Dernière mise à jour : 1er novembre 2026
PocketPlanner sert à suivre votre argent. Ce document dit exactement ce qu'il conserve, pourquoi, pendant combien de temps, et comment tout récupérer ou tout effacer. Il décrit ce que le service fait aujourd'hui, pas ce qu'il pourrait faire un jour.
Théophile Mazerolle, éditeur de PocketPlanner.
Contact : contact@pocketplanner.fr
Pour toute question sur vos données, cette adresse est la bonne, et une personne la lit.
Quand la lecture d'un document échoue, nous vous proposons de nous l'envoyer pour l'améliorer. Rien ne part sans que vous cochiez la case de ce document et cliquiez « Envoyer ». Nous le gardons tel quel (votre nom, votre IBAN, vos opérations compris) 90 jours au plus, pour en tirer un cas de test et corriger la lecture — jamais pour autre chose. Il est effacé la nuit qui suit ces 90 jours, ou avec votre compte, et figure dans l'export de vos données. Il ne quitte pas nos serveurs, sauf, le temps de la correction, le poste de l'éditeur.
Pour savoir quels documents nous lisons mal, et les corriger en premier, nous comptons les lectures : un nombre par mois, selon la banque quand le document la nomme, le genre de document (PDF, scan, photo…) et le résultat (lu, à vérifier, refusé). Rien d'autre : ni votre compte, ni le nom du fichier, ni une ligne lue. Ces nombres ne désignent personne.
Pour vous permettre de voir et de fermer vos sessions ouvertes, et pour détecter une connexion anormale, chaque session enregistre : l'adresse IP, l'agent utilisateur du navigateur, le type d'appareil, le navigateur, le système d'exploitation, la date de dernière activité et la date d'expiration.
Vous pouvez autoriser un agent — un assistant comme Claude (Anthropic) ou ChatGPT (OpenAI) — à agir sur votre compte, à votre demande. L'autorisation passe par une page de PocketPlanner, où vous vous connectez comme d'habitude : vous ne donnez votre mot de passe à personne. L'agent ne peut rien supprimer, ni toucher à votre mot de passe, à votre double authentification ou à l'administration.
Ce que l'agent reçoit : les réponses des outils que vous lui demandez d'utiliser — par exemple la liste de vos comptes et placements et leurs soldes, ou vos catégories. Ces réponses partent chez l'éditeur de l'agent (Anthropic, OpenAI…), éventuellement hors de l'Union européenne, parce que vous le lui demandez : ce qu'il en fait relève de sa propre politique de confidentialité, et de votre contrat avec lui. Nous ne lui envoyons rien de nous-mêmes.
Ce que nous gardons : l'autorisation (le nom de l'agent, son site, ce que vous lui avez permis, sa date, la date de sa dernière action), les jetons qui la portent — seulement leur empreinte, jamais le jeton lui-même — et un journal de ses actions (la date, l'outil, ce qu'il a touché en mots comme « 3 comptes courants », réussite ou échec ; jamais un montant, un libellé ou le contenu d'un fichier). Vous voyez vos agents et ce journal dans Paramètres › Compte › Agents connectés, où « Déconnecter » retire un agent aussitôt. Changer votre mot de passe les déconnecte tous. Chaque nouvelle autorisation vous est signalée par email.
Dans « Dettes entre proches », vous pouvez inviter la personne avec qui vous avez une dette à la suivre avec vous. Pour cela, vous saisissez son adresse email. Nous gardons cette adresse, la date de l'invitation, sa réponse (acceptée ou refusée) et la date de cette réponse. Un email part à cette adresse : il donne votre nom (votre prénom et votre nom, ou votre adresse si vous ne les avez pas renseignés), sans aucun montant.
Ce que voit votre proche : rien tant qu'il n'a pas accepté. S'il accepte, depuis un compte PocketPlanner à cette adresse, il voit cette dette seulement : son montant, sa date, qui doit à qui, et les remboursements (montant et date), avec votre nom. Jamais votre note, jamais le libellé d'une opération de votre budget, rien d'autre de votre compte. De votre côté, vous voyez son nom et les remboursements qu'il note. Un remboursement noté par l'un attend l'accord de l'autre.
