Confidentialité.

Qui est responsable

KrabyFlow est exploité par PentaLab SRL, qui décide de l’usage des données décrites ici (le responsable du traitement, au sens du RGPD). Écrivez à contact@thepentalab.com pour toute question sur vos données.

• Société. PentaLab SRL, société à responsabilité limitée de droit belge.
• Siège social. Avenue Georges Henri 196, 1200 Woluwe-Saint-Lambert (Bruxelles), Belgique.
• Numéro d’entreprise. 1037.930.979. TVA. BE1037.930.979.
• Contact. contact@thepentalab.com.

Ce que nous conservons et pourquoi

Votre compte

Votre adresse e-mail, une empreinte de votre mot de passe (un mot de passe n’est jamais conservé tel que vous l’avez saisi), la version de ces textes que vous avez acceptée et sa date. Une connexion crée une session, conservée dans un cookie sur votre appareil et dans une table chez nous avec l’adresse depuis laquelle votre navigateur s’est connecté, le nom que se donne votre navigateur et la date de dernière utilisation, pour que vous puissiez voir et fermer vos sessions dans les Paramètres.

Ce que vous saisissez

Les portefeuilles, positions, poids cibles, opérations, comptes, crédits, biens immobiliers, listes de suivi, budgets et réglages que vous saisissez. KrabyFlow ne se connecte jamais à votre banque ou à votre courtier et ne détient aucun de leurs identifiants.

Ce que l’application calcule

Un relevé quotidien de votre patrimoine net, pour que la vue d’ensemble puisse en tracer l’évolution, et les rapports affichés par les pages. Ils sont calculés à partir de ce que vous avez saisi et des cours de marché.

Qui vous a invité

Si vous avez créé votre compte avec le lien ou le code de parrainage de quelqu’un, nous conservons de quel compte il s’agit, pour calculer votre réduction et sa récompense. Cette personne voit une forme raccourcie de votre adresse e-mail, votre formule et votre date d’inscription ; jamais votre portefeuille ni son contenu.

Les pages que vous ouvrez

Le nombre de fois où vous avez ouvert chaque page de l’application chaque jour. Il nous indique quelles pages sont utilisées et lesquelles peuvent être simplifiées ou retirées. C’est un nombre par page et par jour : pas ce que la page affichait, pas l’heure, et rien ne quitte nos serveurs.

Les messages que vous nous envoyez

Un message envoyé depuis la page de contact est conservé avec votre nom, votre adresse e-mail, l’adresse depuis laquelle votre navigateur s’est connecté et le nom que se donne votre navigateur, pour que nous puissions y répondre et repérer les abus du formulaire.

Ce que fait notre équipe

Chaque action menée dans l’espace d’administration sur un compte (une formule accordée, un compte suspendu, un compte consulté) est inscrite dans un journal d’audit avec l’e-mail de la personne qui a agi, l’e-mail du compte concerné et l’adresse d’où venait l’action. Quand nous consultons votre portefeuille, uniquement pour régler un problème que vous nous avez demandé d’examiner, nous voyons votre compte comme vous le voyez, nous ne pouvons rien y modifier, et chaque consultation est inscrite dans ce journal.

Les journaux techniques

Le serveur web placé devant l’application tient un journal d’accès : l’adresse d’où vient une requête, la page demandée, l’heure et le nom que se donne le navigateur. Il sert à analyser les pannes et les attaques. L’application compte aussi les requêtes par adresse et par compte, en mémoire et pendant une heure au plus, pour ralentir quiconque en envoie trop, et garde en mémoire la dernière requête de chaque compte, pour savoir combien de personnes sont en ligne ; cette mémoire disparaît au redémarrage du serveur.

Quand quelque chose ne fonctionne pas, dans l’application ou sur le serveur, un rapport d’erreur est envoyé à Sentry (voir plus bas) : ce qui a échoué, la page ou la requête, le navigateur et le système, et votre numéro de compte. Il ne contient jamais votre adresse e-mail, vos montants, ce que vous avez saisi ni vos cookies.

