Politique de confidentialité d'Assetli

Dernière mise à jour : 1er octobre 2026
Version : 1.2

1. Responsable du traitement des données personnelles

Ondřej Smutný
Numéro d'identification (IČO) : 75343533
Siège : Družstevní 511, 294 41 Dobrovice, République tchèque
E-mail : info@assetli.app
Web : https://assetli.app

Compte tenu de l'étendue du traitement, aucun délégué à la protection des données (DPO) n'est désigné. Pour toute question relative à la protection des données personnelles, veuillez contacter info@assetli.app.

2. Quelles données nous traitons

2.1 Données d'inscription et de profil

• Nom et prénom
• Adresse e-mail
• Mot de passe haché (bcrypt, SALT_ROUNDS=12 — nous ne stockons jamais le mot de passe sous forme lisible)
• Date d'inscription, préférence linguistique
• Facultatif : numéro de téléphone, date de naissance
• Configuration 2FA (graine TOTP, codes de secours hachés)

2.2 Données financières

Il s'agit des données les plus sensibles que nous traitons :

Comptes bancaires : nom, type (courant, épargne, investissement, carte de crédit, prêt, espèces), devise, solde, état (actif/archivé), et facultativement numéro de compte, IBAN et notes. Le numéro de compte, l'IBAN et les notes sont stockés sous forme chiffrée (AES-256-GCM).

Transactions : date, montant, libellé/bénéficiaire, contrepartie et son compte, références de paiement, catégorie, étiquettes, type (revenu/dépense/virement), notes, source et numéro du lot d'import. Les relevés téléversés pour l'import (CSV, Excel, PDF, XML et autres formats bancaires) sont traités et nous n'enregistrons que les transactions qui en sont extraites ; le fichier du relevé lui-même n'est pas conservé. Les fichiers Excel et CSV sont lus directement dans votre navigateur, les PDF et les autres formats sur le serveur.

Budgets : nom, catégorie, limites, période, état d'utilisation.

Enveloppes d'épargne : nom, montant cible, état actuel, historique des contributions.

Abonnements : nom du service, montant, fréquence, catégorie, date de renouvellement.

2.3 Données d'investissement

Actions et ETF : comptes de courtage, transactions (date, symbole, quantité, prix, frais), dividendes (montant, retenue à la source, date ex-dividende, date de paiement), cours en temps réel (provenant de fournisseurs externes de données de marché, notamment Yahoo Finance).

Cryptomonnaies : comptes d'échange, transactions (12+ types incluant achat, vente, swap, staking), positions détenues, cours en temps réel (depuis CoinMarketCap/CoinGecko).

Investissements alternatifs : prêts P2P, financement participatif, matières premières, produits de retraite — valeur d'origine, valeur actuelle, rendements, événements.

2.4 Données patrimoniales

Biens immobiliers : type, usage, adresse, surface, prix d'acquisition, valeur actuelle, revenus locatifs, dépenses, relevés d'énergie (électricité, gaz, eau), appareils avec puissance, panneaux photovoltaïques avec production.

Véhicules : type, marque, modèle, année, plaque d'immatriculation, VIN, kilométrage, coûts (carburant, assurance, entretien), événements d'entretien, valorisation.

Objets de valeur : catégorie (16 types), prix d'acquisition, valeur actuelle, dépréciation, garantie, état.

Prêts hypothécaires et crédits : capital, taux d'intérêt, échéances, lien avec un bien immobilier.

2.5 Données de partage de dépenses (Bill Splitting)

Nom du groupe, membres (nom, e-mail facultatif), dépenses partagées, règlements, commentaires, journal d'activité. Lors du partage d'un groupe via un lien public, les données peuvent être consultées par des personnes n'ayant pas de compte Assetli.

2.6 Données Family Legacy

Contacts de personnes de confiance (nom, e-mail, lien de parenté), conditions d'accès, notes chiffrées (AES-256-GCM), journal des accès. Les notes destinées aux héritiers sont chiffrées au niveau de la base de données — même l'Exploitant n'y a pas accès sous forme lisible.

2.7 Données de paiement

Les paiements sont traités exclusivement par Stripe, Inc. Sur les serveurs d'Assetli, nous ne stockons que : l'identifiant Stripe Customer ID, les 4 derniers chiffres de la carte, le type de carte, la date d'expiration. Nous ne stockons jamais les numéros de carte, les codes CVV ni les coordonnées de paiement complètes.

