Politique de confidentialité

1. Responsable du traitement

Kollabs est édité par la SAS KOLLABS, immatriculée sous le SIREN 109 683 706 (SIRET 109 683 706 00013), dont le siège est situé 15 boulevard du Stade, 13340 Rognac, France.

Pour toute question sur vos données ou pour exercer vos droits : contact@getkollabs.io.

2. Données que nous traitons

Votre compte — adresse email, nom, numéro de mobile si vous le renseignez, mot de passe (jamais stocké en clair : seule une empreinte est conservée), et les informations de profil que vous renseignez.

Votre activité — partenariats, marques, contrats, livrables, factures, paiements et les documents que vous déposez, dont votre kit média et votre RIB si vous les ajoutez.

La personne qui signe pour une marque : lorsqu'un créateur envoie à une marque un lien de signature Kollabs, nous traitons les données de la personne qui signe le contrat en ligne : le nom et la fonction qu'elle saisit, l'adresse email du contact de la marque à laquelle le code de confirmation est envoyé, la date et l'heure de la signature, son adresse IP, son navigateur, la signature apposée et les empreintes du document. Elles servent uniquement à prouver la signature : elles figurent dans le dossier de preuve ajouté au contrat signé, remis aux deux parties, et dans le registre de signatures du compte du créateur. Il s'agit d'une signature électronique simple.

Vos boîtes mail connectées — voir la section 3, qui les détaille séparément parce qu'elles méritent d'être lues.

Nous ne traitons aucune donnée sensible au sens de l'article 9 du RGPD, et le service n'est pas destiné aux mineurs de moins de 15 ans.

3. Accès à vos boîtes mail

Connecter une boîte mail est facultatif : le service fonctionne sans. Si vous le faites, vous nous accordez, par OAuth et jusqu'à révocation, les autorisations suivantes.

Gmail — gmail.readonly (lire vos messages), gmail.send (envoyer une réponse en votre nom), openid et email (connaître l'adresse connectée).

Outlook / Microsoft 365 — Mail.Read (lire vos messages), Mail.Send (envoyer une réponse en votre nom), offline_access (garder l'accès sans vous le redemander), openid, email, profile et User.Read (connaître l'adresse connectée). Se connecter à Kollabs avec Microsoft ne demande que openid, email, profile et User.Read.

Ce que nous conservons. Des messages identifiés comme liés à un partenariat, nous enregistrons : expéditeur, destinataires, copie, objet, date, identifiants techniques du message et du fil, un aperçu et le texte du corps. Des pièces jointes, nous n'enregistrons que les documents PDF d'un email de partenariat, conservés comme brief du dossier, et celles que vous rattachez vous-même à un dossier.

Ce que nous ne faisons jamais. Nous ne supprimons, ne modifions et ne déplaçons aucun message dans votre boîte — les autorisations demandées ne le permettent pas. Nous n'envoyons un message que sur votre action explicite. Nous ne lisons pas votre boîte pour un autre motif que les fonctionnalités décrites ici.

Vous gardez la main. Vous pouvez déconnecter une boîte depuis vos réglages à tout moment : les jetons sont détruits immédiatement. Vous pouvez aussi révoquer l'accès directement chez votre fournisseur, sur la page des autorisations de votre compte Google ou Microsoft.

4. Usage limité des données Google (Limited Use)

L'usage que Kollabs fait des informations reçues des API Google respecte la Google API Services User Data Policy, y compris ses exigences d'usage limité. Concrètement :

• ces données ne servent qu'à fournir les fonctionnalités visibles décrites ici ;
• elles ne sont ni vendues, ni louées, ni transmises à des fins publicitaires ;
• elles ne servent pas à entraîner des modèles d'intelligence artificielle généralisés, et nos prestataires de modèles n'ont pas le droit de les réutiliser pour leur propre entraînement ;
• aucun humain ne les lit, sauf avec votre accord exprès, pour répondre à une demande de support que vous avez ouverte, pour des raisons de sécurité — enquête sur un abus ou une faille — ou lorsque la loi nous y oblige.

