Politique de confidentialité

1. Responsable du traitement

Kollabs est édité par la SAS KOLLABS, immatriculée sous le SIREN 109 683 706 (SIRET 109 683 706 00013), dont le siège est situé 15 boulevard du Stade, 13340 Rognac, France.

Pour toute question sur vos données ou pour exercer vos droits : contact@getkollabs.io.

2. Données que nous traitons

Votre compte — adresse email, nom, numéro de mobile (pour vous prévenir par SMS de ce que vous choisissez), mot de passe (jamais stocké en clair : seule une empreinte est conservée), et les informations de profil que vous renseignez.

Votre activité — partenariats, marques, contrats, livrables, factures, paiements et les documents que vous déposez.

Vos boîtes mail connectées — voir la section 3, qui les détaille séparément parce qu'elles méritent d'être lues.

Nous ne traitons aucune donnée sensible au sens de l'article 9 du RGPD, et le service n'est pas destiné aux mineurs de moins de 15 ans.

3. Accès à vos boîtes mail

Connecter une boîte mail est facultatif : le service fonctionne sans. Si vous le faites, vous nous accordez, par OAuth et jusqu'à révocation, les autorisations suivantes.

Gmail — gmail.readonly (lire vos messages), gmail.send (envoyer une réponse en votre nom), openid et email (connaître l'adresse connectée).

Outlook / Microsoft 365 — Mail.Read (lire vos messages), Mail.Send (envoyer une réponse en votre nom), offline_access (garder l'accès sans vous le redemander), openid, email, profile et User.Read (connaître l'adresse connectée). Se connecter à Kollabs avec Microsoft ne demande que openid, email, profile et User.Read.

Ce que nous conservons. Des messages identifiés comme liés à un partenariat, nous enregistrons : expéditeur, destinataires, copie, objet, date, identifiants techniques du message et du fil, un aperçu et le texte du corps. Des pièces jointes, nous n'enregistrons que les documents PDF d'un email de partenariat, conservés comme brief du dossier, et celles que vous rattachez vous-même à un dossier.

Ce que nous ne faisons jamais. Nous ne supprimons, ne modifions et ne déplaçons aucun message dans votre boîte — les autorisations demandées ne le permettent pas. Nous n'envoyons un message que sur votre action explicite. Nous ne lisons pas votre boîte pour un autre motif que les fonctionnalités décrites ici.

Vous gardez la main. Vous pouvez déconnecter une boîte depuis vos réglages à tout moment : les jetons sont détruits immédiatement. Vous pouvez aussi révoquer l'accès directement chez votre fournisseur, sur la page des autorisations de votre compte Google ou Microsoft.

4. Usage limité des données Google (Limited Use)

L'usage que Kollabs fait des informations reçues des API Google respecte la Google API Services User Data Policy, y compris ses exigences d'usage limité. Concrètement :

• ces données ne servent qu'à fournir les fonctionnalités visibles décrites ici ;
• elles ne sont ni vendues, ni louées, ni transmises à des fins publicitaires ;
• elles ne servent pas à entraîner des modèles d'intelligence artificielle généralisés, et nos prestataires de modèles n'ont pas le droit de les réutiliser pour leur propre entraînement ;
• aucun humain ne les lit, sauf avec votre accord exprès, pour répondre à une demande de support que vous avez ouverte, pour des raisons de sécurité — enquête sur un abus ou une faille — ou lorsque la loi nous y oblige.

Avec qui nous partageons vos données Google

Les données issues de votre compte Google ne sont communiquées qu'aux prestataires ci-dessous, chacun limité à ce que sa fonction exige et tenu par contrat de ne pas les utiliser pour son propre compte :

• OVHcloud (France) — héberge le serveur de Kollabs, par lequel vos messages transitent lorsqu'ils sont lus.
• Supabase (Union européenne) — stocke les messages rattachés à un partenariat, les briefs et contrats extraits de vos emails, et votre adresse Gmail connectée.
• Anthropic (États-Unis) — reçoit l'objet, l'aperçu et des extraits du corps des messages, ainsi que le texte des briefs et contrats, pour les traitements décrits en section 6. Anthropic ne les utilise pas pour entraîner ses modèles.
• Resend (États-Unis) — achemine les notifications que nous vous envoyons par email, qui peuvent contenir le nom de la marque et l'objet de l'email concerné. Ces notifications ne sont adressées qu'à vous.

Les réponses que vous choisissez d'envoyer depuis Kollabs sont remises à Google, qui les expédie depuis votre boîte à leurs destinataires. En dehors de ces cas, nous ne partageons, ne transférons et ne divulguons vos données Google à personne — ni annonceur, ni courtier en données, ni aucun autre tiers — sauf si la loi nous y oblige.

5. Pourquoi, et sur quel fondement

• Fournir le service — compte, partenariats, contrats, facturation : exécution du contrat qui nous lie.
• Lire et envoyer vos emails — votre consentement, donné au moment de la connexion OAuth et retirable à tout instant.
• Analyser vos emails par IA — votre consentement, dans la continuité du précédent (section 6).
• Sécurité et prévention des abus — notre intérêt légitime à protéger le service et ses utilisateurs.
• Obligations comptables et fiscales — obligation légale.

