Politique de confidentialité
Dernière mise à jour : 4 octobre 2026
Ce document décrit les données que Kockpit traite lorsque vous utilisez le service, pourquoi nous les traitons, avec qui nous les partageons, combien de temps nous les gardons, et ce que vous pouvez exiger de nous.
1. Qui est responsable du traitement
Le responsable du traitement est Clément Mouly, entrepreneur individuel immatriculé au Registre national des entreprises sous le numéro SIREN 851 860 874, dont le siège est situé 6 rue Chéreau, 75013 Paris, France.
Pour toute question relative à vos données, écrivez à contact@kockpit-ia.com.
2. Les données que nous traitons
| Données | Pourquoi | Base légale |
|---|---|---|
| Adresse électronique et nom des personnes utilisant le service | Créer le compte, envoyer le lien de connexion, identifier qui a fait quoi | Exécution du contrat |
| Nom de votre structure, agents, procédures et mémoire que vous y créez | Fournir le service lui-même | Exécution du contrat |
| Contenu de vos conversations avec les agents, y compris les extraits de documents et de messages qu'un agent a consultés pour vous répondre | Produire les réponses et permettre à l'agent de s'y référer plus tard | Exécution du contrat |
| Données Google auxquelles vous nous donnez accès (voir la section 3) | Les usages décrits en section 3 | Votre consentement, donné lors du branchement |
| Notes des dépôts GitHub auxquels vous nous donnez accès (voir la section 3 bis) | Les usages décrits en section 3 bis | Votre consentement, donné lors du branchement |
| Données Microsoft auxquelles vous nous donnez accès (voir la section 3 ter) | Les usages décrits en section 3 ter | Votre consentement, donné lors du branchement |
| Documents Dropbox auxquels vous nous donnez accès (voir la section 3 quater) | Les usages décrits en section 3 quater | Votre consentement, donné lors du branchement |
| Journal des actions sensibles (branchement, retrait, changement de rôle, validation ou refus d'un envoi) | Vous permettre de savoir ce qui a été fait, et par qui | Intérêt légitime : traçabilité et sécurité |
| Volume d'utilisation du modèle d'intelligence artificielle | Mesurer la consommation et appliquer le plafond mensuel | Exécution du contrat |
3. Les données Google
Lorsque vous branchez un compte Google, vous nous autorisez à accéder à certaines données de ce compte. Voici précisément lesquelles, et ce que nous en faisons.
Ce à quoi nous accédons, et pourquoi
| Autorisation demandée | Usage |
|---|---|
.../auth/drive |
Lire le contenu des fichiers situés dans les dossiers que vous avez explicitement désignés dans vos réglages, afin qu'un agent puisse s'en servir pour répondre. Créer ou remplacer un document, uniquement dans un dossier que vous avez désigné et uniquement après que vous avez validé l'action. |
.../auth/documents |
Modifier un document Google Docs qui se trouve dans un dossier que vous avez désigné : remplacer un passage précis, ou ajouter du texte à la fin. Le reste du document n'est pas touché, la version précédente reste dans l'historique des versions du document, et rien n'est modifié avant que vous ayez validé l'action. |
.../auth/spreadsheets |
Lire un classeur Google Sheets avec tous ses onglets — l'autorisation Drive seule n'en rendrait que le premier — et écrire dans une plage de cellules d'un classeur situé dans un dossier que vous avez désigné : après votre validation, quand c'est un agent qui l'a préparé, ou sur votre geste et seulement sur lui, quand vous modifiez une cellule ou ajoutez une ligne vous-même depuis la page Tableau. Une cellule qui porte déjà une formule n'est jamais modifiable, et une écriture qui suit une modification entre-temps est refusée. La version précédente reste dans l'historique des versions du classeur. |
.../auth/gmail.readonly |
Lire les messages de la boîte branchée pour vous les afficher dans Kockpit et pour répondre à vos questions à leur sujet ; et, quand un agent surveille la boîte, reconnaître à quel agent revient un message qui arrive. Les messages affichés ne sont ni copiés ni conservés sur nos serveurs, et les ouvrir dans Kockpit ne les marque pas comme lus dans votre boîte. |
.../auth/gmail.compose |
