuelles types sont annexées à la décision d'exécution (UE) 2021/914. Si vous ne trouvez pas l'un de ces textes, écrivez-nous à montpellierolami@gmail.com : nous vous indiquerons où le lire.

10. Vos droits, et comment les exercer concrètement

Vous disposez des droits suivants sur vos données.

Droit d'accès et droit à la portabilité

Vous pouvez récupérer une copie de vos données à tout moment, sans nous écrire. Où la trouver : onglet Profil, puis « Mes données et confidentialité », puis « Télécharger mes données ».

L'application produit un fichier au format JSON, que vous pouvez enregistrer ou partager depuis votre téléphone. Ce fichier contient votre profil, votre rythme et l'historique de ses versions, vos rappels, vos gestes, vos relevés et vos tentatives de paiement, vos accords enregistrés, vos préférences de notification et vos échanges avec l'assistance. Les identifiants Stripe y sont volontairement tronqués.

Cet export ne contient pas encore la totalité des données décrites en section 4. N'y figurent pas : l'historique d'affichage de la pensée du jour, l'historique des notifications envoyées, la liste de vos appareils, vos reçus PDF, le journal d'audit et vos demandes de suppression de compte. Pour obtenir ces éléments, écrivez-nous à l'adresse indiquée en fin de section.

Droit de rectification

Vous pouvez corriger vous-même votre prénom et votre nom. Où le faire : onglet Profil, appuyez sur votre nom, en haut, puis « Mes informations ».

Votre adresse e-mail, votre langue et votre fuseau horaire ne sont pas modifiables depuis l'application. Pour les faire changer, écrivez-nous.

Lorsque nous rectifions ou effaçons une donnée, nous en informons les destinataires auxquels elle a été communiquée, sauf si cela s'avère impossible ou exige des efforts disproportionnés (art. 19 du RGPD).

Droit à l'effacement

Vous pouvez demander la suppression de votre compte de deux façons.

Depuis l'application : onglet Profil, puis « Paramètres », puis « Supprimer mon compte ».

Ou depuis notre page web publique de suppression de compte, sans avoir à vous connecter, à l'adresse https://tzedaka-web-538933094685.europe-west1.run.app/suppression-compte

La demande est confirmée soit par votre mot de passe, soit par un code à 6 chiffres envoyé par e-mail. Ce code est valable 30 minutes.

Une fois confirmée, la suppression est exécutée 7 jours plus tard. Pendant ces 7 jours, vous pouvez encore l'annuler depuis l'application. Passé ce délai, l'annulation n'est plus possible.

Dès votre demande, et sans attendre les 7 jours, plus aucun prélèvement n'est présenté à votre banque. Un prélèvement déjà programmé, comme une relance à venir après un échec, est suspendu, pour tous vos relevés en attente s'il y en a plusieurs. Vous ne pouvez plus valider de geste pendant ces 7 jours, donc votre total n'augmente plus et le seuil ne peut plus être atteint. Si une clôture de fin de mois tombe pendant ces 7 jours, votre relevé est bien établi et son montant arrêté, mais aucune date de prélèvement n'est fixée et rien n'est présenté à votre banque ; le relevé reste consultable dans l'application.

Vous n'avez donc aucune autre démarche à faire. Il n'est pas nécessaire de retirer d'abord votre autorisation de prélèvement (voir plus bas) : la demande de suppression suffit à arrêter les prélèvements. Le retrait reste possible si vous le préférez, mais ce n'est pas un préalable.

Si vous annulez votre demande pendant les 7 jours, votre compte reprend son fonctionnement normal et le ou les prélèvements suspendus repartent d'eux-mêmes dans les jours qui suivent, sans démarche de votre part. Un e-mail vous annonce chacun d'eux, avec son montant et sa date.

Au moment de l'exécution, les sommes correspondant à des gestes engagés mais pas encore prélevés sont annulées : elles ne vous seront pas réclamées. Cela vaut pour tous vos relevés et toutes les périodes, et pas seulement pour votre relevé en cours : un relevé clôturé mais pas encore prélevé, un relevé resté impayé et un montant reporté sont annulés eux aussi.

L'e-mail qui confirme votre demande vous indique le montant engagé qui ne sera pas prélevé. Ce montant compte les mêmes sommes, toutes périodes confondues : il correspond donc à ce qui sera réellement abandonné.

