Vos données, vraiment protégées.

Tri (édité par Globiweb, Nyon) est conçu pour respecter la nouvelle Loi fédérale sur la protection des données (nLPD), entrée en vigueur le 1er septembre 2023.

Nous tenons un registre des activités de traitement, nous demandons votre consentement explicite pour chaque catégorie de données (signup → traitement IA → notifications), et vous disposez à tout moment des droits d'accès, rectification, effacement, et limitation.

Notre référent protection des données est joignable à l'adresse dpo@globiweb.com pour toute question ou demande.

Bien que Tri soit édité par une entreprise suisse (Globiweb, Nyon), nous nous alignons volontairement sur le RGPD européen pour offrir un niveau de protection cohérent à nos clients qui voyagent en Europe ou y ont des activités.

Nos serveurs sont en Allemagne, donc dans l'Union européenne, sous juridiction allemande. Vos documents y restent. Les prestataires qui interviennent sur d'autres briques (paiement, analyse IA, protection réseau, mesure d'audience) sont listés plus bas, sans exception.

Pour classer vos documents, notre système doit les analyser : c'est le service même. Ce n'est donc pas du chiffrement de bout en bout, et nous ne le présentons pas comme tel.

Vos documents sont stockés chiffrés au repos sur nos serveurs (AES-256-GCM) : le scan lui-même, ET les informations que Tri en extrait pour le classer (expéditeur, montant, échéance, texte lu). Elles ne sont déchiffrées qu'en mémoire, au moment de vous servir.

Les credentials de votre boîte mail (mot de passe IMAP utilisé pour importer vos factures) sont chiffrés avec AES-256-GCM côté serveur, avec une clé dérivée par PBKDF2 du secret JWT : personne ne peut les lire, pas même un opérateur Globiweb.

Les communications sont en HTTPS strict (TLS 1.3, HSTS activé, certificat renouvelé automatiquement).

Vos documents sont stockés chez un seul hébergeur : Hostinger International, dans son datacenter de Francfort, en Allemagne, donc dans l'Union européenne. Ils ne sont copiés nulle part ailleurs.

Devant le site se trouve Cloudflare, un réseau de protection contre les attaques : il voit le trafic au moment où il passe (adresse IP, page demandée), pas le contenu stocké. Cloudflare est une société américaine : nous le disons plutôt que de laisser croire à une bulle 100 % européenne.

Trois autres prestataires interviennent, chacun sur une part précise : Anthropic analyse le texte de vos documents (section suivante), Stripe et Apple encaissent votre abonnement (ils ne voient jamais vos documents), Google et PostHog mesurent l'audience des pages web (pages vues et parcours, jamais le contenu de vos documents).

La liste complète, avec le rôle de chacun, est publiée sur notre page confidentialité, et c'est exactement celle que nous déclarons à Apple et à Google Play.

Pour analyser vos documents (extraire la catégorie, l'expéditeur, le montant, l'échéance, le QR-bill, la TVA), nous utilisons les modèles Claude d'Anthropic : un modèle rapide pour la grande majorité des documents, et un modèle plus poussé en repli lorsque la première lecture est incertaine.

Anthropic s'engage contractuellement à ne PAS utiliser vos données pour entraîner ses modèles (zero-retention policy de leur API). Les requêtes sont chiffrées HTTPS, les réponses ne sont pas conservées par Anthropic au-delà de 30 jours pour anti-abuse.

L'image de votre document part d'abord chez Anthropic pour analyse (~5 secondes), puis nous récupérons UNIQUEMENT les champs structurés (JSON) que nous stockons dans VOTRE workspace. L'image originale reste sur nos serveurs en Allemagne.

Vous pouvez à tout moment supprimer un document : il part en corbeille, d'où vous pouvez le restaurer ou l'effacer définitivement : l'image et les informations extraites disparaissent alors de nos disques.

Si vous connectez votre boîte mail à Tri, nous importons UNIQUEMENT les emails provenant des expéditeurs que vous avez explicitement listés dans votre allowlist (ex. factures@swisscom.ch, @helsana.ch).

Vos emails personnels, professionnels, intimes ne sont JAMAIS importés. Nous n'avons aucune visibilité dessus, même si vous nous donnez accès à votre IMAP.

Vous pouvez désactiver ou supprimer la connexion à tout moment. Les credentials sont chiffrés AES-256-GCM (cf. section chiffrement).

Si vous vous abonnez depuis l'iPhone, c'est Apple qui encaisse (achat intégré App Store) : nous ne recevons que la confirmation de la transaction, jamais vos données de carte.

Si vous vous abonnez depuis le web, c'est Stripe (certifié PCI-DSS niveau 1) qui encaisse. Stripe ne reçoit JAMAIS vos documents Tri : uniquement votre e-mail, votre nom et vos données de paiement.

Les CB sont stockées exclusivement chez le prestataire de paiement (jamais sur nos serveurs). Nous ne voyons que les 4 derniers chiffres pour identification.

Pour payer vos factures détectées par Tri (QR-bill), Globiweb NE TRAITE AUCUN PAIEMENT. Nous générons un fichier .pain.001 ou un QR scannable que vous validez chez VOTRE banque : votre banque est la seule à exécuter le virement.

Nous signons nos notifications nous-mêmes, avec nos propres clés (standard Web Push, W3C) : aucune plateforme de notification payante entre vous et nous.

En revanche, la livraison sur votre appareil ne nous appartient pas et n'appartient à personne d'autre que le fabricant : elle passe par Apple sur iPhone, par Google sur Android et sur Chrome, par Mozilla sur Firefox. Ces systèmes reçoivent un jeton d'appareil et le texte court de l'alerte, jamais vos documents. C'est la même chose pour toutes les applications de votre téléphone, et il n'existe aucun moyen de l'éviter.

Les e-mails (récap hebdomadaire, alertes d'échéance) partent de nos propres serveurs en SMTP authentifié : pas de routeur d'e-mails tiers.

Vous pouvez à tout moment depuis votre page abonnement (/tri/app/account) : exporter tous vos documents au format CSV, mettre un document à la corbeille puis l'effacer définitivement, ou supprimer votre compte entier.

La suppression de compte prend effet immédiatement : le compte devient inutilisable et vos informations personnelles sont remplacées par des valeurs anonymes. L'effacement définitif des données intervient 7 jours plus tard : ce délai existe pour rattraper une suppression déclenchée par erreur, et il n'est pas prolongeable.

Pour une demande complète d'accès à vos données ou un effacement total au sens LPD/RGPD, écrivez à dpo@globiweb.com : réponse sous 30 jours maximum (objectif interne 7 jours).

Notre infrastructure lève des alertes automatiques sur la disponibilité du service et sur les erreurs serveur. Chaque incident est tracé dans un journal append-only horodaté.

En cas d'incident impactant vos données personnelles, nous vous notifierons par email dans les 72h conformément à la LPD nLPD art. 24, et publierons un post-mortem public sur https://globiweb.com/status.