Politique de confidentialité

Article 1. Qui nous sommes et comment nous joindre

Pour tout ce qui touche à vos données — accès, rectification, effacement, ou une question sur la présente politique — écrivez à info@nermio.com. Nous n’avons pas de délégué à la protection des données ; il n’est pas obligatoire pour une entreprise de cette taille avec ce type de données.

Article 2. Sur qui et sur quoi porte la présente politique

Elle porte sur les visiteurs de nermio.com, les personnes qui demandent un rendez-vous ou nous écrivent, les entreprises que nous démarchons pour Nermio, et les utilisateurs d’un compte Nermio.

Une distinction commande tout le reste du texte, elle figure donc en tête. Nermio touche à des données à caractère personnel de deux façons.

• Votre propre compte et votre abonnement. Votre nom, votre adresse e-mail, l’organisation que vous avez créée et ce que vous souscrivez chez nous. Ici, c’est Nermio qui décide de ce qui arrive à ces données, et c’est la présente politique qui s’applique.
• Ce que vous mettez dans Nermio. Vos entreprises, interlocuteurs, affaires, tâches et notes. Ce sont vos données sur vos relations ; c’est vous qui décidez de ce que vous enregistrez et pourquoi, et Nermio ne les traite que pour faire fonctionner le logiciel. Ce n’est pas la présente politique qui s’y applique mais le contrat de sous-traitance.

Article 3. Quelles données nous traitons, pourquoi et sur quelle base

Ce que nous ne faisons pas : vendre vos données, les transmettre à des tiers à des fins publicitaires, ou les utiliser pour entraîner des modèles.

Article 4. L’IA avec votre propre clé

L’IA est désactivée tant que vous ne faites rien pour l’activer. Un propriétaire ou un manager peut connecter une clé d’API personnelle d’OpenAI, Anthropic, Mistral ou Google. Ce n’est qu’ensuite que quelqu’un de votre équipe peut demander, sur un dossier d’entreprise, l’une de trois choses : un résumé, une proposition de prochaine étape, ou un brouillon de mail.

• Rien ne part vers votre fournisseur sans que quelqu’un appuie sur un tel bouton. Il n’existe aucune tâche qui parcourrait les dossiers d’elle-même.
• Ce qui part n’est pas le dossier entier mais une sélection fixe de champs que compose une seule fonction. Un nouveau champ dans la base de données ne voyage donc pas en silence.
• La réponse arrive sur votre écran et n’est pas conservée chez nous. Le journal d’audit retient QU’il y a eu une action et chez quel fournisseur, pas ce qu’elle contenait.
• Votre clé est stockée chiffrée (AES-GCM, avec un secret qui vit hors de la base de données). Un export de la base sans ce secret ne donne rien, et les écrans ne peuvent même pas demander la valeur chiffrée.

Le traitement par ce fournisseur d’IA relève des engagements que vous avez pris avec lui, et vous lui payez l’usage directement. Il n’est donc pas un prestataire que nous mobilisons pour vous.

Article 5. Envoyer du courrier, et envoyer du courrier à Nermio

Le courrier sortant de Nermio part de votre propre adresse et non de la nôtre. Pour cela, vous connectez votre boîte : avec des paramètres de serveur, ou en un bouton chez Google ou Microsoft. Ces deux derniers fonctionnent avec une autorisation que vous donnez chez votre propre fournisseur et que vous retirez à tout moment.

• Nous ne demandons l’autorisation que d’envoyer. Chez Google, c’est exclusivement la portée gmail.send, chez Microsoft Mail.Send. Lire, chercher, étiqueter ou supprimer votre courrier est impossible — nous ne demandons pas ces droits et, sans cette autorisation, le logiciel ne le peut pas davantage.
• Ce que nous conservons, c’est le jeton de rafraîchissement qui nous permet d’envoyer, stocké chiffré (AES-GCM, avec un secret qui vit hors de la base de données), ainsi que l’adresse e-mail elle-même pour que vous voyiez à l’écran depuis quelle adresse vous envoyez. Rien de plus.
• Du contenu de ce que vous envoyez, nous ne conservons rien. Un message envoyé part directement chez votre fournisseur ; aucune copie ne reste chez nous. Le journal d’audit retient QU’il y a eu un envoi et vers quelle adresse, pas ce qu’il contenait. Si vous envoyez depuis un dossier d’entreprise, l’objet et les deux premières phrases arrivent sur l’historique de cette entreprise — c’est une note de CRM que vous créez vous-même, et elle est dans votre propre environnement.
• Rien ne part sans que quelqu’un appuie sur un bouton d’envoi. Il n’existe aucune tâche qui enverrait du courrier d’elle-même.
• Le retrait se fait chez nous en un clic dans Réglages → Courrier, ou chez votre fournisseur : chez Google sous Sécurité → Vos connexions aux applications tierces, chez Microsoft dans les autorisations d’applications de votre compte. Après cela, Nermio ne peut plus rien envoyer depuis cette adresse.

