Politique de confidentialité

L’essentiel en 30 secondes

• Pas de compte, pas de nom, pas de courriel pour utiliser l’outil.
• Vos réponses sont chiffrées dans votre navigateur avant d’être sauvegardées. Notre serveur garde un budget illisible sans votre code.
• On ne garde jamais votre adresse IP dans notre base de données.
• Aucun témoin (cookie) de suivi, aucune publicité, aucune revente. On ne fait pas de profilage.
• Notre hébergeur, Cloudflare, est situé hors du Québec. On a évalué ce risque (section 7).
• Vous pouvez supprimer votre budget vous-même, à tout moment, en un clic.
• Une question ? Écrivez à la personne responsable de la protection des renseignements personnels : budget-tooling@proton.me.

1. Qui sommes-nous ?

Coussinet est un outil de budget en ligne exploité par un travailleur autonome (entreprise individuelle) au Québec.

Courriel : budget-tooling@proton.me

Dans cette politique, « nous » veut dire la personne qui exploite Coussinet. « Vous », c’est la personne (ou le couple) qui utilise l’outil.

2. La personne responsable de vos renseignements personnels

Le responsable de la protection des renseignements personnels est Yannick Beaudoin, fondateur de Coussinet. Cette personne veille au respect de cette politique, répond à vos questions et traite vos demandes et vos plaintes.

Pour la joindre : budget-tooling@proton.me. On vous répond par écrit dans un délai de 30 jours, sans frais.

Une seule personne, le fondateur, a accès à nos systèmes et à nos boîtes de courriel. Personne d’autre ne travaille sur vos renseignements.

3. Ce qu’on recueille, pourquoi, et combien de temps on le garde

On recueille le moins possible. Voici tout, catégorie par catégorie.

3.1 Le calculateur de partage (page « Calculateur »)

Tout se passe dans votre navigateur. Rien n’est envoyé ni enregistré.

3.2 Votre budget, sauvegardé sur notre serveur

• Quoi : vos réponses à l’entrevue, chiffrées dans votre navigateur avant l’envoi : revenus, dépenses, dettes, objectifs, tranches d’âge des enfants, situation de couple, les cases cochées de votre liste « À faire », ainsi que les surnoms que vous avez choisis (un surnom ou une initiale suffit : évitez d’inscrire votre nom complet). Avec ce budget chiffré, on garde seulement : une empreinte de l’identifiant de votre budget, si le plan est débloqué ou non, et quelques dates (création et dernière modification, nécessaires à la synchronisation entre appareils; dernière ouverture, au jour près, pour la suppression automatique).
• Pourquoi : pour que vous puissiez reprendre votre budget plus tard, sur un autre appareil ou avec votre partenaire, et pour calculer votre plan « pilote automatique » s’il est débloqué.
• Quand : la sauvegarde sur notre serveur commence automatiquement après la section « Vos revenus » (avant, rien ne quitte votre appareil). Un message vous le dit à ce moment-là.
• Est-ce un renseignement personnel ? On le traite comme tel. Même chiffré et sans nom, un budget décrit la situation d’une personne réelle, et il est sensible. On applique donc toutes les règles de la loi.
• Combien de temps : un budget non débloqué est supprimé automatiquement s’il n’a été ni ouvert ni modifié depuis 6 mois. Un budget débloqué (avec un code d’accès ou, plus tard, par un paiement) est conservé tant que le service existe; si le service devait fermer, on vous préviendra au moins 6 mois à l’avance, sur le site et dans l’outil, avec un moyen d’exporter votre budget. Dans tous les cas, vous pouvez le supprimer vous-même quand vous voulez (section 10).

Le détail technique (code, chiffrement, empreinte) est dans Sous le capot.

3.3 Le calcul de votre plan (si votre plan est débloqué)

Pour calculer votre plan, votre navigateur envoie la clé de votre budget à notre serveur, par une connexion chiffrée. Le serveur vérifie d’abord que le plan est débloqué, puis déchiffre votre budget en mémoire, quelques instants, calcule le plan, vous le renvoie, et oublie la clé et le budget en clair. Rien n’est conservé en clair, rien n’est écrit dans nos journaux, et le plan n’est pas enregistré sur notre serveur. Voir Sous le capot, section 5.

3.4 La copie sur votre appareil

Votre navigateur garde une copie chiffrée de votre budget et votre code dans son stockage local, pour que vous puissiez reprendre sans rien retaper, même hors ligne. Cette copie reste sur votre appareil : on ne la reçoit pas.

