Vos données

Politique de confidentialité

Version du 22 octobre 2026

Cette page dit ce que yaourt sait de vous, ce qu’il ne peut pas savoir, combien de temps il le garde et comment exercer vos droits. Elle décrit le service tel que son code fonctionne aujourd’hui.

En bref

Les versions autonomes n’envoient rien : vos données restent dans votre navigateur.
Avec un compte, le contenu (vos tâches, votre budget, vos notes) est chiffré sur votre appareil avant d’être envoyé. Le serveur ne détient pas les clés et ne peut pas le lire.
Le serveur voit l’adresse e-mail du compte, les prénoms des membres et ce qu’il faut pour faire fonctionner le service : des dates, des tailles, qui partage quoi avec qui.
Il n’y a ni publicité, ni mesure d’audience, ni traceur, ni cookie. Rien n’est vendu, ni utilisé pour entraîner un modèle.
Tout est hébergé en Suisse, chez Infomaniak. Aucune donnée ne quitte la Suisse.

1. Qui est responsable

yaourt est édité par Nicolas Fivaz, à titre personnel, en Suisse. Il est le responsable du traitement au sens de la loi fédérale sur la protection des données (LPD).

Pour toute question ou demande sur vos données : privacy@yaourt.app.

2. Ce que couvre cette politique

Elle couvre le site yaourt.app, les versions autonomes des outils (les fichiers next.html et budget.html), le compte yaourt (account.yaourt.app) et les modules avec compte (next.yaourt.app et budget.yaourt.app).

Le service s’adresse aux personnes qui résident en Suisse.

3. Le site et les versions autonomes

Les pages de yaourt.app ne contiennent aucun script, aucun cookie, aucune mesure d’audience et ne chargent rien depuis un autre site. Chaque page l’impose à votre navigateur par une règle de sécurité qu’il applique lui-même.

Une version autonome est un fichier que votre navigateur ouvre. Une fois chargée, elle ne contacte aucun serveur : la construction de chaque version échoue si son code contient de quoi envoyer une donnée. Vos données restent dans le stockage de votre navigateur, et les sauvegardes sont des fichiers que vous gardez. yaourt n’y a aucun accès.

Le seul enregistrement que laisse une visite du site ou le téléchargement d’une version autonome est le journal d’accès de l’hébergeur : votre adresse IP, la page demandée, la date et l’heure, et le nom de votre navigateur. Ce journal sert à l’exploitation et à la sécurité du serveur.

Le lien « Soutenir le projet » mène chez myPOS, un prestataire de paiement. Si vous le suivez, myPOS traite vos données selon ses propres conditions ; yaourt n’en reçoit que ce que myPOS transmet à tout bénéficiaire d’un paiement.

4. Le compte

Le compte yaourt se gère sur account.yaourt.app. Il réunit une adresse e-mail, un titulaire, des membres et les modules activés. Voici ce que le serveur du compte en voit.

Adresse e-mail du compte: En clair. Elle sert à se connecter et à recevoir les messages du service : confirmation de l’adresse, demande d’effacement, avertissement d’inactivité, changement d’adresse ou de titulaire.
Prénoms des membres: En clair. Ils servent à se connecter et à savoir qui est qui. Le prénom d’un membre retiré reste dans le compte, sans plus aucun moyen de connexion, jusqu’à l’effacement du compte.
Mot de passe: Jamais. Votre navigateur en dérive une preuve ; le serveur n’en garde qu’une empreinte lente (bcrypt).
Kit de secours: Jamais, selon le même principe.
Clés de chiffrement: Seulement enveloppées, c’est-à-dire chiffrées par votre mot de passe ou votre kit de secours, que le serveur ne connaît pas. La clé publique de chaque membre est en clair. La liste des clés qu’un membre a vérifiées est scellée : le serveur ne peut ni la lire ni la modifier sans que cela se voie.
Organisation du compte: Le titulaire, les modules activés, l’accès de chaque membre à chaque module, les invitations en cours (avec le prénom de la personne invitée) et une proposition de transfert du titre en cours.
Fonctionnement: La date de création du compte et celle de sa dernière activité ; les sessions ouvertes, dont le serveur ne garde qu’une empreinte ; des compteurs de tentatives pour freiner les abus. Ces compteurs portent sur une empreinte de l’adresse IP calculée avec un secret du serveur : l’adresse IP elle-même n’est pas enregistrée.

