Déclaration de protection des données

1. Responsable du traitement

Alexander Seibold
Entreprise individuelle
Lohningerweg 44
8240 Thayngen
Suisse

Courriel : info@batzi.ch

2. Principes

Nous traitons les données personnelles conformément à la loi suisse sur la protection des données (LPD). Nous ne collectons que les données nécessaires à l'exploitation de l'application et ne les transmettons pas à des tiers, sauf dans les cas décrits ici.

Champ d'application de cette déclaration : Batzi s'adresse aux ménages en Suisse. Le fournisseur n'a ni siège ni établissement dans l'UE, facture exclusivement en francs suisses et ne fait pas de publicité dans les États de l'UE. C'est donc la LPD suisse qui s'applique et nous n'avons pas désigné de représentant dans l'UE au sens de l'art. 27 RGPD. Si vous utilisez Batzi depuis l'UE, nous traitons vos demandes d'accès, de rectification, de suppression, de remise et d'opposition de manière équivalente aux droits prévus au chiffre 11, sans pour autant reconnaître l'applicabilité du RGPD.

Pourquoi Batzi existe en dix langues : un bon quart des personnes qui vivent en Suisse n'a pas de passeport suisse. Batzi existe donc, outre l'allemand, le français et l'italien, également en anglais, espagnol, portugais, albanais, serbe, turc et ukrainien. Ce sont les langues des plus grands groupes de population du pays, afin que celles et ceux qui ne parlent pas allemand comprennent aussi leur propre budget de ménage. Quatre d'entre elles, à savoir l'albanais, le serbe, le turc et l'ukrainien, appartiennent à des pays hors de l'UE. Les langues qui seraient évidentes pour une offre destinée à l'UE mais qui ne concernent ici que de petits groupes de population, comme le polonais, le néerlandais ou le roumain, ne sont délibérément pas proposées. Le choix des langues est donc une offre aux personnes domiciliées en Suisse et non un ciblage de marchés étrangers.

