Politique de confidentialité

Qui est responsable

Melaine Berthelot, éditeur de Split. Pour toute question ou demande : contact@sharesplit.app.

Ce qui reste sur ton iPhone

Tes dépenses, les photos des tickets, les prénoms des participants et de tes proches, l’historique des remboursements et tes réglages sont enregistrés uniquement sur ton appareil. Tes coordonnées de paiement (IBAN, liens PayPal ou Revolut, alias Wero) sont gardées dans le Trousseau de l’iPhone. Nous n’y avons pas accès. Ces données suivent les sauvegardes de ton appareil, selon tes propres réglages.

Ces coordonnées de paiement restent d’abord sur ton iPhone : elles ne quittent l’appareil que si tu les joins à un lien de partage, et pour la durée de ce partage seulement.

La lecture des tickets

Quand tu photographies un ticket, Split essaie d’abord de le lire sur ton iPhone, sans rien envoyer.

Si cette lecture ne suffit pas, et seulement si tu l’as autorisé, la photo est envoyée, par notre serveur, à l’API Gemini de Google, puis si nécessaire à l’API Claude d’Anthropic, qui en extraient les lignes et les montants. Notre serveur ne conserve ni la photo ni son contenu.

Google et Anthropic traitent la photo pour nous répondre et peuvent la conserver pour une durée limitée afin de détecter les abus. Ils ne s’en servent pas pour entraîner leurs modèles. Leurs engagements : conditions de l’API Gemini, conditions d’Anthropic et politique de confidentialité d’Anthropic.

Un ticket peut porter des informations personnelles, comme le prénom du serveur ou les derniers chiffres d’une carte bancaire : elles suivent le même chemin que la photo.

Tu peux retirer cette autorisation à tout moment dans les Réglages de l’app (« Analyse IA en ligne »). Split lit alors les tickets sur l’iPhone seulement, ou te laisse saisir le ticket à la main.

Les taux de change

Pour une dépense dans une autre devise que l’euro, l’app demande à notre serveur le taux de référence de la Banque centrale européenne. Seules la devise et la date de la dépense sont envoyées : jamais un montant, un commerçant ni un prénom. Notre serveur relaie la demande au service public Frankfurter, sans ton adresse IP. Tu peux aussi saisir le taux toi-même.

La protection contre les abus

Pour qu’une analyse IA en ligne ne puisse venir que de Split, sur un vrai iPhone, l’app utilise App Attest, un service d’Apple : une clé propre à ton installation de Split est créée dans la puce sécurisée de l’iPhone, et Apple certifie qu’elle appartient bien à l’app. Notre serveur garde la partie publique de cette clé et le nombre d’analyses en ligne du jour, pour appliquer une limite quotidienne. Cette clé ne permet ni de t’identifier ni de te suivre d’une app à l’autre. Elle est effacée après 90 jours sans analyse en ligne.

La mesure d’usage

Pour savoir si Split sert, nous comptons des usages, jamais des gens. L’app garde un identifiant d’installation : un nombre tiré au hasard, gardé dans le Trousseau de ton iPhone. Il ne porte ni ton nom, ni tes dépenses, n’est pas un identifiant publicitaire, et ne permet de te suivre dans aucune autre app. Il est régénéré si tu réinstalles Split.

Quand l’app passe en arrière-plan, elle envoie à notre serveur une liste courte de gestes accomplis, avec cet identifiant :

• l’app a été ouverte
• un ticket a été lu (par quel moyen, et s’il venait de l’appareil photo ou de la photothèque)
• une dépense a été enregistrée (combien de participants, professionnelle ou non, et sa catégorie : restaurant, courses, transport, sorties ou autre)
• un partage a été ouvert (combien de participants) puis refermé (quelle part des lignes a été cochée)
• une relance a été envoyée (par quel moyen de paiement)
• un remboursement a été constaté
• une installation est née d’un lien partagé
• l’écran de Split+ a été affiché (devant quelle fonction)
• Split+ a été acheté (quelle formule : mensuelle, annuelle ou à vie, mais jamais ton compte Apple ni tes moyens de paiement)
• le contrôle d’un ticket a été partagé en image (quel type d’anomalie, et combien)
• la carte de ton année a été partagée (avec ou sans les montants masqués).

Ce qui n’est jamais envoyé : aucun montant, aucun nom de commerçant, aucun prénom, aucune photo, aucun identifiant de session de partage. Notre serveur refuse toute information qui ne figure pas dans cette liste : ce n’est pas une promesse, c’est un contrôle.

