Confidentialité & sécurité

Transmission chiffrée

La communication avec Evylla passe par HTTPS/TLS.

Les mots de passe IMAP d’application et de boîte ainsi que les jetons OAuth sont stockés chiffrés avec AES-256-GCM. Le mot de passe de ton compte Evylla n’est enregistré que comme empreinte non réversible.

Accès selon le moindre privilège

Evylla ne doit accéder qu’aux données nécessaires à la fonction concernée.

Les droits d’accès internes suivent le principe du moindre privilège.

Protection des données enregistrées

Les données personnelles et les autres données à protéger le sont par des mesures techniques et organisationnelles. Selon le type de données, cela comprend notamment :

• TLS encryption for every connection to the application
• AES-256-GCM for stored credentials of connected accounts
• Password hashing according to the current state of the art
• CSRF protection, session hardening and server-side permission checks on every request
• Separate roles and permissions for regular accounts and administration
• Regular backups with limited retention
• Logging of security-relevant events with short retention

Les mesures concrètes dépendent de la nature, de l’ampleur et du risque du traitement.

Evylla est conçu pour intégrer la protection des données dès la création d’une fonction.

Cela signifie par exemple :

Privacy by design
New features are designed from the outset to work with as little personal data as possible.

Privacy by default
The data-minimising setting is the default. Additional processing only happens when you actively trigger it.

Purpose limitation
Data collected for your purchase history is not reused for other purposes.

Deletability
Every kind of data that is created must also be removable � individually or completely.

Transparency
You should not have to guess what happens. That is why this page exists.

Cela suit le principe de « data protection by design and by default » à l’art. 25 RGPD.

Cela dépend des fonctions que tu utilises.

Compte utilisateur

Pour ton compte Evylla, les données suivantes peuvent par exemple être traitées :

• First and last name
• Username and email address
• Country and � if provided � phone number
• Password hash as well as session and security attributes
• Plan, payment status and billing identifiers
• Timestamps such as registration, last sign-in or verification

Connexions e-mail

Si tu relies un compte e-mail, Evylla peut traiter les messages que tu as autorisés afin d’y reconnaître des informations d’achat.

Cela peut par exemple comprendre :

• IMAP server, port and username of the connection
• Encrypted app password used for retrieval
• Sender, subject, date and identifiers of the recognised emails
• Recognised order data: merchant, order number, items, amounts, currency, status
• Time and result of the last synchronisation

Evylla ne traite alors que les informations nécessaires à la fonction, et pas davantage.

Services de paiement et financiers

Si tu relies plus tard un service de paiement ou financier, les informations suivantes peuvent par exemple être traitées, selon le fournisseur et les autorisations que tu accordes :

• Customer and subscription identifiers of the payment provider
• Status of payment and term
• References to invoices and receipts

L’étendue concrète dépend du fournisseur et de la connexion.

🤖 IA et traitement automatique

Evylla peut utiliser des procédés automatisés et, le cas échéant, assistés par IA pour reconnaître et structurer des informations dans tes données.

Une confirmation d’achat peut par exemple être reconnue automatiquement :

« Commande chez le marchand X – 14.09.2026 – 79,99 € – produit Y »

Le traitement automatique sert à préparer les informations pour les fonctions Evylla que tu demandes.

Une analyse automatique ne signifie pas qu’une décision automatisée juridiquement pertinente est prise à ton sujet.

Si Evylla introduit des fonctions avec décisions automatisées ou profilage au sens de l’art. 22 du RGPD, les informations nécessaires seront fournies à part.

🧠 Tes données ne servent pas à d’autres fins

Les données que tu fournis sont en principe traitées pour les finalités pour lesquelles tu utilises Evylla.

Tes données d’achat et de compte ne doivent pas servir à n’importe quelle autre finalité.

Un usage pour d’autres finalités, par exemple certaines analyses, le marketing ou l’entraînement, n’a lieu que s’il existe une base juridique et que les conditions de protection des données sont remplies.

🚫 Pas de vente de tes données personnelles

Evylla ne vend pas les données personnelles de ses utilisateurs.

Une transmission peut toutefois être nécessaire si des prestataires exploitent Evylla ou si une obligation légale l’impose.

Ces prestataires n’obtiennent que l’accès nécessaire à leur tâche.

Evylla peut prendre en charge différents services externes.

Cela peut par exemple comprendre :

• Email accounts via IMAP (active)
• Sign-in via OAuth without an app password (in preparation)
• PayPal receipts (in preparation)
• Bank and card transactions (in preparation)

Quand tu relies un service, les autorisations nécessaires à cette connexion te sont affichées.

Couper la connexion arrête les nouveaux relevés ; les achats enregistrés restent. Retirer le compte mail supprime la connexion, les mails et les achats associés.

Tu peux aussi supprimer uniquement les données importées d’une connexion ; la connexion elle-même reste alors en place.

🗑️ Suppression de tes données

Dans le compte, sous Confidentialité et sécurité, tu choisis précisément ce qui est supprimé.

Lors d’une suppression, des obligations légales de conservation ou des sauvegardes nécessaires peuvent faire que certaines données ne disparaissent pas tout de suite de tous les systèmes.

Ces données sont supprimées ou anonymisées à la fin des délais de conservation ou de sauvegarde, sauf si une autre base légale impose de les garder.

