Politique de confidentialité

Cette politique décrit le site public et le fonctionnement de Veylien en bêta privée. Le site ne permet actuellement ni inscription publique ni connexion à une boîte email. Les informations ci-dessous sur les emails concernent les personnes auxquelles l’accès à l’application est accordé.

1. Le site public et le contact

Le site veylien.fr présente Veylien. Il est hébergé par Netlify, séparément de l’application. Le site ne contient pas de formulaire d’inscription, de paiement ou de connexion Google ou Microsoft.

Aucun outil de publicité ou de suivi d’audience n’est intégré dans le code de ce site. Les pages n’utilisent ni cookie ni stockage local, et les polices et images sont servies par le site lui-même. L’hébergeur reçoit les données techniques nécessaires à la livraison des pages, notamment les requêtes réseau.

Si vous écrivez à contact@veylien.fr, votre adresse et le contenu de votre message servent à traiter votre demande et à vous répondre. Évitez de joindre des emails privés, des mots de passe ou des jetons d’accès.

2. Les données traitées par l’application

Veylien aide à organiser les messages de vos boîtes connectées : boîte orientée action, priorités expliquées, résumés, réponses préparées, rappels choisis par vous et notifications selon vos préférences. Le fournisseur de messagerie conserve les emails d’origine.

• Compte et sécurité : adresse email, nom, langue, fuseau horaire, préférences, mot de passe haché, sessions, tentatives de connexion et traces d’activité. Les journaux de l’application sont conçus pour exclure les corps, objets et extraits d’emails ainsi que les secrets.
• Boîtes connectées : fournisseur, adresse de la boîte, autorisations, jetons OAuth d’accès et de renouvellement chiffrés, état et curseurs de synchronisation.
• Emails : adresses d’expéditeur et de destinataires, dates et identifiants techniques ; objets, extraits et noms d’expéditeurs chiffrés ; corps texte et HTML dans un cache chiffré temporaire. Les pièces jointes ne sont pas importées comme fichiers : leurs métadonnées, telles que le nom, le type et la taille, sont traitées.
• Données dérivées : catégories, scores et motifs de priorité, signaux de risque, résumés, actions et échéances suggérées, brouillons, état des conversations, rappels et statistiques minimales des échanges avec vos contacts.
• Personnalisation : règles, contacts prioritaires, connaissances et profil d’écriture que vous choisissez d’utiliser, corrections et préférences de notification.
• Notifications : jeton ou abonnement de votre appareil, préférences, historique des notifications et références permettant d’ouvrir le message concerné dans l’application.

Ces données servent au fonctionnement des fonctionnalités de Veylien, à la sécurité et au suivi technique du service. Les mesures de qualité et de consommation reposent sur des événements techniques sans copie des corps d’emails. Veylien n’entraîne aucun modèle avec les emails des utilisateurs.

Le cadre prévu distingue la gestion des données du compte, sous la responsabilité de l’éditeur, et le traitement des emails professionnels pour le compte de l’utilisateur ou de son organisation. Il repose sur l’exécution du service pour ses fonctionnalités et sur l’intérêt légitime pour sa sécurité et les mesures de qualité sans contenu. Ces qualifications et les accords de traitement doivent être confirmés juridiquement avant l’ouverture du service.

3. Gmail et les données utilisateur Google

Accès. La connexion d’une boîte Gmail ou Google Workspace passe par l’écran de consentement de Google, avec OAuth et PKCE. Vous accordez les autorisations de lecture gmail.readonly et de préparation et d’envoi de brouillons gmail.compose. Veylien ne reçoit pas le mot de passe de votre compte Google. La connexion permet aussi de renouveler l’accès pour synchroniser la boîte lorsque vous ne consultez pas l’application.

Utilisation. Veylien lit les messages nécessaires à la synchronisation, leurs adresses, objets, dates, contenus et métadonnées pour afficher votre boîte, expliquer les priorités, résumer les messages, préparer des réponses et suivre les rappels que vous choisissez. L’import initial est borné : 14 jours et 400 messages par défaut dans la configuration du produit. Une réponse envoyée depuis Veylien est transmise à Gmail après votre validation. Le service ne supprime pas les emails d’origine de Gmail.

Stockage. Les copies et données dérivées nécessaires au service sont conservées dans sa base selon les durées décrites ci-dessous. Les contenus sensibles et les jetons OAuth sont chiffrés dans l’application. Certaines métadonnées, notamment les adresses et dates, restent nécessaires au tri et à la synchronisation et ne sont pas chiffrées champ par champ.

