Confidentialité

Ce que nous faisons de vos données

Trois situations, trois régimes différents. Nous les traitons séparément, parce qu'ils n'ont ni les mêmes finalités, ni les mêmes responsables.

Dernière mise à jour : 26 octobre 2026 · Version 46

Pour les traitements dont nous sommes responsables, le responsable du traitement est SERPENTIS, SAS, Place de la Bergère, 13190 Allauch, RCS Marseille 941 606 493, qui exploite le service sous le nom commercial +Connect — contact : contact@getplusconnect.com.

+Connect's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. How +Connect handles Gmail and Google Drive data: English summary.

1 · Vous visitez ce site

Votre visite ne laisse, chez nous et nos hébergeurs, que des journaux techniques. Ce site ne dépose aucun cookie et ne vous suit pas ; il garde seulement dans votre navigateur, sans identifiant, votre choix de thème si vous le changez et, le temps de l'onglet, le fait que l'animation d'accueil a été jouée. Il n'exécute aucun script tiers, ne charge aucune police ni aucune image depuis un serveur extérieur, et ne mesure pas votre audience. Il n'y a pas de bandeau de consentement parce qu'il n'y a rien à consentir.

Comme tout serveur web, nos hébergeurs enregistrent des journaux techniques de connexion — Vercel pour ce site, Railway pour l'application et le formulaire de candidature. Ils portent la page demandée, l'heure, le navigateur et l'adresse IP de connexion. Nous les tenons pour la sécurité et le bon fonctionnement du service, sur la base de notre intérêt légitime (article 6.1 f du RGPD). Ceux de Railway sont stockés aux États-Unis, ceux de Vercel aussi, alors que nos serveurs et votre base de données sont en Europe (voir « Ce qui sort de l'Union européenne »). Nous ne les exploitons pas à des fins d'analyse ; ceux de l'application portent les identifiants techniques de votre espace et de votre compte. Railway nous les rend consultables 30 jours, mais ne nous a pas communiqué leur durée réelle de conservation. Vercel ne nous a pas communiqué la durée de conservation des siens.

Les pages de connexion et d'inscription de l'application (www.getplusconnect.com/login et /signup) demandent aussi, à chaque affichage, si les inscriptions sont ouvertes. Cette requête ne porte ni cookie ni identifiant ; comme toute requête, elle laisse votre adresse IP, votre navigateur et l'adresse demandée dans les journaux de Railway.

Quand une page de +Connect vous mène vers un autre site, ou y charge un programme — le sélecteur de fichiers de Google, les pages où Google ou Microsoft vous demandent votre accord —, votre navigateur indique à cet autre site, comme provenance, au plus l'origine de +Connect (https://www.getplusconnect.com/), jamais l'adresse de la page que vous consultiez. Un programme d'un autre site qui s'exécute dans une page de l'application, comme le sélecteur de Google, peut en revanche, tant qu'il s'y exécute — jusqu'à ce que vous rechargiez l'onglet —, faire ce que cette page peut faire : appeler +Connect en votre nom, lire son adresse et ce qu'elle affiche, celles des pages de l'application que vous ouvrez ensuite, et ce que +Connect garde dans votre navigateur, dont la clé de votre session. Une clé de session ainsi lue reste utilisable par qui la détient jusqu'à son expiration, sept jours au plus, même après un rechargement ou une déconnexion ; la réinitialisation de votre mot de passe (« Mot de passe oublié ») l'annule.

2 · Vous candidatez au programme bêta

Sur ce traitement, +Connect est responsable de traitement au sens de l'article 4.7 du RGPD : ce sont nos propres prospects, pour notre propre programme. Le formulaire est hébergé chez nous — pas chez un prestataire de formulaires : vos réponses sont enregistrées dans notre base, et une copie en est envoyée par e-mail à notre dirigeant (« Qui y a accès », plus bas).

Ce que nous collectons

Ce que nous ne collectons pas : aucune adresse IP n'est enregistrée en base. Le dispositif anti-abus compte les envois par adresse IP exacte, en mémoire du serveur, pendant une heure, sans l'écrire en base ; s'il bloque un envoi, nos journaux techniques en gardent une forme tronquée.

Pourquoi, et sur quelle base légale

La case d'accord au rappel téléphonique est décochée par défaut et ne conditionne jamais l'envoi du formulaire : la rendre obligatoire rendrait le consentement non libre, donc invalide. Sans elle, aucun numéro de téléphone n'est enregistré — c'est une contrainte inscrite dans la base de données, pas une promesse. Le retrait efface le numéro de la base dans la même opération ; une copie de sauvegarde peut le conserver jusqu'à son échéance (Les sauvegardes).

Qui y a accès

Les candidatures sont consultées par le seul dirigeant de +Connect, hors de l'application : aucun écran du produit ne lit cette table. Une copie de chaque candidature lui est envoyée par e-mail, pour qu'il puisse l'étudier et vous répondre : ce message contient vos réponses. Les candidatures déposées avant la publication de cette version de la politique (Version 22) n'ont pas donné lieu à ce message.

Destinataires extérieurs : Brevo, notre prestataire d'envoi d'e-mails (société française, hébergement dans l'Union européenne), pour les messages qui vous sont adressés et pour la copie de votre candidature qui nous est adressée ; Google, qui héberge notre messagerie (Google Workspace — voir « Nos sous-traitants ») ; et Railway, qui reçoit votre envoi et héberge la base : ses journaux techniques, stockés aux États-Unis, portent l'adresse IP et le navigateur de votre envoi (voir § 1) ; et Cloudflare, société américaine, qui conserve une sauvegarde chiffrée de la base dans un stockage européen, sans pouvoir la lire (voir Les sauvegardes).

Combien de temps

24 mois après notre dernier échange, pas après votre inscription : si nous continuons à correspondre, vous restez un contact actif. Passé ce délai, la ligne est physiquement supprimée par une tâche automatique quotidienne — pas par une intention. Une réserve vaut ici comme partout : une copie de sauvegarde peut conserver la ligne jusqu'à douze mois de plus, sans jamais servir au fonctionnement du produit (Les sauvegardes). La copie de votre candidature reçue dans notre messagerie n'est pas supprimée par cette tâche : elle suit la messagerie, et nous l'effaçons sur demande.

Retirer votre consentement, ou tout effacer

Écrivez à contact@getplusconnect.com. Le retrait du consentement au rappel entraîne, dans la même opération, l'effacement du numéro de téléphone de notre base ; nous supprimons aussi la copie de votre candidature reçue dans notre messagerie, qui le contient. Une demande d'effacement porte aussi sur cette copie. Chaque message d'information comporte un lien de désinscription en un clic.

2 bis · Vous demandez à être recontacté (Studio)

Sur ce traitement aussi, +Connect est responsable de traitement au sens de l'article 4.7 du RGPD : ce sont nos propres prospects. Le formulaire de la page Studio est hébergé chez nous.

Ce que nous collectons

Ce que nous ne collectons pas : aucune adresse IP n'est enregistrée en base, et nous ne mesurons pas d'où vous venez. Le dispositif anti-abus fonctionne comme pour les candidatures à la bêta (§ 2).

Pourquoi, et sur quelle base légale

La case de rappel est décochée par défaut et ne conditionne jamais l'envoi. Sans elle, aucun numéro n'est enregistré — c'est une contrainte de la base de données, pas une promesse. Nous ne vous inscrivons à aucune liste de diffusion.

Qui y a accès

Le seul dirigeant de +Connect. Votre demande est enregistrée dans notre base, et une copie lui est envoyée par e-mail pour qu'il puisse vous répondre rapidement : ce message contient ce que vous avez saisi. Aucun écran du produit ne lit ces demandes. Destinataires extérieurs : Brevo, qui envoie ce message (société française, hébergement dans l'Union européenne) ; Google, qui héberge notre messagerie (Google Workspace — voir « Nos sous-traitants ») ; Railway et Cloudflare, pour l'hébergement et la sauvegarde de la base, dans les mêmes conditions qu'au § 2. Nous ne vendons ni ne cédons ces informations.

Combien de temps

24 mois après notre dernier échange, puis la ligne est physiquement supprimée de notre base par une tâche automatique quotidienne. Si nous travaillons ensemble, les informations utiles rejoignent votre dossier client. La réserve des sauvegardes s'applique (Les sauvegardes). Le message reçu dans notre messagerie n'est pas supprimé par cette tâche : il suit la messagerie, et nous l'effaçons sur demande.

Retirer votre consentement, ou tout effacer

Écrivez à contact@getplusconnect.com. Le retrait du consentement au rappel efface votre numéro de notre base dans la même opération ; nous supprimons aussi le message reçu dans notre messagerie, qui le contient. Une demande d'effacement porte aussi sur ce message.

2 ter · Vous êtes syndic de copropriété, inscrit au registre national

+Connect garde une copie du registre national d'immatriculation des copropriétés, que l'Agence nationale de l'habitat publie sur data.gouv.fr sous Licence Ouverte 2.0, pour qu'un cabinet de syndic qui utilise +Connect y retrouve les copropriétés déclarées sous son SIRET. Nous en sommes responsables. Notre copie ne garde que les copropriétés dont le syndic est une personne morale : à chaque chargement, nous vérifions la nature juridique de chaque syndic dans l'annuaire des entreprises (recherche-entreprises.api.gouv.fr, données publiques de l'INSEE) ; un syndic en entreprise individuelle, ou dont la nature juridique n'a pas pu être vérifiée, n'est pas gardé — ni son nom, ni son SIRET, ni ses copropriétés. Pour cette vérification, nous envoyons à l'annuaire le numéro SIREN de chaque syndic professionnel du fichier ; nous ne gardons pas sa réponse. Pour chaque copropriété, notre copie garde son nom d'usage, son adresse, ses lots, sa période de construction, et le SIRET et la raison sociale de son syndic. Un nom d'usage qui a la forme d'un nom de personne (« Chez … », « Indivision … », une civilité en tête) n'est pas gardé : la copropriété est gardée sans lui. La raison sociale d'une personne morale peut toutefois contenir le nom d'une personne, et un nom d'usage peut encore en être un quand notre règle ne le reconnaît pas. Base légale : notre intérêt légitime (article 6.1 f) ; le fichier est public, et le cabinet qui déclare un SIRET n'en lit que ce que le fichier public dit. Aucun outil d'IA ne lit cette copie ; une copropriété qu'un cabinet ajoute à son espace devient la sienne, et suit ce que décrit le § 3. Si votre nom figure dans cette copie, nous ne vous en informons pas personnellement : notre copie ne garde aucun moyen de vous joindre, et vous retrouver un par un exigerait des efforts disproportionnés au regard d'une copie d'un fichier public (article 14, paragraphe 5, point b) ; cette section, publique, en tient lieu. Aucun chargement n'est programmé : nous le lançons à la main, et la copie est gardée jusque-là ; à chaque chargement, l'ancienne copie est supprimée. Vous pouvez vous opposer à ce traitement ou demander l'effacement de vos données en nous écrivant à contact@getplusconnect.com ; ⚠️ nous n'avons pas de liste d'exclusion : ce que les deux règles ci-dessus ne retirent pas reviendrait au chargement suivant.

3 · Vous utilisez +Connect

Ici le régime s'inverse : votre entreprise est responsable de traitement, +Connect est sous-traitant au sens de l'article 28. Vos documents contiennent des données qui concernent vos salariés, vos clients, vos fournisseurs : ce sont les vôtres, nous n'en faisons que ce que vous nous demandez d'en faire.

Un contrat de sous-traitance, annexé à nos conditions d'utilisation, encadre cette relation : votre entreprise l'accepte avec elles (le lire).

Votre compte de souscripteur est traité pour notre propre compte, pour exécuter le contrat (article 6.1 b), pendant la durée du compte puis les 90 jours de restitution. La preuve de l'acceptation des conditions et du contrat (qui, avec quel rôle, quand, quelle version) est conservée pendant la durée du contrat, puis cinq ans.

Deux autres exceptions, pour notre propre compte (outre les journaux techniques de nos serveurs, § 1). Le journal de sécurité : qui a fait quelle opération sensible dans votre espace, sur quel élément, et quand, dans une liste d'actions fermée ; le détail d'une opération peut contenir l'adresse d'un collègue, par exemple quand un compte est créé. Nous le tenons de notre propre initiative, au titre de notre obligation de sécurité ; il vous sert aussi à suivre vos propres opérations, mais votre entreprise ne décide ni de son existence, ni de son contenu, ni de sa durée. Il ne s'efface pas depuis l'application, et sa durée de conservation n'est pas encore fixée. Nous tenons ce journal sur la base de l'exécution du contrat pour le souscripteur, et de notre intérêt légitime à sécuriser le service pour les autres personnes (article 6.1 b et f du RGPD). Quand une personne demande à réinitialiser son mot de passe, ce journal conserve une empreinte de son adresse IP ; les journaux techniques de notre hébergeur la conservent aussi, et quand elle vérifie son adresse e-mail. En l'état, cette empreinte permet de retrouver l'adresse. Nous la retirerons ou la rendrons irréversible. Pour ce journal, écrivez-nous directement.

Et les statistiques des demandes que la barre n'a pas su traiter. Quand la barre ne sait pas traiter une demande d'action, nous en gardons une trace pseudonymisée — votre entreprise, son métier, un verbe d'une liste fermée, un jeton non réversible de la phrase et la date ; jamais la phrase elle-même, jamais votre identifiant — pour décider quelles fonctions ajouter. Nous en sommes responsables, sur la base de notre intérêt légitime à améliorer le service. Nous les conservons dix-huit mois au plus. Vous pouvez vous y opposer en nous écrivant à contact@getplusconnect.com.

Ce que nous traitons pour vous

• Vos documents : factures, devis, contrats, plannings, bulletins de paie, photos de chantier — au format que vous déposez, ou que vous importez depuis votre Google Drive (voir Votre Google Drive, si vous le connectez), sans saisie préalable. Du 02/09/2026 au 13 octobre 2026, le texte d'un e-mail reçu sur votre adresse +Connect — et, si vous connectiez une boîte Gmail, celui des e-mails que vous y receviez (voir Votre boîte Gmail, si vous la connectez) — devenait un document de votre espace. Depuis le 13 octobre 2026, il n'en devient plus un : +Connect le lit pour en connaître la nature, sans le copier dans vos documents (voir la liste des flux plus bas).
• Vos relevés bancaires, si vous en déposez : la date, le montant et le libellé de chaque opération, tels que votre banque les écrit — un libellé peut donc porter le nom d'un tiers ou d'un salarié. Ces mouvements ne sont visibles que par le dirigeant du compte. Nous ne nous connectons à aucun compte bancaire et ne détenons aucun de vos identifiants de banque : le fichier est déposé à la main.
• Ce que nous en extrayons : montants, dates, échéances, liens entre pièces, et une représentation vectorielle du texte qui permet la recherche par le sens.
• Les comptes que vous ouvrez à votre équipe : identité de connexion, rôle.
• Si votre entreprise est un cabinet de syndic de copropriété : les copropriétés que vous gérez, les personnes de ces copropriétés (copropriétaires, occupants, conseil syndical, gardiens, contacts des prestataires), les demandes nées des e-mails et des appels que vous recevez, leurs relances, les ventes de lots, les assemblées générales, les portefeuilles et les suppléances de votre équipe — le contrat de sous-traitance (annexe II) en dit le détail ; ce qui en part chez nos moteurs d'IA est dans la liste des flux plus bas.