À savoir : une personne qui utilise le même navigateur pourrait rouvrir votre budget, comme un onglet resté ouvert. Sur un appareil partagé, utilisez « Sauvegarder et quitter ». La copie reste sur l’appareil jusqu’à ce que vous l’effaciez (« Sauvegarder et quitter », « Supprimer mon budget », ou en effaçant les données du site dans votre navigateur). Si vous créez un lien à mettre en favori ou copiez le lien de partage, ce lien contient votre code et peut rester dans l’historique de votre navigateur : voir Sous le capot, section 6.

3.5 Les courriels que vous nous envoyez

• Quoi : votre adresse courriel, votre nom s’il apparaît, et le contenu de votre message.
• Pourquoi : vous répondre (soutien, exercice de vos droits).
• C’est optionnel. Ne nous envoyez jamais votre code de budget : on n’en a pas besoin pour vous aider, et un courriel n’est pas un endroit sûr pour le garder.
• Combien de temps : 24 mois après notre dernier échange, puis suppression. Si un jour une demande est liée à un achat, elle sera gardée avec nos registres comptables (6 ans, comme l’exigent les lois fiscales).
• Votre courriel passe par notre fournisseur de courriel, Proton AG (Suisse) (section 6).

3.6 Les données techniques de connexion

Comme tout site web, notre hébergeur Cloudflare reçoit votre adresse IP, le type de navigateur et d’autres données techniques au moment où votre navigateur se connecte. C’est nécessaire pour vous envoyer les pages et pour bloquer les robots.

• De notre côté : votre adresse IP sert seulement, sur le moment, à limiter le nombre de requêtes (contre les robots). Elle n’est jamais enregistrée dans notre base de données. Nos journaux techniques ne gardent pas le détail des requêtes : seulement des compteurs et des erreurs, effacés après quelques jours (3 jours actuellement).
• Contre les robots : à la création d’un budget et quand vous essayez un code d’accès, on utilise Cloudflare Turnstile, une vérification qui se fait le plus souvent sans casse-tête. Turnstile s’exécute dans votre navigateur et analyse des signaux techniques (adresse IP, type de navigateur, empreinte de la connexion) pour reconnaître les robots. Notre serveur ne lui transmet pas votre adresse IP en plus. Il voit aussi l’adresse de la page (le nom de l’étape), mais jamais votre code.
• Du côté de Cloudflare : Cloudflare traite ces données techniques pour nous, et aussi, en partie, pour ses propres besoins de sécurité et d’amélioration de son réseau et de Turnstile, selon sa politique de confidentialité et l’addenda de confidentialité de Turnstile (Cloudflare Turnstile Privacy Addendum). Le tableau de bord de Cloudflare nous montre aussi des statistiques de trafic et un échantillon de requêtes, qui peut comprendre l’adresse IP, le pays, le type de navigateur et l’adresse de la page (jamais votre code). Cloudflare les garde jusqu’à 31 jours. On les consulte seulement pour repérer des attaques ou des pannes; on ne les copie nulle part et on ne les relie à aucun budget.

3.7 Les codes d’accès (premiers testeurs)

• Quoi : avant l’ouverture des paiements, on remet des codes d’accès à quelques premiers testeurs; un code débloque gratuitement le plan d’un budget. Pour chaque code, on garde seulement une empreinte du code, le jour où il a été créé, sa date d’expiration s’il en a une, combien de fois il peut servir et combien de fois il a servi.
• Jamais la date où il a servi, ni quel budget l’a utilisé : débloquer votre plan inscrit seulement « débloqué » dans votre budget. On ne note pas à qui on a remis quel code. Le détail, et la petite limite qui reste, sont dans Sous le capot, section 7.
• La liste des testeurs : si on vous a invité, on garde une courte liste : votre prénom, la date de l’invitation et le moyen par lequel on vous a joint (par exemple votre courriel). On n’y note pas quel code vous avez reçu. Et les codes sont créés en lot, pas un à la fois au moment d’inviter quelqu’un : leur date de création ne dit donc pas à qui ils ont été remis.
• Pourquoi : débloquer le plan des testeurs et savoir combien de codes ont servi; la liste sert à vous inviter et à vous demander vos commentaires.
• C’est optionnel.
• Combien de temps : les codes, jusqu’à la fin du programme d’accès anticipé, puis on les supprime; la liste des testeurs, au plus tard 3 mois après la fin du programme. Votre budget débloqué, lui, suit la règle de la section 3.2.

