Politique de confidentialité

Dernière mise à jour : 13 octobre 2026. F7 est l'application éditée par VAFNAF&CO, SAS.

La présente politique explique quelles données personnelles sont traitées lorsque vous utilisez l'application F7 et le site getf7.com, pourquoi, avec qui elles sont partagées, combien de temps elles sont conservées et quels sont vos droits. Elle s'applique à toutes les versions de l'application, y compris lorsque certaines fonctionnalités décrites ici ne sont pas encore proposées dans la version que vous utilisez.

Responsable du traitement

Le responsable du traitement est VAFNAF&CO, société par actions simplifiée (SIREN 819 525 478), dont le siège est situé 229 rue Saint-Honoré, 75001 Paris, France, éditeur de l'application F7 et du site getf7.com.

Pour toute question relative à vos données ou pour exercer vos droits : contact@getf7.com.

Données que nous traitons

Selon les fonctionnalités que vous utilisez, nous traitons les catégories de données suivantes :

• Compte : adresse e-mail, prénom et nom, mot de passe (conservé uniquement sous forme hachée, jamais en clair) ou, si vous utilisez « Continuer avec Apple » ou « Continuer avec Google », l'identifiant fourni par ce service et l'adresse e-mail associée (le cas échéant, une adresse relais Apple).
• Données bancaires agrégées : établissements connectés, comptes, soldes, opérations, IBAN/BIC et nom du titulaire, récupérés en lecture seule par notre prestataire agréé. Nous ne recevons et ne stockons jamais vos identifiants de connexion bancaire.
• Données que vous saisissez : biens immobiliers et leurs caractéristiques (adresse, surface, valeur estimée, quote-part), prêts (capital, taux, durée, mensualités), comptes saisis à la main et leurs soldes, informations de vos comptes « sociétés ».
• Données d'abonnement : formule choisie, dates de début, de fin et de renouvellement, statut de l'essai, identifiant de transaction anonymisé du store. Nous n'avons jamais accès à votre moyen de paiement.
• Données d'usage : écrans consultés, actions réalisées dans l'application (par exemple « banque connectée », « bien ajouté »), version de l'application et type d'appareil, rattachées à votre identifiant utilisateur.
• Données de diagnostic : rapports de plantage et d'erreur comprenant votre identifiant utilisateur, le modèle d'appareil, la version du système et de l'application, et des traces techniques.
• Notifications : jeton de notification de votre appareil et nom de l'appareil, si vous acceptez les notifications.
• Compte rémunéré (uniquement si vous ouvrez un compte F7 Gains, lorsque la fonctionnalité est proposée) : identité, date et lieu de naissance, nationalité, adresse, résidence(s) fiscale(s) et numéro d'identification fiscale, pièces d'identité et justificatifs, réponses au questionnaire de connaissances et d'adéquation, IBAN du compte de retrait, historique des versements et retraits, et pour une société, les documents d'immatriculation et l'identité des représentants et bénéficiaires effectifs.
• Échanges avec le support : contenu de vos messages et adresse e-mail.

Nous ne collectons pas de données de géolocalisation, de contacts, de photos (hors pièces justificatives que vous choisissez d'envoyer pour le compte rémunéré) ni de données biométriques.

Pourquoi nous les traitons (finalités et bases légales)

• Créer et gérer votre compte, fournir le service de suivi de patrimoine, afficher vos comptes, biens et prêts : exécution du contrat.
• Connecter et synchroniser vos comptes bancaires : votre consentement explicite, recueilli à chaque ajout de banque et révocable à tout moment (cadre DSP2).
• Gérer vos abonnements, essais et droits d'accès aux fonctionnalités payantes : exécution du contrat.
• Ouvrir et gérer un compte rémunéré, vérifier votre identité et l'adéquation du produit : exécution du contrat et obligations légales (réglementation LCB-FT, règles de bonne conduite applicables aux conseillers en investissements financiers).
• Vous envoyer les e-mails nécessaires au service (confirmation d'adresse, réinitialisation de mot de passe, rappels de fin d'essai, informations sur votre abonnement ou votre compte rémunéré) : exécution du contrat.
• Vous envoyer des notifications sur l'activité de vos comptes : votre consentement, donné via les réglages de votre appareil.
• Mesurer l'usage de l'application pour comprendre ce qui fonctionne et l'améliorer : intérêt légitime (amélioration du service), avec des données rattachées à votre identifiant utilisateur mais sans publicité ni suivi sur d'autres applications ou sites.
• Détecter et corriger les plantages et erreurs : intérêt légitime (fonctionnement et sécurité du service).
• Assurer la sécurité du service, prévenir la fraude et les usages abusifs : intérêt légitime et obligations légales.
• Répondre à vos demandes de support : exécution du contrat et intérêt légitime.
• Respecter nos obligations légales, comptables et réglementaires, et répondre aux demandes des autorités : obligation légale.

