1. Responsable du traitement
- Responsable : GIRA, SL
- NRT : L-719243-J
- Siège : Crta. de Nagol, C/ Camp del Tomasset, núm. 8, AD600 Sant Julià de Lòria, Principat d’Andorra
- Contact pour les questions de confidentialité : privadesa@calers.ad
Cette politique explique comment nous traitons les données personnelles lorsque vous visitez calers.ad et lorsque vous utilisez l’application app.calers.ad (le « service »).
2. Réglementation applicable
Nous traitons les données conformément à la Loi 29/2021, du 28 octobre, qualifiée de protection des données personnelles de la Principauté d’Andorre (LQPD) et, lorsque cela s’applique parce que nous proposons le service à des personnes situées dans l’Union européenne, au Règlement (UE) 2016/679 général sur la protection des données (RGPD).
3. Quelles données nous traitons
Selon la manière dont vous interagissez avec Calers, nous traitons :
- Données du compte : prénom, nom, adresse e-mail, mot de passe (enregistré uniquement sous forme de hash), langue et préférences.
- Connexion avec Google ou Apple : si vous choisissez cette option, nous recevons l’identifiant du compte, le nom et l’e-mail que le fournisseur nous transmet. Nous ne recevons jamais votre mot de passe.
- Données financières que vous saisissez : comptes, soldes, transactions, catégories, étiquettes, budgets, objectifs, dettes, opérations programmées et fichiers bancaires que vous importez. Calers ne se connecte pas à votre banque : il ne traite que ce que vous y saisissez.
- Données d’abonnement : formule, statut, dates et identifiants client et d’abonnement Paddle. Les données de la carte ou du moyen de paiement sont traitées directement par Paddle et nous ne les recevons pas.
- Acceptation des textes juridiques : la version des conditions et de la politique de confidentialité que vous acceptez, la confirmation que vous avez 18 ans ou plus, la date et l’adresse IP.
- Validation en deux étapes, si vous l’activez : la clé secrète (enregistrée chiffrée), les codes de récupération (uniquement sous forme de hash) et les navigateurs que vous choisissez de mémoriser (type de navigateur et de système, adresse IP et dates d’utilisation).
- Données techniques et de sécurité : adresse IP, type de navigateur, dates d’accès, tentatives de connexion et journal des actions sensibles.
- Données de navigation sur le site web calers.ad, uniquement si vous acceptez les cookies de mesure d’audience : pages consultées, page de provenance, type d’appareil et de navigateur, langue, localisation approximative (pays et ville) et identifiants des cookies de Google Analytics. Nous ne les relions jamais à votre compte ni à vos données financières, et l’application n’utilise pas Google Analytics.
- Demandes et communications : les données que vous nous communiquez lorsque vous nous écrivez ou nous adressez une demande d’exercice de vos droits.
4. Finalités et bases juridiques
- Fournir le service (créer et gérer le compte, enregistrer et afficher vos données, les importer et les exporter) : exécution du contrat.
- Gérer l’essai gratuit, l’abonnement, les paiements et les remboursements via Paddle : exécution du contrat et respect d’obligations légales.
- Conserver la preuve que vous avez accepté les conditions et la politique de confidentialité et que vous êtes majeur : exécution du contrat et intérêt légitime à pouvoir le démontrer.
- Garantir la sécurité du service, prévenir les fraudes et les accès non autorisés, contrôler les accès de notre personnel aux données et effectuer des sauvegardes : intérêt légitime.
- Vous envoyer des communications liées au service (vérification de l’e-mail, récupération du mot de passe, avis concernant l’abonnement ou des changements importants) : exécution du contrat.
- Traiter les demandes d’exercice de vos droits : respect d’une obligation légale. Répondre aux autres questions : intérêt légitime.
- Gérer les incidents de sécurité et, si nécessaire, les notifier à l’autorité de contrôle et aux personnes concernées : respect d’une obligation légale.
- Respecter les obligations légales, fiscales et comptables : obligation légale.