3. Quelles données personnelles nous traitons

• Inscription : nom, adresse électronique, mot de passe (enregistré uniquement sous forme hachée), la clé de votre connexion à deux facteurs et vos codes de secours (enregistrés chiffrés). Si vous configurez une clé d’accès, nous enregistrons sa clé publique, un identifiant, un compteur contre les copies et le nom que vous avez choisi ; la clé privée reste sur votre appareil.
• Paiement : le paiement est traité par Stripe. Nous n'enregistrons qu'un identifiant client Stripe et le statut du paiement. Les données de carte sont traitées exclusivement par Stripe.
• Utilisation de l'application : les données budgétaires que vous saisissez vous-même : noms des ménages, noms des personnes et leurs revenus, comptes, postes budgétaires (catégorie, montant, fréquence, répartition), dépenses effectives, objectifs d'épargne, ainsi que les récapitulatifs calculés à partir de tout cela (instantanés).
• Relevés de compte que vous téléversez : date de l'écriture, montant, monnaie et sens de l'écriture, c'est-à-dire dépense, crédit ou virement interne. Du libellé de l'écriture nous ne conservons qu'un nom court de la contrepartie, trois mots au maximum et sans chiffres, ainsi que la catégorie attribuée et une valeur de contrôle qui nous permet de reconnaître la même écriture lors d'une seconde importation. À cela s'ajoutent la période du relevé et le nom du fichier, dont nous retirons au préalable les numéros de compte et d'IBAN. Si l'application retient une attribution comme règle, nous n'enregistrons pas le nom en clair, mais seulement sa valeur de contrôle. Une telle règle n'est créée que si tu l'acceptes au moment de reprendre les lignes. Pour la proposition de catégorie, nous comparons en outre le nom avec une liste d'entreprises suisses connues que nous tenons nous-mêmes ; elle ne contient ni particuliers ni prestataires de santé, n'apprend rien de tes données et n'est pas partagée avec d'autres ménages. Si ta banque fournit le type d'opération, nous ne l'utilisons que dans l'aperçu et ne l'enregistrons pas. Nous n'enregistrons pas le motif du paiement. Il est écarté dès l'aperçu. Ces données proviennent exclusivement du fichier que vous téléversez vous-même, elles ne sont enregistrées qu'une fois l'aperçu confirmé, et l'importation suppose votre consentement exprès.
• Potentiel d'économie calculé : si vous utilisez les calculateurs comparatifs, nous enregistrons le montant que vous pourriez économiser par mois, ainsi que la date du calcul et une courte valeur de contrôle qui nous permet de reconnaître un nouveau calcul inchangé. Nous n'enregistrons que là où un changement est réellement possible ; aujourd'hui, il s'agit uniquement de l'assurance-maladie. Les comparaisons liées au lieu (impôts, loyer, électricité, charges) et les calculs modèles pour les frais de déplacement et l'hypothèque ne sont pas conservés. Vos saisies dans le calculateur lui-même ne sont pas non plus enregistrées.
• Ménage partagé : si vous partagez un ménage, nous enregistrons qui en est membre et avec quel rôle (propriétaire, éditeur ou lecteur), ainsi que la date d'adhésion. Pour une invitation, nous enregistrons un jeton aléatoire, le rôle prévu, la date d'expiration et, si vous la saisissez, l'adresse électronique de la personne invitée. Si vous indiquez pour une dépense qui l'a payée, nous enregistrons également cette attribution ; elle est la base du décompte.
• Données techniques : à chaque connexion, nous enregistrons l'adresse IP et l'agent utilisateur afin de sécuriser votre compte (gestion des sessions). Les événements liés à la sécurité de votre compte (connexion avec second facteur ou clé d’accès, nouveaux codes de secours, changement de mot de passe, clé d’accès ajoutée ou supprimée, appareils déconnectés, demande de récupération) sont journalisés avec l’heure, l’adresse IP et l’identifiant du navigateur, affichés dans les réglages et supprimés après 180 jours. Si vous demandez la récupération de votre connexion à deux facteurs, nous conservons la demande avec son statut, la fin du délai, l’adresse IP et l’identifiant du navigateur jusqu’à son règlement.
• Envoi de courriels : votre adresse électronique est utilisée pour les courriels de réinitialisation du mot de passe et, si vous les activez, pour des notifications (p. ex. rappels de budget). L'envoi passe par Brevo (anciennement Sendinblue), un service de courriel conforme au RGPD avec des serveurs dans l'UE.
• Notifications push : si vous activez les notifications push, nous enregistrons un point de terminaison technique (abonnement push) et des clés cryptographiques fournies par votre navigateur. Ils ne contiennent ni votre nom ni votre adresse électronique, mais identifient votre navigateur sur cet appareil, et servent exclusivement à l'envoi de notifications (détails au chiffre 7). Vous pouvez les désactiver à tout moment dans les réglages de l'application ou de votre navigateur.
• Retours : si vous nous envoyez un retour via l'application, nous enregistrons votre texte et, si vous les joignez, une capture d'écran et un court enregistrement d'écran. Ces pièces jointes se trouvent sur le même serveur suisse que les autres données et servent uniquement au traitement de votre message. Veillez à ce qui est visible sur une capture d'écran.

Si Batzi ne reconnaît pas le format de votre fichier, vous pouvez nous envoyer volontairement la ligne d'en-tête et deux lignes d'exemple dont les montants sont masqués, afin que nous puissions ajouter votre banque. Vous voyez au préalable, mot pour mot, ce qui serait envoyé. Sans ce clic explicite, rien de tout cela ne quitte votre navigateur, et le fichier lui-même n'est pas non plus conservé dans ce cas.