4. Ce qu’on ne fait jamais

• Vendre, louer ou échanger vos renseignements.
• Publicité, témoins de suivi, pixels, profilage ou outil d’analyse qui vous suit d’un site à l’autre.
• Enregistrer votre nom, votre courriel ou votre adresse IP dans la base de données de l’outil.
• Garder votre code ou la clé de votre budget sur notre serveur.
• Utiliser votre budget à une autre fin que de vous rendre le service (par exemple, pour de la publicité ou des statistiques sur vous).
• Prendre une décision à votre sujet de façon automatisée. L’outil fait des calculs pour vous, à partir de vos réponses; les décisions vous appartiennent.

Si un jour on veut ajouter un outil de mesure d’audience, ce sera un outil sans témoin qui ne vous suit pas. On mettra cette politique à jour avant de l’activer.

5. Votre consentement : ce qui est nécessaire, ce qui est optionnel

• Nécessaire pour utiliser l’outil : vos réponses à l’entrevue (sinon, pas de budget à calculer), la sauvegarde chiffrée sur notre serveur après la section « Vos revenus » (c’est elle qui permet de reprendre et de partager avec votre partenaire) et les données techniques de connexion.
• Optionnel : les courriels que vous nous envoyez et l’utilisation d’un code d’accès.
• Vous pouvez changer d’idée quand vous voulez : « Supprimer mon budget » efface tout, sur votre appareil et sur notre serveur. Arrêter d’utiliser l’outil suffit aussi : un budget non débloqué s’efface tout seul après 6 mois.

On utilise vos renseignements seulement pour les raisons expliquées ici. Pour toute autre raison, on vous demanderait d’abord votre consentement exprès.

6. Qui d’autre traite vos renseignements

On travaille avec très peu de fournisseurs. Chacun reçoit seulement ce dont il a besoin.

• Cloudflare agit pour nous (comme sous-traitant) pour héberger et protéger l’outil. Pour une petite partie des données techniques (amélioration de Turnstile, sécurité de son réseau), Cloudflare agit pour son propre compte.
• Aucun autre tiers ne reçoit vos renseignements, sauf si la loi nous y oblige (par exemple, une ordonnance d’un tribunal). Votre budget restant chiffré, on ne pourrait remettre qu’un contenu illisible.

7. Où sont vos renseignements (communication hors du Québec)

Vos renseignements sont conservés et traités à l’extérieur du Québec :

• la base de données est hébergée par Cloudflare dans la région « Est de l’Amérique du Nord » (probablement aux États-Unis), sans copie dans d’autres régions;
• les pages et le calcul du plan sont servis par le centre de données de Cloudflare le plus proche de vous (souvent au Canada pour les visiteurs canadiens, sans garantie);
• Proton AG, notre fournisseur de courriel, conserve les messages que vous nous envoyez (Suisse).

Avant de communiquer des renseignements hors du Québec, la loi nous demande d’évaluer s’ils y seront protégés adéquatement. On a fait cette évaluation (approuvée le 23 octobre 2026). Notre conclusion : la protection est adéquate, surtout parce que votre budget est chiffré avant de quitter votre appareil et que ni votre code ni votre clé ne sont conservés chez Cloudflare. Il reste un risque : les lois d’un autre pays (par exemple, des États-Unis) peuvent permettre à leurs autorités de demander des données à un hébergeur. Dans ce cas, elles obtiendraient des données chiffrées, illisibles sans votre code.

8. Comment on protège vos renseignements

Mesures techniques

• Chiffrement de votre budget dans votre navigateur (AES-256-GCM), avec une clé tirée de votre code, qui n’est jamais conservée sur notre serveur.
• Notre serveur ne garde qu’une empreinte de l’identifiant de votre budget : une copie volée de la base ne permettrait ni de lire, ni de modifier, ni d’effacer un budget.
• Connexions chiffrées seulement (HTTPS, imposé par votre navigateur grâce à HSTS), en-têtes de sécurité stricts, protection contre les robots et limites de requêtes.
• Aucun budget, aucune clé et aucun contenu de requête dans nos journaux.
• Suppression automatique chaque jour des budgets arrivés au bout de leur durée de conservation.