2.8 Données techniques et analytiques

• Adresses IP et géolocalisation approximative
• Type de navigateur et d'appareil (User-Agent)
• Horodatage de connexion
• Journaux d'erreurs et de performance de l'application
• Identifiant du compte pour les erreurs survenues en session connectée (sans nom ni e-mail)

2.9 Fonctionnalités d'intelligence artificielle

Les conversations avec l'assistant IA sont enregistrées dans la base de données sous le compte de l'Utilisateur, qui peut les supprimer à tout moment. Nous n'envoyons au fournisseur d'IA (Anthropic ; OpenAI ou Google uniquement si l'Utilisateur a saisi sa propre clé API pour ce fournisseur) que ce dont la fonctionnalité concernée a besoin :

• Assistant IA et bilan hebdomadaire : les messages de l'Utilisateur, un aperçu financier agrégé du profil actif et les résultats des outils appelés par le modèle.
• Catégorisation des transactions par l'IA : le libellé et le commerçant des transactions non catégorisées.
• Attribution des colonnes d'un relevé à l'aide de l'IA : uniquement l'en-tête et quelques lignes d'exemple, jamais le relevé complet.
• Transcription d'un relevé numérisé : le relevé numérisé complet (PDF), et ce uniquement lorsque l'Utilisateur le confirme expressément pour le fichier concerné. Avant la confirmation, nous lui indiquons que le relevé sera envoyé au fournisseur d'IA ainsi que le coût approximatif.
• Analyse d'un bien immobilier et planificateur de vacances : le texte de l'annonce ou la demande de l'Utilisateur et les données nécessaires à la réponse.

Toutes les fonctionnalités d'IA sont payées sur le crédit IA de l'Utilisateur selon la consommation réelle. La catégorisation automatique par l'IA après l'import, qui consomme du crédit sans autre demande, ne peut être activée qu'avec un consentement exprès ; la date et le libellé du consentement sont consignés dans le registre des consentements (point 2.12).

2.10 Fichiers téléversés

Les documents, reçus et photographies téléversés dans le Gestionnaire de fichiers sont stockés dans un stockage d'objets (Vercel Blob ou Cloudflare R2 selon la configuration d'exploitation). Les fichiers sont rattachés au compte de l'Utilisateur et accessibles uniquement via une API authentifiée. Les fichiers sont définitivement supprimés lors de la suppression du compte.

2.11 Module complémentaire Google Sheets (Assetli Finance)

Le module complémentaire Assetli Finance pour Google Sheets est un produit distinct, couvert par sa propre politique : Politique de confidentialité du module Google Sheets.

En bref : le module ne demande aucune connexion, n'a aucun lien avec un compte Assetli, ne fonctionne que dans la feuille de calcul où il est ouvert et n'envoie rien à assetli.app — il ne dispose d'aucune autorisation réseau. Aucun des sous-traitants cités à la section 5 n'intervient, puisque le module ne transmet aucune donnée.

2.12 Import de relevés par e-mail

Avec les tarifs Premium et Max, l'Utilisateur peut envoyer ses relevés à sa propre adresse e-mail secrète. Nous traitons l'expéditeur, l'objet et les pièces jointes de ces messages, la liste des expéditeurs autorisés et les messages d'expéditeurs inconnus placés en quarantaine. La pièce jointe contenant le relevé n'est pas conservée : nous la lisons en mémoire et n'enregistrons que les transactions en attente d'approbation (14 jours au maximum). Le courrier est reçu par Resend, qui conserve une copie du message, pièces jointes comprises, pendant 30 jours et ne permet pas de suppression anticipée. Dans le registre des consentements, nous consignons quand et dans quels termes l'Utilisateur a consenti à l'import automatique ou à la consommation du crédit IA, ainsi que leur retrait ; ce registre sert de preuve en cas de litige.

2.13 Statistiques anonymes et échantillons de relevés fournis volontairement

Lorsque l'import ne reconnaît pas un relevé avec certitude, nous enregistrons un enregistrement anonyme de la forme du tableau : noms des colonnes de l'en-tête, séparateur, nombre de colonnes, banque sélectionnée et résultat de l'import. Nous n'enregistrons aucune donnée des lignes ni aucun lien avec le compte ; si l'en-tête contient quoi que ce soit qui ressemble à une donnée (date, montant, numéro de compte, e-mail), nous n'en enregistrons rien. L'enregistrement est supprimé deux ans après sa dernière occurrence.

L'Utilisateur peut nous envoyer volontairement un échantillon anonymisé de relevé afin que nous améliorions l'import de sa banque. L'anonymisation a lieu dans son navigateur (les noms, libellés, numéros de compte et montants sont remplacés) ; avant l'envoi, l'Utilisateur voit l'intégralité du texte envoyé et doit confirmer l'envoi. L'échantillon est enregistré sans lien avec le compte (il ne peut donc être ni retrouvé ni supprimé sur demande) et est supprimé automatiquement au bout d'un an.

