En bref
- Tanto est une application de budget. Pour fonctionner, elle stocke les renseignements financiers que vous choisissez de saisir ou d'importer. Nous les utilisons à une seule fin : gérer votre budget.
- Aucune publicité. Aucune vente ni location de vos données. Aucun outil d'analyse ni traceur tiers. Nous sommes financés par les abonnements, pas par vos renseignements. Nous comptons l'utilisation des fonctions de Tanto, de façon agrégée, avec nos propres systèmes au Canada.
- Vos données sont hébergées au Canada (Montréal). Quelques fournisseurs de services traitent des éléments précis à l'extérieur du Canada : Stripe (paiements), Anthropic (fonctions d'IA, seulement si vous les activez), Resend (livraison de courriels) et Cloudflare (sécurité réseau) — tous aux États-Unis. La présente politique précise exactement ce que chacun voit.
- Tanto ne demande pas vos identifiants bancaires et ne se connecte pas à votre banque.
- Vous pouvez tout exporter et supprimer votre compte vous-même, à tout moment. La suppression est immédiate; les copies de sauvegarde sont effacées dans les 30 jours.
- Questions, demandes d'accès ou plaintes : privacy@tantobudget.ca. Nous répondons dans les 30 jours.
- Qui est responsable de vos renseignements
- Ce que nous recueillons
- Pourquoi nous les utilisons, et sur quel fondement
- Fonctions d'IA
- Qui traite vos renseignements, et où
- Témoins et stockage du navigateur
- Comment nous les protégeons
- Combien de temps nous les conservons
- Vos droits
- En cas d'incident
- Mineurs
- Décisions automatisées
- Modifications de la présente politique
- Nous joindre et porter plainte
1. Qui est responsable de vos renseignements
Wharfside Digital Inc., faisant affaire sous le nom Tanto Budget, C.P. 462, succursale Main, Salmon Arm (Colombie-Britannique) V1E 4N6, Canada, est responsable des renseignements personnels recueillis par l'application Web Tanto (app.tantobudget.ca), le présent site Web et nos canaux de soutien.
Notre responsable de la protection des renseignements personnels est notre directeur (Director). Coordonnées : privacy@tantobudget.ca, ou par la poste à l'adresse ci-dessus. Le nom du responsable est disponible sur demande.
La présente politique est rédigée pour satisfaire à la Loi sur la protection des renseignements personnels et les documents électroniques (Canada), aux Personal Information Protection Acts de la Colombie-Britannique et de l'Alberta, et à la Loi sur la protection des renseignements personnels dans le secteur privé du Québec. Lorsque ces lois vous accordent des droits différents, vous bénéficiez du plus étendu qui s'applique à vous.
2. Ce que nous recueillons
Nous ne recueillons que ce dont le Service a besoin. Rien de ce qui suit ne provient d'ailleurs que de vous et de votre propre utilisation de Tanto.