Arrêter le partage : l'un comme l'autre, à tout moment, depuis la dette — « Arrêter le partage » pour vous, « Ne plus suivre cette dette » pour votre proche. La dette disparaît alors de chez votre proche, avec les versements qu'il en avait mis dans son budget ; l'adresse, l'invitation et sa réponse sont effacées. Vous gardez la dette, seul ; les remboursements déjà acceptés y restent (montant et date).
Vous avez reçu une invitation et vous n'avez pas de compte ? Votre adresse n'a servi qu'à vous l'envoyer. Si vous ne faites rien, rien n'est partagé. Elle est effacée quand la personne retire l'invitation, supprime la dette ou son compte ; pour qu'elle le soit tout de suite, écrivez à contact@pocketplanner.fr.
Pour comprendre où le service se met en travers de votre chemin, vingt et un moments précis sont enregistrés — et vingt et un seulement. Ce sont des bifurcations : le premier écran ouvert après l'inscription, un formulaire commencé puis refermé sans être enregistré, un écran qui n'avait rien à montrer, une erreur affichée, une déconnexion subie, un import interrompu, un détail ouvert pour être lu, une explication consultée, le formulaire de retour ouvert.
Chaque moment retient son nom, sa date, et un mot pris dans une liste fermée : le nom d'un écran, le nom d'un formulaire, le nombre de champs remplis. Jamais un montant, jamais un libellé que vous avez écrit, jamais une adresse. Le serveur refuse toute valeur qui ne figure pas dans cette liste : ce que vous saisissez ne peut pas y arriver, même par erreur de notre part.
Ces moments sont effacés avec votre compte, et repris dans l'export de vos données.
Quatre d'entre eux se produisent sur la page d'accueil, avant tout compte : vous êtes arrivé, vous avez lu jusqu'en bas, vous avez cliqué vers l'application, vous avez commencé à saisir votre adresse puis renoncé. Ils retiennent une seule chose : d'où vous venez, ramené à un mot d'une liste fermée — moteur de recherche, reddit, linkedin, publicité, direct… L'adresse complète de la page qui vous a amené n'est jamais conservée, et aucune de ces mesures n'est rattachée à une personne.
Certaines visites viennent d'une annonce Google. Pour le savoir, nous lisons
les paramètres de campagne de l'adresse (utm_medium, et
utm_content pour savoir de quelle annonce il s'agit) : la visite
est alors rangée sous publicité, et l'annonce sous un mot d'une
liste fermée. Aucun code de Google n'est chargé sur le site, l'identifiant de
clic que Google peut ajouter à l'adresse n'est ni lu ni conservé, et rien ne
repart vers Google.
Trois se produisent sur le blog (les articles de pocketplanner.fr/blog), avant tout compte : vous avez ouvert un article, vous l'avez lu jusqu'au bout, vous avez cliqué vers le service. Ils retiennent l'article — son nom, pris dans la liste des articles publiés — et d'où vous venez, ramené au même mot d'une liste fermée. Rien d'autre, et rien qui soit rattaché à une personne.
Trois autres se produisent sur les pages de connexion, d'inscription et de mot de passe oublié : vous êtes arrivé, vous avez commencé à remplir le formulaire puis renoncé, et — si vous créez un compte — d'où vous veniez. Le nombre de champs remplis est retenu, jamais leur contenu : ni votre adresse, ni votre nom, ni bien sûr votre mot de passe.
La provenance vous suit de la page d'accueil ou d'un guide jusqu'à l'inscription, par le stockage de l'onglet, pour qu'on sache quelle source — et quel guide — amène des personnes qui vont jusqu'au bout. C'est toujours un mot d'une liste fermée, jamais une adresse, et elle est enregistrée sans lien avec le compte créé : nous savons combien de comptes vient chaque source, jamais de quelle source vient votre compte.
🛑 Aucun identifiant n'est déposé sur votre appareil pour cela. Ni cookie, ni marqueur durable : la page se sert du stockage de l'onglet, que votre navigateur efface en le fermant, et uniquement pour ne pas compter deux fois la même visite. C'est ce qui permet à cette mesure d'exister sans bandeau de consentement — et c'est une limite que nous nous imposons, pas une facilité.