- Établir des statistiques agrégées de fréquentation du site web calers.ad avec Google Analytics afin d’en améliorer les contenus : votre consentement, que vous pouvez retirer à tout moment depuis « Paramètres des cookies », en bas de page.
Nous n’utilisons pas vos données à des fins publicitaires, nous n’établissons pas de profils commerciaux et nous ne prenons pas de décisions automatisées produisant des effets juridiques à votre égard.
5. Destinataires et sous-traitants
Nous ne vendons ni ne cédons vos données. Nous les communiquons uniquement aux prestataires dont nous avons besoin pour fournir le service :
- Clouding.io (Espagne) : hébergement des serveurs sur lesquels fonctionnent le site web et l’application et où sont enregistrées les données et les sauvegardes. Agit en tant que sous-traitant.
- SiteGround (serveurs dans l’Union européenne) : service de messagerie avec lequel nous vous envoyons les e-mails du service et recevons ceux que vous nous envoyez. Agit en tant que sous-traitant.
- Paddle.com Market Limited (Royaume-Uni) et les entités de son groupe, qui agissent en tant que revendeur officiel (Merchant of Record) et traitent les données de paiement et de facturation en tant que responsables indépendants, conformément à leur propre politique de confidentialité.
- Google et Apple, uniquement si vous choisissez de vous connecter avec votre compte. Ils agissent en tant que responsables indépendants, conformément à leurs propres politiques.
- Google Ireland Limited (Irlande), uniquement si vous acceptez les cookies de mesure d’audience du site web calers.ad : service de statistiques Google Analytics. Il agit en tant que sous-traitant, avec les fonctions publicitaires et Google Signals désactivées, et ne reçoit aucune donnée de votre compte ni de l’application.
Les sous-traitants ne peuvent utiliser les données que pour nous fournir leurs services, selon nos instructions et avec des garanties de confidentialité et de sécurité appropriées.
Nous pouvons également communiquer des données aux autorités lorsqu’une loi nous y oblige, par exemple à l’Agence andorrane de protection des données si nous devons lui notifier un incident de sécurité.
6. Transferts internationaux
Les données du compte et les données financières sont enregistrées sur des serveurs situés dans l’Union européenne (Espagne), et la messagerie est également gérée depuis l’Union européenne. L’Andorre et l’Union européenne se reconnaissent mutuellement un niveau de protection des données équivalent : ces communications ne nécessitent donc pas de garanties supplémentaires.
- Paddle traite les données de paiement et de facturation au Royaume-Uni, pays reconnu comme offrant un niveau de protection adéquat, et peut faire appel à ses propres prestataires dans d’autres pays avec les garanties décrites dans sa politique de confidentialité.
- Si vous vous connectez avec Google ou Apple, vous vous identifiez directement auprès de ces entreprises, qui peuvent traiter les données aux États-Unis conformément à leurs politiques. Nous ne leur envoyons ni les données de votre compte ni vos données financières : nous recevons seulement d’elles l’identifiant, le nom et l’e-mail nécessaires pour ouvrir la session.
- Si vous acceptez les cookies de mesure d’audience, Google peut traiter les données de navigation du site web aux États-Unis. Google LLC adhère au cadre de protection des données UE-États-Unis (EU-U.S. Data Privacy Framework), et le traitement est également encadré par les clauses contractuelles types incluses dans les conditions de traitement des données de Google.
7. Conservation des données
- Données du compte et données financières : tant que vous avez un abonnement ou un essai actif. S’il prend fin et que vous ne le renouvelez pas, nous conservons le compte 12 mois de plus afin que vous puissiez le réactiver ou exporter vos données ; nous vous préviendrons par e-mail 30 et 7 jours avant, puis nous le supprimerons définitivement avec les sauvegardes. Si vous supprimez le compte depuis le profil, votre base de données, les fichiers associés et les sauvegardes sont effacés immédiatement.
- Acceptation des conditions et de la politique de confidentialité : tant que le compte existe.
- Données d’abonnement et de paiement : jusqu’à 6 ans, la durée exigée par la réglementation fiscale et comptable.
- Journal des actions du compte (connexions, changements importants et adresse IP) : 12 mois.
