1. Qui est responsable du traitement ?
Lexia, société française éditrice du service Lexia Mail, accessible à l'URL https://mail.lexia-ia.fr.
- Contact : hellosoins2626@gmail.com
- DPO / Délégué à la protection des données : hellosoins2626@gmail.com
2. Quelles données collectons-nous ?
2.1 Données de compte
- Adresse email (pour créer le compte et se connecter)
- Mot de passe (hashé avec Argon2id, jamais stocké en clair)
- Nom et prénom (facultatifs)
- Profession (facultatif, pour calibrer l'IA)
2.2 Données de la boîte mail connectée
Si vous connectez votre compte Gmail, Outlook ou IMAP à Lexia Mail :
- Tokens OAuth (chiffrés en base avec AES-256-GCM)
- Emails : contenu (sujet, corps, pièces jointes) mis en cache 90 jours max, chiffré au repos
- Métadonnées : expéditeur, destinataires, date, labels
- Résultats IA : classifications (urgent / à suivre / info), résumés, dates de RDV extraites, montants OCR de factures
2.3 Données techniques
- Adresse IP (logs applicatifs, rétention 90 jours)
- User-agent du navigateur
- Horodatage des connexions
- Actions effectuées dans l'application (audit trail, rétention 12 mois)
Nous NE collectons PAS : votre carte bancaire (Stripe gère le paiement, nous ne voyons jamais le numéro), vos contacts en dehors des emails traités, votre géolocalisation précise, aucune donnée de tiers non-utilisateurs.
3. Pourquoi collectons-nous ces données ?
| Donnée | Finalité | Base légale RGPD |
|---|---|---|
| Email + mot de passe | Créer et sécuriser votre compte | Exécution du contrat (Art. 6.1.b) |
| Contenu des emails | Classification IA, OCR, extraction de RDV | Consentement explicite (Art. 6.1.a) |
| Tokens OAuth Google | Accéder à votre boîte mail avec votre autorisation | Consentement OAuth explicite |
| Adresse IP + logs | Sécurité, prévention de fraude, débogage | Intérêt légitime (Art. 6.1.f) |
4. Utilisation spécifique des données Gmail (Google API Services)
Lexia Mail respecte la Google API Services User Data Policy, y compris les exigences de Limited Use.
Scopes Gmail demandés et justification
gmail.readonly— Lire vos emails et pièces jointes pour :- Classifier chaque email (urgent / à suivre / info / bruit) via IA Claude Haiku (Anthropic, hébergement UE)
- Extraire automatiquement les factures via OCR (montant, TVA, échéance, fournisseur, SIRET)
- Détecter les rendez-vous mentionnés dans le corps des messages
- Générer un résumé quotidien de votre boîte mail (brief matinal)
gmail.compose— Créer des brouillons de réponses assistées par IA. Vous seul(e) validez et envoyez chaque brouillon depuis votre interface Gmail.gmail.modify— Appliquer les labels "Urgent Lexia", "Facture", "RDV", "À suivre" pour organiser votre inbox.
Engagements Limited Use
Lexia Mail s'engage à :
- Ne PAS utiliser les données Gmail pour de la publicité personnalisée ou du profilage marketing
- Ne PAS revendre les données Gmail à des tiers
- Ne PAS entraîner de modèles d'IA généralistes avec vos emails
- Ne PAS permettre à un être humain (y compris nos employés) de lire vos emails, sauf : (1) avec votre consentement explicite pour du support, (2) obligation légale, (3) sécurité (détection d'abus)
- Limiter l'usage aux fonctionnalités listées ci-dessus
Modèles IA utilisés
- Anthropic Claude Haiku 4.5 pour la classification et les réponses (hébergement UE via API Anthropic, pas d'entraînement sur vos données — voir privacy Anthropic)
- Claude Vision pour l'OCR des factures (mêmes garanties)
5. Où sont hébergées vos données ?
- Serveurs : OVH, datacenters de Roubaix (France) uniquement
- Base de données : PostgreSQL sur infrastructure française
- Sauvegardes : chiffrées, stockées en France uniquement, rétention 30 jours
- Aucun transfert hors UE — jamais
- CLOUD Act US : non applicable (société française, infra française)
6. Combien de temps conservons-nous vos données ?
| Type de donnée | Durée |
|---|---|
| Compte utilisateur | Tant que le compte est actif |
| Emails indexés (cache) | 90 jours max, puis re-fetch on-demand |
| Tokens OAuth | Jusqu'à révocation par vous |
| Logs applicatifs | 90 jours |
| Audit trail | 12 mois |
| Compte supprimé | Effacement physique sous 7 jours |
| Sauvegardes | 30 jours max |
7. Vos droits RGPD
Vous disposez à tout moment des droits suivants :
- Droit d'accès — export JSON complet de vos données via
/settings/export - Droit de rectification — édition de votre profil dans
/settings/account - Droit à l'effacement — suppression complète du compte via
/settings/delete-account(traitée sous 7 jours) - Droit à la portabilité — export standard JSON
- Droit d'opposition — désactiver l'IA sans supprimer le compte
- Droit de retrait du consentement — révoquer l'accès Gmail à tout moment
- Droit de réclamation auprès de la CNIL (www.cnil.fr) si vous estimez vos droits non respectés
Pour exercer un droit : hellosoins2626@gmail.com — réponse sous 30 jours max (article 12 RGPD).
8. Sous-traitants
Lexia Mail utilise les sous-traitants suivants pour délivrer le service. Un contrat de sous-traitance (DPA) est signé avec chacun.
- OVH (France) — hébergement infrastructure
- Anthropic Inc. — modèles IA Claude (hébergement UE, pas d'entraînement sur vos données)
- Google LLC — API Gmail (uniquement pour accéder à votre compte, avec votre consentement OAuth)
- Brevo (France) — envoi d'emails transactionnels (confirmation, reset password, notifications)
- Stripe (Irlande, filiale européenne) — traitement des paiements
9. Sécurité
- Mots de passe : hashés avec Argon2id (OWASP 2024)
- Tokens OAuth : chiffrés au repos avec AES-256-GCM
- Communication : TLS 1.2+, HSTS activé
- Authentification : MFA disponible (OTP email + Passkeys WebAuthn)
- Journalisation complète des accès (audit trail)
- Sauvegardes chiffrées quotidiennes
- Isolation multi-tenant stricte (aucun accès croisé entre utilisateurs)
Plus de détails sur notre page Sécurité.
10. Cookies
Lexia Mail utilise uniquement des cookies techniques nécessaires au fonctionnement (session, préférences). Aucun cookie tiers de tracking marketing. Aucun consentement bannière n'est requis (Art. 82 LCEN, cookies exemptés).
11. Contact et réclamation
Pour toute question sur cette politique ou vos données :
- Email : hellosoins2626@gmail.com
- Autorité de contrôle : Commission Nationale de l'Informatique et des Libertés (CNIL) — www.cnil.fr
12. Modifications
Cette politique peut être mise à jour. La date de dernière mise à jour figure en haut de la page. En cas de modification substantielle, vous serez notifié par email.