Il lit votre boîte de réception. Voici exactement comment nous la traitons.
Voix ne fonctionne que parce que vous le laissez voir vos e-mails. Nous l'avons conçu pour que la confiance soit la partie facile : accès minimal, rien d'envoyé sans vous, et un bouton d'arrêt en un clic.
Lecture seule pour vous informer
Votre première connexion demande gmail.readonly et rien d'autre. Voix lit vos e-mails récents à la demande. Il ne modifie, n'étiquette ni ne supprime rien.
Vous approuvez chaque envoi
Nous demandons gmail.send plus tard, en contexte, la première fois que vous approuvez une réponse rédigée. Si vous n'en approuvez aucune, Voix ne détient jamais l'autorisation d'envoyer. Rien ne quitte votre boîte de lui-même, jamais.
Nous n'entraînons pas sur vos e-mails
Vos e-mails sont traités pour classer et rédiger par notre fournisseur d'IA selon des conditions commerciales : jamais utilisés pour entraîner des modèles d'IA, ni vendus ou partagés avec des annonceurs.
Chiffré au repos
Les données résident dans Supabase, sur AWS aux États-Unis (us-east-1), encadrées par les clauses contractuelles types de l'UE. Le trafic est en TLS 1.2+, le stockage en AES-256 au repos, et votre jeton OAuth est chiffré dans une table réservée au serveur.
Vous pouvez tout supprimer
Déconnectez Gmail ou Slack en un clic, ou supprimez votre compte : chaque ligne liée à vous est effacée sous 30 jours, les sauvegardes sous 90.
Périmètre minimal, par conception
gmail.readonly au départ, gmail.send seulement une fois que vous approuvez une réponse, et une autorisation d'agenda en lecture seule uniquement si vous ajoutez votre agenda. Pas modify, pas labels, pas d'accès complet à la messagerie, même si cela débloquerait plus de fonctionnalités.
Vos lignes n'appartiennent qu'à vous
C'est la base de données elle-même qui dresse le mur. La sécurité au niveau des lignes fait qu'une requête ne peut renvoyer que des lignes portant votre propre identifiant, donc un compte ne peut pas atteindre celui d'un autre, même si l'application au-dessus se trompait. Un test automatique le vérifie à chaque changement.
gmail.readonlyLit environ les 14 derniers jours de vos messages Principaux et Mises à jour, jusqu'à environ 90 messages, pour extraire l'expéditeur, l'objet et le texte du message à des fins de classement. Sans elle, Voix ne peut pas vous dire ce qu'il y a dans votre boîte.
gmail.sendNon demandée à l'inscription. Google ne vous montre cette autorisation que la première fois que vous approuvez une réponse rédigée, et vous pouvez refuser. Une fois accordée, elle envoie une réponse en votre nom, depuis votre propre compte, uniquement après que vous avez approuvé un brouillon. Chaque envoi est une action explicite. Voix n'envoie jamais de façon autonome.
Nous avons soumis ces autorisations à la vérification des autorisations restreintes de Google le 6 août 2026, et l'examen de Google est en cours. Il n'est pas terminé, et l'évaluation de sécurité CASA qui en découle n'a pas encore commencé. Plus d'informations figurent dans la Politique de confidentialité.
Mail.Read · Calendars.Read · Chat.Read · Mail.SendSi vous connectez Microsoft 365 : Mail.Read et Calendars.Read pour lire votre courrier et votre agenda Outlook, et Chat.Read uniquement là où la lecture de Teams est activée. Mail.Send n'est pas demandé à la connexion. Exactement comme pour Gmail, il est demandé plus tard, la première fois que vous approuvez une réponse à envoyer depuis Outlook.
im:read · im:history · users:read · search:read · chat:writeSi vous connectez Slack : im:read et im:history pour lire vos messages directs, users:read pour transformer les identifiants d'expéditeur en noms, et search:read pour retrouver vos mentions en canal et répondre à des questions dans tout Slack. chat:write ne sert qu'à envoyer une réponse que vous avez déjà approuvée, jamais de lui-même.
Vous verrez un avertissement de Google. Il est exact.