Mesures administratives

• Une seule personne a accès aux systèmes : le fondateur, avec une authentification à deux facteurs sur les comptes.
• Aucune copie de la base de données sur un ordinateur personnel.
• Un registre des incidents de confidentialité (section 11) et une révision de cette politique au moins une fois par année, ou à chaque changement important.

Le détail est dans Sous le capot. Aucune mesure n’est parfaite; on préfère vous dire exactement ce qu’on fait, et ses limites.

9. Témoins (cookies) et stockage dans votre navigateur

• Aucun témoin de suivi, aucun témoin publicitaire.
• Stockage local de votre navigateur : l’outil y garde votre code et la copie chiffrée de votre budget (section 3.4). Si vous choisissez un thème clair ou sombre, il y garde aussi ce choix : un seul mot, « light » ou « dark », jamais envoyé, qui ne dit rien sur votre budget. Ce ne sont pas des témoins, mais ça fonctionne de façon semblable : ces données restent sur votre appareil jusqu’à ce que vous les effaciez. Pour effacer votre code et votre budget : « Sauvegarder et quitter » (le choix de thème, lui, reste : revenez à « Auto » pour l’effacer). « Supprimer mon budget » efface tout, choix de thème compris. Pour tout effacer : les réglages de votre navigateur (« Effacer les données du site »).
• Turnstile (contre les robots) peut utiliser des éléments techniques strictement nécessaires à cette vérification. Cloudflare les décrit dans l’addenda de confidentialité de Turnstile.
• Cloudflare, notre hébergeur, ne dépose aucun témoin sur notre site en temps normal. Si une attaque était en cours, il pourrait vous demander une vérification anti-robot et déposer un témoin de sécurité temporaire (par exemple « cf_clearance »), qui ne sert pas à vous suivre.

10. Vos droits, et comment les exercer

La loi vous donne le droit d’accéder à vos renseignements, de les faire corriger, de les faire supprimer, de retirer votre consentement, d’obtenir une copie dans un format utilisable (portabilité) et de porter plainte.

Une précision importante : comme on ne sait pas qui vous êtes, on ne peut pas retrouver votre budget sans votre code. C’est voulu. La plupart de vos droits s’exercent donc directement dans l’outil, avec votre code, sans avoir à nous prouver votre identité :

N’envoyez jamais votre code par courriel, même à nous : on n’en a pas besoin pour vous aider.

On répond à toute demande écrite dans un délai de 30 jours, gratuitement. Si on doit refuser une demande, on vous explique pourquoi et comment contester.

Porter plainte. Si vous n’êtes pas satisfait de notre réponse, ou en tout temps :

• au Québec : la Commission d’accès à l’information du Québec — cai.gouv.qc.ca;
• ailleurs au Canada : le Commissariat à la protection de la vie privée du Canada — priv.gc.ca.

11. Si un incident survient

Un « incident de confidentialité », c’est par exemple un accès non autorisé à nos systèmes ou une perte de données.

• On agit tout de suite pour limiter les dégâts, et on note chaque incident dans un registre, même mineur (gardé 5 ans).
• Si un incident présente un risque de préjudice sérieux, on avise la Commission d’accès à l’information et les personnes concernées. Comme on n’a pas vos coordonnées, on vous avisera par un avis bien visible sur le site et dans l’outil, et directement par courriel quand on a votre adresse (par exemple, si vous nous avez écrit).

12. Les jeunes

L’outil s’adresse aux adultes qui gèrent leur budget. Il n’est pas destiné aux enfants de moins de 14 ans. Comme on ne recueille ni nom ni âge, on ne peut pas le vérifier; si vous êtes parent et pensez que votre enfant a utilisé l’outil, « Supprimer mon budget » efface tout.

13. Changements à cette politique

• La date d’entrée en vigueur est indiquée en haut de cette page.
• Comme on n’a pas vos coordonnées, on annonce tout changement important sur le site et dans l’outil, avant qu’il s’applique.
• Si un changement vise à utiliser vos renseignements à une nouvelle fin, on vous demandera votre consentement avant de le faire. On ne réduira jamais la protection de ce qui est déjà sauvegardé sans votre accord.

14. Nous joindre

Responsable de la protection des renseignements personnels : Yannick Beaudoin, fondateur de Coussinet

budget-tooling@proton.me

Sous le capot (pour les curieux)

Vous aimez savoir comment les choses fonctionnent ? Nous aussi. Voici exactement ce qui arrive à votre budget, sans jargon marketing.

