Politique de confidentialité

Même langage clair que les conditions, et même mise en garde : ceci décrit ce qui se passe réellement, et ce n’est pas un avis juridique.

Horizon détient l’historique financier de votre ménage. Pas un résumé : les transactions elles-mêmes, importées des fichiers de votre propre banque. Cette page dit ce que cela implique, qui d’autre en voit une partie, et ce que vous pouvez m’obliger à faire.

Qui est responsable

Horizon est exploité par une seule personne : DevLogik, 2843 Rue des Deux Rivières, Carignan, J3L 5A4, Québec, Canada.

Responsable de la protection des renseignements personnels : DevLogik, support@horizonmoney.ca. La Loi 25 exige qu’une personne nommée soit responsable de la protection des renseignements personnels et que ses coordonnées soient publiées. C’est cette personne.

Pour tout ce qui est courant — une question, une demande d’accès, une suppression —, support@horizonmoney.ca me rejoint aussi.

Ce que je recueille

Votre compte. Votre adresse courriel, votre nom d’affichage, un mot de passe haché (jamais le mot de passe lui-même), votre langue, votre thème et votre fuseau horaire, ainsi que la date de votre inscription et celle de votre dernière connexion.

Tout ce que votre ménage y met. C’est la partie sensible, et je vais la nommer précisément plutôt que de parler de « votre contenu » :

• les transactions, y compris l’historique bancaire importé depuis des fichiers CSV, QIF ou OFX/QFX : dates, montants, noms de commerçants, descriptions et toute note écrite par votre banque ;
• les comptes et leurs soldes, les catégories, les enveloppes et les chiffres du budget ;
• les éléments récurrents, les prévisions, les dettes et les plans de remboursement ;
• les placements : titres détenus, symboles boursiers, unités, opérations et évaluations ;
• avec Horizon Pro : les portefeuilles simulés, les ordres du bac à sable, les robots, leurs limites et la piste de vérification derrière chacun ;
• tout ce que vous avez écrit dans une note.

Mis bout à bout, cela dessine un portrait détaillé : où vous magasinez, où vous faites affaire, ce que vous gagnez, ce que vous devez, à qui vous payez un loyer, si vous jouez, et ce que vous faisiez un mardi donné. Je détiens tout cela parce que l’application ne peut rien prévoir sans. Je n’en veux pas davantage.

Des données de paiement, mais pas votre carte. Stripe traite les paiements et détient votre carte. Je vois les quatre derniers chiffres, la marque, le pays, l’expiration, et si un paiement a réussi. Votre numéro de carte complet ne touche jamais mes serveurs.

Des journaux techniques. Adresse IP, chemin demandé, horodatage, et l’erreur avec sa trace quand quelque chose casse. Conservés une trentaine de jours, puis effacés.

Des registres d’envoi de courriels. Si un message a été envoyé, livré, refusé ou en échec. C’est Brevo qui les tient.

Dans l’application iOS. Une copie en cache de ce que vous avez consulté en dernier, gardée sur votre appareil pour que l’application montre encore quelque chose sans réseau, et le jeton de connexion dans le trousseau iOS. Si une version future inscrivait un jour votre appareil aux notifications poussées, cette inscription se résume à un jeton d’appareil — aujourd’hui, Apple n’autorise tout simplement pas les notifications poussées avec le type de signature utilisé ici.

Ce que je ne recueille pas

• Aucun identifiant bancaire, jamais. Horizon ne se branche pas à votre banque, n’a aucune intégration Plaid ni service d’agrégation, et nulle part dans l’application on ne peut saisir un mot de passe bancaire. Si une page vous en demande un, ce n’est pas Horizon.
• Aucun traceur publicitaire, aucun réseau d’annonces, aucun courtier de données, aucune prise d’empreinte numérique.
• Aucune vente, location ou communication de vos données à qui que ce soit pour ses propres fins. Ni maintenant, ni plus tard sans vous le demander d’abord plutôt que de vous l’annoncer.
• Rien de ce que vous mettez dans Horizon ne sert à entraîner un modèle d’IA — ni le mien, ni celui d’un fournisseur.
• Je ne construis aucun profil de vous à travers d’autres sites.