Nous ne prenons aucune décision produisant des effets juridiques à votre égard sur la seule base d'un traitement automatisé. Nous n'affichons pas de publicité, ne faisons pas de publicité ciblée et ne vendons ni ne louons vos données.

Agrégation bancaire et DSP2

La connexion à vos banques est assurée par Powens (France), prestataire de services d'information sur les comptes agréé au titre de la directive européenne sur les services de paiement (DSP2) et supervisé par l'ACPR. L'accès est strictement en lecture seule : ni VAFNAF&CO ni Powens ne peuvent initier de paiement ni déplacer d'argent.

Vos identifiants bancaires sont saisis dans le parcours sécurisé de Powens et ne transitent jamais par VAFNAF&CO. Powens récupère auprès de vos banques la liste de vos comptes, leurs soldes et leurs opérations, qu'VAFNAF&CO conserve pour vous les afficher et calculer votre patrimoine.

Vous pouvez retirer l'accès à une banque à tout moment depuis l'application (onglet Comptes → Gérer mes banques) ou auprès de votre banque. Le retrait supprime la connexion chez Powens ; les données déjà récupérées sont supprimées de votre compte F7 au même moment. À la fin de la période de découverte ou d'un abonnement, les connexions sont interrompues chez Powens et les soldes restent affichés, figés, jusqu'à ce que vous les supprimiez ou repreniez la synchronisation.

Compte rémunéré F7 Gains

Cette section s'applique uniquement si vous ouvrez un compte rémunéré, lorsque cette fonctionnalité est proposée dans l'application.

Le compte rémunéré est distribué par une société du groupe agréée pour cette activité, identifiée dans l'application lors de la souscription (le « Distributeur »), et exécuté par Spiko (France), société de gestion de portefeuille agréée par l'AMF. Les données d'identification, les justificatifs, le questionnaire d'adéquation et l'IBAN de retrait sont transmis à Spiko, qui les traite en qualité de responsable de traitement distinct pour ses propres obligations réglementaires (vérification d'identité, lutte contre le blanchiment, tenue du registre des porteurs). La politique de confidentialité de Spiko est consultable sur son site.

Le Distributeur et VAFNAF&CO conservent de leur côté les réponses au questionnaire d'adéquation, la référence des documents transmis et l'historique des opérations, pour justifier du respect des obligations réglementaires du Distributeur. Les pièces justificatives elles-mêmes sont transmises à Spiko et ne sont pas stockées durablement par VAFNAF&CO.

Les informations d'identité affichées dans l'application sont lues chez Spiko lorsque vous ouvrez l'écran concerné ; elles ne sont pas recopiées dans nos bases au-delà de ce qui est nécessaire à l'affichage.

Abonnements

Les abonnements sont vendus par Apple (App Store) ou Google (Google Play). Le store traite votre moyen de paiement et vos données de facturation selon sa propre politique de confidentialité ; VAFNAF&CO n'y a jamais accès.

Pour savoir quelles fonctionnalités vous ouvrir, nous utilisons RevenueCat, qui reçoit de la part du store les informations sur votre achat (formule, dates, statut d'essai, identifiant de transaction) et les associe à votre identifiant utilisateur F7. RevenueCat ne reçoit aucune donnée bancaire ni patrimoniale. Les rappels de fin d'essai vous sont envoyés par e-mail à l'adresse de votre compte.

Mesure d'usage et diagnostic

Nous mesurons l'usage de l'application avec PostHog, hébergé dans l'Union européenne : événements d'usage (écrans consultés, actions réalisées), version de l'application et type d'appareil, rattachés à votre identifiant utilisateur. Ces données servent uniquement à comprendre comment l'application est utilisée et à l'améliorer. Elles ne sont pas utilisées à des fins publicitaires, ne sont pas croisées avec d'autres applications ou sites, et ne contiennent ni vos soldes, ni vos opérations, ni les valeurs de vos biens.

Les plantages et erreurs sont remontés à Sentry, hébergé dans l'Union européenne : identifiant utilisateur, modèle d'appareil, version du système et de l'application, et traces techniques de l'erreur. Ces rapports ne contiennent pas vos données bancaires.

Le site getf7.com n'utilise pas de cookies de suivi ni d'outil de mesure d'audience.

