Datenschutzerklärung

Stand: 17. Oktober 2026

1. Verantwortlicher

Verantwortlich für die Datenverarbeitung im Sinne der Datenschutz-Grundverordnung (DSGVO) ist Youssef Karkouda, Auf dem Bachfeld 16, 53229 Bonn, Deutschland. Weitere Angaben finden Sie im Impressum. Bei Fragen zum Datenschutz erreichen Sie uns unter support@bonzalio.app.

2. Grundprinzip: Ihre Belegdaten werden lokal gespeichert

BonZalio ist als lokale App konzipiert: Für die Nutzung ist kein Benutzerkonto erforderlich, und wir führen keine Nutzerkonten und erstellen keine Nutzerprofile. Ihre gescannten Belege, die daraus extrahierten Daten (z. B. Händler, Datum, Artikel, Preise, Kategorien und Garantieinformationen) sowie die Belegfotos werden auf Ihrem Gerät in der lokalen Datenbank und im lokalen Dateisystem gespeichert. BonZalio betreibt keinen zentralen Speicher, in dem Ihre Belege dauerhaft gespeichert werden. Bestimmte von Ihnen aktiv ausgelöste Funktionen erfordern jedoch eine vorübergehende Verarbeitung durch externe Dienste; diese Fälle sind in den folgenden Abschnitten ausdrücklich beschrieben.

Wenn Sie ein E-Mail-Postfach verbinden (Abschnitt 6), geben Sie dabei Ihre E-Mail-Adresse und ein Passwort an. Auch diese Angaben verbleiben auf Ihrem Gerät: Das Passwort wird im geschützten Schlüsselspeicher Ihres Betriebssystems (iOS-Schlüsselbund bzw. Android-Keystore) abgelegt und niemals an uns übermittelt.

Da diese Daten Teil des App-Speicherbereichs Ihres Geräts sind, werden sie von einer Gerätesicherung erfasst, sofern Sie eine solche aktiviert haben – unter iOS die iCloud- oder lokale Sicherung von Apple, unter Android die Sicherung durch Google. Diese Sicherung wird ausschließlich von Apple bzw. Google oder auf Ihrem eigenen Computer verwaltet; BonZalio hat darauf keinen Zugriff.

3. Verarbeitung zur Texterkennung (KI-Extraktion)

Um die Daten eines gescannten Belegs (Händler, Artikel, Preise usw.) automatisch zu erkennen, wird das Foto des Belegs (bei einer importierten oder geteilten PDF-Datei deren erste Seite als Bild) über eine verschlüsselte Verbindung an eine von uns betriebene, zustandslose Vermittlungsfunktion („Proxy") übertragen. Diese Funktion leitet das Bild zu diesem Zweck an die Programmierschnittstelle (API) von OpenAI weiter und gibt das Ergebnis unmittelbar an die App zurück.

Ihre Erlaubnis. Die App sendet nichts an OpenAI, bevor Sie es erlauben – auf dem Startbildschirm oder beim ersten Scan, in einer eigenen Auswahl, die OpenAI und die betroffenen Daten nennt: Belegfotos bzw. PDF-Seiten, Suchtext und Produktangaben für Garantievorschläge (Abschnitt 4). Ohne Erlaubnis sind die KI-Auswertung, die Suchunterstützung und die Garantievorschläge ausgeschaltet; QR-Import, manuelle Erfassung und die Suche auf dem Gerät funktionieren weiter. Sie können die Erlaubnis jederzeit unter Einstellungen → Datenschutz widerrufen.

• Die Vermittlungsfunktion selbst speichert weder das Bild noch das Analyseergebnis dauerhaft.
• Schlägt eine Erkennung fehl, wird die Anfrage bis zu zweimal wiederholt. Ein Belegfoto kann daher in Ausnahmefällen mehrfach übertragen werden.
• Die Vermittlungsfunktion läuft auf der Infrastruktur von Cloudflare, Inc. (Cloudflare Workers). Cloudflare verarbeitet jede Anfrage im Transit und sieht dabei die IP-Adresse, von der sie stammt; diese wird ausschließlich zur Durchsetzung einer Nutzungsbegrenzung verwendet. In unseren Protokollen werden keine Belegdaten, Produktnamen oder Suchbegriffe festgehalten – protokolliert werden lediglich das verwendete Modell, die Dauer der Anfrage, der Tokenverbrauch und die Anzahl zurückgegebener Positionen.
• Nach Angaben von OpenAI werden über die API übermittelte Daten nicht zum Training der KI-Modelle verwendet und nur für einen begrenzten Zeitraum zur Missbrauchserkennung vorgehalten. Die aktuellen Bedingungen finden Sie in der Datenschutzerklärung von OpenAI.
• Diese Verarbeitung findet auf Servern statt, die sich auch außerhalb der Europäischen Union (z. B. in den USA) befinden können. Wir stützen diese Übermittlung auf geeignete Garantien im Sinne von Art. 46 DSGVO (u. a. Standardvertragsklauseln).

