Ce qui est conservé, ce qui ne l’est pas, et comment tout reprendre. Écrit d’après le code et non d’après un modèle : chaque phrase ici peut être vérifiée dans un fichier.
2026-10-12
4 Envelopes est un service de budget personnel : quatre enveloppes hebdomadaires, des comptes en plusieurs devises, des paiements prévus et ponctuels, des objectifs. Il est tenu par la personne qui l’a écrit, et l’adresse pour tout ce qui figure sur cette page — une question, une correction, une demande de suppression — est info@4envelopes.app.
Il n’y a pas d’autre moyen de nous joindre. C’est une personne qui répond, pas une file d’attente.
Votre adresse de courriel, le nom que vous avez donné (ou la partie de l’adresse avant le @, si vous n’en avez pas donné), la langue dans laquelle vous lisez, la devise dans laquelle on totalise et l’ordre que vous voulez pour vos listes.
L’argent que vous saisissez vous-même : comptes et soldes, paiements et recettes, virements, paiements planifiés, objectifs et les notes que vous y écrivez. C’est tout l’objet du service, et cela reste jusqu’à ce que vous le supprimiez.
Un mot de passe n’est jamais conservé. Ce qui l’est, c’est une empreinte scrypt, dont le mot de passe ne peut pas être relu. En vous connectant avec Google ou Apple, aucun mot de passe n’est conservé — nous n’en voyons aucun. Une session ouverte est un jeton aléatoire ; les liens envoyés par courriel sont gardés en empreinte SHA-256, si bien qu’une copie de cette table est une liste d’empreintes et non un jeu de liens qui fonctionnent.
Un ticket photographié est lu sur l’appareil. La photo n’est jamais envoyée, jamais conservée et jamais vue par nous — seul le texte reconnu part, et seulement pour devenir un brouillon de paiement que vous validez vous-même.
Un message de banque collé est lu puis oublié dans la même requête. Aucune colonne ne le garde, aucune ligne de journal ne le porte. Un avis bancaire nomme un commerce, une carte et un solde, et rien de cela ne nous revient.
Dicter une dépense est facultatif et ne se fait que dans l’application mobile, seulement après avoir appuyé sur le micro, et seulement tant que cette fenêtre est ouverte. Le service vocal de votre téléphone transforme ce que vous dites en texte, et seul ce texte nous est envoyé — pour en faire un brouillon de paiement que vous confirmez vous-même. Le texte est lu et oublié dans la même requête : aucune colonne ne le conserve, aucune ligne de journal ne le contient. Nous ne recevons jamais l’enregistrement.
L’endroit où le service vocal travaille relève de la plateforme, pas de nous. Sur un iPhone, la reconnaissance d’Apple reste sur le téléphone pour les langues que l’iPhone sait reconnaître seul ; pour les autres, Apple traite l’enregistrement sur ses serveurs, selon sa politique de confidentialité. Sous Android, le service vocal du système — sur presque tous les téléphones, celui de Google — peut traiter l’enregistrement sur les serveurs de Google, selon la politique de confidentialité de Google.
Pour l’aider à les reconnaître, sur iPhone le service vocal reçoit avec l’enregistrement les noms de vos comptes. Rien d’autre sur votre argent.
Le bot est facultatif. Rien ne parvient à Telegram tant que vous ne le connectez pas vous-même, depuis les Réglages de l’application du téléphone.
Une fois connecté, ce que vous envoyez au bot et ce qu’il répond — saisies, soldes, enveloppes, paiements récents — passe par les serveurs de Telegram et relève de sa propre politique de confidentialité. Il ne répond qu’en conversation privée.
Nous conservons le numéro de la conversation lié à votre compte, le compte et la devise choisis pour la saisie et — jusqu’à ce que vous confirmiez, annuliez ou remplaciez — le montant, la note et la date lus dans votre dernière ligne. Le texte de vos messages n’est pas conservé. Le lien à usage unique qui connecte une conversation est gardé sous forme de hash et vit quinze minutes.
Se déconnecter — /unlink dans la conversation, ou la carte Telegram des Réglages — supprime le lien. Supprimer le compte le supprime avec tout le reste.
De notre côté, aucune mesure d’audience, aucun pistage, aucun identifiant publicitaire, aucun profilage. Pas de mesure « anonymisée » — aucune du tout. Les seules données de diagnostic qui quittent le téléphone sont celles de ML Kit sur Android, et elles vont à Google, pas à nous — voir plus haut.
Ni localisation, ni contacts, ni photothèque, et aucun identifiant d’appareil ne nous parvient jamais. L’appareil photo ne sert que lorsque vous le pointez sur un ticket.
Ce site ne dépose aucun cookie et ne fait aucune requête vers un tiers — ni polices, ni scripts, ni pixels. L’application garde votre jeton de session dans le navigateur ou sur le téléphone, ce qui vous maintient connecté, et rien d’autre.
Tout est gardé jusqu’à ce que vous le supprimiez. Rien n’expire tout seul, car un budget vaut d’autant plus qu’il dure.
Supprimer le compte enlève tout d’un coup — comptes, paiements, paiements planifiés, objectifs, réglages, sessions et la ligne d’abonnement — et c’est irréversible. C’est dans les Réglages, dans l’application comme dans le navigateur, et cela marche même quand l’essai est terminé.
Deux choses survivent à la suppression et ne sont pas à nous : ce qu’Apple ou Google garde d’un achat, et ce que votre fournisseur de messagerie a gardé des messages que nous vous avons envoyés. Un abonnement se résilie dans la boutique — supprimer le compte ici ne le résilie pas.
Il n’y a pas encore d’export des données. Si vous voulez une copie de vos écritures avant de supprimer, écrivez-nous et nous vous l’enverrons.
Cette page change quand le code change, et la date en haut dit quand c’était la dernière fois. Il n’y a pas d’archive des versions antérieures ; l’historique est dans le dépôt à partir duquel ce site est construit.