| Catégorie | Précisément | Provenance |
|---|---|---|
| Compte | Nom, adresse courriel, mot de passe (conservé uniquement sous forme de hachage à sens unique — nous ne pouvons pas le lire), préférences de langue et de thème, version et langue des Conditions que vous avez acceptées et moment de l'acceptation. | Vous, à l'inscription et dans les Réglages |
| Données de budget (renseignements financiers sensibles) | Catégories, objectifs, allocations mensuelles, comptes budgétaires (nom, type, nom de l'institution, soldes, limites de crédit), opérations (date, bénéficiaire, montant, note, catégorie), opérations récurrentes, calendrier de paie et salaire net, plafonds et cotisations aux comptes enregistrés (CELI/REER/CELIAPP), versements du crédit pour la TPS/TVH. | Vous, par saisie ou par importation d'un relevé |
| Documents importés | Fichiers de relevés CSV et OFX/QFX et — seulement si vous activez les fonctions d'IA — relevés bancaires PDF et photos de reçus. Les fichiers sont traités en mémoire, jamais écrits sur disque. Les lignes extraites sont conservées chiffrées (AES-256-GCM) uniquement jusqu'à ce que vous confirmiez l'importation, puis détruites; le fichier lui-même n'est jamais conservé. Nous ne conservons jamais de numéros de compte complets. | Vous, lors d'une importation |
| Abonnement | Si vous avez un abonnement, le forfait, son état et sa date de renouvellement, ainsi que les identifiants attribués par Stripe à vos dossiers de client et d'abonnement. Nous ne recevons ni ne conservons votre numéro de carte. Votre adresse de facturation et votre carte sont détenues par Stripe. | Stripe, lorsque vous vous abonnez |
| Connexion et sécurité | Jetons de session; adresse IP et identifiant de navigateur (agent utilisateur) de chaque session active; jetons de vérification du courriel et de réinitialisation du mot de passe; compteurs de limitation de débit de courte durée, indexés par adresse IP. | Votre navigateur, automatiquement |
| Utilisation de l'IA | Un décompte des demandes d'IA et du nombre de jetons traités par mois, pour les limites d'utilisation raisonnable. Nous ne conservons pas le contenu des demandes ni des réponses de l'IA. | Généré lorsque vous utilisez une fonction d'IA |
| Journaux du serveur | Journaux de requêtes standard (heure, méthode, chemin sans les termes de recherche, état, adresse IP). Les mots de passe, témoins de session et jetons sont caviardés; le contenu des requêtes et vos données financières ne sont pas journalisés. | Votre navigateur, automatiquement |
| Utilisation du produit | Décomptes des fonctions utilisées et du moment (par exemple « importation confirmée », « objectif créé »), conservés sous forme de totaux agrégés. Aucun suivi page par page, aucune adresse IP, aucun tiers, et jamais utilisés pour établir votre profil. | Généré au fil de votre utilisation de Tanto |
| Soutien | Ce que vous nous envoyez lorsque vous nous écrivez. | Vous |
| Liste d'attente | Votre adresse courriel, la langue choisie, ainsi que la date de votre confirmation et le libellé auquel vous avez consenti. Aucune adresse IP n'y est associée. | Vous, si vous vous inscrivez à la liste d'attente sur ce site |
Ce que nous ne recueillons pas : vos identifiants bancaires (non demandés, non recueillis); votre numéro de carte; votre position géographique; vos contacts; des identifiants publicitaires; ni quoi que ce soit provenant de courtiers en données ou de réseaux sociaux. Tanto ne contient aucun script d'analyse tiers, de publicité ou de pistage.
3. Pourquoi nous les utilisons, et sur quel fondement
| Fin | Ce que nous utilisons | Fondement |
|---|---|---|
| Fournir le Service — stocker et afficher votre budget, calculer les soldes, les droits de cotisation et les rapports | Compte, données de budget, documents importés | Nécessaire à l'entente que vous avez acceptée; votre consentement aux Conditions |
| Fonctions d'IA (analyse de relevés et de reçus, suggestions de catégories) | Le document que vous numérisez ou les opérations que vous sélectionnez; les noms de vos catégories | Votre consentement exprès, donné dans l'application avant la première utilisation et révocable à tout moment (article 4) |
| Facturation et taxes | Courriel, état de l'abonnement; Stripe détient la carte et l'adresse de facturation | Nécessaire à l'abonnement; obligations légales (registres fiscaux) |
| Sécurité — connexion, vérification, réinitialisation du mot de passe, détection des abus, limitation de débit | Données de connexion et de sécurité, journaux du serveur | Nécessaire au Service; notre intérêt légitime à le protéger |
| Messages de service — vérification, reçus, rappels de renouvellement et de fin d'essai, avis de sécurité et avis juridiques | Adresse courriel | Nécessaire à l'entente; exigé par les lois sur la protection du consommateur |
| Comprendre comment Tanto est utilisé, pour l'améliorer | Décomptes agrégés d'utilisation des fonctions (sans contenu, sans adresse IP) | Notre intérêt légitime à améliorer le Service; conservés au Canada, jamais communiqués |
| Soutien et plaintes | Ce que vous nous envoyez | Votre demande |
| Liste d'attente — un courriel au lancement de Tanto et des nouvelles occasionnelles sur le produit, que vous avez demandés | Renseignements de la liste d'attente | Votre consentement exprès, confirmé par courriel. Retirez-le en tout temps grâce au lien de désabonnement présent dans chaque message |
| Conformité légale et défense en cas de réclamation | Dossiers pertinents à l'affaire | Obligation légale |
Nous n'utilisons pas vos renseignements pour vous faire de la publicité, établir votre profil pour quiconque, ni entraîner des modèles d'IA. Nous n'envoyons pas de courriels de marketing sans votre consentement distinct, et vous pouvez vous désabonner en un clic.