1. Votre code, c’est votre clé

Quand vous commencez un budget, votre navigateur génère un code de 20 caractères au hasard, par exemple K7QM-2XPA-9FDE-H3WT-B6NR. Le hasard vient de crypto.getRandomValues, le générateur cryptographique de votre navigateur. Nous, on ne le choisit pas et on ne le voit pas passer quand il est créé.

Chaque caractère vaut 5 bits (on utilise l’alphabet Crockford base32, qui retire les lettres faciles à confondre avec des chiffres : I, L, O et U. Si vous tapez un I ou un O par erreur, on le lit comme un 1 ou un 0). Ça fait environ 100 bits de hasard, soit à peu près 1,3 × 10³⁰ codes possibles.

C’est aussi pour ça qu’on ne vous laisse pas choisir votre propre code : un mot de passe inventé par un humain, même bon, contient beaucoup moins de hasard.

2. Un code, deux clés qui ne se parlent pas

À partir de votre code, votre navigateur calcule deux valeurs avec HKDF-SHA-256 (une fonction de dérivation standard, RFC 5869), chacune avec une étiquette différente :

• étiquette « lookup » : donne un identifiant, envoyé au serveur, qui n’en garde qu’une empreinte;
• étiquette « key » : donne la clé de chiffrement, qui reste dans votre navigateur (sauf pour calculer un plan débloqué, voir la section 5).

Ces calculs sont à sens unique : à partir de l’identifiant, impossible de retrouver votre code ou votre clé.

Et notre serveur ne garde même pas l’identifiant : seulement son empreinte (SHA-256), elle aussi à sens unique. Quand votre navigateur envoie l’identifiant, le serveur recalcule l’empreinte pour trouver votre budget. Résultat : quelqu’un qui aurait une copie de notre base de données ne pourrait ni lire, ni modifier, ni effacer un budget.

3. Chiffré avant même de partir

Votre budget est chiffré dans votre navigateur, avec AES-256-GCM (via l’API Web Crypto intégrée à votre navigateur), avant d’être envoyé. Chaque sauvegarde utilise un nouveau vecteur d’initialisation aléatoire, et le mode GCM vérifie l’intégrité : si quelqu’un modifiait les données chiffrées, le déchiffrement échouerait au lieu de donner un budget trafiqué.

Dans notre base de données, il y a seulement :

• l’empreinte de l’identifiant (ni le code, ni l’identifiant lui-même);
• votre budget chiffré (illisible sans la clé);
• si le plan est débloqué ou non;
• la version du format de votre budget (pour pouvoir le mettre à jour un jour);
• quelques dates (création, dernière modification, dernière ouverture) pour la sauvegarde et la suppression automatique.

Pas de nom, pas de courriel, pas d’adresse IP. (Comme tout hébergeur web, Cloudflare voit votre adresse IP au moment où votre navigateur se connecte : c’est nécessaire pour vous répondre et pour bloquer les robots. Nous ne l’enregistrons pas dans notre base de données, et nos journaux techniques n’enregistrent pas le détail des requêtes. Cloudflare traite aussi certaines données techniques pour ses propres besoins de sécurité, et garde jusqu’à 31 jours un échantillon de requêtes (adresse IP comprise) que son tableau de bord nous montre, pour repérer des attaques.)

Sur votre appareil : votre navigateur garde aussi une copie chiffrée de votre budget et votre code (dans son stockage local), pour que rien ne se perde si vous fermez l’onglet et que vous puissiez reprendre sans rien retaper. Conséquence à connaître : une personne qui utilise le même navigateur pourrait rouvrir votre budget, comme un onglet resté ouvert. Sur un appareil partagé, utilisez « Sauvegarder et quitter » quand vous avez terminé : la copie de cet appareil est effacée une fois votre budget à jour sur notre serveur, et il faudra votre code pour le rouvrir. « Supprimer mon budget » efface tout, ici et sur notre serveur. Si vous choisissez un thème clair ou sombre, votre navigateur retient aussi ce choix (un seul mot : « light » ou « dark »). Il ne dit rien sur votre budget et n’est jamais envoyé. Il reste après « Sauvegarder et quitter » (revenez à « Auto » pour l’effacer); « Supprimer mon budget » l’efface aussi.

