Données personnelles et cookies
Dernière mise à jour :
Cette page explique quelles données personnelles le site 17’Finance traite, pourquoi, combien de temps, et comment exercer vos droits (règlement (UE) 2016/679, dit RGPD, articles 13 et 14).
Responsable du traitement
Tümay YILDIZ (17RECORDS). Contact : support@17records.com.
Données traitées
| Finalité | Données | Base légale | Durée de conservation |
|---|---|---|---|
| Assurer la sécurité et le bon fonctionnement du site (journaux techniques du serveur) | adresse IP, date et heure, page demandée, navigateur utilisé | notre intérêt légitime (sécuriser le site et détecter les abus) | 6 mois au plus |
| Créer et gérer votre compte (inscription uniquement sur invitation) et sécuriser votre connexion | nom, adresse e-mail, mot de passe (jamais stocké en clair), langue, devise principale et fuseau horaire ; si vous les activez : clés d’accès (passkeys), double authentification et codes de secours | l’exécution du contrat (conditions d’utilisation) | jusqu’à la suppression du compte, que vous pouvez faire à tout moment depuis les réglages ; aucune suppression automatique en cas d’inactivité |
| Tenir vos comptes personnels : comptes, opérations, imports de relevés (CSV, QIF), budgets, objectifs d’épargne, échéances récurrentes, règles de catégorisation, rapports, alertes et exports | données financières que vous saisissez ou importez : comptes et établissements, soldes et valorisations, opérations (date, montant, devise, libellé, bénéficiaire, catégorie, notes, étiquettes), nom des fichiers importés, budgets, objectifs, échéances et abonnements, règles et vues enregistrées | l’exécution du contrat (conditions d’utilisation) | jusqu’à leur suppression par vous ou la suppression du compte (tout est alors effacé) ; les annulations temporaires sont effacées après 1 heure et les alertes après 180 jours |
| Importer automatiquement les opérations de vos comptes bancaires, si vous connectez une banque (accès en lecture seule, avec votre consentement donné sur le site de votre banque) | identifiants du fournisseur d’accès que vous enregistrez (clé privée chiffrée), session bancaire (chiffrée), comptes bancaires (nom, IBAN masqué, devise, solde) et opérations comptabilisées (date, montant, libellé, contrepartie) | l’exécution du contrat (conditions d’utilisation) | session bancaire : jusqu’à la fin du consentement (180 jours au plus) ou la déconnexion ; identifiants du fournisseur : jusqu’à leur suppression ; opérations importées : comme les autres opérations |
| Protéger les comptes et garder une trace des actions sensibles (connexions et échecs de connexion, mot de passe, double authentification, clés d’accès, sessions, administration, exports) | type d’action, date et heure, adresse IP, compte concerné et, le cas échéant, administrateur auteur de l’action ; pour chaque session ouverte : adresse IP et navigateur utilisé | notre intérêt légitime (protéger les comptes et les données financières contre les accès frauduleux) | 400 jours pour le journal des actions sensibles ; jusqu’à l’expiration de la session (30 jours au plus) pour les sessions ; 24 heures pour les compteurs de limitation des tentatives |
| Inviter une personne à créer un compte (l’inscription n’est possible que sur invitation) | adresse e-mail de la personne invitée (facultative) et note de l’administrateur | notre intérêt légitime (réserver l’application aux personnes invitées) | jusqu’à la suppression du compte créé avec l’invitation ; pour une invitation non utilisée, l’adresse est effacée 30 jours après son expiration ou sa révocation |
| Vous envoyer les notifications que vous avez activées sur un appareil (échéances à venir, dépassements de budget, rappels) | adresse d’abonnement fournie par votre navigateur et clés de chiffrement associées ; contenu des notifications, chiffré | votre consentement | jusqu’à la désactivation des notifications, l’expiration de l’abonnement par votre navigateur ou la suppression du compte |
Les champs obligatoires des formulaires sont signalés : sans eux, la demande ne peut pas être traitée. Aucune décision automatisée ni profilage n’est mis en œuvre.
Notifications
Quand vous activez les notifications, votre navigateur s’abonne au service de notification de son éditeur (par exemple Google pour Chrome, Microsoft pour Edge, Mozilla pour Firefox, Apple pour Safari), indiqué parmi les destinataires ci-dessous. Le site remet chaque notification à ce service, qui la transmet à votre appareil.
Le contenu des notifications est chiffré de bout en bout (norme Web Push, RFC 8291) : ce service ne peut pas le lire ; il ne traite que l’adresse d’abonnement et les informations techniques nécessaires à l’acheminement. Vous pouvez désactiver les notifications à tout moment dans les réglages de votre navigateur.