Retrait du consentement. Vous pouvez retirer votre consentement aux fonctions d'IA dans les Réglages à tout moment. Comme les autres renseignements sont nécessaires à la gestion de votre budget, le moyen de retirer votre consentement à leur égard est de supprimer votre compte (article 9), ce que vous pouvez faire vous-même à tout moment.
4. Fonctions d'IA
L'analyse de relevés PDF, la numérisation de reçus et les suggestions de catégories sont fournies par Anthropic, PBC (San Francisco, États-Unis) par l'entremise de son interface commerciale. Ces fonctions sont désactivées par défaut. La première fois que vous en essayez une, Tanto affiche une fenêtre expliquant le présent article et vous demande votre consentement; rien n'est transmis avant votre accord.
Ce qui est transmis : pour l'analyse d'un relevé, le PDF que vous téléversez; pour la numérisation d'un reçu, la photo; pour les suggestions de catégories, le bénéficiaire, le montant et la date des opérations sélectionnées, ainsi que les noms de vos catégories. Ce qui n'est jamais transmis : votre nom, votre adresse courriel, votre mot de passe, ni aucune donnée que vous n'avez pas choisi de traiter.
Ce qu'Anthropic en fait : selon les conditions commerciales d'Anthropic, elle n'utilise pas votre contenu pour entraîner ses modèles. Elle supprime les entrées et sorties de son interface dans les 30 jours, sauf le contenu signalé par ses systèmes de sécurité automatisés, qu'elle peut conserver jusqu'à deux ans à des fins de sécurité et d'enquête sur les abus. Pendant qu'elles se trouvent aux États-Unis, ces données peuvent être accessibles aux tribunaux et aux autorités des États-Unis. Nous ne conservons qu'un décompte des demandes et des jetons — pas le contenu.
Ce que Tanto fait du résultat : il vous le présente comme une suggestion. Vous confirmez les opérations importées avant leur enregistrement et vous acceptez ou refusez chaque suggestion de catégorie. Aucune décision à votre sujet n'est prise automatiquement.
5. Qui traite vos renseignements, et où
Vos données de budget sont stockées sur des serveurs situés à Montréal (Québec), Canada. Pour exploiter Tanto, nous faisons appel à un petit nombre de fournisseurs de services, chacun tenu par contrat de protéger vos renseignements et de ne les utiliser que pour nous fournir son service. Certains d'entre eux traitent des renseignements précis à l'extérieur du Canada (et à l'extérieur du Québec). Dans ce cas, les renseignements peuvent être accessibles aux tribunaux et aux autorités chargées de l'application de la loi et de la sécurité nationale de ce pays en vertu de ses lois. Nous avons choisi chaque fournisseur après avoir évalué la sensibilité des renseignements, la finalité et les mesures de protection en place, et nous conservons une trace écrite de cette évaluation, conformément à l'article 17 de la loi québécoise.
