Politique de confidentialité

Dernière mise à jour : 9 mai 2026 · Version 1.0

Cette politique explique comment Ovarli collecte, utilise, partage et protège vos données personnelles lorsque vous utilisez le service. Elle est rédigée pour être lisible et précise, conformément à l'article 19 alinéa 4 de la loi fédérale suisse sur la protection des données (nLPD) et à l'article 12 du Règlement général européen sur la protection des données (RGPD).

1. Identité du responsable du traitement

Le responsable du traitement de vos données personnelles au sens de la nLPD et du RGPD est :

• Ovarli, exploitée par Vinny Jordan Mboyo, raison individuelle, Suisse.
• Contact : hello@ovarli.app
• Délégué à la protection des données (DPO) : non désigné, contact direct via l'adresse ci-dessus.

Ovarli n'a pas l'obligation de désigner un représentant en Union européenne au sens de l'article 27 du RGPD compte tenu de la taille de la structure et du caractère non systématique du traitement à grande échelle. Cette analyse sera revue lors d'évolutions futures.

2. À qui s'applique cette politique

Cette politique s'applique à toute personne qui visite ovarli.app, crée un compte Ovarli ou interagit avec le service à un autre titre. Elle ne couvre pas les sites tiers vers lesquels Ovarli pourrait pointer, qui disposent de leurs propres politiques.

3. Données que nous collectons

3.1 Données fournies directement par vous

• Données d'inscription : adresse email et mot de passe (stocké sous forme hachée bcrypt, jamais en clair). Si vous vous connectez via Google, votre identifiant Google et votre nom public Google.
• Données financières : tout ce que vous saisissez dans l'application : revenus, charges, abonnements, véhicules, dettes, créances, objectifs, investissements, cryptomonnaies, plans d'épargne. Ces données sont stockées sur l'infrastructure d'Ovarli et ne sont visibles que par vous (hors accès administrateur explicite, voir section 5).
• Données de profil : préférence de langue (FR/EN/DE/IT), thème (clair/sombre), devise principale, paramètres TOTP en cas d'activation de la double authentification.
• Communications : si vous nous écrivez (support, suggestion, plainte), nous conservons l'échange.

3.2 Données collectées automatiquement

• Données techniques : adresse IP, user-agent du navigateur, horodatages de connexion, code de réponse HTTP. Ces données sont enregistrées par notre reverse proxy à des fins de sécurité et de diagnostic, et conservées 30 jours maximum dans des logs internes.
• Données d'authentification : un jeton de session (JWT) signé par Ovarli, stocké dans le navigateur (localStorage) pour vous maintenir connecté. Sa durée de vie maximale côté serveur est de 30 jours, mais une couche de protection supplémentaire vous déconnecte automatiquement après 15 minutes d'inactivité dans l'application. Le jeton contient votre identifiant interne, votre rôle et la date d'expiration. La durée de vie maximale sera réduite (7 jours avec rafraîchissement glissant) dans une prochaine version.
• Données de sécurité 2FA : si vous activez la double authentification, un secret TOTP base32 est conservé pour vérifier vos codes à 6 chiffres. Les défis 2FA temporaires sont automatiquement détruits après 5 minutes.
• Erreurs applicatives : en production, les erreurs côté serveur ou côté navigateur sont remontées à un service tiers de suivi des erreurs (Sentry) après filtrage des données identifiantes (voir section 5). En développement aucune donnée n'est remontée.
• Cookies et stockage local : voir notre Politique relative aux cookies. Aucun outil de mesure d'audience ou de marketing tiers n'est installé à ce jour.

3.3 Catégories particulières de données

Ovarli ne collecte ni ne traite intentionnellement de données sensibles au sens de la nLPD (article 5 lettre c) ou de l'article 9 du RGPD (origine raciale ou ethnique, opinions politiques, convictions religieuses, données de santé, orientation sexuelle, etc.). Les données financières que vous saisissez sont protégées avec un niveau de soin élevé en raison de leur sensibilité fonctionnelle, sans pour autant relever de cette catégorie légale particulière.

