Politique de confidentialité

1. Qui nous sommes

Cette politique explique comment Nepteo (« nous ») collecte, utilise, conserve et protège vos données personnelles lorsque vous utilisez notre plateforme, conformément au RGPD et à la loi Informatique et Libertés.

Nepteo est un espace de travail propulsé par l'IA pour les indépendants (coachs, consultants, freelances) : clients, factures, réunions, documents et communications au même endroit.

Responsable du traitement : Nepteo, exploité par Charly Pham (auto-entrepreneur).

Notre société est en cours d'immatriculation. Sa dénomination, son numéro d'immatriculation et son adresse seront publiés ici dès qu'ils existeront. D'ici là, le responsable du traitement est la personne nommée ci-dessus.

Contact pour les données personnelles : privacy@nepteo.ai

2. Données collectées

Données que vous fournissez

• Compte : adresse email, prénom, profession et préférences choisies à l'inscription.
• Contenu professionnel : les documents, factures, notes de réunion, modèles, contacts et messages que vous créez ou importez.
• Paiement : traité par Stripe. Nous ne stockons pas les numéros de carte bancaire.
• Communications : les emails et messages envoyés via la plateforme ou à notre support.

Données collectées automatiquement

• Journaux techniques : adresse IP, type de navigateur, système d'exploitation et heures d'accès, conservés par nos hébergeurs. Nos journaux applicatifs peuvent aussi contenir de courts extraits (environ 40 à 100 caractères) de messages, de réponses et d'éléments de mémoire, que nous utilisons pour diagnostiquer les erreurs.
• Mesure d'usage dans votre navigateur (PostHog, instance UE) : uniquement si vous acceptez les cookies. Pages vues et clics, tout le texte à l'écran et les attributs des éléments étant masqués. Nous n'enregistrons pas les sessions et nous ne captons pas les temps réseau.
• Événements produit depuis nos serveurs (PostHog, instance UE) : uniquement si vous avez accepté la mesure d'usage. Quel outil de l'assistant ou quelle suggestion proactive a servi, avec des champs fixes seulement (nom de l'outil, type et identifiant de la suggestion, un score, un canal, un court code de motif). Ils portent un identifiant pseudonymisé, pas l'identifiant de votre compte. Ils ne contiennent jamais le texte de vos messages ou de vos documents.
• Cookies et stockage du navigateur : voir la section 10 et la page Cookies.

Données issues des services connectés

Lorsque vous connectez un service via OAuth, nous accédons aux données que vous autorisez :

• Gmail : messages email et contacts, accès en lecture, en envoi et en modification selon votre autorisation.
• Outlook (Microsoft) : messages email, avec accès en lecture, en envoi et en modification, et votre profil de base, selon votre autorisation.
• Google Agenda : événements de calendrier, accès en lecture.

Canaux de messagerie (WhatsApp, Instagram, Telegram, SMS) : quand vous en connectez un, les messages que vous envoyez via Nepteo partent vers le service de ce canal (Meta pour WhatsApp et Instagram, Telegram, et Twilio pour les SMS). Ce service les reçoit selon ses propres conditions.

3. Utilisation des données

• Fournir le service : alimenter l'assistant IA, gérer vos données professionnelles, envoyer et recevoir des messages.
• Mémoire de l'assistant : l'assistant retient vos préférences, les détails de vos clients et votre style de communication pour personnaliser son aide. Cette mémoire est stockée dans votre compte.
• Faire fonctionner et protéger le service : surveillance de sécurité, prévention de la fraude, suivi des erreurs et limitation de débit.
• Comprendre l'usage du produit : mesure d'audience, dans votre navigateur uniquement avec votre accord.
• Emails transactionnels : confirmations de compte, notifications de facturation, alertes de sécurité.
• Respecter nos obligations légales : pièces comptables et fiscales.

Nepteo n'utilise jamais vos données pour entraîner des modèles d'IA. Votre contenu est envoyé à des fournisseurs d'IA pour faire fonctionner les services que vous utilisez, y compris la mémoire et les suggestions automatiques. Voici ce que disent les conditions d'Anthropic et d'OpenAI, avec la source :

• Anthropic : ses conditions commerciales (en vigueur au 17 juin 2025) indiquent qu'Anthropic ne peut pas entraîner de modèles sur le contenu client de ses services. Source
• OpenAI : sa politique d'API indique que, depuis le 1er mars 2023, les données envoyées à l'API d'OpenAI ne servent pas à entraîner ni à améliorer les modèles d'OpenAI. Source

Ce qui part chez chaque fournisseur, et où, est sur la page des sous-traitants.