Pour savoir si le service est utile dans la durée, une date par jour d'utilisation est conservée. Rien d'autre : ni heure, ni adresse IP, ni navigateur — tout cela vit dans vos sessions (voir plus haut) et disparaît avec elles au bout de trente jours au plus. Les écrans que vous ouvrez sont décrits juste après.
C'est précisément parce que les sessions sont effacées que cette date existe : sans elle, il serait impossible de savoir si quelqu'un revient encore. Elle est effacée avec votre compte et reprise dans l'export de vos données.
Pour voir où le service se comprend et où il égare, chaque écran de l'application que vous ouvrez est noté, avec l'instant : « budget », « patrimoine », « impôts · fiches de paie »… C'est un mot pris dans une liste fermée, jamais l'adresse de la page ni ce qu'elle contient : un portefeuille ouvert est noté « détail d'un portefeuille », sans dire lequel. Ni montant, ni libellé, ni adresse IP.
Le temps passé sur un écran se déduit de l'écran suivant ; rien n'est déposé sur votre appareil pour cela. Ces écrans sont effacés au bout de treize mois, ou avec votre compte, et repris dans l'export de vos données.
Supprimer votre compte efface tout ce qui précède. Une seule ligne survit, et elle n'est rattachée à personne : elle dit, en tranches, depuis combien de temps le compte existait, si vous vous étiez servi du service, et si l'adresse avait été confirmée. Jamais une valeur exacte, jamais un identifiant, jamais votre adresse.
Elle existe pour une raison simple : comprendre si les gens partent parce que le service ne s'explique pas, ou parce qu'il déçoit. Sans elle, un départ n'apprendrait rien, puisqu'il efface tout le reste.
Si vous écrivez une raison en partant — c'est facultatif — elle est conservée sans lien avec votre compte, et l'écran vous le dit avant l'envoi.
Quand vous écrivez par le formulaire de retour : la nature du retour, son titre, votre message, l'adresse de réponse si vous en donnez une, et le contexte technique que le formulaire annonce avant l'envoi — la page d'où vous écrivez, la taille de votre fenêtre, votre navigateur, le thème.
Si vous joignez une capture d'écran, elle est conservée telle quelle. Une capture peut montrer vos montants réels : c'est pour cela que le formulaire vous le dit au-dessus du bouton, avant que vous ne choisissiez le fichier, et que vous pouvez la retirer tant que le retour n'est pas parti. Trois images au plus, 2 Mo chacune, aux seuls formats PNG, JPEG et WebP — le serveur vérifie le contenu réel du fichier et refuse tout le reste.
Retours et captures sont effacés avec votre compte, et repris dans l'export de vos données.
Chaque retour est aussi transmis par email à l'éditeur (contact@pocketplanner.fr), avec l'adresse de son auteur, pour qu'il soit lu. Cet email reste dans la boîte de l'éditeur après la suppression du compte ; il est effacé au plus tard un an après sa réception, ou plus tôt sur simple demande.
Votre adresse email, la date d'inscription, la date de confirmation, une empreinte du jeton de confirmation — le jeton lui-même n'est pas conservé — et d'où vous veniez, ramené au même mot d'une liste fermée qu'au §2.
Ce qu'elle est. Un email une fois par mois : ce qui change dans PocketPlanner et les nouveaux articles du blog. Rien d'autre — ni publicité, ni offre d'un tiers.
Sur quelle base. Votre consentement (art. 6.1.a RGPD), et lui seul : elle ne part qu'aux comptes qui l'ont demandée — la case, décochée par défaut, du formulaire d'inscription, le réglage des Paramètres, ou le « Oui » de la proposition affichée une fois dans l'application. Ne pas la demander ne change rien au service.
Ce qui est conservé. La date de votre consentement, sur votre compte ; elle figure dans l'export de vos données. Votre adresse est celle du compte : rien n'est copié ailleurs. De chaque lettre envoyée, l'éditeur garde le sujet, le texte, la date et le nombre de destinataires — jamais leur liste.
Se désinscrire. En un clic, par le lien « Se désinscrire » au pied de chaque lettre (ou le bouton de désinscription de votre messagerie), sans vous connecter ; ou dans Paramètres › Préférences › La lettre. La date du consentement est alors effacée, et plus rien ne part.