Le site vitrine n’utilise aucun outil d’analyse : ni Google Analytics, ni gestionnaire de balises, ni pixel espion, pas même un simple compteur de visites. Il ne contient aucun JavaScript, ne charge ni police de caractères ni script depuis le serveur d’un tiers, et les seuls liens qui en sortent mènent à l’application. Je ne sais pas combien de personnes le consultent, ni d’où elles viennent. L’application elle-même ne contient aucun outil d’analyse tiers.

Pourquoi je détiens tout cela, et à quel titre

Sous la LPRPDE, il me faut votre consentement, et vous le donnez en vous inscrivant et en y mettant vos données. Je m’en sers pour :

• faire fonctionner l’application et vous montrer vos propres chiffres ;
• vous authentifier et garder les ménages séparés ;
• encaisser le paiement et prévenir la fraude du côté du paiement ;
• envoyer des courriels transactionnels : vérification, réinitialisation de mot de passe, invitation, avis d’expiration, avis de sécurité ;
• corriger des bogues et garder le service debout ;
• respecter mes obligations fiscales et comptables.

S’il m’arrive un jour d’envoyer des courriels promotionnels, ce sera sur consentement, avec un lien de désabonnement, comme l’exige la loi canadienne anti-pourriel. Un courriel transactionnel n’est pas de la promotion : on ne se désabonne pas d’une réinitialisation de mot de passe.

Qui d’autre y touche

C’est toute la liste. Aucun fournisseur d’analytique, aucun CRM, aucun logiciel de billetterie, aucune plateforme publicitaire, aucun entrepôt de données.

Le cas Yahoo, dit franchement

Les prix viennent d’un point d’accès non documenté de Yahoo et du point d’accès public de Coinbase. Les deux sont gratuits, ni l’un ni l’autre n’est un produit officiel, et je n’ai de contrat avec aucun des deux.

Quand une actualisation des prix s’exécute, les symboles boursiers détenus par votre ménage sont envoyés à ces points d’accès, avec l’adresse IP du serveur. Rien d’autre ne part : ni nom, ni courriel, ni identifiant de ménage, ni montants, ni unités, ni soldes. Mais une liste de symboles n’est pas rien : elle dit ce que vous détenez, sinon combien.

Aucune condition d’utilisation ne couvre cet usage, ni d’un côté ni de l’autre. Yahoo ne m’offre pas ce point d’accès comme un produit : personne n’a donc promis quoi que ce soit à personne sur le sort de cette requête. Je ne peux pas vous dire comment Yahoo la journalise ni combien de temps elle est conservée, parce que je l’ignore et qu’il n’existe aucun document vers lequel je pourrais vous diriger.

C’est pourquoi l’actualisation quotidienne des prix est désactivée par défaut. Une actualisation ponctuelle, sur un bouton, envoie la liste une fois. Un horaire quotidien l’envoie tous les jours, et c’est un interrupteur que vous activez en sachant ce qu’il fait. Si vous préférez ne rien envoyer du tout, laissez le fil éteint et saisissez les prix à la main : chaque prix dans Horizon peut être entré manuellement, et l’application fonctionne très bien ainsi.

Le conseiller IA, si vous l’activez

Le conseiller est éteint tant que vous ne l’activez pas, et il exige une clé d’API Anthropic ou OpenAI que vous fournissez et que vous payez.

Quand un robot s’exécute, le fournisseur du modèle reçoit les positions et l’encaisse de votre portefeuille simulé, les cours de clôture enregistrés, les limites et la mise du robot, ainsi que les instructions rédigées par l’application. Il ne reçoit ni votre nom, ni votre courriel, ni vos transactions bancaires, ni vos comptes réels, ni vos soldes, ni votre budget.

Ce que le fournisseur fait de cette requête, y compris la durée de conservation, relève de ses propres conditions. C’est une relation directe entre vous et lui, sur votre clé et à vos frais. Lisez ses conditions : je ne peux rien promettre en son nom.

