Confidentialité

Utiliser Tacca demande un compte (avec un code d’invitation tu peux aussi entrer en tant qu’invité, sans e-mail : voir « Si tu entres en tant qu’invité »). Les calculs, c’est le téléphone qui les fait, donc l’app fonctionne aussi sans réseau, mais ce que tu écris est copié sur notre serveur dès qu’il y en a un : c’est ce qui met tes groupes à l’abri même si le téléphone casse, et ce qui les porte aux personnes avec qui tu les partages.

Nous collectons ton adresse e-mail pour te connecter, et les données de tes groupes pour les synchroniser. Pas de publicité, pas de profilage, pas de revente de données : ce n’est pas une promesse de bonnes intentions, c’est qu’il n’existe aucun code pour le faire.

La section Personnel est facultative. Comptes, opérations, budgets, récurrences et reçus personnels restent sur cet appareil sans synchronisation avec notre serveur. Les dépenses récurrentes d’un groupe, c’est autre chose : elles restent dans le groupe et se synchronisent comme ses autres dépenses (voir « Ce que nous collectons »). Le CSV permet de consulter les données ; la sauvegarde JSON permet de les restaurer et comprend les photos des reçus personnels. Tu choisis où exporter ou partager le fichier et avec qui. Il contient des données lisibles : protège-le. La sauvegarde personnelle exclut les photos des reçus de groupe. Déconnexion, effacement des données ou désinstallation peuvent supprimer les données locales : conserve une sauvegarde au préalable.

Le responsable du traitement est IPGS ENERGY SRL, dont le siège est Via Ugo Ojetti 7, 20151 Milano, Italia, numéro de TVA 07006920966.

Pour toute question ou pour exercer tes droits, tu peux écrire à privacy@usetacca.com. Nous répondons sous trente jours, comme le prévoit le règlement européen.

Les statistiques d’utilisation, si tu les acceptes, sont traitées pour notre compte par Supabase : voir « Les statistiques d’utilisation ».

Avant la connexion, les contenus que tu écris restent dans la base du téléphone. Le groupe d’exemple n’est pas synchronisé. Si tu acceptes les statistiques facultatives, seuls les événements minimaux décrits dans leur section peuvent partir, y compris pendant la présentation ; jamais les contenus que tu écris.

Tant que tu ne te connectes pas et que tu ne consens à rien, aucun des contenus que tu écris ne part. Il reste quelques requêtes techniques que l’app fait toute seule et qui, comme toute connexion, montrent ton adresse IP au service contacté : Expo Updates, pour les mises à jour de l’app ; Frankfurter, pour les taux de change (seulement les devises demandées) ; et, si tu donnes l’autorisation de position, Open-Meteo, pour la météo de l’accueil. Après la connexion partent en plus celles listées ci-dessous : ce qui sert à te connecter et à amener tes groupes jusqu’à toi et aux personnes avec qui tu les partages, deux petits registres techniques sur notre serveur (voir « Les données techniques sur notre serveur ») et — seulement si tu dis oui — les statistiques d’utilisation (voir « Les statistiques d’utilisation »), qui valent aussi pour qui n’a pas de compte.

Si tu ouvres un code d’invitation sans t’inscrire, l’app te fait entrer en tant qu’invité : un utilisateur anonyme naît sur notre serveur, sans e-mail ni mot de passe, avec seulement un identifiant aléatoire. Il sert à réclamer ta place dans le groupe, à la synchroniser et à t’apporter les alertes du groupe, si tu accordes l’autorisation de notifications. Pour le reste, ce que dit ce document vaut aussi pour toi.

En tant qu’invité, tu peux être dans deux groupes au maximum ; pour entrer dans un troisième, il faut t’inscrire. Si tu t’inscris, l’identifiant reste le même et tes groupes avec lui : il n’y a rien à transférer. Si tu ne t’inscris pas et que tu changes de téléphone, il n’y a aucun moyen de les retrouver, parce qu’il n’y a pas d’e-mail auquel te rattacher.