Quand le service rencontre une erreur, un rapport technique est envoyé à Sentry (voir §5) pour qu'elle puisse être corrigée. Ces rapports contiennent le contexte technique de l'erreur ; ils ne sont pas destinés à contenir vos montants ni le détail de vos opérations.
| Finalité | Base légale |
|---|---|
| Fournir le service : votre compte, vos données, leurs calculs | Exécution du contrat (art. 6.1.b RGPD) |
| Vous connecter avec Google, si vous choisissez ce moyen : vérifier votre identité, vous reconnaître aux connexions suivantes | Exécution du contrat (art. 6.1.b) — c'est vous qui choisissez ce moyen de connexion, et vous pouvez le dissocier |
| Les agents connectés, si vous en autorisez un : répondre à leurs demandes, tenir le journal de leurs actions (§2) | Exécution du contrat (art. 6.1.b) — c'est vous qui autorisez l'agent, et vous pouvez le déconnecter |
| Partager une dette avec un proche : son adresse, l'invitation, ce qu'il voit de la dette (§2) | Exécution du contrat (art. 6.1.b) — c'est vous qui invitez, votre proche qui accepte, et chacun peut arrêter ; pour l'adresse d'une personne qui n'a pas répondu : intérêt légitime (art. 6.1.f), lui transmettre l'invitation, qu'elle peut ignorer |
| Sécurité : sessions, journal des connexions, limitation des tentatives | Intérêt légitime (art. 6.1.f) |
| Corriger les pannes : rapports d'erreur | Intérêt légitime (art. 6.1.f) |
| Lire et traiter vos retours, captures comprises | Intérêt légitime (art. 6.1.f) — c'est vous qui choisissez d'écrire, et ce que vous joignez |
| Corriger le produit pendant la bêta : les vingt et un moments d'usage et les écrans ouverts (§2) | Intérêt légitime (art. 6.1.f) — vous pouvez vous y opposer, voir §8 |
| Emails de service : confirmation, réinitialisation de mot de passe | Exécution du contrat (art. 6.1.b) |
| Liste d'attente : vous prévenir à la sortie | Consentement (art. 6.1.a), retirable à tout moment |
| La lettre mensuelle : nouveautés et nouveaux articles (§2) | Consentement (art. 6.1.a), retirable à tout moment en un clic |
| Les documents que vous nous envoyez pour améliorer la lecture (§2) | Consentement (art. 6.1.a), document par document, retirable : écrivez-nous et nous l'effaçons |
| Facturation, le jour où les offres payantes ouvriront | Obligation légale (art. 6.1.c) |
Personne d'autre que vous et l'éditeur — sauf la personne avec qui vous partagez une dette, si vous le décidez, et pour cette dette seulement, et la personne à qui vous donnez un accès en lecture, tant que vous le laissez ouvert, et votre partenaire, pour l'impôt du foyer seulement (ci-dessous) —, hors les prestataires techniques strictement nécessaires au fonctionnement :
| Prestataire | Rôle | Où |
|---|---|---|
| OVHcloud (OVH SAS) | Hébergement du serveur et de la base | France |
| Scaleway | Envoi des emails de service | France |
| Sentry | Rapports d'erreur technique | Union européenne (région UE) |
| Google LLC | Seulement si vous choisissez « Continuer avec Google » : vérifie votre identité et nous transmet votre identifiant, votre adresse et votre nom | États-Unis |
Les cours de bourse proviennent de Yahoo Finance. C'est le serveur qui les interroge, par symbole boursier : ni votre identité, ni vos montants, ni votre navigateur ne sont transmis à ce service.
Les taux de change viennent de la Banque centrale européenne (Francfort, Union européenne). Là aussi, c'est le serveur qui relève ses taux publiés, les mêmes pour tous : rien de vous n'y est transmis.
Les polices de caractères sont servies par notre propre serveur, et aucune page de PocketPlanner ne charge de script ou de ressource d'un autre site : tant que vous ne cliquez pas sur « Continuer avec Google », votre navigateur ne contacte aucun autre site.
