Combien de temps les données sont conservées
Durée de conservation de chaque type d'enregistrement, ce qui se passe à la suppression et ce qui subsiste ensuite dans les sauvegardes.
Dernière mise à jour: 30 octobre 2026
Les durées ci-dessous proviennent des index de la base et des constantes du code à la date indiquée plus haut. Lorsque la durée n’est pas pilotée par l’application, le tableau le précise.
Vos contenus
| Données | Conservation |
|---|---|
| Comptes, transactions, investissements, biens immobiliers, véhicules, objets de valeur, budgets, objectifs, abonnements, prêts, relevés de compteur | Jusqu’à la suppression de l’enregistrement ou du compte |
| Fichiers téléversés (documents, photos, tickets) | Jusqu’à leur suppression ou celle du compte ; le fichier est supprimé du stockage objet, pas seulement détaché |
| Pièces jointes des relevés envoyés par e-mail | Non enregistrées ; lues en mémoire |
| Opérations en attente de validation (Import par e-mail) | Les opérations sont retirées de la file dès l’import. Les lots non validés, refusés ou non traités sont supprimés au bout de 14 jours, à la prochaine ouverture de la file. Une trace du message importé (expéditeur, objet, nom de la pièce jointe, résultat de l’import et, le cas échéant, solde de clôture du relevé) reste jusqu’à la suppression du compte |
| Conversations IA dans l’application | Jusqu’à leur suppression |
| Vérifications immobilières enregistrées | Jusqu’à leur suppression |
| Vérifications lancées sans compte | Rattachées à aucun compte ; le résultat reste 7 jours en cache, indexé par une empreinte du texte de l’annonce |
| Notifications | 30 jours |
| Jeton d’enregistrement du téléphone pour les notifications (application Android et iPhone) | Jusqu’à la déconnexion dans l’application, la désactivation des notifications sur le téléphone ou la suppression du compte ; après la désinstallation de l’application, nous le supprimons dès que Firebase (Android) ou Apple (iPhone) signale que le jeton n’est plus valide ; un jeton non renouvelé pendant 270 jours est supprimé automatiquement |
| Plans de calculatrices enregistrés | Jusqu’à leur suppression |
Enregistrements de sécurité et d’accès
| Données | Conservation |
|---|---|
| Session de connexion (cookie) | 7 jours après la dernière utilisation ; « Se déconnecter de tous les appareils » y met fin immédiatement (dans les 30 secondes pour les autres instances du serveur) |
| Jeton d’accès OAuth (MCP, mobile) | 1 heure |
| Jeton de rafraîchissement OAuth | 60 jours, remplacé à chaque renouvellement ; à la suppression d’un connecteur ou avec « Se déconnecter de tous les appareils », les jetons sont révoqués immédiatement |
| Code d’autorisation OAuth | 10 minutes, à usage unique |
| Jetons du module Google Sheets | 1 heure pour l’accès, 30 jours pour le rafraîchissement |
| Journal d’audit MCP (écritures uniquement) | 365 jours |
| Lien de vérification d’e-mail | 24 heures ; la base ne conserve qu’une empreinte, et le lien ne sert qu’une fois |
| Lien de réinitialisation du mot de passe | 60 minutes ; la base ne conserve qu’une empreinte, et le lien ne sert qu’une fois |
| Tentatives de connexion par mot de passe (e-mail, heure, succès ou échec) | Pour le verrouillage du compte, les tentatives échouées sont comptées sur une fenêtre de 15 minutes ; un verrouillage dure 15 minutes. La trace d’une tentative est supprimée automatiquement au bout de 365 jours |
| Compteurs de limitation de débit | 24 heures |
| Secret à deux facteurs et codes de secours | Jusqu’à la désactivation de la double authentification ou la suppression du compte |
| Trace liée à une seule connexion, sans le code (indiquant que vous avez activé ou désactivé la double authentification depuis cette connexion, ou validé le code en entrant dans l’administration) | 7 jours |
| Appareils connus pour l’e-mail de nouvelle connexion (seulement une empreinte du type d’appareil, du navigateur et du système, sans adresse IP) | 400 jours après la dernière connexion depuis cet appareil ; immédiatement à la suppression du compte |
| Lien signé vers un fichier joint | 15 minutes au plus |
| Journal des accès à l’administration (qui, quand, chemin et ID de l’enregistrement ouvert, sans contenu) | 365 jours, puis supprimé automatiquement ; la suppression du compte ne l’efface pas |
Enregistrements d’exploitation
| Données | Conservation |
|---|---|
| Sauvegarde de la base | Chiffrée en AES-256, sur l’ordinateur de l’exploitant en République tchèque, programmée chaque nuit (depuis le 22 octobre 2026, l’exécution nocturne échoue et nous la réparons). Les sauvegardes de plus de 30 jours sont supprimées ; les 7 dernières sont toujours conservées, même si elles sont plus anciennes. Une seconde copie chiffrée est conservée 30 jours comme artefact GitHub Actions, uniquement lorsque la tâche y tourne (elle ne tourne plus depuis le 21 octobre 2026) |
| Copie d’un message contenant un relevé (Import par e-mail) | 30 jours chez Resend ; Resend ne permet pas de suppression anticipée |
| Journal des e-mails envoyés (type d’e-mail, heure, statut de remise, adresse abrégée, objet sans montants ; jamais le texte du message) | 400 jours, puis supprimé automatiquement ; immédiatement à la suppression du compte |