Usage limité des données Google. L’utilisation des données que nous recevons via les API de Google, ainsi que leur transfert, respecte la Google API Services User Data Policy, y compris ses exigences d’usage limité. Nous n’utilisons ces données que pour faire fonctionner la fonction de courrier que vous avez vous-même activée. Nous ne les vendons pas, ne les utilisons pas à des fins publicitaires et ne les transmettons pas à des tiers — sauf là où la loi l’impose. Nous ne les faisons pas non plus lire par des personnes, sauf si vous le demandez vous-même au support, si la loi l’impose, ou pour enquêter sur un incident de sécurité.

Envoyer du courrier à Nermio en copie cachée

Votre organisation dispose de sa propre adresse en copie cachée. Si vous la placez en copie cachée d’un message à un client, ce message nous parvient aussi et nous en déposons une note sur l’historique de cette entreprise. Ce n’est pas actif par défaut, au sens où rien ne se passe tant que vous n’utilisez pas l’adresse : vous choisissez message par message.

• Nous ne lisons pas votre boîte. C’est un choix de construction. La possibilité technique existe — Google et Microsoft vendent l’accès à une boîte entière — et nous ne demandons pas cette autorisation. Ce que nous voyons, c’est ce que vous nous transmettez message par message.
• Ce que nous conservons d’un tel message : l’objet, les deux premières phrases du texte, l’adresse e-mail de l’expéditeur et celles des destinataires, et l’horodatage. Pas le texte complet, et aucune pièce jointe. Le message entier est dans vos propres éléments envoyés ; c’est là qu’est sa place.
• L’adresse e-mail de votre interlocuteur est une donnée à caractère personnel d’un tiers. Elle arrive dans votre CRM, où c’est vous le responsable du traitement — exactement comme pour un interlocuteur que vous saisissez à la main. Nous y sommes sous-traitant ; ce que cela signifie figure dans le contrat de sous-traitance.
• Si nous ne reconnaissons pas l’adresse du destinataire, nous ignorons à quelle entreprise il se rattache. Un tel message apparaît alors sur votre écran d’accueil avec la question de savoir où il va, et disparaît au bout de quatre-vingt-dix jours si vous n’y répondez pas. Nous ne devinons pas : une note attachée à la mauvaise entreprise ne s’enlève plus.
• Cela ne fonctionne que depuis une adresse rattachée à votre organisation, et seulement si le fournisseur de l’expéditeur a confirmé par DKIM ou DMARC que cette adresse est authentique. Si quelqu’un d’autre écrit à cette adresse, il ne se passe rien.
• Un message refusé laisse une trace, et rien de plus. Si un message arrive depuis une adresse qui n’appartient pas à votre organisation, nous ne l’acceptons pas — mais nous conservons QUE cela s’est produit : l’adresse de l’expéditeur, combien de fois, et la première et la dernière date. Pas d’objet, pas de texte, pas de destinataires. Sinon vous verriez ces messages disparaître sans pouvoir comprendre pourquoi, et c’est précisément ce que nous ne voulons pas. Après quatre-vingt-dix jours sans nouvelle tentative, cette ligne s’efface.
• Pour arrêter, cessez d’utiliser l’adresse. Il n’y a rien à retirer et aucune autorisation qui subsiste. Ce qui figure déjà sur un historique s’enlève en supprimant l’entreprise ou votre organisation.

Techniquement, ce message transite par un groupe de notre propre Google Workspace vers notre prestataire de messagerie. Ce groupe ne conserve pas d’historique de conversation : il transmet le message et n’en garde rien.

Article 6. Combien de temps nous conservons les données

Tant que votre compte existe, nous conservons ce que vous y avez mis, sans quoi le logiciel ne fonctionnerait pas. Si vous supprimez quelque chose dans Nermio, c’est parti de votre environnement.

Nous ne conservons rien plus longtemps que nécessaire, et chaque type de donnée a sa propre durée. La purge est automatisée et tourne chaque nuit ; ce n’est pas une intention mais quelque chose qui se produit.

Deux notions sont souvent confondues, et la différence commande tout ce tableau. Pour les factures, il y a une obligation de conservation : nous devons les garder au moins sept ans. Pour les données à caractère personnel, il y a une durée de conservation : nous pouvons les garder au plus aussi longtemps que nécessaire. Garder plus longtemps n’y est pas de la prudence mais un manquement, et en cas de violation de données, simplement plus de dégâts.

Ce qui se passe quand vous arrêtez — et ce qui ne se passe pas encore

Tant que votre organisation est active ou que votre période d’essai court, vous pouvez emporter vos données vous-même en CSV (Réglages → Vos données). Si votre période d’essai se termine, ou si vous suspendez ou annulez l’abonnement, le logiciel ferme l’accès en modification, mais l’export continue de fonctionner pendant trente jours — cette fenêtre est imposée dans la base de données elle-même et pas seulement dans les écrans. Si une organisation est bloquée, elle ne s’applique pas et vous obtenez vos données sur demande. Vos données restent ensuite en place : aucune purge automatique ne les retire après la fin. La suppression définitive, nous la faisons à la main, à votre demande ou à l’issue de votre abonnement, et elle est consignée.