Une seule exception, dans un sens comme dans l'autre : un prélèvement déjà parti à l'encaissement chez notre prestataire de paiement au moment de votre demande suit son cours. Il n'est ni suspendu par votre demande, ni annulé par son exécution, et il ne figure pas dans le montant annoncé.

Droit à la limitation du traitement

Autrement dit : arrêter sans partir.

Vous pouvez nous demander de geler l'utilisation de vos données — nous les conservons, mais nous cessons de les utiliser — dans les cas prévus par l'article 18 du RGPD : le temps que nous vérifions une donnée dont vous contestez l'exactitude, si le traitement est illicite mais que vous préférez la limitation à l'effacement, si vous en avez besoin pour faire valoir un droit, ou le temps que nous examinions une opposition de votre part. Pour cela, écrivez-nous.

Indépendamment de ce droit, l'application vous offre trois commodités :

mettre votre rythme en pause : onglet Profil, puis « Paramètres », puis section « Programme », puis « Mettre le programme en pause ». La pause arrête vos gestes et vos rappels ; votre autorisation de prélèvement reste en vigueur et les gestes déjà validés seront prélevés ;
désactiver les notifications catégorie par catégorie : onglet Profil, puis « Paramètres », puis section « Notifications » ;
supprimer votre carte enregistrée : onglet Profil, puis « Paiements », puis « Supprimer ma carte ». Cette suppression entraîne le détachement de la carte chez Stripe. Elle est refusée dans un cas, un seul : si c'est votre seule carte active et qu'un montant reste à prélever, y compris un seul geste validé ce mois-ci. Dans ce cas, enregistrez une autre carte, attendez que le prélèvement soit passé, ou retirez votre autorisation de prélèvement.

Retirer votre autorisation de prélèvement

L'article L. 133-6 III du code monétaire et financier vous permet de retirer le consentement que vous avez donné à une série d'opérations de paiement, prise comme un tout. Aucune opération postérieure à ce retrait n'est alors autorisée (art. L. 133-7).

Ce droit s'exerce en une action, depuis l'application. Où la trouver : onglet Profil, puis « Paiements », puis « Retirer mon autorisation de prélèvement ».

Elle figure aussi dans l'onglet Profil, puis « Paramètres », puis section « Programme », puis « Retirer mon autorisation de prélèvement ».

Une confirmation vous indique, avant que vous ne décidiez, le nombre et le montant exacts des gestes concernés. Le retrait n'est en aucun cas conditionné au règlement de ce qui est dû. Il produit les effets suivants, immédiatement :

les gestes que vous avez validés et qui n'ont pas encore été prélevés sont abandonnés : ils ne vous seront jamais réclamés ;
tous les relevés non payés sont annulés, y compris un éventuel montant reporté. Il peut y en avoir plusieurs en même temps, puisqu'un mois peut donner lieu à plusieurs prélèvements ;
votre rythme est arrêté : vous ne pouvez plus valider de geste ;
votre carte est retirée de l'application et détachée chez Stripe ; son récapitulatif (marque et quatre derniers chiffres) reste dans votre historique jusqu'à la suppression de votre compte ;
la date du retrait est enregistrée dans vos accords : c'est votre preuve.

Un seul cas ne peut pas être arrêté par ce moyen : un prélèvement déjà transmis à votre banque. L'écran vous le signale le cas échéant.

Le retrait n'est pas la pause. La pause suspend vos gestes et se lève d'un appui ; votre autorisation reste en vigueur et les gestes déjà validés restent dus. Le retrait éteint l'autorisation ; pour la redonner, il faut reconfigurer votre rythme, ce qui enregistre un nouvel accord explicite.

Demander le remboursement d'un prélèvement à votre banque

Le montant prélevé n'est pas connu à l'avance : il dépend du nombre de gestes que vous avez validés. Le seuil de 10 € en donne l'ordre de grandeur, mais ni le montant exact d'un prélèvement, ni leur nombre, ni leurs dates ne sont fixés d'avance. Dans cette situation, l'article L. 133-25 I du code monétaire et financier vous ouvre un droit au remboursement auprès de votre banque, et non auprès de nous, si le montant débité dépasse celui auquel vous pouviez raisonnablement vous attendre. La demande doit être faite dans les 8 semaines suivant le débit (art. L. 133-26 I).