Partage. Les données utilisateur Google peuvent être traitées par Scaleway pour l’hébergement de l’application et de la base ; par Mistral pour l’analyse et la préparation de réponses à partir d’un contexte limité ; et par les services de notification selon vos réglages. Google Pub/Sub transporte les avis de changement de Gmail, contenant l’adresse de la boîte et un identifiant d’historique, sans le corps de l’email. Les données nécessaires à l’envoi d’une réponse sont retransmises à Gmail. Les rôles de ces prestataires sont détaillés dans cette page.

Utilisation limitée. Les données utilisateur Google, y compris les données qui en sont dérivées, sont utilisées uniquement pour fournir les fonctionnalités de Veylien décrites ici et visibles dans l’application. Elles ne sont ni vendues, ni utilisées pour la publicité, ni utilisées par Veylien pour entraîner des modèles. Leur transmission aux prestataires techniques sert à fournir ces fonctionnalités. La console d’administration et l’accès support du produit exposent des métadonnées, sans écran de lecture du contenu de vos emails. La Google API Services User Data Policy, notamment ses exigences d’utilisation limitée, constitue le cadre applicable à ces accès. Cette page ne vaut pas validation de l’application par Google.

4. Outlook et Microsoft Graph

Les comptes Outlook.com et Microsoft 365 sont connectés avec OAuth et PKCE auprès de Microsoft. Les autorisations demandées sont offline_access, User.Read, Mail.ReadWrite et Mail.Send : identification du compte, renouvellement de l’accès, lecture des messages, préparation de brouillons et envoi validé par vous. Le mot de passe Microsoft n’est pas transmis à Veylien.

Microsoft Graph permet la synchronisation de la boîte de réception et des éléments envoyés. Des abonnements aux changements signalent les nouveaux messages au service. Les copies, analyses et jetons sont traités selon les mêmes principes de stockage et de conservation que pour Gmail. L’application n’utilise pas l’autorisation étendue Mail.ReadWrite pour supprimer vos emails d’origine.

5. Mistral et l’intelligence artificielle

Veylien utilise l’API de Mistral via son endpoint européen api.eu.mistral.ai. Pour une analyse ou une réponse préparée, le contexte transmis peut contenir l’objet, un texte limité de l’email, l’expéditeur, l’adresse de la boîte et, selon la tâche, des extraits récents du fil, des connaissances sélectionnées et votre profil d’écriture. Les textes principaux sont tronqués à 8 000 caractères dans les traitements audités. Les fichiers joints ne sont pas envoyés au modèle ; leurs métadonnées peuvent faire partie du contexte. Les jetons OAuth et les mots de passe ne sont pas transmis à Mistral.

Le réglage autorisant l’utilisation des appels API pour entraîner les modèles Mistral est désactivé, comme le rapporte la vérification du propriétaire du 6 octobre 2026. Ce réglage concerne l’entraînement : il ne garantit pas une absence de conservation des requêtes et réponses chez Mistral. Cette durée reste à obtenir dans le cadre contractuel du fournisseur. Les métadonnées de gestion du compte Mistral peuvent être traitées hors de la région d’inférence.

L’IA propose des analyses et des brouillons qui peuvent comporter des erreurs. Elle ne dispose pas d’un accès direct aux API Gmail ou Microsoft. Vous pouvez corriger les priorités et relire les réponses préparées. Aucun envoi automatique n’est activé par défaut. Les rappels dépendent de vos choix ; les suggestions ne constituent pas un avis juridique, médical ou financier.

6. Hébergement et notifications

• Scaleway : l’infrastructure actuelle de la bêta est configurée en région Paris (fr-par) pour l’application, la base PostgreSQL, les sauvegardes, les secrets et la gestion des clés. Les contenus sont chiffrés dans l’application avec des clés propres à chaque espace ; les adresses et autres métadonnées nécessaires restent traitées par le service.
• Google Pub/Sub : achemine les avis de changement Gmail, utilisés pour déclencher une synchronisation. Un avis contient une adresse de boîte et un identifiant technique, pas le contenu du message.
• Firebase Cloud Messaging (FCM) : achemine les notifications mobiles avec le jeton de l’appareil, un titre, un texte et des références vers l’application. Par défaut, le texte ne révèle pas de contenu d’email. Si vous activez les aperçus, certaines notifications peuvent inclure l’adresse de l’expéditeur et un motif de priorité. La configuration d’expiration transmise à FCM est de 1 heure pour une notification urgente et 12 heures pour les autres ; ce délai de livraison n’est pas une durée générale de conservation chez Google.
• Notifications web et Apple : le code prévoit Web Push et APNs selon les appareils et les canaux activés. Web Push chiffre la charge transmise au service du navigateur. L’activation effective dépend de la configuration du canal ; la documentation ne confirme pas une ouverture publique iOS.
• Netlify : héberge ce site public statique, séparément des données de boîtes email conservées par l’application.

