Dernière mise à jour : 13 octobre 2026
Application : ReceiptFolio pour Android et iOS (com.receiptfolio.app)
ReceiptFolio permet d’enregistrer des reçus, de suivre les achats, les retours et les remboursements, de conserver les documents de garantie et d’organiser les dépenses par projet. La protection des données repose sur un principe simple : les informations relatives aux achats sont conservées sur l’appareil, et non sur les serveurs de ReceiptFolio.
Cette politique explique quelles données sont utilisées, dans quelles situations certaines informations peuvent être transmises à des services externes et comment garder le contrôle sur ces données.
ReceiptFolio conserve dans le stockage privé de l’application les informations nécessaires à la gestion des achats :
Ces informations ne sont pas synchronisées avec le compte ReceiptFolio ni avec le compte Google ou Apple. Se connecter sur un autre appareil ne permet donc pas de retrouver automatiquement les achats enregistrés sur le premier.
ReceiptFolio n’extrait et n’enregistre dans ses données ni numéro complet de carte bancaire, ni code de sécurité, ni identifiant bancaire. Un libellé déjà masqué, tel que Visa ••••4582, peut être conservé. Une séquence d’au moins cinq chiffres placée à côté d’une mention de carte est écartée plutôt que partiellement reproduite.
Le texte reconnu est enregistré sans les lignes qui portent un numéro de carte, un code d’autorisation ou un identifiant de transaction, et sans les adresses courriel. Le même retrait s’applique, le cas échéant, au texte transmis pour l’amélioration par IA.
Attention : les photographies et fichiers PDF originaux ne sont pas modifiés. Une information sensible visible sur le document photographié ou importé, par exemple un numéro de carte complet, reste visible dans ce document, comme sur le papier. Le texte enregistré avant le 9 octobre 2026 est nettoyé lors de la mise à jour, et une sauvegarde plus ancienne l’est à sa restauration. Un fichier de sauvegarde déjà exporté n’est pas modifié tant qu’il est conservé.
La suppression d’un article supprime aussi ses retours, garanties et signalements, sans supprimer l’achat ni ses reçus. La suppression d’un achat efface ses reçus, ses articles et tout ce qui leur est rattaché. La suppression d’un reçu efface seulement ce document et conserve l’achat et ses articles.
La désinstallation de l’application supprime la bibliothèque locale. Des copies peuvent toutefois subsister dans la sauvegarde du système d’exploitation, selon les réglages de l’appareil. Cette sauvegarde est gérée par Apple ou Google ; ReceiptFolio ne la réalise pas, ne la lit pas et ne propose aucune synchronisation en ligne.
La reconnaissance du texte est toujours réalisée sur l’appareil, au moyen de Google ML Kit. Sur Android, ML Kit sert aussi au cadrage des documents ; sur iOS, le cadrage s’appuie sur le scanner d’Apple.
Lire un reçu n’envoie jamais son image nulle part, ni pour reconnaître le texte, ni pour cadrer le document, ni pour l’amélioration par IA. Un document ne quitte l’appareil que s’il est partagé, exporté ou sauvegardé vers une destination choisie par l’utilisateur (sections 5 à 7), ou par la sauvegarde du système d’exploitation lorsqu’elle est activée.
ML Kit transmet à Google certaines données techniques sur son propre fonctionnement, que l’amélioration par IA soit utilisée ou non. Cette transmission n’est pas désactivable depuis l’application.
Selon la documentation de Google, ces données comprennent : le fabricant et le modèle de l’appareil, la version du système, le matériel d’apprentissage automatique disponible, le nom et la version de l’application, des identifiants propres à l’installation (dont Google indique qu’ils ne visent à identifier ni une personne ni un appareil physique) et, pour les fonctions fournies par les services Google Play, comme le scanner de documents sur Android, un identifiant d’appareil, ainsi que les durées de traitement, la configuration de la bibliothèque, les tailles des entrées et des sorties, sa version, le type d’événement et les codes d’erreur.
Ces diagnostics ne comprennent ni image, ni texte reconnu, ni contenu de la bibliothèque d’achats. ReceiptFolio ne les reçoit pas et ne les lit pas. Ils ne sont pas rattachés au compte ReceiptFolio : la suppression du compte ne les supprime pas. Google indique les chiffrer pendant leur transfert, les utiliser pour le diagnostic et les statistiques d’utilisation, et ne pas les transmettre à des tiers. Ils relèvent de la Politique de confidentialité de Google.