Base légale

• Exécution du contrat. Votre compte, vos sessions, ce que vous saisissez et ce que l’application en calcule, le parrainage par lequel vous êtes arrivé, et la connexion d’un assistant IA quand vous en créez une : nous en avons besoin pour fournir le service auquel vous vous êtes inscrit.
• Obligation légale. Les pièces de facturation, que le droit comptable et fiscal impose de conserver. Stripe les conserve, en tant que vendeur des formules, ou Google pour une formule achetée dans l’application Android (voir plus bas).
• Intérêt légitime. La limitation du nombre de requêtes, le journal d’accès et les autres mesures contre les abus, le comptage des pages, le journal d’audit de l’administration et les messages de contact : garder le service sûr et en état de marche, l’améliorer, et pouvoir montrer qui a fait quoi dans l’espace d’administration. Vous pouvez vous opposer à chacun de ces traitements en nous écrivant ; nous l’arrêtons alors, sauf motif impérieux qui l’emporte sur le vôtre, comme une attaque en cours.

Durée de conservation

• Votre compte et ce que vous saisissez. Aussi longtemps que le compte existe. Le supprimer dans les Paramètres efface tout immédiatement.
• Sessions. 30 jours après la dernière utilisation de la session, ou jusqu’à ce que vous vous déconnectiez ou la fermiez dans les Paramètres.
• Demandes de réinitialisation du mot de passe. Une heure, avec l’adresse d’où venait la demande.
• Liens de confirmation d’e-mail. Un jour.
• Comptage des pages. Un an, par compte, page et jour.
• Messages de contact. Jusqu’à leur traitement, puis 12 mois, au cas où la conversation se poursuit. Ils disparaissent plus tôt si vous supprimez votre compte.
• Journal d’audit de l’administration. 2 ans. Quand un compte est supprimé, ses lignes restent, avec son adresse e-mail remplacée par un numéro.
• Journal d’accès du serveur web. 14 jours.
• Sauvegardes. Une copie de toute la base de données est faite chaque nuit et chaque copie est conservée 30 jours. Un compte supprimé peut donc subsister dans une sauvegarde jusqu’à 30 jours, où personne ne l’utilise ; une sauvegarde n’est lue que pour rétablir le service après une panne.
• Rapports d’erreur. 30 jours, chez Sentry.
• Pièces de facturation. Chez Stripe, ou chez Google pour une formule achetée dans l’application Android, aussi longtemps que la loi impose de les conserver.

Quand vous supprimez votre compte, tout ce qui vous désigne disparaît avec lui : vos données, vos sessions, vos messages de contact, vos connexions d’assistants IA, vos liens de réinitialisation et de confirmation, et la ligne de parrainage qui indique qui vous a invité. Ce qui reste est anonyme : un crédit que la personne qui vous a invité a gagné sur vos paiements, et les lignes du journal d’audit concernant votre compte, qui ne le désignent plus que par un numéro.