Les fournisseurs de messagerie et de notifications peuvent traiter des données dans plusieurs pays. L’endpoint européen de Mistral et la région Scaleway ne constituent pas une garantie que toutes les données et métadonnées de tous les prestataires restent en France ou dans l’Union européenne. Les accords contractuels et les mécanismes applicables à ces transferts restent à confirmer avant l’ouverture du service.

7. Durées de conservation

Les durées suivantes proviennent des réglages et mécanismes du produit. Les préférences de votre espace peuvent modifier les deux premières. La purge est programmée toutes les heures : une expiration entraîne la suppression au prochain passage réussi, et non nécessairement à la seconde exacte.

Ces durées décrivent les données conservées par l’application. Elles ne déterminent pas la conservation des requêtes, des journaux ou des métadonnées par chaque prestataire.

8. Suppression et retrait des autorisations

Déconnecter une boîte dans l’application la rend inactive et déclenche une purge asynchrone : arrêt des abonnements de synchronisation, suppression des jetons et des données liées à cette boîte, dont ses messages, analyses, caches, fils, brouillons et rappels. Les données de personnalisation au niveau de l’espace, notamment certains contacts et règles, restent jusqu’à leur modification ou à la suppression du compte. Cette opération ne supprime pas les emails d’origine chez Google ou Microsoft.

Pour Gmail, Veylien tente aussi de révoquer l’autorisation auprès de Google. Vous pouvez retirer l’accès depuis les applications connectées de votre compte Google. Pour Microsoft, les jetons sont supprimés côté Veylien ; l’application ne peut pas révoquer elle-même le consentement délégué. Vous pouvez également le retirer dans les autorisations de votre compte Microsoft.

La suppression du compte verrouille immédiatement l’accès et révoque les sessions, puis une tâche purge les boîtes et les données du compte. Le mécanisme détruit les clés propres à l’espace afin de rendre ses contenus chiffrés illisibles, y compris dans les sauvegardes. Les métadonnées non chiffrées dans une ancienne sauvegarde restent soumises à l’expiration de celle-ci. Des traces d’audit pseudonymisées et des agrégats techniques peuvent subsister selon leurs durées de conservation. Le délai de la purge dépend du bon fonctionnement du service ; aucune suppression instantanée chez tous les prestataires n’est annoncée.

9. Vos droits et vos choix

Vous pouvez demander l’accès, la rectification, l’effacement, la limitation et la portabilité de vos données, ainsi que vous opposer aux traitements pour lesquels ce droit s’applique. Dans l’application, les paramètres permettent notamment d’ajuster la conservation, de déconnecter une boîte, d’exporter en JSON les données couvertes par l’outil et de demander la suppression du compte. Vous contrôlez les notifications et leurs aperçus.

Pour exercer vos droits ou poser une question sur ces traitements, écrivez à contact@veylien.fr. Une vérification d’identité proportionnée peut être nécessaire. La procédure documentée prévoit une réponse sous un mois, avec information en cas de prolongation légalement permise. Vous pouvez également adresser une réclamation à la CNIL.

Si vous correspondez avec une personne qui utilise Veylien dans un cadre professionnel, vous pouvez contacter cette personne ou son organisation pour les données de ses emails. Veylien peut l’assister pour traiter la demande sans révéler l’existence d’un compte à un tiers non vérifié.

10. Éléments à préciser avant l’ouverture du service

L’identité juridique et l’adresse de l’éditeur ne sont pas encore renseignées de façon définitive dans la documentation. Elles doivent être complétées, avec les bases légales, les accords de traitement, les garanties de transfert et les durées encore manquantes : correspondance de contact, journaux d’hébergement et conservation des requêtes par Mistral. Cette politique décrit les informations actuellement établies ; elle ne constitue ni une certification de conformité ni une validation juridique. Toute évolution des traitements devra être annoncée et cette page mise à jour.

Consultez aussi les conditions d’utilisation ou la page de contact.