Si tu as accordé l’autorisation de notifications, trois jours après ton entrée l’app programme sur le téléphone — sans passer par notre serveur — un rappel te disant que tu peux t’inscrire. Il n’y en a qu’un, et il disparaît si tu t’inscris entre-temps.

Un accès en tant qu’invité n’a pas de commande pour être supprimé depuis l’app, et nous ne le supprimons pas nous-mêmes après une période d’inactivité : se déconnecter ou désinstaller l’app ne le retire pas du serveur. Si tu veux qu’il disparaisse, écris à privacy@usetacca.com en nous disant dans quel groupe tu es et sous quel nom, pour que nous le reconnaissions : nous le supprimons sous trente jours. Si tu t’inscris, tu peux ensuite utiliser « Supprimer le compte » comme tout le monde.

Le compte sert à trois choses : mettre tes groupes à l’abri hors de ce téléphone, les retrouver sur un autre, et les partager avec d’autres personnes. Pour cela nous collectons :

La synchronisation se fait par compte, pas par groupe : dès qu’il y a du réseau, chaque groupe présent sur ce téléphone est copié sur le serveur, y compris celui que tu n’as jamais partagé avec personne. Il n’y a pas d’interrupteur pour en garder un dehors, et nous préférons l’écrire ici plutôt que te le laisser découvrir.

C’est l’envers de ce que le compte t’apporte : si le téléphone casse ou que tu en changes, tes comptes sont toujours là. Ce que les autres personnes peuvent lire reste en revanche limité aux groupes dont elles font partie — un groupe qui n’est qu’à toi n’est vu que par toi — et cette limite, ce sont les règles de la base de données qui l’appliquent, pas l’app.

Deux photographies peuvent quitter ce téléphone, et c’est toi qui les choisis : le portrait de ton profil et la couverture d’un groupe. Tu les prends dans ta galerie — la couverture, tu peux aussi la prendre sur le moment — et avant qu’elles ne partent, l’app les réduit et les compresse ici, sans jamais envoyer l’original. Ton portrait est vu par les personnes qui partagent un groupe avec toi ; une couverture est vue par qui est dans ce groupe. Tu les retires quand tu veux, depuis le profil ou le groupe, et elles disparaissent aussi du serveur ; si tu supprimes le compte ou le groupe, elles s’en vont avec lui.

Les photos des reçus et le texte reconnu restent sur cet appareil. La reconnaissance utilise localement Apple Vision sur iOS et Google ML Kit sur Android ; sur Android, le modèle est téléchargé par Google Play Services, qui envoie à Google des statistiques d’utilisation et de fonctionnement, mais pas les photos ni le texte lu. Sur iOS 26, si tu as activé Apple Intelligence, les lignes reconnues — pas la photo — passent aussi au modèle de langage d’Apple qui tourne sur le téléphone, pour proposer total, commerçant, date et catégorie : aucune donnée ne quitte l’appareil et nous n’utilisons pas le Private Cloud Compute d’Apple. Ce ne sont que des suggestions : tu les vérifies et les corriges avant de créer la dépense. Les groupes synchronisent les données de la dépense confirmée, sans la photo ni le texte intégral du reçu. La photo accompagne le brouillon ou la dépense sur cet appareil ; elle est supprimée avec les données locales ou lors de la déconnexion. Sur iPhone, si la sauvegarde iCloud est activée ou si tu sauvegardes sur un ordinateur, les données locales de Tacca — photos des reçus comprises — font partie de ta sauvegarde, qui reste la tienne : nous ne la voyons pas.

Si le reçu est la confirmation d’un hébergement Airbnb ou Booking, la photo n’est pas conservée, pas même sur le téléphone : elle sert seulement à lire l’établissement, l’adresse, les dates et le montant, et elle est écartée dès qu’elle a été lue. Le code de réservation et l’éventuel PIN de la confirmation ne sont enregistrés nulle part.

Si un jour nous proposons un archivage en ligne payant, ce sera un choix explicite et séparé, et ce document sera mis à jour avant qu’il n’existe.