Hors de l'Union européenne : seulement si vous choisissez « Continuer avec Google ». Votre navigateur passe alors par la page de Google (Google LLC, États-Unis), où vous vous connectez à votre compte Google. Nous recevons de Google l'identifiant de votre compte, votre adresse email et votre nom, rien d'autre ; nous ne lui envoyons aucune donnée sur votre budget, vos placements ou vos impôts. Ce transfert repose sur la décision d'adéquation de la Commission européenne pour les entreprises certifiées au cadre de protection des données UE–États-Unis (« Data Privacy Framework »), dont Google LLC fait partie. Ce que Google fait de cette connexion relève de sa propre politique de confidentialité. Si vous n'utilisez pas ce bouton, aucune donnée ne quitte l'Union européenne — sauf ce que vous demandez à un agent connecté de lire (§2, « Les agents connectés ») : il le reçoit chez son éditeur, qui peut être hors de l'Union.
Si vous invitez un proche à suivre une dette avec vous et qu'il accepte, il voit cette dette, et rien d'autre : son montant, sa date, qui doit à qui, les remboursements (montant et date) et votre nom — jamais votre note, vos opérations ou le reste de votre compte. Avant qu'il accepte, il ne reçoit qu'un email avec votre nom. L'un comme l'autre peut arrêter le partage à tout moment : la dette disparaît aussitôt de chez lui (§2, « Une dette partagée avec un proche »).
Vous pouvez donner à une personne de votre choix — un expert-comptable, un conseiller — un accès en lecture à vos comptes, à son adresse email, pour 3 mois, 1 an ou sans limite, après avoir confirmé votre mot de passe. Nous gardons cette adresse, la date de sa réponse et la date de chacune de ses consultations, que vous voyez dans vos paramètres. Une fois l'accès accepté, et seulement si elle a activé la double authentification, elle voit vos pages financières — budget, patrimoine, revenus, impôts — sans pouvoir rien modifier, ni exporter vos données, ni voir vos sessions ou votre sécurité. Vous l'arrêtez d'un clic, elle peut s'en retirer, et l'accès s'arrête seul à son terme ou si l'un de vous supprime son compte. Le journal des consultations et les accès terminés sont effacés un an après ; ils figurent dans l'export de vos données, et dans celui de la personne invitée (qui, quand — jamais vos chiffres).
Vous pouvez lier votre compte à celui de votre partenaire, à son adresse email, après avoir confirmé votre mot de passe ; la liaison existe quand il l'accepte. Nous gardons cette adresse, votre situation déclarée (mariés, pacsés, union libre) et les dates. Chacun décide, pour lui, si ses revenus servent à l'impôt du foyer : si vous le cochez, votre partenaire voit vos salaires imposables de l'année et l'impôt qui en résulte — rien d'autre de votre compte, et rien n'est copié dans le sien. L'un ou l'autre arrête la liaison d'un clic ; elle s'arrête aussi si l'un de vous supprime son compte. Les liaisons terminées sont effacées un an après et figurent dans l'export de vos données.
L'éditeur dispose d'un écran d'administration. Il y voit, pour chaque compte : l'adresse email, le prénom et le nom s'ils ont été donnés, la date d'inscription, si l'adresse est confirmée, le nombre de jours d'utilisation et le dernier, le nombre de sessions ouvertes, et si des données ont été saisies — oui ou non. Il y lit aussi les retours envoyés par le formulaire, avec leurs captures d'écran (une par une, à la demande), et les mesures d'usage du §2, en nombres. Pour comprendre un retour ou une difficulté, il peut aussi lire le parcours d'un compte : la suite des écrans ouverts et des moments d'usage du §2, avec leurs heures — des noms d'écrans, rien de ce qu'ils contiennent.
🛑 Il n'y voit jamais un montant, un libellé ou une opération qui vous appartient : aucun écran d'administration n'ouvre votre budget, vos placements ou vos impôts. Ses gestes sur un compte — suspendre, fermer les sessions, dispenser de la confirmation d'adresse, supprimer — sont journalisés, et figurent dans l'export de vos données.