Ce que je garde de mon côté, c’est la piste de vérification : quel modèle a été interrogé, à quel niveau d’effort, combien de jetons ont été consommés, ce que l’appel a coûté, une empreinte de ce qui lui a été montré, et sa réponse. Cela existe pour que vous puissiez toujours savoir sur quoi un robot raisonnait — et pour qu’une facture reste explicable des mois plus tard.

Applications connectées et jetons MCP

Si vous créez un jeton d’accès personnel pour qu’un assistant comme Claude lise votre ménage, ce jeton atteint exactement le ménage que vous avez visé, avec exactement les permissions que vous avez accordées. Les jetons expirent (90 jours par défaut) et vous pouvez en révoquer n’importe lequel à tout moment dans Applications connectées.

Tant qu’un jeton est actif, l’assistant qui le détient peut lire les chiffres de votre ménage, et ce que l’exploitant de cet assistant en fait relève de ses conditions, pas des miennes. La révocation est immédiate. Si vous ne savez plus à quoi sert un jeton, révoquez-le : en créer un autre prend dix secondes.

Où vivent vos données, et ce qui franchit une frontière

La base de données et l’application tournent dans Azure Canada Centre. Les données de votre ménage restent au Canada.

Stripe, Brevo, Yahoo, Coinbase et les fournisseurs d’IA sont à l’extérieur du Québec, et dans la plupart des cas à l’extérieur du Canada. La Loi 25 m’oblige à évaluer une communication hors Québec avant de la faire, et à vous dire ce qu’elle comporte. Le tableau ci-dessus dit ce qui part, vers qui et pourquoi : l’élément le plus courant est de loin votre adresse courriel qui va chez Stripe et Brevo, et le plus sensible est la liste de symboles qui va chez Yahoo. Votre historique de transactions ne va chez aucun d’eux.

Des données hébergées aux États-Unis peuvent être atteintes par les autorités américaines en vertu du droit américain. C’est vrai de tout service qui utilise un fournisseur américain, et je préfère le dire clairement plutôt que de l’enfouir dans une liste de sous-traitants.

La sécurité, sans les adjectifs

Voici ce qui est réellement en place :

• le trafic passe en HTTPS ;
• les mots de passe sont hachés avec un algorithme moderne et ne sont récupérables par personne, moi compris ;
• la connexion utilise des jetons de courte durée ; le jeton de rafraîchissement est un témoin HttpOnly qui change à chaque usage ;
• les jetons d’accès personnels sont conservés hachés, et ne vous sont montrés qu’une seule fois ;
• les identifiants de courtier et d’IA sont chiffrés avec une clé gardée dans un coffre géré, et ne sont jamais retournés par aucun point d’accès une fois enregistrés — une clé qui a changé doit être saisie de nouveau, parce qu’il n’existe aucun moyen d’en relire une ;
• chaque requête est cantonnée à un seul ménage par une barrière que tous les points d’accès franchissent, et un test automatisé refuse qu’un nouveau point d’accès l’évite ;
• la base de données est chiffrée au repos par l’hébergeur.

Voici ce qui ne l’est pas :

• il n’y a eu aucun audit de sécurité indépendant ni aucun test d’intrusion ;
• il n’y a ni SOC 2, ni ISO 27001, ni aucune certification de conformité ;
• tout tourne sur une seule instance, dans une seule région, sans bascule automatique ;
• je peux lire la base de données. Une seule personne exploite ce service, et cette personne a un accès administrateur pour réparer les choses. Je regarde les données d’un ménage seulement quand il le faut pour un problème que vous m’avez signalé, ou pour garder le service en vie. Personne d’autre n’y a accès — parce qu’il n’y a personne d’autre.

Je ne qualifierai rien de tout cela de « niveau bancaire » ou de « qualité militaire ». C’est le travail soigné d’un développeur, et c’est autre chose.

