Politique de confidentialité

1. Qui nous sommes

Le service MCPEmails disponible à l'adresse mcpemails.com est exploité par Albretsen Consulting, une entreprise individuelle norvégienne (enkeltpersonforetak) détenue et dirigée par Asgeir Albretsen, exerçant sous le nom commercial « MCPEmails ». Dans la présente politique, « MCPEmails », « nous » et « notre » désignent Albretsen Consulting. Le service comprend toutes les pages du tableau de bord, les points de terminaison de l'API et le serveur Model Context Protocol (MCP) que les agents IA utilisent pour accéder aux comptes de messagerie connectés.

Aux fins de la législation applicable en matière de protection des données (y compris le Règlement général sur la protection des données de l'UE, le « RGPD »), MCPEmails est le responsable du traitement des données de compte et d'utilisation. Concernant le contenu des e-mails, nous agissons en tant que sous-traitant pour votre compte : nous transmettons le contenu que vous nous autorisez à récupérer, et nous ne le stockons pas.

Identification du prestataire de services : Albretsen Consulting est une entreprise individuelle (enkeltpersonforetak) établie en Norvège et dirigée par Asgeir Albretsen. Elle est inscrite à l{register}, le registre central norvégien des entités juridiques tenu par Brønnøysundregistrene, sous le numéro dorganisation 926 646 753. Notre adresse enregistrée est Håsteins gate 9, 5160 Laksevåg, Norway.

Albretsen Consulting n'est pas actuellement inscrite au registre norvégien de la TVA (Merverdiavgiftsregisteret). Vous pouvez nous contacter au sujet de la confidentialité à l'adresse privacy@mcpemails.com.

2. Données que nous collectons

2.1 Données de compte

Lorsque vous créez un compte, nous collectons votre adresse e-mail et un mot de passe haché (nous ne stockons jamais de mots de passe en clair). Vous pouvez éventuellement fournir un nom d'affichage. Ces données sont nécessaires pour créer et gérer votre compte. Si vous cochez la case du formulaire d'inscription pour recevoir par e-mail des conseils sur le produit et des offres, nous enregistrons également que vous l'avez fait, à quel moment, et le texte que vous avez vu. Lors de votre inscription, nous enregistrons aussi si vous avez utilisé un téléphone, une tablette ou un ordinateur, d'après les en-têtes de la requête de votre navigateur. Nous ne conservons que cette catégorie, jamais la chaîne user-agent de votre navigateur ni aucun identifiant d'appareil, et nous l'utilisons uniquement pour comprendre d'où viennent les inscriptions.

2.2 Données d'espace de travail et de configuration

Nous stockons le nom d'espace de travail que vous choisissez, ainsi que la configuration de chaque boîte de réception connectée (type de fournisseur, adresse e-mail, statut OAuth et horodatage de connexion). Nous ne stockons pas les jetons d'accès OAuth ni les mots de passe d'application en clair. Ils sont chiffrés avec AES-256-GCM avant d'être écrits dans la base de données, et la clé de chiffrement est conservée dans un coffre-fort de secrets distinct.

2.3 Clés d'API

Nous stockons un hachage SHA-256 de chaque clé d'API que vous créez, ainsi que le nom de la clé, ses portées, son horodatage de création et son horodatage de dernière utilisation. La valeur brute de la clé vous est affichée une seule fois, au moment de sa création, et n'est jamais stockée sous une forme récupérable.

2.4 Journaux d'utilisation et d'audit

Pour chaque appel d'outil MCP effectué par votre agent, nous enregistrons : le nom de l'outil (par ex. email_read), la clé d'API ayant effectué l'appel, la boîte de réception consultée, l'horodatage et la réussite ou non de l'appel. Nous n'enregistrons pas les objets, corps, destinataires ou tout autre contenu d'e-mail dans ces journaux.

2.5 Contenu des e-mails : non stocké

Lorsque votre agent appelle email_read (pour lister, lire ou rechercher) ou tout autre outil de lecture, nous récupérons le contenu demandé en direct auprès de votre fournisseur de messagerie et le renvoyons à votre agent dans la même réponse HTTP. Ce contenu n'est jamais écrit sur disque, mis en cache ni journalisé. Une fois la réponse HTTP envoyée, nous ne conservons aucune copie d'un quelconque corps d'e-mail, objet, pièce jointe ou coordonnée de contact. La seule exception concerne les envois programmés : lorsque vous demandez à votre agent de programmer un message pour une remise ultérieure, nous stockons ce message sortant (ses destinataires, son objet, son corps et toute pièce jointe) dans notre base de données jusqu'à son envoi, puis nous en conservons la trace à des fins d'audit et de dépannage. Cela ne s'applique qu'aux messages que vous programmez explicitement ; le courrier que votre agent lit ou envoie immédiatement n'est jamais stocké.