Article 7. Avec qui nous partageons des données

Nermio ne tourne pas sur ses propres serveurs. Ces prestataires traitent des données parce que le logiciel ne fonctionne pas sans eux. Au-delà, nous ne partageons rien, sauf si la loi nous y oblige.

Si une organisation connecte sa propre clé d’IA, une telle action envoie aussi quelque chose à ce fournisseur. C’est un prestataire du client, pas le nôtre ; voir l’article 4.

Article 8. Données hors de l’Espace économique européen

Si des données partent vers un pays situé hors de l’EEE, cela n’est permis que sur un fondement valable : une décision d’adéquation, ou des clauses contractuelles types assorties de mesures supplémentaires.

Article 9. Comment les données sont sécurisées

Voici la partie qui est construite aujourd’hui et que vous pouvez vérifier. Qui peut y accéder en est le point le plus important.

• Séparation par organisation dans la base de données elle-même. Pas dans les écrans, mais dans Postgres : la base détermine à chaque requête quelles lignes un compte connecté peut voir. Une erreur dans une page ne peut donc pas livrer les données d’une autre organisation, et une suite de tests le démontre.
• Dans votre organisation, vous voyez ce que votre rôle permet. Vous invitez vous-même des personnes et leur donnez un rôle, de l’accès complet à la simple consultation. Cette frontière aussi est dans la base de données et pas dans l’écran.
• Double authentification, pour tout le monde. Pas seulement pour notre portail d’administration mais pour chaque utilisateur du CRM, sans exception : sans application d’authentification, on n’entre pas dans son environnement.
• Déconnexion automatique après huit heures sans activité, pour l’ordinateur resté ouvert.
• Un journal d’audit qui ne fait que s’allonger. Modifier ou effacer une ligne a été rendu impossible, y compris pour notre rôle d’administration le plus élevé, avec exactement une exception nommée pour la purge.
• Un accès du support avec motif et durée limitée. Quinze, trente ou soixante minutes, jamais davantage, toujours avec un motif indiqué, et relisible par le propriétaire de l’organisation.
• Un frein sur les tentatives de connexion qui se ferme s’il ne fonctionne pas lui-même, une politique de mot de passe de douze caractères minimum avec un contrôle face aux mots de passe connus comme compromis, et des mots de passe que nous ne pouvons pas lire.
• Des connexions chiffrées avec HSTS, et une politique de sécurité du contenu avec un nonce par requête.

La description développée figure sur la page sécurité. Ce qui n’existe pas y figure aussi : il n’y a pas d’attestation ISO 27001 ou SOC 2, pas de qualification SecNumCloud et pas de rapport de test d’intrusion externe.

Article 10. Vos droits

Vous pouvez consulter les données que nous avons sur vous, les faire rectifier, les faire effacer, faire limiter le traitement, vous y opposer, et demander une copie dans un format courant.

Une partie se fait par vous-même. Ce que vous mettez dans Nermio, vous pouvez l’y modifier et le supprimer. Une copie s’obtient dans Réglages → Vos données : vos entreprises, contacts, affaires et tâches en CSV, un fichier qui s’ouvre dans Excel. Tout le monde dans votre équipe peut le faire, même en lecture seule, et à tout moment — pas seulement au moment de partir.

Ce que vous ne pouvez pas encore faire vous-même, c’est faire disparaître tout votre compte et votre organisation. Nous le faisons pour vous, sur demande à info@nermio.com ; c’est chez nous un acte avec motif obligatoire qui reste inscrit dans le journal de sécurité, et il est irréversible. Un bouton dans le logiciel est prévu.

Pour tout le reste, écrivez à info@nermio.com. Nous demandons alors une confirmation que vous êtes bien la personne que vous dites être, sans quoi quelqu’un d’autre pourrait demander vos données.

Si vous n’êtes pas d’accord avec la façon dont nous traitons vos données, vous pouvez introduire une réclamation auprès d’une autorité de contrôle. Si vous résidez en Belgique, c’est l’Autorité de protection des données (APD) ; l’autorité chef de file de Nermio est l’Autoriteit Persoonsgegevens néerlandaise, et vous pouvez vous adresser à l’une ou à l’autre. Cette voie reste ouverte même si vous tentez d’abord de régler la question avec nous.

Article 11. Aucune décision automatisée

Nous ne prenons pas de décision à votre sujet sur le seul fondement d’un traitement automatisé, et nous ne faisons pas de profil de vous. Il n’y a pas de score prédisant si une affaire aboutira ni de classement de personnes. Les fonctions d’IA de l’article 4 renvoient un texte qu’un humain lit et apprécie ; elles ne décident de rien.

Article 12. Modifications

Si quelque chose change dans ce que nous enregistrons ou dans les raisons de le faire, cette page s’adapte, avec la date de la modification. S’il s’agit d’une modification essentielle pour vous, nous vous en informons à l’avance par e-mail.