Les applis de scan de tickets sont-elles sûres ?

Ce qu'un ticket révèle vraiment

On pense facilement qu'un ticket est anodin. Un seul l'est généralement. Une année de tickets ne l'est pas.

Ensemble, ils montrent où vous êtes et quand, selon un rythme hebdomadaire répétitif. Ce que vous mangez et buvez, ce qui en dit long sur votre santé. Quels médicaments vous achetez. Quels bars vous fréquentez et à quelle fréquence. Où vous voyagez. Ce que vous achetez pour des enfants. Si vos dépenses changent brusquement — le signal qui précède une perte d'emploi, une séparation ou un diagnostic.

Le détail des articles va plus loin que les totaux. Un ticket de supermarché lu jusqu'au niveau de l'article est un inventaire détaillé d'un foyer.

C'est pourquoi « ce ne sont que des tickets » sous-estime la chose. Les données de tickets sont des données comportementales datées et géolocalisées, et elles ont une vraie valeur commerciale — certaines applis de ce secteur sont bâties précisément pour monétiser cela, et assez ouvertement, en vous payant pour vos tickets et en revendant les données agrégées à des instituts d'études de marché. C'est un modèle légitime et un échange honnête si vous savez que vous le faites. Le problème survient quand on ne sait pas quel type d'appli on a installé.

La question qui détermine tout : où la lecture a-t-elle lieu ?

Lecture sur l'appareil

La photo ne quitte jamais votre téléphone. L'extraction de texte s'exécute localement — sur iOS, généralement via le framework Vision d'Apple, qui exécute la reconnaissance directement sur l'appareil. Les serveurs de l'éditeur ne voient jamais l'image ni le texte.

L'exposition se limite à votre propre appareil et à la sauvegarde ou synchronisation que vous avez activée.

Lecture dans le cloud

L'image, ou le texte qui en a été extrait, est envoyé à un serveur. Ce serveur peut appartenir à l'éditeur de l'appli, ou à un fournisseur tiers d'OCR ou d'IA derrière lui.

Ce n'est pas automatiquement mauvais — les modèles cloud lisent mieux les tickets difficiles que les modèles embarqués, et il existe des implémentations honnêtes. Mais cela change les questions auxquelles vous avez besoin de réponses :

• Est-ce la photo qui est envoyée, ou seulement le texte extrait ? Grande différence. Une photo peut contenir les quatre derniers chiffres de votre carte, un numéro de fidélité, parfois un nom.
• Est-elle stockée, ou traitée puis supprimée ?
• Qui est ce tiers, et quelles sont ses conditions de conservation ?
• Est-ce activé par défaut, ou faut-il votre consentement explicite ?
• Pouvez-vous le désactiver et revenir à la lecture locale ?

Une appli qui répond clairement à ces cinq questions joue franc jeu avec vous. Une appli dont la politique de confidentialité se contente de dire « nous utilisons des mesures de sécurité conformes aux standards du secteur » n'a répondu à aucune d'entre elles.

Questions à se poser avant d'installer

Y a-t-il un compte ? Une appli avec une base d'utilisateurs peut faire fuiter une base d'utilisateurs. Une appli dont la seule identité est votre compte Apple ou Google existant a bien moins à perdre.

Où se synchronise le registre ? « Se synchronise sur vos appareils » peut vouloir dire votre propre compte iCloud ou Google, ou les serveurs de l'éditeur. Seul le premier tient l'éditeur à l'écart.

Que dit l'étiquette de confidentialité de l'App Store ? Sur iOS, vérifiez « Données utilisées pour vous suivre » et « Données liées à vous ». Une appli de budget qui vous suit à travers d'autres applis vous renseigne sur son modèle économique.

Y a-t-il des SDK d'analyse ou de publicité tiers ? Ce sont les discrets. Une appli peut être honnête sur ses propres serveurs tout en intégrant un SDK d'analyse qui envoie des événements comportementaux ailleurs.

Pouvez-vous exporter et supprimer ? Les deux devraient être gratuits et complets. Un export payant signifie que vos propres données servent de levier.

