Confidentialité & protection de vos données

Le responsable du traitement est Plume. Pour toute question ou pour exercer vos droits : contact@plumeai.fr.

• Compte: votre e-mail et un mot de passe (jamais stocké en clair, haché par PBKDF2). Finalité : vous identifier et sécuriser votre espace.
• Profils & mémoire: les informations que vous saisissez pour le remplissage (nom, adresse…). Finalité : pré-remplir vos formulaires.
• Documents importés: les fichiers que vous envoyez. Finalité : détecter les champs et, si vous le demandez, les remplir.
• Facturation: si vous souscrivez un abonnement ou achetez des pages, votre adresse e-mail et vos coordonnées de facturation sont transmises à Stripe, notre prestataire de paiement, qui en est destinataire. Stripe traite ces données aux États-Unis : ces informations-là sortent donc de l'Union européenne, et le point 3 vous le redit. Plume ne reçoit ni ne conserve vos données de carte bancaire. Finalité : encaisser le paiement et établir la facture.
• Connexion Google: elle est facultative — le mot de passe reste toujours disponible. Si vous la choisissez, votre navigateur est redirigé chez Google, qui apprend alors que vous vous connectez à Plume. Google nous renvoie votre adresse e-mail et la confirmation qu'elle est vérifiée, et rien d'autre : nous ne demandons ni votre nom ni votre photo, et nous ne conservons aucun identifiant de compte Google — votre adresse est la seule chose qui reste chez nous, comme pour une inscription par mot de passe. Google traite ces données aux États-Unis, et le point 3 vous le redit. Finalité : vous identifier.

Seule votre adresse e-mail est obligatoire : sans elle, nous ne pouvons ni vous identifier ni vous rendre l'accès à votre compte. Le reste est facultatif et ne sert qu'aux documents que vous nous demandez de remplir. Le service est réservé aux personnes de 18 ans ou plus.

Courriels : nous vous écrivons de deux manières. Les messages de service accompagnent votre compte et votre contrat, et ne se coupent pas : code de connexion ou de vérification, confirmation de commande, reçu ou facture, accusés de résiliation ou de rétractation, fin prochaine d'un abonnement (trois jours avant, puis le jour même). Les messages du produit se coupent à tout moment dans Paramètres → Notifications, ou par le lien au pied de chaque message (il ouvre vos réglages) : bienvenue et conseils de prise en main, rappel d'un document qui attend, d'un formulaire commencé ou d'un paiement interrompu, pages du mois épuisées, documents sur le point d'être effacés, suivi d'un formulaire, bilan mensuel d'une équipe, proposition de parrainage. Ces rappels n'indiquent ni le titre ni le contenu de vos documents, ne partent pas vers un compte d'essai, et il n'en part pas plus d'un par jour. L'alerte de fin d'analyse se règle au même endroit.

Origine de votre inscription : si vous arrivez par un lien de présentation qui porte un repère de public — par exemple « ?s=ccas » pour les centres communaux d'action sociale —, nous inscrivons ce seul repère, pris dans une liste fermée, dans le journal d'audit au moment où votre compte est créé ; un repère qui n'est pas dans la liste est ignoré, jamais recopié. Si vous arrivez par le lien de parrainage d'un proche, nous gardons la relation entre les deux comptes — qui a parrainé qui, quand, et si les pages offertes ont été créditées —, sans autre donnée de l'autre personne ; il en va de même du code d'un partenaire, qui ne voit jamais que des totaux. Ces repères servent à savoir quels publics Plume sert et à créditer les pages offertes : aucun cookie n'est posé pour cela. L'origine est conservée avec le journal d'audit (un an) ; la relation de parrainage, comme dit au point 8.

Statistiques de visite : le serveur peut tenir un journal technique des pages demandées — l'heure, la page, le code de réponse, le type de navigateur et le site d'où l'on vient, réduit à son nom — pour savoir quelles pages servent. Il ne garde ni votre adresse IP, ni vos en-têtes, ni aucun identifiant de compte, et aucun traceur n'est posé dans vos pages ; il est conservé 90 jours au plus.

Avis sur les réponses de Pluma : sous une réponse de Pluma, vous pouvez dire si elle vous a aidé (« utile » ou « pas utile », avec un motif). Plume garde alors ce verdict, son motif et des identifiants techniques dans le journal d'audit, jamais le texte de l'échange. Si vous cochez en plus « Joindre cet échange pour aider Plume à s'améliorer » — la case n'est jamais cochée d'office —, Plume garde aussi votre question et la réponse de Pluma, chiffrées, 90 jours au plus, pour que l'équipe analyse la qualité des réponses et les corrige, et à aucune autre fin. Vous pouvez les retirer à tout moment en décochant la case ; elles sont aussi effacées avec le document concerné ou avec votre compte. La case n'est proposée ni dans une conversation privée, ni dans un espace d'équipe. Base légale : votre consentement.