Les coordonnées GPS des photos sont retirées avant l'enregistrement. Si le dispositif n'y parvient pas, l'image elle-même n'est pas conservée : en cas de doute, il refuse plutôt qu'il ne laisse passer. Le texte qui en a été extrait, lui, reste — et la lecture du fichier, qui précède ce retrait, a déjà eu lieu.

Votre Google Drive, si vous le connectez

Si +Connect a ouvert cette fonction pour votre entreprise, le dirigeant et les administrateurs peuvent connecter leur Google Drive (Paramètres › Google Drive), puis importer dans +Connect des fichiers de ce Drive (page Documents, « Importer depuis Google Drive »). Chacun connecte son propre Drive, par son propre accord chez Google, et lui seul peut en importer. +Connect y accède par l'API Google Drive, avec une seule autorisation, drive.file, que Google vous présente avant que vous ne l'accordiez, et qu'il décrit ainsi : « See, edit, create, and delete only the specific Google Drive files you use with this app » (voir, modifier, créer et supprimer uniquement les fichiers Google Drive que vous utilisez avec cette application). +Connect s'en sert pour lire, jamais pour écrire : il ne voit de votre Drive que les fichiers que vous choisissez vous-même, dans la fenêtre de Google.

• Votre compte Google : à la connexion, +Connect lit chez Google l'adresse du compte, et rien d'autre. Il la garde, avec la personne qui a connecté le Drive, et l'affiche au dirigeant et aux administrateurs de votre entreprise ; une personne qui n'est ni l'un ni l'autre ne voit que les Drive qu'elle a elle-même connectés.
• La fenêtre de Google : au clic sur « Importer depuis Google Drive », votre navigateur charge, dans la page de +Connect, le sélecteur de fichiers de Google — un programme de Google, servi par apis.google.com — et s'adresse directement à Google, qui voit votre adresse IP et les cookies de votre compte Google. Ce programme s'exécute dans la page, comme le reste de +Connect, jusqu'à ce que vous la rechargiez. Pour l'ouvrir, +Connect remet à votre navigateur une clé d'accès temporaire, valable environ une heure (la durée que Google lui donne), réservée à la personne qui a connecté ce Drive ; +Connect ne l'enregistre nulle part dans votre navigateur. Dans cette fenêtre, vous choisissez des fichiers auxquels votre compte Google a accès, y compris ceux des Drive partagés et ceux que d'autres personnes partagent avec vous — cent au plus par import ; les dossiers s'y ouvrent pour retrouver un fichier, mais ne se choisissent pas. De ce que la fenêtre rend, +Connect ne garde que les identifiants des fichiers choisis, chacun avec l'indication qu'il s'agit ou non d'un dossier : son serveur ne reçoit rien d'autre.
• Ce que +Connect lit : pour chaque fichier choisi, son nom, son type et sa taille, puis son contenu — pour un document Google Docs, Sheets, Slides ou Drawings, la copie en PDF que Google en produit, 10 Mo au plus (la limite de Google) ; pour un autre fichier, le fichier lui-même, 25 Mo au plus. Le contenu d'un fichier mis à la corbeille n'est pas lu. Les autres types de Google (formulaires, raccourcis, sites…) ne sont pas lus. Un fichier dont le contenu n'est pas d'un format que +Connect sait lire est écarté — après avoir été téléchargé, parce que le format se juge sur le contenu et non sur ce que le fichier annonce —, et rien n'en est gardé.

Ce que nous en faisons. Chaque fichier importé devient un document de votre espace, comme si vous l'aviez déposé vous-même, et suit le même chemin : il est lu par nos moteurs d'IA pour être classé, résumé et, selon sa nature, pour en extraire les informations (Anthropic, qui reçoit aussi le fichier lui-même quand Mistral AI n'en lit pas le texte, et pour lire un planning, selon votre métier ; Mistral AI, qui reçoit le fichier entier, pour le texte des documents scannés et des images), puis indexé par Voyage AI pour la recherche. Anthropic et Voyage AI sont aux États-Unis, Mistral AI en France / UE (voir le tableau des sous-traitants et la liste des flux, plus bas). Un fichier dont le contenu est déjà dans votre espace n'est pas importé une seconde fois. Un seul import à la fois par Drive, et une limite de fichiers importés par entreprise sur trente jours. Le suivi de l'import, à l'écran, ne montre que des nombres, jamais le nom d'un fichier. Google est le fournisseur de votre Drive, que vous avez choisi : il n'est pas un sous-traitant de +Connect.

Ce que nous gardons de l'import lui-même. Pour chaque import : la personne qui l'a demandé, le Drive, sa date, son état et ses comptes (fichiers importés, déjà là, écartés…). Les identifiants Drive des éléments choisis ne sont gardés que le temps de l'import, puis effacés. Cet historique est supprimé douze mois après la demande, par une tâche quotidienne, ou avec le compte de la personne qui l'a demandé ; il figure dans l'export de vos données personnelles, sans les identifiants ni le nom des fichiers.

Ce que nous ne faisons jamais. Écrire quoi que ce soit dans votre Drive — créer, modifier, déplacer, renommer, partager ou supprimer un fichier ; lire un fichier que vous n'avez pas choisi ; lire une autre donnée de votre compte Google que son adresse. Les engagements de « Ce que nous ne faisons jamais » de la section Gmail, plus bas, sur la publicité, la vente, la transmission à d'autres que nos sous-traitants et l'entraînement des modèles valent aussi pour vos fichiers, avec leurs réserves. Et nous nous engageons à ce que personne chez +Connect ne lise les fichiers importés de votre Drive, sauf à votre demande pour un fichier précis, pour un incident de sécurité, ou si la loi l'exige ; cet engagement vaut aussi pour les accès techniques à la base décrits plus bas (« Cloisonnement »).

Combien de temps. L'accès à votre Drive dure jusqu'à ce que vous cliquiez sur « Déconnecter » dans +Connect — la personne qui a connecté le Drive, quel que soit son rôle, ou le dirigeant —, que le compte de cette personne soit supprimé, ou que vous retiriez l'accès depuis votre compte Google (Sécurité › Applications tierces) ; un Drive qui ne sert plus reste connecté tant que personne ne le déconnecte. Les clés d'accès que Google nous remet sont chiffrées ; à « Déconnecter » comme à la suppression du compte de la personne, nous effaçons la connexion — l'adresse du compte, la personne qui l'a connecté et les clés — et nous demandons à Google de révoquer ces clés. À « Déconnecter », si Google ne confirme pas la révocation, +Connect le dit à l'écran : retirez alors l'accès depuis votre compte Google. Révoquer ferme l'accès que ce compte Google a donné à +Connect : si le même compte Google est connecté ailleurs dans +Connect — par une autre personne, ou pour une autre entreprise —, cette connexion-là devra être refaite ; une boîte Gmail connectée n'est pas touchée, Drive et Gmail passant par deux projets Google distincts. Si +Connect constate qu'il a perdu l'accès au Drive — retiré depuis votre compte Google, ou fermé par Google —, il garde la connexion trente jours, le temps de la refaire ; passé ce délai, une tâche quotidienne la déconnecte, comme à « Déconnecter ». Un import en cours s'arrête quand le Drive est déconnecté, quand la personne qui l'a demandé n'est plus dirigeant ni administrateur, ou quand la fonction est fermée pour votre entreprise ; un fichier dont la lecture avait déjà commencé peut encore entrer. Les documents importés restent dans votre espace après la déconnexion, et suivent la durée de vos autres documents (« Combien de temps », plus bas). À la fermeture du compte de l'entreprise, les connexions et l'historique des imports suivent le sort de vos autres données ; l'accès donné chez Google n'est alors pas révoqué par +Connect : pour qu'il le soit, cliquez sur « Déconnecter » avant, ou retirez-le depuis votre compte Google.

Utilisation limitée. L'utilisation et le transfert à toute autre application des informations reçues des API Google par +Connect respectent les Règles d'utilisation des données utilisateur des services d'API Google, y compris les exigences d'utilisation limitée. Voyage AI n'utilise pas ces données pour entraîner ses modèles (voir plus bas, « Utilisation limitée », dans la section Gmail) : l'import depuis Google Drive n'existe dans +Connect que depuis octobre 2026, après la désactivation du 8 août 2026 ; aucun fichier de votre Drive ne lui a été transmis avant.

Votre boîte Gmail, si vous la connectez

Si vous connectez une boîte Gmail ou Google Workspace (Réglages › Messagerie, une fois la messagerie activée par le dirigeant de votre entreprise), +Connect y accède par l'API Gmail de Google, avec deux autorisations que Google vous présente avant que vous ne les accordiez. Seuls le dirigeant et les administrateurs de votre entreprise peuvent connecter une boîte.

• Lire vos e-mails (gmail.readonly), demandée à la connexion — ceux de votre boîte de réception et de vos envoyés : à la première relève, ceux des 30 derniers jours, 2 000 au plus ; ensuite, les nouveaux, toutes les cinq minutes — un réglage de la tâche planifiée qui déclenche la relève, que nous avons vérifié le 6 octobre 2026.
• Préparer des brouillons et envoyer (gmail.compose), demandée à part, la première fois que vous voulez écrire depuis cette boîte — préparer une réponse en brouillon, l'envoyer, ou choisir la boîte pour expéditeur d'un nouveau message — et par la seule personne qui l'a connectée : elle seule peut écrire depuis elle. Pour répondre à un e-mail relevé, +Connect dépose votre réponse en brouillon dans votre boîte, rattachée à la conversation d'origine. Avec « Préparer dans Gmail », le brouillon vous y attend, et vous l'envoyez depuis Gmail ; avec « Envoyer », il part aussitôt, depuis votre boîte. Si vous cliquez sur « Envoyer » après avoir préparé un brouillon dans Gmail — depuis le même onglet, dans les vingt-quatre heures qui suivent la dernière préparation du brouillon par +Connect —, +Connect vérifie d'abord chez Google si ce brouillon a été modifié dans Gmail : s'il ne l'a pas été, +Connect remplace son texte par celui que vous avez écrit dans +Connect, puis l'envoie ; s'il l'a été, rien n'est remplacé ni envoyé, et +Connect vous demande s'il faut envoyer la version de Gmail, ou la remplacer par la sienne ; s'il n'est plus dans Gmail, rien ne part. Pour envoyer la version de Gmail, +Connect lit chez Google les seuls destinataires de ce brouillon (À, Cc, Cci), et les note au journal des envois. Sans brouillon dont la dernière préparation par +Connect, dans le même onglet, date de moins de vingt-quatre heures, il en dépose un nouveau et l'envoie ; un brouillon préparé plus tôt, ou dans un autre onglet, reste dans Gmail. Un nouveau message écrit dans +Connect avec votre boîte pour expéditeur part de la même façon, par « Envoyer ». Avec « Envoyer », le message peut porter des documents de votre espace que vous avez choisis dans « Joindre » (dix au plus, 12 Mo en tout) : +Connect les ajoute au message qu'il dépose ou réécrit dans votre boîte, puis l'envoie. « Préparer dans Gmail » ne les porte pas, et la version de Gmail ne part pas avec eux. +Connect n'envoie un e-mail depuis votre boîte que lorsque vous cliquez vous-même : ni un automatisme, ni une relance, ni l'assistant n'envoie rien de lui-même.

Ce que nous ne relevons pas. Les e-mails qui ne sont ni dans votre boîte de réception ni dans vos envoyés (archivés, ou rangés par un filtre sans passer par la boîte de réception) ; le spam, la corbeille, les brouillons, les onglets Promotions, Réseaux sociaux et Forums ; et les e-mails que vous marquez comme personnels : un objet qui contient le mot entier personnel, personnelle, personnels, personnelles, privé, privée, privés, privées, perso ou persos, ou un libellé Gmail dont le nom — ou l'un de ses niveaux, comme dans « Perso/Banque » — est exactement l'un de ces mots, sans tenir compte des majuscules ni des accents. Pour les écarter, +Connect ne demande à Google que leur objet, leurs libellés et leur date — sauf si l'e-mail change pendant sa relève, entre ses deux lectures (un tel libellé posé, ou un passage au spam ou à la corbeille) : il est alors écarté après avoir été lu en entier. Un libellé créé pendant une relève n'est reconnu qu'à la suivante. La relève n'en conserve rien. Un libellé posé après la relève ne retire pas un e-mail déjà relevé.