Déposer un brouillon dans votre boîte : celui qu'un agent prépare, une fois que vous l'avez validé, ou celui que vous enregistrez vous-même depuis la page Email. Un brouillon n'est envoyé à personne. |
.../auth/gmail.send |
Envoyer un message : celui qu'un agent a préparé, une fois que vous l'avez validé, ou celui que vous écrivez vous-même depuis la page Email, au moment où vous cliquez sur « Envoyer ». |
.../auth/calendar.events |
Lire vos réunions et vos rendez-vous sur une période donnée, pour répondre à vos questions à leur sujet, et créer un nouvel événement — ou une réunion qui revient, avec une date de fin — une fois que vous l'avez validé. Vous pouvez aussi créer, modifier et déplacer un événement vous-même, sur votre geste et seulement sur lui, depuis la page Calendrier — pour un événement récurrent, seulement l'occurrence choisie, jamais la série entière. L'agent ne déplace ou ne modifie un événement que sur votre validation, une occurrence à la fois, sans qu'aucun message ne parte ; il ne supprime ni n'invite jamais. |
.../auth/calendar.calendarlist.readonly |
Savoir quels agendas existent sur le compte branché — un agenda partagé de structure n'est pas l'agenda personnel — pour chercher au bon endroit plutôt que de répondre « vous n'avez rien » la veille d'une assemblée générale. |
.../auth/userinfo.email |
Connaître l'adresse du compte branché, pour vous l'afficher et pour empêcher qu'un même compte soit branché deux fois dans la même structure. |
Usage limité. L'utilisation et le transfert par Kockpit des informations reçues des API Google respectent la Google API Services User Data Policy, y compris ses exigences d'usage limité (Limited Use).
Kockpit's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.
Ce que nous ne faisons pas
- Nous ne vendons ni ne louons vos données Google à qui que ce soit.
- Nous ne nous en servons pas pour de la publicité, ni pour du profilage publicitaire.
- Nous ne nous en servons pas, et nous n'autorisons personne à s'en servir, pour entraîner des modèles d'intelligence artificielle généralistes.
- Aucun humain ne lit vos données Google, sauf dans quatre cas : vous nous le demandez pour vous aider, la loi nous y oblige, la sécurité du service l'exige, ou les données ont été rendues anonymes et agrégées.
- Nous n'accédons pas aux dossiers que vous n'avez pas désignés, même si l'autorisation Google nous le permettrait techniquement. Désigner un dossier ouvre aussi tout ce qu'il contient, sous-dossiers compris.
Ce qui est conservé chez nous
Vos fichiers restent dans votre Drive : Kockpit n'en fait pas de copie de sauvegarde et ne les déplace pas. Et lorsqu'un agent lit un document ou un message pour vous répondre, ce qu'il a lu n'est pas conservé : la conversation garde qu'il a consulté quelque chose, et ce qu'il vous en a dit, pas le document lui-même. Il le relit à la source chaque fois qu'il en a besoin.
C'est la même règle pour les pages Tableau, Email et Calendrier que vous ajoutez à votre Kockpit : elles affichent votre classeur, votre boîte ou votre agenda en direct, et n'en gardent rien. Nous n'enregistrons que les coordonnées de la page — quel classeur, quel onglet, quelle boîte, quel agenda — jamais son contenu.
Quand vous confiez un message à un agent depuis la page Email (« Confier à un agent »), Kockpit ne lui transmet pas de copie du message : seul un pointeur vers ce message voyage dans la conversation, et l'agent le relit dans votre boîte au moment où il en a besoin.
Quand vous confiez à un agent la surveillance d'une boîte, Kockpit y regarde toutes les trois minutes si de nouveaux messages sont arrivés. Pour chacun, il lit l'expéditeur, l'objet, la date et les deux cents premiers caractères du message — l'aperçu que votre messagerie affiche déjà dans la liste —, afin de savoir à quel agent il revient. Ce tri se fait sans intelligence artificielle, et l'aperçu est oublié aussitôt : il n'est pas conservé, et il n'est pas transmis à l'agent, qui relit le message dans votre boîte s'il en a besoin. Kockpit ne garde que de quoi reconnaître les messages déjà vus et, quand il ne sait pas à quel agent confier un message, son expéditeur, son objet et sa date, pour vous poser la question.