4. Photos et fichiers de justificatifs

Lorsque vous ajoutez un justificatif dans la Comptabilité, Nepteo conserve le fichier et le lit pour remplir la dépense.

• Quoi et où : le fichier que vous déposez (photo, PDF ou texte) est rangé dans notre stockage de fichiers chez Supabase, dans un dossier qui vous est propre. Une ligne de votre coffre en note le nom, le type et la taille.
• Qui le lit : une photo est envoyée à OpenAI, qui en lit le texte. Le texte lu dans une photo, un PDF ou un fichier texte est ensuite envoyé à Anthropic, qui en tire le montant, la TVA, la date et le fournisseur. Les deux figurent sur la page des sous-traitants.
• Combien de temps : nous n'avons fixé aucune durée de suppression automatique pour les fichiers de justificatifs. Ils restent dans le stockage jusqu'à leur suppression ; la fermeture de votre compte les supprime. La durée pendant laquelle OpenAI et Anthropic conservent ce qu'ils reçoivent suit leurs propres conditions.

5. Bases légales (RGPD, article 6)

Chaque finalité repose sur une base légale :

• Exécution du contrat (art. 6(1)(b)) : fournir le service auquel vous avez souscrit, y compris l'assistant, vos données, vos messages et les emails transactionnels.
• Consentement (art. 6(1)(a), et art. 82 de la loi Informatique et Libertés) : la mesure d'audience, dans votre navigateur et depuis nos serveurs, et la connexion de comptes extérieurs comme Gmail. Vous pouvez le retirer à tout moment.
• Intérêt légitime (art. 6(1)(f)) : sécurité, prévention de la fraude, suivi des erreurs et limitation de débit.
• Obligation légale (art. 6(1)(c)) : conserver les pièces comptables et fiscales.

6. Destinataires

Vos données sont traitées par les prestataires qui font fonctionner Nepteo : Supabase Pte. Ltd. (Singapore), Vercel, OpenAI, Anthropic, Google (Gemini API), Stripe, Resend, PostHog, Sentry, Langfuse, Upstash, Brave Search API, Google Fonts. Pour chacun, la page des sous-traitants indique ce qui part, où c'est traité et ce que disent ses conditions sur l'entraînement.

Nous ne vendons jamais vos données. Nous ne partageons pas de données personnelles avec des annonceurs ou des courtiers en données.

Nous ne communiquons des données à une autorité que lorsque la loi l'exige.

7. Localisation et transferts hors UE

Votre base de données est hébergée à Paris (AWS eu-west-3), via Supabase : l'entité contractante est Supabase Pte. Ltd., à Singapour. Les fonctions serveur tournent à Paris (Vercel, cdg1) ; la couche de routage tourne sur le réseau edge de Vercel, au plus près de chaque visiteur. Héberger votre base à Paris ne veut pas dire que tout le traitement reste dans l'UE :

• Traitement IA : Anthropic et OpenAI traitent les données aux États-Unis, et le point d'accès de l'API Gemini de Google est mondial, sans région que nous puissions choisir.
• La mesure d'usage PostHog utilise l'instance UE.
• Vercel, Stripe, Sentry, Resend, Upstash et Brave sont des sociétés américaines. Pour Resend, Sentry, Upstash et Langfuse, nous n'avons pas confirmé la région de traitement, et nous le disons plutôt que de deviner.

Garanties : les transferts hors UE reposent sur les clauses contractuelles types adoptées par la Commission européenne ou sur le cadre de protection des données UE-États-Unis (Data Privacy Framework), selon le prestataire. Les conditions de chaque prestataire sont liées sur la page des sous-traitants.

8. Conservation

• Données du compte et contenu : conservés tant que votre compte existe.
• Clôture de compte : vous fermez votre compte vous-même, depuis les Paramètres. Vos données et vos fichiers sont supprimés immédiatement. Seule l'archive de vos données, que nous vous envoyons par email, est conservée : son lien de téléchargement fonctionne 30 jours, puis l'archive est supprimée. Une question : privacy@nepteo.ai.
• Journaux d'actions de l'assistant : effacés au bout de 90 jours.
• Journaux techniques : conservés selon la durée fixée par nos hébergeurs (Vercel, Supabase).
• Sauvegardes : la base de données et les fichiers déposés (photos de justificatifs comprises) sont sauvegardés chaque nuit et conservés 7 jours. La fermeture du compte supprime aussitôt les copies de sauvegarde de vos fichiers ; les sauvegardes de la base expirent d'elles-mêmes.
• Nos propres pièces de facturation : conservées comme l'exige la loi comptable et fiscale française (généralement 10 ans pour les factures).
• Votre choix sur les cookies : 6 mois dans votre navigateur, puis nous le redemandons. Nous gardons votre dernier choix et sa date tant que votre compte existe. Le cookie PostHog dure 1 an.
• Mesure d'usage chez PostHog et rapports d'erreurs chez Sentry : la durée de conservation suit les réglages de ces services. Nous n'avons pas encore confirmé les durées exactes.