Ce que nous en faisons. Les e-mails relevés apparaissent dans l'onglet Mails de +Connect, visibles du dirigeant et des administrateurs de votre entreprise, et d'eux seuls. Ceux que vous avez reçus suivent ensuite le chemin des e-mails reçus sur votre adresse +Connect, décrit dans la liste des flux plus bas : leur objet et leur texte sont lus par notre moteur d'IA (Anthropic), pour en connaître la nature, sans devenir un document, si la messagerie est allumée et la boîte connectée au moment de cette lecture (un e-mail relevé dont la lecture tombe pendant que la messagerie est désactivée ou sa boîte déconnectée n'est pas lu, et ne l'est pas après le rallumage : il reste dans l'onglet Mails, tenu pour classé en accès restreint) — sauf les messages automatiques (réponses automatiques et lettres d'information, reconnues à leurs en-têtes ; messages envoyés depuis une adresse de type « ne pas répondre », de notification, de rebond ou d'administrateur de messagerie ; alertes envoyées depuis les domaines accountprotection.microsoft.com, account.microsoft.com et id.apple.com), qui ne sont pas lus ; l'expéditeur d'un message automatique qui porte une pièce jointe en PDF ou en image est quand même rapproché de vos fiches — clients, fournisseurs, sous-traitants et demandes par son adresse ; fournisseurs, sous-traitants et clients professionnels par son domaine —, sans que le message soit lu ; un message de moins de 30 caractères est classé sans être transmis, et un message dont l'objet ou le texte contient un numéro de sécurité sociale ou des mentions de bulletin de paie que +Connect reconnaît ne part pas. Leurs pièces jointes en PDF ou en image, dix au plus par e-mail, sont rangées dans vos documents : lues par nos moteurs d'IA (Anthropic ; Mistral AI pour le texte des pièces scannées et des images) pour être classées et résumées, puis indexées par Voyage AI pour la recherche ; +Connect les relie aussi à vos clients, fournisseurs et devis. Cette analyse se fait tant que la messagerie est allumée et la boîte connectée : une pièce jointe dont l'analyse tombe pendant que la messagerie est désactivée ou sa boîte déconnectée n'est pas envoyée — elle apparaît en échec dans vos documents, et pour qu'elle soit analysée, il faut la supprimer, puis la déposer à nouveau (tant qu'elle n'est pas supprimée, la même pièce reçue ou déposée de nouveau retombe sur elle) ; une pièce déjà analysée dont l'indexation était encore en attente n'est envoyée à Voyage AI qu'une fois la messagerie rallumée et la boîte connectée. Deux fenêtres restent : une analyse déjà commencée quand la messagerie est désactivée ou la boîte déconnectée peut avoir envoyé tout ou partie de la pièce, et un rattrapage d'indexation déjà en cours laisse partir au plus dix pièces par entreprise. Ceux que vous avez envoyés restent dans l'onglet Mails : ni leur texte ni leurs pièces jointes n'entrent dans vos documents. ⚠️ Le texte d'un e-mail relevé, reçu ou envoyé, part aussi chez Anthropic quand la personne qui a connecté la boîte fait préparer une réponse dans sa conversation (« ✨ Rédiger la réponse » ou « ✨ Améliorer » — voir la liste des flux plus bas). ⚠️ Dans un cabinet de syndic de copropriété, le texte d'un e-mail reçu part aussi chez Anthropic quand le dirigeant ou un administrateur — pas seulement la personne qui a connecté la boîte — fait préparer, depuis la demande née de cet e-mail, la réponse à la personne qui a écrit, ou un e-mail au prestataire, à l'assureur ou au conseil syndical (« Préparer la réponse », « Prévenir… » — voir la liste des flux plus bas) ; comme la lecture, c'est borné à la messagerie allumée et à la boîte connectée. ⚠️ L'objet d'un e-mail, reçu ou envoyé, peut toutefois figurer dans une réponse de la barre quand vous lui demandez vos mails, et repartir chez Anthropic avec les messages suivants de la conversation, comme toute réponse de la barre. Son objet peut aussi figurer dans la liste ou la carte qu'elle vous montre quand vous lui demandez un geste sur l'un d'eux — le marquer comme traité, y répondre. Ce que +Connect dépose dans votre boîte — brouillons, envois — passe par Google, le fournisseur de votre boîte, que vous avez choisi.

Ce que nous ne faisons jamais. Modifier, déplacer, archiver, supprimer ou marquer comme lu un e-mail de votre boîte, hors les brouillons que +Connect a lui-même déposés ; lire, par la connexion de votre boîte, vos contacts, votre agenda ou vos fichiers Google — vos fichiers Google Drive ne sont lus que si vous connectez un Drive, et seulement ceux que vous choisissez (voir Votre Google Drive, si vous le connectez) ; utiliser vos e-mails pour de la publicité, les vendre, ou les transmettre à quiconque d'autre que les sous-traitants nommés sur cette page, pour les seules fonctions décrites ici — hors les e-mails que vous envoyez vous-même ; utiliser vos e-mails pour créer, entraîner ou améliorer un modèle d'intelligence artificielle, le nôtre ou celui d'un fournisseur — chez Mistral AI, cela repose sur un réglage de notre compte, pas sur une clause, et le contrat de Mistral AI lui laisse une modération automatique, à ses propres fins, le temps de la lecture ; chez Voyage AI, sur ses conditions d'utilisation (section 3), qui excluent de l'entraînement les contenus transmis à partir de la désactivation du 8 août 2026, posée sur notre compte — les e-mails relevés ne lui ont été transmis qu'après cette désactivation (voir « Entraînement des modèles » et le tableau des sous-traitants, plus bas). Nous nous engageons à ce que personne chez +Connect ne lise vos e-mails, sauf à votre demande pour un message précis, pour un incident de sécurité, ou si la loi l'exige. Les accès techniques à la base décrits plus bas (« Cloisonnement ») existent — la sauvegarde et les constats lisent la base entière, e-mails compris — et cet engagement vaut aussi pour eux : personne ne s'en sert pour lire vos e-mails.

Combien de temps. L'accès à votre boîte dure jusqu'à ce que vous cliquiez sur « Déconnecter » dans +Connect — la personne qui a connecté la boîte, ou le dirigeant —, que le compte de cette personne soit supprimé, ou que vous retiriez l'accès depuis votre compte Google. La relève d'une boîte s'arrête quand la personne qui l'a connectée n'est plus dirigeant ni administrateur — un message peut encore être relevé dans les instants qui suivent — et reprend si elle le redevient, en rattrapant les e-mails arrivés entre-temps, dans la limite de trente jours (de sept, et 2 000 messages au plus, si Google n'a plus l'historique de la boîte depuis l'arrêt). Cette personne peut déconnecter sa boîte quel que soit son rôle : depuis +Connect, une fois les conditions acceptées par le dirigeant, ou à tout moment depuis son compte Google. Quand la boîte est déconnectée dans +Connect, le journal des envois de cette boîte est supprimé. Les clés d'accès que Google nous remet sont chiffrées ; à la déconnexion dans +Connect, nous demandons à Google de les révoquer et nous les supprimons. Si +Connect perd l'accès à la boîte — par exemple parce que vous l'avez retiré depuis votre compte Google, ou que Google l'a fermé — et qu'il le constate (à la relève suivante, quand elle tourne, ou quand une réponse y est préparée ou envoyée), il garde trente jours ses clés d'accès, chiffrées, et le journal des envois de la boîte, le temps de la reconnecter sans rien perdre ; passé ce délai, une tâche quotidienne déconnecte la boîte, comme à « Déconnecter ». Dans les deux cas, si ces clés ne se lisent plus, nous ne pouvons pas en demander la révocation : nous les supprimons. Nous gardons alors, quatre-vingt-dix jours, l'adresse de la boîte et la personne qui l'a connectée : si cette personne reconnecte la boîte, elle retrouve ses e-mails relevés et peut de nouveau y répondre depuis +Connect. Elles sont ensuite effacées par une tâche quotidienne — ou plus tôt, si une autre personne connecte cette boîte, si le compte de la personne est supprimé, ou si l'entreprise est supprimée. Le dirigeant peut aussi désactiver la messagerie : la relève s'arrête, sans rien effacer, et un e-mail relevé dont la lecture tombe pendant qu'elle est désactivée n'est pas lu par notre moteur d'IA, ni la demande du syndic qui en est née (voir la liste des flux, plus bas) — sauf ce qu'une lecture déjà en cours a retenu avant la désactivation : pour les demandes du syndic, dix au plus, dont l'envoi commence dans les trente secondes qui suivent. Les pièces jointes suivent leur propre règle (plus haut) : une pièce déjà analysée reste un document comme les autres, sauf son indexation si elle était encore en attente ; une pièce dont l'analyse n'avait pas commencé n'est pas envoyée tant que la messagerie est désactivée ou la boîte déconnectée — elle apparaît en échec, et pour qu'elle soit analysée, il faut la supprimer, puis la déposer à nouveau —, sauf une analyse déjà commencée, qui peut avoir envoyé tout ou partie de la pièce, et le rattrapage d'indexation déjà en cours, dix pièces au plus par entreprise. Et l'objet d'un e-mail peut encore figurer dans une réponse de la barre (plus haut). La fermeture du compte, elle, n'arrête la relève qu'à la fin de la période de lecture qui la suit — quatre-vingt-dix jours au plus : pour l'arrêter avant, cliquez sur « Déconnecter ».

Les e-mails déjà relevés restent dans votre espace après la déconnexion. Leur durée de conservation prévue est de cinq ans après leur réception ou leur envoi, puis leur contenu — adresses, objet, texte — est effacé ; l'e-mail par lequel un client a accepté un devis est gardé avec le devis. ⚠️ Cet effacement n'est pas encore automatique : il est fait lors d'une purge que nous lançons à la main, sans date fixée — il en va de même des e-mails reçus sur votre adresse +Connect. Le texte d'un e-mail reçu ne devient plus un document depuis le 13 octobre 2026 ; ceux qui en étaient nés avant, retirés de votre vue, sont supprimés cinq ans après leur entrée dans votre espace, par une tâche quotidienne. Les pièces jointes rangées deviennent des documents de votre espace : elles n'ont pas cette durée. Seuls les documents du personnel et les CV ont aujourd'hui une échéance automatique ; les autres restent jusqu'à ce que vous les supprimiez ou les mettiez à la corbeille (« Combien de temps », plus bas) — et +Connect refuse de supprimer une pièce que la loi vous oblige à conserver, comme une facture (voir « En une phrase », en tête de page). À la fermeture du compte, tout cela suit le sort de vos autres données (« Combien de temps », plus bas).

Chaque envoi fait depuis +Connect est inscrit dans un journal : qui l'a envoyé, quand, depuis quelle boîte, réponse ou nouveau message, les adresses des destinataires, s'il est parti ou la raison d'un échec, et l'identifiant que Gmail donne au message envoyé — ni l'objet, ni le texte. Pour chaque document de votre espace joint à un envoi parti, ou peut-être parti, il garde aussi son identifiant, son empreinte et son poids — ni son nom, ni son contenu. Les destinataires y sont gardés même pour un message que la relève écarte comme personnel. Ce journal est supprimé douze mois après l'envoi, par une tâche quotidienne, ou plus tôt, quand la boîte est déconnectée dans +Connect — d'un clic, ou par la tâche quotidienne trente jours après la perte de l'accès (plus haut) — ou avec le compte de la personne qui a envoyé. Si un correspondant demande l'effacement de ses données, son adresse est remplacée dans ce journal ; la ligne est gardée. Le message envoyé, lui, n'entre dans l'onglet Mails que par la relève, comme les autres envoyés de la boîte, et à ses conditions : pas s'il est personnel, pas tant que la boîte est déconnectée, la messagerie désactivée ou que la personne qui l'a connectée n'est ni dirigeant ni administrateur, et seulement s'il a moins de trente jours.

Utilisation limitée. L'utilisation et le transfert à toute autre application des informations reçues des API Google par +Connect respectent les Règles d'utilisation des données utilisateur des services d'API Google, y compris les exigences d'utilisation limitée. Voyage AI n'utilise pas ces données pour entraîner ses modèles : cette utilisation est désactivée sur notre compte (état vérifié le 7 octobre 2026), et ses conditions d'utilisation (section 3, version du 27 mai 2026) prévoient que les contenus transmis à partir de la désactivation du 8 août 2026 ne servent pas à entraîner ses modèles et sont supprimés dès leur traitement. Les e-mails de votre boîte Gmail ne lui ont été transmis qu'après cette désactivation : la relève des boîtes Gmail n'existe dans +Connect que depuis octobre 2026.

Votre boîte Outlook ou Microsoft 365, si vous la connectez

Si vous connectez la boîte Outlook d'un compte professionnel Microsoft 365 (Réglages › Messagerie, une fois la messagerie activée par le dirigeant de votre entreprise), +Connect y accède par l'API Microsoft Graph, avec quatre permissions que Microsoft dit déléguées, demandées à la connexion, et deux autres, demandées à part (ci-dessous) : elles ne valent que pour la personne qui se connecte. Seuls le dirigeant et les administrateurs de votre entreprise peuvent connecter une boîte. Un compte Microsoft personnel (outlook.com, hotmail.com) est refusé.