4. But du traitement

• Mise à disposition et exploitation de l'application de budget
• Tenue commune d'un ménage avec des personnes que vous invitez vous-même (voir chiffre 4a)
• Authentification et sécurité du compte
• Traitement du paiement (abonnement)
• Communication (réinitialisation du mot de passe, notifications facultatives)
• Indications automatisées sur votre budget (voir chiffre 12)
• Statistiques anonymisées et agrégées sur les budgets des ménages suisses (voir chiffre 13)
• Mesure de l'efficacité publicitaire et analyse du comportement des utilisateurs (uniquement après votre consentement explicite via la bannière de cookies)

Nous ne traitons pas vos données à d'autres fins. Nous ne vendons pas de données personnelles, ne louons pas d'adresses, n'affichons aucune publicité tierce dans l'application et n'établissons pas de profils pour des tiers. Nous faisons de la publicité uniquement pour notre propre compte, afin de faire connaître Batzi ; elle n'est mesurée que si vous avez donné votre accord dans la bannière de cookies.

4a. Si vous partagez un ménage

Vous pouvez partager un ménage avec d'autres personnes, afin qu'un couple ou une colocation tienne les mêmes chiffres sans partager un identifiant. Cela n'arrive que si vous le déclenchez vous-même : par une invitation que vous créez et transmettez. Qui accepte l'invitation devient membre de votre ménage. Vous voyez à tout moment qui est membre et pouvez retirer chaque membre.

L'invitation elle-même consiste en un lien aléatoire à validité limitée. Elle ne peut être utilisée qu'avec un compte connecté et peut être retirée à tout moment. Si vous saisissez une adresse électronique lors de l'invitation, elle sert uniquement à votre propre vue d'ensemble et n'est pas une condition pour l'utiliser. Si vous quittez un ménage ou en êtes retiré, votre accès prend fin immédiatement ; les chiffres déjà saisis restent auprès du ménage.

5. Services tiers et transferts à l'étranger

Stripe (traitement des paiements)

Stripe Inc., États-Unis. Stripe est certifié selon le Swiss-U.S. Data Privacy Framework. Seules les données nécessaires au paiement sont transmises.

Déclaration de protection des données de Stripe

Brevo (envoi de courriels)

Brevo (anciennement Sendinblue), France/UE. Utilisé pour l'envoi des courriels de réinitialisation du mot de passe, des courriels de vérification et des notifications par courriel. Brevo est conforme au RGPD et traite les données dans l'UE. Seuls votre adresse électronique et le contenu du courriel sont transmis.

Déclaration de protection des données de Brevo

Meta Pixel (publicité)

Meta Platforms Ireland Ltd. Nous utilisons le pixel Meta pour mesurer l'efficacité de nos annonces sur Instagram et Facebook. Le pixel n'est chargé qu'après votre consentement explicite (bannière de cookies). Il collecte des données d'utilisation pseudonymisées telles que les pages consultées et les achats conclus. Meta peut relier ces données à votre profil Meta.

Mesure des achats côté serveur (Conversions API) : si vous achetez l'accès Premium et que vous avez auparavant autorisé les cookies publicitaires, notre serveur signale en outre l'achat directement à Meta. Sont alors transmis votre adresse électronique sous forme irréversiblement hachée (SHA-256), votre adresse IP, l'identifiant de votre navigateur (agent utilisateur), les valeurs des cookies Meta ainsi que le montant et la monnaie. Le but est uniquement de ne pas compter deux fois le même achat et de mesurer l'efficacité de notre publicité. Sans votre consentement publicitaire, cette transmission n'a pas lieu, pas même sous forme hachée. L'achat lui-même fonctionne de manière totalement indépendante.

Déclaration de protection des données de Meta

Google Analytics 4 (analyse)

Google Ireland Ltd. Nous utilisons Google Analytics 4 pour analyser l'utilisation du site. GA4 n'est chargé qu'après votre consentement explicite (bannière de cookies). Les adresses IP sont anonymisées. Google peut traiter les données sur des serveurs aux États-Unis (clauses contractuelles types).