Supprimer une conversation supprime cet historique. Retirer une connexion Google détruit l'autorisation d'accès, mais ne supprime pas les conversations déjà tenues : demandez-nous leur effacement si vous le souhaitez (section 7).
Retirer votre autorisation
À tout moment, depuis « Vos connexions » dans le service, vous pouvez retirer une connexion : l'autorisation est détruite chez nous et vos agents en perdent immédiatement l'accès. Vous pouvez aussi révoquer l'accès de Kockpit directement depuis les autorisations de votre compte Google.
3 bis. Les données GitHub
Certaines structures tiennent leurs notes dans un dépôt GitHub — c'est notamment le cas des carnets Obsidian synchronisés par Git. Si vous branchez un tel dépôt, voici ce que nous en faisons.
Ce à quoi nous accédons, et pourquoi
| Autorisation demandée | Usage |
|---|---|
Contents — lecture et écriture |
Lire les notes des dossiers que vous désignez, pour y chercher une information et répondre à vos questions ; y déposer ou y corriger une note lorsque vous l'avez validée. Cette autorisation ne porte que sur les dépôts que vous sélectionnez au moment de l'installation, jamais sur l'ensemble de votre compte. |
Ce que nous lisons, et ce que nous écartons
Seuls les fichiers de notes (.md) sont lus. Tout le reste — images, pièces jointes,
fichiers de configuration, dossiers techniques — est écarté au moment même du téléchargement,
et n'est à aucun instant présent chez nous. À l'intérieur du dépôt, seuls les dossiers que vous
avez désignés dans « Vos connexions » sont accessibles aux agents.
Ce qui est conservé chez nous
Rien du dépôt n'est enregistré sur nos serveurs. Pour travailler, nous en téléchargeons une copie qui vit en mémoire le temps de l'échange et disparaît avec lui ; il n'existe aucune copie durable de votre dépôt chez nous. Comme pour les documents Google, le contenu d'une note lue par un agent n'est pas conservé : seule sa réponse l'est.
Ce que nous écrivons
Un agent n'écrit jamais de lui-même : chaque dépôt de note et chaque correction vous est présenté avant, et n'a lieu que si vous l'acceptez. L'écriture prend la forme d'un enregistrement daté et signé au nom de Kockpit, à côté de la personne qui l'a validée ; la version précédente de la note reste consultable dans l'historique de votre dépôt.
Retirer votre autorisation
Comme pour Google, vous pouvez retirer la connexion depuis « Vos connexions ». Vous pouvez aussi désinstaller l'application Kockpit depuis les réglages de votre compte ou de votre organisation GitHub, ce qui coupe immédiatement tout accès.
3 ter. Les données Microsoft
Lorsque vous branchez un compte Microsoft (OneDrive, Outlook ou le calendrier Outlook), vous nous autorisez à accéder à certaines données de ce compte. Chaque service se branche séparément : brancher votre boîte ne nous donne pas accès à vos documents.