5. Les modules : next et budget

Chaque module a son propre serveur, ses propres données et ses propres clés. Il ne lit ni les fichiers du compte, ni ceux d’un autre module.

Le contenu: Chiffré, illisible pour le serveur. Dans next : tâches, projets, corvées et notes. Dans budget : postes, mouvements, comptes, relevés, clôtures, scénarios et réglages.
Autour du contenu: Pour chaque élément : l’espace (Home ou Pro), son type, son identifiant, s’il est privé ou partagé, qui l’a créé, les membres à qui il est destiné, la personne à qui il est confié, sa taille et la date de sa dernière modification ou de sa suppression. Le serveur s’en sert pour synchroniser vos appareils, appliquer le partage et limiter la taille du compte.
Les membres: L’identifiant de chaque membre qui a ouvert le module, s’il est titulaire, et la date de sa dernière visite.
Dans next seulement: Les profils d’enfants (un prénom et une empreinte lente du code à quatre chiffres) et les écrans du foyer (le nom que vous leur donnez, leurs dates d’association et de dernière visite).

6. Sur votre appareil

Avec un compte, la page du module garde dans votre navigateur une copie de travail de vos données, pour s’afficher sans attendre le serveur. Si vous indiquez que l’appareil est le vôtre, vos clés y sont rangées sous une forme que la page peut utiliser mais pas extraire. Sinon, tout est oublié à la fermeture de l’onglet. Se déconnecter retire vos données de l’appareil ; elles restent dans votre compte.

Le stockage du navigateur ne sert qu’à faire fonctionner l’outil. Il n’y a pas de cookie.

7. Pourquoi ces données

Fournir le service que vous demandez : le compte, la connexion, la synchronisation entre vos appareils, le partage avec les membres et les courriels liés au compte.
Protéger le service et les comptes : limiter les tentatives de connexion, les quotas, les journaux d’erreurs du serveur (qui ne contiennent pas de contenu).
Exploiter le service : dans une page d’administration réservée à l’éditeur, le nombre de comptes, et pour chacun son adresse, ses dates de création et de dernière activité, son nombre de membres et ses modules. Jamais le contenu, que le serveur ne peut pas lire.
Respecter la loi.

Aucune donnée n’est vendue, ni utilisée pour de la publicité, du profilage ou l’entraînement d’un modèle d’intelligence artificielle.

8. Qui les reçoit, et où

Le service est hébergé en Suisse par Infomaniak Network SA, à Genève, qui envoie aussi ses courriels. Infomaniak agit comme sous-traitant : il stocke les données mais ne peut pas lire le contenu chiffré. Il tient pour son propre compte des journaux d’accès, qui contiennent les adresses IP, et indique les conserver au moins sept jours.

Personne d’autre ne reçoit de données. Aucune donnée n’est transférée hors de Suisse.

9. Ce que le chiffrement protège, et ce qu’il ne protège pas

Quelqu’un qui obtiendrait les fichiers du serveur n’y lirait pas votre contenu. Mais il faut savoir quatre choses.

La force du mot de passe compte. Avec une copie du serveur, un mot de passe court pourrait être deviné hors ligne. Le mot de passe proposé par yaourt, fait de cinq mots, y résiste.
La page vient du serveur. Une personne qui prendrait le contrôle du serveur pourrait servir une page modifiée, qui capterait votre mot de passe à la prochaine connexion. C’est une limite de toute application web qui chiffre dans le navigateur.
Un membre retiré garde ce qu’il a déjà vu. Son accès est coupé tout de suite, et dans un module au plus quinze minutes plus tard. Il garde la clé commune du module jusqu’à ce que le titulaire la change, ce que yaourt lui propose à chaque retrait.
Les informations autour du contenu restent visibles du serveur (section 5) : qui partage quoi, quand, et quelle taille.