Déclaration de protection des données de Google

Remarque sur les transferts à l'étranger : les services mentionnés traitent en partie des données dans des pays dont le niveau de protection ne correspond pas au niveau suisse, en particulier aux États-Unis. Nous fondons ces transferts sur des clauses contractuelles types ou sur le Swiss-U.S. Data Privacy Framework. Il ne peut néanmoins pas être exclu que des autorités du pays concerné, par exemple des services de renseignement, accèdent à ces données, ni que vos droits n'y soient pas aussi efficacement applicables qu'en Suisse. Vos données budgétaires ne sont pas concernées : elles sont stockées exclusivement en Suisse. Seuls les montants figurant dans un rappel par courriel que vous avez activé vous-même partent à l'étranger, à savoir chez Brevo dans l'UE, dont le Conseil fédéral reconnaît le niveau de protection des données comme adéquat.

Sous-traitance (art. 9 LPD) : Infomaniak (hébergement), Brevo (envoi de courriels) et Stripe (paiement) traitent des données pour nous et selon nos instructions. Les conventions de sous-traitance nécessaires existent avec les trois, ils ne peuvent pas utiliser les données à leurs propres fins ni faire appel à d'autres sous-traitants sans notre accord. Stripe traite en outre les données de carte sous sa propre responsabilité, dans la mesure où cela est nécessaire à la lutte contre la fraude et aux obligations réglementaires.

Pour Meta et Google, il en va autrement, et nous le disons ouvertement : pour la mesure publicitaire, ces deux entreprises ne sont pas de purs sous-traitants mais poursuivent aussi leurs propres finalités avec les données collectées. Nous ne pouvons pas leur donner d'instructions à cet égard. C'est précisément pourquoi les deux ne sont chargés qu'après votre consentement explicite, peuvent être refusés séparément et révoqués à tout moment. Aucun des deux n'a jamais accès à vos données budgétaires.

Pour l'importation de vos relevés de compte, aucun autre prestataire n'intervient. Ni les fournisseurs mentionnés ci-dessus, ni un agrégateur de données bancaires, ni aucun autre tiers n'obtient accès au fichier ou aux écritures qui en sont issues. Le traitement a lieu entièrement sur notre propre serveur.

Pour convertir des écritures en monnaie étrangère, notre serveur récupère les cours moyens mensuels de la Banque nationale suisse (data.snb.ch). Cette requête ne contient rien vous concernant : ni montants, ni monnaies, ni identifiant. La table entière est chargée et mise en cache 24 heures.

6. Cookies et stockage local

Pour la statistique d'utilisation anonyme, nous utilisons Umami, un outil d'analyse respectueux de la vie privée. Umami ne pose pas de cookies, n'enregistre pas d'adresses IP et ne collecte aucune donnée personnelle. Il est exploité sur notre propre serveur en Suisse.

En outre, nous utilisons après votre consentement (bannière de cookies) des cookies de suivi de Meta (pixel Facebook/Instagram) et de Google (Analytics 4). Ils servent à mesurer l'efficacité publicitaire et à analyser le comportement des utilisateurs. Dans la bannière de cookies, vous pouvez choisir séparément si vous souhaitez autoriser les cookies de statistique (Google Analytics) et/ou les cookies publicitaires (pixel Meta).

Révocation : vous pouvez révoquer votre consentement à tout moment en cliquant sur « Paramètres des cookies » dans le pied de page. La bannière de cookies réapparaît alors et vous pouvez modifier votre choix.

L'application utilise par ailleurs des cookies techniquement nécessaires pour la connexion. Le cookie de connexion reste valable jusqu'à sept jours et se prolonge lors d'une utilisation active, afin que vous n'ayez pas à vous reconnecter à chaque visite. Il est supprimé à la déconnexion, de même que lorsque vous mettez fin à une session dans les réglages. Ce n'est pas un simple cookie de session : il survit à la fermeture du navigateur. Si vous choisissez « Faire confiance à cet appareil » lors de la connexion, nous déposons un cookie supplémentaire qui dispense de la saisie du code sur ce navigateur pendant 30 jours ; une réinitialisation du mot de passe ou une récupération le supprime.