| Fournisseur | Rôle | Renseignements | Lieu |
|---|---|---|---|
| Supabase, Inc. (sur Amazon Web Services) | Hébergement de la base de données et copies de sauvegarde chiffrées | Toutes les données de compte et de budget | Canada (Montréal — AWS ca-central-1) |
| Google Cloud (Cloud Run) | Exécution du serveur d'application Tanto | Toutes les données, en transit dans l'application | Canada (Montréal — northamerica-northeast1) |
| Upstash, Inc. | Compteurs de limitation de débit | Adresses IP et identifiants d'utilisateur, conservés quelques minutes | Canada (Montréal — AWS ca-central-1) |
| Microsoft Corporation (Microsoft 365) | Notre messagerie d'entreprise : les messages de soutien, de confidentialité et autres que vous nous envoyez, et nos réponses | Votre adresse courriel et le contenu de votre message | Canada (Toronto et Québec) |
| Cloudflare, Inc. | Sécurité réseau, protection contre les attaques par déni de service et diffusion de l'application Web; hébergement du présent site, y compris la vérification anti-robot de son formulaire de liste d'attente (Turnstile) | Métadonnées de trafic (adresse IP, navigateur) et trafic chiffré transitant par son réseau pour atteindre nos serveurs; sur le formulaire de liste d'attente, des signaux de votre navigateur servant uniquement à distinguer les personnes des robots | Réseau mondial; les requêtes sont traitées au centre de données le plus proche de vous, y compris aux États-Unis |
| Stripe, Inc. | Paiements, facturation des abonnements, calcul des taxes de vente, reçus | Courriel, nom, adresse de facturation, carte de paiement, historique des opérations. Stripe est un responsable indépendant de ces renseignements pour ses propres obligations de prévention de la fraude et de conformité; voir la politique de confidentialité de Stripe | États-Unis (avec des activités au Canada) |
| Anthropic, PBC | Fonctions d'IA (article 4), seulement avec votre consentement | Le document que vous numérisez ou les détails des opérations que vous sélectionnez | États-Unis |
| Resend, Inc. | Livraison des courriels transactionnels; liste d'attente (conservation de la liste et envoi de ses courriels) | Adresse courriel, contenu des courriels de service (qui ne contiennent aucune donnée financière); pour la liste d'attente, votre langue et la preuve de votre consentement | États-Unis |
Nous ne communiquons vos renseignements personnels à personne d'autre, sauf : à votre demande; à un successeur si Tanto ou Wharfside Digital Inc. est vendue, lequel devra respecter la présente politique; ou lorsque la loi l'exige — par exemple une ordonnance judiciaire valide ou une demande légitime d'une autorité canadienne. Nous vous informerons d'une telle demande à moins que la loi ne nous l'interdise.
Pour les résidents de l'Alberta : le présent article constitue l'avis, exigé par la Personal Information Protection Act de l'Alberta, de notre recours à des fournisseurs de services à l'extérieur du Canada, des pays concernés et des finalités. Notre responsable de la protection des renseignements personnels peut répondre à vos questions à ce sujet.
6. Témoins et stockage du navigateur
Tanto n'utilise que ce qui est strictement nécessaire à son fonctionnement :
- Témoin de session (
better-auth.session_token) — vous garde connecté jusqu'à 30 jours; HttpOnly, Secure, SameSite=Lax. Un témoin compagnon met en cache les données de session pendant 5 minutes. - Stockage local — votre thème (clair, sombre ou système), votre choix de langue avant la connexion, et la liste des éléments du suivi d'abonnements que vous avez écartés. Ces données restent dans votre navigateur et ne nous sont pas transmises.
Tanto ne contient aucune technologie de publicité, d'analyse tierce, de pistage intersites ou d'« empreinte numérique », et aucun pistage facultatif à activer ou à désactiver. Comme il n'y a rien à refuser, Tanto n'affiche pas de bandeau de témoins.
Ce site. tantobudget.ca ne dépose aucun témoin qui lui soit propre et n'utilise aucun outil d'analyse; ses polices sont servies depuis notre propre site. Le formulaire de liste d'attente ne charge Cloudflare Turnstile qu'une fois que vous commencez à saisir votre adresse courriel; Turnstile vérifie que c'est une personne, et non un robot, qui s'inscrit.