4. Pourquoi nous collectons ces données (finalités et bases légales)

Conformément à l'article 31 nLPD et à l'article 6 du RGPD, chaque traitement repose sur une base légale claire :

• Exécution du contrat (article 6 § 1 lettre b RGPD) : créer et gérer votre compte, fournir les fonctionnalités d'Ovarli, envoyer des notifications relatives à votre compte (validation, alerte sécurité, expiration de plan).
• Intérêt légitime (article 6 § 1 lettre f RGPD) : assurer la sécurité du service, prévenir et détecter la fraude ou les abus, mesurer la performance technique de l'infrastructure, améliorer le service. Cet intérêt est mis en balance avec vos droits fondamentaux et vous pouvez à tout moment vous y opposer (voir section 9).
• Consentement (article 6 § 1 lettre a RGPD) : pour activer les outils d'analyse d'audience ou de marketing, lorsqu'ils seront proposés, et pour recourir au service d'IA Anthropic afin de générer des recommandations personnalisées (cette fonctionnalité est strictement opt-in et soumise à une anonymisation préalable des données financières).
• Obligation légale (article 6 § 1 lettre c RGPD) : conserver certaines données comptables et fiscales lorsque la facturation Stripe sera activée, conformément au droit suisse (notamment l'article 958f du Code des obligations).

5. Avec qui nous partageons vos données

Ovarli ne vend jamais vos données personnelles. Nous partageons uniquement avec les catégories de destinataires suivantes, dans les limites strictement nécessaires :

5.1 Sous-traitants techniques (data processors)

Chaque sous-traitant est lié à Ovarli par un contrat conforme à l'article 28 RGPD, garantissant un niveau de sécurité approprié et l'absence de traitement à d'autres fins que celles spécifiées par Ovarli.

• Anthropic, Inc. (États-Unis) : génération des recommandations IA pour les utilisateurs des plans Pro et Premium, uniquement avec votre consentement explicite. Les prompts envoyés à Anthropic sont anonymisés (voir section 11).
• Functional Software, Inc. (Sentry) (États-Unis ou Union européenne selon plan) : suivi des erreurs applicatives en production. Les données identifiantes (jeton de session, mot de passe, code 2FA, identifiant utilisateur) sont retirées avant envoi par un filtre côté Ovarli.
• Stripe Payments Europe Ltd. (Irlande) : traitement des paiements et gestion des abonnements lorsque la facturation sera activée. Stripe est responsable de traitement indépendant pour les données de paiement (numéro de carte). Ovarli ne stocke jamais vos données bancaires complètes.
• Google LLC (États-Unis) : authentification OAuth si vous choisissez « Continuer avec Google ». Google reçoit la confirmation que vous vous êtes connecté à Ovarli, mais ne reçoit aucune donnée saisie dans Ovarli.
• Hébergement : nos serveurs sont localisés en Suisse, opérés par Ovarli sur une infrastructure cloud privée (machines virtuelles louées auprès d'un hébergeur suisse). Les sauvegardes sont chiffrées et conservées localement.

5.2 Autorités

Ovarli peut être amenée à divulguer des données personnelles à une autorité administrative ou judiciaire suisse compétente, sur réquisition légale et après examen de la conformité de la demande au droit suisse. Lorsque la loi le permet, nous informerons l'utilisateur concerné.

5.3 Successeurs

En cas de fusion, acquisition, ou cession d'actifs, vos données pourraient être transférées au successeur. Nous vous en informerions à l'avance et vous donnerions la possibilité de résilier votre compte avant toute reprise.

6. Transferts internationaux de données

Lorsque vos données sont transférées hors de Suisse ou de l'Espace économique européen, Ovarli s'assure que le transfert repose sur une base appropriée :

• Décision d'adéquation du Conseil fédéral suisse ou de la Commission européenne lorsqu'elle existe pour le pays destinataire.
• À défaut, clauses contractuelles types (Standard Contractual Clauses) telles que publiées par la Commission européenne et complétées d'analyses d'impact des transferts (TIA) pour les destinataires aux États-Unis.

Les destinataires concernés à ce jour : Anthropic (US), Sentry (US ou UE selon plan), Stripe (Irlande, donc UE), Google (US).

7. Combien de temps nous conservons vos données

• Données de compte actif : conservées tant que votre compte est actif. Vous pouvez à tout moment exporter vos données ou demander la suppression de votre compte depuis votre profil.
• Comptes supprimés (soft-delete) : votre nom et votre adresse email sont anonymisés immédiatement à la suppression. Les données techniques associées (budgets, abonnements, journal de consentement) sont conservées 30 jours pour permettre une annulation accidentelle, puis purgées définitivement.
• Audit du consentement IA : 7 ans à compter de chaque transition d'opt-in / opt-out, conformément aux exigences de traçabilité du consentement (nLPD / RGPD). Anonymisé après suppression du compte associé.
• Jeton de session JWT : 30 jours à compter de l'émission.
• Défis 2FA temporaires : 5 minutes maximum.
• Logs techniques (reverse proxy, accès) : 30 jours.
• Logs d'erreurs et de performance (Sentry) : 90 jours, conformément à la rétention de notre sous-traitant. Anonymisés (PII redactée à l'envoi).
• Sauvegardes chiffrées : 14 jours glissants.
• Données comptables et fiscales (en cas de facturation active) : 10 ans à compter de la fin de l'exercice, conformément à l'article 958f du Code des obligations suisse.
• Communications support : 3 ans après la dernière interaction.