| Adresse impossible à joindre ou plainte pour spam (empreinte de l’adresse et motif) | Jusqu’au changement d’adresse e-mail ou à la suppression du compte |
| Journal des consentements (import automatique, utilisation du crédit IA, IA dans l’application mobile, astuces par e-mail, désabonnement par un lien d’e-mail) | Pendant toute la durée du compte |
| Suivi des astuces par e-mail (lesquelles sont parties, si vous avez cliqué) | Pendant toute la durée du compte |
| Statistiques anonymes sur les relevés que l’import n’a pas reconnus (noms de colonnes et séparateur uniquement, sans lien avec un compte) | 2 ans après la dernière occurrence |
| Échantillons de relevés anonymisés que vous envoyez volontairement depuis l’assistant d’association (sans lien avec un compte) | 1 an |
| Journaux de requêtes et sortie des fonctions (Vercel) | Selon le forfait Vercel ; non piloté par l’application |
| Journaux d’erreurs du web et des applications mobiles Android et iPhone (message et trace technique de l’erreur, page ou écran, version de l’application et du système, identifiant du compte comme pseudonyme, adresse IP, User-Agent) | 12 mois, puis suppression automatique. Les entrées liées à votre compte sont supprimées avec le compte. |
| Comptage anonyme des appuis sur l’écran Plus de l’application mobile Android et iPhone (totaux quotidiens par élément, sans lien avec un compte) | Sans limite ; il ne contient aucune donnée personnelle |
| Budget IA mensuel | Se renouvelle à chaque fois un mois après l’inscription ou le paiement ; le crédit rechargé et le crédit à vie restent jusqu’à ce que vous les dépensiez ou supprimiez le compte |
| Enregistrements de paiement (factures, paiements) | Tenus par Stripe ; en tant que pièces comptables et fiscales, ils sont conservés pendant la durée imposée par le droit comptable et fiscal tchèque. Ils ne subsistent pas dans la base de données d’Assetli après la suppression du compte. |
Supprimer votre compte
Paramètres → Supprimer le compte (sur le web, ou dans l’application mobile Android et iPhone sous Plus → Paramètres) efface en une opération : l’enregistrement utilisateur, chaque profil et chaque enregistrement qui vous est rattaché dans toutes les collections, y compris ceux détenus via un groupe de dépenses partagées ou un contact Family Legacy, les traces de tentatives de connexion liées à votre e-mail et chaque fichier du stockage objet. Une phrase de confirmation est demandée.
Un abonnement Stripe actif est résilié lors de la suppression et votre fiche client chez Stripe est supprimée. Dans les groupes de dépenses partagées appartenant à quelqu’un d’autre, votre entrée de membre est anonymisée : le nom, l’e-mail, les coordonnées bancaires et le lien avec votre compte sont retirés, les montants restent pour que les règlements des autres membres restent justes. Votre contact est retiré des plans Family Legacy d’autres personnes.
Deux choses survivent temporairement à cette suppression et se trouvent hors de notre base de production :
- Les sauvegardes. Une sauvegarde réalisée avant la suppression contient vos données jusqu’à ce qu’elle soit supprimée — en général au plus 30 jours, mais les 7 dernières sauvegardes sont toujours conservées, même si elles sont plus anciennes. Les sauvegardes sont chiffrées et servent uniquement à restaurer l’ensemble de la base après une panne.
- Les enregistrements de paiement (factures, paiements) chez Stripe, conservés en tant que pièces comptables et fiscales pendant la durée imposée par le droit comptable et fiscal tchèque. Ils ne subsistent pas dans la base de données d’Assetli.
Les e-mails déjà envoyés ne peuvent être rappelés ni chez Resend ni dans votre boîte de réception.
De même, Resend conserve sa copie des messages envoyés pour l’Import par e-mail au plus 30 jours après réception.
Nous conservons en outre une brève trace de la suppression : l’identifiant interne du compte supprimé, l’adresse e-mail sous forme masquée, une empreinte SHA-256 de l’adresse e-mail, la date et des informations techniques sur le déroulement de la suppression (par exemple le nombre d’enregistrements supprimés). Elle prouve que la demande a été traitée et permet de supprimer à nouveau le compte si la base de données devait être restaurée depuis une sauvegarde. Elle ne contient aucune donnée financière. Elle est conservée 3 ans à compter de la suppression, puis supprimée automatiquement.
Si l’exploitant a ouvert votre compte dans l’administration, une trace de cet accès subsiste aussi (qui, quand et l’ID du compte, sans contenu) — 365 jours à compter de l’accès, puis elle est supprimée automatiquement. La suppression du compte ne l’efface volontairement pas, afin qu’on ne puisse pas faire disparaître la trace d’une consultation.
Exporter vos données
Paramètres → Exporter les données produit un fichier contenant tous les enregistrements qui vous appartiennent, toutes collections confondues, sans secrets d’authentification ni journaux temporaires. Vous pouvez exporter aussi souvent que vous le souhaitez.