Le contenu de vos e-mails n'est transmis qu'au client MCP ou à l'agent IA que vous avez connecté et que vous utilisez (par exemple Claude, Cursor ou un autre client MCP de votre choix). Lorsque vous invoquez un outil, MCPEmails transmet le contenu demandé à ce client afin qu'il puisse répondre à votre demande. MCPEmails ne transmet pas le contenu de vos e-mails à un fournisseur d'IA qu'il choisirait lui-même. Une fois le contenu parvenu au client que vous avez choisi, il est régi par la politique de confidentialité et les conditions propres à ce client ou à ce fournisseur d'IA, qu'il vous appartient de consulter. MCPEmails agit uniquement comme intermédiaire et ne conserve aucune copie du contenu.

2.6 Données techniques et opérationnelles

Nous collectons des données opérationnelles standard côté serveur, notamment les adresses IP (pour la limitation du débit et la prévention des abus), les horodatages des requêtes, les codes de statut HTTP et les types d'erreurs. Ces données sont conservées sous une forme agrégée et anonymisée et ne sont plus liées à des comptes individuels au-delà de 30 jours.

2.7 Cookies et stockage local

Le tableau de bord dépose un cookie de session propriétaire émis par Supabase Auth pour vous maintenir connecté. Si vous cochez la case d'e-mails marketing du formulaire d'inscription puis continuez avec Google ou GitHub, nous déposons également un cookie propriétaire de courte durée (mcpe_signup_mc) qui conserve ce choix pendant la redirection de connexion. Il expire au bout de 15 minutes et est supprimé dès votre retour. Nous n'utilisons pas de cookies de suivi, de cookies publicitaires ni aucun cookie tiers. Nous stockons deux petites valeurs propriétaires dans le stockage local de votre navigateur et nulle part ailleurs : votre préférence de thème (mcpe-theme) et une trace de la façon dont vous avez découvert le site (mcpe-acquisition). La seconde ne contient qu'une catégorie générale de source de trafic (par exemple reddit ou organic_google) et le type de page d'arrivée, jamais d'identifiant, de terme de recherche ni d'URL complète. Elle est conservée jusqu'à 30 jours et ne sert pas à vous suivre sur d'autres sites.

2.8 Analytique produit

Nous utilisons Vercel Web Analytics pour une analytique produit respectueuse de la vie privée et sans cookie. Nous mesurons les visites et un petit parcours de configuration avec des catégories agrégées uniquement. Nous n'envoyons jamais le contenu ou les adresses des e-mails, les clés API, les jetons OAuth, les identifiants utilisateur ou d'espace de travail, les requêtes MCP ou les données de boîte mail. Consultez la documentation Vercel Analytics. Cette configuration n'utilisant ni cookie ni identifiant non essentiel, aucune bannière de consentement n'est requise selon notre politique choisie.

3. Comment nous utilisons vos données

Nous utilisons les données décrites ci-dessus aux fins suivantes :

3.1 Fourniture du service

Nous utilisons vos données de compte pour vous authentifier, la configuration de votre espace de travail pour acheminer les appels d'outils MCP vers le bon fournisseur de messagerie, et vos clés d'API pour autoriser les requêtes des agents. Sans ces données, le service ne peut pas fonctionner. La base légale au titre du RGPD est l’exécution d'un contrat.

3.2 Sécurité et prévention des abus

Nous utilisons les adresses IP, les débits de requêtes et les schémas d'erreurs pour détecter et bloquer les activités abusives, appliquer des limites de débit et protéger la disponibilité du service pour tous les utilisateurs. La base légale réside dans nos intérêts légitimes à exploiter un service sécurisé.

3.3 Analyse de l'utilisation et amélioration du produit

Nous utilisons des données d'utilisation agrégées et anonymisées (nombre d'appels d'outils, taux d'erreur, latence) pour comprendre comment le service est utilisé et hiérarchiser les améliorations. Les analyses restent agrégées : nous n'utilisons pas de données d'utilisation au niveau individuel à cette fin. Les signaux individuels de compte et d'utilisation servent uniquement à appliquer les limites des plans (section 3.4) et, si vous y avez consenti, à choisir quel e-mail marketing vous envoyer (section 3.9). La base légale réside dans nos intérêts légitimes à améliorer le service.

