RGPD et confidentialité : comment Fiabli protège vos mails

Hébergement : tout en France / UE

Tous nos serveurs applicatifs et bases de données sont chez OVHcloud (Roubaix, France). Aucune donnée client n'est hébergée hors UE. Cela élimine les questions liées au CLOUD Act américain et garantit le RGPD-by-design.

Les seules exceptions sont les sous-traitants strictement nécessaires (voir section 4) : Anthropic (analyse IA, USA), Stripe (paiements, USA), tous encadrés par les Clauses Contractuelles Types (SCCs) de la Commission européenne et certifiés Data Privacy Framework (DPF).

Chiffrement des credentials IMAP

Quand vous connectez une boîte mail via IMAP standard, votre login + mot de passe transitent vers Fiabli (en TLS 1.2 minimum) puis sont stockés chiffrés au repos en AES-256-GCM. La clé de chiffrement maître est stockée sur le serveur dans un fichier .master.key hors-base de données — un dump SQL ne suffit pas à déchiffrer les credentials.

Concrètement : si demain quelqu'un vole notre BDD, il obtient des chaînes chiffrées illisibles, pas vos vrais mots de passe IMAP.

Pour les comptes Gmail / Microsoft 365, nous utilisons OAuth 2.0 et ne stockons que des refresh_tokens (eux-mêmes chiffrés), pas de mots de passe. Nous demandons les permissions minimales : lecture des nouveaux mails + déplacement entre dossiers. Aucune permission d'envoi, aucune lecture des envoyés, aucun accès au calendrier ou aux contacts.

Que voit Fiabli, que ne voit pas Fiabli ?

Ce que Fiabli analyse :

• En-têtes des mails (From, To, Subject, Date, SPF, DKIM, DMARC)
• Corps texte du mail
• URLs contenues
• Noms des pièces jointes

Ce que Fiabli ne lit JAMAIS :

• Le contenu binaire des pièces jointes (factures PDF, photos, etc.)
• Vos mails envoyés
• Votre calendrier, vos contacts, vos drives
• Les mails déjà lus avant la connexion (uniquement les nouveaux entrants)

Aucun employé de Fiabli ne consulte vos mails individuellement. Les seuls accès admin se font dans le cadre d'un support technique demandé explicitement par vous, et uniquement aux métadonnées (verdict, date, expéditeur), jamais au contenu intégral.

Sous-traitance Anthropic : 30 jours max, aucun training

L'analyse IA passe par Anthropic (modèles Claude, hébergés aux USA). Quand un mail est analysé, son contenu (sujet, expéditeur, corps texte, URLs) est envoyé à l'API Anthropic.

Engagements contractuels d'Anthropic vis-à-vis de nous (et de vous) :

• Aucune utilisation pour l'entraînement des modèles. C'est garanti par contrat dans l'API commerciale Anthropic.
• Conservation maximale de 30 jours à des fins anti-abus, puis suppression définitive.
• Transferts USA encadrés par SCCs + certification DPF UE-USA.

Pour les clients qui ne veulent absolument pas d'analyse IA hors-UE, nous travaillons sur une option Mistral Large 2 hébergée en France pour 2026 H2.

Vos droits RGPD : exercer en 1 clic

Conformément aux articles 15 à 22 du RGPD, vous avez le droit de :

• Accéder à toutes vos données → bouton "Exporter mes données" dans Paramètres
• Rectifier les données inexactes
• Effacer votre compte → bouton "Supprimer mon compte". Effacement effectif sous 30 jours, sauf factures conservées 10 ans (obligation comptable légale).
• Récupérer vos données dans un format lisible (export JSON / CSV)
• Vous opposer à tout traitement basé sur l'intérêt légitime
• Réclamer auprès de la CNIL si vous estimez vos droits non respectés

Notre équipe répond aux demandes RGPD sous un délai maximum d'un mois. Email : contact@fiabli.io avec "Demande RGPD" en objet.

Notre engagement

La confidentialité n'est pas un argument marketing pour nous. C'est la condition de l'existence du service : un détecteur de phishing qui se ferait pirater serait un désastre absolu. Nous prenons donc des mesures supérieures à ce que demande le RGPD : chiffrement AES-256-GCM, master key hors BDD, sous-traitants minimum, transparence totale sur les flux.

Notre politique de confidentialité complète détaille chaque point ci-dessus. Pour toute question, écrivez-nous — nous répondons sous 48h.