Qui d’autre les reçoit

• OVH SAS, France. Héberge les serveurs sur lesquels fonctionnent le service et sa base de données, dans l’Union européenne.
• Google Workspace. Envoie les e-mails du service : confirmation d’adresse, réinitialisation du mot de passe et notifications. Google peut traiter les e-mails hors de l’Union européenne, selon ses conditions de transfert de l’UE.
• Stripe. Vend les formules payantes et encaisse le paiement. Stripe reçoit votre adresse e-mail, la formule, votre nom et votre adresse de facturation, et les données de paiement que vous saisissez sur ses propres pages, et conserve les pièces de facturation. Stripe traite les données aux États-Unis selon ses conditions de transfert de l’UE et en est responsable selon sa propre politique de confidentialité. KrabyFlowne voit jamais votre numéro de carte.
• Google Play et RevenueCat, uniquement si vous achetez une formule dans l’application Android. Google vend la formule et encaisse le paiement selon ses propres conditions et sa politique de confidentialité. RevenueCat, Inc. (États-Unis) nous indique la formule de votre compte : il reçoit votre numéro de compte et l’achat venant de Google, jamais votre carte, selon ses conditions de transfert de l’UE.
• Expo (650 Industries, Inc.) et Google Firebase Cloud Messaging, uniquement si vous autorisez les notifications dans l’application Android. Ils acheminent chaque notification jusqu’à votre téléphone : son texte (par exemple le jour de publication des résultats d’une société) et un code qui désigne votre téléphone, jamais votre e-mail ni vos portefeuilles. Tous deux sont aux États-Unis, selon leurs conditions de transfert de l’UE. Désactivez les notifications dans les paramètres de l’application, ou déconnectez-vous, et plus rien n’est envoyé.
• Cloudflare, Inc. Vérifie que le formulaire d’inscription est rempli par une personne (Turnstile). Cloudflare voit l’adresse et le navigateur de quiconque ouvre le formulaire, pas ce qui y est saisi, selon ses conditions de transfert de l’UE.
• Functional Software, Inc. (Sentry). Reçoit les rapports d’erreur décrits plus haut et les conserve 30 jours, stockés dans l’Union européenne.
• L’assistant IA que vous connectez, uniquement si vous en connectez un : Anthropic, PBC (Claude), OpenAI (ChatGPT), Google (Gemini) ou xAI (Grok), tous aux États-Unis. Il lit les chiffres qu’il demande dans les conversations où vous l’utilisez, par une connexion que vous pouvez fermer à tout moment dans les Paramètres. C’est vous qui les lui envoyez, et ce que l’assistant fait d’une conversation relève de la politique de son éditeur.
• KrabyData, le service de données de marché de PentaLab SRL, qui fonctionne sur le même serveur. Il reçoit les symboles et les ISIN des instruments que vous détenez ou suivez, pour renvoyer les cours, la composition des fonds et les identifiants ; jamais votre identité.
• Fournisseurs de données de marché. Les cours, taux de change et chiffres des sociétés sont récupérés à partir du seul symbole de l’instrument. Votre identité ne fait jamais partie de ces requêtes.

Nous ne vendons, ne louons ni ne partageons vos données avec qui que ce soit d’autre.

Ce que nous ne faisons pas

• Aucune publicité et aucun service de mesure d’audience. Rien sur le site ni dans l’application ne signale à un tiers ce que vous consultez.
• Deux cookies, tous deux nécessaires au service : le cookie de session qui vous garde connecté, et un petit cookie qui retient le dernier compte connecté sur ce navigateur, conservé 400 jours, pour repérer un compte qui s’invite lui-même. Aucun des deux ne vous suit ailleurs.

Vos droits

Vous pouvez consulter, exporter et corriger tout ce que vous avez saisi depuis l’application elle-même, et supprimer le compte vous-même. Vous avez aussi le droit :

• d’accès à une copie des données que nous détenons sur vous, y compris ce que l’application n’affiche pas, comme vos sessions et le comptage des pages ;
• de rectification de ce qui est inexact ;
• d’effacement, en supprimant le compte ou en nous le demandant ;
• à la limitation de ce que nous en faisons tant qu’une question à leur sujet n’est pas réglée ;
• à la portabilité : l’export dans les Paramètres fournit ce que vous avez saisi dans un fichier lisible par un autre outil ;
• d’opposition aux traitements fondés sur l’intérêt légitime, listés plus haut.

Écrivez à contact@thepentalab.com ; nous répondons dans un délai d’un mois. Vous pouvez aussi introduire une plainte auprès de l’Autorité de protection des données (autoriteprotectiondonnees.be), ou auprès de l’autorité du pays où vous vivez.

Modifications

Quand ce texte change de façon importante, sa date de version change et les comptes connectés sont invités, dans l’application, à accepter la nouvelle version.