Ce droit s'exerce auprès de votre banque, pas auprès de nous. Vous pouvez bien sûr nous écrire en parallèle : nous examinerons votre demande.

Droit d'opposition et retrait des consentements

Vous pouvez consulter la liste de vos accords enregistrés et leur date. Où la trouver : onglet Profil, puis « Mes données et confidentialité », puis section « Mes consentements ».

Trois accords y figurent : les conditions générales, la présente politique et le mandat de prélèvement. Les deux premiers font fonctionner le service : on ne peut pas les retirer et continuer à l'utiliser ; pour vous en retirer, mettez votre rythme en pause ou supprimez votre compte. Le troisième se retire seul, à tout moment, comme décrit plus haut.

Nous ne recueillons aujourd'hui aucun accord facultatif, et nous ne vous envoyons aucune communication promotionnelle.

Pour vous opposer à un traitement fondé sur notre intérêt légitime — le journal d'audit, les journaux techniques, la conservation de la preuve de vos accords —, écrivez-nous en expliquant votre situation particulière.

Vos directives après votre décès

Vous pouvez définir des directives, générales ou particulières, sur la conservation, l'effacement et la communication de vos données après votre décès (art. 85 de la loi Informatique et Libertés). Vous pouvez nous les adresser par écrit et les modifier ou les révoquer à tout moment.

À défaut de directives, vos héritiers peuvent nous écrire en justifiant de leur qualité : nous arrêterons le rythme, retirerons l'autorisation de prélèvement — de sorte qu'aucun prélèvement ne se poursuive — et supprimerons le compte.

Comment nous écrire

Pour toute demande relative à vos données personnelles :

par e-mail : montpellierolami@gmail.com
par courrier : MONTPELLIER OLAMI, 23 quai des Tanneurs, 34090 Montpellier, France

Nous répondons dans un délai d'un mois à compter de la réception de votre demande. Ce délai peut être prolongé de deux mois si la demande est complexe ou si nous en recevons plusieurs de votre part ; dans ce cas, nous vous en informons dans le mois, avec le motif.

Nous pouvons être amenés à vous demander un élément permettant de vérifier votre identité, uniquement si nous avons un doute raisonnable sur celle-ci.

11. Ce qui subsiste après la suppression de votre compte

Nous préférons vous le dire clairement plutôt que de laisser croire à un effacement total.

Ce qui est réellement effacé

votre adresse e-mail, votre prénom et votre nom, remplacés par des valeurs sans lien avec vous ;
votre mot de passe, rendu inutilisable ;
vos appareils, vos rappels, vos sessions de connexion et vos codes de vérification ;
vos échanges avec l'assistance, questions et réponses comprises ;
l'historique d'affichage de la pensée du jour ;
le récapitulatif de votre carte (marque, quatre derniers chiffres, date d'expiration) et le lien vers votre fiche client chez Stripe ;
chez Stripe : votre carte est détachée — elle n'est plus débitable — et votre fiche client est supprimée. C'est elle qui portait vos nom et adresse e-mail réels ;
dans le journal d'audit, votre adresse e-mail et toutes les autres valeurs identifiantes qui auraient pu y figurer sont remplacées par la mention « supprimé ».

Vos gestes non payés et vos relevés non payés sont annulés, et votre rythme est arrêté : aucun prélèvement n'a lieu après la suppression de votre compte.

Ce qui subsiste, et pourquoi

une fiche technique sans identité : un identifiant, des dates, le statut « supprimé ». Elle porte les liens vers vos pièces comptables ; la supprimer supprimerait aussi vos relevés et vos reçus ;
vos gestes, votre rythme et l'historique de ses versions : ce sont les pièces qui justifient le montant de chaque relevé, et le rythme dit à quoi vous aviez consenti au moment où une somme a été prélevée. Ils ne contiennent aucune donnée d'identité ;
vos relevés, vos tentatives de paiement et les identifiants Stripe correspondants : pièces comptables ;
vos reçus au format PDF déjà émis, qui restent nominatifs : ils portent vos nom et adresse e-mail. Un reçu est une pièce comptable ; il ne peut pas être réécrit sans perdre sa valeur ;
la preuve de vos accords : version du document accepté, empreinte du texte, date, empreinte irréversible de votre adresse IP, agent utilisateur tronqué. Sans elle, l'association ne pourrait plus démontrer qu'elle avait le droit de prélever ;
la trace de votre demande de suppression, au statut « exécutée » : c'est la preuve que votre droit a été honoré ;
le journal d'audit, rendu non nominatif : il conserve qui a fait quoi, quand et sur quoi, sous la forme d'identifiants techniques, de statuts, de montants et de dates. Les actions réalisées par un administrateur de l'association conservent le nom de cet administrateur : c'est une donnée interne de responsabilité, qui ne vous identifie pas ;
l'historique des notifications envoyées (titre, texte neutre, statut d'acheminement) et les journaux techniques, rattachés au seul identifiant technique de votre compte ;
chez Stripe : les paiements déjà réalisés et les informations de facturation qui les accompagnent. Ils relèvent des obligations comptables propres à Stripe, sous sa responsabilité, et ne sont plus rattachés à aucune fiche client.