Demandes de devis, de contact et de support : ce que vous saisissez dans le formulaire de devis des structures (dénomination, SIRET, adresse, adresse électronique, nom et téléphone de la personne à contacter, précisions libres) part par courriel à Plume, avec un accusé de réception pour vous, sans être enregistré dans la base du service ; Plume le conserve le temps de la relation commerciale et, à défaut de suite, trois ans au plus après le dernier échange. Vos messages au support, quand vous êtes connecté, sont enregistrés dans votre espace, scellés, pour que vous les retrouviez, et effacés avec votre compte ; ceux que vous écrivez par courriel restent dans la boîte du support. Base légale : les démarches précontractuelles que vous demandez, et notre intérêt légitime à vous répondre.

Bases légales, finalité par finalité : l'exécution du contrat pour le service que vous demandez (compte, documents, remplissage, mémoire de vos profils) ; votre consentement pour l'analyse par IA et, si vos documents en contiennent, pour le traitement de données sensibles (point 4) ; une obligation légale pour la facturation et la conservation de ses pièces ; notre intérêt légitime pour la sécurité du service, le journal d'audit et la lutte contre les abus, ainsi que pour les messages du produit et la mesure de ce qui amène des inscriptions, auxquels vous pouvez vous opposer à tout moment (point 9).

• Vos données sont hébergées dans l'Union européenne et isolées par espace (tenant). Seuls les membres autorisés de cet espace y accèdent.
• Vos documents sont chiffrés au repos avec une clé de données versionnée propre à l'espace, elle-même chiffrée par une clé maîtresse distincte, jamais rangée avec les données.
• Les mots de passe sont hachés ; les sessions sont des cookies signés.
• Le service est hébergé en France par OVH SAS (marque OVHcloud), qui achemine aussi les courriels que nous vous envoyons.

Trois transferts sortent de l'Union européenne, et voici leurs garanties. OpenAI reçoit les pages et le contexte nécessaires à l'analyse et au remplissage (point 4) et les traite aux États-Unis, sous les clauses contractuelles types de la Commission européenne que comporte son accord de traitement des données ; il peut conserver ces contenus jusqu'à trente jours pour détecter les abus, puis les supprime, et ne s'en sert pas pour entraîner ses modèles. Stripe traite les données de facturation (point 2) sous le cadre de protection des données UE–États-Unis et des clauses contractuelles types. Google, si vous choisissez la connexion Google, vérifie votre adresse sous le cadre de protection des données UE–États-Unis. Vous pouvez obtenir copie de ces garanties en écrivant à l'adresse du point 1.

Le remplissage automatique par IA est optionnel: l’autorisation concerne aussi la détection seule, qui utilise un fournisseur d’IA. Elle est demandée avant l’envoi, rattachée à votre compte et à votre espace, enregistrée avec une finalité et une version de politique, et révocable dans vos réglages. Désactiver le remplissage empêche l’écriture des réponses, pas l’analyse IA. En revanche, les champs AcroForm utilisables déjà présents dans un PDF et leurs valeurs sont lus directement, sans analyse IA. Leur édition manuelle et l’export ne nécessitent pas d’appel IA. Solliciter l’assistant ou demander explicitement une analyse est un parcours distinct utilisant l’IA.

Le fournisseur qui reçoit ce contenu est OpenAI (OpenAI Ireland Ltd.), et il le traite dans la région États-Unis. Ce n'est pas le seul tiers susceptible de recevoir le contenu d'un document ; en voici la liste complète :

• Remplissage et analyse par IA : le fournisseur nommé ci-dessus reçoit les pages et le contexte utiles à l’analyse des champs, puis au remplissage lorsque vous le demandez. La détection seule utilise aussi ce fournisseur et exige votre autorisation.
• Lecture de vos pièces justificatives : Mistral AI, prévu pour lire les images des pièces justificatives, n'est pas activé à ce jour et ne reçoit rien. Lorsque vous autorisez la lecture de vos pièces dans un profil ou l'import par email, ces images sont lues sur nos serveurs, et le texte obtenu rejoint le contexte transmis au fournisseur d'IA ci-dessus.

Aucun autre tiers ne reçoit le contenu de vos documents. Quand l'assistante cherche une information publique sur internet — un formulaire officiel, par exemple —, la requête passe par l'outil de recherche du même fournisseur ; vos documents n'y sont pas joints.