L’amélioration par IA aide à interpréter un reçu : un modèle d’intelligence artificielle relit son texte et propose le marchand, la date, les montants, les taxes, les réductions et les articles.
Cette option est désactivée par défaut. Elle nécessite une connexion à un compte et un consentement préalable, et se désactive à la déconnexion. Elle peut être autorisée ou retirée à tout moment dans Plus → Préférences → Améliorer avec l’IA.
Après autorisation, le traitement est lancé avec le bouton Améliorer avec l’IA. L’option distincte Améliorer automatiquement après chaque scan, également désactivée par défaut, le lance après chaque numérisation, sans autre action. Chaque traitement automatique est décompté du quota d’améliorations IA, comme un traitement manuel.
Sans cette autorisation, ou après son retrait, ReceiptFolio lit les reçus avec ses seules règles locales, sans envoyer leur texte, et toutes les fonctions restent disponibles.
Uniquement lorsque l’amélioration par IA est autorisée et lancée, pour le seul document concerné :
Avant l’envoi, les lignes contenant des données de carte, des codes d’autorisation ou des identifiants de transaction sont retirées, ainsi que les adresses courriel. Malgré ce filtrage, le texte d’un reçu peut encore contenir des données personnelles, notamment un nom, une adresse postale, un numéro de téléphone ou un numéro de fidélité imprimés sur le reçu.
Ne sont jamais transmis, ni au service ReceiptFolio ni aux prestataires d’IA : la photographie ou le fichier PDF, le nom du fichier, l’heure de la capture, ni un identifiant de l’appareil, de l’achat ou du reçu.
La requête adressée au service ReceiptFolio porte l’identifiant opaque du compte, pour vérifier l’accès et décompter les améliorations. Le service ne le transmet jamais aux prestataires d’IA.
Le texte est analysé pour proposer une lecture plus complète du reçu. L’application compare cette proposition à sa propre lecture avant de la présenter, et les informations peuvent ensuite être vérifiées et corrigées. ReceiptFolio n’utilise ces données à aucune autre fin et n’entraîne aucun modèle avec elles.
Le texte est d’abord transmis au service d’analyse ReceiptFolio, hébergé sur Cloudflare Workers, puis à un ou plusieurs prestataires tiers spécialisés en intelligence artificielle, chacun soumis à ses propres conditions de service et politique de confidentialité. Les communications sont chiffrées (HTTPS).
Les prestataires retenus, et ce que leur politique déclare sur la conservation, sont inscrits dans la configuration du service, avec leur source et leur date, plutôt que supposés. Ils peuvent changer avec le temps ; ce qui leur est transmis reste celui décrit ci-dessus.
Le service et ces prestataires peuvent traiter le texte hors de la province, de l’État ou du pays de résidence de l’utilisateur, dans des pays où les règles de protection des données peuvent être différentes. Pendant qu’il s’y trouve, il peut être accessible aux tribunaux, aux organismes chargés de l’application de la loi et aux autorités de sécurité nationale de ces pays, selon leurs lois. La liste des prestataires utilisés et des pays où ils traitent les données peut être demandée à l’adresse indiquée à la section 16.
Le service ReceiptFolio ne conserve rien du reçu. Ni texte, ni image, ni résultat, ni historique n’est écrit dans une base de données, une file d’attente ou un journal. Pendant la lecture, le texte est tenu en mémoire, avec des caches de calcul propres à cette seule requête ; une fois la requête terminée, l’environnement d’exécution libère cette mémoire à son rythme, sans garantie d’effacement instantané.
Les prestataires appliquent leurs propres règles de conservation, et ReceiptFolio ne les contrôle pas. ReceiptFolio ne garantit ni une conservation nulle, ni une suppression immédiate après le traitement, ni l’absence de copie temporaire, ni l’anonymat des données. Selon sa politique, un prestataire peut conserver ce qu’il reçoit pendant une certaine durée et l’utiliser à ses propres fins, y compris pour améliorer ses modèles. À la date de cette politique, le prestataire utilisé déclare conserver les données qu’il reçoit.
Autoriser l’amélioration par IA revient donc à accepter que le texte d’un reçu, sans image et sans identifiant de compte, puisse être traité dans d’autres pays et conservé par ces prestataires. Le retrait de l’autorisation empêche tout nouvel envoi ; il ne supprime pas les informations déjà transmises, qui relèvent de la politique du prestataire concerné.