S'y ajoute le stockage local de votre navigateur (localStorage). Il contient non seulement le thème de couleurs, la langue, votre choix de cookies et l'état intermédiaire de l'assistant de budget, mais aussi les saisies faites dans les calculateurs comparatifs et de planification, afin que vous n'ayez pas à les retaper dans chaque calculateur : code postal, âge, franchise, modèle d'assurance et couverture accidents, revenu et revenu du partenaire, fortune, état civil, nombre d'enfants, confession, ainsi que les indications sur le trajet professionnel, le logement, l'hypothèque et l'immeuble. La confession est une donnée personnelle sensible ; elle sert uniquement à l'impôt ecclésiastique dans le comparatif fiscal. Ce stockage se trouve sur votre appareil et n'est pas lu par nous ; pour le calcul, les valeurs nécessaires sont transmises à notre serveur, qui les utilise uniquement pour calculer et ne les conserve pas. Vous pouvez l'effacer à tout moment dans les réglages de votre navigateur. Si vous cliquez sur une annonce, l'adresse contient un identifiant de clic (gclid, fbclid) ou des paramètres de campagne. Nous ne les déposons sur l'appareil qu'avec votre consentement publicitaire ; sans lui, ils ne sont pas enregistrés, et lors de la révocation nous les supprimons.

En HTTPS, nos propres cookies portent en plus le préfixe __Secure-, ils ne sont donc transmis que par des connexions chiffrées.

7. Notifications push et par courriel

Dans les réglages de l'application, vous pouvez gérer les notifications push et les notifications par courriel. Les notifications par courriel sont activées par défaut, les notifications push doivent être activées manuellement.

• Notifications push : à l'activation, votre navigateur demande votre accord. Nous enregistrons l'abonnement push généré par le navigateur (un point de terminaison technique et des clés de chiffrement). L'envoi passe par le standard Web Push (VAPID) : le contenu et le titre de chaque message sont chiffrés de bout en bout entre notre serveur et votre navigateur.

  Le chemin passe toutefois par le service push de l'éditeur de votre navigateur, que votre navigateur détermine lui-même : Google pour Chrome et Android, Apple pour Safari, iPhone et iPad, Mozilla pour Firefox. Ces services ne peuvent pas lire le contenu, mais ils apprennent qu'un message a été remis à votre point de terminaison à un moment donné. Nous ne leur transmettons ni votre nom, ni votre adresse électronique, ni aucune donnée budgétaire. Si vous voulez éviter même cette information marginale, laissez les notifications push désactivées et utilisez les rappels par courriel.

• Notifications par courriel : à l'activation, nous utilisons votre adresse électronique existante pour vous envoyer au plus une à deux fois par mois des rappels concernant votre budget (p. ex. contrôle du budget). Les rappels saisonniers vers les comparateurs (primes d'assurance-maladie en automne, impôts au printemps) sont de la publicité et ne sont envoyés que si vous les activez séparément dans les réglages ; ils sont désactivés par défaut. Chaque courriel contient un lien de désinscription qui coupe les deux types en un clic. L'envoi passe par Brevo (UE).
• Désactivation : vous pouvez désactiver les deux canaux à tout moment dans les réglages de l'application. Pour les notifications push, votre abonnement est supprimé immédiatement.

8. Hébergement et chiffrement

L'application et la base de données sont exploitées sur un serveur propre chez Infomaniak à Genève, Suisse (serveur virtuel dans l'Infomaniak Public Cloud). Il ne s'agit pas d'une solution cloud américaine (ni AWS, ni Google Cloud, ni Azure).