Quand vous connectez Gmail, Google affiche un écran indiquant qu'il n'a pas vérifié cette application, et le bouton pour continuer porte la mention « non sécurisé ». Cet écran est exact. La vérification complète de Google est un examen de sécurité de plusieurs mois que nous n'avons pas encore fait, et nous préférons vous le dire avant que vous le voyiez plutôt que de l'expliquer après. La connexion elle-même ne change pas : elle est en lecture seule, elle ne peut rien supprimer ni modifier dans votre boîte, et vous pouvez la révoquer depuis votre compte Google à tout moment.
Si cet écran est un non pour vous, c'est un non légitime. Se déconnecter prend un clic, et supprimer votre compte révoque l'autorisation chez Google puis efface chaque ligne que nous détenons, au lieu de simplement la masquer.
Chaque entreprise qui touche vos données, et ce qu'elle voit.
Connexion en lecture seule. L'envoi est une autorisation distincte, et rien ne part sans que vous appuyiez.
Le contenu de vos briefings est supprimé automatiquement au bout de 30 jours. Le corps complet des e-mails n'est jamais conservé.
Certains de nos sous-traitants sont aux États-Unis. Les transferts depuis l'UE sont encadrés par les clauses contractuelles types (CCT). Tout le détail dans la politique de confidentialité et le DPA.
| Sous-traitant | Ce qu'il voit | Utilisé pour entraîner une IA ? | Conservation |
|---|---|---|---|
| SupabaseBase de données · AWS us-east-1, États-Unis | Votre ligne de compte, les jetons de connexion chiffrés et le résultat du briefing : la transcription et la liste classée. Jamais le corps complet des e-mails. | Non. Infrastructure uniquement. | Le contenu des briefings est nettoyé automatiquement au bout de 30 jours. Tout est supprimé lorsque vous supprimez votre compte. Transfert : CCT. |
| AnthropicClaude, classe vos messages et rédige les réponses · États-Unis | De façon transitoire, à chaque briefing : expéditeur, objet, le texte intégral de chaque message (plafonné à environ 6 000 caractères par e-mail et signalé là où il est coupé) et le texte extrait des pièces jointes PDF ou Word, sur vos 14 derniers jours. Voix n'en conserve rien. | Non. Les conditions commerciales de l'API d'Anthropic excluent tout entraînement sur les données de l'API. | Anthropic supprime automatiquement les entrées et sorties de l'API sous 30 jours. Nous n'avons pas encore signé d'avenant de conservation zéro, et nous le disons clairement. Transfert : CCT. |
| GoogleAPI Gmail, connexion et synthèse vocale Cloud · États-Unis | Votre Gmail, via l'autorisation en lecture seule que vous accordez. Le service de synthèse vocale reçoit la transcription du briefing pour générer l'audio. | Non. La politique des API Workspace de Google interdit à Voix d'entraîner un modèle sur vos données Gmail, et ce que nous envoyons est traité uniquement pour fournir le service. | Traitement transitoire. Transfert : CCT. |
| VercelHébergement de l'application et journaux serveur · États-Unis | Le trafic des requêtes et les journaux serveur. Pas votre messagerie. | Non. | Conservation standard des journaux. Transfert : CCT. |
| ClerkConnexion · États-Unis | Votre nom, votre e-mail et votre session de connexion. | Non. | Jusqu'à la suppression du compte. Transfert : CCT. |
| PostHogAnalyse produit et supervision des erreurs · UE, Francfort | Uniquement des événements d'usage anonymes. Sans cookie, désactivé jusqu'à ce que vous acceptiez la bannière, jamais de contenu d'e-mail, enregistrement de session désactivé. | Non. | Hébergé dans l'UE. |
| StripePaiements · États-Unis/UE | Les données de votre carte vont directement à Stripe. Voix ne voit jamais le numéro de carte. | Non. | Selon les conditions de Stripe. Transfert : CCT. |
Uniquement si vous utilisez la fonctionnalité : Resend (e-mail du matin), Microsoft (si vous connectez Outlook), Slack (si vous connectez Slack), Twilio et Vapi (appels privés, pas encore actifs), Meta (boîtes professionnelles WhatsApp et Instagram, pas encore actives), Modal et ElevenLabs (synthèse de voix signature et évaluation vocale, pas encore actives). Les mêmes règles : aucun entraînement, le minimum de données nécessaire.
La suppression et l'export sont en libre-service (art. 17 et 20 du RGPD) : supprimer votre compte révoque les autorisations Google et Slack chez le fournisseur, puis retire chaque ligne.
Des questions sur vos données ?
Nous répondrons clairement.