• Vous connecter et lire votre profil (openid et User.Read) : selon Microsoft, elles permettent de lire le profil de la personne connectée et des informations de base sur son organisation. +Connect ne lit de ce profil que son identifiant et l'adresse de la boîte, et n'en garde que l'adresse ; le jeton d'identité que Microsoft remet avec openid n'est pas gardé.
• Lire vos e-mails (Mail.Read) : selon Microsoft, elle permet de lire toute la boîte. +Connect n'en relève que les e-mails de la Boîte de réception, de ses sous-dossiers et des Éléments envoyés — cinquante dossiers au plus pour une boîte, ces deux-là compris ; la liste des sous-dossiers est relue à chaque relève : à la première relève d'un dossier, ceux des 30 derniers jours, 2 000 au plus ; ensuite, les nouveaux, par la même tâche planifiée que les boîtes Gmail.
• Garder cet accès (offline_access), sans vous le redemander à chaque relève.
• Préparer des brouillons (Mail.ReadWrite), demandée à part, la première fois que vous voulez préparer dans Outlook ou envoyer d'ici une réponse ou un nouveau message, et par la seule personne qui a connecté la boîte : elle seule peut y écrire. Selon Microsoft, elle permet de lire, créer, modifier et supprimer les e-mails de la boîte, sans permettre d'en envoyer. +Connect ne s'en sert que pour déposer un brouillon quand vous cliquez sur « Préparer dans Outlook » ou sur « Envoyer » : la réponse à un e-mail relevé, qu'Outlook rattache à sa conversation, avec le texte écrit dans +Connect, ou un nouveau message, avec son objet, son texte et ses destinataires. Quand vous cliquez sur « Envoyer » (cabinets de syndic de copropriété), il y ajoute les documents de votre espace que vous avez joints (dix au plus, moins de 3 Mo chacun, 12 Mo en tout). Avec « Préparer dans Outlook », le brouillon vous attend dans les Brouillons de votre boîte, et vous l'envoyez depuis Outlook. Si vous cliquez de nouveau sur « Préparer dans Outlook » ou sur « Envoyer » pour la même réponse, depuis le même onglet, dans les vingt-quatre heures qui suivent la dernière préparation du brouillon par +Connect, +Connect remplace le texte de ce brouillon au lieu d'en déposer un second — sauf s'il a été modifié dans Outlook entre-temps : rien n'est alors remplacé ni envoyé, et +Connect vous demande quoi faire ; pour le savoir, il ne lit chez Microsoft que la version du brouillon et, avant un envoi, ses destinataires (À, Cc, Cci), jamais son contenu. Pour un brouillon auquel il ajoute des documents, +Connect retient une empreinte de l'identifiant de ce brouillon et, pour chaque document, son identifiant dans votre espace et s'il est joint — ni son nom, ni son contenu — : tant qu'il les retient, il ne les joint pas deux fois. Ce qu'il retient est effacé quand Microsoft confirme l'envoi, quand un nouvel « Envoyer » trouve le brouillon sorti de vos Brouillons, et au plus tard le lendemain de 25 heures sans nouvel « Envoyer » ni « Préparer dans Outlook » de ce brouillon ; déconnecter la boîte ne l'efface pas. Une fois ce qu'il retient effacé, un brouillon qu'il avait garni et qu'il reprendrait ensuite serait traité comme un brouillon d'Outlook : un document coché de nouveau y serait joint une seconde fois, et les documents qu'il porte partiraient sans être notés au journal. +Connect ne garde ni ce brouillon, ni son texte ; l'onglet garde, vingt-quatre heures au plus, son identifiant, deux empreintes qui permettent de le retrouver, les identifiants dans votre espace des documents que vous y avez déjà joints, s'il en porte, et le texte de la réponse pour la fenêtre rouverte sur le même e-mail — jamais pour un e-mail classé sensible. Rangé dans les Brouillons, le brouillon n'est pas relevé ; une fois envoyé, il est relevé avec vos autres e-mails envoyés. Après une reconnexion de la boîte, +Connect redemande cette permission au clic suivant.
• Envoyer depuis votre boîte (Mail.Send), demandée à part, la première fois que vous cliquez sur « Envoyer » pour cette boîte, et par la seule personne qui l'a connectée : elle seule peut envoyer depuis elle. Selon Microsoft, elle permet d'envoyer des e-mails au nom des utilisateurs de l'organisation. +Connect ne s'en sert que pour envoyer, quand vous cliquez sur « Envoyer », le brouillon qu'il vient de déposer ou de réécrire dans votre boîte — ou, si vous l'avez choisi, ce brouillon tel que vous l'avez modifié dans Outlook. Avec « Envoyer » (cabinets de syndic de copropriété), le message peut porter des documents de votre espace que vous avez choisis dans « Joindre » (dix au plus, moins de 3 Mo chacun, 12 Mo en tout) : +Connect les ajoute au brouillon qu'il dépose ou réécrit dans votre boîte, puis l'envoie. « Préparer dans Outlook » ne les porte pas, et la version d'Outlook ne part pas avec eux. L'e-mail part de votre adresse, et Microsoft le range dans vos Éléments envoyés. +Connect n'envoie rien de lui-même : ni un automatisme, ni une relance, ni l'assistant n'envoie un e-mail ; et jamais un autre message que ce brouillon. Au plus vingt envois par heure, et un nombre fixé par jour, partent ainsi d'une même boîte ; au-delà, rien ne part et +Connect vous le dit. Avant d'envoyer, +Connect vérifie que le brouillon est adressé aux destinataires qu'il vous montre — l'expéditeur de l'e-mail pour une réponse, ceux que vous avez saisis pour un nouveau message —, y compris un brouillon préparé plus tôt, ou modifié dans Outlook puis remplacé par la version de +Connect : sinon (une adresse de réponse différente, ou des destinataires changés dans Outlook), rien ne part, et +Connect vous le dit ; seul votre choix d'envoyer la version d'Outlook l'envoie tel qu'il est adressé. Remplacer la version d'Outlook par celle de +Connect ne change que l'objet et le texte du brouillon, et y ajoute les documents que vous avez joints dans +Connect : une pièce jointe ajoutée dans Outlook part avec lui — sauf si +Connect y a ajouté des documents qu'il retient encore : un brouillon garni par +Connect puis modifié dans Outlook ne part alors pas depuis +Connect. Envoyer la version d'Outlook telle qu'elle est ne porte pas les documents joints dans +Connect : avec des documents joints, rien ne part. Si l'envoi ne part pas après l'ajout des documents, le brouillon et ses pièces restent dans vos Brouillons ; « Envoyer » de nouveau, depuis le même onglet dans les vingt-quatre heures, le reprend sans y joindre de nouveau les documents déjà ajoutés, tant que +Connect les retient — un document dont Microsoft n'a pas confirmé l'ajout compte comme ajouté : s'il n'avait pas été ajouté, le courriel part sans lui. Tant que +Connect retient ces documents, si ce brouillon est ensuite modifié dans Outlook, ou si +Connect n'a pas pu relire sa version après y avoir ajouté les documents, rien ne part depuis +Connect (« Préparer dans Outlook » non plus ne le réécrit pas) : envoyez-le depuis Outlook — ses documents partent alors sans être notés au journal de +Connect —, ou supprimez-le et cliquez de nouveau sur « Envoyer ». Après une reconnexion de la boîte, +Connect redemande cette permission au clic suivant.

Microsoft vous demande votre accord pour ces permissions, sauf s'il est déjà donné — par vous, ou par l'administrateur Microsoft 365 de votre organisation, pour toute l'organisation. S'il doit d'abord les accorder, la page Messagerie de +Connect vous donne, avant même que vous connectiez votre boîte, trois liens à lui transmettre, au choix : « Lire les mails » (les quatre permissions de la connexion), « Lire et préparer des brouillons » (les mêmes, et Mail.ReadWrite) et « Lire, préparer et envoyer au clic » (les mêmes, Mail.ReadWrite et Mail.Send). Chacun n'accorde que ses permissions, pour toute l'organisation, et n'ouvre à +Connect aucune boîte : chacune est connectée par la personne qui la tient. Des trois liens, seul le troisième accorde l'envoi d'avance, et même alors rien ne part sans le clic de la personne qui a connecté la boîte. L'administrateur peut aussi accorder ces permissions depuis son propre centre d'administration Microsoft ; dans tous les cas, +Connect demande les permissions des brouillons et de l'envoi à la personne qui a connecté la boîte, la première fois qu'elle en a besoin — Microsoft ne lui redemande alors pas son accord si elles sont déjà accordées. Quand l'administrateur n'a pas accordé d'avance les permissions des brouillons ou de l'envoi, il peut avoir à les accorder à la première demande : si Microsoft refuse alors l'accès — en disant qu'il faut l'accord d'un administrateur, ou sans en dire la raison, ce qu'il fait aussi quand vous annulez vous-même —, +Connect vous donne le lien des brouillons ou celui de l'envoi, selon ce qui était demandé. Dans une boîte Outlook, +Connect n'écrit que les brouillons que vous y préparez, et n'envoie que ceux que vous envoyez, d'un clic ; sa relève ne fait que lire.

Ce que nous ne relevons pas. Les e-mails rangés dans un autre dossier que la Boîte de réception, ses sous-dossiers et les Éléments envoyés — l'archive, le courrier indésirable, les éléments supprimés, les brouillons, les dossiers de recherche et les dossiers qu'Outlook masque ; au-delà de cinquante dossiers, les sous-dossiers suivants, dans l'ordre de leurs niveaux puis de leurs noms (la page Messagerie dit combien, et lesquels à la personne qui a connecté la boîte) — et, si la Boîte de réception a plus de sous-dossiers que +Connect n'en lit en une relève, ceux qu'il n'a pas vus ; un sous-dossier dont le nom contient l'un des mots ci-dessous, et tous les dossiers qu'il contient : +Connect n'en reçoit que le nom, l'identifiant et le nombre de sous-dossiers, dans la liste des sous-dossiers de son dossier parent, et rien de leurs e-mails ; et les e-mails que vous marquez comme personnels : un objet qui contient le mot entier personnel, personnelle, personnels, personnelles, privé, privée, privés, privées, perso ou persos, ou une catégorie Outlook dont le nom — ou l'un de ses niveaux, comme dans « Perso/Banque » — est exactement l'un de ces mots, sans tenir compte des majuscules ni des accents, ou la sensibilité « Personnel » ou « Privé » qu'Outlook permet de donner à un message (« Confidentiel » n'écarte pas un e-mail) ; un e-mail qui porte plus de cinquante catégories, ou dont la sensibilité ne se lit pas, est aussi écarté. Pour les écarter, +Connect ne reçoit de Microsoft que leur objet, leurs catégories, leur sensibilité, leur dossier, leur date de réception et leurs identifiants : il lit d'abord l'objet, les catégories, le dossier et la date de l'e-mail, puis, si rien de cela ne l'écarte, sa seule sensibilité, et ne lit l'e-mail en entier qu'ensuite, s'il n'est pas écarté — sauf si l'e-mail prend un tel objet, une telle catégorie ou une telle sensibilité pendant sa relève, entre la lecture qui cherche cette marque et celle de l'e-mail entier : il est alors écarté après avoir été lu en entier. La relève n'en conserve rien. Une catégorie ou une sensibilité posée après la relève ne retire pas un e-mail déjà relevé, ni un rangement : un e-mail déplacé de la Boîte de réception ou de l'un de ses sous-dossiers relevés vers un autre n'est ni relu ni relevé une seconde fois (son identifiant d'en-tête, le Message-ID, le fait reconnaître) ; déplacé dans les Éléments envoyés, il est relu, sans être gardé deux fois ; et un e-mail déplacé hors des dossiers relevés reste dans +Connect. Pour la page Messagerie, +Connect garde le nombre de dossiers relevés, le nombre de sous-dossiers qu'il ne relève pas au-delà de cinquante et le nom des premiers d'entre eux, vingt au plus, et le nombre de sous-dossiers écartés parce qu'ils sont personnels — jamais leur nom.

Ce que nous en faisons. Les e-mails relevés dans une boîte Outlook suivent le chemin de ceux d'une boîte Gmail (« Ce que nous en faisons », plus haut) : ils apparaissent dans l'onglet Mails, visibles du dirigeant et des administrateurs de votre entreprise ; ceux que vous avez reçus sont lus par notre moteur d'IA (Anthropic) pour en connaître la nature, si la messagerie est allumée pour Outlook et la boîte connectée au moment de cette lecture (un e-mail relevé dont la lecture tombe pendant que la messagerie est désactivée ou la boîte déconnectée n'est pas lu, et ne l'est pas après le rallumage), et leurs pièces jointes en PDF ou en image, dix au plus par e-mail, sont rangées dans vos documents et analysées comme celles d'une boîte Gmail, tant que la messagerie est allumée pour Outlook et la boîte connectée, avec les mêmes deux fenêtres ; ceux que vous avez envoyés restent dans l'onglet Mails. La personne qui a connecté la boîte peut y faire rédiger ou améliorer la réponse à un e-mail reçu, comme pour une boîte Gmail (voir la liste des flux plus bas). Dans un cabinet de syndic de copropriété, le dirigeant ou un administrateur peut aussi faire préparer chez Anthropic, depuis la demande née d'un e-mail reçu dans cette boîte, la réponse ou un e-mail à un tiers, comme pour une boîte Gmail, tant que la messagerie est allumée pour Outlook et la boîte connectée. Microsoft est le fournisseur de votre boîte, que vous avez choisi : il n'est pas un sous-traitant de +Connect. Les engagements de « Ce que nous ne faisons jamais », plus haut, valent aussi pour ces e-mails, avec leurs réserves ; et dans cette boîte, +Connect ne dépose que les brouillons que vous y préparez, et n'envoie que ceux que vous envoyez (plus haut), par Microsoft, le fournisseur de votre boîte.

Chaque envoi fait depuis +Connect par une boîte Outlook est inscrit au même journal que ceux d'une boîte Gmail (« Chaque envoi fait depuis +Connect… », plus haut) : qui l'a envoyé, quand, depuis quelle boîte, réponse ou nouveau message, les adresses des destinataires, s'il est parti ou la raison d'un échec — ni l'objet, ni le texte, ni un identifiant chez Microsoft, qui n'en donne aucun pour un message envoyé. Pour chaque document de votre espace joint — ou peut-être joint — à un envoi parti, ou peut-être parti, il garde aussi son identifiant, son empreinte et son poids — ni son nom, ni son contenu. Il ne note que les documents que +Connect sait avoir joints : un brouillon garni puis envoyé depuis Outlook les emporte sans ligne, de même qu'un brouillon garni repris depuis +Connect après l'effacement de ce qu'il en retenait. Il est supprimé dans les mêmes cas et aux mêmes délais ; si un correspondant demande l'effacement de ses données, son adresse y est remplacée, la ligne gardée. Le message envoyé n'entre dans l'onglet Mails que par la relève de vos Éléments envoyés, comme les autres.

Combien de temps. L'accès à votre boîte Outlook dure jusqu'à ce que vous cliquiez sur « Déconnecter » dans +Connect — la personne qui a connecté la boîte, ou le dirigeant —, que le compte de cette personne soit supprimé, ou que l'accès soit retiré chez Microsoft. ⚠️ Microsoft ne permet pas à +Connect de retirer lui-même l'accès que vous lui avez donné, avec les permissions qu'il demande. À la déconnexion dans +Connect, la relève s'arrête, et nous supprimons les clés d'accès que Microsoft nous a remises (chiffrées tant que nous les gardons) ainsi que les repères de relève de la boîte, ce qu'elle garde de ses dossiers et le journal de ses envois : la relève ne la lit plus. Une copie de ces clés reste pourtant, chiffrée, dans nos sauvegardes jusqu'à leur échéance (« Les sauvegardes », plus bas), et Microsoft tient une clé de rafraîchissement pour valable, par défaut, quatre-vingt-dix jours tant que l'accès n'est pas retiré chez lui : c'est pourquoi ce retrait compte. L'autorisation donnée à +Connect reste en effet inscrite chez Microsoft, jusqu'à ce que vous la retiriez depuis votre compte Microsoft (« Mes applications », myapps.microsoft.com, dont la page Messagerie vous donne le lien quand vous déconnectez la boîte) ou que l'administrateur Microsoft 365 de votre organisation la retire — c'est à lui de le faire si votre organisation a donné son accord pour tous. Comme pour une boîte Gmail : la relève s'arrête quand la personne qui a connecté la boîte n'est plus dirigeant ni administrateur, et reprend si elle le redevient, dans la limite de trente jours (de sept, et 2 000 messages au plus, si Microsoft ne peut plus reprendre le suivi d'un dossier là où il s'était arrêté). Si Microsoft refuse l'accès de +Connect à la boîte — l'accès retiré, l'application +Connect supprimée ou désactivée par l'administrateur Microsoft 365 de votre organisation, une nouvelle connexion exigée par votre organisation, une clé de rafraîchissement échue —, ou si ses clés d'accès ne se lisent plus, la relève de cette boîte s'arrête aussitôt : +Connect ne présente plus ses clés à Microsoft, et la page Messagerie dit que la boîte est à reconnecter ; reconnectée sous la même adresse, c'est la même boîte qui reprend, avec ses e-mails relevés. Une panne passagère chez Microsoft (un service indisponible, une limite de débit) n'arrête pas la boîte : la relève suivante réessaie. Si c'est l'application +Connect elle-même que Microsoft refuse (son secret expiré), la relève de toutes les boîtes Outlook est interrompue sans qu'aucune soit arrêtée ni déconnectée : chaque passage réessaie, et +Connect inscrit une alerte dans son journal d'exploitation jusqu'à ce que ce secret soit renouvelé. Si +Connect a constaté qu'il a perdu l'accès à la boîte et qu'elle n'est pas reconnectée, il garde trente jours ses clés d'accès, chiffrées, puis une tâche quotidienne la déconnecte, comme à « Déconnecter » ; après la déconnexion, nous gardons quatre-vingt-dix jours l'adresse de la boîte et la personne qui l'a connectée — si cette personne la reconnecte dans ce délai, elle retrouve ses e-mails relevés —, puis elles sont effacées par une tâche quotidienne, ou plus tôt, si une autre personne connecte cette boîte, si le compte de la personne est supprimé, ou si l'entreprise est supprimée. Les e-mails déjà relevés restent dans votre espace après la déconnexion, avec la durée dite plus haut pour ceux d'une boîte Gmail. Comme pour une boîte Gmail encore, la personne qui a connecté la boîte peut la déconnecter quel que soit son rôle ; le dirigeant peut désactiver la messagerie, ce qui arrête la relève sans rien effacer ; et la fermeture du compte n'arrête la relève qu'à la fin de la période de lecture qui la suit — quatre-vingt-dix jours au plus.

