Politique de confidentialité

Le service Keloua (l’« Application ») est édité par KELOUA, société par actions simplifiée (SAS) au capital de 500 euros, dont le siège social est situé 7, lotissement Judick Mariema, 97300 Cayenne (Guyane française), immatriculée au Registre du Commerce et des Sociétés de Cayenne sous le numéro 843 139 056(SIRET 843 139 056 00017). Contact : sekolatidine@hotmail.com.

• Compte et organisation : nom, adresse e-mail, rôle, espace de travail, données de facturation.
• Documents et contenus que vous importez ou que l’Application analyse pour produire des affaires, tâches et réponses.
• Données de messagerie issues des boîtes mail que vous connectez volontairement (voir §3).
• Journaux techniques nécessaires au fonctionnement, à la sécurité et au support.

Lorsque vous connectez une boîte Gmail, l’Application demande l’autorisation Google « Lecture seule de Gmail » (https://www.googleapis.com/auth/gmail.readonly) via le protocole OAuth 2.0. Vous accordez explicitement cet accès et pouvez le révoquer à tout moment.

Finalité. Cet accès sert uniquement à lire le contenu des e-mails afin d’en extraire des éléments actionnables (propositions de tâches, mises à jour d’affaires) que vous validez. Aucun autre usage n’en est fait.

Stockage. Nous ne conservons pas de copie intégrale de votre boîte. Nous stockons : un jeton de rafraîchissement chiffré (AES) par boîte connectée ; et les signaux et propositions dérivés du tri des messages (objet, extrait, métadonnées de provenance), strictement pour la fonctionnalité d’ingestion.

Suppression. Déconnecter une boîte supprime immédiatement la connexion et son jeton chiffré, ainsi que les signaux et règles de captation associés (suppression en cascade).

Données brutes et données agrégées.

• Données brutes accédées : en-têtes (expéditeur, destinataires, date, objet) et corps des e-mails des boîtes connectées, pièces jointes textuelles. Elles sont lues à la volée pour le tri et ne sont pas stockées intégralement.
• Données dérivées stockées : signaux de tri (objet, extrait court, identifiant du message, date), propositions de tâches ou de mises à jour d’affaires soumises à votre validation.
• Données agrégées / anonymisées : compteurs techniques (nombre de messages balayés, retenus, écartés) utilisés uniquement pour le suivi de la fonctionnalité et le support. Elles ne contiennent aucun contenu de message.

Ce que nous ne faisons jamais avec les données Gmail : pas d’envoi, de modification ni de suppression d’e-mails (accès strictement en lecture seule) ; pas de publicité ni de profilage commercial ; pas de vente, de location ni de transfert à des courtiers en données ; pas d’utilisation pour entraîner des modèles d’intelligence artificielle (voir §5).

L’usage par Keloua des informations reçues des API Google respecte la Google API Services User Data Policy, y compris ses exigences « Limited Use ». En particulier : nous n’utilisons les données Gmail que pour fournir ou améliorer des fonctionnalités visibles par l’utilisateur ; nous ne vendons pas ces données ; nous ne les utilisons pas à des fins publicitaires ; aucun humain ne les lit, sauf avec votre consentement explicite, pour la sécurité (ex. enquête sur un abus), pour nous conformer à la loi, ou lorsque les données sont agrégées et anonymisées à des fins de support interne.

Déclaration de conformité (Limited Use Compliance Statement). Keloua’s use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. The use of raw or derived user data received from Workspace APIs (Gmail) will adhere to the Google User Data Policy, including the Limited Use requirements; such data is not used to develop, improve, or train generalized AI/ML models.

Pour fournir le service, certains contenus peuvent être traités par des sous-traitants techniques, uniquement dans le cadre des finalités ci-dessus :

• Hébergement : OVHcloud (datacentres en France) — infrastructure et base de données.
• Traitement par IA : Anthropic (Claude) et OpenAI (embeddings), ou — si votre organisation a choisi l’option souveraine — Mistral AI (modèles et embeddings, Union européenne), traitent le contenu que vous soumettez, y compris les extraits d’e-mails Gmail nécessaires au tri, pour produire les propositions, synthèses et réponses. Ces prestataires agissent comme sous-traitants (encadrés par leurs Data Processing Addendum et les Clauses Contractuelles Types de l’UE) et, via leur API commerciale, n’utilisent pas les données transmises pour entraîner leurs modèles (engagement contractuel « zero data retention for training » de leurs conditions d’API). Anthropic supprime automatiquement les requêtes et réponses sous 30 jours (conservation jusqu’à 2 ans uniquement si un échange est signalé par ses systèmes comme violant sa politique d’usage) ; OpenAI applique une rétention maximale de 30 jours à des fins de détection d’abus, puis suppression ; Mistral AI n’entraîne pas ses modèles sur les données de son API payante. Les serveurs d’Anthropic et d’OpenAI sont situés aux États-Unis, ceux de Mistral AI dans l’Union européenne. Keloua n’entraîne aucun modèle d’IA, ni générique ni personnalisé, sur les données Google des utilisateurs.
• Paiement : Stripe — facturation des abonnements.

Nous ne vendons ni ne louons vos données personnelles.

Les secrets de connexion (jetons OAuth, mots de passe de messagerie) sont chiffrés au repos (AES). L’accès aux données est restreint par organisation et par rôle. Les échanges transitent en HTTPS.

Les données sont conservées le temps nécessaire à la fourniture du service, puis supprimées ou anonymisées. Vous pouvez demander la suppression de votre compte et des données associées.

• Contenu brut des e-mails Gmail : non stocké (lecture à la volée).
• Jeton OAuth Gmail (chiffré) : conservé tant que la boîte est connectée ; supprimé immédiatement à la déconnexion ou à la révocation depuis votre compte Google.
• Signaux d’ingestion écartés : rétention bornée, par défaut 90 jours (paramétrable par boîte), puis suppression automatique.
• Propositions validées (tâches, mises à jour d’affaires) : conservées comme données de votre organisation jusqu’à leur suppression par vos soins ou celle de l’organisation.
• Suppression de l’organisation : efface l’ensemble des données associées (comptes, boîtes connectées, documents, affaires, tâches, signaux) ; seuls des journaux d’audit anonymisés de l’action de suppression sont conservés.

Conformément au RGPD, vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Pour les exercer, écrivez à sekolatidine@hotmail.com. Vous pouvez aussi introduire une réclamation auprès de la CNIL.

Cette politique peut être mise à jour ; la date de dernière mise à jour figure en haut de page. En cas de changement substantiel, nous en informerons les utilisateurs concernés.