Ce à quoi nous accédons, et pourquoi
| Autorisation demandée | Usage |
|---|---|
Files.ReadWrite.All (OneDrive) |
Lire les documents des dossiers que vous avez désignés dans vos réglages, pour qu'un agent s'en serve pour vous répondre. Déposer ou remplacer un document, seulement dans un dossier désigné et seulement après votre validation. La version précédente reste dans l'historique des versions du document. |
Mail.ReadWrite (Outlook) |
Lire les messages de la boîte branchée pour vous les afficher dans Kockpit et répondre à vos questions à leur sujet ; reconnaître, quand un agent surveille la boîte, à quel agent revient un message qui arrive ; déposer un brouillon que vous avez validé. Depuis la page Email, et sur votre geste seulement : marquer un message comme lu ou non lu, l'archiver, le classer, ou le placer dans « Éléments supprimés », que vous videz vous-même. Ouvrir un message dans Kockpit ne le marque pas comme lu. |
Mail.Send (Outlook) |
Envoyer un message : celui qu'un agent a préparé, une fois que vous l'avez validé, ou celui que vous écrivez vous-même depuis la page Email, au moment où vous cliquez sur « Envoyer ». |
Calendars.ReadWrite (calendrier Outlook) |
Lire vos réunions et vos rendez-vous pour répondre à vos questions, et créer un événement une fois que vous l'avez validé. Depuis la page Calendrier, vous pouvez aussi créer, modifier ou déplacer un événement vous-même. L'agent ne déplace ou ne modifie un événement que sur votre validation — jamais une réunion qui a des participants, pour qu'aucun message ne leur parte ; il ne supprime ni n'invite jamais. |
User.Read |
Connaître l'adresse du compte branché, pour vous l'afficher et empêcher qu'un même compte soit branché deux fois dans la même structure. |
offline_access |
Garder l'accès d'une visite à l'autre sans vous redemander votre accord. Cette autorisation est détruite quand vous retirez la connexion. |
Ce qui est conservé chez nous
Les règles de la section 3 s'appliquent à l'identique : vos documents et vos messages restent chez Microsoft, nous n'en gardons aucune copie, et ce qu'un agent a lu pour vous répondre n'est pas conservé. Nous n'accédons pas aux dossiers OneDrive que vous n'avez pas désignés, même si l'autorisation Microsoft nous le permettrait techniquement. Désigner un dossier ouvre aussi tout ce qu'il contient, sous-dossiers compris.
Retirer votre autorisation
Depuis « Vos connexions », à tout moment. Vous pouvez aussi révoquer l'accès de Kockpit chez Microsoft : depuis les autorisations de votre compte Microsoft pour un compte personnel, ou depuis Mes applications pour un compte professionnel ou scolaire.
3 quater. Les données Dropbox
Si votre structure range ses documents dans Dropbox et que vous le branchez, voici ce que nous en faisons.
Ce à quoi nous accédons, et pourquoi
| Autorisation demandée | Usage |
|---|---|
files.metadata.read |
Parcourir votre Dropbox quand vous désignez, dans vos réglages, les dossiers où vos agents peuvent lire et déposer ; vérifier ensuite qu'un dossier désigné existe toujours. |
files.content.read |
Lire les documents des dossiers désignés (textes, PDF, documents Word et Paper), pour qu'un agent s'en serve pour vous répondre. |
files.content.write |
Déposer ou remplacer un document, seulement dans un dossier désigné et seulement après votre validation. |
account_info.read |
Connaître l'adresse du compte branché et, pour un compte d'équipe, l'espace où sont rangés vos dossiers communs. |
Ce qui est conservé chez nous
Vos documents restent dans votre Dropbox : nous n'en gardons aucune copie, et ce qu'un agent a lu pour vous répondre n'est pas conservé. Nous n'accédons pas aux dossiers que vous n'avez pas désignés, même si l'autorisation Dropbox nous le permettrait techniquement. Désigner un dossier ouvre aussi tout ce qu'il contient, sous-dossiers compris.
Ce que nous écrivons
Un agent n'écrit jamais de lui-même : chaque dépôt et chaque remplacement vous est présenté avant, et n'a lieu que si vous l'acceptez. Quand un document est remplacé, sa version précédente reste dans l'historique des versions de Dropbox pendant au moins trente jours, davantage selon votre offre ; la demande de validation vous le rappelle. Si le document a changé dans Dropbox entre la demande et votre accord, rien n'est écrit.
Retirer votre autorisation
Depuis « Vos connexions », à tout moment, ou depuis les applications connectées de votre compte Dropbox.
3 quinquies. Les fichiers qui passent d'un service à l'autre
Deux gestes font passer un fichier d'un de vos services à un autre. Ils suivent les mêmes règles : rien ne se fait sans votre accord, le fichier n'est jamais confié à l'intelligence artificielle, et il ne fait que traverser nos serveurs.
Ranger une pièce jointe
Quand vous acceptez qu'un agent range un fichier reçu par mail dans un de vos dossiers, Kockpit le prend dans votre boîte et le dépose dans votre stockage, en un seul passage. Le fichier traverse nos serveurs sans y être enregistré, et il n'est pas transmis à l'intelligence artificielle. Si votre boîte et votre stockage sont chez deux fournisseurs différents (par exemple Gmail et OneDrive), le fichier passe de l'un à l'autre : c'est le geste que vous avez validé. Un fichier déjà présent sous le même nom n'est jamais remplacé, et une mission qui travaille sans vous ne range jamais de pièce jointe. Nous gardons le nom du fichier, sa taille et le dossier où il a été rangé, comme trace de ce qui a été fait.