8. Comment nous protégeons vos données

• Mots de passe stockés sous forme hachée (bcrypt, coût 10).
• Connexion HTTPS exclusivement, certificats Let's Encrypt renouvelés automatiquement.
• Authentification à deux facteurs (TOTP RFC 6238) disponible sur tous les comptes.
• Déconnexion automatique après 15 minutes d'inactivité dans l'application.
• Verrouillage de compte après tentatives de connexion infructueuses, anti-énumération d'emails.
• Limites de taux sur les endpoints sensibles, validation stricte des entrées côté serveur.
• Sauvegardes chiffrées, restauration testée régulièrement.
• Accès administrateur strictement limité, journalisé et lié à un compte nominatif.
• Mise à jour régulière des dépendances et audit automatisé des vulnérabilités à chaque modification.

Aucun système n'est totalement à l'abri d'un incident. En cas de violation susceptible d'engendrer un risque pour vos droits et libertés, Ovarli notifie l'autorité de contrôle compétente (PFPDT en Suisse) dans les 72 heures et vous informe directement lorsque la violation est susceptible d'engendrer un risque élevé, conformément aux articles 24 nLPD et 33-34 RGPD.

9. Vos droits

Conformément aux articles 25 à 28 nLPD et 15 à 22 RGPD, vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de vos données personnelles.
• Droit de rectification : corriger des données inexactes ou incomplètes.
• Droit à l'effacement : demander la suppression de votre compte et de vos données, sous réserve des obligations légales de conservation.
• Droit à la limitation : demander la suspension du traitement dans certains cas.
• Droit d'opposition : vous opposer au traitement reposant sur l'intérêt légitime.
• Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine.
• Droit de retirer votre consentement à tout moment, sans effet sur les traitements antérieurs.

Pour exercer ces droits, écrivez-nous à hello@ovarli.app. Nous répondons dans un délai maximum de 30 jours. La suppression de compte et l'export sont également accessibles directement depuis votre profil.

Si vous estimez que le traitement de vos données ne respecte pas la loi, vous avez le droit d'introduire une réclamation auprès de :

• En Suisse : Préposé fédéral à la protection des données et à la transparence (PFPDT), Feldeggweg 1, 3003 Berne, edoeb.admin.ch.
• Dans l'Union européenne : l'autorité de contrôle de votre État membre de résidence habituelle, lieu de travail ou lieu où la violation présumée a été commise.

10. Cookies et technologies similaires

Notre Politique relative aux cookies détaille les cookies, le stockage local et les technologies similaires utilisés par Ovarli, ainsi que la manière dont vous pouvez exercer votre choix.

11. Profilage et décisions automatisées

Ovarli n'effectue aucune décision exclusivement automatisée produisant des effets juridiques vous concernant ou vous affectant de manière significative au sens de l'article 22 RGPD. Les recommandations générées par IA (Anthropic) sont des suggestions informatives, jamais des décisions automatisées. Vous restez libre de les suivre ou non.

Avant tout envoi à Anthropic, les données financières utilisées comme contexte sont anonymisées : suppression des identifiants de compte, des emails, des libellés potentiellement identifiants, et arrondi des montants à des plages génériques pour limiter la ré-identification.

12. Mineurs

Le service est réservé aux personnes majeures (18 ans et plus). Ovarli ne collecte pas sciemment de données personnelles concernant des mineurs. Si vous estimez qu'un mineur a créé un compte, contactez-nous à hello@ovarli.app et nous procéderons rapidement à la fermeture du compte concerné.

13. Modifications de cette politique

Nous pouvons mettre à jour cette politique pour refléter des évolutions techniques, légales ou organisationnelles. Les modifications substantielles seront notifiées par email et/ou par une bannière dans le service au moins 30 jours avant leur entrée en vigueur. Le numéro de version et la date de dernière mise à jour sont indiqués en haut de cette page.

14. Contact

Pour toute question relative à vos données personnelles ou à cette politique, écrivez-nous à hello@ovarli.app. Nous nous engageons à répondre dans un délai raisonnable, et au maximum dans les 30 jours pour les demandes d'exercice des droits.

Politique rédigée par l'équipe Ovarli sur la base de la nLPD (loi fédérale sur la protection des données du 25 septembre 2020), du RGPD (règlement UE 2016/679) et des pratiques publiques d'éditeurs SaaS suisses reconnus. Une révision juridique professionnelle est recommandée avant toute ouverture publique élargie. Pour signaler une imprécision, écrivez à hello@ovarli.app.