Ce contenu ne sert pas à entraîner ni à améliorer les modèles : le contrat qui nous lie au fournisseur de remplissage l'exclut, et cette exclusion vaut pour vos documents comme pour vos conversations.

Données sensibles : un document peut contenir des données de santé, un numéro de sécurité sociale ou d'autres données particulières. Autoriser l'analyse d'un tel document vaut consentement explicite à leur traitement par le fournisseur d'IA, pour ce remplissage (article 9.2.a du RGPD). Vous pouvez aussi remplir un document à la main, avec les outils de l'éditeur, sans analyse par IA.

Visiteurs sans compte : si vous posez une question à Pluma sur les tarifs ou les métiers sans être connecté, cette question — 300 caractères au plus — est envoyée au fournisseur d'IA nommé ci-dessus, qui y répond à partir des seules pages du site. Plume ne garde ni la question ni la réponse, seulement leur taille et ce que l'appel a coûté. Une question qui contient une adresse électronique, un numéro de téléphone, un IBAN, un numéro de sécurité sociale ou de carte bancaire est refusée avant tout envoi.

Un formulaire administratif parle rarement d'une seule personne : il nomme un enfant, un conjoint, un employeur, parfois un médecin. Ces personnes n'ont pas de compte chez nous et ne nous ont rien confié directement. Leurs données suivent pourtant le même chemin que les vôtres, avec les mêmes durées, le même chiffrement et les mêmes destinataires.

C'est vous qui les connaissez, et vous seul pouvez les informer. En déposant un document qui les concerne, vous vous engagez à leur dire que vous utilisez Plume pour cette démarche. Si l'une d'elles nous écrit, nous lui répondrons comme à vous : accès, rectification, effacement.

Les personnes qui reçoivent un lien sans avoir de compte : un lien de relecture ou de dépôt de pièces est un secret long, que nous ne gardons que sous forme d'empreinte ; il expire (trente jours au plus) et son auteur peut le retirer à tout moment. Une relecture montre le document rempli page par page, en lecture seule, à partir d'une copie chiffrée détruite à l'échéance ou au retrait du lien. Un dépôt range les fichiers envoyés dans le dossier de la personne qui les demande, qui reste responsable de leur usage : Plume les héberge pour son compte et ne s'en sert pas pour autre chose. Qui ouvre un lien n'a ni nom ni adresse électronique à donner ; pour empêcher d'essayer des liens au hasard, le nombre d'essais et de dépôts est limité par adresse réseau.

Si vous activez l'import par email, vos correspondants envoient leurs pièces à une adresse du domaine plumeai.fr. Ce courrier transite par les serveurs de notre hébergeur de messagerie, OVH SAS (Roubaix, France), qui agit comme sous-traitant. Ses serveurs sont situés dans l'Union européenne.

Les pièces jointes sont récupérées puis chiffrées dans votre espace, avec la même clé versionnée que vos autres documents. Une fois les pièces rangées dans votre espace, le message d'origine est supprimé de la boîte de réception du service ; un message importé en partie (une pièce refusée, trop lourde par exemple) y est effacé au bout de 30 jours ; un message qui n'a pas pu être importé du tout y reste, non lu, jusqu'à ce qu'il le soit ou qu'il soit traité à la main.

Activer l'import par email n'ajoute aucun sous-traitant à ce jour : les pièces jointes sont lues sur nos serveurs, comme dit au point 4 (Mistral AI, prévu pour cette lecture, n'est pas activé et ne reçoit rien). Le corps de vos messages et vos identifiants de messagerie ne sont transmis à aucun tiers.

Un courriel n'est jamais chiffré de bout en bout par nature : ce qui transite entre l'expéditeur et notre boîte échappe à notre contrôle. Pour des pièces particulièrement sensibles, l'import direct depuis votre espace reste préférable.

Les pages gratuites sont réservées à un usage normal : découvrir Plume ou remplir quelques formulaires. Pour éviter qu'une même personne les multiplie en ouvrant de nombreux comptes, nous utilisons ces trois moyens, et rien d'autre :

