Politique de confidentialité

1. Données traitées

• Compte : nom, adresse email, mot de passe (enregistré sous forme d'empreinte, jamais en clair), langue, préférences.
• Données commerciales saisies ou importées par les utilisateurs : leads, contacts (nom, fonction, email, téléphone), notes, actions, montants, pièces jointes.
• Boîtes mail connectées (Gmail, Microsoft 365, IMAP), uniquement si l'utilisateur les branche lui-même : voir la section 3.
• Données techniques : journaux de connexion (date, adresse IP, navigateur) et journal d'audit des modifications.

2. Finalités

Fournir le service : afficher et organiser les leads, planifier les actions, envoyer les emails demandés par l'utilisateur, produire les statistiques du compte.

Sécurité : authentification, prévention des abus, traçabilité des modifications.

CRMlead ne vend aucune donnée, ne fait pas de publicité et ne constitue pas de profils à des fins marketing.

3. Données Google, Gmail et Microsoft

« Continuer avec Google » ne demande que les autorisations openid, email et profile : l'adresse, le nom et l'identifiant du compte Google, pour ouvrir une session. CRMlead ne demande aucun accès à Gmail par les API Google.

Une boîte Gmail (comme toute autre messagerie) se branche par un mot de passe d'application que l'utilisateur crée lui-même chez Google, via les protocoles standard IMAP et SMTP. Ce mot de passe est chiffré et peut être révoqué à tout moment chez Google. Les règles ci-dessous valent pour toutes les boîtes branchées :

• Seuls les emails échangés avec un contact d'un lead ouvert du compte sont importés. Les autres emails de la boîte ne sont ni lus en entier, ni enregistrés.
• File « À trier » (désactivable dans les réglages de la boîte) : pour les messages reçus d'une personne qui n'est pas encore un contact, seuls l'expéditeur, l'objet et la date sont enregistrés, pour proposer d'en faire un lead. Jamais le contenu. Les lettres d'information sont écartées, seule la personne propriétaire de la boîte voit cette liste, et elle est effacée après 30 jours.
• Les pièces jointes ne sont pas copiées : seuls leur nom, leur type et leur taille sont enregistrés, et le fichier est relu dans la boîte au moment où l'utilisateur l'ouvre.
• Les emails ne partent que sur action de l'utilisateur, depuis sa propre adresse.
• Les mots de passe et jetons d'accès sont chiffrés. Débrancher la boîte dans les réglages les supprime.
• Si l'utilisateur demande un brouillon de réponse par intelligence artificielle, le contenu de l'échange concerné est transmis au fournisseur d'IA pour rédiger ce seul brouillon. CRMlead n'utilise pas ces données pour entraîner des modèles d'IA.
• Dictée d'une note : le son est enregistré par le navigateur pendant la dictée, envoyé par tranches au fournisseur d'IA pour être transcrit, puis effacé. CRMlead ne conserve que le texte. La note est ensuite lue par l'IA pour proposer la prochaine action, que l'utilisateur valide ou écarte.

L'utilisation et le transfert à toute autre application des informations reçues des API Google respectent la Google API Services User Data Policy (https://developers.google.com/terms/api-services-user-data-policy), y compris les exigences de « Limited Use ». Aucun humain ne lit ces données, sauf avec l'accord explicite de l'utilisateur, pour des raisons de sécurité ou pour se conformer à la loi.

4. Destinataires et sous-traitants

Les données d'un compte ne sont visibles que par les membres de ce compte, selon leurs droits. Une boîte mail connectée n'est visible que par la personne qui l'a branchée.

• Neon : hébergement de l'application et de la base de données.
• Resend, Inc. (États-Unis) : envoi des emails du service (réinitialisation de mot de passe, notifications) et des emails des comptes sans boîte connectée.
• Z.ai (modèles GLM) : rédaction des brouillons d'email, uniquement si l'IA est activée par l'administrateur du compte.
• Cloudflare, Inc. : stockage des pièces jointes déposées sur les leads, lorsque ce stockage est activé.
• Google LLC et Microsoft Corporation : uniquement pour les boîtes et connexions que l'utilisateur a lui-même branchées.

Certains de ces prestataires traitent les données hors de l'Union européenne, notamment aux États-Unis.

5. Durées de conservation

Tant que le compte existe, y compris en formule gratuite, qui n'a pas de limite de durée. Un lead mis à la corbeille y reste jusqu'à ce qu'un administrateur la vide ; il est alors effacé. Quand un administrateur supprime le compte, toutes ses données sont effacées aussitôt. Une boîte débranchée perd immédiatement ses jetons d'accès ; les emails déjà rattachés aux leads restent dans le compte.

6. Sécurité

Connexions chiffrées (HTTPS), mots de passe hachés, jetons des boîtes mail chiffrés, cloisonnement des comptes en base de données, double authentification disponible, journal d'audit.

7. Vos droits

Vous pouvez demander l'accès à vos données, leur rectification, leur effacement ou leur export, et vous opposer à un traitement, en écrivant à support@scanlead.io. Vous pouvez aussi exporter les données d'un compte depuis l'application. Ces droits s'exercent selon le RGPD pour les personnes situées dans l'Union européenne.

8. Modifications

Cette politique peut évoluer ; la date de dernière mise à jour figure en tête. Dernière mise à jour : 17.09.2026.