• Emplacement : centre de calcul Infomaniak, Genève, Suisse. Vos données ne quittent pas la Suisse (exception : envoi de courriels via Brevo, UE ; traitement du paiement via Stripe, États-Unis).
• Chiffrement : toutes les connexions sont chiffrées par TLS (HTTPS). Les mots de passe sont hachés avec scrypt et ne sont jamais enregistrés en clair. Les clés de la connexion à deux facteurs sont également stockées chiffrées. Les copies de sauvegarde de la base de données sont chiffrées avec AES-256. Des clés d’accès, nous ne conservons que la clé publique ; à elle seule, elle ne permet à personne de se connecter.
• Accès : seul l'exploitant dispose d'un accès au serveur, exclusivement par clé SSH ; la connexion par mot de passe est désactivée. La base de données n'est pas accessible depuis l'extérieur. Aucun prestataire tiers n'a accès à la base de données.

9. Export des données

Vous pouvez à tout moment exporter toutes vos données en fichier JSON dans les réglages de l'application. L'export comprend votre profil, tous les ménages, personnes, comptes, plans budgétaires, dépenses, objectifs d'épargne, récapitulatifs historiques, vos envois de retour et les messages dans l'application, ainsi que les mouvements de compte repris des relevés et les journaux d'importation correspondants, de même que le potentiel d'économie calculé avec son domaine et sa date de calcul. S'y ajoute une section sur votre compte lui-même : vos connexions avec date, adresse IP et identifiant d'appareil, les courriels de confirmation et de réinitialisation demandés, vos abonnements push, le journal d'envoi des rappels et vos liens de partage. Les identifiants eux-mêmes n'y figurent sciemment pas, donc aucun jeton, aucune clé à deux facteurs, aucun code de secours et aucune adresse push complète : les livrer dans un fichier serait un risque de sécurité. Vous pouvez ainsi sauvegarder vos données ou les emporter vers un autre service.

Pour les ménages partagés, une limite volontaire s'applique : les ménages que vous avez créés vous-même y figurent intégralement. Des ménages auxquels vous avez seulement été invité, l'export contient l'affiliation avec nom, rôle et date d'adhésion ainsi que les mouvements de compte et journaux d'importation que vous y avez saisis vous-même. Tout le reste de ces ménages reste dehors. Un droit d'accès porte sur vos données, non sur une copie des données d'autres personnes, mais il ne s'arrête pas non plus à la frontière du ménage.

10. Conservation et suppression

Vos données sont conservées tant que votre compte existe. Vous pouvez supprimer votre compte vous-même à tout moment dans les réglages de l'application. Vous pouvez aussi demander la suppression par courriel à info@batzi.ch. Dans les deux cas, toutes vos données sont supprimées de manière irréversible : profil, ménages, personnes, comptes, budgets, dépenses, objectifs d'épargne, analyses ainsi que d'éventuels retours avec captures et enregistrements d'écran.

Restrictions que nous voulons divulguer :