Comme pour toute requête Internet, le service voit l’adresse IP d’où elle provient, mais ne l’enregistre jamais. Pour limiter les abus, il en dérive un condensat cryptographique salé et protégé par une clé, sans signification ailleurs, conservé le temps d’une fenêtre de limitation, jamais journalisé et jamais rattaché au contenu d’un reçu.
Les journaux d’exploitation ne contiennent que des données techniques limitées : durées de traitement, catégories de résultats, contrôles de quotas. Chaque champ autorisé est un nombre, un booléen ou une valeur d’une liste fixe : aucun champ ne peut recevoir le contenu d’un reçu. Ils ne contiennent ni texte de reçu, ni marchand, ni montant, ni requête ou réponse d’IA, ni adresse IP, ni jeton d’accès. Cloudflare conserve ces journaux quelques jours.
Pour empêcher qu’un logiciel autre que ReceiptFolio utilise le service, une requête d’amélioration peut porter une attestation de la plateforme : Play Integrity sur Android, App Attest sur iOS.
Ces vérifications ne contiennent aucun contenu de reçu. Un verdict Play Integrity ne contient aucun identifiant d’appareil. Sur iOS, l’attestation porte l’identifiant d’une clé générée par l’application et renouvelée régulièrement ; le service le vérifie sans le conserver, le journaliser ni le renvoyer.
La version publiée exige une vérification réussie. Si l’appareil ne peut pas la fournir (émulateur, appareil sans services de la plateforme, par exemple), l’amélioration par IA n’a pas lieu et la lecture locale reste disponible.
Un document enregistré peut être partagé vers une autre application : courriel, messagerie, stockage en ligne ou toute autre destination proposée par l’appareil.
Aucun document n’est envoyé automatiquement. Le partage n’a lieu qu’après une action explicite et le choix d’une destination dans la feuille de partage du système. ReceiptFolio ne propose, ne mémorise et ne contacte aucune destination de lui-même. Seul le document choisi est partagé : ni le produit, ni le marchand, ni le prix, ni les notes n’y sont joints, et aucun message n’est rédigé.
Pour remettre le fichier, le système de partage peut en faire une copie temporaire dans l’espace privé de l’application, jusqu’à son nettoyage ; elle ne fait pas partie de la bibliothèque. Une fois le fichier transmis, son utilisation et sa conservation dépendent de l’application ou du service destinataire. Partager un document ne synchronise pas la bibliothèque.
La liste des achats et la page d’un projet peuvent produire un fichier de ce qu’elles affichent, en CSV ou en PDF.
L’export est créé sur l’appareil, sans réseau ni intelligence artificielle. ReceiptFolio n’en garde aucune copie, hormis la copie temporaire du partage décrite à la section 5, et ne l’envoie nulle part sans action de partage.
Selon la liste exportée, le fichier peut contenir des marchands, dates, montants, articles, informations de garanties ou de retours, signalements et notes, mais aucun identifiant interne. Il convient donc de le protéger comme n’importe quel document contenant des informations d’achat.
Un export CSV ou PDF n’est pas une sauvegarde restaurable de la bibliothèque.
La fonction Premium Plus → Données et sauvegarde crée un fichier .rfbackup pour transférer la bibliothèque vers un autre appareil. La création comme la restauration nécessitent Premium.
Le fichier est créé sur l’appareil, sans réseau ni intelligence artificielle. Il contient les achats, articles, taxes et réductions, reçus, textes reconnus, retours, remboursements, garanties, signalements, projets et historiques, ainsi que les documents eux-mêmes (photographies de reçus et fichiers de garantie). Il comprend aussi quatre préférences locales : l’affichage des logos des marchands, la langue de l’interface, la devise par défaut et l’indication que l’écran de bienvenue a déjà été vu.
Important : ce fichier n’est pas chiffré, et l’application le signale avant de le créer. Toute personne qui y a accès peut consulter les documents et informations qu’il contient. Il est donc recommandé de le conserver dans un lieu sûr et de ne le partager qu’avec des destinataires de confiance. Un mot de passe oublié détruirait la seule copie d’une bibliothèque : ce risque a été jugé plus grave, et un chiffrement facultatif reste à l’étude.