Vos questions

Quand vous posez une question, la question elle-même est traitée comme une donnée. Pour aller chercher la bonne réponse dans vos documents, son texte est transmis au moteur d'indexation décrit plus bas, situé aux États-Unis. Ce que vous écrivez dans une question part donc avec elle — y compris le nom d'un salarié, d'un client ou d'un fournisseur si vous l'y écrivez.

Ce point n'est pas filtré, et il ne peut pas l'être. Nous excluons les documents à accès restreint de l'indexation ; nous ne pouvons pas en faire autant d'une question. Pour retrouver un document, une question doit être comparée à ces documents par le même moteur : en retirer un nom avant de la traiter reviendrait à chercher autre chose que ce que vous avez demandé. Nous préférons vous le dire plutôt que d'installer une protection qui n'en serait pas une.

Et l'exclusion des documents a elle-même ses limites — elles sont décrites plus bas, § « Ce qui est exclu, et ce qui ne l'est pas ».

Ce que vous pouvez faire : une question fonctionne aussi bien sans nom propre — « quelles absences ce mois-ci ? » plutôt que le nom d'une personne. Ce n'est pas une obligation, c'est le seul levier qui soit entre vos mains.

Conservation : 12 mois. Vos questions et les réponses associées sont conservées douze mois, puis supprimées. La tâche de suppression est planifiée chaque jour, et nous avons vérifié le 4 septembre 2026, sur la réponse de la tâche planifiée elle-même, qu'elle est réglée pour supprimer et non seulement pour compter — rien n'avait encore atteint douze mois ce jour-là, donc rien n'avait encore été supprimé. Douze mois couvrent un cycle complet d'activité — vous retrouvez la question que vous aviez posée l'an dernier à la même période — et c'est assez court pour du texte libre où un nom peut apparaître. Une réserve, et elle compte : cette durée est celle de la base qui vous répond. Une copie de sauvegarde peut conserver la donnée plus longtemps — voir Les sauvegardes ci-dessous.

Cloisonnement

Les données d'une entreprise ne sont jamais mélangées à celles d'une autre dans l'application. Chaque requête de l'application est filtrée par entreprise, et des tests dédiés vérifient ce cloisonnement à chaque livraison de code. La restriction « dans l'application » n'est pas une précaution de style : des accès techniques à la base de données la contournent, chacun pour ce que son travail exige : la sauvegarde chiffrée hors-site (quotidienne), un rapport hebdomadaire sur les demandes que le produit n'a pas su traiter — suspendu depuis le 6 octobre 2026 —, les constats techniques lancés à la main, et l'accès d'administration qui sert les déploiements, les purges de conservation et les demandes d'effacement. La sauvegarde et les constats lisent l'ensemble des données. Le rapport hebdomadaire lisait une table qui enregistre les demandes restées sans réponse, ligne à ligne et pour tous nos clients ; la requête n'en prenait que le métier, un verbe, une date et un jeton non réversible — pas l'identifiant de l'entreprise, que la table porte pourtant. L'accès d'administration peut modifier les données ; ceux de la sauvegarde et des constats n'en ont pas le droit, et nous le vérifions automatiquement à chaque livraison, sur une base de test construite par les mêmes migrations que la base de production. Celui du rapport hebdomadaire est créé chez notre hébergeur, hors de ces migrations : il est destiné à la seule lecture, mais ce contrôle ne le couvre pas, et nous n'avons pas encore relevé ses droits. Jusqu'à sa suspension, le rapport hebdomadaire s'exécutait hors Union européenne ; les autres accès, non. Leurs identifiants ne figurent dans aucun code. Nous n'écrivons pas ici leur nombre : il se relève, et vous pouvez nous en demander l'état daté. Ces tests couvrent les surfaces les plus sensibles, et cette couverture n'est pas encore complète : nous l'étendons, et nous préférons le dire que de laisser croire à un contrôle exhaustif.

Combien de temps

Tant que votre compte est actif, et selon les durées propres à chaque type de document (certaines sont imposées par la loi : dix ans pour une facture émise, dix ans après réception pour une photo de chantier au titre de la garantie décennale). À la fermeture du compte, vous gardez quatre-vingt-dix jours d'accès en lecture pour exporter vos données. Elles sont ensuite supprimées, factures émises comprises (leur conservation vous incombe) : de la base qui fait tourner le produit à la fin de ce délai, des copies de sauvegarde à leur échéance (Les sauvegardes).

La corbeille : trente jours au plus. Le dirigeant ou un administrateur peut mettre un document à la corbeille : depuis la page Documents (un document, ou plusieurs à la fois), depuis l'aperçu d'un document, depuis la barre de recherche, qui demande toujours une confirmation, ou, quand +Connect n'a pas su ranger un document ou l'a rangé sans certitude et demande où il va, en répondant qu'il ne lui sert à rien. Le document va alors à la corbeille : il disparaît de vos documents, des recherches et du cerveau, mais il est conservé trente jours au plus, pendant lesquels le dirigeant ou un administrateur peut le récupérer tel qu'il était, ou le supprimer définitivement (page Documents, « Corbeille ») : il est alors effacé tout de suite, comme une suppression depuis la page Documents. À partir du lendemain du trentième jour, la tâche quotidienne de suppression efface de la même façon ceux qui y sont encore. Dans les deux cas, sous la réserve des copies de sauvegarde (Les sauvegardes). Tant qu'il est à la corbeille, il figure dans l'export de vos données (droit d'accès), avec la date de sa mise à la corbeille. Ne vont pas à la corbeille : une pièce que la loi vous oblige à conserver, une pièce sensible, et une pièce qui sert déjà ailleurs dans +Connect (une facture, une vente ou un avis en a été tiré, par exemple) — elle se supprime depuis la page Documents.

Les sauvegardes

Nous sauvegardons la base tous les jours. Sans cela, une panne matérielle ou une fausse manœuvre effacerait votre travail sans retour possible — la sauvegarde n'est pas une commodité, c'est ce qui rend le reste sérieux.

La copie est chiffrée avant de quitter nos serveurs. Elle est déposée chez Cloudflare, dans un espace de stockage situé en Union européenne. La clé qui permet de la déchiffrer n'est jamais transmise à Cloudflare, ni conservée sur le serveur qui fabrique la copie : celui-ci sait chiffrer, il ne sait pas relire. Cloudflare détient donc un fichier qu'il ne peut pas ouvrir.

Cela reste un transfert hors d'Europe, et nous ne le présentons pas autrement. Cloudflare est une société américaine. Le stockage en Union européenne et le chiffrement réduisent fortement ce que ce transfert expose — mais le droit s'attache à la possibilité d'un accès depuis un pays tiers, pas au seul lieu de stockage : nommer le prestataire et sa région ne suffit pas. Un tel transfert doit reposer sur un cadre juridique nommé. Ce transfert est encadré par le contrat de traitement des données de Cloudflare : par le Data Privacy Framework UE–États-Unis, auquel Cloudflare, Inc. est certifiée sur la liste lue le 6 octobre 2026 ; au 23 octobre 2026, la liste indique une re-certification en cours d'examen ; à défaut, par les clauses contractuelles types de la Commission européenne.

Combien de temps ces copies vivent : la copie quotidienne est conservée 30 jours ; une copie mensuelle, faite le 1^er de chaque mois, est conservée douze mois.

Ce que cela implique, et nous préférons l'écrire. Une donnée supprimée de la base peut rester présente dans une copie mensuelle jusqu'à douze mois de plus. Bout en bout, entre le moment où une question est posée et celui où il n'en reste aucune trace nulle part, le délai est donc de l'ordre de vingt-quatre mois, et non de douze — « de l'ordre de » parce que l'expiration d'une copie n'est pas instantanée à la seconde près et peut traîner de quelques heures à quelques jours.

Une exception, nommée et datée. Deux copies de sauvegarde prises le 9 juin 2026 sont conservées jusqu'au 31 décembre 2026, en dehors des durées ci-dessus. Elles documentent un incident de confidentialité survenu au printemps 2026 : ce sont les seuls éléments capables d'établir ce que contenait notre base à cette date, et les détruire reviendrait à effacer la preuve d'un fait que nous devons pouvoir constater (article 17.3.e du RGPD). Elles ne sont pas exploitées pour faire fonctionner le service, elles ne sont pas consultées, et elles seront supprimées au terme fixé. Le délai de vingt-quatre mois énoncé ci-dessus vaut pour tout le reste.

La suppression annoncée plus haut porte sur la base qui vous répond — celle qui est interrogée, lue, affichée. ⚠️ Cette phrase a dit « est réelle » jusqu'au 03/09/2026, alors que la page reconnaissait plus haut que la tâche planifiée n'avait pas été vérifiée ; elle l'a été le 4 septembre 2026, et c'est le paragraphe de conservation ci-dessus qui dit ce qui a été vérifié et ce qui ne l'a pas été. C'est le mode de défaillance que cette page a déjà connu — la promesse d'effacement écrite en quatre exemplaires, un seul corrigé — et cette phrase-ci a mis un jour de plus à suivre.

Quand ces copies sont ouvertes. Elles ne servent jamais au fonctionnement du produit : aucune requête, aucun écran, aucune réponse ne les touche. Elles sont ouvertes dans deux cas seulement — restaurer après un incident, et vérifier qu'elles sont réellement restaurables. Ce contrôle consiste à en télécharger une, la déchiffrer et la remonter dans une base jetable, isolée de la production. C'est une mesure de sécurité exigée par le RGPD (article 32) — une sauvegarde qu'on n'a jamais restaurée n'est pas une sauvegarde — et non une exploitation de vos données. Nous le disons parce qu'écrire « jamais consultées » serait plus flatteur et faux. Le dernier contrôle complet date du 12 juin 2026.

Nous ne retirons pas une donnée d'une sauvegarde déjà faite. C'est notre engagement, et il tient quoi qu'il arrive par ailleurs : une demande d'effacement s'applique immédiatement à la base qui vous répond, et les copies qui contiennent encore la donnée expirent d'elles-mêmes aux échéances ci-dessus — nous n'allons pas les rouvrir pour y faire du tri. Et si l'une d'elles devait un jour être remontée en production après un incident, les effacements demandés entre-temps y seraient réappliqués : une restauration ne ressuscite pas ce que vous avez fait supprimer.

Un dispositif technique va dans le même sens : les copies sont protégées contre la modification et la suppression jusqu'à leur échéance, ce qui empêche un attaquant, ou un rançongiciel, d'effacer les sauvegardes en même temps que la base. La contrepartie est que cette protection nous lie aussi. Nous le mentionnons comme une justification, pas comme la raison : une impossibilité technique décrit ce qu'un tiers empêche, un engagement décrit ce que nous faisons — et c'est le second qui vous concerne.

Nos sous-traitants, et où vivent vos données

Nous les nommons tous, y compris ceux qui nous obligent à une réponse inconfortable.

Cette colonne se lit comme un état, pas comme une promesse. Elle dit, pour chaque service, sur quoi repose l'absence d'entraînement — une clause du contrat, un réglage que nous avons posé sur notre compte, ou rien d'établi. Les trois ne se valent pas, et la colonne le dit plutôt que de les confondre. C'est la question qui a manqué la première fois.

D'autres services reçoivent des données pour une fonction précise, quand vous l'activez : votre caisse ou votre logiciel de vente (import de vos ventes), les annuaires publics d'entreprises (vérification d'un SIRET), l'opérateur de facturation électronique (réception de vos factures, non activé à ce jour), et un service météo (aucune donnée vous concernant ne lui est transmise). Ils figurent au registre de nos traitements, que nous communiquons sur demande.

Paiement de l'abonnement — Stripe. Le paiement de votre abonnement et ses factures passent par Stripe Payments Europe, Limited (Dublin, Irlande). Vos coordonnées bancaires sont saisies chez Stripe : +Connect ne les voit ni ne les conserve. Stripe agit pour notre compte pour traiter les paiements, et pour son propre compte pour prévenir la fraude et respecter ses obligations légales. Certaines données peuvent être transférées à Stripe, Inc., aux États-Unis, dans le cadre du Data Privacy Framework UE–États-Unis et des clauses contractuelles types. Les factures sont conservées dix ans. Les autres données de facturation (identité de votre entreprise, adresse et e-mail de facturation, numéro de TVA, historique des paiements) servent à exécuter votre abonnement et à respecter nos obligations comptables ; elles sont conservées pendant la durée du contrat puis cinq ans, à compter de sa fin effective.

Le paiement en ligne n'est pas encore ouvert : à ce jour, aucune donnée n'est transmise à Stripe.

Ce qui sort de l'Union européenne, et ce qui n'en sort pas

Vos documents et votre base sont stockés dans l'Union européenne — y compris les copies de sauvegarde. Mais « stocké en Europe » et « ne sort pas d'Europe » ne sont pas la même chose, et nous ne les confondons pas : plusieurs flux relèvent du régime des transferts hors Union européenne — voici ceux que nous avons mesurés. ⚠️ Nous écrivions « les voici tous » : nous l'avons retiré le 30/08/2026, parce qu'un inventaire de ce type se démode dès qu'une fonctionnalité s'ajoute, et que nous en avons trouvé un de plus le jour même. Le recensement complet est en cours.