Rechtsgrundlage für diese Verarbeitung ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags – Sie fordern die Texterkennung aktiv durch den Scan-Vorgang an).

4. Weitere KI-gestützte Funktionen

Über dieselbe Vermittlungsfunktion und denselben Anbieter werden drei weitere Funktionen bereitgestellt. Jede wird nur ausgelöst, wenn Sie die entsprechende Funktion nutzen.

• Suchunterstützung. Bei einer Suche ab drei Zeichen werden die von Ihnen eingegebenen Wörter zusätzlich zur Suche auf Ihrem Gerät übermittelt, um verwandte Suchbegriffe zurückzuerhalten (zum Beispiel die Art des Geschäfts). Es werden keine Einkaufsdaten mitgesendet; die Ergebnisse werden auf Ihrem Gerät mit Ihren Belegen abgeglichen.
• Garantievorschläge. Um zu ermitteln, für welche Einkäufe eine Garantie in Frage kommt, werden Produktbezeichnungen, deren Kategorie und Preis übermittelt. Nichts davon identifiziert Sie oder den Einkauf: kein Händler, kein Datum, kein Konto, keine Datenbankkennung – jede Position ist allein durch ihre Position in der Anfrage gekennzeichnet. Lebensmittel, Getränke und Restaurantposten werden vorab ausgeschlossen. Jedes Produkt wird einmal übermittelt; das Ergebnis wird auf Ihrem Gerät gespeichert und nicht erneut angefragt.
• Erkennung von Rückerstattungen. Bestätigt ein Händler per E-Mail eine Rückgabe, wird der Textinhalt dieser Nachricht übermittelt, um Bestellnummer und Betrag zu ermitteln und den passenden Beleg zu korrigieren.

5. Rechnungen aus Links in E-Mails

Manche Händler versenden keine Anlage, sondern einen Link zur Rechnung. Lässt sich ein solcher Link erkennen, übermittelt die App diese eine Webadresse – und nichts sonst aus der E-Mail – an unsere Vermittlungsfunktion, die das Dokument für Sie abruft, damit der Händler Ihr Gerät nicht sieht. Der übrige Inhalt der E-Mail, einschließlich aller anderen Links, verbleibt auf Ihrem Gerät. Die Adresse wird weder gespeichert noch protokolliert.

Zu beachten: Der Server des Händlers erfährt dadurch, dass die Rechnung abgerufen wurde, und ungefähr wann.

6. Verbundenes E-Mail-Postfach

Diese Funktion ist in der aktuellen App-Version nicht enthalten. Die App kann derzeit kein E-Mail-Postfach verbinden und greift auf keine E-Mails zu. Der folgende Abschnitt gilt, sobald die Postfach-Anbindung veröffentlicht wird.

Sie können ein E-Mail-Postfach verbinden, damit BonZalio darin nach Belegen und Rechnungen sucht. Diese Funktion ist optional und standardmäßig nicht eingerichtet.

• Die Verbindung erfolgt ausschließlich lesend. BonZalio versendet, ändert, verschiebt und löscht keine Nachrichten.
• Gesucht wird nur nach den von Ihnen vorgegebenen Begriffen und innerhalb des von Ihnen gewählten Zeitraums. Gelesen werden Betreff und Absender der Treffer; heruntergeladen werden nur die Anlagen der Nachrichten, die Sie auswählen.
• Die Verarbeitung findet auf Ihrem Gerät statt. Ihre Nachrichten werden nicht auf unseren Servern gespeichert. Lediglich die Anlage eines ausgewählten Belegs durchläuft die in Abschnitt 3 beschriebene Texterkennung, und der Textinhalt einer Rückerstattungsbestätigung die Erkennung nach Abschnitt 4.
• Zugangsdaten für Postfächer werden im geschützten Schlüsselspeicher Ihres Betriebssystems abgelegt und nie an uns übermittelt.

Google-Nutzerdaten. Die Verwendung der von Google-APIs empfangenen Informationen durch BonZalio erfolgt im Einklang mit der Google API Services User Data Policy einschließlich der Limited-Use-Anforderungen. Wenn Sie ein Gmail-Konto verbinden, wird ausschließlich der Berechtigungsumfang gmail.readonly angefragt – der engste, den Gmail für diesen Zweck anbietet. Inhalte aus Ihrem Postfach werden nicht auf unseren Servern gespeichert, nicht verkauft, nicht für Werbung verwendet und nicht zum Training von Modellen eingesetzt.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO (Erfüllung des Nutzungsvertrags – Sie richten die Verbindung aktiv ein).

