Ce qu'on garde, et ce qu'on n'a pas

La règle, en trois phrases

• Halis ne détient pas ton argent et n'est relié à aucune banque. Ce qui entre dans Halis, c'est toi qui l'écris, ou quelqu'un de ton groupe.
• Halis ne lit ni tes SMS, ni tes contacts, ni ta position précise. Aucune publicité, aucun traceur publicitaire, aucune revente. La mesure d'utilisation, que tu peux désactiver, est expliquée plus bas.
• Ton espace perso ne s'ouvre que compte par compte, à la personne que tu désignes. Le Coach envoie ta question et les données utiles de ton journal à l'API de Mistral AI. Notre serveur garde ta conversation chiffrée douze mois, et toi seul la vois.

Qui est responsable

Halis est édité par Africatech Studio, responsable du traitement au sens du règlement général sur la protection des données (RGPD). Pour toute question sur tes données, écris à hello@halis.app. Une vraie personne répond.

Ce qu'on garde, et pourquoi

Ces données servent à faire fonctionner Halis et à mesurer l'utilisation de ses fonctions, mesure que tu peux désactiver.

• Ton compte : ton adresse e-mail — vérifiée par un code, ou fournie par Google ou Apple si tu entres avec eux —, ton prénom et ta devise préférée. Pour te reconnaître, t'écrire, et afficher tes montants dans ta devise. Aucun numéro de téléphone, aucun mot de passe.
• Tes appareils : le modèle, la plateforme, la date de dernière activité, et une localisation approximative déduite de l'adresse IP au moment de la connexion. Pour que l'écran Sécurité te montre où ton compte est ouvert, et pour retirer un téléphone perdu.
• Ton argent : tes comptes, mouvements, enveloppes, objectifs, épargnes programmées et catégories — les montants, les devises, les dates et les libellés que tu écris. C'est le produit.
• Vos groupes : le nom du groupe, ses membres, les dépenses partagées et leur répartition, les remboursements marqués. Chaque membre voit ce que le groupe contient : c'est ce qu'un groupe veut dire.
• Les justificatifs : les photos de tickets et de reçus que tu joins à un mouvement, si tu en joins.
• Les notifications : un jeton de notification par appareil, pour que ton téléphone reçoive un rappel. Il est effacé avec l'appareil.
• Les plantages : quand l'application ou le site plante, un rapport d'erreur part avec la version et le modèle d'appareil. Les codes, jetons, adresses et numéros en sont filtrés avant enregistrement, et l'adresse IP est anonymisée.
• La mesure d'utilisation, active tant que tu ne la désactives pas : des événements sur les fonctions ouvertes et les opérations confirmées, associés à un identifiant pseudonymisé et au pays. Aucun montant, libellé, question au Coach, e-mail, pièce jointe ou identifiant métier brut n'est envoyé à PostHog. Tu la coupes quand tu veux dans À propos, et l'arrêt vaut pour ton compte sur tous tes appareils.
• Sur le site, la visite et les liens de téléchargement utilisés sont les seules actions mesurées. Un refus se pose en un clic avec « Mesure d'audience » et reste dans ton navigateur ; aucun identifiant publicitaire n'est posé, et rien n'est recoupé avec un autre site.

La base légale des données nécessaires est l'exécution du service demandé (article 6.1.b du RGPD), et notre intérêt légitime à le garder sûr pour les appareils, les plantages et la mesure d'utilisation (article 6.1.f). Cette mesure reste minimisée — identifiant pseudonymisé, ni montant ni texte libre, adresse IP écartée, hébergement dans l'Union européenne — et tu peux t'y opposer à tout moment dans À propos. Le Coach a sa section plus bas.

Ce qu'on n'a pas

• Tes SMS, tes notifications bancaires, tes contacts, ta position précise : rien n'est lu sur ton téléphone.
• Un accès à ta banque : Halis ne se connecte à aucun compte bancaire et ne déplace aucun argent.
• Aucun traceur publicitaire, pixel publicitaire ou revente. La mesure d'utilisation passe par PostHog dans l'Union européenne, et se désactive. Le site n'utilise aucun cookie pour cette mesure ; ton refus et un identifiant pseudonymisé restent dans ton navigateur.
• Un acheteur : tes données ne sont ni vendues, ni louées, ni cédées.

La frontière entre ton perso et le groupe

Ce qui est à toi n'est pas ce qui est au groupe. Tes comptes, tes enveloppes et tes objectifs ne sont visibles que par toi : aucun réglage ne les ouvre à un groupe, et aucun membre n'y a accès.

Tu peux ouvrir un compte, et un seul à la fois, à une personne que tu désignes : elle en voit le solde et les mouvements, et rien d'autre de ton espace — ni tes autres comptes, ni tes enveloppes, ni tes objectifs, ni ton bilan. Tu choisis ce qu'elle peut y faire, tu peux le changer, et tu peux le reprendre. Chaque ligne porte le prénom de qui l'a écrite, et une personne retirée cesse de voir le compte tout en restant nommée sur ce qu'elle y a inscrit.