PocketPlanner dépose un cookie, nécessaire pour vous garder connecté — et un second seulement si vous le demandez, en cochant « Faire confiance à cet appareil » ; plus deux cookies de quelques minutes, seulement pendant une connexion avec Google —, garde quelques préférences dans le stockage local de votre navigateur, et se sert du stockage de l'onglet — que votre navigateur efface en le fermant — pour quelques repères de navigation. Rien d'autre : aucun cookie publicitaire, aucun service tiers chargé par la page, et aucun identifiant qui vous suive d'une visite à l'autre. Voici la liste complète.
| Nom | À quoi il sert | Durée |
|---|---|---|
| Cookie de session | Vous garder connecté. Il est httpOnly (illisible par les scripts de la page), Secure et SameSite=Lax. | Jusqu'à la fermeture du navigateur, ou 7 jours si vous cochez « Se souvenir de moi » |
appareil_confiance | Uniquement si la double authentification est active et que vous cochez « Faire confiance à cet appareil pendant 30 jours » : ne plus vous demander le code sur ce navigateur. Il est httpOnly, Secure, SameSite=Lax, et n'est envoyé qu'à la page de connexion de notre serveur. Vous pouvez le retirer dans Paramètres › Sessions actives. | 30 jours |
google_etat | Seulement si vous cliquez sur « Continuer avec Google » : relier le retour de Google à votre clic, et à rien d'autre (protection contre la falsification). httpOnly, Secure, SameSite=Lax. | 10 minutes au plus, effacé au retour de Google |
google_liaison | Seulement si un compte utilise déjà l'adresse de votre compte Google : garder, le temps de saisir votre mot de passe, l'identité que Google vient de confirmer. httpOnly, Secure, SameSite=Lax. | 10 minutes au plus |
pp-theme-mode | Retenir le thème clair ou sombre que vous avez choisi | Jusqu'à ce que vous l'effaciez |
pp-fenetre-patrimoine | Retenir la période choisie sur les graphiques du patrimoine (1 an, 3 ans, 5 ans, max) | Jusqu'à ce que vous l'effaciez |
pp-bandeau-adresse-vu | Ne plus déplier l'avis « adresse à confirmer » une fois lu | Jusqu'à ce que vous l'effaciez |
pp-theme-appareil-propose | Ne plus vous proposer de suivre le thème de votre appareil une fois que vous avez répondu | Jusqu'à ce que vous l'effaciez |
pp-lettre-proposee | Ne plus vous proposer la lettre mensuelle une fois que vous avez répondu | Jusqu'à ce que vous l'effaciez |
pp-parrainage-annonce | Ne plus vous annoncer le lien de parrainage une fois l'annonce vue | Jusqu'à ce que vous l'effaciez |
pp-visite-guidee | Ne plus rejouer la visite guidée d'un écran déjà faite | Jusqu'à ce que vous l'effaciez |
epargne_goal | Reprendre une cible d'épargne posée avant septembre 2026 comme projet ; jamais écrite, effacée une fois reprise | Jusqu'à ce que vous l'effaciez |
Dans le stockage de l'onglet, effacé quand vous le fermez :
| Nom | À quoi il sert |
|---|---|
pp-source | D'où vous venez, ramené à un mot d'une liste fermée (§2) |
pp-annonce | Quand vous venez d'une annonce : laquelle, ramenée à un mot d'une liste fermée (§2) |
pp-guide | Le dernier article du blog lu, pour savoir quel article amène des inscriptions (§2) |
pp-parrain | Le code du lien d'invitation par lequel vous êtes arrivé, pour le proposer dans le formulaire d'inscription (§2) |
pp-vue, pp-lue, pp-liste-abandon, pp-guide-vu-…, pp-guide-lu-… | Ne pas compter deux fois la même visite de la page d'accueil ou d'un article |
pp-bloc-recharge | Recharger la page une seule fois quand une nouvelle version du site vient d'être mise en ligne |
Tous sont strictement nécessaires au service ou retiennent un choix que vous avez fait : la loi les dispense de consentement. C'est pour cela que vous ne voyez pas de bandeau — il n'aurait rien à vous demander.