Avec qui nous partageons vos données Google et Microsoft

Les données issues de votre compte Google, comme celles de votre compte Microsoft, ne sont communiquées qu'aux prestataires ci-dessous, chacun limité à ce que sa fonction exige et tenu par contrat de ne pas les utiliser pour son propre compte :

• OVHcloud (France) — héberge le serveur de Kollabs, par lequel vos messages transitent lorsqu'ils sont lus, ainsi que la base de données et le stockage où sont conservés les messages rattachés à un partenariat, les briefs et contrats extraits de vos emails et l'adresse de la boîte connectée.
• Anthropic (États-Unis) — reçoit l'objet, l'aperçu et des extraits du corps des messages, ainsi que le texte des briefs et contrats, pour les traitements décrits en section 6. Anthropic ne les utilise pas pour entraîner ses modèles.
• Resend (États-Unis) — achemine les notifications que nous vous envoyons par email, qui peuvent contenir le nom de la marque, l'objet de l'email concerné ou l'adresse d'une boîte à reconnecter. Ces notifications ne sont adressées qu'à vous.

Les réponses que vous choisissez d'envoyer depuis Kollabs sont remises à Google ou à Microsoft, qui les expédie depuis votre boîte à leurs destinataires. En dehors de ces cas, nous ne partageons, ne transférons et ne divulguons vos données Google ou Microsoft à personne — ni annonceur, ni courtier en données, ni aucun autre tiers — sauf si la loi nous y oblige.

5. Pourquoi, et sur quel fondement

• Fournir le service — compte, partenariats, contrats, facturation : exécution du contrat qui nous lie.
• Lire et envoyer vos emails — votre consentement, donné au moment de la connexion OAuth et retirable à tout instant.
• Analyser vos emails par IA — votre consentement, dans la continuité du précédent (section 6).
• Sécurité et prévention des abus — notre intérêt légitime à protéger le service et ses utilisateurs.
• Obligations comptables et fiscales — obligation légale.
• Signature en ligne d'un contrat par une marque : l'exécution du contrat entre le créateur et la marque, et l'intérêt légitime des deux parties à pouvoir en prouver la signature.

6. Traitements par intelligence artificielle

Kollabs utilise les modèles Claude d'Anthropic pour reconnaître les emails de partenariat (y compris, à la connexion d'une boîte, un premier aperçu des trente derniers jours), résumer une négociation, proposer un brouillon de réponse, extraire les éléments d'un contrat ou d'un brief, relever les tarifs de votre kit média et les coordonnées de votre RIB lorsque vous les déposez, y compris en image ou en scan.

Le contenu transmis se limite à ce que la fonctionnalité exige : objet, aperçu et extraits du corps du message concerné, ou le document que vous avez déposé. Avant tout envoi, les numéros de compte bancaire, de carte et de téléphone présents dans un message sont masqués ; pour trier une boîte, les adresses email le sont aussi (seul le domaine de l'expéditeur est gardé), et les messages envoyés par des automates (notifications, « no-reply ») ne sont jamais transmis. Les données envoyées via l'API d'Anthropic ne sont pas utilisées pour entraîner ses modèles. Aucune décision produisant un effet juridique n'est prise automatiquement : les suggestions du modèle vous sont présentées, et rien n'est envoyé sans votre validation.

7. Sous-traitants et hébergement

• OVHcloud — hébergement de l'application, de la base de données et des fichiers (contrats, briefs, images), à Strasbourg (France) ; copies de sauvegarde chiffrées à Gravelines (France)
• Anthropic — traitements décrits en section 6 (États-Unis)
• Resend — envoi des emails du service (notifications, réinitialisation de mot de passe, code de confirmation d’une signature en ligne)
• Stripe — abonnements et paiements ; vos coordonnées bancaires ne transitent jamais par nos serveurs
• Google, Microsoft — les fournisseurs des boîtes mail que vous connectez

Les transferts hors Union européenne s'appuient sur les clauses contractuelles types de la Commission européenne, ou sur le Data Privacy Framework lorsque le prestataire y adhère.

Pour les données de tiers que vous gérez dans Kollabs (les marques et leurs contacts), nous agissons comme sous-traitant : nos engagements sont précisés dans l'accord de traitement des données.