La caméra lit les QR d’invitation et de paiement, photographie les couvertures de groupe et les reçus. La lecture des QR ne conserve aucune image ; un IBAN ou un lien de paiement lu reste à l’écran tant que tu le regardes, et nous ne l’enregistrons ni ne l’envoyons à personne. Si tu touches « Coller un IBAN », nous lisons le presse-papiers du téléphone à ce moment-là, et seulement pour cela. Nous n’utilisons jamais le microphone.

La galerie s’ouvre lorsque tu choisis une photo de profil, une couverture ou un reçu : nous recevons uniquement le fichier sélectionné. Le capteur de mouvement masque les montants lorsque tu poses le téléphone face contre table ; ses données ne sont ni enregistrées ni transmises.

La position est facultative et n’est demandée que « pendant l’utilisation de l’app » : si tu l’actives, quand tu ouvres l’accueil nous lisons où tu es pour afficher la température et le ciel sous le salut. Les coordonnées, arrondies à environ un kilomètre, vont à Open-Meteo pour la prévision, et le nom de la ville vient du service de localisation du téléphone (Apple sur iPhone, Google sur Android). Nous ne les enregistrons pas sur notre serveur, elles n’entrent pas dans les dépenses et personne d’autre ne les voit ; nous ne lisons jamais la position en arrière-plan. L’adresse d’un hébergement lue sur une confirmation, c’est autre chose : pour la placer sur la carte du groupe, le service de localisation du téléphone (Apple sur iPhone, Google sur Android) la transforme en coordonnées. C’est une adresse, pas ta position : sur Android le système demande quand même l’autorisation de position pour le faire, mais nous ne lisons pas où tu es. Tu peux la désactiver à tout moment depuis le Profil ou depuis les réglages du téléphone.

Certains rappels naissent du temps qui passe — une dette qui reste ouverte, le bilan de fin de mois — et c’est ton téléphone qui les construit et les programme, sans qu’ils aillent nulle part.

Les alertes sur ce que font les autres, en revanche, oui, et cela mérite d’être dit en entier. Si tu as un compte et que tu accordes l’autorisation, ton téléphone enregistre chez nous un jeton d’appareil, avec la plateforme, la langue, le fuseau horaire et les préférences d’heures calmes. Quand quelqu’un ajoute ou corrige une dépense dans un groupe que tu partages, notre serveur écrit le texte et le remet à Expo, qui l’achemine vers Apple (sur iPhone) ou Google (sur Android).

Deux autres rappels naissent de notre serveur, et tiennent aux dates d’un groupe : le jour où il se termine — « vous êtes rentrés, ajoutez les dernières dépenses » — et quelques jours plus tard, si les comptes sont restés ouverts. C’est le serveur qui les prépare et non le téléphone, parce qu’ils doivent atteindre aussi ceux qui n’ouvrent pas l’app depuis des jours, et ils empruntent la même route que les autres alertes.

Le texte visible d’une notification contient le prénom de la personne qui a fait l’action, le nom du groupe, la description de la dépense et les montants. Le message contient aussi un identifiant technique interne pour ouvrir le bon écran dans l’app. Jamais de noms de famille, jamais ton adresse e-mail, jamais un IBAN ou un identifiant de paiement — parce qu’une notification se lit sur un écran verrouillé, entre les mains de qui le ramasse.

Nous supprimons le jeton lorsque tu te déconnectes ou supprimes le compte ; si l’app est désinstallée, Expo peut nous indiquer plus tard que l’appareil n’est plus enregistré, et nous le supprimons alors. Tu peux couper chaque type d’alerte — ou toutes — dans « Notifications », sous « Toi ». Sans autorisation, nous n’enregistrons pas le jeton et Tacca fonctionne entièrement quand même.

Si ton compte a une adresse e-mail, on t’écrit quand quelqu’un se connecte à ton compte : c’est ainsi que tu repères à temps une connexion que tu n’as pas faite. On ne t’écrit pas pour la connexion qui crée le compte, ni deux fois dans la même journée pour le même appareil depuis la même adresse IP.