Joindre un fichier à un message
Quand vous acceptez qu'un agent joigne à un message un document de votre stockage, la demande de validation nomme ce document, son dossier, sa taille et sa date. Au moment de l'envoi, Kockpit le relit dans votre stockage et le remet à votre boîte mail, en un seul passage, sans l'enregistrer et sans le transmettre à l'intelligence artificielle. S'il a changé depuis votre accord, rien ne part. Un document Google part en PDF. Une mission qui travaille sans vous ne joint jamais de fichier. Quand vous joignez vous-même un fichier depuis la page Email, qu'il vienne de votre stockage ou de votre ordinateur, il traverse nos serveurs de la même façon, sans être enregistré. Nous gardons le nombre de fichiers joints à un envoi, jamais leur nom ni leur contenu.
3 sexies. Les enregistrements de réunion
Vous pouvez joindre à une conversation l'enregistrement audio d'une réunion, pour qu'il soit transcrit. Avant de l'envoyer, assurez-vous que les personnes enregistrées ont été prévenues que la réunion était enregistrée et qu'elle serait transcrite.
- La transcription est faite par notre fournisseur de transcription, dans l'Union européenne. L'enregistrement lui est transmis sous un nom neutre, sans le nom de votre fichier. Ce fournisseur peut conserver ce qu'il reçoit jusqu'à 30 jours, à la seule fin de détecter les abus de son service.
- Le texte transcrit s'ajoute à la conversation, comme un message que vous auriez écrit : il reste visible, et s'efface avec la conversation. Un agent ne le lit que lorsque vous le lui demandez — pour un résumé ou un compte rendu, transmis alors au fournisseur du modèle d'intelligence artificielle comme le reste de la conversation.
- L'enregistrement lui-même est gardé chez nous le temps de le transcrire et, si vous l'avez demandé, de le ranger dans le dossier de votre stockage que vous avez choisi (Google Drive, OneDrive ou Dropbox), sans jamais remplacer un fichier existant. Il est ensuite effacé de nos serveurs, et dans tous les cas au plus tard 24 heures après son envoi. Il n'entre dans aucune de nos sauvegardes, et n'est jamais transmis au modèle d'intelligence artificielle.
- Nous gardons, comme trace de ce qui a été fait, la durée de l'enregistrement, sa taille, son format, le nombre de voix reconnues et, s'il a été rangé, le dossier et le nom du fichier — jamais son contenu.
4. Avec qui nous partageons
Nous ne vendons aucune donnée. Nous faisons appel aux prestataires suivants, strictement pour faire fonctionner le service :
| Prestataire | Rôle | Où |
|---|---|---|
| OVH SAS | Hébergement du serveur et de la base de données | Union européenne (Allemagne) |
| Fournisseur du modèle d'intelligence artificielle | Produire les réponses des agents. Le contenu nécessaire à la réponse — votre question, l'historique du fil et les extraits de documents ou de messages consultés — lui est transmis pour le temps du traitement. | Union européenne |
| Fournisseur de transcription | Transcrire les enregistrements de réunion que vous joignez à une conversation. L'enregistrement lui est transmis le temps du traitement ; il peut le conserver jusqu'à 30 jours pour la seule détection des abus. | Union européenne |
| Resend, Inc. | Envoi des courriels de connexion et d'invitation | Irlande |
| Google LLC | Les services auxquels vous nous donnez accès (Drive, Gmail, Agenda) | Votre propre compte |
| GitHub, Inc. | Le dépôt de notes auquel vous nous donnez accès, si vous en branchez un | Votre propre compte |
| Microsoft Corporation | Les services auxquels vous nous donnez accès (OneDrive, Outlook, calendrier Outlook) | Votre propre compte |
| Dropbox, Inc. | Les documents auxquels vous nous donnez accès, si vous branchez un Dropbox | Votre propre compte |
Le point à connaître. Pour qu'un agent puisse rédiger un compte rendu à partir de vos notes, le contenu de ces notes doit être transmis au fournisseur du modèle d'intelligence artificielle. Ce transfert est nécessaire au service que vous nous demandez ; il ne sert à rien d'autre, et notre contrat avec ce fournisseur lui interdit d'utiliser ces contenus pour entraîner ses modèles.
