Comment vos données sont protégées
Ce qui est chiffré, ce que le serveur peut voir, et comment le vérifier vous-même.
Mise à jour le 2026-10-14
La règle
Tout ce que vous partagez avec votre foyer est chiffré sur votre téléphone avant d'en sortir. Notre serveur conserve des enveloppes scellées et les transmet aux autres téléphones du foyer. Ni le serveur ni les personnes qui font besteed ne peuvent les ouvrir.
Ce n'est pas une politique que nous pourrions changer un jour. C'est ainsi que l'application est construite : les clés ne nous parviennent jamais, il n'y a donc rien que nous puissions lire, céder ou perdre.
Comment ça marche, en clair
Quand un foyer est créé, le téléphone qui le crée génère un trousseau : une clé par domaine (agenda, listes, fiches de la maison, argent, contrats). Chaque téléphone du foyer a sa propre paire de clés ; la moitié privée naît sur le téléphone et vit dans le coffre sécurisé du système (Keystore sur Android, Trousseau sur iOS). Elle n'en sort jamais.
Pour laisser entrer un autre téléphone, les clés qui lui reviennent sont enveloppées pour lui seul, avec sa clé publique. Qui n'a pas la clé d'un domaine ne peut pas le lire, même avec les enveloppes en main.
L'argent va un pas plus loin : chaque mouvement est scellé avec sa propre clé, enveloppée seulement pour ceux qui peuvent voir ce livre. Un livre personnel que vous ouvrez à votre conjoint est lisible par son téléphone et aucun autre.
Les sauvegardes dans le nuage sont chiffrées sur le téléphone avec une clé aléatoire que le système de votre téléphone garde pour vous (Block Store de Google sur Android, Trousseau iCloud sur iPhone). Nous ne voyons jamais cette clé.
Ce qui sort en clair, et quand
Trois choses, et c'est vous qui les déclenchez toutes : la phrase que vous notez quand l'aide de l'IA est activée et qu'elle n'est pas claire ; le libellé des nouveaux mouvements quand vous importez un relevé (jamais les montants, les dates ni les comptes) ; et un document que vous lui demandez de lire — un contrat en PDF ou photo, ou un relevé en PDF —, envoyé en entier.
Ils passent par notre serveur jusqu'à Anthropic, qui renvoie la réponse. Notre serveur ne les conserve pas ; il garde un compteur de coût. Anthropic les traite selon les conditions de son API et n'entraîne pas ses modèles avec. Sans compte, ou avec l'aide de l'IA désactivée, rien n'est envoyé.
Ce que le serveur détient, point par point
| Quoi | Comment c'est conservé | Pourquoi |
|---|---|---|
| E-mail, nom, langue, forfait | En clair | Pour faire fonctionner votre compte et vous distinguer des autres. |
| Quand vous vous connectez et depuis quel appareil | En clair | Pour garder vos sessions et vous laisser les fermer. |
| Le nom du foyer et le nom que vous y affichez | En clair | Pour que les téléphones se trouvent. |
| La clé publique de chaque téléphone | En clair | Publique par conception : elle ferme, elle n'ouvre pas. |
| Notes, tâches, listes, fiches de la maison, agenda | Enveloppe scellée | Nous ne pouvons pas les lire. |
| Mouvements d'argent, comptes bancaires (4 derniers chiffres), soldes | Enveloppe scellée | Nous ne pouvons pas les lire. |
| Sauvegardes dans le nuage | Enveloppe scellée | La clé est gardée par le système de votre téléphone, pas par nous. |
| Rapports de plantage, s'ils restent activés | Trace technique seulement | Pour corriger les pannes. Rien de ce que vous écrivez. |
| Usage de l'IA | Compteurs seulement | Ce que cela a coûté ce mois-ci ; jamais le texte. |
| Photos, fichiers joints, numéros de téléphone, idées de cadeaux | Pas sur le serveur | Ils ne quittent jamais le téléphone. |
Dans le navigateur (app.besteed.com)
La même app fonctionne dans le navigateur, sur app.besteed.com, et les mêmes règles s'appliquent. Là, « votre téléphone » veut dire ce navigateur, sur cet ordinateur, dans ce profil : chaque navigateur depuis lequel vous vous connectez est un appareil de plus dans le foyer, et il reçoit les clés du foyer depuis un autre de vos appareils, ou d'un adulte de la maison, exactement comme le ferait une tablette.
La clé privée de l'appareil est conservée chiffrée dans le stockage du site, verrouillée par une clé que le navigateur génère et ne laisse jamais sortir (WebCrypto, non extractible). Les données du foyer vivent aussi dans le stockage du site. Rien ne voyage vers le serveur en clair, exactement comme sur le téléphone.
Effacer les données du site revient à désinstaller : ce navigateur perd son identité et sa copie locale. Quand vous vous reconnectez, un autre de vos appareils, ou un adulte, lui rend les clés et le foyer redescend du serveur. Dans une fenêtre privée ou de navigation privée, tout disparaît à la fermeture.
Comment vérifier
Dans l'application, Réglages → Ce que voit le serveur demande au serveur une de vos vraies enveloppes et vous la montre telle qu'elle y est : des octets illisibles. Puis elle liste, point par point, ce que le serveur détient de vous en clair.
Dans Maison → Foyer, chaque membre affiche l'empreinte de sa clé. Lisez-la-vous en personne : si elle correspond, la clé que vous détenez est bien la sienne et personne ne s'est mis entre vous. L'application retient chaque clé qu'elle a vue et vous prévient si le serveur en donne un jour une autre.
Si cette page laisse une question ouverte, écrivez à support@besteed.com. Nous préférons expliquer plutôt qu'être crus sur parole.
Ce que nous ne pouvons pas faire
Nous ne pouvons pas lire vos données pour vous aider, ni les donner à quiconque, parce que nous ne les avons pas. Et si vous perdez tous les téléphones du foyer et la clé de sauvegarde, nous ne pouvons pas non plus vous les récupérer. C'est le prix de la règle, et nous pensons que c'est le bon.