Ces mesures sont conservées 400 jours, puis effacées. Tu peux tout couper dans les Réglages de l’app (« Statistiques d’usage ») : l’identifiant est alors effacé et plus rien n’est compté. L’app fonctionne à l’identique.

Les rapports de plantage

Quand Split plante, l’app envoie un rapport technique à Sentry, un service de suivi des erreurs, pour que nous puissions corriger le problème. Il contient le modèle de l’iPhone, les versions d’iOS et de Split, et l’endroit du code où l’erreur s’est produite.

Ce qui n’est jamais envoyé : aucun montant, aucun nom de commerçant, aucun prénom, aucune photo, ni ton adresse IP, ni l’identifiant d’installation de la mesure d’usage, ni aucune capture d’écran. Les rapports sont hébergés par Sentry (Functional Software, Inc.) dans l’Union européenne et conservés 90 jours au plus. Tu peux les couper dans les Réglages de l’app (« Statistiques d’usage », puis « Rapports de plantage »).

Le partage d’une dépense

Quand tu crées un lien de partage, notre serveur reçoit la photo du ticket, le contenu du ticket (commerçant, lignes, montants) et les prénoms des participants. Toute personne qui a le lien peut les voir, cocher ce qu’elle a pris et ajouter son prénom.

Si tu choisis de joindre tes coordonnées de paiement (alias Wero, liens Revolut ou PayPal, IBAN et nom de son titulaire), elles partent avec le lien : le serveur les garde le temps de la session, pour les afficher aux participants qui veulent te rembourser. Elles sont effacées en même temps que le partage.

Si tu suis le partage sur l’écran verrouillé (activité en direct), l’app envoie aussi à notre serveur le jeton de notification qu’Apple attribue à cette activité : il sert seulement à mettre la carte à jour quand un participant coche ce qu’il a pris, et il est effacé avec le partage.

Chaque participant peut demander un justificatif PDF de sa part : il est composé à la demande, servi une fois, et jamais conservé sur nos serveurs.

Ces données sont effacées dès que tu clôtures le partage ou supprimes la dépense, et automatiquement au bout de 7 jours au plus. Il ne reste ensuite, pendant 30 jours, qu’une trace sans aucune donnée, qui permet d’afficher « ce partage est terminé ».

Quand un participant ouvre le lien, notre serveur compte la visite selon le type d’appareil (iPhone, Android ou ordinateur). Seuls le jour et ce type sont gardés, pendant 400 jours : ni adresse IP, ni identifiant, ni lien avec le partage ou avec la personne. Les aperçus de lien affichés par Messages ou WhatsApp ne comptent pas. Cela sert à savoir si une version de Split pour Android serait utile.

Les achats de Split+

Split+ s’achète par l’App Store : abonnement mensuel ou annuel, ou achat à vie. Le paiement est traité entièrement par Apple, avec ton compte Apple. Nous ne recevons ni ton nom, ni ton adresse e-mail, ni tes moyens de paiement. Apple indique seulement à l’app, sur ton iPhone, si Split+ est actif, et cette information ne quitte pas l’appareil. Seule la mesure d’usage décrite plus haut compte un achat et sa formule, jamais ton compte Apple ni tes moyens de paiement.

Un abonnement se renouvelle automatiquement jusqu’à sa résiliation. Tu le gères ou le résilies dans les Réglages de l’iPhone, en touchant ton nom puis « Abonnements ». Les remboursements se demandent à Apple, sur reportaproblem.apple.com. Ce qu’Apple fait de ses propres données est décrit dans sa politique de confidentialité.

Les relances

Les demandes de remboursement sont des messages que tu envoies toi-même, avec l’app de ton choix. Elles ne passent pas par nos serveurs.

L’ardoise partagée

Pour tenir une ardoise avec un proche qui a aussi Split, l’app crée sur notre serveur une identité : un identifiant tiré au hasard et la clé publique d’une clé qui ne quitte pas le trousseau de ton iPhone. Aucun nom, aucune adresse e-mail, aucun numéro de téléphone.

Le lien d’invitation est valable 7 jours. Notre serveur n’en garde que l’empreinte, jamais le lien lui-même. Une invitation jamais acceptée est effacée le lendemain de son expiration.