L’e-mail contient les données techniques que notre serveur reçoit de toute façon à chaque connexion : l’adresse IP et le type d’appareil (l’app pour iPhone ou Android, ou bien navigateur et système), avec l’heure dans le fuseau horaire de ton téléphone. On ne déduit aucun lieu de l’IP. C’est Resend qui livre l’e-mail.

L’IP et l’appareil sont gardés trente jours, puis supprimés automatiquement. La base juridique est notre intérêt légitime, et le tien, à protéger le compte (art. 6.1.f du RGPD).

Le retour est facultatif. Chaque message devient un ticket numéroté : notre équipe d’assistance le lit avec l’identifiant du compte et son adresse e-mail pour traiter la demande, et peut te répondre depuis le panneau d’administration. Les réponses t’arrivent par e-mail, avec le numéro du ticket dans l’objet, et si tu réponds à cet e-mail ta réponse entre dans le même ticket. Si tu n’écris pas pendant 48 heures après une de nos réponses, le ticket se ferme tout seul et nous te prévenons par e-mail ; si tu réponds ensuite, il se rouvre. Les e-mails des tickets sont livrés et reçus par Resend. Si tu choisis d’ajouter le diagnostic, vérifie le texte avant l’envoi : les derniers messages techniques peuvent contenir des informations que tu as saisies dans l’app.

Nous utilisons Expo Updates pour distribuer les mises à jour de l’app ; ce service peut recevoir les données techniques nécessaires pour choisir une version compatible. Pour la conversion visuelle entre devises, l’app interroge Frankfurter seulement avec les devises demandées ; elle n’envoie ni groupes, ni dépenses, ni identifiant de compte, mais le fournisseur réseau peut voir les données techniques ordinaires de la requête, comme l’adresse IP.

Elles sont facultatives et désactivées tant que tu ne dis pas oui. Tu peux choisir au début de la présentation et changer d’avis dans Toi › Confidentialité et données. Sans consentement, aucun événement n’est collecté, même rétroactivement ; Tacca fonctionne quand même.

Nous les collectons directement sur notre serveur Supabase, sans Google Analytics. Seuls les appareils ayant donné leur consentement sont représentés.

Ces événements ne contiennent ni montants, descriptions, catégories personnelles, noms, e-mails, photos, position ni contacts. Les photos de profil sont des données distinctes.

Supabase traite ces données pour notre compte. L’infrastructure peut recevoir des données réseau, dont l’IP : nous ne promettons pas que les fournisseurs ne la voient jamais. Pour limiter les abus, un HMAC journalier de l’IP est conservé deux jours, pas l’IP dans les événements.

Après connexion, le serveur vérifie temporairement le rôle et la classification du compte pour exclure personnel, tests et démos. Aucun identifiant de compte n’est conservé dans les événements ; le panneau présente des agrégats.

Le consentement est facultatif et révocable. Désactiver arrête immédiatement les envois et demande la suppression des événements de ce code d’appareil. Hors ligne, la demande reste en attente et est réessayée au prochain passage au premier plan. Réactiver crée un nouveau code. Les événements expirent après 90 jours, avec nettoyage quotidien.

Si tu as un compte, notre serveur (Supabase, dans l’Union européenne) tient deux petits registres techniques. Ils ne demandent pas de consentement à part et ne servent pas à te profiler.

Appareils. Pour chaque installation avec laquelle tu te connectes : un identifiant aléatoire de l’installation, ton compte, la plateforme, le modèle du téléphone (par exemple « iPhone 16 »), la version et le build de l’app, la version du système, l’identifiant de la mise à jour utilisée, la première et la dernière ouverture, et l’écart entre l’horloge du téléphone et celle du serveur. Ils servent à savoir quelles versions circulent — pour te prévenir ou bloquer celles qui sont trop anciennes — et à diagnostiquer les erreurs de date. Ils restent tant que le compte existe et sont supprimés avec lui ; les installations que nous n’avons pas vues depuis 12 mois sont éliminées.