Combien de temps ce qui subsiste est-il conservé

Ce n'est pas conservé indéfiniment, et ce n'est pas non plus effacé partout. La liste ci-dessous distingue les deux cas sans les mélanger. Les durées annoncées sont celles de la section 4 : elles sont appliquées chaque nuit par un traitement automatique.

le journal d'audit rendu non nominatif : effacé automatiquement 5 ans après l'écriture de chaque ligne ;
l'historique des notifications envoyées : effacé automatiquement 365 jours après l'envoi ;
les journaux techniques : ils ne sont pas conservés dans notre base de données et leur durée dépend d'un réglage de la plateforme de notre hébergeur, extérieur au code de l'application. Nous ne pouvons donc pas vous en annoncer une ici ;
vos reçus au format PDF : aucune durée, et donc aucun effacement automatique. Ces fichiers restent en place, avec vos nom et adresse e-mail. C'est le seul endroit où votre identité survit à votre compte, et nous préférons l'écrire que le laisser deviner ;
la fiche technique sans identité, vos gestes, votre rythme, vos relevés, vos tentatives de paiement, la preuve de vos accords et la trace de votre demande de suppression : aucun traitement automatique ne les efface. Ce sont les pièces qui justifient les sommes prélevées et les accords sur lesquels elles reposaient ; elles sont conservées selon la durée légale de conservation des pièces comptables, puis détruites ;
chez Stripe : la durée de conservation relève des obligations comptables de Stripe et de sa propre politique, sous sa responsabilité.

Si vous voulez savoir précisément ce qui subsiste vous concernant après la suppression de votre compte, écrivez-nous : la section 10 explique comment.

12. Sécurité de vos données

Les mesures suivantes sont effectivement en place :

votre mot de passe n'est jamais stocké. Seule une empreinte irréversible, calculée avec l'algorithme Argon2id, est conservée. Personne, y compris nous, ne peut retrouver votre mot de passe. Il doit compter au moins 10 caractères, dont une minuscule, une majuscule et un chiffre ;
vos adresses IP ne sont pas enregistrées en clair dans notre base de données. Lorsqu'elles sont conservées comme preuve d'un accord, seule une empreinte irréversible et salée est enregistrée ;
nos journaux applicatifs ne contiennent plus d'adresse IP, ni d'agent utilisateur complet, ni les valeurs des paramètres d'URL, ni le contenu des formulaires. Chaque requête reçoit un numéro de suivi, que l'application peut vous montrer en cas d'incident : c'est lui qui remplace l'adresse IP pour diagnostiquer un problème. Les journaux d'accès produits par l'hébergeur lui-même contiennent en revanche votre adresse IP, comme indiqué en section 4 ;
les jetons de connexion ne sont jamais stockés en clair, seulement sous forme d'empreinte. Votre jeton d'accès est valable 15 minutes et chaque session 30 jours. Sur votre téléphone, ces jetons sont rangés dans le coffre-fort sécurisé du système d'exploitation. Changer de mot de passe déconnecte vos autres appareils ;
les liens de téléchargement de vos reçus sont signés et ne restent valables que 5 minutes ;
les échanges avec nos serveurs sont chiffrés, et la base de données est chiffrée au repos par l'hébergeur ;
l'accès à l'administration exige un mot de passe fort, et une authentification à deux facteurs est obligatoire pour le rôle disposant de tous les droits. Les autres rôles administratifs peuvent l'activer, mais elle ne leur est pas encore imposée. Les secrets correspondants sont chiffrés ;
le contenu des notifications ne comporte jamais de montant, afin que rien d'indiscret n'apparaisse sur l'écran verrouillé de votre téléphone ;
les messages d'erreur bancaire qui vous sont présentés sont reformulés : les réponses brutes du prestataire de paiement ne vous sont jamais montrées.