2.14 Analyse d'un bien immobilier

Lors de l'analyse d'un bien immobilier, nous traitons le texte de l'annonce que l'Utilisateur colle ou que l'extension lit dans son navigateur, ainsi que les données saisies par l'Utilisateur. Les registres publics et les services cartographiques ne reçoivent que le minimum nécessaire à la réponse (adresse, coordonnées, identification de la parcelle). Si l'Utilisateur saisit le nom et la date de naissance du vendeur ou son numéro d'identification d'entreprise, nous les vérifions dans le registre des insolvabilités ; nous ne traitons pas de numéro d'identification personnel (rodné číslo). L'Utilisateur est responsable de disposer d'un motif légitime pour saisir les données d'un tiers. L'extension de navigateur dispose de sa propre politique : Politique de confidentialité de l'extension de navigateur.

3. Cookies et technologies de suivi

3.1 Aperçu des cookies

3.2 Catégories de cookies

Cookies essentiels — nécessaires au fonctionnement de l'application (connexion, sécurité). Ils ne peuvent pas être refusés.

Cookies analytiques — nous aident à comprendre comment les utilisateurs utilisent l'application. Ils ne sont activés qu'avec votre consentement. Vous pouvez les refuser à tout moment dans les paramètres de la bannière de cookies.

3.3 Gestion des cookies

Nous gérons le consentement aux cookies analytiques au moyen de la plateforme CookieHub. Les scripts analytiques (Google Analytics, Microsoft Clarity) ne sont chargés qu'après l'octroi du consentement. Vous pouvez gérer les cookies :

• Au moyen de la bannière de cookies (CookieHub) lors de la première visite et à tout moment par la suite
• Dans les paramètres du navigateur
• En supprimant les cookies dans le navigateur

4. Finalités du traitement et base juridique

5. Destinataires des données personnelles (sous-traitants)

5.1 Aperçu des sous-traitants

5.2 Ce que nous partageons avec les fournisseurs d'IA

L'étendue des données selon la fonctionnalité est indiquée au point 2.9. Nous ne partageons jamais d'identifiants de connexion, de mots de passe ni d'informations de paiement. La liste complète et régulièrement mise à jour de tous les services qui reçoivent des données, quelles qu'elles soient, y compris les données de marché et les registres publics utilisés pour l'analyse d'un bien immobilier, figure sur la page Qui traite vos données.

L'Utilisateur peut saisir dans les paramètres sa propre clé API pour Anthropic, OpenAI ou Google Gemini — dans ce cas, les données sont envoyées directement au fournisseur sans majoration de la part d'Assetli.

5.3 Données de marché

Cours en temps réel : fournisseurs externes de données de marché, notamment Yahoo Finance (actions et ETF), CoinMarketCap/CoinGecko (crypto), frankfurter.app — fondé sur les taux de référence de la Banque centrale européenne (taux de change). Nous n'envoyons aucune donnée personnelle à ces fournisseurs — uniquement des requêtes générales sur les données de marché (symbole boursier, code de devise).

5.4 Wallet by BudgetBakers

Lors de la synchronisation via WBB, les transactions sont transférées de WBB vers Assetli. WBB est un responsable de données indépendant disposant de sa propre licence d'accès aux données bancaires via l'Open Banking. Les conditions de traitement des données sont régies par les conditions de BudgetBakers s.r.o.

5.5 Déclaration de non-vente des données

Nous ne vendons, ne partageons ni ne fournissons jamais vos données personnelles et financières à des tiers à des fins de marketing, de publicité ou commerciales.

6. Transfert de données hors UE

Certains traitements impliquent un transfert de données vers les États-Unis (Anthropic, Resend, Cloudflare, Vercel, GitHub, Google, Microsoft, le cas échéant OpenAI et Meta). Pour ces transferts, nous utilisons les clauses contractuelles types (CCT) approuvées par la Commission européenne conformément à l'art. 46, par. 2, point c du RGPD. Une copie des CCT est disponible sur demande.

7. Conservation des données

8. Décision automatisée et profilage

8.1 Catégorisation des transactions par l'IA

Les transactions sont d'abord catégorisées par des règles sans intelligence artificielle (règles système et règles personnelles de l'Utilisateur). Pour les transactions restantes, Assetli peut utiliser les modèles d'IA Claude (Anthropic), uniquement lorsque l'Utilisateur la lance ou l'active. Ce traitement n'a pas de conséquences juridiques directes pour l'Utilisateur, peut être corrigé manuellement à tout moment et est transparent — l'Utilisateur voit la catégorie attribuée.

8.2 Score financier (0–850)

Assetli calcule automatiquement un score de santé financière fondé sur 7 composantes. Ce score est purement informatif, n'affecte pas l'accès aux crédits ni à d'autres produits financiers et n'est pas partagé avec des tiers.

8.3 Prédictions et analyses

Les prédictions de flux de trésorerie, l'analyse du « latte factor », le contrôle de l'inflation du mode de vie et les autres fonctions analytiques sont des calculs automatisés à caractère purement informatif.