Refus de synchronisation. Quand le serveur refuse une modification : ton compte, le type de donnée et d’opération, le motif du refus, la version de l’app et la date. Jamais le contenu de la modification. Nous les gardons 90 jours.

La base est notre intérêt légitime (art. 6.1.f du RGPD) à maintenir le service en état de marche et sûr, à diagnostiquer les pannes et à garantir la compatibilité entre les versions de l’app et le serveur.

Dans l’app, il n’y a aucune vérification anti-robot : pour entrer, l’e-mail et le mot de passe suffisent, et les abus sont freinés par des limites au nombre de tentatives que notre serveur accepte depuis une même adresse réseau.

Sur le site, la page qui permet de demander la suppression du compte utilise en revanche Turnstile, de Cloudflare : un contrôle automatique qui distingue une personne d’un programme. Pour cela, Cloudflare observe quelques signaux techniques de la demande — pas le contenu de ce que tu écris, seulement des éléments comme l’adresse IP et les caractéristiques de l’appareil — selon son Addendum sur la confidentialité de Turnstile (www.cloudflare.com/turnstile-privacy-policy). Cela sert à empêcher que quelqu’un utilise cette page pour envoyer en masse des codes à des adresses qui ne sont pas les siennes.

Ce document vaut aussi pour usetacca.com, où tu es peut-être en train de le lire. Le site est fait de pages écrites d’avance, sans aucun processus allumé derrière. Par lui-même il ne pose aucun cookie et ne charge rien chez les autres : la seule exception, ce sont les statistiques du site, décrites ci-dessous, qui ne partent que si tu les acceptes. Ce ne sont pas celles de l’app, qui restent sur notre propre serveur, sans Google, et ont leur propre consentement (voir « Les statistiques d’utilisation »).

Quand tu ouvres le site (si les statistiques sont activées), un bandeau propose trois choix : Accepter, Refuser ou Choisir. Accepter et Refuser ont le même poids et la même place ; Choisir ouvre le panneau avec l’interrupteur des statistiques. Tant que tu n’as pas choisi, ou si tu refuses, aucun script de Google n’est chargé et aucun cookie de mesure n’est enregistré (Google Consent Mode : tous les signaux restent sur « refusé »). Ton choix reste dans ton navigateur, pas sur nos serveurs, pendant six mois : ensuite nous te le redemandons. Tu peux le changer quand tu veux avec le lien « Cookies » en bas de chaque page : le retirer arrête la mesure et supprime les cookies d’Analytics.

Si tu acceptes, nous chargeons Google Analytics 4, de Google Ireland Limited, qui nous dit, de façon agrégée, combien de personnes visitent quelles pages et depuis quel type d’appareil. La base est ton consentement (art. 6.1.a du RGPD et art. 122 du Code italien de la protection des données personnelles, selon les lignes directrices du Garante italien sur les cookies et autres traceurs). Les données peuvent aussi être transférées à Google LLC, aux États-Unis, avec les garanties prévues par le Règlement : la décision d’adéquation du Data Privacy Framework UE-États-Unis ou, à défaut, les clauses contractuelles types ; tu peux nous demander une copie des garanties en écrivant à privacy@usetacca.com. Dans Analytics, les données sont conservées pendant la durée réglée dans notre propriété Google Analytics, qui ne dépasse pas 14 mois. Nous n’utilisons pas Analytics pour la publicité ni pour te profiler.

Jusqu’au 9 octobre 2026, le site permettait de laisser une adresse e-mail pour savoir quand Tacca sortirait (la « liste d’attente ») ; depuis ce jour, il ne récolte plus d’adresses. Celles et ceux qui en ont laissé une par le passé l’ont fait sur la base de leur consentement (art. 6.1.a du RGPD). Les adresses déjà collectées sont dans une table que personne ne peut lire de l’extérieur, avec la langue dans laquelle la personne lisait et le jour où elle l’a laissée ; ni nom ni IP. Nous ne les utilisons pour rien d’autre et ne les donnons à personne : si et quand nous enverrons l’e-mail d’annonce, ce sera un seul, et juste après nous supprimons l’adresse. Pour demander la suppression avant, écris à privacy@usetacca.com : nous la faisons sous trente jours.

