Un suivi de dépenses privé : ce que « privé » veut dire ici

Le trajet des données

Spendwise n'a pas de backend. Chaque transaction, budget, catégorie, note, personne, groupe et reçu joint est écrit dans une base SQLite stockée dans l'espace privé de l'appli, et chaque écran lit cette base. Il n'y a rien à quoi se connecter : il n'existe donc aucun profil de vous à construire, vendre, perdre ou transmettre.

Deux fonctionnalités communiquent avec Internet, et toutes deux sont assez petites pour être décrites précisément :

• Une seule publicité sur l'écran de confirmation de transaction, demandée en non personnalisé, avec l'autorisation d'identifiant publicitaire retirée de l'appli.
• Des statistiques d'écran anonymes — un nom de route par écran affiché, pas d'identifiant utilisateur, aucun contenu de transaction, aucun identifiant publicitaire, aucun identifiant de suivi.

Il n'y a pas de rapport de plantage, pas d'enregistrement de session, pas de carte de chaleur et aucun SDK tiers en dehors des bibliothèques de publicité et de statistiques. La politique de confidentialité les énumère, et elle est courte parce que la liste est courte.

Les autorisations, et celles qui sont absentes

Les autorisations Android sont un bon indicateur de ce qu'une appli peut réellement faire. Spendwise demande les notifications, pour que le rappel quotidien et les rappels de factures récurrentes puissent se déclencher. C'est toute la liste.

• Aucune autorisation de contacts. Les personnes que vous suivez sont des entrées que vous créez, pas votre carnet d'adresses.
• Aucune localisation. Rien dans l'appli n'a besoin de savoir où vous êtes.
• Aucune autorisation de caméra. Joindre un reçu passe par le sélecteur de photos et le sélecteur de documents d'Android, qui accordent à l'appli l'accès au fichier choisi et rien d'autre.
• Aucune autorisation d'identifiant publicitaire. L'entrée du manifeste est retirée à la compilation : aucun identifiant ne peut donc être lu par un réseau publicitaire.

Le verrouillage de l'appli, lui, ne stocke rien de plus : il confie la vérification à l'invite d'authentification d'Android, si bien que votre code, votre schéma ou votre biométrie ne touchent jamais Spendwise.

La publicité, sans euphémisme

Spendwise affiche une publicité native sur l'écran de confirmation, et c'est ainsi que l'appli reste gratuite sans abonnement. Les faits qui comptent pour la confidentialité :

• Chaque demande est non personnalisée, y compris pour un utilisateur qui a accepté le formulaire de consentement. Le consentement autorise une demande ; il n'achète jamais de personnalisation.
• Aucun identifiant publicitaire n'est accessible au SDK, car l'autorisation est supprimée à la compilation.
• Dans l'EEE et au Royaume-Uni, un contrôle de consentement passe d'abord et échoue en mode fermé : pas de réseau, pas de consentement ou pas de message configuré signifie pas de publicité. Réglages → Confidentialité permet de rouvrir le formulaire lorsque le cadre l'exige.

Le réseau publicitaire voit tout de même la requête elle-même — une adresse IP, un modèle d'appareil et une région approximative sont inévitables dans toute requête réseau. La différence, c'est que rien de ce côté ne construit un profil de vos dépenses à y associer.

Des statistiques que vous pouvez vraiment désactiver

Les statistiques d'usage existent, et l'appli le dit franchement au lieu de prétendre le contraire. Spendwise enregistre une vue d'écran anonyme par route — quels écrans sont atteints, pas ce qu'ils contiennent — sans identifiant utilisateur, sans e-mail et sans contenu de transaction.

L'interrupteur se trouve dans les Réglages et son effet est absolu : statistiques désactivées, les événements cessent d'être envoyés. Il ne les réduit pas, ne les hache pas et n'en garde pas de copie locale pour plus tard. Si la phrase « les statistiques peuvent être désactivées » doit vouloir dire quelque chose, c'est cela.

Où la promesse s'arrête

L'honnêteté vaut mieux qu'un slogan, voici donc les limites :

• Le fichier de sauvegarde n'est pas chiffré. C'est une archive .spendwise que toute personne qui détient le fichier peut lire. Gardez-la là où vous garderiez un relevé bancaire, ou renoncez au fichier et acceptez que les données meurent avec le téléphone.
• Le verrouillage de votre téléphone est le vrai périmètre. Spendwise ajoute le verrouillage de l'appli comme seconde vérification, mais un appareil déverrouillé et rooté est un appareil dont les données d'appli peuvent être lues.
• Google Play intervient toujours dans l'installation, et les services Play de votre téléphone sont ceux de Google, pas ceux de Spendwise. Ce qui est affirmé ici concerne ce que cette appli fait de vos données, pas le système d'exploitation sur lequel elle tourne.
• Les pièces jointes sont des fichiers. Une photo de reçu quitte l'appli quand vous la partagez ailleurs, et ses métadonnées sont celles que le fichier avait déjà.

Les contrôles, au même endroit

• Statistiques activées/désactivées — Réglages → Confidentialité.
• Consentement publicitaire — Réglages → Confidentialité, là où le cadre de consentement exige un moyen de revenir au formulaire.
• Verrouillage de l'appli — Réglages → Sécurité.
• Tout supprimer — désinstallez l'appli ou effacez ses données dans les réglages d'Android.

Questions fréquentes