Combien de temps je conserve

• Tant que votre compte est ouvert : aussi longtemps que vous le gardez.
• Un ménage expiré : conservé, en lecture seule, exportable, indéfiniment — à une exception près. Après 12 mois d’expiration sans aucune visite, vous recevez un courriel ; au moins 30 jours plus tard, un second ; et si personne ne se connecte ni n’exporte après l’un ou l’autre, le ménage est supprimé.
• Si vous supprimez votre compte ou votre ménage : il disparaît immédiatement de la base de données active. Les sauvegardes se renouvellent en sept jours environ, et après cela il n’y est plus non plus.
• Les pièces de facturation : Stripe garde ses propres registres, et je conserve les factures 6 ans, comme l’exige la loi fiscale canadienne. C’est la seule chose qu’une demande de suppression ne peut pas effacer.
• Les journaux du serveur : une trentaine de jours.
• Les registres d’envoi de courriels : aussi longtemps que Brevo les garde selon sa propre politique.

Ce que vous pouvez m’obliger à faire

En vertu de la LPRPDE et de la Loi 25, vous pouvez :

• Demander ce que je détiens sur vous, et obtenir une réponse dans les 30 jours.
• Faire corriger ce qui est inexact. L’essentiel, vous pouvez le modifier vous-même ; écrivez-moi pour le reste.
• Repartir avec vos données. Sept exportations CSV et une sauvegarde JSON complète, dans un format structuré et lisible par une machine, offertes dans tous les forfaits, y compris un forfait expiré. C’est le droit à la portabilité prévu par la Loi 25, et il était dans le produit avant d’être dans cette politique.
• Faire supprimer vos données. Supprimez votre ménage et il disparaît, sous réserve des pièces fiscales ci-dessus. Il n’y a ni délai de grâce ni rétention cachée : la suppression est la seule chose irréversible de l’application, ce qui est exactement ce qu’une suppression devrait être.
• Retirer votre consentement, ce qui revient en pratique à fermer votre compte.
• Porter plainte. À moi d’abord, si vous le voulez bien — support@horizonmoney.ca —, mais vous n’avez jamais à passer par moi. Au Québec : la Commission d’accès à l’information du Québec (cai.gouv.qc.ca). Ailleurs au Canada : le Commissariat à la protection de la vie privée du Canada (priv.gc.ca).

Aucune décision vous concernant n’est prise à votre sujet par un moyen automatisé. Le conseiller IA propose des opérations dans une simulation ; il ne décide rien sur vous, sur votre compte ni sur votre accès.

S’il y a un incident

Si des renseignements personnels détenus ici sont perdus, exposés ou consultés par quelqu’un qui n’aurait pas dû, et qu’il existe un risque réel de préjudice sérieux, je vais :

1. aviser la Commission d’accès à l’information et le Commissariat à la protection de la vie privée du Canada dans les délais prévus par la loi ;
2. écrire à toutes les personnes touchées, en disant ce qui s’est passé, ce que cela contenait et quoi faire ;
3. consigner l’événement au registre des incidents de confidentialité que la Loi 25 m’oblige à tenir.

Je ne resterai pas assis dessus le temps de décider si ça paraît mal.

Les enfants

Horizon s’adresse à des adultes. N’ouvrez pas de compte pour un enfant. Si vous montrez à un adolescent comment faire un budget, utilisez votre propre ménage et votre propre identifiant.

Témoins (cookies)

Horizon dépose un témoin de session et un témoin de rafraîchissement, tous deux nécessaires pour vous garder connecté, plus une ou deux préférences (votre langue, votre thème). Il n’y a aucun témoin publicitaire ni aucun suivi entre sites : il n’y a donc pas de bandeau de consentement à écarter du doigt. Le site vitrine n’en dépose aucun : ce sont des pages statiques sans JavaScript, il n’y a rien dessus qui pourrait le faire.

Modifications

Je mettrai cette page à jour et je changerai la date en haut. Si un changement modifie de façon importante ce que je fais de vos données, vous recevez un courriel au moins 30 jours avant son entrée en vigueur : pour un document comme celui-ci, une modification silencieuse serait précisément le problème.

Pour me joindre

Responsable de la protection des renseignements personnels : DevLogik, support@horizonmoney.ca. Tout le reste : support@horizonmoney.ca.