8. Combien de temps

Tant que votre compte existe — compte, partenariats, contrats, messages rattachés à un dossier.

La preuve d'une signature en ligne : le dossier de preuve et la ligne du registre de signatures sont conservés avec le compte du créateur, qui en a besoin pendant la prescription commerciale de cinq ans (article L. 110-4 du code de commerce), et supprimés avec lui. Le lien de signature expire au bout de trente jours, et le code de confirmation au bout de dix minutes.

Jusqu'à déconnexion — les jetons d'accès à vos boîtes mail, détruits dès que vous déconnectez la boîte ou que vous révoquez l'accès chez votre fournisseur.

À la suppression du compte — vos données sont effacées de la base, et les fichiers correspondants supprimés du stockage. Les copies de sauvegarde qui les contiennent encore disparaissent d'elles-mêmes au bout de trente jours au plus. Restent les documents que la loi nous oblige à garder : factures et pièces comptables, conservées dix ans conformément à l'article L. 123-22 du code de commerce.

Journaux techniques — les journaux du serveur, qui enregistrent les erreurs et les accès sans contenu de message, s'effacent automatiquement au fil de l'eau, en général en quelques semaines. Le journal des erreurs de l'application, qui sert au diagnostic, est conservé quatre-vingt-dix jours au plus.

9. Sécurité

• Les jetons d'accès à vos boîtes mail sont chiffrés au repos en AES-256-GCM ; la clé ne se trouve pas dans la base.
• Les mots de passe ne sont jamais stockés en clair.
• Tous les échanges avec le service passent par HTTPS, imposé par HSTS.
• Les contrats sont servis par une route qui vérifie la session et la propriété du dossier, jamais par une adresse publique.
• L'accès aux serveurs de production est restreint et tracé.

Aucun dispositif n'est infaillible. En cas de violation de données susceptible d'engendrer un risque pour vos droits, nous notifierons la CNIL dans les 72 heures et vous informerons lorsque le risque est élevé.

10. Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de retirer votre consentement à tout moment — retrait qui ne remet pas en cause ce qui a été fait avant.

Écrivez-nous à contact@getkollabs.io. Nous répondons sous un mois. Vous pouvez également demander la suppression de votre compte depuis vos réglages (Paramètres, Mon compte) : l'effacement décrit en section 8 a lieu dans un délai d'un mois, et vous pouvez annuler la demande d'ici là.

Si notre réponse ne vous satisfait pas, vous pouvez saisir la CNIL — 3 place de Fontenoy, 75007 Paris, www.cnil.fr.

11. Cookies

Kollabs ne dépose aucun cookie publicitaire, aucun traceur tiers, et ne mesure pas son audience. Les seuls cookies déposés sont les suivants, tous émis par Kollabs lui-même :

• kollabs_session (__Host-kollabs_session sur le site en ligne) — vous garde connecté d'une page à l'autre (trente jours au plus). Sans lui, le service ne fonctionne pas.
• mail_oauth_nonce, mail_oauth_purpose et mail_oauth_return — déposés dix minutes au plus le temps de vous connecter avec Google ou de brancher une boîte mail, pour protéger l'opération et vous ramener à la page d'où vous êtes parti. Ils disparaissent aussitôt après.
• kollabs_2fa — déposé cinq minutes au plus entre votre mot de passe (ou Google) et le code de double authentification, quand vous l'avez activée. Il disparaît dès la connexion faite.
• kollabs_demo — réservé à l'équipe Kollabs, pour afficher le compte de démonstration. Il n'est jamais déposé chez les autres utilisateurs.
• kollabs_ref — déposé uniquement lorsque le programme de parrainage est ouvert, et seulement si vous arrivez par un lien de parrainage valide, pour rattacher votre inscription à la personne qui vous a recommandé le service. Le programme n'étant pas ouvert à ce jour, ce cookie n'est actuellement jamais déposé. Le cas échéant, il vit quatre-vingt-dix jours et ne sert à rien d'autre : il ne suit pas votre navigation et n'est partagé avec personne.

12. Modifications

Toute modification de cette politique sera publiée sur cette page, avec une date de mise à jour. Un changement touchant aux données de vos boîtes mail vous sera signalé directement.