7. Comment nous les protégeons
- Tout le trafic est chiffré en transit (HTTPS/TLS). Les données sont chiffrées au repos par nos fournisseurs d'hébergement, et les données d'importation en attente sont chiffrées en plus au niveau de l'application (AES-256-GCM) jusqu'à ce que vous confirmiez l'importation, puis détruites.
- Les mots de passe sont hachés avec scrypt; un minimum de 12 caractères est exigé; la vérification du courriel est obligatoire; les sessions reposent sur des témoins HttpOnly; les points de connexion et de réinitialisation du mot de passe sont soumis à une limitation de débit.
- Chaque requête à la base de données est restreinte à l'utilisateur connecté. Les fichiers téléversés ne sont traités qu'en mémoire.
- L'accès aux systèmes de production est limité au directeur, protégé par une authentification multifacteur, et les secrets sont conservés dans un coffre de secrets géré.
- Les termes de recherche et les valeurs financières sont retirés des journaux du serveur; les mots de passe, témoins et jetons sont caviardés.
- Copies de sauvegarde chiffrées quotidiennes, testées par restauration, conservées 7 jours.
Aucun système n'est parfaitement sécuritaire. Si vous découvrez une vulnérabilité, écrivez à privacy@tantobudget.ca; nous répondrons rapidement et n'engagerons aucune poursuite contre une recherche menée de bonne foi.
8. Combien de temps nous les conservons
| Renseignements | Durée de conservation |
|---|---|
| Données de compte et de budget | Tant que votre compte existe. Lorsque vous supprimez votre compte, tout est supprimé immédiatement de la base de données active; les copies de sauvegarde chiffrées qui les contiennent expirent dans les 30 jours. |
| Données d'importation en attente (lignes extraites d'un relevé) | Jusqu'à ce que vous confirmiez l'importation, puis détruites. Les importations abandonnées sont détruites automatiquement après 24 heures. |
| Fichiers téléversés (CSV, OFX, PDF, photos de reçus) | Non conservés — traités en mémoire pendant la requête seulement. |
| Sessions et jetons de sécurité | Les sessions expirent après 30 jours d'inactivité; les jetons de vérification et de réinitialisation expirent dans l'heure; les compteurs de limitation de débit dans les 10 minutes. |
| Journaux du serveur | 30 jours. |
| Décomptes d'utilisation de l'IA (sans contenu) | Tant que votre compte existe. |
| Registres de facturation (factures, reçus, registres fiscaux détenus par Stripe et dans nos livres) | 7 ans après la fin de l'année d'imposition, comme l'exige la législation fiscale canadienne — même après la suppression du compte. Ils ne contiennent pas de données de budget. |
| Registres de consentement (Conditions acceptées, consentement à l'IA) et journal de suppression de compte (hachage du courriel et date) | 2 ans après la suppression du compte, pour attester de la conformité. |
| Correspondance de soutien | 2 ans après la clôture du dossier. |
| Liste d'attente | Rien n'est conservé avant que vous cliquiez sur le lien de confirmation, qui expire après 7 jours. Ensuite, jusqu'à votre désabonnement ou jusqu'à 12 mois après le lancement de Tanto si vous n'avez pas créé de compte. Lorsque vous vous désabonnez, Resend conserve votre adresse marquée comme désabonnée afin que vous ne receviez plus de courriels; sur demande, nous la supprimons entièrement. |
| Registres d'incidents de confidentialité | 5 ans à compter de la découverte (minimum de 24 mois selon la loi fédérale; 5 ans selon la loi québécoise). |
Lorsque des renseignements ne sont plus nécessaires, nous les supprimons ou les anonymisons de façon irréversible.
9. Vos droits
Où que vous viviez au Canada, vous pouvez :
- Accéder aux renseignements personnels que nous détenons à votre sujet et savoir comment ils sont utilisés et à qui ils ont été communiqués. La plupart sont visibles dans l'application; pour le reste, écrivez-nous.