Le modèle économique est-il lisible ? Si une appli est gratuite, n'a aucun achat, n'affiche aucune publicité, et fait tourner une IA cloud sur chaque ticket, quelqu'un la finance. Ce n'est pas forcément sinistre, mais vous devriez pouvoir comprendre quoi.

Habitudes pratiques

Indépendamment de l'appli choisie :

• Activez un code d'accès et le verrouillage biométrique, et utilisez un verrou dans l'appli s'il est proposé. Le risque le plus réaliste est que quelqu'un ramasse un téléphone déverrouillé, pas une intrusion sur un serveur.
• Scannez puis jetez. Une fois le ticket dans le registre, vous avez rarement encore besoin de la photo. Moins d'images stockées, c'est moins à perdre.
• Vérifiez ce qui se retrouve dans votre photothèque. Certaines applis enregistrent chaque ticket dans Photos, qui se synchronise ensuite avec votre sauvegarde photo.
• Exportez une sauvegarde régulièrement, pour que quitter une appli ne coûte jamais rien.
• Relisez la politique de confidentialité après une mise à jour majeure ou un rachat. C'est à ce moment-là que les conditions changent.

Comment Pennywick gère cela

Formulé avec précision, car la précision est tout l'intérêt de cette page.

Par défaut, les tickets sont lus sur votre appareil. Apple Vision extrait le texte localement. La photo ne quitte pas votre iPhone.

Votre registre vit sur votre appareil et dans votre propre iCloud. Opérations, budgets et tickets se synchronisent via la base CloudKit privée d'Apple — chiffrée de bout en bout selon les conditions qu'Apple décrit dans son aperçu de la sécurité des données iCloud, dans votre compte, là où l'éditeur ne peut pas les lire.

Il n'y a pas de compte Pennywick. La seule identité est votre identifiant Apple. Il n'y a pas de base d'utilisateurs, pas de mot de passe pouvant fuiter, et pas de connexion.

Pas de publicité, pas de suivi publicitaire, pas de SDK d'analyse tiers.

Une lecture cloud facultative existe, et voici exactement ce qu'elle fait. Deux modes, tous deux désactivés jusqu'à ce que vous les activiez :

1. Votre propre clé API. Vous fournissez une clé OpenAI ou Google Gemini ; la lecture est facturée sur votre compte et va directement de votre appareil à ce fournisseur.
2. Lecture hébergée, incluse avec Pro. Pennywick exploite un serveur qui vérifie votre achat signé par Apple, compte votre quota mensuel, et transmet la requête à un fournisseur de modèle.

Dans les deux cas, seul le texte extrait du ticket est envoyé — jamais la photo. Le texte n'est ni stocké ni journalisé. Le serveur hébergé ne conserve qu'un compteur du nombre de tickets que vous avez fait lire ce mois-ci, indexé par une empreinte irréversible d'un identifiant d'abonnement Apple. Il n'y a toujours ni compte ni connexion : la transaction App Store signée fait office de justificatif.

Cela vaut la peine d'être précisé car le marketing de Pennywick affirmait autrefois « aucun serveur », et ce n'est plus vrai depuis le lancement de la lecture hébergée. L'affirmation exacte est : aucun compte, aucune connexion bancaire, aucune copie de vos données financières lisible par l'éditeur, et rien ne quitte votre appareil tant que vous ne l'activez pas.

L'export n'est jamais restreint. CSV et sauvegarde complète, export et restauration, quel que soit ce que vous avez acheté. Retenir en otage les propres archives financières de quelqu'un contredirait tout le principe.

Le détail complet figure dans la politique de confidentialité, qui nomme chaque destinataire.

En bref

Le scan de tickets est aussi sûr que l'architecture de l'appli, et cette architecture se laisse découvrir si vous posez les bonnes questions. Renseignez-vous sur l'endroit où la lecture a lieu, si photos ou seulement texte sont envoyés, s'il existe un compte, et où votre registre se synchronise. Une appli incapable de répondre clairement à cela vous a déjà appris quelque chose.

À lire aussi : applications de budget sans connexion bancaire et scanner un ticket avec son iPhone.