7. Gesundheitsbezogene Belege

Ein Apothekenbeleg kann Rückschlüsse auf Ihre Gesundheit zulassen. Solche Daten sind nach Art. 9 DSGVO besonders geschützt. Beim ersten Start fragt die App Sie daher gesondert, ob auch solche Belege wie alle übrigen verarbeitet werden dürfen. Diese Einwilligung ist freiwillig, blockiert die Nutzung der App nicht und kann in den Einstellungen jederzeit mit Wirkung für die Zukunft widerrufen werden (Art. 7 Abs. 3 DSGVO).

Offen gesagt: Die App kann einen Apothekenbeleg vor der Texterkennung nicht als solchen erkennen. Eine Ablehnung wird daher dokumentiert und respektiert, verhindert eine Übermittlung technisch jedoch nicht zuverlässig. Wenn Sie das vermeiden möchten, scannen Sie solche Belege bitte nicht.

Rechtsgrundlage ist, soweit einschlägig, Art. 9 Abs. 2 lit. a DSGVO (ausdrückliche Einwilligung).

8. Absturzberichte

Wenn Sie zustimmen, sendet die App bei einem Absturz einen Bericht an Sentry (Functional Software, Inc.), damit der Fehler behoben werden kann. Diese Funktion ist standardmäßig ausgeschaltet und wird nur aktiv, wenn Sie sie einschalten; in den Einstellungen können Sie sie jederzeit wieder abschalten.

Ein Bericht enthält die technischen Details des Absturzes: die Stelle im Programmcode, die App-Version, Ihr Gerätemodell und die Version des Betriebssystems. Er enthält keine Belege, Beträge, Händler, Produktnamen, keinen Namen, keine E-Mail-Adresse und keine IP-Adresse. Die Berichte werden in der EU-Region von Sentry verarbeitet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO (Einwilligung).

9. Messung der Erkennungsqualität

Um Fehler in der automatischen Belegerkennung zu finden und zu beheben, zählen wir, welche Arten von Fehlern auftreten – etwa wie oft eine Kategorie korrigiert wird oder welches Wort unsere Pfandprüfung nicht erkannt hat. Es handelt sich ausschließlich um Zählwerte. Sie enthalten keine Beträge, keine Händler, keine Daten, keine Kennungen und keinen Bezug zu einem einzelnen Beleg oder einer einzelnen Anfrage; Text wird auf einzelne gewöhnliche Wörter ohne Ziffern reduziert. Ein Bezug zu Ihnen oder zu einem Einkauf ist nicht herstellbar. In den Einstellungen können Sie dies abschalten.

10. Abonnement

BonZalio kann kostenlos genutzt werden. Für einige Funktionen ist ein kostenpflichtiges Abonnement erforderlich. Der Kauf wird vollständig über den App Store von Apple bzw. Google Play abgewickelt; wir erhalten weder Ihre Zahlungsdaten noch Ihren Namen. Zur Prüfung, ob ein Abonnement aktiv ist, nutzen wir den Dienst RevenueCat, Inc., der hierfür eine vom Betriebssystem erzeugte, pseudonyme Kennung Ihres Geräts bzw. Store-Kontos verarbeitet.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

11. Keine Werbung, kein Tracking

BonZalio bindet keine Werbenetzwerke, keine Tracking-Dienste und keine Social-Media-Plug-ins ein. Es werden keine Nutzungsprofile erstellt und kein Nutzungsverhalten analysiert. Die funktionalen Übermittlungen an Dritte sind die in den Abschnitten 3 bis 10 beschriebenen.

12. Berechtigungen auf Ihrem Gerät

• Kamera – zum Scannen von Belegen und QR-Codes.
• Fotomediathek (optional) – zur Auswahl bereits vorhandener Fotos.
• Mitteilungen (optional) – für Erinnerungen an Rückgabefristen und ablaufende Garantien. Diese werden auf Ihrem Gerät geplant und ausgelöst.

Die über diese Berechtigungen erfassten Inhalte werden nicht allein aufgrund der Berechtigung an uns übermittelt. Eine Übermittlung kann nur stattfinden, wenn Sie eine Funktion auslösen, die in dieser Datenschutzerklärung beschrieben ist.

13. Ihre Rechte

Da Ihre Belegdaten ausschließlich lokal auf Ihrem Gerät gespeichert werden, üben Sie die meisten Ihrer Rechte direkt in der App aus:

• Auskunft/Export: Über die Export-Funktion in den Einstellungen können Sie jederzeit alle gespeicherten Daten als CSV-Datei exportieren.
• Löschung: Über „Alle Daten löschen" in den Einstellungen entfernen Sie sämtliche Belege, Produktdaten, Fotos, verbundenen Postfächer und deren Zugangsdaten dauerhaft von Ihrem Gerät. Alternativ löscht die Deinstallation der App alle lokal gespeicherten Daten.
• Berichtigung: Sie können jeden erkannten Wert (Händler, Preis, Kategorie usw.) direkt in der App bearbeiten.
• Widerruf von Einwilligungen: Die Einwilligungen nach Abschnitt 7 und 8 können Sie in den Einstellungen jederzeit widerrufen. Die Rechtmäßigkeit der bis dahin erfolgten Verarbeitung bleibt unberührt.