Essayez-le vous-même : ouvrez les outils de développement de votre navigateur (F12), onglet Réseau, et modifiez une réponse. Dans la requête de sauvegarde, vous verrez du texte chiffré et l’identifiant (dans un en-tête), jamais vos chiffres ni votre code.

4. « Et si quelqu’un volait la base de données ? »

Il aurait des empreintes et des données chiffrées, mais aucun code, aucun identifiant et aucune clé. Il ne pourrait donc même pas remplacer ou effacer un budget. Pour lire un budget, il devrait deviner un code. Même avec un million de budgets dans la base et une ferme de cartes graphiques qui essaierait mille milliards de codes par seconde, il lui faudrait en moyenne environ 38 000 ans pour en trouver un seul.

(Le calcul : 2¹⁰⁰ codes ÷ 2²⁰ budgets ≈ 2⁸⁰ essais, soit environ 1,2 × 10²⁴; à 10¹² essais par seconde, ça donne environ 1,2 × 10¹² secondes.)

5. Le seul moment où votre budget est déchiffré

Pour calculer votre plan « pilote automatique » (virements, montant de la semaine, liste à faire…), notre serveur a besoin de lire votre budget. Voici comment ça se passe, seulement si votre plan est débloqué :

1. votre navigateur envoie l’identifiant et la clé au serveur, par une connexion chiffrée (HTTPS);
2. le serveur vérifie d’abord que le plan est débloqué. Sinon, il s’arrête là, sans même se servir de la clé. Si oui, il déchiffre le budget déjà sauvegardé sur notre serveur, en mémoire, calcule le plan et vous le renvoie;
3. la clé et le budget en clair sont oubliés aussitôt. Rien n’est conservé en clair, et rien de tout ça n’est écrit dans nos journaux. Ce calcul n’écrit rien dans notre base de données, et le plan lui-même n’est pas enregistré sur notre serveur : il vous est seulement renvoyé.

Pourquoi ne pas tout calculer dans votre navigateur ? Parce que le plan, c’est la partie payante de l’outil : s’il était calculé dans votre navigateur, n’importe qui pourrait le débloquer sans payer.

On préfère être honnêtes sur la limite : pendant ce court instant, votre budget passe par notre serveur. Le chiffrement protège vos données stockées (fuite de base de données, copie de sauvegarde volée); il ne peut pas, à lui seul, protéger contre un serveur qui serait modifié pour mal agir. C’est pour ça qu’on ne vous dira jamais « même nous, on ne peut pas le lire ». On vous dit plutôt : on ne le conserve jamais en clair.

6. Le lien de partage

Quand vous copiez le lien de votre budget, le code est placé après le # dans l’adresse. Cette partie de l’adresse n’est jamais envoyée au serveur par votre navigateur : elle reste sur votre appareil. Dès que la page s’ouvre, on la retire de la barre d’adresse, et on vous demande de confirmer avant d’ouvrir le budget.

Attention : ce lien est une vraie clé. Toute personne qui l’a peut ouvrir, modifier et supprimer votre budget. Il peut aussi rester dans l’historique de votre navigateur et dans l’application où vous l’envoyez (courriel, messagerie). Partagez-le seulement avec la personne avec qui vous faites votre budget.

Mettre votre budget en favori (seulement si vous le demandez). Le bouton « Créer un lien à mettre en favori » vous explique d’abord les risques; c’est seulement si vous confirmez qu’on place votre code après le # dans la barre d’adresse, le temps que vous l’ajoutiez à vos favoris. Dès que vous fermez le message, on le retire de la barre d’adresse. Ce favori est lui aussi une vraie clé : toute personne qui a accès à vos favoris ou à votre historique (et à leur synchronisation sur vos autres appareils) peut ouvrir votre budget. Même retiré de la barre d’adresse, le lien reste dans l’historique de votre navigateur (et dans ses suggestions quand vous tapez une adresse) : effacez-le de l’historique si d’autres personnes utilisent cet appareil. Par défaut, votre code n’est jamais dans la barre d’adresse.

Les adresses des sections. Chaque étape a sa propre adresse (par exemple /fr/budget/revenus), pour que le bouton Précédent, l’actualisation de la page et les favoris de section fonctionnent. Ces adresses contiennent seulement le nom de l’étape : jamais votre code, un surnom ou un montant. Une seule nuance : l’étape du partage n’existe que pour les couples, donc son adresse indique qu’il s’agit d’un budget à deux. (L’étape sur les enfants, elle, partage l’adresse d’une étape voisine, pour ne rien révéler.) Le bouton « Copier le lien » donne toujours l’adresse d’entrée (/fr/budget/#…), jamais celle d’une étape.

