1. Quelles données Google sont consultées
Lorsque vous connectez votre compte Gmail à Grapify, l'application accède uniquement aux éléments suivants, et seulement pour les besoins fonctionnels décrits ci-dessous :
- Métadonnées des emails entrants (expéditeur, destinataire, sujet, date, identifiant Gmail).
- Corps texte des emails et pièces jointes (PDF, images, Excel) uniquement lorsque l'email est identifié comme une potentielle commande client (filtres expéditeur, mots-clés, règles ERP).
- Étiquettes Gmail (labels) appliquées par Grapify après traitement (ex. « Grapify/Traité »).
Aucune autre catégorie de données Google n'est consultée. En particulier, Grapify n'accède pas à votre Drive, Calendar, Contacts ou Chat.
2. Périmètres OAuth (scopes) demandés
Vous pouvez à tout moment révoquer ces autorisations depuis votre compte Google : myaccount.google.com/permissions.
3. Engagement Limited Use
L'utilisation que fait Grapify des informations reçues depuis les API Google respecte la Google API Services User Data Policy, y compris les exigences Limited Use. Concrètement, Grapify s'engage à ne pas :
- Utiliser ces données pour servir de la publicité, y compris la publicité personnalisée, ciblée ou de retargeting.
- Transférer ces données à des tiers, sauf : (i) lorsque cela est strictement nécessaire à la fourniture de la fonctionnalité demandée, (ii) pour des raisons de sécurité (ex. enquête sur abus), ou (iii) pour se conformer à une obligation légale.
- Permettre à des humains de lire ces données, sauf : (i) avec votre consentement explicite pour des messages spécifiques, (ii) pour des opérations de sécurité, (iii) pour se conformer à la loi, ou (iv) lorsque les données ont été agrégées et anonymisées et sont utilisées à des fins internes.
- Utiliser ces données pour entraîner des modèles d'IA généralistes ou tiers. L'extraction de commandes utilise des LLM via Google Vertex AI / OpenAI / Lovable AI Gateway en mode « zéro rétention » (zero-retention), sans entraînement sur les contenus client.
4. Conservation et stockage
- Les jetons OAuth (access token / refresh token) sont chiffrés au repos dans notre base Supabase (UE), avec rotation automatique.
- Le corps des emails identifiés comme commande est conservé tant que le document de vente associé existe dans votre ERP, puis archivé selon votre politique de rétention (par défaut 10 ans pour conformité comptable).
- Les emails non reconnus comme commande sont écartés (non stockés) à l'issue du traitement.
- Vous pouvez déconnecter Gmail à tout moment depuis Paramètres → Intégrations → Email. La déconnexion révoque les jetons et stoppe toute synchronisation future.
5. Sécurité
Chiffrement TLS 1.2+ en transit, AES-256 au repos, isolation multi-tenant via Row-Level Security PostgreSQL, audit régulier des accès. Détail complet sur /trust/security.
6. Contact
Questions sur l'utilisation des API Google : privacy@grapify.be. Voir aussi la politique de confidentialité.
Dernière mise à jour : 30 juin 2026