Darüber hinaus haben Sie nach der DSGVO das Recht auf Auskunft (Art. 15), Berichtigung (Art. 16), Löschung (Art. 17), Einschränkung der Verarbeitung (Art. 18), Datenübertragbarkeit (Art. 20) und Widerspruch (Art. 21) sowie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde zu beschweren (Art. 77 DSGVO).

14. Minderjährige

BonZalio richtet sich nicht gezielt an Kinder. Uns ist bewusst, dass keine Registrierung stattfindet und wir daher das Alter von Nutzerinnen und Nutzern nicht verifizieren können.

15. Änderungen dieser Erklärung

Wir passen diese Datenschutzerklärung an, sobald sich die App oder die geltenden rechtlichen Anforderungen ändern. Die jeweils aktuelle Fassung finden Sie stets unter dieser Adresse.

16. Kontakt

Bei Fragen zu dieser Datenschutzerklärung oder zur Wahrnehmung Ihrer Rechte kontaktieren Sie uns unter support@bonzalio.app.

Privacy Policy

Last updated: 17 October 2026

1. Data controller

The data controller under the General Data Protection Regulation (GDPR) is Youssef Karkouda, Auf dem Bachfeld 16, 53229 Bonn, Germany. Further details are in the Impressum. For privacy questions, contact us at support@bonzalio.app.

2. Core principle: your receipt data is stored locally

BonZalio is designed as a local-first app: no user account is required, we operate no user accounts, and we do not create user profiles. Your scanned receipts, the data extracted from them (for example merchant, date, items, prices, categories and warranty information), and the receipt photos are stored on your device in the app's local database and file storage. BonZalio does not operate a central store in which your receipts are persistently stored. Some features that you actively use do require temporary processing by external services; those cases are described explicitly below.

If you connect a mailbox (section 6) you provide an email address and a password. These also stay on your device: the password is held in your operating system's protected credential store (iOS Keychain or Android Keystore) and is never transmitted to us.

Because this data lives within your device's app storage area, it is included in a device backup if you have one enabled — Apple's iCloud or local backup on iOS, Google's backup on Android. That backup is managed solely by Apple or Google, or on your own computer; BonZalio has no access to it.

3. Processing for text extraction (AI)

To automatically recognise the data on a scanned receipt (merchant, items, prices, etc.), the receipt photo (for a PDF you import or share, its first page rendered as an image) is transmitted over an encrypted connection to a stateless proxy function we operate. That function forwards the image for that purpose to OpenAI's API for analysis and returns the result directly to the app.

Your permission. The app sends nothing to OpenAI until you allow it — on the start screen or when you first scan, in a separate choice that names OpenAI and the data concerned: receipt photos or PDF pages, search text, and product details for warranty suggestions (section 4). Without it, AI reading, search assistance and warranty suggestions are off; QR import, manual entry and search on your device keep working. You can withdraw this permission at any time in Settings → Privacy.

• The proxy function itself does not persistently store the image or the analysis result.
• If an extraction fails, the request is retried up to twice. A receipt photo may therefore be transmitted more than once.
• The proxy runs on Cloudflare, Inc. infrastructure (Cloudflare Workers). Cloudflare processes each request in transit and sees the IP address it came from, which is used solely to enforce a rate limit. No receipt data, product name or search term is written to our logs — those record only the model used, how long the request took, how many tokens it consumed and how many items were returned.
• Per OpenAI's stated policy, data submitted via their API is not used to train their models and is retained only for a limited period for abuse monitoring. See OpenAI's own privacy policy for their current terms.
• This processing takes place on servers that may be located outside the European Union (e.g. in the United States). We rely on appropriate safeguards under Art. 46 GDPR (including Standard Contractual Clauses) for this transfer.

The legal basis is Art. 6(1)(b) GDPR (performance of the usage agreement — you actively request text extraction by initiating a scan).

4. Further AI-assisted features

Three further features use the same proxy and the same provider. Each is triggered only when you use that feature.