3.4 Facturation et application des plans

Nous utilisons les compteurs d'utilisation pour déterminer si votre espace de travail a atteint les limites du plan et pour calculer votre facture sur les plans payants. La base légale est l’exécution d'un contrat.

3.5 Conformité légale

Nous pouvons traiter et divulguer des données lorsque la loi applicable, une décision de justice ou une autorité réglementaire l'exige. La base légale est le respect d'une obligation légale.

3.6 Ce que nous ne ferons jamais

• Vendre vos données personnelles ou vos données d'utilisation à des tiers.
• Utiliser le contenu de vos e-mails pour entraîner des modèles d'IA.
• Utiliser vos données pour vous diffuser de la publicité.
• Partager vos données avec des tiers à des fins de marketing qui leur sont propres.

3.7 Services d'API Google : usage limité

L'utilisation et le transfert par MCPEmails vers toute autre application des informations reçues des API Google (y compris l'API Gmail) respecteront la politique de Google relative aux données utilisateur des services d'API, y compris les exigences d’usage limité.

Lorsque vous connectez un compte Gmail, vous accordez à MCPEmails les portées Gmail suivantes. Nous demandons chaque portée uniquement pour fournir les fonctionnalités que vous invoquez via votre agent IA, et nous les utilisons uniquement pour votre compte :

• gmail.readonly : lister les messages et lire le contenu des messages afin que votre agent puisse rechercher, lire et résumer des e-mails à votre demande.
• gmail.send : composer et envoyer des messages que votre agent crée à votre demande.
• gmail.modify : organiser votre messagerie selon vos instructions, notamment appliquer et retirer des libellés, marquer des messages comme lus ou non lus, archiver des messages, déplacer des messages entre dossiers et placer des messages à la corbeille.

Conformément aux exigences d'usage limité, MCPEmails :

• utilise les données utilisateur de Google uniquement pour fournir et améliorer les fonctionnalités destinées aux utilisateurs décrites ci-dessus ;
• ne transfère ni ne vend les données utilisateur de Google à des tiers, courtiers en données ou réseaux publicitaires ;
• n'utilise pas les données utilisateur de Google pour diffuser des publicités ;
• n'utilise pas les données utilisateur de Google pour développer, améliorer ou entraîner des modèles d'IA ou d'apprentissage automatique généralisés ou non personnalisés ;
• ne permet pas à des humains de lire les données utilisateur de Google, sauf si (a) vous donnez votre consentement explicite pour des messages spécifiques, (b) cela est nécessaire à des fins de sécurité telles que l'investigation d'abus, (c) cela est requis pour se conformer à la loi applicable, ou (d) les données ont été agrégées et anonymisées.

Comme décrit à la section 2.5, le contenu d'e-mail récupéré via l'API Gmail est acheminé vers votre agent dans la même requête et n'est jamais stocké, mis en cache ni journalisé par MCPEmails.

3.8 API Microsoft : accès à la boîte et révocation

Lorsque vous connectez une boîte Outlook ou Microsoft 365, Microsoft vous demande d'approuver un ensemble d'autorisations précis et nommé : lire et organiser votre courrier, et envoyer du courrier en votre nom. Nous utilisons cet accès uniquement pour exécuter les fonctions que vous demandez à un agent IA d'effectuer sur votre boîte, comme lire, rechercher, organiser, rédiger et envoyer. Nous ne l'utilisons pas pour constituer une copie de votre boîte, et nous n'utilisons jamais le contenu des messages, ni rien qui en dérive, à des fins publicitaires ou marketing.

Vous pouvez retirer cet accès à tout moment, directement auprès de Microsoft et sans nous le demander. Pour un compte Microsoft personnel, utilisez Autorisations du compte Microsoft. Pour un compte professionnel ou scolaire, utilisez Mes applications. La révocation y met immédiatement fin à notre accès à cette boîte. Si votre administrateur informatique a approuvé MCPEmails pour toute l'organisation, seul un administrateur peut retirer cette approbation valable pour toute l'organisation.

Déconnecter la boîte depuis votre tableau de bord MCPEmails a le même effet de notre côté et supprime en plus les identifiants enregistrés pour cette boîte. Vous pouvez commencer par l'une ou l'autre ; il n'est pas nécessaire de faire les deux.