• Copies de sauvegarde : nous créons chaque jour une sauvegarde chiffrée de la base de données et conservons les 14 derniers états. Des données supprimées peuvent donc encore figurer jusqu'à 14 jours dans ces sauvegardes avant de disparaître définitivement. Les sauvegardes servent exclusivement à la restauration après une panne technique et ne sont pas analysées.
• Nettoyage automatique : même sans suppression de compte, nous retirons chaque jour ce qui a rempli son but : les sessions de connexion expirées avec l'adresse IP et l'identifiant de navigateur enregistrés, les liens de confirmation et de réinitialisation expirés ainsi que les liens de partage expirés. De même les demandes de récupération réglées ou expirées après sept jours et les événements de sécurité de votre compte après 180 jours.
• Relevés et mouvements de compte : nous ne conservons pas du tout le fichier téléversé, il est écarté après l'aperçu. Les mouvements que vous avez confirmés restent enregistrés tant que votre compte existe, car ils sont la raison d'être de l'utilisation. Les journaux d'importation, c'est-à-dire l'indication de quand et pour quelle période vous avez importé, sont supprimés automatiquement 24 mois après l'importation. Le nom d'une écriture importée est automatiquement remplacé par sa catégorie déjà 90 jours après l'importation ; le montant, la date et la catégorie demeurent. Vous pouvez supprimer vous-même chaque écriture à tout moment.
• Ménage partagé : une affiliation dure tant qu'elle dure : elle prend fin lorsque vous quittez le ménage, lorsque le propriétaire vous retire ou lorsque l'un des deux comptes est supprimé. Les invitations ouvertes sont supprimées automatiquement dès qu'elles sont expirées ou utilisées. Si vous possédez un ménage partagé au moment de supprimer votre compte, nous vous demandons expressément au préalable si nous devons le remettre à un membre restant ou le supprimer avec tous les chiffres. Sans votre choix, rien ne se passe.
• Potentiel d'économie calculé : ce que les calculateurs comparatifs ont déterminé est supprimé automatiquement 12 mois après le calcul. Les prix et les primes changent chaque année, après quoi le chiffre serait de toute façon dépassé. Dès 90 jours, l'application l'affiche en atténué et vous propose un nouveau calcul.
• Justificatifs de paiement : si vous avez acheté Premium, nous sommes tenus, au titre de la comptabilité, de conserver le justificatif dix ans (art. 958f CO). Pour cela, un justificatif d'achat reste dans notre base de données avec le montant, la monnaie, la date, les identifiants Stripe du paiement et votre adresse électronique pour l'attribution. Il est détaché de votre compte et subsiste même après la suppression de celui-ci. Il ne contient ni nom, ni adresse, ni données de carte. Après dix ans, le nettoyage quotidien le supprime. Le justificatif de paiement lui-même reste en plus chez Stripe.

11. Vos droits

Vous disposez des droits suivants selon la loi suisse sur la protection des données (LPD) :

• Accès : vous pouvez demander quelles données nous avons enregistrées à votre sujet.
• Rectification : vous pouvez demander la correction de données inexactes.
• Suppression : vous pouvez demander la suppression de vos données (dans les réglages de l'application ou par courriel).
• Remise des données : vous pouvez exporter vos données directement en JSON dans les réglages de l'application. Vous pouvez aussi en demander la remise par courriel.
• Révocation du consentement : les consentements donnés (cookies, notifications) peuvent être révoqués à tout moment avec effet pour l'avenir, sans indication de motifs.
• Opposition : vous pouvez vous opposer au traitement de vos données, en particulier aux indications automatisées selon le chiffre 12. Nous cessons alors le traitement concerné, pour autant qu'aucune obligation légale ni intérêt prépondérant ne s'y oppose.

Adressez vos demandes à info@batzi.ch. Nous y répondons en règle générale dans les 30 jours et gratuitement. Afin de ne pas remettre des données à la mauvaise personne, nous pouvons exiger une preuve de votre identité pour les demandes d'accès et de remise ; normalement, une demande depuis l'adresse électronique enregistrée chez nous suffit.

Réclamation : si vous estimez que nous violons le droit de la protection des données, vous pouvez vous adresser à tout moment au Préposé fédéral à la protection des données et à la transparence (PFPDT), Feldeggweg 1, 3003 Berne. Nous vous prions toutefois de vous adresser d'abord directement à nous, c'est le plus souvent réglé plus vite.

12. Analyses automatisées de vos données budgétaires

Batzi analyse automatiquement les données budgétaires que vous avez saisies afin de vous donner des indications, par exemple que votre prime d'assurance-maladie dépasse la médiane suisse, que votre charge de loyer dépasse un tiers du revenu ou qu'aucun montant d'épargne n'est prévu. Les rappels par courriel et par push naissent également de telles analyses. Selon la loi sur la protection des données, cela constitue un profilage, raison pour laquelle nous le divulguons ici.

