1. Champ d’application
Cette politique concerne l’application Android BFC Gestion, package com.bfcberenger.bfc_gestion, ainsi que ce site public. L’application est destinée à un propriétaire gérant un ou plusieurs kiosques isolés depuis un même téléphone, sans compte partagé ni serveur central.
BFC Gestion adopte une architecture offline-first : ses fonctions opérationnelles essentielles ne nécessitent pas de compte BFC ni de serveur applicatif distant. Le site public est informatif et ne contient ni espace de connexion, ni base de données utilisateur, ni outil de suivi publicitaire.
2. Données enregistrées localement
Les données principales sont stockées dans une base SQLite privée sur l’appareil. Selon les fonctions utilisées, elles peuvent inclure :
- journées commerciales, produits, lots d’achat, ventes et lignes de vente ;
- dépenses, charges récurrentes, employés et paiements de salaires ;
- mouvements de stock, inventaires, écarts, pertes et transformations ;
- mouvements de caisse, réserves, objectifs, budgets et obligations ;
- bilans, observations, notifications et journal d’audit ;
- conversations, messages, analyses et recommandations de l’assistant IA ;
- paramètres techniques nécessaires au fonctionnement de l’application.
Une table est prévue pour des pièces justificatives. Lorsqu’une pièce est effectivement ajoutée, sa référence et ses métadonnées peuvent faire partie des données locales et des sauvegardes. L’accès réseau n’est pas nécessaire pour consulter ou modifier les données opérationnelles locales.
3. Utilisation facultative de Google Drive
L’utilisateur peut choisir de connecter son compte Google pour déposer des sauvegardes et les restaurer. Google assure l’écran et le processus d’authentification OAuth ; BFC Gestion ne demande et ne reçoit jamais le mot de passe Google.
L’application demande l’adresse électronique du compte pour identifier la session et l’autorisation https://www.googleapis.com/auth/drive.appdata. Les fichiers sont placés dans appDataFolder, l’espace privé de l’application. Cette portée ne permet pas à BFC Gestion de parcourir les documents personnels ordinaires de l’utilisateur.
Une sauvegarde Drive est créée soit à la demande de l’utilisateur, soit selon la fréquence automatique qu’il a lui-même activée. Son contenu est chiffré avant l’envoi avec une phrase secrète choisie par l’utilisateur. Cette phrase n’est jamais envoyée à Google et ne fait pas partie du contenu chiffré des sauvegardes. Sans sauvegarde valide et sans la phrase correcte, une restauration peut être impossible.
Une sauvegarde lancée à la main demande sa phrase à chaque fois et ne la conserve pas. La sauvegarde automatique, elle, doit pouvoir chiffrer sans intervention : sa phrase est donc conservée localement dans flutter_secure_storage, adossé à Android Keystore, et jamais dans la base SQLite, les journaux ou les fichiers de sauvegarde. Désactiver la sauvegarde automatique supprime cette phrase du stockage sécurisé.
Google traite les informations liées au compte et à Drive selon ses propres conditions et politiques. Déconnecter Google retire l’accès accordé à l’application mais ne supprime pas automatiquement les sauvegardes déjà stockées.
4. Fonctionnalités d’intelligence artificielle
L’assistant IA est facultatif et s’appuie actuellement sur OpenRouter. L’utilisateur doit fournir sa propre clé OpenRouter dans les paramètres de l’application. Cette clé est chiffrée sur l’appareil à l’aide d’Android Keystore et n’est jamais incluse dans ce site.
Lorsqu’une question est envoyée volontairement à l’assistant, les éléments nécessaires à la réponse peuvent être transmis à OpenRouter puis au modèle IA sélectionné : texte de la question, historique récent de la conversation et données commerciales locales agrégées pertinentes. L’implémentation cherche à ne pas envoyer la base complète, les secrets, ni des identifiants techniques inutiles.
Les conversations sont enregistrées localement pour permettre leur affichage et leur gestion. OpenRouter et le fournisseur du modèle peuvent traiter les requêtes selon leurs propres politiques, durées de conservation et lieux de traitement. L’utilisateur peut ne pas configurer l’IA, supprimer sa clé et supprimer ses conversations locales.
