Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement est AL1FO SNC, BCE 0598.828.906. Son identification complète figure dans les mentions légales. Contact pour toute question relative à vos données : Alain Colette, gérant, à [email protected]. MyCleark n'est pas tenu de désigner un délégué à la protection des données (article 37 RGPD) ; ce contact en tient lieu.

2. Données collectées

Nous collectons et traitons les données suivantes :

• Données de compte : nom et adresse e-mail, fournis par Google ou Microsoft lors de la connexion, ainsi que la photo de profil pour un compte Google ;
• Données de connexion : jetons d'accès OAuth Google (Gmail, Agenda) ou Microsoft (Outlook.com, Hotmail, Microsoft 365 : messagerie et calendrier), stockés chiffrés, nécessaires au fonctionnement du service ;
• Données de facturation : identifiant client et abonnement Stripe (aucune donnée de carte bancaire n'est stockée sur nos serveurs) ;
• Métadonnées d'utilisation : date d'activation, statut de l'abonnement, préférences d'interface ;
• Données de vos e-mails : pour classer un e-mail, nous lisons son expéditeur, son objet et son contenu. Pour chaque e-mail classé, nous conservons l'expéditeur (nom et adresse), l'objet, un court extrait du début du message, la date, la catégorie et la priorité attribuées et, s'il annonce un rendez-vous, sa date, son lieu et son titre. Nous tenons aussi des statistiques par expéditeur pour classer votre boîte de façon cohérente ;
• Segment commercial : particulier ou professionnel, pour appliquer le bon tarif et le bon régime de TVA ;
• Source d'inscription : la page du site depuis laquelle vous vous êtes inscrit, enregistrée une seule fois ;
• Adresse IP et user-agent : dans les journaux techniques et de sécurité (finalité : sécurité et prévention des abus ; base légale : intérêt légitime) ;
• Consentement RGPD : date et heure de votre acceptation des présentes conditions.

Nous n'utilisons jamais le contenu de vos e-mails à des fins commerciales, publicitaires ou de profilage. Leur analyse automatisée est réalisée sur nos serveurs et par notre prestataire d'IA Mistral AI, tous situés dans l'Union européenne (voir points 3 et 5).

3. Hébergement et souveraineté des données

4. Finalités et bases légales

5. Destinataires, sous-traitants et transferts

Infrastructure propre. Notre base de données (PostgreSQL) et notre moteur d'automatisation (n8n) tournent sur nos propres serveurs, situés en Allemagne (UE). Aucun tiers n'y a accès.

Sous-traitants (ils traitent des données pour notre compte, sous contrat conforme à l'article 28 RGPD) :

• Mistral AI (France) : analyse et classement de vos e-mails par intelligence artificielle. Reçoit, pour chaque e-mail analysé, l'expéditeur, l'objet et le contenu du message. Traitement dans l'Union européenne ; l'utilisation de nos données pour entraîner ses modèles est désactivée ;
• Microsoft Ireland Operations Limited (Irlande), service Microsoft 365 : envoi des e-mails de service et de vos rapports quotidiens et hebdomadaires depuis [email protected]. Reçoit votre adresse e-mail et le contenu du rapport (objets et priorités de vos e-mails) ;
• Stripe (Stripe Payments Europe Limited, Irlande) : paiements sécurisés, certifié PCI-DSS. Reçoit votre adresse e-mail et votre identifiant client ; vos données de carte ne transitent jamais par nos serveurs ;
• Cloudflare : résolution DNS de nos noms de domaine ; peut traiter l'adresse IP de votre résolveur DNS.

Votre fournisseur de messagerie (Google ou Microsoft). Google et Microsoft ne sont pas nos sous-traitants. Ils hébergent votre messagerie et votre agenda en vertu du contrat que vous, ou votre organisation, avez conclu avec eux, et traitent ces données sous leur propre responsabilité. MyCleark y accède par leurs API, uniquement avec votre autorisation et dans les limites décrites aux points 10 et 11 ; les modifications qu'il y apporte (rangement, catégories, libellés, événements d'agenda) sont enregistrées chez votre fournisseur.

• Google : les API sont fournies par Google LLC (États-Unis). Pour un compte Google personnel, le responsable du traitement pour l'Espace économique européen est Google Ireland Limited ; pour un compte Google Workspace, Google traite vos données pour le compte de votre organisation. Voir les règles de confidentialité de Google.
• Microsoft : l'API Microsoft Graph est fournie par Microsoft Corporation (États-Unis). Pour un compte Microsoft personnel (Outlook.com, Hotmail), les responsables du traitement sont Microsoft Corporation et, pour l'Espace économique européen, Microsoft Ireland Operations Limited ; pour un compte Microsoft 365 professionnel ou scolaire, Microsoft traite vos données pour le compte de votre organisation. Voir la déclaration de confidentialité de Microsoft.