Le fichier ne contient ni session de connexion, ni identifiant de compte, ni forfait ou droit Premium, ni jeton, ni quota d’améliorations, ni attestation d’authenticité. Le consentement à l’amélioration par IA n’est pas restauré : il doit être donné de nouveau sur l’autre appareil.
ReceiptFolio ne téléverse pas le fichier et n’en garde aucune copie, hormis la copie temporaire du partage décrite à la section 5. Le transfert dépend de la destination choisie et des pratiques du service destinataire.
La restauration remplace entièrement la bibliothèque présente sur l’appareil. L’application indique ce qui sera supprimé avant de le faire. Un fichier endommagé, auquel il manque des données de la bibliothèque, ou dont le format n’est pas lisible par la version installée est refusé, et la bibliothèque existante n’est pas modifiée. Un fichier créé par une version plus récente dont le format reste lisible peut être restauré : l’application avertit au préalable que certaines informations pourraient ne pas être restaurées, et l’annulation ne modifie rien. Un document absent du fichier n’empêche pas la restauration ; l’application le signale.
Pour faciliter l’identification des achats, ReceiptFolio affiche les logos publics de certains marchands. Cette option est activée par défaut. C’est la seule fonction de l’application qui charge une image depuis Internet.
Le marchand est reconnu sur l’appareil, à partir d’une liste intégrée à l’application : les noms de marchands ne sont jamais envoyés ailleurs pour être identifiés. Une demande d’image est ensuite adressée à un service de logos. Elle indique la marque recherchée et l’identifiant public de l’application ReceiptFolio auprès de ce service, le même pour tous les utilisateurs, et ne contient ni reçu, ni article, ni montant, ni date, ni note, ni identifiant de l’utilisateur, de l’appareil ou de l’achat.
Ce service peut néanmoins voir la marque demandée et les informations techniques de la connexion, notamment l’adresse IP, comme n’importe quel site consulté. Sur une bibliothèque entière, les marques demandées par un appareil peuvent donner une indication des enseignes fréquentées.
L’affichage des logos peut être désactivé à tout moment dans Plus → Préférences. Toute demande cesse aussitôt, et il n’y a rien à supprimer nulle part. Les initiales des marchands sont alors affichées. Hors ligne ou pour un marchand inconnu, les initiales s’affichent aussi, et aucune autre fonction n’est affectée. Les logos demeurent la propriété de leurs titulaires respectifs.
Les limites du forfait gratuit, notamment le nombre de projets actifs et de scans automatiques, sont fixées par le service ReceiptFolio. Elles peuvent ainsi évoluer sans mise à jour de l’application.
Lorsqu’un compte est connecté, ces informations accompagnent les données du forfait. Sinon, au plus une fois par jour, en ouvrant les projets ou l’écran d’ajout, l’application demande les limites à jour au service. Cette demande ne contient aucun reçu, achat, projet, identifiant de compte ou d’appareil ; le service voit seulement la connexion d’où elle provient.
Les scans automatiques gratuits sont comptés sur l’appareil seulement : aucun scan, aucun décompte et aucun reçu n’est envoyé pour les vérifier. Hors ligne, l’application utilise les dernières limites reçues ou, à défaut, celles fournies avec l’application.
ReceiptFolio ne demande l’accès ni à la localisation, ni aux contacts, ni au microphone.
Sur Android, l’application demande aussi à Google Play si une mise à jour est disponible et peut la proposer ; cette vérification est réalisée par Google Play et n’implique aucune donnée de la bibliothèque.
La création d’un compte ReceiptFolio est facultative. La connexion se fait avec Google, ou avec Apple sur iOS ; il n’existe ni mot de passe ni code par courriel.
À la connexion, le service vérifie le jeton remis par Google ou Apple et n’en conserve que l’identifiant stable que ce fournisseur attribue au compte, rattaché à un identifiant ReceiptFolio opaque. Le jeton de Google peut contenir l’adresse courriel, le nom ou la photo du compte : le service ne les utilise pas et ne les conserve pas. Avec Apple, ni nom ni adresse courriel n’est demandé.
Le service conserve uniquement : l’identifiant opaque du compte et sa date de création, l’identifiant stable du fournisseur de connexion, le décompte des améliorations IA, le statut Premium (forfait et échéance), les références des transactions de boutique rattachées au compte et un numéro de version servant à invalider les sessions.