• Search assistance. For a search of three characters or more, the words you typed are sent, alongside the search on your device, in order to return related search terms (for example the type of shop). No purchase data accompanies the request; the results are matched against your receipts on your device.
• Warranty suggestions. To work out which purchases a warranty could apply to, product names, their category and price are sent. Nothing that identifies you or the purchase is included: no merchant, no date, no account, and no database identifier — each item is labelled only by its position in the request. Groceries, drinks and restaurant items are excluded beforehand. Each product is sent once; the result is stored on your device and not asked for again.
• Refund detection. When a merchant confirms a return by email, the text of that message is sent in order to identify the order number and amount, so the matching receipt can be corrected.

5. Invoices linked in an email

Some merchants email a link instead of attaching the invoice. Where such a link can be identified, the app sends that single web address — and nothing else from the email — to our proxy, which fetches the document on your behalf so the merchant does not see your device. The rest of the email, including every other link in it, stays on your phone. The address is not stored or logged.

Worth knowing: the merchant's server learns that the invoice was retrieved, and roughly when.

6. Connected mailbox

This feature is not included in the current version of the app. The app cannot currently connect a mailbox and does not access any email. The section below applies once mailbox import is released.

You can connect an email mailbox so that BonZalio can find receipts and invoices in it. This feature is optional and is not set up by default.

• The connection is read-only. BonZalio never sends, changes, moves or deletes messages.
• It searches only for the terms you enter, within the date range you choose. It reads the subject and sender of the matches, and downloads attachments only from the messages you select.
• Processing happens on your device. Your messages are not stored on our servers. Only the attachment of a receipt you selected goes through the text extraction described in section 3, and the text of a refund confirmation through the detection described in section 4.
• Mailbox credentials are held in your operating system's protected credential store and never transmitted to us.

Google user data. BonZalio's use of information received from Google APIs adheres to the Google API Services User Data Policy, including the Limited Use requirements. When you connect a Gmail account, only the gmail.readonly scope is requested — the narrowest Gmail offers for this purpose. Content from your mailbox is not stored on our servers, not sold, not used for advertising, and not used to train any model.

The legal basis is Art. 6(1)(b) GDPR (performance of the usage agreement — you actively set up the connection).

7. Health-related receipts

A pharmacy receipt can reveal information about your health. Such data has special protection under Art. 9 GDPR. On first launch the app therefore asks you separately whether receipts of that kind may be processed like all others. This consent is optional, does not block use of the app, and can be withdrawn at any time in Settings with effect for the future (Art. 7(3) GDPR).

Stated plainly: the app cannot identify a pharmacy receipt as such before text extraction. A refusal is therefore recorded and respected, but does not reliably prevent transmission by technical means. If you wish to avoid that, please do not scan such receipts.

The legal basis, where applicable, is Art. 9(2)(a) GDPR (explicit consent).

8. Crash reports

If you agree, the app sends a report to Sentry (Functional Software, Inc.) when it crashes, so the fault can be fixed. This is off by default and becomes active only if you switch it on; you can switch it off again at any time in Settings.

A report contains the technical details of the failure: where in our code it happened, the app version, your device model and operating system version. It contains no receipts, amounts, merchants or product names, no name, no email address and no IP address. Reports are processed in Sentry's EU region.

The legal basis is Art. 6(1)(a) GDPR (consent).

9. Measuring how well receipt reading works

To find and fix errors in the automatic reading of receipts, we collect counts of the kinds of mistakes it makes — for example, how often a category is corrected, or a word our deposit check did not recognise. These are tallies only. They carry no amounts, no merchant, no dates, no identifiers, and no record of an individual receipt or request; any text is reduced to single ordinary words with all numbers removed. They cannot be linked to you or to any purchase. You can switch this off in Settings.

10. Subscription

BonZalio can be used free of charge. Some features require a paid subscription. The purchase is handled entirely by Apple's App Store or Google Play; we receive neither your payment details nor your name. To check whether a subscription is active we use RevenueCat, Inc., which for that purpose processes a pseudonymous identifier generated by the operating system for your device or store account.

The legal basis is Art. 6(1)(b) GDPR.

11. No advertising, no tracking

BonZalio does not integrate any advertising networks, tracking services or social media plug-ins. No usage profiles are built and no usage behaviour is analysed. The functional transmissions to third parties are those described in sections 3 to 10.

12. Permissions on your device

• Camera — to scan receipts and QR codes.
• Photo library (optional) — to pick an existing photo.
• Notifications (optional) — for reminders about return deadlines and expiring warranties. These are scheduled and delivered on your device.

Granting these permissions does not by itself transmit the related content to us. A transmission can occur only when you actively use a feature described in this policy.

13. Your rights

Because your receipt data is stored exclusively on your own device, you exercise most of your rights directly within the app:

• Access/export: the Export feature in Settings lets you export all stored data as a CSV file at any time.
• Erasure: "Clear all data" in Settings permanently removes every receipt, product, photo, connected mailbox and its credentials from your device. Uninstalling the app also deletes all locally stored data.
• Rectification: you can edit any recognised value (merchant, price, category, etc.) directly in the app.
• Withdrawing consent: the consents in sections 7 and 8 can be withdrawn at any time in Settings. This does not affect the lawfulness of processing carried out beforehand.