- Tentatives de connexion et demandes de récupération du mot de passe : 30 jours.
- Navigateurs mémorisés pour la validation en deux étapes : 30 jours, ou jusqu’à ce que vous les oubliiez ou désactiviez la validation.
- Journal des accès de notre personnel aux données : 24 mois.
- Alertes de sécurité automatiques : 12 mois.
- Journaux du serveur et de l’application : entre 14 jours et 6 mois.
- Données de navigation de Google Analytics : 14 mois. Les cookies de mesure d’audience expirent au bout de 2 ans ou lorsque vous retirez votre consentement.
- Sauvegardes : 14 jours.
- Demandes d’exercice des droits : 3 ans après leur résolution, afin de pouvoir démontrer que nous y avons répondu.
- Incidents de sécurité et communications adressées aux personnes concernées : pendant la durée nécessaire pour démontrer que nous avons respecté nos obligations légales.
- Autres communications : pendant la durée nécessaire pour y répondre et les éventuelles responsabilités qui en découlent.
Si vous supprimez votre compte, toutes ces données sont effacées immédiatement, à l’exception de celles dont nous avons besoin pour démontrer que nous avons respecté nos obligations (demandes d’exercice des droits, incidents de sécurité et journal des accès de notre personnel) et des journaux du serveur, qui sont conservés jusqu’à la fin des durées indiquées. Les factures sont conservées par Paddle conformément à sa politique.
8. Vos droits
Vous pouvez exercer à tout moment vos droits d’accès, de rectification, d’effacement, d’opposition, de limitation du traitement et de portabilité, ainsi que retirer le consentement que vous avez donné.
Le moyen le plus rapide est l’application, dans Mon profil → Confidentialité et données, où vous pouvez :
- Télécharger toutes vos données dans un fichier ZIP (formats JSON et CSV).
- Rectifier les données du profil.
- Supprimer le compte et toutes vos données.
- Nous envoyer une demande pour exercer tout autre droit et en suivre l’état et la réponse.
Vous pouvez également écrire à privadesa@calers.ad depuis l’adresse associée au compte. Si nécessaire, nous pourrons vous demander des informations complémentaires pour vérifier votre identité. Nous vous répondrons dans un délai d’un mois, qui peut être prolongé de deux mois si la demande est complexe ou si nous en recevons beaucoup ; dans ce cas, nous vous en informerons au cours du premier mois.
Si vous estimez que nous n’avons pas traité correctement vos données, vous pouvez introduire une réclamation auprès de l’Agence andorrane de protection des données (APDA, www.apda.ad) ou, si vous résidez dans l’Union européenne, auprès de l’autorité de contrôle de votre pays.
9. Sécurité
Nous appliquons des mesures techniques et organisationnelles adaptées au risque : connexions chiffrées en HTTPS, une base de données indépendante avec un utilisateur dédié pour chaque client, mots de passe enregistrés sous forme de hash, validation en deux étapes facultative, limitation des tentatives de connexion, sessions qui expirent, journal des actions sensibles, journal signé des accès de notre personnel aux données, alertes automatiques en cas d’activité suspecte et sauvegardes automatiques. Aucun système n’est infaillible, mais nous révisons et améliorons ces mesures en continu.
Si un incident de sécurité affecte vos données et présente un risque pour vos droits, nous le notifierons à l’Agence andorrane de protection des données dans un délai de 72 heures après en avoir pris connaissance et, si le risque est élevé, nous vous en informerons par e-mail dans les meilleurs délais.
10. Mineurs
Le service s’adresse aux personnes âgées de 18 ans ou plus et, pour créer un compte, vous devez confirmer que vous avez au moins 18 ans. Nous ne collectons pas sciemment de données de mineurs et, si nous constatons que cela a été le cas, nous les supprimerons.
11. Modifications de cette politique
Nous pouvons mettre à jour cette politique pour l’adapter à des changements légaux ou du service. Nous publierons la version en vigueur sur cette page avec sa date de mise à jour et, si les changements sont importants, nous vous en informerons par e-mail ou dans l’application.