Ce qui suit s'applique :

• L'analyse suit des règles et des seuils fixes, programmés par nous. Aucun système auto-apprenant n'est utilisé.
• N'y entrent que des données que vous avez saisies vous-même dans l'application et des valeurs de comparaison publiquement accessibles (OFSP, AFC, OFS, ElCom et autres). Nous n'achetons pas de données à votre sujet et n'en tirons d'aucune autre source.
• Les indications n'ont aucune conséquence juridique et ne conduisent à aucune décision vous concernant. Aucun examen de solvabilité, de crédit ou de risque n'a lieu, et les résultats ne sont transmis à personne.
• Un relevé de compte peut contenir des indications permettant des conclusions sur des domaines particulièrement sensibles, par exemple le nom d'une pharmacie, d'une clinique, d'une paroisse ou d'un parti. Nous n'analysons pas ces indications de manière ciblée, n'en formons pas de catégories et ne les enrichissons pas avec des données externes. Vous pouvez désélectionner chaque écriture déjà dans l'aperçu et supprimer plus tard individuellement chaque écriture reprise. Le fait que vous budgétiez une prime d'assurance-maladie ne nous dit rien sur votre santé.
• À partir de vos écritures, Batzi reconnaît les paiements récurrents, par exemple un abonnement ou une facture trimestrielle, et vous indique s'ils figurent au budget. Le calcul utilise une valeur de contrôle irréversible du nom du commerçant, pas le nom lui-même ; seuls vous et votre ménage voyez le résultat, il n'est pas transmis, et vous pouvez masquer chaque résultat.
• Vous pouvez vous opposer à l'analyse et désactiver les notifications à tout moment dans les réglages.

13. Statistiques anonymisées

Nous analysons des données budgétaires sous forme anonymisée et agrégée afin d'améliorer l'application et de publier des constats fiables sur les budgets des ménages suisses, par exemple à la demande de médias. Nous respectons pour cela quatre règles contraignantes, ancrées techniquement dans l'outil d'analyse :

• Seuls des totaux et des moyennes sont analysés, jamais des ménages individuels.
• Les noms, adresses électroniques, notes et identifiants ne sont dans ce cadre ni lus ni publiés.
• Les groupes de moins de 20 ménages sont entièrement supprimés.
• Chaque chiffre publié porte le nombre de cas sur lequel il repose.

Toute conclusion vous concernant en tant que personne est ainsi exclue. Nous ne vendons pas de données et ne transmettons pas non plus de jeux de données anonymisés à des annonceurs.

14. Autorités et liens externes

Nous ne communiquons des données personnelles à des autorités ou des tribunaux que si nous y sommes légalement tenus ou si cela est nécessaire pour faire valoir ou défendre des prétentions juridiques. Dans la mesure où cela est juridiquement admissible, nous vous en informons au préalable.

L'application et le site contiennent des liens vers des pages de tiers, par exemple vers les sources des données de comparaison ou vers les déclarations de protection des données des services mentionnés ci-dessus. Nous ne sommes pas responsables de leur contenu ni de leur manière de traiter les données. Nous n'exploitons actuellement aucun profil sur les réseaux sociaux.

15. Modifications

Nous pouvons adapter cette déclaration de protection des données. La version actuelle est toujours consultable sur cette page. En cas de modifications importantes, par exemple lorsqu'un nouveau service tiers s'ajoute ou qu'une nouvelle finalité de traitement apparaît, nous vous informons au moins 30 jours avant leur entrée en vigueur par courriel ou dans l'application. Cela correspond au délai qui vaut aussi pour les modifications des conditions générales. Cette déclaration est une information au sens de l'art. 19 LPD et ne fait pas partie des conditions générales ; son adaptation n'est donc pas une modification des conditions générales et ne déclenche pas de nouveau consentement.