3.9 E-mails de prospection directe

Nous n'envoyons d'e-mails marketing (conseils sur le produit et offres, par exemple au sujet d'un plan payant lorsque votre espace de travail atteint une limite de son plan) que si vous l'avez accepté en cochant la case du formulaire d'inscription. La case est décochée par défaut et nous ne déduisons votre consentement d'aucune autre action. La base légale est votre consentement (article 6, paragraphe 1, point a) du RGPD), que la loi norvégienne sur le contrôle du marketing (markedsføringsloven, § 15) exige également pour la prospection par e-mail.

Pour choisir lequel de quelques messages envoyer, et quand, nous utilisons des signaux liés au compte et à l'utilisation du produit : par exemple le fait que votre espace de travail a atteint une limite de son plan, le nombre de boîtes de réception connectées, votre plan et votre date d'inscription. Nous n'utilisons jamais pour cela le contenu de votre boîte mail, ni rien qui en soit dérivé.

Vous pouvez retirer votre consentement à tout moment grâce au lien de désinscription présent dans chaque e-mail marketing. Le retrait prend effet immédiatement et n'affecte pas les reçus, les alertes de sécurité ni les autres e-mails nécessaires au fonctionnement de votre compte. Nous conservons la date de votre consentement et le texte que vous avez vu, afin de pouvoir démontrer qu'il a été donné.

4. Conservation des données

Nous conservons chaque catégorie de données pendant les durées suivantes :

Lorsque vous supprimez votre compte, nous engageons la suppression de toutes les données personnelles dans un délai de 30 jours. Les statistiques d'utilisation agrégées et non personnelles dérivées de votre compte peuvent être conservées au-delà de cette période sous forme anonymisée.

5. Tiers et partage des données

5.1 Fournisseurs d'infrastructure (sous-traitants)

Nous faisons appel aux sous-traitants ultérieurs suivants pour exploiter le service. Chacun est lié par un accord de traitement des données et ne traite les données que sur nos instructions :

5.2 Fournisseurs de messagerie (vos fournisseurs, pas les nôtres)

Lorsque vous connectez un compte Gmail, Outlook / Microsoft 365, Fastmail ou un autre compte IMAP, MCPEmails s'authentifie auprès de ce fournisseur à l'aide des identifiants que vous fournissez. La politique de confidentialité propre à votre fournisseur de messagerie régit les données conservées dans votre boîte aux lettres. MCPEmails accède à votre boîte aux lettres uniquement lorsque votre agent effectue un appel d'outil, et uniquement pour les messages ou dossiers spécifiques que l'outil demande.

5.3 Aucun courtier en données ni réseau publicitaire

Nous ne partageons aucune donnée avec des courtiers en données, des réseaux publicitaires, des plateformes de réseaux sociaux ou des sociétés d'analyse qui établissent des profils d'utilisateurs.

5.4 Divulgations légales

Nous pouvons divulguer des données personnelles si la loi l'exige, dans le cadre d'une procédure légale valide (telle qu'une décision de justice ou une assignation), ou pour protéger les droits, les biens ou la sécurité de MCPEmails, de nos utilisateurs ou du public. Lorsque la loi le permet, nous informerons les utilisateurs concernés avant de divulguer leurs données.

5.5 Transferts d'entreprise

En cas de fusion, d'acquisition ou de cession d'actifs, les données personnelles peuvent être transférées dans le cadre de cette opération. Nous informerons les utilisateurs via l'adresse e-mail figurant sur leur compte avant qu'un tel transfert n'ait lieu et avant que leurs données ne soient soumises à une politique de confidentialité différente.

6. Transferts internationaux de données

MCPEmails est exploité depuis la Norvège, qui est soumise au cadre de protection des données de l'Espace économique européen (EEE). Si vous accédez au service depuis l'extérieur de l'EEE, vos données peuvent être transférées et traitées dans des pays situés au sein de l'EEE.

Nos sous-traitants d'infrastructure (Supabase, Vercel) opèrent dans le cadre de clauses contractuelles types (CCT) approuvées par la Commission européenne pour les transferts de données vers des pays tiers. Pour Stripe, le traitement est couvert par leur certification au titre du cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework).

Notre base de données, qui contient les données de compte et de configuration, est hébergée dans l'UE (Stockholm, Suède) pour tous les clients. Aucun forfait ni réglage ne la déplace vers une autre région.