8.4 Droit à un réexamen humain

Conformément à l'art. 22 du RGPD, l'Utilisateur a le droit d'obtenir un réexamen humain de tout résultat automatisé. Veuillez contacter info@assetli.app.

9. Vos droits (RGPD art. 15 à 22)

Délai de réponse : 30 jours. En cas de demandes complexes, ce délai peut être prolongé de 60 jours supplémentaires moyennant notification.

Autorité de contrôle : Autorité tchèque de protection des données (ÚOOÚ), Pplk. Sochora 27, 170 00 Praha 7, posta@uoou.cz, www.uoou.cz

10. Protection des enfants

Le Service n'est pas destiné aux enfants de moins de 15 ans (conformément à l'art. 7 de la loi n° 110/2019 Coll.). Nous ne collectons pas sciemment de données personnelles d'enfants de moins de 15 ans. Si nous constatons que nous avons collecté des données auprès d'une personne de moins de 15 ans sans le consentement de son représentant légal, nous supprimerons ces données sans délai.

11. Sécurité

11.1 Mesures techniques

• Connexions chiffrées (HTTPS/TLS)
• Hachage des mots de passe (bcrypt, SALT_ROUNDS=12)
• Authentification à deux facteurs (TOTP)
• Protection contre les attaques par force brute avec verrouillage automatique du compte
• Protection des formulaires par reCAPTCHA v3
• Chiffrement des champs sensibles (AES-256-GCM) : numéro de compte, IBAN et notes des comptes bancaires, jeton Wallet by BudgetBakers, secret de l'authentification à deux facteurs, clés API personnelles pour l'IA, notes Family Legacy
• Les jetons OAuth et les clés API ne sont stockés que sous forme d'empreinte (SHA-256)
• Sauvegardes quotidiennes chiffrées de la base de données (AES-256)
• Base de données hébergée dans l'UE (MongoDB Atlas, Francfort, AWS eu-central-1)

11.2 Notification des violations de sécurité

Conformément aux art. 33 et 34 du RGPD, nous notifierons toute violation de sécurité à l'autorité de contrôle (ÚOOÚ) dans un délai de 72 heures suivant sa découverte. Nous informerons les utilisateurs concernés sans retard injustifié si la violation présente un risque élevé.

11.3 Avertissement

Bien que nous mettions en œuvre des mesures appropriées, aucune méthode de transmission ou de stockage de données n'est sûre à 100 %. Si vous constatez un accès non autorisé à votre compte, contactez-nous sans délai à info@assetli.app.

11.4 Signalement de vulnérabilités

Si vous découvrez une vulnérabilité de sécurité, contactez info@assetli.app. Nous apprécions le signalement responsable des vulnérabilités et n'engagerons aucune poursuite judiciaire à l'encontre des personnes qui signalent des vulnérabilités de bonne foi.

12. Droits des utilisateurs hors UE

12.1 Royaume-Uni (UK GDPR)

Le traitement des données des utilisateurs du Royaume-Uni est régi par le UK GDPR et le Data Protection Act 2018. Vos droits sont analogues à ceux prévus par le RGPD de l'UE. Autorité de contrôle : Information Commissioner's Office (ICO), www.ico.org.uk.

12.2 Californie (CCPA/CPRA)

Si vous êtes résident de Californie, vous disposez de droits au titre du CCPA/CPRA :

• Droit d'être informé des données collectées
• Droit à la suppression des données personnelles
• Droit de rectification des données inexactes
• Droit de refuser la vente/le partage — nous ne vendons ni ne partageons vos données à des fins publicitaires
• Droit à la non-discrimination

Contactez info@assetli.app. Nous répondrons dans un délai de 45 jours.

12.3 Autres États des États-Unis

Les résidents du Colorado, du Connecticut, de la Virginie et d'autres États dotés de lois sur la confidentialité peuvent disposer de droits analogues. Contactez info@assetli.app.

13. Agrégation et anonymisation

Nous nous réservons le droit de créer des données agrégées et anonymisées aux fins d'améliorer le Service et d'entraîner les modèles d'IA. Les données agrégées ne doivent pas permettre l'identification d'un Utilisateur individuel et ne sont pas soumises au RGPD.

14. Modifications de la présente politique

• Modifications mineures : annoncées sur le site web
• Modifications substantielles : annoncées par e-mail au moins 30 jours à l'avance
• En cas de modifications nécessitant un consentement, nous solliciterons un nouveau consentement actif
• Les versions antérieures sont archivées et disponibles sur demande

15. Contact

Ondřej Smutný
E-mail : info@assetli.app
Web : https://assetli.app
Adresse : Družstevní 511, 294 41 Dobrovice, République tchèque

Date d'entrée en vigueur : 1er octobre 2026
© 2026 Assetli. Tous droits réservés.