Nous traitons les données des groupes synchronisés pour exécuter le service que tu nous as demandé (art. 6.1.b du RGPD) : sans elles, la synchronisation ne peut pas fonctionner.

Nous traitons ton adresse e-mail pour la même raison : c’est l’outil par lequel nous t’authentifions. Nous traitons les retours volontaires pour gérer ta demande et pour la sécurité et l’amélioration du service ; lorsque nécessaire, la base est notre intérêt légitime (art. 6.1.f du RGPD).

Certaines choses, nous ne les traitons que sur la base de ton consentement (art. 6.1.a du RGPD) : les statistiques d’utilisation de l’app et celles du site avec Google Analytics, la position et les notifications (que tu donnes par l’autorisation du système du téléphone) et, pour qui en avait laissé une par le passé, l’adresse de la liste d’attente du site. Tu peux retirer chaque consentement à tout moment (art. 7.3 du RGPD), depuis les réglages de l’app ou du téléphone, depuis le bandeau du site ou en nous écrivant : le retrait ne touche pas à ce qui s’est passé avant.

Les statistiques d’utilisation, si tu les acceptes, reposent sur ton consentement (art. 6.1.a du RGPD), que tu peux retirer à tout moment dans « Toi › Confidentialité et données ». Les deux registres techniques du serveur (appareils et refus de synchronisation) reposent sur notre intérêt légitime (art. 6.1.f) à maintenir le service en état de marche et sûr, à diagnostiquer les pannes et à garantir la compatibilité entre l’app et le serveur.

Les photos de profil et de groupe, les moyens de paiement et le budget sont des choix à toi et tu les retires quand tu veux : nous les traitons pour exécuter le service que tu nous as demandé (art. 6.1.b). Ton pseudo sert à te faire reconnaître dans les groupes, et nous le traitons pour la même raison. Les invitations directes reposent sur notre intérêt légitime (art. 6.1.f) à faire fonctionner les invitations entre personnes qui se connaissent ; tu peux t’y opposer à tout moment en les désactivant dans les réglages des notifications, à la rubrique « Invitations directes ». Les amitiés reposent sur le même intérêt légitime ; tu peux t’y opposer en désactivant « Accepter les demandes » dans « Toi › Tabmates », et retirer un ami quand tu veux.

Donner ton adresse e-mail est obligatoire pour avoir un compte : sans elle, nous ne pouvons ni te connecter ni synchroniser tes groupes (en tant qu’invité, il n’en faut pas). Tout le reste est facultatif et Tacca fonctionne sans : photos, position, notifications, statistiques, retours, budget et moyens de paiement.

Nous ne te profilons pas et nous ne prenons aucune décision automatisée à ton sujet.

Les données applicatives synchronisées sont chez Supabase, hébergé sur l’infrastructure d’Amazon Web Services. La base de données est configurée dans la région eu-west-1, Irlande.

Supabase agit comme sous-traitant : il traite les données pour notre compte et selon nos instructions, pas pour ses propres finalités.

Chaque table est protégée par des règles d’accès appliquées par la base de données elle-même : une personne authentifiée ne peut lire que les données des groupes dont elle fait partie. Ce n’est pas un contrôle écrit dans l’app — qu’on pourrait contourner — mais dans la base.