7. Vos droits

Selon votre localisation, vous pouvez disposer des droits suivants concernant vos données personnelles :

• Accès. Demander une copie de toutes les données personnelles que nous détenons à votre sujet.
• Rectification. Nous demander de corriger des données inexactes ou incomplètes.
• Effacement (« droit à l'oubli »). Demander la suppression de vos données personnelles. Vous pouvez le déclencher vous-même en supprimant votre compte dans Tableau de bord → Paramètres → Supprimer le compte.
• Limitation. Nous demander de limiter le traitement de vos données dans certaines circonstances.
• Portabilité des données. Demander vos données dans un format lisible par machine (JSON).
• Opposition. Vous opposer à un traitement fondé sur des intérêts légitimes.
• Retrait du consentement. Lorsque le traitement est fondé sur le consentement, le retirer à tout moment sans affecter la licéité du traitement antérieur.

Pour exercer l'un de ces droits, écrivez-nous à l'adresse privacy@mcpemails.com. Nous répondrons dans un délai de 30 jours (ou de 72 heures pour les demandes urgentes liées à la sécurité). Nous pouvons vous demander de vérifier votre identité avant de traiter la demande.

Si vous êtes situé dans l'EEE ou au Royaume-Uni, vous avez le droit d'introduire une réclamation auprès de votre autorité de contrôle locale. En Norvège, il s'agit du Datatilsynet (datatilsynet.no).

8. Sécurité

Nous prenons la sécurité de vos données au sérieux et mettons en œuvre des mesures techniques et organisationnelles appropriées, notamment :

• Toutes les données en transit sont chiffrées à l'aide de TLS 1.2 ou supérieur. Les connexions ne prenant pas en charge TLS sont rejetées.
• Les jetons OAuth et les identifiants IMAP sont chiffrés au repos à l'aide d'AES-256-GCM. La clé de chiffrement est conservée dans une instance Supabase Vault distincte et n'est jamais colocalisée avec les données chiffrées.
• Les clés d'API sont hachées avec SHA-256 avant stockage. La clé brute ne peut pas être récupérée à partir du hachage.
• L'accès à la base de données est protégé par des politiques de sécurité au niveau des lignes (RLS) qui empêchent un espace de travail d'accéder aux données d'un autre, même en cas d'erreur de logique de requête.
• L'accès administratif à l'infrastructure de production nécessite une authentification multifacteur et est journalisé.

Malgré ces mesures, aucun système n'est parfaitement sécurisé. Si vous découvrez une vulnérabilité de sécurité, veuillez la signaler de manière responsable à security@mcpemails.com. Nous nous efforçons d'accuser réception des signalements dans un délai de 24 heures et de corriger les vulnérabilités confirmées dans un délai de 72 heures pour les problèmes critiques.

En cas de violation de données personnelles susceptible d'entraîner un risque pour vos droits et libertés, nous informerons les utilisateurs concernés et l'autorité de contrôle compétente dans un délai de 72 heures après en avoir pris connaissance, comme l'exige l'article 33 du RGPD.

9. Confidentialité des enfants

MCPEmails ne s'adresse pas aux enfants de moins de 16 ans. Nous ne collectons pas sciemment de données personnelles auprès de toute personne de moins de 16 ans. Si vous pensez que nous avons collecté par inadvertance des données auprès d'un enfant, veuillez nous contacter à l'adresse privacy@mcpemails.com et nous les supprimerons rapidement.

10. Modifications de la présente politique

Nous pouvons mettre à jour la présente politique de confidentialité de temps à autre. Lorsque nous apportons des modifications substantielles (telles que la collecte de nouvelles catégories de données ou le partage de données avec de nouveaux tiers), nous :

• Mettrons à jour la date de « Dernière mise à jour » en haut de cette page.
• Enverrons une notification par e-mail à l'adresse enregistrée sur votre compte au moins 14 jours avant l'entrée en vigueur des modifications.
• Afficherons un avis bien visible dans le tableau de bord pendant 14 jours après l'entrée en vigueur de la modification.

Votre utilisation continue du service après l'entrée en vigueur d'une modification vaut acceptation de la politique mise à jour. Si vous n'êtes pas d'accord avec une modification substantielle, vous pouvez supprimer votre compte avant la date d'entrée en vigueur.

11. Nous contacter

Si vous avez des questions sur la présente politique de confidentialité, souhaitez exercer un droit en tant que personne concernée ou souhaitez signaler une préoccupation relative à la confidentialité, veuillez nous contacter :