À l'inverse, ce que tu inscris dans un groupe est vu par tous ses membres, et le reste après ton départ : une dépense partagée est un fait du groupe, et l'effacer réécrirait les comptes des autres.

Halis ne classe personne : aucun podium, aucun « en retard », et aucun membre ne reçoit de score sur un autre.

Le Coach

Le Coach, appelé Halis AI dans l'application, est une conversation qui s'appuie sur ton journal. Avant ta première question, l'application te demande ton accord. Elle te dit que ta question et les chiffres utiles de ton journal partent chez Mistral AI. Tant que tu n'as pas accepté, aucune question ne part. Tu peux arrêter à tout moment avec le réglage « Désactiver Halis AI », puis le réactiver si tu veux.

Pour répondre, le Coach reçoit ta question, jusqu’à dix échanges des sept derniers jours pour suivre la discussion, et les données utiles : montants, dates, soldes, libellés des opérations, noms de comptes, de catégories et d'enveloppes, profil à choix fermés, cap et engagements. Les références sont propres au tour ; les notes libres et identifiants de connexion ne font pas partie de cet extrait. Un nom que tu écris toi-même dans un libellé utile peut être transmis avec celui-ci.

Tes groupes sont inclus par défaut, et tu peux les retirer dans les réglages du Coach. Seuls tes soldes, tes parts, tes engagements de versement et tes versements partent, sans nom de groupe ni de membre. Dans un groupe de deux, ton solde révèle exactement le solde inverse de l'autre personne.

Notre service d'appel transmet ces données à l'API de Mistral AI, entreprise française, sous offre payante. Mistral AI peut conserver temporairement la question et la réponse pour prévenir les abus. Notre service d'appel ne garde rien. Pour reprendre une réponse interrompue sans rappeler le modèle, notre serveur garde aussi les segments validés de la réponse pendant vingt-quatre heures au maximum. Ce stockage temporaire s'efface avec la conversation ou quand tu désactives Halis AI.

La dictée se fait sur ton téléphone. Ta voix n'en sort jamais : seul le texte dicté part, comme une question écrite.

Ta conversation te suit sur tes appareils. Pour cela, notre serveur la garde : tes questions, les réponses du Coach et les cartes « À valider ». Elle est liée à ton compte. Toi seul la vois : ni les membres de tes groupes, ni une personne à qui tu as ouvert un compte n'y ont accès.

Notre serveur chiffre ta conversation et ton profil Coach avant de les enregistrer. La clé est gardée hors de la base de données. Une copie de la base sans cette clé ne montre aucune conversation.

La conversation est gardée douze mois glissants. Un message de plus de douze mois est supprimé, sur notre serveur et sur tes appareils.

Ton profil Coach est gardé tant que ton compte existe. Il réunit tes réponses d'accueil, ton cap, tes engagements et tes réglages du Coach. « Effacer mon profil » le supprime.

« Effacer la conversation », « Effacer mon profil » et « Désactiver Halis AI » effacent d'abord sur notre serveur. Chacun de tes appareils efface ensuite sa copie à sa prochaine synchronisation. Te déconnecter ferme ta session, sans effacer les données de l'appareil. Elles sont effacées de l'appareil quand un autre compte s'y connecte, ou quand ton compte est fermé.

Ce que tu écris au Coach est libre. Ta conversation peut donc contenir des informations sensibles, par exemple sur ta santé, ta religion ou tes dettes. Nous ne te les demandons pas. Si tu les écris, elles sont envoyées à l'API de Mistral AI avec ta question, puis gardées et chiffrées comme le reste de la conversation. Tu peux les effacer à tout moment avec « Effacer la conversation ».

Notre équipe n'a aucun outil pour lire ta conversation. Notre console d'administration ne l'affiche pas et ne l'exporte pas. Son contenu n'entre ni dans nos journaux techniques, ni dans les rapports de plantage. Une seule chose est lue par l'équipe : l'avis que tu écris après un pouce baissé.

Cet avis tient en une raison et, si tu veux, quelques mots : 200 caractères au plus. N'écris pas ton nom. Avant l'enregistrement, toute suite de six chiffres ou plus est masquée. Notre équipe lit tes mots dans sa console, avec la raison et le jour de l'avis, sans l'heure. La console ne montre ni ta question, ni la réponse, ni qui tu es. Tes mots sont effacés au bout de 90 jours. Ils le sont aussi avant : quand tu désactives Halis AI, quand tu effaces la conversation, ou avec le reste de ton compte après sa fermeture.

La raison est aussi gardée avec la trace technique du tour : la version du prompt et des mesures de durée et de volume, sans ta question ni la réponse. Cette trace est gardée douze mois, puis effacée. Elle l'est aussi avec le reste de ton compte après sa fermeture. Elle n'est jamais lue avec tes mots. L'avis fait partie de l'export de tes données.

L'export de tes données, que tu demandes depuis l'application, contient ta conversation et ton profil Coach. Ils sont effacés de notre serveur trente jours après la fermeture de ton compte.