Pour la connexion, nous utilisons Supabase Auth et, si tu les choisis, Google et Apple ; les codes de connexion par e-mail, Supabase Auth les envoie avec Resend. Resend livre tous nos e-mails de service : codes de connexion, alertes de connexion, reçus de suppression du compte, réponses aux tickets de retour (et il reçoit tes réponses) et communications de service. Pour l’anti-robot du site et pour héberger le site et le panneau d’administration, nous utilisons Cloudflare ; pour les notifications et les mises à jour, Expo et, pour la livraison push, Apple ou Google ; pour les statistiques d’utilisation de l’app, si tu les acceptes, Supabase ; pour celles du site, si tu les acceptes, Google Analytics ; pour la météo, Open-Meteo ; pour les taux de change, Frankfurter ; pour lire les reçus sur Android, Google, via Google Play Services, qui télécharge le modèle de reconnaissance et reçoit des statistiques d’utilisation et de fonctionnement (pas les photos ni le texte lu).

La base de données se trouve dans l’Union européenne. Certains prestataires de service — l’e-mail (Resend), les notifications (Expo, Apple, Google), la connexion avec Google et Apple, Cloudflare et, sur le site, Google Analytics — peuvent traiter des données techniques hors de l’Espace économique européen, avec les garanties prévues par le Règlement (décisions d’adéquation comme le Data Privacy Framework UE-États-Unis, ou clauses contractuelles types) et selon leurs propres conditions : nous ne déclarons donc pas une absence absolue de transferts vers des pays tiers. Tu peux nous demander une copie des garanties en écrivant à privacy@usetacca.com. Il n’y a aucun réseau publicitaire entre les deux.

Les autres personnes ne lisent que les données des groupes dont elles font partie, et ce sont les règles de la base de données qui le font respecter. De notre côté, seules les personnes autorisées de IPGS ENERGY SRL peuvent accéder aux données, et seulement pour l’assistance, la sécurité et le fonctionnement du service.

Elles le font depuis un panneau d’administration, hébergé chez Cloudflare et protégé par une connexion. Voici ce que le panneau montre :

Le panneau ne montre ni les noms de tes groupes, ni les descriptions ou les montants des dépenses prises une à une, ni rien de ce que tu écris dans les groupes : nous ne regardons pas le contenu de tes groupes.

L’accès direct à la base de données, en dehors du panneau, est réservé aux administrateurs techniques du service et ne sert qu’à la maintenance et à la résolution des pannes.

Chaque consultation de l’annuaire des comptes par le personnel (la fiche d’un compte, l’export de la liste) et les autres actions des administrateurs dans le panneau sont enregistrées — qui, quoi, sur quel compte, combien de lignes — dans un registre qui ne peut pas être modifié et qui est conservé 24 mois, puis supprimé.

Les données d’un groupe synchronisé restent tant que le groupe existe. Quand la suppression depuis l’app réussit, ton profil, ton e-mail, les jetons d’appareil, les appareils enregistrés et les retours associés sont supprimés du serveur ; les demandes envoyées par e-mail sont traitées dans les délais légaux.

Les événements internes sont conservés 90 jours, avec nettoyage quotidien, ou jusqu’à leur suppression demandée à la révocation. Celle-ci concerne cet appareil ; répète-la sur les autres. Les appareils techniques non vus depuis 12 mois sont supprimés ; les rejets de synchronisation restent 90 jours.

Attention à une chose, parce que c’est une conséquence du fait de fonctionner en groupe : les dépenses que tu as saisies dans un groupe partagé restent visibles pour les autres participants même après ton départ. Elles font partie de leur historique comptable, pas seulement du tien, et les effacer unilatéralement fausserait les comptes d’autres personnes.

Les tickets de retour sont conservés le temps nécessaire au traitement de la demande et au suivi de l’assistance : la fermeture automatique après 48 heures les ferme mais ne les supprime pas, et il n’existe actuellement pas de suppression automatique distincte pour ces messages.

Depuis « Toi → Données » tu peux vider ce téléphone quand tu veux, mais c’est un nettoyage local : tant que le compte existe, tes groupes sont encore sur le serveur et reviennent à la première connexion. Pour les effacer vraiment, il faut supprimer le compte, depuis « Toi → Profil ».

Les adresses laissées par le passé sur la liste d’attente du site sont conservées jusqu’à ce que tu en demandes la suppression en écrivant à privacy@usetacca.com (nous la faisons sous trente jours) ou jusqu’à ce que nous les utilisions pour l’unique e-mail d’annonce, après quoi nous les supprimons.