D'abord, ceux qui partent vers des services situés aux États-Unis :

• Vos questions, en texte libre, à chaque fois que vous en posez une. Ce flux n'est pas filtré — voir « Vos questions » plus haut.
• Les mots de votre vocabulaire personnel, si vous en avez déclaré à la barre (« quand je dis les gars, je parle des salariés »). Ils accompagnent vos demandes pour que l'assistant comprenne ce qu'un mot désigne pour vous — y compris quand la demande ne contient pas ce mot, et pour aussi longtemps que votre compte existe. ⚠️ Rien ne vérifie qu'un mot déclaré n'est pas le nom de quelqu'un : si vous en écrivez un, il suit ce chemin comme les autres. Vous pouvez tout effacer en le demandant à la barre — cela supprime ce que nous conservons dans cette mémoire, pas ce qui est déjà parti, ni la phrase par laquelle vous aviez déclaré le mot : celle-ci reste dans votre conversation, comme vos autres messages, pendant douze mois.
• Le brief du matin : pour en rédiger le texte, nous envoyons chez Anthropic ce qu'il résume — les chiffres de vente de la veille (dont le produit le plus vendu) et ceux de la même journée une semaine plus tôt, des nombres et des dates (documents et stock à échéance, propositions et mails en attente, relevés de température), et, depuis le 05/06/2026, le nom enregistré sur la fiche de chaque personne au planning du jour, coupé à sa première espace — en principe son prénom ; son nom de famille si la fiche commence par lui ; davantage si ses mots y sont séparés autrement que par une espace ordinaire — et ses horaires, pour cinq créneaux au plus ; au-delà, leur nombre seul. Les chiffres de vente partent depuis le 27/05/2026. Cela concerne les personnes de votre équipe inscrites au planning. Nous l'écrivons ici depuis le 23/09/2026 seulement : ce flux existait avant d'être déclaré.
• Le bouton « Expliquer » du planning envoie à Anthropic (États-Unis) le nom saisi sur la fiche de chaque personne du planning, ses créneaux et, quand le planning les porte, ses heures de la semaine — totales, contractuelles et supplémentaires.
• Le contenu de vos documents : les extraits jugés pertinents pour la question posée, et — lors du dépôt d'un PDF ou d'une photo à interpréter — le document lui-même.
• Les noms de vos derniers documents, quand vous demandez une action à la barre — classer, déplacer ou reclasser un document, créer un dossier, vérifier une clôture de caisse : le nom de fichier et le dossier des documents les plus récents de votre espace, pour le dirigeant le nom des clôtures de caisse en attente de vérification, et l'arborescence de vos dossiers, y compris ceux que vous créez et ceux que +Connect crée en classant vos documents. Une pièce à accès restreint, ou déposée par un salarié au portail, n'en fait jamais partie ; le texte des e-mails reçus n'en fait plus partie, depuis le 13 octobre 2026. ⚠️ Un nom de fichier est choisi par qui dépose — vous, ou l'expéditeur d'un e-mail, qui nomme ses pièces jointes — et peut porter le nom d'une personne ; un nom de dossier aussi.
• Les pièces jointes des e-mails que vous recevez sur votre adresse +Connect : le fichier ENTIER part chez Mistral (voir sa ligne dans le tableau des prestataires) pour en lire le texte, puis son texte chez Anthropic (États-Unis) pour être classé et résumé, et chez Voyage AI (États-Unis) pour être indexé. ⚠️ Comme pour le texte des messages, cela concerne ce que des tiers vous envoient — la personne qui vous écrit n'utilise pas +Connect et n'a pas lu cette page. ⚠️ Ce flux a été annoncé ici avant d'exister réellement : une panne l'a empêché de fonctionner du 17/06/2026 au 02/09/2026 — aucune pièce jointe reçue par e-mail n'a été rangée ni transmise pendant cette période. Nous l'écrivons parce qu'une page qui décrit ce qu'elle voudrait faire, et non ce qu'elle fait, n'informe personne.
• Le texte des e-mails que vous recevez sur votre adresse +Connect : l'objet et le texte de chaque message entrant sont lus — leurs 2 000 premiers caractères partent chez Anthropic (États-Unis) — pour en connaître la nature (une demande de devis, une facture, une réclamation…) et savoir s'il est à accès restreint. Ne sont pas lus les messages automatiques (réponses automatiques et lettres d'information, reconnues à leurs en-têtes ; messages envoyés depuis une adresse de type « ne pas répondre », de notification, de rebond ou d'administrateur de messagerie ; alertes envoyées depuis les domaines accountprotection.microsoft.com, account.microsoft.com et id.apple.com) ; l'expéditeur d'un message automatique qui porte une pièce jointe en PDF ou en image est quand même rapproché de vos fiches — clients, fournisseurs, sous-traitants et demandes par son adresse ; fournisseurs, sous-traitants et clients professionnels par son domaine —, sans que le message soit lu : ce rapprochement se fait dans +Connect, aucun prestataire ne le reçoit ; un message de moins de 30 caractères est classé sans être transmis ; un message dont l'objet ou le texte contient un numéro de sécurité sociale ou des mentions de bulletin de paie que +Connect reconnaît ne part pas. Depuis le 13 octobre 2026, ce texte ne devient plus un document : il n'est ni résumé, ni indexé, ni transmis à Voyage AI. Du 02/09/2026 au 13 octobre 2026, il devenait un document de votre espace, classé et résumé chez Anthropic, indexé chez Voyage AI ; ces copies, retirées de votre vue depuis, sont supprimées cinq ans après leur entrée. Depuis le 03/09/2026, un message de plus de 200 000 octets — environ 60 pages de texte latin, et environ 193 000 caractères en français courant, trois fois moins si votre message est écrit en chinois, en japonais ou en coréen, quatre fois moins s'il est fait d'emoji — n'est lu que partiellement, son début ; il en va de même d'un objet démesuré. ⚠️ Quand un message est ainsi raccourci, le message entier reste dans votre boîte et vous reste lisible en entier : c'est ce qui est lu qui est borné, pas ce que nous conservons de votre correspondance — une demande d'accès porte donc toujours sur le message complet. ⚠️ Cela concerne aussi ce que des tiers vous écrivent : la personne qui vous envoie un e-mail n'utilise pas +Connect et n'a pas lu cette page. Ces copies suivaient le régime du mail : même durée de conservation que lui. ⚠️ Deux autres copies ne le suivent pas, depuis le 03/09/2026 : quand un message est compris comme une demande de devis, nous vous proposons d'en créer une fiche — et si vous acceptez, le nom, l'objet et l'adresse sont recopiés dans votre suivi des demandes, sous la durée qui s'y applique. La proposition elle-même est conservée douze mois. Effacer le message n'efface donc pas ces deux copies : écrivez-nous, nous les traitons à la main — étant entendu que, comme pour les messages eux-mêmes, la suppression à l'échéance est aujourd'hui un geste que nous posons, pas une tâche qui passe seule (nous le disons plus haut pour les messages ; c'est la même chose ici). Et lorsqu'un effacement est exercé par une personne de votre équipe, la copie de ses messages, faite avant le 13 octobre 2026, part avec eux. Pour un correspondant EXTÉRIEUR qui demande l'effacement, un traitement outillé existe. Par son adresse e-mail, il retire de ses messages son adresse, l'objet et le texte — d'un message où il n'est qu'en copie, seule la liste des copies part : le texte appartient à la correspondance du destinataire —, y compris d'un message dont un autre expéditeur écrit son adresse dans son nom affiché ; il supprime les copies du texte de ses messages faites avant le 13 octobre 2026 et vide la proposition née de ses messages. Il supprime les demandes enregistrées à sa seule adresse quand rien ne laisse douter de leur origine ; les autres — son adresse écrite parmi d'autres, une demande née d'un message dont la proposition ne se retrouve pas entière, ou saisie à la main avec un message pour source — sont comptées et examinées à la main. Il épargne le message par lequel un devis a été accepté. Il compte, sans les traiter, les pièces jointes de ses messages et les fiches, devis et factures qui portent son adresse ; il ne la cherche pas dans vos conversations avec la barre. Une adresse collée à d'autres signes ou écrite avec des caractères inhabituels peut lui échapper. Pour ce qu'il ne traite pas, écrivez-nous : nous le traitons à la main.
• Les e-mails de votre boîte Gmail, si vous la connectez : ceux que vous y recevez suivent le même chemin que les e-mails reçus sur votre adresse +Connect, décrit dans les deux points ci-dessus — voir Votre boîte Gmail, si vous la connectez.
• Les e-mails de votre boîte Outlook ou Microsoft 365, si vous la connectez : ceux que vous y recevez suivent ce même chemin — voir Votre boîte Outlook ou Microsoft 365, si vous la connectez.
• Les fichiers que vous importez depuis votre Google Drive, si vous le connectez : chacun devient un document de votre espace et suit le chemin des documents que vous déposez vous-même (« Le contenu de vos documents », plus haut) — voir Votre Google Drive, si vous le connectez.
• Les réponses de vos clients à vos devis, quand le dirigeant ou un administrateur affiche les réponses à vos devis et que +Connect ne sait pas classer seul la réponse la plus récente d'un client à un devis envoyé, reçue dans les quatorze derniers jours — sur votre adresse +Connect, ou relevée dans votre boîte Gmail ou Outlook : les 500 premiers caractères de son texte, sans la partie citée du message précédent, partent chez Anthropic (États-Unis), pour savoir s'il s'agit d'un accord, d'un refus, d'une question ou d'autre chose. Ni l'adresse de l'expéditeur ni l'identifiant du message ne partent. Rien ne part pour une réponse dont l'expéditeur n'est pas l'adresse à laquelle le devis a été envoyé, ni pour une réponse relevée dans une boîte Gmail ou Outlook quand la messagerie est éteinte pour son fournisseur, ou la boîte déconnectée ou effacée. ⚠️ Ce texte n'est pas masqué : les noms, adresses, numéros et IBAN qui y sont écrits partent, et ni le refus des numéros de sécurité sociale et des mentions de bulletin de paie, ni l'accès restreint ne s'y appliquent. Rien n'est accepté ni refusé sans votre clic. ⚠️ Cela concerne aussi ce que des tiers vous écrivent : le client qui vous répond n'utilise pas +Connect et n'a pas lu cette page.
• Les demandes faites à un cabinet de syndic de copropriété, si votre entreprise utilise les demandes du syndic : depuis le 15 octobre 2026, une demande née d'un e-mail reçu — sur votre adresse +Connect, ou relevé dans votre boîte Gmail ou Outlook — est lue chez Anthropic (États-Unis), sauf dans les cas ci-dessous — trois essais au plus si la lecture échoue, chacun pouvant être répété en cas d'erreur réseau —, pour ranger sur elle ce qu'on vous demande en une phrase, l'action à faire, l'échéance que l'e-mail fixe, le domaine d'une demande qui n'en a pas et une copropriété proposée (posée seulement si vous la confirmez), et pour monter son urgence (jamais la baisser, jamais changer une urgence choisie à la main). Partent : l'objet (300 caractères au plus) et le début du texte (3 000 caractères au plus, lignes citées retirées), où les numéros de téléphone, les IBAN et les adresses e-mail que +Connect reconnaît sont remplacés par des repères ; une adresse écrite autrement, en lettres par exemple, peut partir en tout ou en partie — ⚠️ les noms et les adresses postales partent — ; le jour de réception ; et, seulement si la demande n'a pas de copropriété, le nom et la ville de vos copropriétés actives. Jamais l'adresse de l'expéditeur, une fiche de personne, une note ni un lot. Rien ne part pour un e-mail que +Connect n'a pas encore lu ou qu'il tient pour classé en accès restreint, ni pour un e-mail qui contient un numéro de sécurité sociale ou des mentions de bulletin de paie que +Connect reconnaît, ou l'un des mots d'une courte liste qui disent la santé, un handicap, une religion, une orientation sexuelle ou une origine ethnique : la demande dit alors « à lire ». Une demande née d'un e-mail relevé dans une boîte Gmail ou Outlook n'est lue que si la messagerie est allumée pour le fournisseur de cette boîte et que la boîte est connectée : sinon elle attend, sans rien transmettre, et elle redevient lisible au premier passage où la messagerie est rallumée et la boîte connectée ; née d'une boîte effacée, ou reconnectée depuis par une autre personne, elle n'est plus lue. Une désactivation pendant un passage laisse encore partir les demandes de ce passage déjà retenues : dix au plus, dont l'envoi commence dans les trente secondes qui suivent. La phrase « ce qu'on vous demande » est gardée sur la demande, sauf si elle porte un nom de personne lu dans l'e-mail ou un mot d'une liste plus large sur la santé, le handicap, les convictions, l'appartenance syndicale, l'orientation sexuelle ou l'origine ; elle n'est plus montrée dès que l'e-mail est effacé ou anonymisé, et la tâche de lecture, qui passe toutes les cinq minutes, l'efface alors. ⚠️ Cela concerne aussi ce que des tiers vous écrivent.
• La préparation d'un e-mail depuis une demande faite à un cabinet de syndic de copropriété, si vous cliquez sur « Préparer la réponse » ou sur « Prévenir le prestataire », « Prévenir l'assureur » ou « Prévenir le conseil syndical » — le dirigeant ou un administrateur, pas seulement la personne qui a connecté la boîte où l'e-mail a été relevé. Pour une demande née d'un e-mail reçu, partent chez Anthropic (États-Unis) : l'objet (300 caractères au plus) et le début du texte (3 000 caractères au plus), masqués comme pour la lecture de la demande, puis les liens et les coordonnées que ce masque ne lit pas, remplacés par des repères — ⚠️ les noms, les adresses, les lots et les dates écrits dans l'e-mail partent — ; le jour de réception ; le nom, l'adresse, le code postal et la ville de la copropriété ; la consigne du pack pour le destinataire ; et au plus trois passages des textes de loi de la copropriété, qui sont publics. Jamais une fiche de personne (ni son nom, ni ses notes, ni ses lots, ni son téléphone), ni l'adresse e-mail de l'expéditeur, ni une note d'appel. Rien ne part pour les mêmes e-mails que pour la lecture de la demande (tenu pour sensible, très sensible, un mot de la courte liste, anonymisé ou supprimé), ni pour un e-mail relevé dans une boîte Gmail ou Outlook quand la messagerie est éteinte pour son fournisseur ou la boîte déconnectée ou effacée — l'écran le dit ; une donnée de santé dite autrement part. Une demande que la lecture n'a jamais lue, parce qu'elle est d'avant sa mise en service, peut être préparée. Dans un e-mail « Prévenir », le texte proposé retire, avant de vous le montrer, le nom de la personne qui a écrit quand +Connect le reconnaît, toute personne nommée après une civilité et les coordonnées ; pour l'assureur et le conseil syndical, aussi le lot, l'étage, l'appartement ou la porte numérotés ; le prestataire reçoit le lieu de l'intervention et le contact sur place déclaré ; un e-mail « Prévenir » qui porte un mot d'une liste plus large sur la santé, le handicap, les convictions, l'appartenance syndicale, l'orientation sexuelle ou l'origine n'est pas proposé — la réponse à la personne qui a écrit n'a pas ce contrôle. Ne sont pas retirés : un nom en minuscules ou écrit au fil d'une phrase, une autre personne nommée sans civilité, un étage écrit en lettres, une date de naissance, une adresse personnelle, une périphrase de santé — c'est à vous de les relire. Rien n'est gardé du texte préparé sur nos serveurs : il vit dans votre écran ; pendant l'accord demandé par Google ou Microsoft, l'onglet le garde et ne le reprend que trente minutes ; une fois déposé dans votre boîte par « Préparer dans Gmail » ou « Préparer dans Outlook », ou au clic sur « Envoyer », l'onglet le garde et ne le reprend qu'un jour, jusqu'à son envoi, votre déconnexion ou l'ouverture d'une session par une autre personne dans l'onglet ; passé ces délais, il n'est plus repris et quitte l'onglet à sa prochaine écriture, au rechargement de l'application, à la déconnexion ou à la fermeture de l'onglet ; un brouillon déposé reste dans la boîte. Rien ne part sans votre clic sur « Envoyer » ; un e-mail « Prévenir » est préparé pour un seul destinataire, et vous pouvez en changer les destinataires avant l'envoi ; l'e-mail envoyé est gardé comme tout envoi ; l'export d'une personne de la copropriété en livre la trace dans le fil de ses demandes, sans adresse ; son effacement retire, dans le fil de ses demandes, la trace d'un e-mail échangé avec son adresse — pas celle d'un « Prévenir » envoyé à un tiers, ni celle d'un e-mail qui lui a été envoyé depuis la demande d'une autre personne (un « Prévenir » au conseil syndical dont elle est membre, par exemple), ni l'e-mail lui-même. ⚠️ Cela concerne aussi ce que des tiers vous écrivent.
• Quand +Connect ne sait pas qui vous a écrit, il vous le demande dans le Flux, en vous montrant l'adresse et son domaine : aucun nom d'expéditeur n'est affiché ni deviné ; seuls les noms de vos propres fiches que l'adresse ou le domaine désigne sont montrés. Votre réponse — un client, un fournisseur, ou « à ignorer » — est retenue pour cette adresse, ou pour tout son domaine si vous le choisissez. Elle évite de vous reposer la question et sert à rattacher les mails suivants de cette adresse ou de ce domaine, messages automatiques avec pièce jointe compris ; dès votre réponse, elle rattache les mails déjà reçus de l'adresse ou, pour un domaine, d'au plus cinquante de ses adresses. Une réponse donnée pour une adresse vaut tant qu'aucune fiche ne prend cette adresse : une fiche qui la prend la fait oublier, et le mail est alors rapproché comme si vous n'aviez jamais répondu. Une réponse donnée pour un domaine reste ; elle ne vaut pas contre une fiche qui porte l'adresse, et continue de valoir pour les autres adresses du domaine. « À ignorer » ne vaut pas contre une fiche qui porte l'adresse. Une réponse « à ignorer » est effacée vingt-quatre mois après ; une réponse qui désigne une fiche disparaît avec elle. Le domaine d'une adresse ne rapproche jamais un particulier : seulement une entreprise (un fournisseur, un sous-traitant, un client que vous avez dit professionnel), hors des messageries grand public que +Connect reconnaît (Gmail, Outlook, Orange, Free…). Le dirigeant et les administrateurs de votre entreprise peuvent revoir ces réponses et en oublier une dans les réglages de la messagerie (Réglages › Messagerie), qui ne leur sont ouverts que si la connexion d'une boîte Gmail ou Outlook est proposée à votre entreprise ou qu'une boîte y est connectée — sinon, écrivez-nous ; une réponse oubliée ne détache pas les mails qu'elle a déjà rattachés. Ces réponses figurent dans l'export de vos données (Vos droits).
• La réponse à un e-mail relevé dans votre boîte Gmail ou Outlook, si vous cliquez sur « ✨ Rédiger la réponse » ou « ✨ Améliorer » — seule la personne qui a connecté la boîte le peut. Pour rédiger, partent chez Anthropic (États-Unis) : l'objet, la date et le texte de l'e-mail reçu (6 000 caractères au plus) ; la date et le texte des messages auxquels il répond, s'ils ont été relevés par la même boîte — reçus ou envoyés, quatre au plus, 1 500 caractères chacun ; ce que +Connect y relie : le nom du client, du fournisseur, du sous-traitant ou de la demande, le numéro, l'objet, le montant, le statut et la date de validité d'un devis, le numéro, le type, le montant, le statut et l'échéance d'une facture, le type, le statut et les dates d'un chantier ; et deux indications tirées de l'e-mail reçu : sa langue, et si votre correspondant vous tutoie. Pour améliorer, partent le texte que vous avez écrit, signature comprise — sauf quand +Connect la reconnaît : après une formule de politesse usuelle (« Cordialement », « Bien à vous »…) seule sur sa ligne, en dix lignes courtes au plus ; elle est alors mise de côté et vous est rendue — et l'indication, tirée de l'e-mail reçu, que votre correspondant vous tutoie ou non. Avant l'envoi, les adresses e-mail, les numéros de téléphone et les IBAN que +Connect reconnaît dans ces textes sont remplacés par des repères ; ceux que vous avez écrits vous sont rendus dans le texte amélioré. ⚠️ Un numéro, une adresse ou un IBAN écrits autrement — un numéro étranger sans son indicatif, coupés sur deux lignes, avec des caractères inhabituels — peuvent lui échapper et partir en clair. ⚠️ Les noms et les adresses postales ne sont pas masqués : +Connect n'y ajoute ni votre nom ni celui de votre entreprise, mais ils partent s'ils figurent dans ces textes — dans la signature d'un message de la conversation, par exemple. Rien ne part pour un e-mail classé en accès restreint, et un message ainsi classé n'entre pas dans la conversation transmise ; ⚠️ un e-mail reçu que +Connect n'a pas encore lu — dans les instants qui suivent sa relève, si sa lecture a échoué, ou parce qu'il vient d'un expéditeur automatique — est tenu pour tel : rien ne part, et il n'entre pas dans la conversation transmise ; les messages envoyés, que +Connect ne classe jamais, entrent dans la conversation transmise même s'ils sont sensibles. Ce que le moteur renvoie remplit le champ Message : rien n'est envoyé sans votre clic, et +Connect n'enregistre ni la demande ni le texte rendu. ⚠️ Cela concerne aussi ce que des tiers vous écrivent.
• Ce que vous écrivez pour faire rédiger un e-mail, si vous cliquez sur « Rédiger depuis la description » : votre description en texte libre — non filtrée — et des listes de vos clients, fournisseurs, devis et factures. ⚠️ Ces listes partent en entier (jusqu'à cinquante lignes chacune) à chaque demande, même quand votre description ne mentionne personne : c'est le prix du choix inverse, qui est de ne jamais laisser le moteur inventer une adresse. Elles portent des noms, des numéros de pièce, des objets et des montants — jamais une adresse e-mail, jamais un téléphone.
• Ce que vous écrivez pour faire rédiger les lignes d'un devis. Trois endroits vous le proposent : le bouton « Analyser » sous la barre de description d'un devis ouvert, le champ « Décris ton devis — je le rédige » de la fenêtre de création, et la barre de recherche quand vous lui demandez un devis. Dans les trois cas, ce qui part est votre description en texte libre — non filtrée, dans la limite de mille caractères. Rien d'autre ne part avec elle : ni le nom de votre client, ni l'adresse du chantier, ni les lignes déjà posées, ni vos prix. Le rapprochement avec votre bibliothèque d'ouvrages se fait ensuite, chez nous. Ce que le moteur renvoie est une proposition de lignes que vous relisez et corrigez ; en cas de doute il ne rend rien plutôt qu'un prix inventé, et rien n'est envoyé à votre client tant que vous n'émettez pas le devis vous-même. ⚠️ Ce que nous en gardons dépend de l'endroit où vous l'avez écrit, et la différence compte : depuis le bouton « Analyser » et depuis la fenêtre de création, votre description n'est enregistrée nulle part chez nous ; depuis la barre de recherche, elle est un message de votre conversation et suit le régime décrit plus haut — conservée douze mois, avec la proposition de lignes que le moteur en a tirée, tant que l'échange reste ouvert.
• Les mails qui passent par +Connect, si vous avez activé la copie personnelle (pas ceux de votre boîte Gmail ou Outlook connectée) — ce sont deux réglages séparés, que vous activez indépendamment : avec le premier, chaque message REÇU repart en entier vers l'adresse que vous avez enregistrée, sauf un message envoyé depuis l'adresse +Connect de votre entreprise ou depuis cette adresse elle-même (c'est ainsi qu'une copie revient quand cette boîte fait suivre ses messages vers +Connect) ; avec le second, les messages que vous envoyez depuis le composeur libre ou le package comptable vous y sont copiés. Si vous activez la copie de vos mails vers une adresse personnelle, ils sont envoyés à l'adresse que vous choisissez, sur votre instruction et sous votre responsabilité. Si cette adresse est hébergée hors de l'Union européenne, c'est vous qui décidez de ce transfert. Ce courrier comprend celui que vos clients vous écrivent. Ce réglage est facultatif et se retire à tout moment.
• Les journaux techniques de nos serveurs, chez Railway, stockés aux États-Unis même pour nos services européens : pour chaque requête, l'adresse IP, le navigateur et l'adresse de la page demandée ; pour l'application, l'adresse complète des requêtes — y compris ce que vous tapez dans une recherche, par exemple le nom d'un client —, des identifiants et des compteurs, et pour certaines opérations le chemin d'un dossier. Jamais le contenu de vos documents. Quand nous le sollicitons, le support de Railway peut accéder à nos services depuis le pays de l'intervenant. Ce transfert est encadré par le contrat de traitement des données que nous avons signé avec Railway : par le Data Privacy Framework UE–États-Unis, auquel Railway Corporation est certifiée, ou à défaut par les clauses contractuelles types de ce contrat. Ce contrat a été signé au nom de SERPENTIS le 6 octobre 2026, et la certification de Railway est active sur la liste officielle (vérifiée le 6 octobre 2026) : c'est elle qui encadre le transfert de ses journaux vers les États-Unis, les clauses types de ce contrat s'appliquant à défaut.
• Les journaux techniques de ce site, chez Vercel. Vercel conserve ses journaux techniques (adresse IP, page demandée, navigateur) aux États-Unis. Ce transfert est encadré par le contrat de traitement des données de Vercel, qui s'applique à notre offre et prévoit les clauses contractuelles types.