Pour les données conservées par Google ou Microsoft, exercez vos droits auprès d'eux (ou, pour un compte professionnel, auprès de votre organisation) ; pour les données que MyCleark en tire, auprès de nous (point 7).

Si vous activez la transmission des rapports, les bilans des boîtes que vous choisissez sont aussi envoyés à l'adresse que vous avez désignée et confirmée ; vous pouvez la retirer à tout moment depuis votre tableau de bord.

Transferts hors de l'Union européenne. Stripe, Microsoft et Cloudflare appartiennent à des groupes établis aux États-Unis et peuvent y traiter des données. Ces transferts sont encadrés par la décision d'adéquation de la Commission européenne relative au cadre de protection des données UE-États-Unis (décision d'exécution (UE) 2023/1795) lorsque le destinataire y est certifié, et à défaut par les clauses contractuelles types de la Commission européenne (article 46 RGPD). Google LLC et Microsoft Corporation sont certifiés à ce cadre. Le lieu de stockage de votre messagerie chez Google ou Microsoft relève de leur responsabilité. Vous pouvez obtenir une copie des garanties applicables à [email protected].

6. Durée de conservation

• Données de compte : jusqu'à la suppression de votre compte ;
• Données de facturation : 7 ans (obligation comptable belge) ;
• Jetons OAuth : supprimés immédiatement à la clôture du compte ;
• Données de vos e-mails classés (expéditeur, objet, extrait, catégorie, rendez-vous) et statistiques par expéditeur : tant que la boîte est connectée ; supprimées lorsque vous la déconnectez ou supprimez votre compte ;
• Journaux d'exécution de l'automatisation, qui peuvent contenir le contenu des e-mails traités : 14 jours glissants ;
• Données transmises à Mistral AI : conservées par Mistral le temps du traitement et, au plus, pendant la durée prévue par ses conditions pour la prévention des abus, puis supprimées ; jamais utilisées pour entraîner ses modèles ;
• Journaux techniques et de sécurité (y compris les évènements de sécurité contenant l'adresse IP et le user-agent) : 90 jours glissants ;
• Historique d'essai gratuit : 3 ans après la fin de l'essai, y compris après suppression du compte (finalité : prévenir l'abus d'essais gratuits successifs, intérêt légitime) ;
• Historique des abonnements offerts : 3 ans, y compris après suppression du compte (finalité : preuve des gestes commerciaux consentis et justification comptable, intérêt légitime) ;
• Journal d'activité des administrateurs : 1 an (finalité : traçabilité des accès à vos données, sécurité, intérêt légitime).

7. Vos droits

Conformément au RGPD et à la loi belge du 30 juillet 2018 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, vous disposez des droits suivants :

• Droit d'accès (art. 15 RGPD) : obtenir une copie de vos données ;
• Droit de rectification (art. 16) : corriger des données inexactes ;
• Droit à la limitation (art. 18) : demander le gel temporaire de l'utilisation de vos données ;
• Droit à l'effacement (art. 17) : supprimer votre compte et toutes vos données ;
• Droit à la portabilité (art. 20) : recevoir vos données dans un format structuré ;
• Droit d'opposition (art. 21) : vous opposer à certains traitements ;
• Droit de retirer votre consentement à tout moment (sans effet sur les traitements antérieurs).

Pour exercer ces droits, utilisez le bouton « Supprimer mon compte » dans votre tableau de bord, ou contactez-nous à [email protected]. L'exercice de vos droits est gratuit. Écrivez-nous depuis l'adresse liée à votre compte ; nous ne demandons de justificatif d'identité qu'en cas de doute raisonnable. Nous répondons dans un délai d'un mois, prolongeable de deux mois pour une demande complexe, auquel cas nous vous en informons.

Les données de compte et l'accès à votre boîte sont nécessaires au contrat : sans eux, le service ne peut pas être fourni. Le classement de vos e-mails est automatisé, mais il ne produit aucun effet juridique ni effet significatif comparable au sens de l'article 22 RGPD : il range et signale vos e-mails, sans rien supprimer ni décider à votre place.

Vous avez également le droit d'introduire une réclamation auprès de l'Autorité de Protection des Données (APD) belge, ou de toute autorité de contrôle compétente dans votre État membre de résidence.

8. Cookies et traceurs

MyCleark ne dépose que des cookies nécessaires au fonctionnement du service. Aucun cookie publicitaire, aucun outil de mesure d'audience et aucun traceur tiers ne sont utilisés ; les polices de caractères sont hébergées par nos soins, sans appel à un service externe.