Vous pouvez effacer les préférences gardées sur cet appareil. Le cookie de session, lui, disparaît quand vous vous déconnectez. Celui de l'appareil de confiance reste jusqu'à son échéance — c'est son rôle —, sauf si vous retirez la confiance dans Paramètres › Sessions actives.
| Donnée | Conservation |
|---|---|
| Compte et données financières | Tant que le compte existe, puis effacées à sa suppression |
| Le lien avec votre compte Google (identifiant, adresse au moment du lien, date) | Tant que le lien existe : effacé dès que vous dissociez Google dans vos paramètres, ou avec le compte |
| Les jetons d'un agent (empreintes) | Effacés dès « Déconnecter » ou un changement de mot de passe ; sinon, un jeton ne sert plus passé 1 heure (accès) ou 30 jours (renouvellement), et l'autorisation tombe après 90 jours sans aucun appel |
| La trace d'une autorisation (nom et site de l'agent, ce qu'il pouvait faire, ses dates) | Avec le compte, pour que son journal reste lisible ; effacée à la suppression du compte |
| Le journal des actions des agents | 13 mois, puis effacé ; avec le compte au plus tard |
| Le partage d'une dette (l'adresse du proche, l'invitation, sa réponse et leurs dates) | Tant que le partage dure : effacé dès que l'un de vous deux l'arrête, que la dette est supprimée, ou avec le compte de l'un ou de l'autre ; une invitation sans réponse ou refusée, jusqu'à ce que vous la retiriez — ou tout de suite, à la demande de la personne invitée |
| Sessions (dont adresse IP) | Jusqu'à leur fermeture par vous ou leur expiration (30 jours au plus), puis supprimées au plus tard la nuit suivante |
| Sauvegardes de la base | 14 jours, puis supprimées automatiquement ; la sauvegarde de la machine entière par l'hébergeur, 7 jours |
| Journaux techniques du serveur (dont adresse IP), pour la sécurité | 14 jours pour le serveur web ; les journaux de l'application sont plafonnés en taille et s'effacent au fil de l'eau |
| Inscription à la liste d'attente | Jusqu'à votre désinscription, par le lien présent dans l'email ; une adresse jamais confirmée est effacée la nuit qui suit l'expiration de son lien (7 jours) |
| La date de votre consentement à la lettre (§2) | Tant que vous restez inscrit ; effacée dès que vous vous désinscrivez, ou avec le compte |
| Les vingt et un moments d'usage (§2) | Tant que le compte existe, puis effacés à sa suppression, en même temps que lui |
| Les jours d'utilisation (§2) | Tant que le compte existe, puis effacés à sa suppression |
| Les écrans ouverts (§2) | 13 mois, puis effacés la nuit suivante ; ou avec le compte |
| La ligne anonyme d'un départ (§2) | Conservée — elle ne désigne personne et ne peut plus vous être rattachée |
| Vos retours et leurs captures d'écran | Tant que le compte existe, puis effacés à sa suppression ; un retour envoyé sans compte est gardé le temps d'y donner suite ; l'email qui le transmet à l'éditeur, un an au plus |
| Un document envoyé pour améliorer la lecture (§2) | 90 jours au plus, puis effacé la nuit suivante ; ou avec le compte |
| Les lignes d'un import en revue | 7 jours au plus |
| Rapports d'erreur | Selon la rétention de Sentry |
Une précision que peu de politiques donnent : quand vous supprimez votre compte, il disparaît immédiatement de la base — mais les sauvegardes prises les jours précédents en contiennent encore une copie, qui s'efface d'elle-même au plus tard 14 jours après. Ces sauvegardes ne sont utilisées que pour restaurer le service après un incident. Avant une opération de maintenance délicate, une image ponctuelle du serveur peut être prise : elle est supprimée une fois l'opération terminée.
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité. Deux d'entre eux s'exercent directement dans l'application, sans nous écrire ni attendre :
Pour vous opposer à la mesure d'usage décrite au §2, il suffit de le demander : l'enregistrement est coupé pour votre compte et les moments et écrans déjà enregistrés sont effacés. Cela ne change rien à ce que le service vous propose — c'est une mesure pour nous, pas un réglage pour vous.
Pour les autres droits, écrivez à contact@pocketplanner.fr. Une réponse vous sera apportée dans un délai d'un mois.
Si la réponse ne vous satisfait pas, vous pouvez saisir la CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.
Les mesures en place, telles qu'elles sont réellement configurées :
httpOnly, inaccessible
aux scripts ;Aucun service n'est invulnérable. En cas de violation de données susceptible d'engendrer un risque pour vos droits, vous en serez informé, ainsi que la CNIL, dans les délais prévus par le RGPD.
Cette politique peut évoluer avec le service. La date de dernière mise à jour figure en haut de page, et tout changement substantiel vous sera signalé par email.