La base légale du Coach est notre intérêt légitime à te proposer une aide qui lit ton journal (article 6.1.f du RGPD). Tu peux t'y opposer à tout moment, sans avoir à te justifier, avec « Désactiver Halis AI » (article 21). Tes questions ne partent plus. La conversation est effacée de notre serveur, puis de tous tes appareils. Ton journal, ton profil et tes engagements restent.

Le Coach ne décide rien : il n'écrit aucun mouvement et ne déplace aucun montant. Un chiffre qu'il affiche vient de ton journal, pas de lui.

Où ça vit, et qui nous aide

Halis tourne sur nos serveurs, et la base de données qui porte ton journal est hébergée en Europe de l'Ouest. Quelques prestataires font ce que nous ne faisons pas nous-mêmes. Chacun reçoit les données nécessaires à son rôle, selon les conditions et usages décrits ici ; l'API de Mistral AI peut aussi conserver temporairement les échanges pour prévenir les abus.

• Neon — la base de données, en Europe de l'Ouest.
• Cloudflare — le site halis.app, la liste d'attente de la bêta, et le stockage des justificatifs.
• Resend — l'envoi des e-mails : codes de connexion, accusés d'inscription.
• Google — l'entrée « Continuer avec Google », les notifications sur Android. Le texte d'une notification transite par Google pour t'arriver.
• Mistral AI — la conversation du Coach, une fois ton accord donné et tant que tu ne l'as pas désactivé.
• Apple — l'entrée « Continuer avec Apple », les notifications sur iPhone, et TestFlight pendant la bêta. Le texte d'une notification transite par Apple pour t'arriver.
• Sentry — les rapports de plantage, filtrés avant enregistrement, hébergés aux États-Unis.
• PostHog Cloud EU — mesure de l'utilisation, désactivable, et pilotage des fonctions. Les événements excluent les montants et les textes libres ; l'adresse IP est écartée.

Quand un prestataire traite des données hors de l'Union européenne, c'est sous les clauses contractuelles types de la Commission européenne ou dans le cadre de protection des données entre l'Union européenne et les États-Unis.

Combien de temps

• Ton compte et ton journal : tant que ton compte est ouvert.
• Un code de connexion : quelques minutes, puis il expire.
• Un rapport de plantage : quatre-vingt-dix jours.
• Le fil du Coach : douze mois glissants, sur notre serveur et sur tes appareils. Ton profil Coach : tant que ton compte existe. Notre serveur garde aussi les segments validés vingt-quatre heures au plus pour la reprise.
• La liste d'attente de la bêta — prénom, adresse, plateforme : jusqu'à la fin de la bêta, ou plus tôt sur simple demande.

Fermer ton compte le rend inaccessible sur-le-champ, sur tous tes appareils, et le journal de l'appareil qui a demandé la fermeture s'efface. Ton espace perso n'est alors plus lisible par personne ; il est effacé de nos serveurs trente jours après la fermeture, Coach compris. Ce que tu as inscrit dans un groupe reste au groupe, sous ton prénom : c'est la seule chose qu'on garde pour les autres, parce que l'effacer changerait leurs comptes.

Tes droits

Le RGPD te donne des droits sur ce qui te concerne, et ils s'exercent sans formulaire.

• Voir ce qu'on a sur toi, et en recevoir une copie lisible — un export.
• Corriger ce qui est faux : ton prénom et ta devise se changent dans l'application ; pour le reste, écris-nous.
• Effacer : fermer ton compte depuis l'application, puis demander l'effacement de ce qui reste.
• T'opposer à un traitement, ou en demander la limitation.
• T'opposer à la mesure d'utilisation à tout moment, depuis À propos dans l'application, ou avec « Mesure d'audience » sur le site. Si ta version de l'application n'a pas encore ce réglage, écris-nous : on enregistre ton opposition pour ton compte, sur tous tes appareils.
• T'opposer au Coach à tout moment, en désactivant Halis AI dans l'application.

Pour les exercer, écris à hello@halis.app depuis l'adresse de ton compte. On répond sous trente jours. Si tu estimes qu'on n'a pas répondu correctement, tu peux saisir la CNIL en France, l'autorité de protection des données de ton pays de résidence, ou la Commission de protection des données personnelles au Sénégal.

La sécurité

Tout ce qui circule entre ton téléphone et nos serveurs est chiffré, et la base l'est au repos. L'entrée se fait sans mot de passe : un code à usage unique envoyé par e-mail, ou ton compte Google ou Apple.

Chaque appareil a sa propre session, que tu peux retirer depuis l'écran Sécurité ; une fermeture de compte les retire toutes. Un appareil perdu se retire de là, et il ne rouvre jamais l'ancienne session.

Les mineurs

Halis s'adresse aux personnes de seize ans et plus. Si tu penses qu'une personne plus jeune a ouvert un compte, écris-nous : on le ferme.

Ce qui change

Cette page changera avec le produit. On te prévient avant que ça change — dans l'application, ou par e-mail si le changement touche ce qu'on collecte — et la date en tête dit toujours de quand elle date.