Politique de confidentialité

1. Données que nous collectons

Pour faire fonctionner KumoMail, nous stockons les informations suivantes dans notre base de données :

• Votre adresse e-mail et votre nom, fournis par Google ou Microsoft lors de la connexion
• Un jeton d'accès OAuth (refresh token) qui nous permet de lire et classer vos e-mails en votre nom — jamais votre mot de passe
• Vos catégories de tri personnalisées (nom, couleur, priorité, description)
• L'historique de tri : l'identifiant technique de chaque e-mail déjà traité, sa catégorie et son score d'urgence — jamais le contenu de l'e-mail lui-même
• Vos préférences d'affichage (thème, police, modèle visuel)
• Les informations de votre abonnement (forfait, quota utilisé, statut) et les identifiants Stripe associés — jamais votre numéro de carte, géré exclusivement par Stripe
• Si vous faites partie d'une équipe : votre rôle (propriétaire ou membre) et le lien avec le compte principal

2. Le contenu de vos e-mails et l'intelligence artificielle

Pour catégoriser automatiquement un e-mail, KumoMail envoie à OpenAI (via son API) l'expéditeur, l'objet (limité à 150 caractères) et un extrait du corps du message (limité à 700 caractères) — jamais l'e-mail complet. Ce contenu sert uniquement à déterminer la catégorie et l'urgence de cet e-mail ; il n'est pas conservé par KumoMail au-delà de cet appel.

Ce traitement nécessite votre consentement explicite, demandé avant le tout premier tri. Sans ce consentement, aucun e-mail n'est envoyé à OpenAI.

Conformément à la politique d'utilisation des données de l'API d'OpenAI, ce contenu n'est jamais utilisé pour entraîner leurs modèles publics. En savoir plus sur la politique d'OpenAI.

3. Sous-traitants

KumoMail fait appel aux prestataires suivants pour fonctionner :

• OpenAI — catégorisation automatique des e-mails par intelligence artificielle
• Stripe — traitement des paiements et gestion des abonnements
• Cloudflare — hébergement de l'application et de la base de données
• Google — authentification et accès à votre messagerie Gmail (comptes Google)
• Microsoft — authentification et accès à votre messagerie Outlook (comptes Microsoft)

4. Utilisation des API Gmail et Outlook

L'utilisation par KumoMail des informations reçues des API de Google et leur transfert vers toute autre application respecteront la politique sur les données utilisateur des services API de Google, y compris les exigences d'utilisation limitée. Le même principe s'applique à notre utilisation de l'API Microsoft Graph pour les comptes Outlook.

5. Durées de conservation

• Vos données de compte, catégories, préférences et historique de tri sont conservées tant que votre compte existe.
• Si vous supprimez votre compte, toutes ces données sont effacées immédiatement (voir section 7).
• Exception : un identifiant technique de votre compte est conservé indéfiniment après suppression, à des fins de lutte contre l'abus des essais gratuits (empêcher qu'un même compte ne bénéficie de plusieurs essais gratuits successifs). Cet identifiant n'est associé à aucune autre donnée personnelle et ne sert à rien d'autre.

6. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès et de rectification
• Droit à l'effacement (voir section 7)
• Droit à la portabilité de vos données (Paramètres → Exporter mes données)
• Droit d'opposition et de limitation du traitement
• Droit d'introduire une réclamation auprès de la CNIL (ou de l'autorité de contrôle de votre pays)

Pour exercer ces droits, contactez-nous à contact@kumomail.app.

7. Supprimer votre compte

Vous pouvez supprimer votre compte vous-même, à tout moment, depuis Paramètres → Zone de danger. Cette action est immédiate et irréversible : compte, catégories, préférences, abonnement, cache d'e-mails et accès OAuth sont supprimés (voir section 5 pour l'exception anti-abus). Si vous ne pouvez pas vous connecter, envoyez une demande à contact@kumomail.app.

8. Transferts de données hors Union européenne

OpenAI, Stripe, Google, Microsoft et Cloudflare sont des sociétés dont le siège est aux États-Unis. Le traitement de vos données peut donc impliquer un transfert hors de l'Union européenne. Ces prestataires s'appuient sur des garanties reconnues par le RGPD pour ce type de transfert (clauses contractuelles types et/ou cadre de protection des données UE-États-Unis).