Politique de confidentialité

Politique de confidentialité

Engagement fondamental : sécurité et absence de garde de fonds

• Qiryah ne garde pas d'argent : ce n'est ni une banque, ni un courtier, ni un portefeuille numérique, et il n'y a aucune garde de fonds.
• Qiryah ne fait pas de virements : pas de Pix, TED, SEPA, Bizum, paiement de factures ni retraits.
• Qiryah ne se connecte pas aux banques : nous ne demandons jamais votre mot de passe bancaire, token, carte ni accès via Open Finance.
• Tout ce que vous notez dans l'application (revenus, dépenses, tirelires) est un enregistrement personnel et éducatif. Votre argent reste toujours dans votre banque.

1. Vue d'ensemble

Qiryah prend au sérieux la protection de vos données économiques et familiales. Cette politique explique ce que nous collectons, pourquoi, et quels sont vos droits. Elle respecte la LGPD (Lei nº 13.709/2018, Brésil), le GDPR (Règlement UE 2016/679) et la LOPDGDD (Ley Orgánica 3/2018, Espagne). Le responsable du traitement est Qiryah ; les coordonnées du Délégué à la protection des données (DPO) figurent dans la dernière section.

2. Données que nous collectons

• Compte : nom, e-mail et mot de passe (conservé uniquement sous forme de hash). Lors d'une connexion avec Google ou Apple, nous recevons un identifiant et l'e-mail de ce compte.
• Profil : langue, devise, pays et les réponses de l'onboarding (où vous vivez, ce qui pèse le plus sur votre budget).
• Données financières que vous saisissez vous-même : écritures de revenus et de dépenses, tirelires, plafonds par catégorie. Rien ne provient des banques.
• Progression éducative : leçons terminées, XP, pièces, missions et badges.
• Fonctionnalités d'IA : les messages du chat et les textes ou images que vous envoyez à l'assistante (par exemple, la photo d'un justificatif ou le texte de votre CV).
• Abonnement : l'identifiant d'achat émis par la boutique (Google Play ou App Store). Nous ne voyons ni ne conservons aucune donnée de carte.
• Données techniques : version de l'application et langue de l'appareil. Les rapports de plantage et les statistiques d'utilisation ne sont envoyés qu'avec votre consentement.
• En mode invité (sans compte), les données restent uniquement sur votre appareil.

3. Base juridique du traitement

• Exécution d'un contrat (LGPD art. 7, V / GDPR art. 6.1.b) : calculer le budget, conserver vos enregistrements, synchroniser entre appareils et fournir le forfait souscrit.
• Consentement (LGPD art. 7, I / GDPR art. 6.1.a) : personnalisation éducative par l'IA, rapports de plantage et statistiques d'utilisation. Vous activez et désactivez chacun d'eux dans l'application, à tout moment.
• Obligation légale (LGPD art. 7, II / GDPR art. 6.1.c) : registres fiscaux et exigences des boutiques d'applications.
• Intérêt légitime (LGPD art. 7, IX / GDPR art. 6.1.f) : sécurité du compte, prévention de la fraude et des abus, limites d'utilisation.
• Vos données financières ne sont jamais vendues, louées ni partagées à des fins publicitaires.

4. Combien de temps nous les conservons

Vos données sont conservées tant que votre compte existe. Vous pouvez supprimer votre compte à tout moment dans l'application (Plus → Confidentialité et données → Supprimer le compte) : tout est effacé immédiatement de nos serveurs et il ne reste qu'une trace de la suppression, sans aucune donnée personnelle. Les journaux techniques d'accès sont conservés jusqu'à 90 jours pour des raisons de sécurité. Les sauvegardes sont écrasées sous 30 jours.

5. Intelligence artificielle responsable

L'assistante Qiryah est un système d'IA à finalité strictement éducative (Règlement UE 2024/1689, art. 50). Elle ne fournit pas de conseil en investissement, ne prend pas de décisions automatisées de crédit et ne vous évalue pas. Les messages et images envoyés à l'IA sont traités par l'API Google Gemini en tant que sous-traitant, dans le cadre d'un contrat qui interdit l'utilisation de ce contenu pour entraîner des modèles publics. Vous pouvez utiliser l'application sans aucune fonctionnalité d'IA.

6. Où sont stockées les données et transferts internationaux

Les serveurs de Qiryah se trouvent dans un centre de données de l'Union européenne. Les fonctionnalités d'IA (Google) peuvent traiter des données hors de l'UE, toujours encadrées par des Clauses contractuelles types (SCC) et par les garanties du GDPR. Les boutiques d'applications (Google Play et App Store) gèrent la facturation selon leurs propres politiques de confidentialité.

