Politique de confidentialité
Dernière mise à jour : 1er novembre 2026
Scutaris protège des messageries : la protection des données en est le cœur. Cette page explique quelles données sont traitées, pourquoi, combien de temps, et comment exercer vos droits.
1. Responsable du traitement
Mayeul Flory, éditeur de Scutaris (SIREN 924 763 717), adresse : à compléter. Contact : à compléter.
Pour les données de messagerie qu'il traite pour le compte de ses clients, Scutaris agit comme sous-traitant (article 28 du RGPD) : voir le contrat de sous-traitance.
2. Données traitées
Comptes et organisations :
- nom, adresse e-mail, organisation et rôle ;
- mot de passe, conservé uniquement sous forme d'empreinte par notre prestataire d'authentification ;
- facteurs de double authentification ;
- invitations envoyées (adresse invitée, rôle, dates) ;
- journal d'audit des actions d'administration (qui a fait quoi, et quand).
Données techniques : adresse IP et journaux techniques conservés par nos hébergeurs pour la sécurité du service.
Données de messagerie (traitées pour le compte du client, lorsque la messagerie est connectée) :
- métadonnées des mails : expéditeur, destinataires, objet tronqué, date ;
- décision prise, score de risque et motifs ;
- empreintes (SHA-256) et verdicts des pièces jointes ;
- IBAN connus des expéditeurs, conservés chiffrés, pour repérer un changement de RIB.
Aucun contenu de mail n'est conservé par Scutaris. Les mails retenus restent dans la messagerie du client, dans un dossier masqué.
3. Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Créer et gérer les comptes, fournir le service | Exécution du contrat (conditions d'utilisation) |
| Sécuriser le service, prévenir la fraude, tenir le journal d'audit | Intérêt légitime de l'éditeur et de ses clients |
| Filtrer les mails pour le compte du client | Instructions du client, responsable de traitement (contrat de sous-traitance) |
| Répondre aux obligations légales | Obligation légale |
4. Durées de conservation
- Comptes : pendant l'utilisation du service, puis suppression dans les 30 jours suivant la fermeture du compte, sauf obligation légale.
- Invitations : valables 7 jours, puis conservées dans le journal d'audit.
- Journal d'audit : 12 mois.
- Métadonnées de mails et analyses de pièces jointes : 90 jours.
- Demandes de vérification (captcha) expirées : 30 jours.
- Mails en quarantaine : 30 jours, dans la messagerie du client.
5. Destinataires et sous-traitants
Les données ne sont jamais vendues ni utilisées à des fins publicitaires. Elles ne sont accessibles qu'aux personnes habilitées et aux sous-traitants nécessaires au service :
| Sous-traitant | Rôle | Lieu de traitement | Statut |
|---|---|---|---|
| Vercel Inc. (États-Unis) | Hébergement du site et de l'application | Union européenne (Paris, région cdg1) | En service |
| Supabase Inc. (États-Unis) | Base de données et authentification | Union européenne (Paris, région AWS eu-west-3) | En service |
| Resend | Envoi des mails (invitations, demandes de vérification, rapports) | À préciser | Prévu, pas encore utilisé |
| Fournisseur d'intelligence artificielle | Avis sur les mails douteux et explication d'une phrase | Union européenne de préférence, sans conservation des données | Prévu, fournisseur à choisir |
6. Transferts hors de l'Union européenne
Les données sont hébergées dans l'Union européenne (Paris). Certains sous-traitants sont des sociétés établies aux États-Unis ; un accès depuis l'étranger reste encadré par les clauses contractuelles types de la Commission européenne et, le cas échéant, par le cadre de protection des données UE–États-Unis.
7. Sécurité
- Échanges chiffrés (HTTPS) et données chiffrées au repos par nos hébergeurs.
- Isolation stricte entre clients, vérifiée par la base de données elle-même.
- Double authentification obligatoire pour administrer.
- Droits minimaux sur les messageries, sans permission d'envoyer au nom des utilisateurs ; jetons d'accès conservés chiffrés.
- Pièces jointes analysées sur place, jamais envoyées à un service public d'analyse.
8. Cookies
Scutaris n'utilise que des cookies strictement nécessaires : ceux de la session de connexion. La préférence de thème (clair ou sombre) est gardée dans votre navigateur. Aucun cookie publicitaire ni de mesure d'audience : aucun consentement n'est donc demandé.
9. Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de définir des directives sur le sort de vos données après votre décès. Pour les exercer, écrivez par e-mail à à compléter ; une réponse vous est apportée sous un mois.
Si vos données sont traitées pour le compte de votre employeur (données de messagerie), adressez-vous d'abord à lui : il est responsable du traitement.
Vous pouvez aussi introduire une réclamation auprès de la CNIL (www.cnil.fr).
10. Modifications
Cette politique peut évoluer, notamment à l'arrivée de nouveaux sous-traitants. La date de mise à jour figure en haut de la page ; les changements importants sont signalés aux clients.