7. Les codes d’accès (premiers testeurs)

Avant l’ouverture des paiements, on remet des codes d’accès à quelques premiers testeurs. Un code débloque gratuitement le plan d’un budget. Voici ce qu’on garde, et ce qu’on ne garde pas :

• pour chaque code : une empreinte du code (impossible à retrouver sans une clé secrète qui n’est pas dans la base de données), le jour où il a été créé, sa date d’expiration s’il en a une, combien de fois il peut servir et combien de fois il a servi;
• pas la date où il a servi, et jamais quel budget l’a utilisé : débloquer votre plan inscrit seulement « débloqué » dans votre budget, comme le ferait un paiement;
• le code lui-même n’est jamais enregistré en clair, ni dans la base de données ni dans nos journaux;
• on ne note pas à qui on a remis quel code, et les codes sont créés en lot, pas un à la fois au moment d’inviter quelqu’un : leur date de création ne dit donc pas à qui ils ont été remis;
• un budget déjà débloqué n’utilise pas de code : le code reste disponible.

Soyons précis : tant que les paiements ne sont pas ouverts, un budget débloqué l’a forcément été avec un code. Et Cloudflare garde automatiquement des copies de restauration de la base de données pendant quelques jours (7 jours sur notre forfait actuel). En comparant deux copies, on pourrait voir qu’un code a servi au moment où un budget chiffré a été débloqué, sans jamais pouvoir lire ce budget. Autre détail : débloquer votre plan ne change pas la date de dernière modification de votre budget. Mais une modification enregistrée juste après, même une case cochée dans « À faire ce week-end », met cette date tout près du moment où le code a servi. Quelqu’un qui aurait la base de données et saurait quand un code a servi pourrait donc relier les deux de plus près dans le temps, toujours sans pouvoir lire votre budget. Quand le programme des premiers testeurs se termine, on supprime tous les codes de la base.

8. Protection contre les robots

Pour éviter qu’un robot crée des milliers de faux budgets ou essaie des codes d’accès au hasard, on utilise Cloudflare Turnstile, une vérification qui se fait le plus souvent sans casse-tête à résoudre, et on limite le nombre de requêtes par minute. Pour ces limites, votre adresse IP sert seulement de compteur, sur le moment : elle n’est jamais enregistrée. Turnstile s’exécute dans votre navigateur et analyse des signaux techniques (dont votre adresse IP) pour reconnaître les robots; notre serveur ne lui transmet pas votre adresse IP en plus. Cloudflare décrit ce traitement dans son addenda de confidentialité Turnstile. Turnstile voit aussi l’adresse de la page où il s’exécute, donc le nom de l’étape (par exemple /fr/budget/partage/), mais jamais votre code : on retire toujours le code de la barre d’adresse avant que Turnstile s’exécute.

9. Combien de temps on garde votre budget

• Budget non débloqué : supprimé automatiquement s’il n’a pas été ouvert ni modifié depuis 6 mois. L’ouvrir suffit pour remettre le compteur à zéro. (Pour la dernière ouverture, on note seulement le jour, jamais l’heure, sauf le jour de la création, où elle est égale à la date de création. Les dates de création et de dernière modification, elles, sont précises : elles servent à synchroniser vos appareils.)
• Budget débloqué (avec un code d’accès ou, plus tard, par un paiement) : conservé tant que le service existe. Si le service devait un jour fermer, on s’engage à vous prévenir au moins 6 mois à l’avance, avec la possibilité d’exporter votre budget.

10. Où sont vos données

Le site et la base de données sont hébergés chez Cloudflare (Workers et D1), qui gère aussi notre nom de domaine, coussinet.ca (DNS). Base de données : région ENAM (est de l’Amérique du Nord, la plus proche du Québec), réplication désactivée. Ces données sont donc hébergées hors du Québec; on a fait l’évaluation des facteurs relatifs à la vie privée exigée par la Loi 25 (conclusion : protection adéquate, surtout grâce au chiffrement).

Si vous perdez votre code

On ne peut pas le retrouver pour vous. Ce n’est pas de la mauvaise volonté : on ne l’a jamais eu. C’est le revers de l’anonymat. Gardez-le dans votre gestionnaire de mots de passe ou envoyez-le-vous par courriel.