Le contenu de l’ardoise (les dépenses avec leur libellé, leur date, leurs montants, leur devise, leur catégorie et qui a payé, les remboursements, le prénom et la couleur que chacun s’est choisis) est gardé sur notre serveur pour que vous voyiez chacun la même chose. Seuls les deux membres de l’ardoise peuvent le lire. Il est conservé tant que l’ardoise existe. Pour l’effacer, touche « Effacer mes ardoises partagées » dans les Réglages de Split : ton identité et les ardoises dont tu es membre sont aussitôt effacées de notre serveur, et de ton iPhone. Une ardoise est commune aux deux membres : son effacement vaut pour ton proche aussi, et sa copie quitte son téléphone à la synchronisation suivante. Pour prévenir ce téléphone, nous gardons 180 jours l’identifiant tiré au hasard de l’ardoise effacée, sans aucun contenu. Si tu ne peux plus ouvrir l’app, écris à contact@sharesplit.app : nous t’aiderons à faire l’effacement sous 30 jours.

Si tu acceptes les notifications, l’app envoie à notre serveur le jeton de notification qu’Apple attribue à ton iPhone, rattaché à ton identité : il sert seulement à te prévenir quand ton proche change quelque chose sur l’ardoise. Il est effacé quand tu coupes les notifications. Si une autre identité s’enregistre plus tard avec le même jeton, par exemple après une réinstallation de Split, le jeton lui est rattaché et l’ancienne identité ne reçoit plus de notification.

La liste d’attente

Si tu t’inscris sur sharesplit.app pour être prévenu de la sortie, nous recevons ton prénom, ton adresse e-mail, le type de ton téléphone (iPhone ou Android), la façon dont tu as connu Split si tu la donnes, ainsi que la date de ton accord.

Ces informations servent uniquement à t’annoncer la sortie de Split, et à savoir combien d’inscrits ont un iPhone ou un Android. Elles sont gérées par Brevo (Sendinblue SAS, France), qui envoie nos e-mails et les héberge dans l’Union européenne. Avant l’envoi, Cloudflare Turnstile vérifie que le formulaire est rempli par une personne, sans cookie publicitaire. Voir la politique de confidentialité de Brevo et celle de Turnstile.

Chaque e-mail contient un lien de désinscription en un clic. Tes informations sont alors effacées de la liste. Sans désinscription, elles sont effacées au plus tard trois ans après ton inscription.

Hébergement et sécurité

Nos serveurs sont hébergés par Cloudflare. Ton adresse IP sert, au moment de chaque requête, à limiter les abus. Elle peut figurer quelques jours dans les journaux techniques du serveur, utilisés pour diagnostiquer les pannes, puis effacés automatiquement. Les liens de partage sont des identifiants aléatoires, impossibles à deviner, et seul ton iPhone détient le jeton qui permet de modifier ou de clôturer un partage.

Pourquoi nous traitons ces données

• L’analyse IA en ligne repose sur ton consentement, que tu peux retirer à tout moment.
• Le partage repose sur ta demande : il ne peut pas fonctionner sans ces données.
• La liste d’attente repose sur ton consentement, que tu retires en te désinscrivant.
• Les achats de Split+ reposent sur le contrat que tu passes avec Apple, qui les traite.
• La mesure d’usage repose sur notre intérêt légitime à savoir si l’app sert et à en corriger les défauts. Elle est anonyme, limitée à la liste ci-dessus, et tu peux t’y opposer en deux appuis dans les Réglages.
• Les rapports de plantage reposent sur notre intérêt légitime à corriger les erreurs de l’app. Ils ne contiennent aucune donnée de tes dépenses, et tu peux t’y opposer dans les Réglages.

Split ne vend, ne loue ni ne cède aucune donnée, et ne fait aucun suivi publicitaire.

Transferts hors de l’Union européenne

Google, Anthropic, Sentry et Cloudflare sont des sociétés américaines. Les transferts vers leurs services sont encadrés par les garanties prévues par le RGPD, notamment les clauses contractuelles types de la Commission européenne.

Tes droits

Tu disposes d’un droit d’accès, de rectification, d’effacement et d’opposition, et du droit de retirer ton consentement. Comme nous ne conservons presque rien, le plus simple est souvent d’agir depuis l’app : clôturer un partage efface aussitôt ses données. Pour tout le reste, écris à contact@sharesplit.app. Tu peux aussi adresser une réclamation à la CNIL.

Modifications

Si cette politique change, la date en haut de page est mise à jour.