Ce qui ne part pas : votre voix. Si vous utilisez la dictée, la transcription se fait sur votre appareil : l'enregistrement ne le quitte pas, et le texte obtenu suit ensuite le même chemin que si vous l'aviez tapé. La dictée n'est proposée que là où le navigateur sait transcrire sur l'appareil ; ailleurs, le micro de +Connect n'apparaît pas, et le clavier fait tout ce que la voix fait. La première fois, le navigateur télécharge son modèle de reconnaissance vocale auprès de son éditeur — pour Chrome, Google, environ 250 Mo. Ce téléchargement se fait entre votre navigateur et son éditeur, qui voit l'adresse IP de votre poste ; +Connect n'y transmet aucune donnée. Si vous utilisez le micro du clavier de votre téléphone, c'est une fonction de votre téléphone, régie par les conditions de son fabricant : +Connect n'en reçoit que le texte. La lecture à voix haute des réponses, si vous l'activez dans les réglages, n'utilise qu'une voix que votre navigateur déclare installée sur votre appareil : le texte des réponses ne part pas pour être lu. Elle n'est proposée que sur Mac pour l'instant : c'est là seulement que cette déclaration a été vérifiée. Une réserve : une extension de votre navigateur peut ajouter une voix que celui-ci déclare installée ; si cette voix est utilisée, le texte lu part selon les conditions de l'éditeur de l'extension.

Ce qui est exclu, et ce qui ne l'est pas — la nuance compte. Un document que vous rattachez explicitement à un salarié n'entre pas dans l'index de recherche, et aucun traitement automatique ne le soumet à la lecture d'image de notre moteur américain. ✅ Et depuis le 30 août 2026, son texte ne part plus automatiquement : ni pour être classé — vous nous avez dit à qui il se rattache, nous n'avons donc rien à deviner et il va directement dans votre dossier RH — ni pour être résumé. Cette page a affirmé successivement le contraire dans les deux sens ; voici l'état exact, vérifié dans le code.

⚠️ Mais la troisième raison, elle, peut se tromper. Un document échappe à l'indexation pour trois raisons : vous l'avez rattaché à un salarié, son contenu a été reconnu (c'est le cas du bulletin de paie et, dans un cabinet de syndic de copropriété, d'un document dont le texte porte un mot de santé, de handicap ou de conviction d'une liste courte — sauf si le cabinet a indiqué que ce n'était pas une donnée sensible), ou il se trouve dans un dossier protégé — celui que vous avez choisi au dépôt, ou celui que le rangement automatique lui a donné. Les deux premières ne dépendent pas du rangement, mais elles ne couvrent que ce qu'elles reconnaissent : un document que vous avez vous-même rattaché, et un contenu identifié comme un bulletin de paie, un numéro de sécurité sociale ou, dans un cabinet de syndic, l'un de ces mots — dit autrement, il n'est pas reconnu. La troisième, elle, s'applique à tout le reste — et elle peut se tromper : une simple apostrophe courbe, celle qu'un traitement de texte substitue à l'apostrophe droite, suffit à faire changer un document de dossier. Il n'est plus classé en accès restreint et il est indexé comme les autres, sauf si l'une des deux premières raisons le rattrape. Nous l'avons mesuré le 19 septembre 2026 et nous l'avons inscrit à notre registre des traitements. Nous l'écrivons ici parce qu'une protection qui dépend d'un classement doit être décrite pour ce qu'elle est, pas pour ce qu'on aimerait qu'elle soit.

Conséquence visible : un document rattaché à un salarié n'a ni titre ni résumé proposés, et vous ne pouvez plus lui en faire donner un. Il a existé pour cela un geste — écrire vous-même une courte description sur la fiche, ce qui envoyait le texte du document à notre moteur américain pour qu'il vous propose un titre. Depuis le 1^er septembre 2026, ce geste n'est plus possible sur un document à accès restreint. Ni pour vous, ni pour personne. Il reste entier sur vos documents ordinaires — une facture, un devis, un menu : là, votre demande envoie bien le texte, et vous le savez. Un contrat de travail, un arrêt de travail, un compte-rendu concernant un bénéficiaire : leur texte ne part pas, même si vous le demandez — dès lors que nous avons bien classé la pièce en accès restreint. ⚠️ Et il faut vous dire la limite : cette reconnaissance est faite au moment du dépôt et, depuis le 1^er septembre 2026, ranger la pièce dans un dossier à accès restreint la pose aussi — et les documents rangés avant cette date ont été repris le même jour. ⚠️ Une exception, et elle vise précisément le bulletin de paie : si vous nous demandez d'exploiter un bulletin, sa lecture en envoie le fichier entier en image, et elle ne regarde ni le dossier ni le rattachement à un salarié — elle s'exécute sur la pièce que vous désignez. Les gestes que nous avons identifiés sont nommés plus bas, dans le paragraphe qui leur est consacré — et nous ne présentons pas cette liste-là comme close. Ce qu'il faut retenir de ce paragraphe-ci : le « ne part plus » vaut pour ce que nous faisons seuls, jamais pour ce que vous nous demandez.