• Session d'authentification : vous maintenir connecté à votre compte.
• Sécurité des formulaires et des connexions OAuth : états temporaires de quelques minutes, qui empêchent qu'un tiers détourne une connexion en cours.
• Préférence de langue (locale) : déposé uniquement lorsque vous choisissez explicitement une langue sur le site, pour afficher le site dans cette langue ; conservée six mois.
• Source d'inscription (signup_src) : mémorise la page du site d'où vous venez lorsque vous lancez une inscription, pour savoir quelles pages amènent nos clients ; conservé dix minutes au plus et lu une seule fois à la création du compte.

Ces cookies étant strictement nécessaires au service que vous demandez, ou limités à la personnalisation de l'interface, leur dépôt ne requiert pas votre consentement préalable (article 5.3 de la directive 2002/58/CE). Vous pouvez les supprimer à tout moment depuis les réglages de votre navigateur ; supprimer le cookie de session vous déconnectera.

9. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour protéger vos données : chiffrement en transit (TLS 1.3), chiffrement au repos, accès restreint sur le principe du moindre privilège, jetons OAuth stockés chiffrés. En cas de violation de données susceptible d'engendrer un risque pour vos droits, vous en serez informé dans les délais prévus par l'article 34 RGPD.

10. Données issues des API Google (Limited Use)

L'utilisation par MyCleark des données reçues via les API Google respecte la Google API Services User Data Policy, y compris les exigences d'usage limité (Limited Use).

Les scopes OAuth Google utilisés et leurs finalités exclusives :

• gmail.modify : lire vos e-mails pour les classer par IA, appliquer des libellés de priorité et générer vos rapports quotidiens et hebdomadaires ;
• calendar.events.owned : créer automatiquement un événement dans un agenda dont vous êtes propriétaire lorsqu'un e-mail de rendez-vous est détecté, et vérifier que cet événement existe toujours.

Ces données :

• sont utilisées exclusivement pour vous fournir le service décrit ci-dessus, à titre personnel ;
• ne sont jamais utilisées pour développer, améliorer ou entraîner des modèles d'IA ou de machine learning généraux ou non personnalisés ;
• ne sont jamais vendues, ni cédées à des tiers à des fins publicitaires ou sans rapport avec le service ;
• ne sont jamais lues par des humains, sauf obligation légale, sécurité ou prévention de la fraude, avec votre consentement explicite.

Vous pouvez révoquer l'accès de MyCleark à votre compte Google à tout moment via myaccount.google.com/permissions.

11. Données issues des API Microsoft

Pour un compte Outlook.com, Hotmail ou Microsoft 365, MyCleark demande les autorisations suivantes, avec ces seules finalités :

• Mail.ReadWrite : lire vos e-mails pour les classer par IA, les ranger dans des dossiers, leur appliquer des catégories de priorité et générer vos rapports quotidiens et hebdomadaires. MyCleark n'envoie aucun e-mail depuis votre boîte et ne met à la corbeille que les e-mails que vous lui demandez explicitement de supprimer (option Espace) ;
• Calendars.ReadWrite : créer un événement dans votre calendrier lorsqu'un e-mail de rendez-vous est détecté, et vérifier que cet événement existe toujours. Cette autorisation donne techniquement accès à tout votre calendrier ; MyCleark ne lit pas vos autres événements ;
• openid, email, profile, offline_access : vous identifier et maintenir la connexion sans vous redemander votre mot de passe.

Ces données sont utilisées exclusivement pour vous fournir le service. Elles ne sont jamais utilisées pour entraîner des modèles d'IA généraux, jamais vendues ni cédées à des tiers à des fins publicitaires, et jamais lues par un humain, sauf obligation légale, ou pour la sécurité ou la prévention de la fraude avec votre accord explicite.

Vous pouvez déconnecter votre boîte depuis votre tableau de bord, ce qui supprime nos jetons d'accès, ou révoquer l'accès de MyCleark chez Microsoft : account.live.com/consent/Manage pour un compte personnel, myapps.microsoft.com pour un compte professionnel ou scolaire.

12. Personnes qui écrivent à nos utilisateurs

Si vous écrivez à un utilisateur de MyCleark, votre e-mail peut être analysé par notre service pour le compte de cet utilisateur, afin de le classer dans sa boîte. Nous traitons alors votre nom, votre adresse e-mail, l'objet et le contenu de votre message et, s'il annonce un rendez-vous, sa date, son lieu et son titre. Ces données proviennent de la boîte de notre utilisateur. Elles servent uniquement à organiser sa boîte ; elles ne sont ni utilisées à d'autres fins, ni vendues, ni utilisées pour entraîner des modèles d'IA, et sont conservées tant que la boîte de l'utilisateur est connectée à MyCleark. Nous ne vous en informons pas individuellement, ce qui exigerait des efforts disproportionnés (article 14.5.b RGPD) ; la présente section en tient lieu. Vous pouvez exercer vos droits à [email protected].

13. Contact

Pour toute question relative à cette politique ou à vos données personnelles :
[email protected]