Aucun système n'est parfaitement sûr. En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits, nous vous en informerions.

13. Décision automatisée et profilage

L'application ne prend aucune décision automatisée produisant des effets juridiques à votre égard ou vous affectant de manière significative, au sens de l'article 22 du RGPD. Elle ne réalise aucun profilage.

Les traitements automatiques qu'elle effectue se limitent à des calculs : la somme de vos gestes non encore payés, la comparaison de ce total au seuil de prélèvement, la comparaison, lorsque votre accord est antérieur au 11 septembre 2026, du nombre de vos gestes du jour à l'objectif quotidien que cet accord porte, et du total de vos gestes du mois civil au plafond théorique qu'il détermine ou au plafond mensuel qu'il chiffre, s'il en chiffre un, la programmation du prélèvement et de ses éventuelles nouvelles tentatives, et le choix de la pensée affichée après un geste, qui suit un calendrier de parution puis une rotation identique pour tout le monde. La comparaison au seuil est une addition suivie d'une comparaison à un nombre, la même pour tout le monde : elle n'évalue pas votre personne et ne dépend d'aucune donnée vous concernant autre que le montant de vos propres gestes. Les comparaisons à l'objectif et au plafond d'un accord antérieur au 11 septembre 2026 sont de même nature, et les nombres auxquels elles comparent sont ceux que vous aviez vous-même fixés et acceptés : leur seul effet est de refuser un geste que vous n'aviez pas autorisé, et elles cessent dès que vous acceptez une version du mandat datée du 11 septembre 2026 ou postérieure. Aucun de ces calculs n'évalue votre personne, ne vous classe et ne vous note.

Les décisions de refus ou d'acceptation d'un paiement, y compris les contrôles antifraude et l'authentification renforcée demandée par votre banque, relèvent de votre banque et de notre prestataire de paiement, et non de l'association.

14. Données des mineurs

L'application est réservée aux personnes majeures : il faut avoir 18 ans révolus pour créer un compte. C'est la condition posée à l'article 4.3 des conditions générales d'utilisation, et elle tient à ce que chaque geste fait naître une obligation de payer, ce qui suppose la capacité de contracter.

L'application ne demande pas votre date de naissance et ne procède à aucune vérification d'âge. Nous ne collectons pas sciemment de données concernant des mineurs. Si vous estimez qu'un mineur nous a communiqué des données, écrivez-nous à l'adresse indiquée en section 10 : nous supprimerons le compte concerné et rembourserons les sommes déjà débitées.

15. Réclamation auprès d'une autorité de contrôle

Vous pouvez à tout moment, sans avoir à nous contacter au préalable, introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés. Ses coordonnées :

CNIL
3 place de Fontenoy — TSA 80715
75334 PARIS CEDEX 07
Téléphone : 01 53 73 22 22
Site : www.cnil.fr

Si vous résidez dans un autre État membre de l'Union européenne, vous pouvez également saisir l'autorité de contrôle de votre État de résidence habituelle, de votre lieu de travail, ou du lieu où la violation aurait été commise (art. 77.1 du RGPD).

16. Modifications de cette politique

Nous pouvons faire évoluer cette politique, notamment si le fonctionnement de l'application change ou si nous changeons de prestataire. La version applicable est celle publiée à l'adresse indiquée ci-dessous, et sa date d'entrée en vigueur figure en tête du document.

L'application enregistre la version exacte de la politique que vous avez acceptée à votre inscription, ainsi que l'empreinte du texte correspondant. Vous pouvez consulter cette information dans l'écran « Confidentialité et données ».

Cette politique est consultable, sans compte et à tout moment, à l'adresse https://tzedaka-web-538933094685.europe-west1.run.app/confidentialite.

Ce que vous êtes en droit d'attendre lorsqu'une nouvelle version de la présente politique est publiée est décrit à l'article 18 des conditions générales d'utilisation, et à lui seul : la date d'entrée en vigueur et le numéro de version affichés sous le document vous permettent de savoir que le texte a changé. Aucun message d'information ne vous est adressé à cette occasion.