Ce geste a existé, et nous l'avons retiré. Jusqu'au 1^er septembre 2026, vous pouviez demander une description sur une pièce à accès restreint et son texte partait. Nous avons retiré cette possibilité : un clic de votre part est un geste, ce n'est pas l'accord de la personne dont le document parle — votre salarié, votre bénéficiaire. Pour une information de santé, la loi demande cet accord-là, et nous ne l'avons pas. Vous perdez une commodité ; ces personnes gagnent une garantie.

La nuance, pour un document que vous déposez sans le rattacher à personne : celui-là, nous ne savons pas encore ce qu'il contient. Ses deux mille premiers caractères partent donc chez notre moteur d'IA américain pour être classés — c'est ce classement qui nous apprend qu'il est à accès restreint. Une fois qu'il l'est, plus rien d'autre ne part automatiquement : ni résumé, ni indexation, ni lecture d'image. Le texte d'un e-mail reçu suit la même règle, à une différence près : un objet ou un texte qui contient un numéro de sécurité sociale ou des mentions de bulletin de paie que +Connect reconnaît ne part pas — la reconnaissance précède l'envoi. La description que vous sollicitiez sur une pièce à accès restreint ne part plus du tout depuis le 1^er septembre 2026 — c'est ce que nous venons de vous dire juste au-dessus. En revanche, certains gestes que vous déclenchez vous-même envoient bien le document, y compris à accès restreint. Voici ceux que nous avons identifiés à ce jour : l'import d'un planning et l'extraction des salariés depuis un planning (voir ci-dessous, la seconde envoie le texte entier et elle est ouverte aux administrateurs, pas au seul dirigeant) ; l'extraction des plats depuis une carte ou un menu, qui envoie elle aussi le texte entier — celle-là refuse les pièces à accès restreint ; la lecture d'un bulletin de paie que vous nous demandez d'exploiter ; la lecture de l'identité de facturation d'une pièce que vous désignez. ⚠️ Ces deux dernières partent en image, le fichier entier, et sont réservées au dirigeant. La lecture d'un bulletin ne regarde pas le dossier : elle s'exécute sur la pièce que vous désignez, même à accès restreint. La lecture de l'identité de facturation ne le regardait pas non plus jusqu'au 26 septembre 2026 ; depuis, elle refuse une pièce que nous avons classée en accès restreint, un bulletin de paie, ou une pièce dont le texte porte les mots d'un bulletin de paie ou un numéro de sécurité sociale — mais elle laisse partir toute autre pièce en PDF ou en image que vous désignez (elle refuse aussi, depuis le 23 septembre 2026, une pièce qu'un salarié a déposée depuis son portail), c'est-à-dire toute pièce que nous n'avons classée ni en accès restreint ni comme bulletin de paie et dont le texte lu ne porte ni les mots d'un bulletin ni un numéro de sécurité sociale : par exemple une pièce d'identité ou un document de santé rangés hors d'un dossier protégé et sans numéro de sécurité sociale, un bulletin mal classé dont le texte n'a pas été reconnu, ou une pièce scannée dont aucun texte n'a été lu. Nous ne présentons pas cette liste comme close. Elle a été fausse quatre fois dans le mois, chaque fois parce que nous avions écrit « c'est tout ». Nous la corrigeons dès que nous trouvons un chemin de plus, et nous préférons vous dire qu'elle peut être incomplète plutôt que de vous laisser croire à un compte exact.

Et deux mille caractères n'est pas la règle partout. Quand nous lisons une facture pour en tirer les montants, c'est son texte entier qui part ; quand nous lisons un planning, c'est le fichier lui-même, en image. Ces deux traitements-là s'arrêtent devant les documents que nous classons en accès restreint — sauf pour le planning lui-même, et c'est volontaire. 🔴 Avant tout ce qui suit, une condition qui gouverne toute cette page. Nos protections ne regardent pas le dossier où se trouve la pièce : elles regardent l'étiquette « accès restreint » que nous lui avons posée au moment du dépôt — et, depuis le 1^er septembre 2026, ranger un document dans un dossier à accès restreint la pose aussi : le déplacement monte l'étiquette, il ne la retire jamais. ✅ Et les documents déplacés avant cette date ont été repris le 1^er septembre 2026 : nous avons parcouru l'ensemble des documents, remis l'étiquette manquante là où le dossier la commandait, et supprimé ce qui en avait déjà été tiré à l'époque où nous les croyions ordinaires — leur résumé, leur indexation, les extraits qu'en gardait le moteur de recherche. Cette reprise a porté sur le rangement, pas sur le contenu : un document mal rangé que son contenu ne trahit pas n'en relève pas. ⚠️ Une exception : si un export de vos données a été produit avant cette reprise, il conserve les courts extraits qu'il avait copiés. Passé vingt-quatre heures il n'est plus téléchargeable — mais cette expiration ferme l'accès, elle n'efface rien : le fichier et sa ligne restent. Ces exports ne sont accessibles qu'au dirigeant du compte, et nous ne savons pas encore les reprendre. Cette page a porté l'avertissement inverse pendant une journée, le temps que ce rattrapage soit écrit et exécuté. Cela dit, pour un document correctement étiqueté : un planning rangé dans votre dossier RH est classé en accès restreint, personne d'autre que vous n'y accède, et aucun traitement automatique ne le lit. Des gestes que vous déclenchez le lisent quand même, parce que c'est leur raison d'être : l'import du planning en envoie l'image, l'extraction des salariés en envoie le texte entier. Nous les avons voulus ; nous vous les nommons, plutôt que de vous laisser croire à une barrière que le bouton d'import traverse de toute façon. Et les autres documents à accès restreint de ce dossier — un contrat, un bulletin de paie, un arrêt de travail — ne partent par aucun de ces deux chemins, toujours sous la même condition d'étiquette. ⚠️ Un planning rangé ailleurs ne l'est pas, et il peut alors partir en image, avec les noms de vos salariés et leurs heures. Depuis le 31 août 2026, cette lecture d'image ne se fait plus que si votre métier utilise la grille de planning d'équipe — nous avions d'abord écrit « 30 août » : ce jour-là, la garde n'était posée que sur la lecture automatique, et un appel direct pouvait encore la contourner ; elle a été posée sur les deux chemins le lendemain — aujourd'hui la restauration seulement. Pour tous les autres métiers — aide à domicile, menuiserie, vente de meubles, marchand de biens, et le socle générique — cette lecture d'image ne se fait plus : elle alimentait un bouton « Importer le planning » que vous n'avez pas. 🔴 Mais ne lisez pas cela comme « vos plannings ne partent plus ». Cette page l'a écrit, et c'était faux : deux autres chemins subsistent, et aucun des deux n'est borné par votre métier — la restauration comprise. Le second, la citation d'un planning par l'assistant, n'a même jamais été filtré sur l'un des chemins d'interrogation, indépendamment de la correction du 31 août. ① L'extraction des salariés depuis un planning envoie son texte entier, et elle n'est bornée par aucun métier — sur un planning d'intervention, cela comprend les adresses de vos bénéficiaires. ② Le contenu d'un planning reste citable par l'assistant : il peut partir comme contexte quand l'assistant vous répond, et aussi quand il vous propose des actions sans que vous ayez rien demandé. ⚠️ Et voici exactement ce qui les écarte, ou non. Trois chemins peuvent citer un planning. Le premier — un chemin d'interrogation resté ouvert côté serveur, que l'application n'emprunte plus — ne l'écarte jamais, quel que soit votre métier, restauration comprise. Les deux autres ne l'écartent que si la lecture d'image a effectivement absorbé ce planning-là : jamais hors restauration, puisqu'elle ne s'y exécute pas — et pas davantage, en restauration, sur un planning qu'elle n'a pas su lire, sur un planning rangé ailleurs qu'elle n'a pas reconnu, ni sur ceux déposés avant sa mise en service, que nous n'avons pas repris. La protection tient au document, pas à votre métier. Cette correction a fermé une porte et en a laissé la seconde ouverte par construction ; nous préférons vous l'écrire que de le passer sous silence, et c'est en cours de traitement. Les plannings d'intervention de l'aide à domicile portent en plus les adresses de vos bénéficiaires — et une tournée ne révèle pas seulement une adresse : elle révèle qu'une personne vivant là reçoit une aide à domicile, ce que la loi range parmi les données de santé, la catégorie la plus protégée. C'est ce qui rend l'envoi d'autant moins justifiable, et c'est un fait dont vous avez besoin pour tenir vos propres obligations envers ces personnes. ⚠️ Et cette correction-là n'est pas faite : ce dossier ne figure dans la liste des dossiers à accès restreint d'aucun métier, donc rien ne retient aujourd'hui l'extraction des salariés depuis une tournée. Cette page a écrit « elle est faite » quand une PREMIÈRE moitié du problème a été corrigée — la lecture d'image — et la phrase est restée debout quand nous avons reconnu que la seconde moitié ne l'était pas. Nous la rétractons ici : c'est en cours, ce n'est pas fait.

Par ailleurs, le classement d'un document dans un dossier à accès restreint et la détection de son contenu n'interviennent qu'après sa lecture : ils déterminent s'il entrera dans l'index de recherche, pas s'il a été lu. Un bulletin de paie scanné et déposé sans être rattaché à la personne concernée est donc lu avant d'être reconnu comme tel — par notre prestataire français de reconnaissance de texte, et, si celui-ci ne parvient pas à le lire, par notre moteur d'IA américain, qui reçoit de toute façon le début de son texte pour le classer.

C'est inhérent à la technologie employée aujourd'hui, et nous préférons l'écrire que de le laisser deviner.

S'y ajoute la sauvegarde — déposée chez Cloudflare, société américaine, dans un espace de stockage situé en Union européenne. Ce flux est d'une autre nature : le fichier est chiffré avant de quitter nos serveurs et le prestataire ne peut pas l'ouvrir. Il relève quand même du même régime, parce que le droit s'attache à la possibilité d'un accès depuis un pays tiers et non au seul lieu de stockage. Détail dans Les sauvegardes.

Et notre messagerie — Google Workspace, de Google, société américaine : les e-mails que vous nous écrivez, et les copies des candidatures à la bêta et des demandes Studio qui nous sont envoyées (§ 2 et § 2 bis), peuvent être stockés hors de l'Union européenne, notamment aux États-Unis — notre offre ne permet pas de choisir la région de stockage (ligne Google des sous-traitants).

Le chapitre V du RGPD exige que chacun de ces transferts soit encadré par un mécanisme approprié — en pratique, les clauses contractuelles types de la Commission européenne. Ceux de nos moteurs d'IA reposent sur les clauses contractuelles types incorporées aux conditions que nous avons acceptées auprès de chaque fournisseur : l'addendum de protection des données d'Anthropic, et le contrat de traitement de Voyage AI, incorporé à ses conditions d'utilisation (§ 6). Ceux de Railway (ses journaux, l'accès de son support) reposent sur le contrat de traitement des données signé avec elle : sa certification au Data Privacy Framework, ou à défaut les clauses contractuelles types de ce contrat (plus haut) ; celui de la sauvegarde, sur le contrat de Cloudflare (Les sauvegardes) ; celui des journaux de Vercel, sur son contrat de traitement des données (plus haut) ; celui de notre messagerie, sur le Data Privacy Framework, dont Google LLC se déclare certifiée, et sur les clauses contractuelles types de l'avenant de traitement des données de Google Workspace. La copie personnelle de vos mails part sur votre instruction, vers l'adresse que vous choisissez (plus haut).

Entraînement des modèles et rétention chez nos moteurs d'IA

Nous n'entraînons aucun modèle sur vos contenus. Chez nos fournisseurs, la situation n'est pas la même partout, et nous la décrivons telle qu'elle est plutôt que de promettre à leur place — une interdiction inscrite au contrat et un réglage que nous avons posé nous-mêmes ne valent pas la même chose :

• Anthropic — l'interdiction d'entraîner sur vos contenus est contractuelle : conditions commerciales, section B, version en vigueur au 17 juin 2025. Vos contenus y sont également qualifiés d'informations confidentielles (section E.1), et le traitement est régi par leur addendum de protection des données, incorporé au contrat (section C). Ces conditions désignent Anthropic Ireland, Limited (droit irlandais) comme partie pour les clients établis dans l'Espace économique européen. Notre entreprise étant établie dans l'Espace économique européen, ces conditions désignent Anthropic Ireland, Limited comme notre cocontractant. Anthropic conserve les requêtes et les réponses de l'API dans les conditions de son addendum de protection des données, qui prévoit leur suppression au plus tard trente jours après la fin du contrat, sauf les exceptions qu'il énumère.
• Voyage AI — l'utilisation de nos données pour l'entraînement de leurs modèles est désactivée sur notre compte, état vérifié le 7 octobre 2026. Leurs conditions d'utilisation (section 3, version du 27 mai 2026) prévoient que les contenus transmis à partir de la désactivation du 8 août 2026 ne servent pas à entraîner leurs modèles et sont supprimés dès leur traitement. ⚠️ Cette désactivation n'est pas rétroactive : selon ces mêmes conditions, ce qui leur a été transmis avant cette désactivation — le texte des documents indexés et les questions posées jusque-là — peut rester utilisé pour l'entraînement de leurs modèles.
• Mistral AI — l'utilisation de nos données pour l'entraînement de ses modèles est désactivée sur notre compte, état vérifié le 7 octobre 2026. Il reçoit le fichier entier des documents scannés, y compris ceux dont nous restreignons ensuite l'accès, et ne le conserve pas au-delà de sa lecture : la non-conservation est activée sur notre compte depuis le 25 septembre 2026, confirmée par écrit par Mistral. L'un et l'autre valent pour les documents envoyés ensuite.

Sécurité

• Communications chiffrées de bout en bout du transport (HTTPS).
• Cloisonnement par entreprise vérifié automatiquement à chaque livraison, sur les surfaces les plus sensibles ; cette couverture n'est pas encore complète (voir « Cloisonnement » plus haut).
• Journal des opérations sensibles que l'application elle-même ne peut pas réécrire.
• Accès aux candidatures bêta réservé au dirigeant, hors application.
• Accès aux demandes Studio réservé au dirigeant, hors application.

Chiffrement au repos : la base de données et ses sauvegardes chez l'hébergeur sont chiffrées (AES-256) par Railway, qui gère les clés. Railway l'a confirmé par écrit le 25 septembre 2026 ; un audit indépendant (rapport SOC 3, public) a validé ses contrôles de sécurité sur la période du 22 janvier au 22 avril 2025. Notre copie de sauvegarde hors site est, elle, chiffrée par nous avant de quitter nos serveurs.

Vos droits

Accès, rectification, effacement, opposition, portabilité, retrait du consentement : la marche à suivre, les délais et le contact figurent sur la page RGPD.

Modifications

Ce document évolue avec le produit. Toute modification substantielle est datée en tête de page et, si elle vous concerne directement, annoncée par e-mail. Les versions précédentes sont conservées et communiquées sur demande.