Politique de Confidentialité

Medirel SAS — RCS Paris, dont le siège social est situé à Paris, France. Contact : dpo@medirel.fr.

• Données de compte : nom, email, mot de passe haché (bcrypt), rôle, organisation.
• Données techniques : adresse IP, user-agent, journaux d'audit.
• Contenu emails : sujet, corps, pièces jointes des boîtes mail connectées par l'utilisateur, à des fins de classification IA et d'organisation.
• Préférences : timezone, signatures, paramètres notifications.

Le traitement repose principalement sur l'exécution du contrat (fourniture du service souscrit), l'intérêt légitime (sécurité du service, prévention de la fraude) et le consentement (cookies analytiques, communications marketing).

Medirel s'appuie sur les sous-traitants suivants, tous engagés par contrat à respecter le RGPD :

• Supabase (Postgres managé, hébergement UE, AWS Frankfurt) — données applicatives.
• Cloudflare R2 (stockage objets) — pièces jointes emails.
• Anthropic (Claude API, Zero Data Retention) — classification IA.
• OpenAI (fallback embeddings) — quand Voyage AI indisponible.
• Voyage AI (embeddings primaires) — vectorisation pour recherche sémantique.
• Resend (emails transactionnels) — confirmation, reset password, notifications.
• Stripe (paiements) — données de facturation uniquement.
• Microsoft Azure / Google Cloud — OAuth pour connecter Outlook / Gmail (jetons chiffrés AES-256-GCM en DB).
• Sentry, Datadog (observabilité) — logs et traces, sans contenu d'email.

• Compte actif : durée de l'abonnement.
• Compte inactif > 12 mois : anonymisation automatique.
• Journaux d'audit : 13 mois (configurable, minimum 12 mois).
• Activités contacts : 12 mois.
• Sauvegardes : 30 jours roulants.
• Données de facturation : 10 ans (obligation comptable).

Vous disposez à tout moment des droits suivants :

• Accès : consulter les données vous concernant.
• Portabilité : export JSON via GET /api/users/me/export (depuis votre compte) ou sur demande à dpo@medirel.fr.
• Rectification : modifier vos informations directement depuis vos paramètres.
• Effacement : suppression sur demande (sauf obligations légales de conservation).
• Limitation / opposition : restreindre certains traitements.
• Réclamation auprès de la CNIL : cnil.fr.

Chiffrement TLS 1.3 en transit, AES-256-GCM au repos pour les jetons OAuth, hash bcrypt (rounds 12) pour les mots de passe, authentification à 2 facteurs (TOTP) disponible, audit trail RGPD systématique sur toutes les actions sensibles. Détails complets sur notre page Sécurité.