L’adresse IP et l’appareil d’une connexion sont gardés trente jours, le temps de t’envoyer l’alerte et de ne pas la répéter ; ensuite, on les supprime automatiquement.

Certains registres techniques se nettoient seuls : la file technique des notifications (avec le texte de l’alerte et le destinataire) sept jours après l’envoi ; une invitation directe restée sans réponse expire au bout de trente jours et ne peut plus être acceptée ; la demande de suppression du compte et les données de son reçu (adresse, langue, date) restent jusqu’à la suppression du compte et disparaissent avec lui. Le registre des accès du personnel (voir « Qui peut accéder aux données ») est conservé 24 mois.

Cette liste est la partie la plus utile du document, parce que c’est là que les apps sont d’habitude vagues :

Sur les données que tu nous as confiées, tu peux exercer les droits prévus par les articles 15 à 22 du RGPD : savoir quelles données nous avons, en obtenir une copie, les corriger, les effacer, en limiter le traitement, t’y opposer et les emporter ailleurs dans un format lisible. Tu peux aussi retirer à tout moment un consentement que tu nous as donné (art. 7.3 du RGPD), sans que cela touche à ce qui s’est passé avant.

Pour les exercer, écris à privacy@usetacca.com. Pour l’effacement, pas besoin de le demander : c’est dans « Toi → Profil → Supprimer le compte », et si tu n’as plus l’app installée tu peux le lancer depuis https://usetacca.com/fr/supprimer-le-compte/ : confirme un code à usage unique envoyé à ton adresse e-mail, puis tu reçois un reçu. La demande est irréversible et une tâche planifiée supprime le compte et les données associées sous trente jours.

Quand tu supprimes ton compte, ton profil, ton pseudo, ton adresse e-mail et les identifiants de tes appareils disparaissent. Dans les groupes que tu as partagés avec d’autres, ta place reste — un nom dans une liste de dépenses — sans aucun compte rattaché : ces dépenses sont aussi les leurs, et les parts déjà réparties doivent continuer à tomber juste. Les groupes où il ne reste personne d’autre sont supprimés avec le compte.

Si tu estimes que nous traitons tes données de façon incorrecte, tu peux saisir l’autorité italienne de protection des données (Garante per la protezione dei dati personali, www.garanteprivacy.it) ou celle du pays où tu vis — par exemple la CNIL en France ou l’AEPD en Espagne.

Pour t’inscrire, tu dois avoir au moins 14 ans, l’âge prévu par la loi italienne pour consentir seul au traitement de ses propres données dans les services numériques. En dessous de cet âge, le consentement du titulaire de l’autorité parentale est nécessaire. Là où la loi de ton pays fixe un âge plus élevé, c’est celui-là qui s’applique.

Le groupe d’exemple se regarde sans compte : dans ce cas nous ne te demandons aucune donnée et il n’y a pas de limite d’âge.

Si nous changeons quelque chose d’une manière qui compte pour toi — les données que nous collectons, qui les reçoit, tes droits — nous t’écrivons par e-mail pour dire ce qui change et, à la prochaine ouverture de l’app, nous te demandons d’accepter de nouveau les conditions et de prendre connaissance de cette politique, qui te dit comment nous traitons les données et n’est pas un consentement. Tant que tu ne confirmes pas, tu ne peux pas continuer à utiliser l’app avec ton compte. Pour les retouches qui ne changent rien d’important, comme une coquille, nous n’écrivons pas et nous ne demandons rien. Nous ne faisons pas valoir une modification du seul fait de l’avoir publiée.

Chaque version porte sa date, et celle à laquelle tu as consenti reste enregistrée sur ton appareil et, si tu as un compte, aussi sur notre serveur, avec la date à laquelle tu l'as acceptée et le système du téléphone (iOS ou Android). Si tu supprimes ton compte, cela disparaît aussi.