You additionally have rights under the GDPR to access (Art. 15), rectification (Art. 16), erasure (Art. 17), restriction of processing (Art. 18), data portability (Art. 20), and objection (Art. 21), as well as the right to lodge a complaint with a data protection supervisory authority (Art. 77 GDPR).

14. Children

BonZalio is not directed at children. Because there is no registration, we are not able to verify the age of any user.

15. Changes to this policy

We will update this policy whenever the app or applicable legal requirements change. The current version is always available at this address.

16. Contact

For questions about this policy or to exercise your rights, contact us at support@bonzalio.app.

Politique de confidentialité

Dernière mise à jour : 17 octobre 2026

1. Responsable du traitement

Le responsable du traitement au sens du Règlement général sur la protection des données (RGPD) est Youssef Karkouda, Auf dem Bachfeld 16, 53229 Bonn, Allemagne. Des informations complémentaires figurent dans les mentions légales. Pour toute question relative à la confidentialité, contactez-nous à support@bonzalio.app.

2. Principe fondamental : vos données de reçus sont stockées localement

BonZalio est conçu selon une approche locale : aucun compte utilisateur n'est nécessaire, nous ne gérons aucun compte utilisateur et nous ne créons pas de profils d'utilisateur. Vos reçus scannés, les données qui en sont extraites (par exemple commerçant, date, articles, prix, catégories et informations de garantie) ainsi que les photos des reçus sont stockés sur votre appareil, dans la base de données locale et le stockage de fichiers local de l'application. BonZalio n'exploite pas de stockage central dans lequel vos reçus seraient conservés de manière permanente. Certaines fonctions que vous utilisez activement nécessitent toutefois un traitement temporaire par des services externes ; ces cas sont décrits explicitement ci-dessous.

Si vous connectez une boîte e-mail (section 6), vous saisissez une adresse e-mail et un mot de passe. Ces éléments restent également sur votre appareil : le mot de passe est conservé dans le magasin d'identifiants protégé de votre système d'exploitation (trousseau iOS ou Keystore Android) et ne nous est jamais transmis.

Comme ces données font partie de l'espace de stockage de l'application sur votre appareil, elles sont incluses dans une sauvegarde de l'appareil si vous en avez activé une — la sauvegarde iCloud ou locale d'Apple sur iOS, celle de Google sur Android. Cette sauvegarde est gérée exclusivement par Apple ou Google, ou sur votre propre ordinateur ; BonZalio n'y a aucun accès.

3. Traitement pour la reconnaissance de texte (IA)

Afin de reconnaître automatiquement les données d'un reçu scanné (commerçant, articles, prix, etc.), la photo du reçu (pour un PDF importé ou partagé, sa première page sous forme d'image) est transmise via une connexion chiffrée à une fonction proxy sans état que nous exploitons. Cette fonction transmet l'image à cette fin à l'API d'OpenAI pour analyse et renvoie directement le résultat à l'application.

Votre autorisation. L'application n'envoie rien à OpenAI avant que vous ne l'autorisiez — sur l'écran de démarrage ou lors du premier scan, dans un choix distinct qui nomme OpenAI et les données concernées : photos de reçus ou pages PDF, texte de recherche et informations produit pour les suggestions de garantie (section 4). Sans cette autorisation, la lecture par IA, l'aide à la recherche et les suggestions de garantie sont désactivées ; l'import QR, la saisie manuelle et la recherche sur votre appareil continuent de fonctionner. Vous pouvez retirer cette autorisation à tout moment dans Réglages → Confidentialité.

• La fonction proxy elle-même ne stocke ni l'image ni le résultat de l'analyse de manière permanente.
• En cas d'échec d'une extraction, la requête est réessayée jusqu'à deux fois. Une photo de reçu peut donc être transmise plus d'une fois.
• La fonction proxy s'exécute sur l'infrastructure de Cloudflare, Inc. (Cloudflare Workers). Cloudflare traite chaque requête en transit et voit l'adresse IP dont elle provient, utilisée uniquement pour appliquer une limitation d'usage. Aucune donnée de reçu, nom de produit ou terme de recherche n'est inscrit dans nos journaux — ceux-ci n'enregistrent que le modèle utilisé, la durée de la requête, le nombre de jetons consommés et le nombre d'éléments renvoyés.
• Selon la politique déclarée d'OpenAI, les données transmises via leur API ne sont pas utilisées pour entraîner leurs modèles et ne sont conservées que pendant une durée limitée à des fins de détection des abus. Consultez la politique de confidentialité d'OpenAI pour leurs conditions actuelles.
• Ce traitement a lieu sur des serveurs pouvant être situés en dehors de l'Union européenne (par exemple aux États-Unis). Nous nous appuyons sur des garanties appropriées au sens de l'art. 46 du RGPD (notamment les clauses contractuelles types) pour ce transfert.