- Les rectifier. Le nom, les préférences et toutes les données de budget sont modifiables dans l'application; pour votre adresse courriel, écrivez-nous et nous la changerons après vous avoir identifié.
- Les exporter. Réglages → Confidentialité et données vous donne instantanément vos opérations en CSV et l'ensemble de vos données en JSON. Il s'agit du format structuré et couramment utilisé exigé par le droit à la portabilité prévu par la loi québécoise, et nous vous les fournirons aussi sur demande dans les 30 jours.
- Supprimer votre compte et toutes vos données, vous-même, depuis les Réglages — immédiatement et définitivement (sous réserve du tableau de conservation ci-dessus).
- Retirer votre consentement aux fonctions d'IA dans les Réglages à tout moment; et retirer votre consentement à tout le reste en supprimant votre compte.
- Poser des questions ou porter plainte auprès de notre responsable de la protection des renseignements personnels, puis auprès d'un organisme de réglementation (article 14).
Nous répondons aux demandes dans les 30 jours, sans frais. Nous pourrions d'abord vous demander de confirmer votre identité. Si nous refusons une demande en tout ou en partie (par exemple parce que la loi nous oblige à conserver un registre), nous vous en donnerons les motifs et vous indiquerons comment contester la décision.
10. En cas d'incident
Si un incident de confidentialité survient — par exemple un accès, une perte ou une communication non autorisés de vos renseignements personnels — nous le contiendrons, en évaluerons le risque et, s'il présente un risque réel de préjudice grave (ou, selon les termes de la loi québécoise, un risque de préjudice sérieux) pour vous, nous vous en aviserons ainsi que les autorités compétentes en matière de protection des renseignements personnels dans les meilleurs délais, en langage clair, en précisant ce qui s'est passé, quels renseignements étaient visés, ce que nous avons fait et ce que vous pouvez faire. Nous tenons un registre de chaque incident, qu'il ait ou non exigé un avis.
11. Mineurs
Tanto s'adresse aux adultes. Vous devez avoir atteint l'âge de la majorité dans votre province (au moins 18 ans) pour détenir un compte, et nous ne recueillons sciemment aucun renseignement auprès de personnes plus jeunes. Au Québec, nous ne recueillons jamais de renseignements auprès d'une personne de moins de 14 ans sans le consentement du titulaire de l'autorité parentale. Si vous croyez qu'un mineur a créé un compte, écrivez-nous et nous le supprimerons.
12. Décisions automatisées
Tanto ne prend aucune décision à votre sujet fondée exclusivement sur un traitement automatisé. Les fonctions d'IA produisent des suggestions que vous révisez; les budgets, les allocations et les objectifs relèvent entièrement de vos choix. Si cela devait changer, nous vous en informerions au préalable, nous vous expliquerions comment la décision est prise et nous vous offririons un moyen de la faire réviser par une personne.
13. Modifications de la présente politique
Chaque version porte son numéro de version et sa date d'entrée en vigueur en en-tête. Pour toute modification importante, nous vous enverrons un courriel au moins 30 jours avant son entrée en vigueur, avec une explication en langage clair. Les versions antérieures sont disponibles sur demande. La présente politique est publiée en français et en anglais; les deux versions ont le même sens.
14. Nous joindre et porter plainte
Responsable de la protection des renseignements personnels (directeur)
Wharfside Digital Inc. (faisant affaire sous le nom Tanto Budget)
C.P. 462, succursale Main, Salmon Arm (Colombie-Britannique) V1E 4N6, Canada
privacy@tantobudget.ca
Si notre réponse ne vous satisfait pas, vous avez le droit de porter plainte auprès de l'autorité de protection des renseignements personnels de votre ressort :
- Commissariat à la protection de la vie privée du Canada (toutes les provinces et tous les territoires; questions interprovinciales et internationales)
- Office of the Information and Privacy Commissioner for British Columbia
- Office of the Information and Privacy Commissioner of Alberta
- Commission d'accès à l'information du Québec