Destinataires
Vos données ne sont jamais vendues. Seuls l’éditeur et les prestataires suivants y ont accès ; ils agissent pour son compte, sauf les services de notification des navigateurs, qui les traitent aussi pour leur propre compte, selon leur politique de confidentialité :
| Prestataire | Rôle | Localisation |
|---|---|---|
| OVH SAS, 2 rue Kellermann, 59100 Roubaix, France | Hébergement du site | France |
| Enable Banking Oy, Otakaari 5, 02150 Espoo | Accès en lecture seule à vos comptes bancaires, à votre demande (prestataire de services d’information sur les comptes agréé, DSP2) | Finlande |
| Google Ireland Limited (Firebase Cloud Messaging), Gordon House, Barrow Street, Dublin 4, Irlande | Service de notification de Chrome et des navigateurs qui l’utilisent | données susceptibles d’être transférées aux États-Unis (Google LLC, certifiée Data Privacy Framework) |
| Microsoft Ireland Operations Limited (Windows Push Notification Services), One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irlande | Service de notification de Microsoft Edge | données susceptibles d’être transférées aux États-Unis (Microsoft Corporation, certifiée Data Privacy Framework) |
| Mozilla Corporation, 235 Pine Street, 7th floor, San Francisco, CA 94104, États-Unis | Service de notification de Firefox | États-Unis |
| Apple Distribution International Limited (Apple Push Notification service), Hollyhill Industrial Estate, Hollyhill, Cork, Irlande | Service de notification de Safari | données susceptibles d’être transférées aux États-Unis (Apple Inc., clauses contractuelles types) |
Transferts hors de l’Union européenne
Certains prestataires peuvent transférer des données hors de l’Union européenne, avec les garanties suivantes :
- Google Ireland Limited (Firebase Cloud Messaging) : entreprise certifiée « Data Privacy Framework » UE–États-Unis (décision d’adéquation de la Commission européenne du 10 juillet 2023)
- Microsoft Ireland Operations Limited (Windows Push Notification Services) : entreprise certifiée « Data Privacy Framework » UE–États-Unis (décision d’adéquation de la Commission européenne du 10 juillet 2023)
- Mozilla Corporation : clauses contractuelles types adoptées par la Commission européenne
- Apple Distribution International Limited (Apple Push Notification service) : clauses contractuelles types adoptées par la Commission européenne
Vos droits
Vous disposez des droits suivants sur vos données :
- accès et rectification
- effacement
- limitation du traitement
- opposition au traitement fondé sur l’intérêt légitime
- portabilité
- retrait de votre consentement à tout moment
- définition de directives sur le sort de vos données après votre décès
Pour les exercer, écrivez à support@17records.com. Nous répondons dans un délai d’un mois. En savoir plus sur vos droits (CNIL).
Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la Commission nationale de l’informatique et des libertés (CNIL) : cnil.fr/fr/plaintes, ou par courrier : CNIL, Service des plaintes, 3 place de Fontenoy, 75007 Paris.
Cookies et autres traceurs
Le site utilise les traceurs suivants :
| Nom | Type | Finalité | Durée | Déposé par | Consentement |
|---|---|---|---|---|---|
| __Secure-better-auth.session_token | Cookie | Vous garder connecté à votre compte | 30 jours | le site | non requis |
| __Secure-better-auth.session_data | Cookie | Copie signée de votre session pour accélérer l’affichage | 5 minutes | le site | non requis |
| __Secure-better-auth.two_factor | Cookie | Relier les deux étapes d’une connexion avec double authentification | 10 minutes | le site | non requis |
| __Secure-better-auth.trust_device | Cookie | Ne plus demander la double authentification sur cet appareil, seulement si vous le choisissez | 30 jours | le site | non requis |
| __Secure-better-auth.better-auth-passkey | Cookie | Vérifier une connexion ou l’ajout d’une clé d’accès (passkey) | 5 minutes | le site | non requis |
| NEXT_LOCALE | Cookie | Mémoriser la langue choisie | 365 jours | le site | non requis |
| theme | Stockage local | Mémoriser le thème clair ou sombre | jusqu’à ce que vous l’effaciez | le site | non requis |
| 17f:discreet | Stockage local | Mémoriser le mode discret (montants masqués à l’écran) | jusqu’à ce que vous l’effaciez | le site | non requis |
| 17f:last-account | Stockage local | Proposer par défaut le dernier compte utilisé lors de la saisie d’une opération | jusqu’à ce que vous l’effaciez | le site | non requis |
Les traceurs « non requis » sont strictement nécessaires au fonctionnement du site ou au service que vous demandez : ils sont exemptés de consentement (article 82 de la loi Informatique et Libertés).
Informations complémentaires
Application installable : pour fonctionner hors connexion, l’application garde sur votre appareil une copie des dernières pages consultées (60 au plus). Cette copie est effacée dès que vous revenez à la page de connexion (déconnexion, session expirée ou changement de compte).
Taux de change : ils sont récupérés par le serveur auprès de Frankfurter, un service libre qui publie les taux de référence de la Banque centrale européenne, sans qu’aucune donnée vous concernant ne lui soit transmise.
Portabilité : vous pouvez exporter à tout moment vos données (CSV, JSON ou PDF) depuis l’application.