Notifications

Si vous acceptez les notifications, votre appareil nous fournit un jeton technique que nous conservons avec le nom de l'appareil, afin de vous adresser des notifications relatives à vos comptes, à votre abonnement et au service. Les notifications sont acheminées par Expo, puis par Apple (APNs) ou Google (FCM). Vous pouvez les désactiver à tout moment dans les réglages de votre appareil ; le jeton est alors supprimé lors de la prochaine ouverture de l'application.

Destinataires et sous-traitants

Vos données ne sont accessibles qu'au personnel de VAFNAF&CO habilité, dans la limite de ses missions, et aux prestataires suivants, qui n'agissent que sur nos instructions et pour fournir leur service, sauf mention contraire :

• Optency SAS (France), société du groupe de VAFNAF&CO : titulaire du compte d'hébergement Supabase et du contrat avec Powens, qu'elle met à disposition de VAFNAF&CO pour le fonctionnement du Service. Elle n'utilise pas vos données pour son propre compte.
• Supabase (base de données, authentification, fonctions serveur et stockage) : hébergement de l'ensemble de vos données dans l'Union européenne, région eu-west-1 (Irlande).
• Powens (France) : agrégation bancaire, prestataire d'information sur les comptes agréé DSP2. Reçoit vos identifiants bancaires (dans son propre parcours) et récupère vos données de comptes.
• Spiko (France), uniquement si vous ouvrez un compte rémunéré : société de gestion, responsable de traitement distinct pour les données d'identification, les justificatifs, l'IBAN et les opérations.
• RevenueCat (États-Unis) : gestion des abonnements. Reçoit votre identifiant utilisateur et l'historique d'achat transmis par le store ; aucune donnée bancaire.
• PostHog (Union européenne) : mesure d'usage. Reçoit votre identifiant utilisateur et les événements d'usage.
• Sentry (Union européenne) : rapports de plantage. Reçoit votre identifiant utilisateur, le modèle d'appareil, les versions et les traces techniques.
• Resend : envoi des e-mails transactionnels. Reçoit votre adresse e-mail et le contenu des e-mails que nous vous adressons.
• Expo (EAS) : distribution des mises à jour de l'application et acheminement des notifications. Reçoit le jeton de notification de votre appareil.
• Apple et Google : connexion « Continuer avec Apple » ou « Continuer avec Google », distribution de l'application, achats intégrés et remise des notifications. Ils agissent selon leurs propres politiques de confidentialité.
• Netlify : hébergement du site getf7.com et réception des messages envoyés via le formulaire de support du site.
• Frankfurter (api.frankfurter.app) : taux de change de référence de la Banque centrale européenne. Ne reçoit aucune donnée personnelle, seulement les codes des devises demandées.
• logo.dev, DuckDuckGo et Google (services d'icônes) : affichage des logos de vos banques. Ces services reçoivent uniquement le nom de domaine ou le nom de l'établissement dont le logo est demandé, jamais vos données personnelles ni l'identifiant de votre compte.

Nous pouvons également communiquer vos données aux autorités administratives ou judiciaires lorsque la loi nous y oblige, et à nos conseils (avocats, experts-comptables, commissaires aux comptes) dans la limite de leurs missions.

Transferts hors de l'Union européenne

Vos données sont hébergées et traitées dans l'Union européenne. Certains prestataires sont toutefois établis aux États-Unis (RevenueCat) ou peuvent y traiter des données depuis leur siège (Apple, Google, Expo, Resend, Netlify). Dans ce cas, le transfert est encadré par des garanties appropriées au sens du RGPD : décision d'adéquation de la Commission européenne lorsque le prestataire y est certifié (Data Privacy Framework) et clauses contractuelles types de la Commission européenne, complétées le cas échéant de mesures supplémentaires. Une copie des garanties applicables peut être obtenue sur demande à contact@getf7.com.

Durées de conservation

• Données de compte, bancaires et saisies : pendant toute la durée de votre relation avec F7, puis supprimées lors de la suppression de votre compte (voir ci-dessous).
• Données d'abonnement : pendant la durée de l'abonnement, puis conservées le temps des obligations comptables et fiscales (10 ans pour les pièces comptables) sous forme limitée à ce qui est nécessaire.
• Données du compte rémunéré (identification, justificatifs, questionnaire d'adéquation, opérations) : pendant toute la durée de la relation, puis 5 ans à compter de la fin de la relation, conformément à la réglementation LCB-FT et aux obligations des conseillers en investissements financiers. Ces données sont conservées même si vous supprimez votre compte F7.
• Données d'usage et de diagnostic, journaux techniques et de sécurité : 12 mois au maximum.
• Jeton de notification : jusqu'à la désactivation des notifications ou la suppression du compte.
• Échanges avec le support : 3 ans à compter du dernier contact.
• Données nécessaires à la gestion d'un litige ou d'une réclamation : jusqu'à l'extinction des voies de recours.