9. Vos droits (RGPD)

Vous disposez des droits suivants :

• Accès : obtenir une copie de vos données personnelles.
• Rectification : corriger des données inexactes.
• Effacement : nous demander de supprimer vos données.
• Limitation : limiter la façon dont nous traitons vos données.
• Portabilité : recevoir vos données dans un format structuré et lisible par machine. Vous pouvez aussi exporter vos données depuis les Paramètres.
• Opposition : vous opposer au traitement fondé sur l'intérêt légitime.
• Retrait du consentement : à tout moment, pour les traitements fondés sur le consentement. Le lien Cookies du pied de page, et dans les Paramètres une fois connecté, rouvre votre choix sur les cookies.

Pour exercer un droit, écrivez à privacy@nepteo.ai. Nous répondons dans un délai d'un mois.

Droit de réclamation : si vous estimez que vos droits n'ont pas été respectés, vous pouvez déposer une réclamation auprès de la CNIL, l'autorité française de protection des données : www.cnil.fr.

10. Sécurité

• Les données circulent par des connexions chiffrées (HTTPS).
• Le chiffrement au repos est assuré par notre hébergeur de base de données.
• La connexion est gérée par Supabase Auth.
• Les erreurs sont suivies avec Sentry.

11. Cookies et stockage du navigateur

Nous posons les entrées ci-dessous. La page Cookies liste chacune avec son nom, son émetteur et sa durée.

Strictement nécessaires

• Session de connexion (cookie d'authentification Supabase) : vous garde connecté.
• Progression de l'inscription (sx_onboarding_done, sx_setup_done) : retiennent que votre configuration est terminée.
• Langue (NEXT_LOCALE) : retient la langue que vous avez choisie.
• Connexions de comptes (cookies OAuth de courte durée pour Gmail et Outlook ; Google Agenda passe par la connexion Gmail et n'en dépose aucun) : réalisent une connexion que vous lancez.
• Stockage d'interface et de session (stockage du navigateur) : vos réglages d'affichage, la page où vous étiez, les brouillons non envoyés et des copies locales de données de travail. Il reste dans votre navigateur et la page Cookies en liste les familles avec les noms principaux.

Ces entrées sont nécessaires pour fournir ce que vous avez demandé, donc la loi n'exige pas votre consentement pour elles (art. 82 de la loi Informatique et Libertés, lignes directrices de la CNIL).

Facultatifs, avec votre accord

PostHog (mesure d'usage, serveurs UE) ne pose un cookie et une entrée de stockage du navigateur qu'après un clic sur Accepter, et nos serveurs n'envoient d'événements PostHog pour votre compte qu'après ce clic aussi. Refuser est aussi simple qu'accepter. Si vous retirez votre accord après avoir accepté, PostHog est arrêté aussitôt et une petite marque est gardée jusqu'au prochain chargement de la page pour qu'il reste arrêté. Votre choix est gardé 6 mois, et le lien Cookies le rouvre.

Posés par d'autres services

• Les paiements par carte se terminent sur les pages de Stripe, qui posent leurs propres cookies.
• Nos polices sont chargées depuis les serveurs de Google, donc votre adresse IP parvient à Google au chargement d'une page. Ce n'est pas un cookie.

Nous n'utilisons aucun traceur publicitaire.

12. Mineurs

Nepteo est conçu pour un usage professionnel par des personnes de 18 ans et plus. Nous ne collectons pas sciemment de données personnelles de mineurs. Si nous apprenons qu'un mineur a créé un compte, nous le supprimons rapidement.

13. Services API Google

Lorsque vous connectez votre compte Google (Gmail, Google Agenda), Nepteo accède à vos données Google via les API Google. Cette section décrit le traitement de ces données.