La base légale est l'art. 6, par. 1, point b) du RGPD (exécution du contrat d'utilisation — vous demandez activement l'extraction de texte en lançant un scan).

4. Autres fonctions assistées par IA

Trois autres fonctions utilisent le même proxy et le même prestataire. Chacune n'est déclenchée que lorsque vous utilisez la fonction concernée.

• Aide à la recherche. Pour une recherche de trois caractères ou plus, les mots que vous avez saisis sont envoyés, en plus de la recherche sur votre appareil, afin d'obtenir des termes de recherche apparentés (par exemple le type de commerce). Aucune donnée d'achat n'accompagne la requête ; les résultats sont comparés à vos reçus sur votre appareil.
• Suggestions de garantie. Pour déterminer quels achats peuvent faire l'objet d'une garantie, les noms de produits, leur catégorie et leur prix sont envoyés. Rien de ce qui vous identifie, vous ou l'achat, n'est inclus : ni commerçant, ni date, ni compte, ni identifiant de base de données — chaque article n'est désigné que par sa position dans la requête. Les produits alimentaires, boissons et articles de restauration sont exclus au préalable. Chaque produit est envoyé une fois ; le résultat est conservé sur votre appareil et n'est plus redemandé.
• Détection des remboursements. Lorsqu'un commerçant confirme un retour par e-mail, le texte de ce message est envoyé afin d'identifier le numéro de commande et le montant, pour corriger le reçu correspondant.

5. Factures accessibles par un lien dans un e-mail

Certains commerçants envoient un lien au lieu de joindre la facture. Lorsqu'un tel lien peut être identifié, l'application envoie cette seule adresse web — et rien d'autre du courriel — à notre proxy, qui récupère le document pour vous afin que le commerçant ne voie pas votre appareil. Le reste du courriel, y compris tous les autres liens qu'il contient, reste sur votre téléphone. L'adresse n'est ni stockée ni journalisée.

À noter : le serveur du commerçant apprend que la facture a été récupérée, et approximativement quand.

6. Boîte e-mail connectée

Cette fonctionnalité n'est pas incluse dans la version actuelle de l'application. L'application ne peut actuellement pas connecter de boîte e-mail et n'accède à aucun e-mail. La section ci-dessous s'appliquera dès la publication de l'import depuis la boîte e-mail.

Vous pouvez connecter une boîte e-mail afin que BonZalio y recherche des reçus et des factures. Cette fonction est facultative et n'est pas configurée par défaut.

• La connexion est en lecture seule. BonZalio n'envoie, ne modifie, ne déplace et ne supprime aucun message.
• La recherche porte uniquement sur les termes que vous saisissez, dans la période que vous choisissez. L'objet et l'expéditeur des résultats sont lus ; seules les pièces jointes des messages que vous sélectionnez sont téléchargées.
• Le traitement a lieu sur votre appareil. Vos messages ne sont pas stockés sur nos serveurs. Seule la pièce jointe d'un reçu que vous avez sélectionné passe par l'extraction de texte décrite à la section 3, et le texte d'une confirmation de remboursement par la détection décrite à la section 4.
• Les identifiants de boîte e-mail sont conservés dans le magasin d'identifiants protégé de votre système d'exploitation et ne nous sont jamais transmis.

Données utilisateur Google. L'utilisation par BonZalio des informations reçues des API Google est conforme à la Google API Services User Data Policy, y compris aux exigences Limited Use. Lorsque vous connectez un compte Gmail, seule la portée gmail.readonly est demandée — la plus restreinte que Gmail propose à cette fin. Le contenu de votre boîte e-mail n'est pas stocké sur nos serveurs, n'est pas vendu, n'est pas utilisé à des fins publicitaires et ne sert pas à entraîner de modèle.

La base légale est l'art. 6, par. 1, point b) du RGPD (exécution du contrat d'utilisation — vous mettez activement en place la connexion).

7. Reçus liés à la santé

Un reçu de pharmacie peut révéler des informations sur votre santé. Ces données bénéficient d'une protection particulière au titre de l'art. 9 du RGPD. Au premier lancement, l'application vous demande donc séparément si de tels reçus peuvent être traités comme tous les autres. Ce consentement est facultatif, ne bloque pas l'utilisation de l'application et peut être retiré à tout moment dans les réglages, avec effet pour l'avenir (art. 7, par. 3, du RGPD).

En toute transparence : l'application ne peut pas identifier un reçu de pharmacie comme tel avant l'extraction de texte. Un refus est donc enregistré et respecté, mais n'empêche pas de manière fiable une transmission sur le plan technique. Si vous souhaitez l'éviter, veuillez ne pas scanner de tels reçus.