6. Traitements par intelligence artificielle

Kollabs utilise les modèles Claude d'Anthropic pour reconnaître les emails de partenariat, résumer une négociation, proposer un brouillon de réponse et extraire les éléments d'un contrat ou d'un brief.

Le contenu transmis se limite à ce que la fonctionnalité exige : objet, aperçu et extraits du corps du message concerné. Les données envoyées via l'API d'Anthropic ne sont pas utilisées pour entraîner ses modèles. Aucune décision produisant un effet juridique n'est prise automatiquement : les suggestions du modèle vous sont présentées, et rien n'est envoyé sans votre validation.

7. Sous-traitants et hébergement

• OVHcloud — hébergement de l'application, sur un serveur situé à Strasbourg (France)
• Supabase — base de données et stockage des contrats, briefs et images de profil, en région européenne (Stockholm, Suède)
• Cloudflare R2 — stockage des fichiers que vous transférez à une marque
• Anthropic — traitements décrits en section 6 (États-Unis)
• Resend — envoi des emails du service (notifications, réinitialisation de mot de passe)
• Stripe — abonnements et paiements ; vos coordonnées bancaires ne transitent jamais par nos serveurs
• Google, Microsoft — les fournisseurs des boîtes mail que vous connectez

Les transferts hors Union européenne s'appuient sur les clauses contractuelles types de la Commission européenne, ou sur le Data Privacy Framework lorsque le prestataire y adhère.

Pour les données de tiers que vous gérez dans Kollabs (les marques et leurs contacts), nous agissons comme sous-traitant : nos engagements sont précisés dans l'accord de traitement des données.

8. Combien de temps

Tant que votre compte existe — compte, partenariats, contrats, messages rattachés à un dossier.

Jusqu'à déconnexion — les jetons d'accès à vos boîtes mail, détruits dès que vous déconnectez la boîte ou que vous révoquez l'accès chez votre fournisseur.

À la suppression du compte — vos données sont effacées de la base, et les fichiers correspondants supprimés des stockages Supabase et Cloudflare R2. Restent les documents que la loi nous oblige à garder : factures et pièces comptables, conservées dix ans conformément à l'article L. 123-22 du code de commerce.

Journaux techniques — les journaux du serveur, qui enregistrent les erreurs et les accès sans contenu de message, sont conservés trente jours puis écrasés.

9. Sécurité

• Les jetons d'accès à vos boîtes mail sont chiffrés au repos en AES-256-GCM ; la clé ne se trouve pas dans la base.
• Les mots de passe ne sont jamais stockés en clair.
• Tous les échanges avec le service passent par HTTPS, imposé par HSTS.
• Les contrats sont servis par une route qui vérifie la session et la propriété du dossier, jamais par une adresse publique.
• L'accès aux serveurs de production est restreint et tracé.

Aucun dispositif n'est infaillible. En cas de violation de données susceptible d'engendrer un risque pour vos droits, nous notifierons la CNIL dans les 72 heures et vous informerons lorsque le risque est élevé.

10. Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de retirer votre consentement à tout moment — retrait qui ne remet pas en cause ce qui a été fait avant.

Écrivez-nous à contact@getkollabs.io. Nous répondons sous un mois. Vous pouvez également demander la suppression de votre compte depuis vos réglages (Paramètres, Mon compte) : l'effacement décrit en section 8 a lieu dans un délai d'un mois, et vous pouvez annuler la demande d'ici là.

Si notre réponse ne vous satisfait pas, vous pouvez saisir la CNIL — 3 place de Fontenoy, 75007 Paris, www.cnil.fr.

11. Cookies

Kollabs ne dépose aucun cookie publicitaire, aucun traceur tiers, et ne mesure pas son audience. Les seuls cookies déposés sont les suivants, tous émis par Kollabs lui-même :

• kollabs_session (__Host-kollabs_session sur le site en ligne) — vous garde connecté d'une page à l'autre (trente jours au plus). Sans lui, le service ne fonctionne pas.
• mail_oauth_nonce, mail_oauth_purpose et mail_oauth_return — déposés dix minutes au plus le temps de vous connecter avec Google ou de brancher une boîte mail, pour protéger l'opération et vous ramener à la page d'où vous êtes parti. Ils disparaissent aussitôt après.
• kollabs_2fa — déposé cinq minutes au plus entre votre mot de passe (ou Google) et le code de double authentification, quand vous l'avez activée. Il disparaît dès la connexion faite.
• kollabs_demo — réservé à l'équipe Kollabs, pour afficher le compte de démonstration. Il n'est jamais déposé chez les autres utilisateurs.
• kollabs_ref — déposé uniquement lorsque le programme de parrainage est ouvert, et seulement si vous arrivez par un lien de parrainage valide, pour rattacher votre inscription à la personne qui vous a recommandé le service. Le programme n'étant pas ouvert à ce jour, ce cookie n'est actuellement jamais déposé. Le cas échéant, il vit quatre-vingt-dix jours et ne sert à rien d'autre : il ne suit pas votre navigation et n'est partagé avec personne.

12. Modifications

Toute modification de cette politique sera publiée sur cette page, avec une date de mise à jour. Un changement touchant aux données de vos boîtes mail vous sera signalé directement.