La phrase « le serveur ne détient pas les clés » est exacte. La phrase « personne ne pourra jamais lire vos données » ne le serait pas.

10. Combien de temps

Compte actif: Ses données sont gardées tant que le compte existe.
Adresse jamais confirmée: Le compte est suspendu après 24 heures et effacé après 48 heures.
Élément supprimé: Sa trace (sans contenu) reste 60 jours, pour que les appareils restés hors ligne se mettent à jour, puis elle est purgée.
Module désactivé: Ses données sont effacées 30 jours après la désactivation.
Effacement demandé: Le compte et les données de tous ses modules sont effacés 7 jours après la demande du titulaire. Il peut l’annuler en se reconnectant avant.
Compte inutilisé: Après 365 jours sans connexion, un avertissement part à l’adresse du compte ; le compte est effacé 30 jours plus tard si personne ne s’est reconnecté.
Sessions: Une session prend fin 30 jours après sa dernière activité. Un écran du foyer reste associé jusqu’à ce qu’on le retire, au plus 400 jours. Une invitation vaut 48 heures, un lien d’association d’écran 15 minutes.
Copies du service: Une copie quotidienne de chaque compte, gardée 7 jours, pour réparer une panne. Un compte effacé l’est aussi de ces copies.
Chez l’hébergeur: Ses propres sauvegardes et ses journaux d’accès, selon ses durées (au moins sept jours pour les journaux). Un compte effacé peut y subsister le temps de leur rotation.

11. Les enfants

Dans next, un enfant n’a pas de compte. Un adulte du compte crée pour lui un profil, avec un prénom et un code à quatre chiffres, et lui confie des tâches qu’il coche sur un écran de la maison. yaourt ne demande ni adresse, ni date de naissance, ni aucune autre information sur l’enfant. Les tâches qui lui sont confiées sont chiffrées comme les autres et lisibles par les adultes du compte. Ouvrir un profil est la décision des parents ou des personnes qui ont la garde de l’enfant.

12. Vos droits

Vous pouvez demander à savoir quelles données vous concernant sont traitées, les faire corriger ou effacer, les recevoir dans un format courant, et vous opposer à un traitement. Plusieurs de ces droits s’exercent directement :

Recevoir vos données : « Exporter mes données », dans le menu Compte de chaque module.
Corriger l’adresse du compte : « Changer l’adresse du compte », sur account.yaourt.app (titulaire).
Tout effacer : « Effacer le compte », sur account.yaourt.app (titulaire). Un membre qui veut quitter un compte le demande au titulaire, qui le retire.

Pour le reste, écrivez à privacy@yaourt.app. La réponse vous parvient dans les 30 jours. Le contenu étant chiffré, yaourt ne peut vous remettre que ce que le serveur voit (sections 4 et 5) ; votre contenu, vous l’avez déjà, par l’export.

Si vous estimez que vos données sont mal traitées, vous pouvez vous adresser au Préposé fédéral à la protection des données et à la transparence (PFPDT).

13. En cas d’incident

Si une faille de sécurité touche des données personnelles et présente vraisemblablement un risque élevé pour les personnes concernées, elle est annoncée au PFPDT dans les meilleurs délais. Vous en êtes informé à l’adresse du compte lorsque cela vous permet de vous protéger, par exemple en changeant votre mot de passe.

14. Modifications

Cette politique suit le service : elle change quand il change. La version en vigueur est celle publiée sur cette page, avec sa date. Un changement important est annoncé à l’adresse de chaque compte 30 jours avant d’entrer en vigueur.