Déclaration d'utilisation limitée

L'utilisation et le transfert par Nepteo à toute autre application des informations reçues des API Google sont conformes à la Politique relative aux données utilisateur des services API Google, y compris les exigences d'utilisation limitée (Limited Use).

Données accédées, par scope

• Gmail, lecture et modification (gmail.modify) : Nepteo lit vos messages reçus et envoyés, fils de discussion, labels et pièces jointes pour les afficher dans une boîte de réception unifiée, les rendre consultables par recherche, créer les contacts de vos correspondants et mémoriser des informations utiles à leur sujet. Il modifie les labels lorsque vous archivez, marquez comme favori ou lu/non lu. Il déplace les fils vers la corbeille ou les restaure à votre demande. Nepteo ne supprime jamais définitivement de messages.
• Gmail, envoi (gmail.send) : Nepteo envoie un email depuis votre adresse uniquement lorsque vous agissez : vous le rédigez et l'envoyez, vous validez un brouillon préparé par l'assistant Nepty, ou vous demandez à l'assistant de l'envoyer.
• Adresse email (userinfo.email) : Nepteo lit votre adresse email Google pour identifier le compte connecté. Aucune autre donnée de profil n'est accédée.
• Google Agenda, lecture des événements (calendar.events.readonly) : Nepteo lit les événements de votre agenda principal, d'hier à 30 jours à venir : titre, description, lieu, heures de début et de fin, et s'ils sont annulés ou refusés. Il les enregistre dans sa base de données pour les afficher dans la vue agenda, et l'assistant IA s'en sert comme contexte de planification. Nepteo ne crée, ne modifie et ne supprime aucun événement dans Google Agenda.

Stockage et conservation

Les messages email récupérés depuis Gmail et les événements Google Agenda (titre, description, lieu, heures de début et de fin) sont stockés dans notre base de données (Supabase, AWS eu-west-3, Paris) pour alimenter la boîte de réception unifiée et l'agenda. Gmail et Google Agenda partagent une seule connexion : ses jetons OAuth (accès et actualisation) sont stockés chiffrés (AES-256-GCM) dans notre coffre-fort de credentials. Tout cela est supprimé avec votre compte lorsque vous le fermez.

Lorsque vous déconnectez votre compte Google depuis les Paramètres, Nepteo cesse de lire les nouveaux messages et événements et la connexion est désactivée. Les jetons chiffrés restent dans notre coffre-fort, sans être utilisés, et les messages et événements déjà récupérés restent dans votre compte, jusqu'à la fermeture de votre compte. Pour tout supprimer, fermez votre compte dans les Paramètres (Sécurité & Coffre-fort), ou écrivez-nous à privacy@nepteo.ai. Vous pouvez aussi retirer l'accès de Nepteo à tout moment depuis la page d'accès des applications tierces de votre compte Google.

Pas d'utilisation secondaire

Les données utilisateur Google sont utilisées exclusivement pour fournir le service Nepteo tel que décrit ci-dessus. Elles ne sont jamais vendues, partagées avec des annonceurs ni utilisées pour du profilage. Nepteo n'utilise pas les données utilisateur Google pour développer, améliorer ou entraîner des modèles d'IA ou d'apprentissage automatique généralistes, comme l'exigent les règles d'usage limité (Limited Use) de la Google API Services User Data Policy. Elles ne sont transférées qu'à nos sous-traitants. Supabase les stocke et Vercel les délivre. Lorsque l'assistant travaille sur vos messages ou vos événements, leur contenu est envoyé à Anthropic, OpenAI et Google (API Gemini) pour produire la réponse. Pour l'API Gemini de Google, les conditions des services payants indiquent que Google n'utilise pas vos requêtes pour améliorer ses produits. Tous figurent sur la page des sous-traitants.

Personne chez Nepteo ne lit le contenu des messages, sauf avec l'accord explicite de l'utilisateur pour du support, pour enquêter sur un abus ou un incident de sécurité, ou lorsque la loi l'exige. Le contenu comprend les e-mails, les messages, les pièces jointes, les notes, les mémoires, les documents et les événements d'agenda.

14. Modifications de cette politique

Nous pouvons mettre à jour cette politique de temps à autre. Pour les modifications importantes, nous vous prévenons par email au moins 30 jours avant leur prise d'effet. La date de « dernière mise à jour » en haut de la page indique la révision la plus récente.

15. Contact

Pour toute question sur cette politique ou sur vos données personnelles :

• Protection des données : privacy@nepteo.ai
• Questions générales : contact@nepteo.ai