7. Sécurité

Toutes les communications utilisent TLS. Les mots de passe sont stockés avec argon2id ; les sessions utilisent des tokens de courte durée avec renouvellement rotatif. L'accès aux serveurs est restreint et journalisé. Aucun système n'est infaillible : en cas d'incident affectant vos données, vous et l'autorité compétente serez informés conformément à la loi.

8. Enfants et adolescents

Qiryah est conçue pour les personnes de 18 ans et plus. Nous ne collectons pas sciemment de données de mineurs ; si cela se produisait, nous les supprimerions dès que nous en aurions connaissance.

9. Modifications et contact

Les modifications de cette politique sont annoncées dans l'application et publiées sur https://www.qiryah.com/privacy. Questions ou demandes : dpo@qiryah.com.

Sous-traitants et contrats de traitement (DPA)

Comment nous travaillons avec nos fournisseurs

Nous maintenons des contrats de traitement des données (DPA) avec tous les fournisseurs technologiques qui touchent à des données personnelles, en exigeant confidentialité, mesures de sécurité et réaction rapide aux incidents. Aucun d'eux ne peut utiliser vos données à ses propres fins.

Infrastructure : serveurs dans l'Union européenne

• Rôle : sous-traitant (data processor).
• Finalité : héberger l'API et la base de données de Qiryah.
• Garanties : chiffrement en transit (TLS), accès restreint par clé, sauvegardes conservées dans la même région.

Google LLC : API Gemini (intelligence artificielle)

• Rôle : sous-traitant pour les fonctionnalités d'IA.
• Finalité : traiter les questions, textes et images que vous envoyez à l'assistante.
• Garanties : contrat d'utilisation de l'API interdisant d'entraîner des modèles avec le contenu envoyé ; Clauses contractuelles types pour les transferts internationaux.

Google Play et Apple App Store (abonnements)

• Rôle : responsables de traitement indépendants pour la facturation.
• Finalité : traiter l'achat et le renouvellement de l'abonnement ; n'envoyer à Qiryah que le reçu pour validation.
• Qiryah ne reçoit aucune donnée de carte.

Fournisseur d'e-mails transactionnels

• Rôle : sous-traitant.
• Finalité : envoyer les e-mails liés au compte (réinitialisation du mot de passe, confirmation de suppression).
• Données : nom, e-mail et contenu du message.

Rapports de plantage et statistiques d'utilisation

• Ils ne fonctionnent qu'avec votre consentement, que vous pouvez retirer dans l'application.
• Rapports de plantage : informations techniques sur l'erreur, sans vos données financières.
• Statistiques d'utilisation : événements de navigation agrégés, conservés sur les serveurs de Qiryah dans l'UE.

Vos droits en tant que personne concernée

Ce que la loi garantit (LGPD art. 18 / GDPR arts. 15 à 22)

• Confirmation et accès : savoir si nous traitons vos données et en obtenir une copie.
• Rectification : mettre à jour des données incomplètes ou obsolètes (dans l'application, sous Plus → Compte).
• Portabilité : recevoir vos données dans un format ouvert (JSON) pour les emporter vers un autre service.
• Effacement : supprimer le compte et tout ce qu'il contient.
• Retrait du consentement : désactiver l'IA personnalisée, les rapports de plantage et les statistiques.
• Information : savoir avec qui nous partageons vos données (voir la section sur les sous-traitants).
• Opposition et réexamen : vous opposer aux traitements fondés sur l'intérêt légitime et demander le réexamen de décisions automatisées (Qiryah ne prend pas de décisions de ce type).
• Réclamation : auprès de l'ANPD (Brésil), de l'AEPD (Espagne) ou de l'autorité de votre pays.

Comment les exercer

• Dans l'application : Plus → Confidentialité et données. Vous y exportez vos données en JSON, ajustez vos consentements et supprimez votre compte, sans avoir à le demander à qui que ce soit.
• Par e-mail : dpo@qiryah.com. Nous répondons sous 15 jours (LGPD) ou 1 mois (GDPR), prolongeables conformément à la loi lorsque la demande est complexe.

Préférences et DPO

Délégué à la protection des données (DPO)

Pour les demandes formelles, les questions réglementaires ou l'exercice de vos droits : dpo@qiryah.com.

Analyse d'impact (RIPD/DPIA) enregistrée : DPIA-QIRYAH-2026-V1.

Localisation des données : Union européenne.

Préférences de consentement

• Personnalisation éducative par l'IA : permet à l'assistante d'utiliser votre contexte (budget du mois, tirelires, priorités) pour mieux vous orienter. Désactivée, elle répond de manière générique.
• Diagnostics et rapports de plantage : envoi des erreurs techniques pour améliorer la stabilité de l'application.
• Statistiques d'utilisation agrégées : statistiques de navigation pour améliorer l'ergonomie.

Tout cela se trouve sous Plus → Confidentialité et données et peut être modifié quand vous le souhaitez ; l'essentiel de l'application ne dépend d'aucun consentement.