Les réponses sont informatives. Elles ne remplacent pas les calculs locaux, ne modifient pas automatiquement les écritures et ne constituent pas un conseil comptable, fiscal ou financier professionnel.
5. Sécurité des données
BFC Gestion met en œuvre des mesures proportionnées, notamment :
- code PIN local à six chiffres, vérificateur dérivé avec PBKDF2‑HMAC‑SHA256 et temporisation après plusieurs échecs ;
- verrouillage lorsque l’application quitte le premier plan ;
- chiffrement AES‑GCM des secrets locaux au moyen d’une clé Android Keystore ;
- déverrouillage biométrique facultatif sur les appareils compatibles, en complément du code PIN ;
- blocage facultatif des captures d’écran et de l’aperçu des applications récentes ;
- sauvegarde système Android désactivée (
allowBackup="false") ; - sauvegardes chiffrées avec AES‑GCM et clé dérivée de la phrase secrète ;
- empreinte de contrôle et validation de l’intégrité avant restauration ;
- journal d’audit pour certaines opérations importantes.
La base opérationnelle SQLite n’est pas présentée comme intégralement chiffrée. La sécurité dépend aussi du verrouillage du téléphone, de la protection du compte Google, de la confidentialité de la phrase secrète et des mises à jour du système. Aucun dispositif ne garantit un risque nul.
6. Conservation et destinataires
Les données locales restent sur l’appareil jusqu’à leur suppression par l’utilisateur, leur remplacement lors d’une restauration, l’effacement des données de l’application ou sa désinstallation. Certaines suppressions métier sont d’abord conservées sous forme logique afin de préserver la cohérence et l’audit.
Les sauvegardes locales sont conservées dans le dossier privé de l’application. Une seule sauvegarde roulante y est gardée : une nouvelle sauvegarde réussie remplace la précédente. Il en va de même sur Drive, où une seule sauvegarde est conservée dans l’espace privé de l’application jusqu’à sa suppression via les outils Google appropriés.
Les seules transmissions externes prévues par le code audité sont celles demandées par l’utilisateur vers Google Drive et OpenRouter. À la date de cette politique, BFC Gestion n’intègre ni analytics, ni outil de crash-reporting, ni publicité et ne vend pas les données personnelles de l’utilisateur.
7. Suppression des données
L’application permet de supprimer ou d’archiver plusieurs catégories d’éléments, notamment des opérations, charges, sauvegardes locales et conversations IA. La clé OpenRouter peut être supprimée dans Paramètres → Intelligence artificielle → OpenRouter. Le compte Google peut être déconnecté depuis l’écran de sauvegarde.
Pour effacer l’ensemble des données locales, utilisez les réglages Android de BFC Gestion pour effacer le stockage de l’application, ou désinstallez l’application. Cette opération est irréversible sur l’appareil et ne supprime pas les sauvegardes déjà envoyées sur Google Drive.
La procédure détaillée, y compris pour les données Drive, est disponible sur la page Suppression des données.
8. Vos choix et vos droits
Vous gardez la maîtrise des fonctions facultatives : vous pouvez utiliser BFC Gestion sans Google Drive et sans OpenRouter, révoquer l’accès Google, supprimer la clé IA et effacer vos données locales.
Puisque les données principales ne sont pas centralisées sur un serveur BFC, l’éditeur ne peut généralement pas consulter, exporter, corriger ou supprimer à distance les données présentes uniquement sur votre téléphone. Les outils de l’application, d’Android, de Google et d’OpenRouter restent les moyens directs d’exercer ces choix.
9. Contact et évolution de la politique
Aucune adresse de support publique n’est actuellement définie dans la configuration de l’application. Pour une question relative à vos données, utilisez le canal par lequel BFC Gestion vous a été fourni. Une adresse officielle pourra être ajoutée ici dès qu’elle sera établie.
Cette politique peut évoluer avec les fonctions réellement déployées. La date affichée en tête de page indiquera la dernière révision.