Politique de confidentialité
Dernière mise à jour : 7 novembre 2026
Recurring Emails SASU édite l'extension Chrome Recurring Emails for Gmail et son API. Cette politique explique quelles données nous traitons, pourquoi, combien de temps, et comment vous gardez le contrôle. Contact : support@recurring-emails.app.
Utilisation limitée (Limited Use). L'utilisation par Recurring Emails for Gmail des informations reçues des API Google respecte la Google API Services User Data Policy, y compris les exigences d'utilisation limitée (Limited Use). Concrètement : nous n'utilisons ces données que pour envoyer les e-mails que vous avez explicitement programmés, nous ne les lisons pas, nous ne les vendons pas et nous ne les utilisons ni pour la publicité, ni pour du profilage, ni pour entraîner des modèles.
1. Le seul accès Google demandé : gmail.send
Lors de la connexion, Google affiche l'autorisation
https://www.googleapis.com/auth/gmail.send. Ce scope permet
uniquement d'envoyer un message brut construit par nos soins.
| Accès | Utilisé ? | Détail |
|---|---|---|
gmail.send | Oui | Envoyer l'e-mail programmé depuis votre adresse. |
gmail.readonly | Jamais demandé | Nous ne pouvons pas lire votre boîte de réception. |
gmail.modify / gmail.labels | Jamais demandé | Nous ne modifions ni ne supprimons aucun message. |
contacts / drive / calendar | Jamais demandé | Aucun accès. |
Le contenu de vos e-mails (objet, corps, destinataires) est stocké pour exécuter vos programmes ; il n'est jamais analysé à d'autres fins. Aucun e-mail reçu n'est lu, copié, indexé ou revendu.
2. Données traitées
- Identité Google : adresse e-mail, nom affiché, photo de profil (scope
openid email). - Jeton OAuth (refresh token) : chiffré au repos en AES-256-GCM avec une clé serveur, jamais exposé au navigateur.
- Programmes d'envoi : destinataire, objet, corps, expression cron, fuseau horaire, libellé.
- Journal d'envoi : statut, identifiant de message Gmail, message d'erreur technique.
- Facturation (offre Pro) : identifiant client Stripe, statut d'abonnement, date de fin de période. Aucune donnée de carte bancaire ne transite par nos serveurs.
- Jetons d'API d'extension : 32 octets aléatoires, stockés uniquement sous forme de hash SHA-256.
Nous ne collectons ni données de navigation, ni données publicitaires, ni données de localisation précise.
3. Finalités et bases légales (RGPD)
- Exécution du contrat : authentifier votre compte, programmer et envoyer vos e-mails.
- Intérêt légitime : sécurité (limitation de débit, détection d'abus), prévention de la fraude, journaux techniques.
- Obligation légale : facturation et comptabilité pour l'offre Pro.
4. Durées de conservation
| Donnée | Durée |
|---|---|
| Jeton OAuth chiffré | Jusqu'à la déconnexion ou la suppression du compte (effacement immédiat). |
| Programmes et journaux d'envoi | Jusqu'à suppression du programme ; journaux purgés après 90 jours. |
| Identifiants Stripe | Durée légale comptable (10 ans) pour les factures. |
| États OAuth à usage unique | 10 minutes. |
5. Partage et sous-traitants
Nous ne vendons, ne louons et ne transférons jamais vos données Google, ni à des annonceurs, ni à des courtiers de données. Les seuls destinataires sont des sous-traitants techniques strictement nécessaires :
| Sous-traitant | Rôle | Données | Localisation |
|---|---|---|---|
| Google LLC (API Gmail) | Envoi des e-mails | Message, destinataire, jeton OAuth | UE / États-Unis (SCC) |
| Stripe Payments Europe | Abonnements Pro | E-mail, identifiant client | Irlande / États-Unis (SCC) |
| Hébergeur (VPS) | Base PostgreSQL et API | Données chiffrées au repos | UE |
Aucun transfert n'est réalisé à des fins publicitaires, de profilage ou d'entraînement de modèles. Aucune revente. Aucune lecture par un humain, sauf obligation légale ou demande explicite de votre part (support), avec votre consentement écrit.
6. Sécurité
- Refresh tokens chiffrés en AES-256-GCM, clé de 256 bits conservée hors base.
- Jetons d'API d'extension stockés en hash SHA-256, comparés en temps constant.
- États OAuth à usage unique (10 minutes), protection CSRF sur la redirection Google.
- Transport TLS de bout en bout, isolation réseau de la base dans Docker.
- Accès aux secrets restreint, rotation possible sans perte de service (reconnexion Gmail).
7. Vos droits
Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de portabilité, de limitation et d'opposition. Vous pouvez :
- supprimer toutes vos données en une action :
DELETE /api/account(bouton « Supprimer mon compte » dans l'extension) ; - révoquer l'accès Gmail à tout moment (voir section 8) ;
- écrire à support@recurring-emails.app — réponse sous 30 jours ;
- introduire une réclamation auprès de la CNIL (cnil.fr).
8. Révoquer l'accès à votre compte Google
- Dans l'extension : icône → Déconnecter (supprime le jeton côté serveur).
- Ou directement chez Google : myaccount.google.com/permissions → Recurring Emails for Gmail → Supprimer l'accès.
Les e-mails déjà programmés échoueront alors avec un statut explicite invitant à reconnecter Gmail.
9. Cookies et traceurs
Le site et l'API n'utilisent aucun cookie publicitaire ni traceur analytique tiers. L'extension stocke localement (chrome.storage) votre URL d'API et votre jeton d'accès, uniquement sur votre machine.
10. Mineurs
Le service est destiné aux professionnels et aux particuliers âgés de 15 ans minimum (âge du consentement numérique en France).
11. Modifications
Toute évolution matérielle de cette politique sera annoncée dans l'extension 30 jours avant son entrée en vigueur. La date de mise à jour figure en tête de page.
12. Contact
Recurring Emails SASU — Délégué à la protection des données : support@recurring-emails.app.