5. Combien de temps nous conservons
- Vos conversations, agents, procédures et mémoire : tant que votre structure utilise le service, puis trois mois après la fin du contrat — le temps d'en demander l'export ou de reprendre le service — au terme desquels elles sont effacées.
- Les enregistrements de réunion : le temps de les transcrire et de les ranger, puis effacés — au plus tard 24 heures après leur envoi. Le texte transcrit suit la conversation qui le porte.
- Les autorisations Google, Microsoft et Dropbox : jusqu'à ce que vous retiriez la connexion, ou que le fournisseur les révoque.
- Le journal des actions sensibles : un an, à des fins de traçabilité. Ce journal ne contient pas le contenu de vos documents ni de vos messages : il enregistre qui a autorisé quoi, et quand.
- Les mesures de consommation : le temps nécessaire à la facturation et aux obligations comptables.
5 bis. Les données de mineurs
Le service n'est pas destiné aux mineurs, et aucune personne de moins de quinze ans ne crée de compte chez nous. Mais les documents d'une structure peuvent en contenir : une association qui fait du tutorat, encadre des jeunes ou organise des activités scolaires range des noms, des coordonnées et des comptes rendus qui concernent des mineurs. Un agent qui lit le dossier que vous lui avez ouvert lit aussi ces passages-là.
Ces données suivent exactement le même chemin que les autres, décrit en section 3 : elles sont lues pour le temps de la réponse et ne sont pas conservées chez nous. Ce que nous ajoutons tient en trois points :
- C'est votre structure qui est responsable de ces données, et elle doit disposer de l'autorisation écrite des représentants légaux avant de les confier au service — comme pour tout autre traitement qu'elle en fait.
- Vous choisissez les emplacements auxquels les agents accèdent. Un dossier qui contient des données de mineurs et qu'aucun agent n'a besoin de lire ne doit pas leur être ouvert : c'est le réglage le plus simple et le plus sûr. Désigner un dossier ouvre aussi ses sous-dossiers ; rangez donc ces données hors des dossiers que vous désignez.
- Rien ne part sans votre validation (section 6). Un message ou un document concernant un mineur ne quitte donc jamais votre structure sans qu'une personne l'ait lu.
Si vous constatez que des données de mineurs ont été traitées sans cette autorisation, écrivez à contact@kockpit-ia.com : nous supprimons ce qui s'y rapporte et nous vous disons ce qui a été fait.
6. Comment nous protégeons
- Les autorisations d'accès à vos comptes Google, Microsoft et Dropbox sont chiffrées avant d'être enregistrées, et ne sont jamais renvoyées par le service, ni affichées, ni exportées.
- Les données de chaque structure sont cloisonnées : une requête ne peut pas atteindre les données d'une autre structure, et cette séparation est vérifiée par des tests automatisés à chaque modification du logiciel.
- Les échanges avec le service passent par une liaison chiffrée (HTTPS), et le serveur n'expose que les accès strictement nécessaires.
- Aucune action sortante — envoi de message, dépôt ou remplacement de document — n'est exécutée sans une validation explicite de votre part.
7. Vos droits
Conformément au règlement (UE) 2016/679 (RGPD), vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur vos données. Écrivez à contact@kockpit-ia.com : nous répondons dans un délai d'un mois. L'export et l'effacement des données d'une structure sont réalisés à votre demande.
Si notre réponse ne vous satisfait pas, vous pouvez saisir la Commission nationale de l'informatique et des libertés (CNIL).
8. Traceurs
Ce site ne dépose aucun traceur publicitaire et n'utilise aucun outil de mesure d'audience. Le service, lui, dépose un unique cookie, nécessaire à votre session : sans lui, vous ne pouvez pas rester connecté.
9. Modifications
Nous pouvons faire évoluer ce document. En cas de changement substantiel, nous prévenons les structures clientes par courriel avant l'entrée en vigueur. La date en haut de page indique la dernière version.