Délais de suppression concrets :

• Account data: until the account is deleted
• Order and mail data: until you delete it or remove the account
• Server logs: as a rule up to 14 days
• Administrative SQL backups: a maximum of 20 versions, older ones are pruned automatically � with regular backups typically up to about 90 days
• Invoices and payment records: as long as statutory retention obligations apply

📦 Export des données

Tu as en principe le droit de recevoir tes données personnelles dans un format structuré, courant et lisible par machine, lorsque les conditions de la portabilité sont remplies.

Evylla peut proposer une fonction d’export pour cela.

Le droit à la portabilité est prévu à l’art. 20 du RGPD.

Selon les conditions légales, tu disposes notamment des droits suivants :

Accès

Tu peux demander quelles données personnelles nous traitons à ton sujet.

Rectification

Tu peux demander la rectification de données personnelles inexactes.

Effacement

Tu peux, lorsque les conditions légales sont remplies, demander l’effacement de tes données personnelles.

Limitation du traitement

Tu peux, dans certaines conditions, demander que le traitement de tes données soit limité.

Opposition

Tu peux, lorsque les conditions légales sont remplies, t’opposer à un traitement.

Portabilité

Tu peux, lorsque les conditions légales sont remplies, recevoir les données personnelles que tu as fournies dans un format structuré, courant et lisible par machine.

Retrait d’un consentement

Si un traitement repose sur ton consentement, tu peux le retirer à tout moment pour l’avenir. La licéité du traitement déjà effectué n’en est pas affectée.

⚖️ Sur quelle base Evylla traite les données

La base juridique concrète dépend de l’opération de traitement.

Selon la fonction, les bases suivantes peuvent notamment s’appliquer :

Art. 6, par. 1, point a, du RGPD
Consentement.

Art. 6, par. 1, point b, du RGPD
Traitement nécessaire à l’exécution d’un contrat ou à des mesures précontractuelles.

Art. 6, par. 1, point c, du RGPD
Traitement nécessaire au respect d’une obligation légale.

Art. 6, par. 1, point f, du RGPD
Traitement fondé sur l’intérêt légitime, lorsque les conditions légales sont remplies.

La base applicable à chaque opération est expliquée dans la politique de confidentialité complète.

🏢 Responsable

Le responsable du traitement des données personnelles est :

URBAN
Friedensplatz 13
SAN-39164 Seehausen Börde
Deutschland

Représenté par : Udo Urban

E-mail

…

🛡️ Délégué à la protection des données

Aucun délégué à la protection des données n’est actuellement désigné, car les conditions légales ne sont pas remplies.

🔧 Sous-traitants et prestataires techniques

Des prestataires techniques peuvent être utilisés pour exploiter Evylla.

Cela peut notamment comprendre :

• Hosting and infrastructure providers for servers, database and backups
• Stripe as payment service provider for passes and subscriptions
• Mail delivery service for system emails such as confirmations and password links

Lorsque ces prestataires traitent des données personnelles pour notre compte, cela se fait sur la base des accords de protection des données requis.

Un aperçu actuel des prestataires et des traitements figure dans la politique de confidentialité complète.

🌍 Où tes données sont traitées

Le traitement peut avoir lieu dans l’Union européenne ou dans l’Espace économique européen.

Si des prestataires traitent des données hors de l’UE ou de l’EEE, le transfert n’a lieu que dans le respect des exigences applicables en matière de protection des données.

Lieux actuels de stockage et de traitement :
L’application, la base de données et les sauvegardes sont exploitées en Allemagne ou dans l’Union européenne.

Transferts vers des pays tiers :
Stripe (États-Unis) peut traiter des données de paiement hors de l’UE et s’appuie sur des garanties appropriées, en particulier les clauses contractuelles types. Détails : https://stripe.com/privacy

💳 Données de paiement

Les paiements des offres Evylla payantes peuvent passer par des prestataires de paiement externes.

Le traitement des données de paiement suit alors les conditions et les règles de confidentialité du prestataire concerné.

Evylla n’enregistre pas de numéros de carte complets, sauf si la fonction l’exige et que le paiement technique passe par un prestataire spécialisé.

Prestataires de paiement utilisés :
Stripe Payments Europe, Ltd. et les sociétés du groupe ; détails sur stripe.com/privacy.

🔒 Mesures techniques et organisationnelles

Evylla prend des mesures techniques et organisationnelles appropriées pour protéger les données personnelles contre la perte, la destruction, la modification et l’accès non autorisé.

Cela peut notamment comprendre :

• Encryption in transit (TLS) and for sensitive stored values (AES-256-GCM)
• Role and permission model with server-side checks on every access
• Protection against CSRF, brute-force attempts and session hijacking
• Separation of development and production environments
• Regular backups with a limited number of versions
• Updates of the components and dependencies in use
• Logging of security-relevant events with short retention

Les mesures sont vérifiées et développées selon l’état de la technique et le risque concerné.

L’art. 32 du RGPD exige des mesures techniques et organisationnelles appropriées, compte tenu notamment de l’état de la technique, des coûts, de la nature et de l’ampleur du traitement ainsi que du risque pour les droits et libertés des personnes.

🚨 Incidents de sécurité

Malgré des mesures de sécurité étendues, aucun service sur internet ne peut garantir un système absolument sans risque.

En cas de violation de données personnelles, Evylla évalue l’incident sans délai et prend les mesures nécessaires.

Lorsque la loi l’exige, les autorités de contrôle et les personnes concernées sont informées conformément aux règles applicables.