L’adresse courriel du compte Google est conservée sur l’appareil seulement, afin d’afficher le compte utilisé dans Plus → Compte. Elle n’est pas envoyée au service ReceiptFolio et est effacée de l’application à la déconnexion ou à la suppression du compte.
Une session dure un temps limité et peut être renouvelée sans action de l’utilisateur. La déconnexion invalide auprès du service toutes les sessions déjà émises pour le compte, au moyen d’une requête signée qui ne contient ni reçu, ni document, ni montant, ni adresse courriel. Si le service ne peut pas être joint, la session est tout de même supprimée de l’appareil et expire d’elle-même.
Abonnement Premium. Le paiement est traité par Google Play ou l’App Store ; ReceiptFolio ne reçoit aucune donnée de paiement. Un prestataire de gestion des abonnements valide les achats : à la connexion, l’application lui communique l’identifiant opaque du compte, pour rattacher un achat au bon compte. Ce prestataire conserve un profil client et l’historique d’achat nécessaires pour valider les achats, attribuer Premium et produire ses statistiques de gestion des abonnements. Le service ReceiptFolio peut l’interroger avec ce même identifiant pour mettre à jour le droit Premium, par exemple après un transfert ou un remboursement.
ReceiptFolio ne présente aucune publicité, n’utilise aucun identifiant publicitaire, ne vend aucune donnée personnelle et ne suit pas les actions effectuées dans l’application à des fins de profilage ou de marketing. Aucun courtier en données ne reçoit quoi que ce soit.
ReceiptFolio ne collecte aucun rapport d’utilisation ni de plantage pour ses propres statistiques. Cela n’empêche pas les diagnostics techniques de Google ML Kit ni les traitements nécessaires à la gestion des abonnements, décrits plus haut.
ReceiptFolio n’accède ni aux boîtes de courriel ni aux comptes bancaires.
ReceiptFolio est un outil de gestion des achats destiné à un public général. Il ne s’adresse pas aux enfants et ne recueille pas sciemment leurs données personnelles.
Les informations de la bibliothèque peuvent être consultées, corrigées ou supprimées directement dans l’application, ou entièrement supprimées par la désinstallation. ReceiptFolio ne disposant d’aucune copie de cette bibliothèque sur ses serveurs, il ne peut ni la récupérer ni la supprimer à distance.
Pour supprimer les données du compte, il est possible d’utiliser Plus → Compte → Supprimer le compte. La suppression efface l’identifiant du compte, le décompte des améliorations, le droit Premium et les références de boutique, et demande l’effacement des informations associées auprès du prestataire de gestion des abonnements.
Un compte créé avec Google peut aussi être supprimé depuis un navigateur, sans l’application et sans la réinstaller : Demander la suppression du compte ReceiptFolio. La page demande une connexion au compte Google concerné puis une confirmation ; elle ne conserve aucune copie de cette connexion et n’en journalise rien. Un compte créé avec Apple se supprime depuis l’application.
La suppression du compte ne supprime aucun reçu et n’annule aucun abonnement. Les reçus n’ont jamais quitté l’appareil, et l’abonnement doit être annulé séparément dans la boutique où il a été souscrit. Les diagnostics de Google ML Kit, qui ne sont pas rattachés au compte, relèvent de Google.
Le retrait du consentement à l’amélioration par IA bloque immédiatement les futurs envois. Le service ReceiptFolio n’ayant rien conservé, il n’y a rien à y supprimer ; une demande portant sur un texte déjà transmis à un prestataire relève de la politique de ce prestataire. La liste des prestataires utilisés peut être demandée à l’adresse de contact.
Pour toute demande relative aux données du compte ou à l’exercice des droits applicables en matière de protection des données, il est possible d’écrire à l’adresse de contact ci-dessous.
Cette politique peut être mise à jour pour tenir compte des évolutions de l’application, des services utilisés ou des obligations applicables.
Si ce qui peut être transmis pour l’amélioration par IA change, la version du consentement change aussi, et l’application demande un nouveau consentement avant tout nouvel envoi. Un changement de prestataire ne modifie pas, à lui seul, les données transmises ni les conditions décrites dans cette politique.
La date affichée au début du document indique sa dernière mise à jour.
Pour toute question sur cette politique, les données traitées ou les prestataires externes utilisés :
receiptfolio.support@gmail.com