Politique de confidentialité - Okiros (FR)

Dernière mise à jour : 28 septembre 2026

Privacy Policy - Okiros (EN)

1. Qui nous sommes

Okiros est un service édité par LEANO, société immatriculée en France. Okiros fournit un agent logiciel, appelé Charlotte, qui assiste les équipes de nos clients professionnels dans la gestion du poste client : suivi des factures, relances, suivi des engagements de paiement et reporting.

Cette politique décrit comment nous traitons les données auxquelles Okiros accède, y compris les données de votre compte Google lorsque vous choisissez de connecter votre boîte de messagerie.

Dans la plupart des cas, Okiros agit comme sous-traitant au sens de l'article 28 du RGPD, pour le compte de l'entreprise cliente qui est responsable de traitement. Un accord de traitement des données (DPA) est signé avec chaque client avant tout traitement.

2. En résumé

Okiros traite uniquement les boîtes de messagerie que votre organisation choisit explicitement de connecter. Charlotte synchronise les échanges associés aux contacts connus de votre organisation et peut reconnaître de nouveaux correspondants authentifiés sur certains domaines de vos clients. Cette reconnaissance ne les autorise pas automatiquement à recevoir des relances. L’infrastructure principale d’Okiros est hébergée sur AWS dans la région Paris. Les traitements du modèle peuvent être exécutés dans différentes régions AWS de l’Union européenne. Nous ne vendons aucune donnée, nous n'en transférons à aucun annonceur ou courtier en données, et nous n'utilisons jamais vos données pour entraîner ou améliorer un modèle d'intelligence artificielle.

3. Les données Google auxquelles nous accédons

3.1 Autorisations demandées

Lorsque vous connectez votre boîte, Google vous présente la liste des autorisations demandées. Okiros demande les autorisations suivantes :

Nous ne demandons pas le scope https://mail.google.com/, qui permettrait la suppression définitive de messages. Nous ne supprimons jamais de message.

3.2 Ce que Charlotte lit — et ce qu'elle ne lit pas

Ce qui est traité : les e-mails associés aux contacts connus de votre organisation. Okiros reconstitue le contexte à partir des messages synchronisés associés au dossier, dans la limite de l’historique disponible. Lors de la connexion, Okiros importe par défaut jusqu’à 90 jours d’historique pertinent.

Ce qui n’est pas traité : les messages sans correspondance avec le périmètre de synchronisation et toute boîte que votre organisation n’a pas explicitement connectée. Les échanges impliquant des contacts connus peuvent être importés, notamment lorsqu’ils contiennent des interventions internes utiles au suivi d’un dossier.

Précision technique. Certains messages peuvent être récupérés temporairement afin de vérifier leur appartenance au périmètre, à partir de leur expéditeur et de leurs destinataires. Les messages exclus ne sont pas importés ; leur corps n’est ni extrait pour le service, ni conservé, ni transmis au modèle de langage.

3.3 Comment l'accès est obtenu et révoqué

L'accès se fait exclusivement par OAuth 2.0, une autorisation déléguée. Okiros ne reçoit, ne demande et ne stocke aucun mot de passe de votre compte Google.

Vous pouvez révoquer cet accès à tout moment, sans passer par nous, depuis myaccount.google.com/permissions. Si vous utilisez Google Workspace, votre administrateur peut également le révoquer depuis la console d'administration. La révocation retire à Okiros l’autorisation d’accéder à votre boîte. Les accès sont interrompus lorsque Google refuse cette autorisation.

4. Ce que nous faisons de ces données

Les données issues de votre boîte sont utilisées exclusivement pour fournir les fonctionnalités visibles dans l'interface d'Okiros :

• reconstituer et afficher l'historique de chaque dossier client ;
• détecter les engagements de paiement pris par vos clients et en suivre l'échéance ;
• rédiger et envoyer les relances, et traiter les réponses reçues ;
• produire les indicateurs de suivi du recouvrement affichés dans votre tableau de bord et vos rapports.

Aucune autre finalité. Si nous devions un jour utiliser ces données pour une finalité nouvelle, nous mettrions cette politique à jour et vous demanderions votre consentement avant tout traitement nouveau.

5. Engagement de Limited Use (politique Google API Services User Data)

L'utilisation par Okiros des données reçues des API Google, y compris des API Google Workspace, respecte la Google API Services User Data Policy, et notamment ses exigences de Limited Use. Ces engagements s'appliquent aux données brutes comme aux données agrégées, anonymisées ou dérivées.

Usage limité. Nous limitons notre usage de ces données à la fourniture et à l'amélioration de fonctionnalités visibles et proéminentes dans l'interface d'Okiros.