À l'issue de ces durées, les données sont supprimées ou anonymisées.

Vos droits

Conformément au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés, vous disposez des droits suivants sur vos données :

• droit d'accès : obtenir la confirmation que vos données sont traitées et en recevoir une copie ;
• droit de rectification : faire corriger des données inexactes ou incomplètes (la plupart de vos informations sont modifiables directement dans l'application) ;
• droit à l'effacement : demander la suppression de vos données, sous réserve des conservations imposées par la loi ;
• droit à la limitation du traitement, dans les cas prévus par le RGPD ;
• droit à la portabilité : recevoir les données que vous nous avez fournies dans un format structuré et couramment utilisé ;
• droit d'opposition aux traitements fondés sur notre intérêt légitime, pour des raisons tenant à votre situation particulière ;
• droit de retirer votre consentement à tout moment (connexions bancaires, notifications), sans remettre en cause les traitements antérieurs ;
• droit de définir des directives relatives au sort de vos données après votre décès.

Pour exercer ces droits, écrivez à contact@getf7.com depuis l'adresse e-mail associée à votre compte, ou par courrier à VAFNAF&CO, 229 rue Saint-Honoré, 75001 Paris. Nous pouvons vous demander un justificatif d'identité lorsque c'est nécessaire pour éviter qu'un tiers n'accède à vos données. Nous répondons dans un délai d'un mois, prolongeable de deux mois en cas de demande complexe.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 ; www.cnil.fr).

Suppression du compte

Vous pouvez supprimer votre compte à tout moment depuis l'application : Profil → Réglages → Supprimer mon compte. Si vous n'avez plus accès à l'application, écrivez à contact@getf7.com depuis l'adresse e-mail associée à votre compte ; la demande est traitée dans un délai maximal de 30 jours.

La suppression entraîne :

• la suppression de vos connexions bancaires chez Powens et de toutes les données bancaires récupérées ;
• la suppression de vos biens immobiliers, prêts, comptes saisis à la main et comptes « sociétés » ;
• la suppression de votre compte d'authentification (e-mail, nom, mot de passe haché) et, si vous utilisiez « Continuer avec Apple », la révocation du jeton auprès d'Apple ;
• la suppression de votre identifiant et de votre historique d'achat chez RevenueCat ;
• la suppression du jeton de notification de vos appareils.

Deux limites s'appliquent. D'une part, si de l'argent reste placé sur votre compte rémunéré, la suppression est impossible tant que vous n'avez pas retiré l'intégralité des fonds depuis l'application. D'autre part, si vous avez ouvert un compte rémunéré, les données d'identification et le questionnaire d'adéquation sont conservés le temps légal (5 ans après la fin de la relation) chez VAFNAF&CO et chez Spiko, sans plus être utilisés à d'autres fins.

La suppression du compte ne résilie pas un abonnement en cours : celui-ci doit être annulé dans les réglages de votre compte Apple ou Google.

Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées pour protéger vos données : chiffrement des échanges (HTTPS/TLS), chiffrement des données au repos chez notre hébergeur, cloisonnement des données par utilisateur (chaque personne n'accède qu'à ses propres données, appliqué au niveau de la base de données), mots de passe hachés, accès restreint et journalisé aux systèmes, secrets stockés dans des coffres dédiés, et déconnexion effective des banques chez le prestataire d'agrégation lorsqu'une connexion est retirée.

Aucun système n'est toutefois infaillible. Nous vous recommandons d'utiliser un mot de passe unique et robuste, d'activer le verrouillage de votre appareil et de nous signaler sans délai toute utilisation suspecte de votre compte. En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits, nous vous en informerons conformément à la réglementation.

Mineurs

L'application et le site sont réservés aux personnes majeures (18 ans et plus). Nous ne collectons pas sciemment de données concernant des mineurs ; si un compte a été créé par un mineur, écrivez-nous à contact@getf7.com et nous le supprimerons.

Modifications

Cette politique peut évoluer pour refléter des changements du service, de nos prestataires ou de la réglementation. La version en vigueur est celle publiée dans l'application et sur getf7.com, avec sa date de mise à jour. En cas de changement important, nous vous en informerons dans l'application ou par e-mail.

Contact

Pour toute question relative à vos données personnelles ou à cette politique : contact@getf7.com, ou par courrier à VAFNAF&CO, 229 rue Saint-Honoré, 75001 Paris, France.