La base légale, le cas échéant, est l'art. 9, par. 2, point a) du RGPD (consentement explicite).

8. Rapports de plantage

Si vous l'acceptez, l'application envoie un rapport à Sentry (Functional Software, Inc.) lorsqu'elle plante, afin que le problème puisse être corrigé. Cette fonction est désactivée par défaut et ne devient active que si vous l'activez ; vous pouvez la désactiver à tout moment dans les réglages.

Un rapport contient les détails techniques de la panne : l'endroit dans notre code où elle s'est produite, la version de l'application, le modèle de votre appareil et la version du système d'exploitation. Il ne contient aucun reçu, montant, commerçant ou nom de produit, ni nom, ni adresse e-mail, ni adresse IP. Les rapports sont traités dans la région UE de Sentry.

La base légale est l'art. 6, par. 1, point a) du RGPD (consentement).

9. Mesure de la qualité de la reconnaissance

Afin de détecter et de corriger les erreurs de la lecture automatique des reçus, nous collectons des décomptes des types d'erreurs commises — par exemple la fréquence à laquelle une catégorie est corrigée, ou un mot que notre contrôle de consigne n'a pas reconnu. Il s'agit uniquement de décomptes. Ils ne comportent aucun montant, aucun commerçant, aucune date, aucun identifiant, ni aucune trace d'un reçu ou d'une requête individuelle ; tout texte est réduit à des mots courants isolés, sans chiffres. Ils ne peuvent être reliés ni à vous ni à un achat. Vous pouvez désactiver cette fonction dans les réglages.

10. Abonnement

BonZalio peut être utilisé gratuitement. Certaines fonctions nécessitent un abonnement payant. L'achat est entièrement géré par l'App Store d'Apple ou Google Play ; nous ne recevons ni vos données de paiement, ni votre nom. Pour vérifier qu'un abonnement est actif, nous utilisons le service RevenueCat, Inc., qui traite à cette fin un identifiant pseudonyme généré par le système d'exploitation pour votre appareil ou votre compte de magasin.

La base légale est l'art. 6, par. 1, point b) du RGPD.

11. Aucune publicité, aucun suivi

BonZalio n'intègre aucun réseau publicitaire, aucun service de suivi ni aucun module de réseau social. Aucun profil d'utilisation n'est constitué et aucun comportement d'utilisation n'est analysé. Les transmissions fonctionnelles à des tiers sont celles décrites aux sections 3 à 10.

12. Autorisations sur votre appareil

• Appareil photo — pour scanner des reçus et des QR codes.
• Photothèque (facultatif) — pour choisir une photo existante.
• Notifications (facultatif) — pour les rappels de délais de retour et de garanties arrivant à expiration. Elles sont planifiées et déclenchées sur votre appareil.

L'octroi de ces autorisations n'entraîne pas à lui seul la transmission du contenu concerné. Une transmission peut avoir lieu uniquement lorsque vous utilisez activement une fonction décrite dans la présente politique.

13. Vos droits

Vos données de reçus étant stockées exclusivement sur votre propre appareil, vous exercez la plupart de vos droits directement dans l'application :

• Accès/export : la fonction d'export dans les réglages vous permet d'exporter à tout moment toutes les données stockées au format CSV.
• Effacement : « Effacer toutes les données » dans les réglages supprime définitivement de votre appareil chaque reçu, produit, photo, boîte e-mail connectée et ses identifiants. La désinstallation de l'application supprime également toutes les données stockées localement.
• Rectification : vous pouvez modifier n'importe quelle valeur reconnue (commerçant, prix, catégorie, etc.) directement dans l'application.
• Retrait du consentement : les consentements visés aux sections 7 et 8 peuvent être retirés à tout moment dans les réglages. Cela n'affecte pas la licéité du traitement effectué auparavant.

Vous disposez en outre, en vertu du RGPD, d'un droit d'accès (art. 15), de rectification (art. 16), d'effacement (art. 17), de limitation du traitement (art. 18), de portabilité des données (art. 20) et d'opposition (art. 21), ainsi que du droit d'introduire une réclamation auprès d'une autorité de contrôle de la protection des données (art. 77 du RGPD).

14. Mineurs

BonZalio ne s'adresse pas spécifiquement aux enfants. Aucune inscription n'étant requise, nous ne sommes pas en mesure de vérifier l'âge des utilisateurs.

15. Modifications de cette politique

Nous mettrons à jour cette politique dès que l'application ou les exigences légales applicables évolueront. La version actuelle est toujours disponible à cette adresse.

16. Contact

Pour toute question relative à cette politique ou pour exercer vos droits, contactez-nous à support@bonzalio.app.