Pas de transfert. Nous ne transférons pas ces données, sauf : pour fournir ou améliorer ces fonctionnalités et avec votre consentement ; pour des raisons de sécurité, par exemple l'investigation d'un abus ; pour nous conformer à une obligation légale ; ou dans le cadre d'une fusion ou d'une cession d'actifs, après votre consentement explicite et préalable.

Pas de lecture humaine. Aucun collaborateur d'Okiros ne lit le contenu de vos messages, sauf : après votre accord exprès pour consulter des messages précis ; lorsque c'est nécessaire à la sécurité, par exemple pour investiguer un incident ou un dysfonctionnement ; lorsque la loi l'exige ; ou lorsque les données sont agrégées et utilisées pour nos opérations internes, dans le respect de la réglementation applicable.

Interdictions absolues. Nous ne vendons ni ne transférons ces données à des tiers tels que des plateformes publicitaires, des courtiers en données ou des revendeurs d'information. Nous ne les utilisons pas pour la publicité, y compris le reciblage et la publicité personnalisée ou par centres d'intérêt. Nous ne les utilisons pas pour évaluer une solvabilité ni à des fins de prêt ou de financement.

Pas d'entraînement de modèles. Nous ne conservons ni n’utilisons les données obtenues via les API Google Workspace pour créer, entraîner ou améliorer un modèle d’apprentissage automatique ou d’intelligence artificielle, y compris un modèle de fondation. Le service de modèle utilisé via AWS Bedrock ne conserve pas vos données pour entraîner ou améliorer ses modèles. Okiros conserve séparément les traces nécessaires au fonctionnement et au suivi du service ; lorsque la télémétrie est activée, ces échanges peuvent également être enregistrés dans notre outil d’observabilité.

Nous veillons à ce que nos salariés, mandataires, sous-traitants et ayants cause respectent ces mêmes engagements.

6. Où vos données sont hébergées

Okiros privilégie un hébergement et des traitements européens. La localisation des services optionnels dépend de leur configuration.

7. Sous-traitant

Vos données ne transitent pas par les serveurs de l'éditeur du modèle de langage et ne servent pas à son entraînement : c'est une garantie contractuelle de notre hébergeur.

Cette liste est annexée au DPA signé avec chaque client. Toute évolution est notifiée trente jours à l'avance.

8. Sécurité

Les bases, sauvegardes et objets stockés sont chiffrés au repos à l’aide des mécanismes gérés par AWS. Les connexions publiques au service sont protégées par HTTPS. Les échanges internes entre composants de l’application restent confinés à son environnement d’hébergement. Les données de chaque organisation sont isolées logiquement par des contrôles d’accès applicatifs.

Tout incident de sécurité affectant vos données vous est notifié dans les vingt-quatre heures, avec le périmètre exact concerné.

Okiros fait l'objet d'une évaluation de sécurité annuelle par un laboratoire indépendant agréé par Google, dans le cadre du programme CASA de l'App Defense Alliance.

9. Conservation et suppression

La déconnexion supprime les identifiants de la boîte concernée. Les informations déjà intégrées aux dossiers, aux conversations avec Charlotte et aux traces du service restent soumises à leurs règles de conservation et à la procédure d’effacement.

Vous pouvez demander un export de vos données auprès d’Okiros. Vous pouvez également demander leur effacement.

À la fin du contrat, vos données sont conservées trente jours pour vous permettre de les exporter, puis supprimées de manière irréversible. Les sauvegardes qui les contiennent sont purgées au terme de leur cycle de rotation, au plus tard soixante jours après la fin du contrat. Sur demande, nous procédons à leur effacement complet sous trente jours, conformément à l’article 17 du RGPD.

Ces durées portent sur vos données — messages, factures, historiques. Elles ne concernent pas les documents comptables propres à LEANO, notamment les factures que nous vous adressons, soumises à l'obligation légale de conservation de dix ans.

Si vous révoquez l’autorisation OAuth, Google retire à Okiros l’autorisation d’accéder à votre boîte. Les données déjà traitées restent soumises aux règles de conservation ci-dessus et peuvent être supprimées sur simple demande.

10. Vos droits

Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité. Lorsque Okiros agit comme sous-traitant, ces demandes sont à adresser en premier lieu à l'entreprise cliente responsable de traitement ; nous l'assistons dans leur traitement.

Pour toute question relative à cette politique ou à vos données : contact@leano.fr. Pour signaler un problème de sécurité : contact@leano.fr.

Vous avez également le droit d'introduire une réclamation auprès de la CNIL.

11. Modifications

Si nous modifions la manière dont Okiros utilise les données de votre compte Google, nous mettrons cette politique à jour et vous solliciterons pour accepter la nouvelle version avant d'utiliser vos données d'une manière nouvelle ou pour une finalité différente de celle initialement communiquée.