Politique de confidentialité

1) Champ d’application

Cette Politique s’applique à l’app/plateforme permettant de trier vos emails, générer des brouillons et convertir les fils en tâches.

2) Rôles RGPD

• Comptes individuels (freemium/pro) : Responsable de traitement = Morpheus Agency.
• Comptes d’organisation (équipes) : Responsable = le Client ; Sous-traitant = Morpheus Agency (DPA art. 28 RGPD en Annexe).

Nous restons RT pour les traitements « produit » (sécurité, facturation, support, amélioration).

3) Données traitées

• Identité/compte : nom, email Google/Microsoft, SSO, avatar, préférences.
• Messagerie (Gmail/Outlook) : contenu des emails, métadonnées, pièces jointes, alias, boîtes partagées.
• Intégrations : Slack, WhatsApp, Drive/SharePoint, Calendrier, Notion, SMS, webhooks (si activés).
• Télémétrie / logs / support : événements d’usage, erreurs, IP, tickets.
• Paiement : facturation/abonnement via Stripe (nous ne stockons pas les données carte).

4) Finalités & bases légales

• Fourniture du service (tri, brouillons, tâches, orchestration) — exécution du contrat.
• Sécurité/anti-abus, continuité — intérêt légitime.
• Facturation/obligations légales — obligation légale.
• Mesure d’audience (landing) — consentement si non exemptée.
• Communications produit — intérêt légitime ; marketing — consentement.

5) Accès APIs Google — Limited Use

Nous respectons la Google API Services User Data Policy (Limited Use) : usage strictement limité aux fonctionnalités (tri, brouillons, tâches), aucune vente, aucune publicité ciblée, pas d’accès humain au contenu sauf cas limités (sécurité, conformité, assistance sur demande, loi), partage uniquement avec des sous-traitants nécessaires sous DPA/SCC.

Scopes & justification

• Gmail : Read, compose, send, and permanently delete.
  → lire/classer, générer des brouillons, et exécuter uniquement sur validation explicite des actions (envoi, archivage/suppression, suppression permanente lors d’un « clean » déclenché par l’utilisateur).
• Profil Google : associer/voir infos de profil + email principal → authentification & liaison de compte.

Par défaut, aucune action n’est exécutée sans validation humaine. (Pas d’envoi automatique à ce stade.)

6) Traitements IA

• Classifieur d’emails : entraînement local uniquement.
• LLM : Mistral (UE) pour proposer des réponses/to-dos ; pseudonymisation quand possible ; exclusion d’entraînement externe.

7) Conservation & suppression

• Miroir tant que le compte est actif et l’accès OAuth valide.
• Suppression du compte : effacement immédiat en prod ; purge des sauvegardes ≤ 14 jours ; logs ≤ 14 jours.
• Export (EML/JSON/CSV) disponible avant clôture.
• Révocation OAuth automatique à la clôture et possible à tout moment.

8) Destinataires / sous-traitants

Voir Liste des sous-traitants ci-après (AWS, Vercel, Railway, PostHog, Resend, Stripe, Sentry, Mistral, etc.).

• PostHog Cloud EU disponible ; config privacy & EU cloud documentées. posthog.com+1
• Resend propose un DPA incluant les SCC 2021/914 ; nous l’encadrons en tant que processeur email transactionnel. resend.com
• Sentry offre EU data residency (Frankfurt) ; nous créons l’organisation en région UE. docs.sentry.io+1
• Railway : DPA disponible ; transferts ex-EEA possibles selon la configuration → SCC + EU-region configurée. Railway

9) Transferts hors UE

Politique EU-only par défaut. Si un transfert est nécessaire (p. ex. prestataire non-UE), nous appliquons les SCC + mesures additionnelles (pseudonymisation, chiffrement). European Commission

10) Sécurité

Chiffrement TLS en transit et au repos ; MFA obligatoire ; moindre privilège ; revue trimestrielle des habilitations ; journalisation d’administration ; pentest annuel (tiers) ; SAST/DAST/SCA continus ; sauvegardes chiffrées & tests de restauration ; plan de réponse à incident (notification ≤ 72h si nécessaire).

Accès internes : RBAC, JIT access, secrets via AWS Secrets Manager, séparation dev/staging/prod (pas de données réelles hors prod).

11) Vos droits

Accès, rectification, effacement, limitation, portabilité, opposition ; directives post-mortem.

Exercice : contact@morpheus.agency (réponse ≤ 1 mois). Réclamation : CNIL.

12) Cookies

Landing : bannière de consentement si analytics non exemptés. App : cookies strictement nécessaires ; autres sur consentement.

PostHog est configuré en EU Cloud et avec contrôles privacy (capping, cookieless si souhaité).