Vous choisissez où vos chiffres peuvent être lus.

Les trois modes côte à côte

Où vos données peuvent être lues

Chaque rangée est un mode. Chaque case indique ce que cet endroit peut lire.

Ce qui fonctionne dans chaque mode

Les fonctions exécutées sur votre appareil marchent dans tous les modes. Celles qui exigent que nos serveurs lisent vos données sont désactivées dans les modes chiffrés.

Ce que nous pouvons encore voir

Chiffrer vos données ne nous rend pas aveugles à tout. Dans les deux modes chiffrés, nous pouvons voir :

• Le courriel de votre compte et votre identifiant d’utilisateur
• Votre forfait et l’état de votre abonnement
• Dans quel mode vous êtes
• Combien d’enregistrements vous avez, leur taille et le moment où ils ont été écrits
• Pour les transactions, les mois où elles tombent (le nombre de transactions par mois, pas leur nature)
• Les mois pour lesquels il existe un budget
• Les noms des institutions que vous connectez et si chaque connexion est en bon état
• Si vous utilisez les calculatrices IA ou MCP

Nous ne pouvons pas lire les montants, les soldes, les descriptions, les catégories, les noms, les données du plan, les résultats, les jumelages de virements, les règles ni les notes. En bref : nous voyons que vous êtes abonné et à peu près à quelle fréquence vous utilisez l’application, pas vos finances.

Plaid et vos données bancaires

En synchronisation chiffrée, votre appareil détient le jeton d’accès Plaid, chiffré dans votre coffre. Nous ne gardons aucun jeton utilisable : nous ne pouvons donc pas joindre votre banque à moins que votre appareil ne le demande. Quand il le demande, les données transitent par notre serveur en route vers votre appareil. Nous ne les stockons pas et ne les consignons pas en clair.

Plaid conserve sa propre copie de ce qu’il récupère auprès de votre banque. Sa politique de confidentialité l’autorise à utiliser ces données à ses propres fins, par exemple la prévention de la fraude, l’amélioration de ses produits et un usage dépersonnalisé. « Plaid garde une copie » minimise la réalité. Vous pouvez consulter et gérer ce que Plaid détient, et retirer des connexions, à my.plaid.com.

Le mode Privé n’a aucune connexion bancaire : Plaid ne détient donc rien en votre nom.

Votre clé, et ce qui arrive si vous la perdez

Dans les deux modes chiffrés, vos données sont verrouillées par une clé créée sur votre appareil. Nous ne détenons jamais de clé qui les ouvre. C’est le but, et cela a une conséquence.

• Configuration : votre appareil crée les clés, puis vous montre un code de récupération une seule fois. Vous le conservez avant que le chiffrement s’active.
• Déverrouillage quotidien : Face ID ou Touch ID dans l’application. Sur le web, vous pouvez choisir « se souvenir de ce navigateur » pour ne pas retaper le code. C’est désactivé par défaut, et toute personne pouvant utiliser ce profil de navigateur pourrait alors ouvrir vos données.
• Phrase secrète facultative : une seconde façon de déverrouiller sur un nouvel appareil.
• Nouvel appareil : connectez-vous, puis déverrouillez avec votre code de récupération, votre phrase secrète ou un appareil déjà enregistré.

Si vous perdez votre clé, vos données sont perdues

Si vous perdez votre code de récupération, votre phrase secrète et tous vos appareils enregistrés, personne ne peut récupérer vos données, nous non plus. Il n’y a ni porte dérobée ni récupération par courriel.

Si vous réinitialisez malgré tout, nous conservons la copie chiffrée pendant une période de grâce : retrouver votre code de récupération plus tard la déverrouillera encore. Ensuite, le compte est vidé.

Si une banque était connectée, seul votre appareil détient le jeton : nous ne pouvons donc pas déconnecter la banque à votre place. Révoquez la connexion à my.plaid.com pour qu’elle soit aussi fermée du côté de Plaid.

La limite, en toute honnêteté

Nous livrons le code de l’application. Une version malveillante future pourrait, en principe, envoyer des données hors de votre appareil. L’affirmation que nous pouvons défendre est donc celle-ci : vos données sont chiffrées sur votre appareil, et nous stockons du texte chiffré que nous ne pouvons pas déchiffrer. Nous ne prétendons pas qu’il serait impossible à quiconque chez cinder.fi d’y avoir accès un jour.

En synchronisation chiffrée, des données bancaires lisibles transitent bien par notre serveur pendant une synchronisation demandée par votre appareil. Une version malveillante du serveur pourrait les copier à ce moment-là. Pour les voir, nous devrions modifier l’application, ce qui n’est pas la même chose qu’en être incapables.

Votre appareil garde une copie de travail lisible pour que l’application fonctionne. Quiconque peut utiliser votre appareil déverrouillé et votre profil de navigateur peut la voir.

Comment vérifier, plutôt que simplement croire

Inutile de nous croire sur parole. Voici ce que vous pouvez vérifier dès aujourd’hui, et ce qui reste à venir.

• Code source ouvert. Le code de chiffrement qui s’exécute sur votre appareil est public sur github.com/cinderfi/vault. Tout le monde peut le lire, lancer ses tests et utiliser le vérificateur hors ligne pour contrôler que ce que nous stockons pour lui est du texte chiffré.
• Examiné avec l’IA. En octobre 2026, l’ensemble de la fonction a été examiné avec l’IA, notamment avec le modèle Claude Fable d’Anthropic : le chiffrement, notre code serveur et le changement de mode. Chaque constat a été vérifié dans le code et corrigé avant le lancement. Lire le résumé des constats (en anglais).
• Examen externe : prévu. Un examen indépendant de la partie serveur est prévu. D’ici là, les parties que vous ne pouvez pas vérifier vous-même sont celles qui s’exécutent sur nos serveurs, et cette page le dit.

Changer de mode

• Vous pouvez faire passer un compte existant d’un mode à l’autre, dans les deux sens, depuis les Paramètres. Vos plans et votre historique vous suivent.
• Vers un mode chiffré : votre appareil chiffre vos données et les téléverse, et ce n’est qu’ensuite que nous supprimons la copie lisible.
• Retour au mode « Toutes fonctionnalités » : votre appareil déchiffre et téléverse vos données, après que vous avez confirmé que cinder.fi pourra de nouveau les lire.
• Les anciennes copies lisibles, comme les sauvegardes et l’historique d’analyse ou de suivi des erreurs, ne disparaissent pas quand vous changez de mode. Nous supprimons ce que nous pouvons, et l’écran de changement indique ce qui subsiste.