• Vérification de votre adresse e-mail: avant votre première analyse gratuite, nous vous envoyons un e-mail qui contient un code à 6 chiffres et un lien. Ils servent seulement à confirmer que l'adresse est bien la vôtre, et expirent au bout de 15 minutes. Si vous vous connectez avec Google et que Google confirme votre adresse, rien ne vous est demandé.
• Identifiant de votre appareil: un numéro tiré au hasard, qui ne contient rien sur vous, est enregistré dans un cookie de votre navigateur la première fois que vous utilisez des pages gratuites ou un export gratuit. Il nous permet de compter les pages et les exports gratuits utilisés depuis cet appareil, même si plusieurs comptes ou essais y sont ouverts : un nouvel essai n'y ajoute aucune page. Il reste dans votre navigateur environ 13 mois, sauf si vous l'effacez — et, effacé, il ne revient pas de lui-même.
• Empreinte de votre réseau: nous ne gardons pas votre adresse IP pour cela. Nous en gardons seulement une empreinte à sens unique — on ne peut pas retrouver l'adresse à partir d'elle —, calculée sur la partie commune à tout un réseau : les trois premiers nombres d'une adresse IPv4 (/24) ou la première moitié d'une adresse IPv6 (/64). Elle permet de compter les pages gratuites utilisées depuis un même réseau.

Ces compteurs ne concernent que les pages et les exports gratuits : les pages achetées n'y sont jamais comptées, ni les exports faits pendant un Pass 7 jours ou avec une offre payante. Nous les effaçons 35 jours après leur dernière mise à jour.

Les exports gratuits de l'éditeur et des outils se comptent de la même façon : pour un compte, sous l'empreinte à sens unique de son adresse e-mail ; sans compte ou pendant un essai, par l'identifiant de l'appareil et l'empreinte du réseau. D'un fichier exporté par un outil, nous ne recevons que son nombre de pages et une empreinte à sens unique, qui ne permet pas de le reconstituer — jamais le fichier lui-même.

Base légale : notre intérêt légitime à réserver les pages gratuites à un usage normal (article 6.1.f du RGPD). Vous pouvez vous y opposer, comme expliqué au point 9.

La liste complète des cookies et du stockage du navigateur, avec leurs durées, est sur la page Cookies.

Chaque catégorie a sa propre durée, parce qu'elles n'ont pas la même finalité. Elles s'appliquent dès la création du compte, et vous les modifiez à tout moment dans Paramètres → Données & RGPD : pour chacune, 30 jours, 90 jours, 365 jours, ou sans limite. Sans réglage de votre part, ce sont les durées ci-dessous qui s'appliquent. Par défaut :

• Justificatifs importés (pièce d'identité, RIB, avis d'imposition…) — 30 jours, moins pour les plus sensibles. Ils ne servent qu'à extraire les données nécessaires au remplissage ; passé celui-ci, ils n'ont plus d'usage. La détection reconnaît la nature du formulaire, et un document de santé, judiciaire ou d'identité est effacé deux fois plus tôt. Cette reconnaissance ne peut que raccourcir la durée que vous avez choisie, jamais l'allonger.
• Formulaires remplis et analyses — 90 jours. Le temps qu'une démarche aboutisse, que vous corrigiez une valeur, réexportiez le document ou contestiez une décision.
• Conversations avec l'assistant — 90 jours. De quoi reprendre un dossier là où vous l'aviez laissé.
• Mémoire du profil — pas d'échéance. Sa finalité même est de durer, pour ne pas vous redemander ce que vous avez déjà dit. Elle se supprime profil par profil, et l'assistant cesse de s'en servir dès que vous la désactivez. Elle est activée dès la création du compte, parce qu'elle fait partie du service que vous demandez ; vous pouvez la désactiver à tout moment, dans Paramètres → Données & RGPD ou dans les réglages de chaque profil.
• Compteurs de pages et d'exports gratuits — 35 jours. Ils relient une empreinte d'appareil ou de réseau au nombre de pages gratuites utilisées dans le mois, et à rien d'autre (voir le point 7).

Une exception : les pièces comptables liées à votre abonnement (factures, paiements, achats de pages) sont conservées dix ans, comme la loi l'impose à toute entreprise (article L123-22 du code de commerce). Elles survivent donc à la suppression de votre compte.

D'autres durées tiennent à la sécurité et à la loi : le journal d'audit est conservé un an, et trois ans pour les preuves de consentement et d'effacement ; un compte d'essai jamais rattaché à une adresse est effacé au bout de 72 heures ; l'adresse IP relevée à l'inscription est gardée tant que le compte existe ; nos sauvegardes tournent sur environ trois mois, après quoi une donnée effacée n'existe plus nulle part ; le fournisseur d'IA peut conserver jusqu'à trente jours ce qu'il a reçu (point 3).

Ce ne sont pas les seules choses qui survivent, et il serait malhonnête de vous laisser croire le contraire. Supprimer votre compte efface tout ce qui vous décrit — vos documents, vos profils, votre mémoire, vos conversations, vos clés, vos dossiers personnels. Restent, en plus des pièces comptables, trois catégories de traces, et voici pourquoi chacune reste :

• Les preuves de l'effacement lui-même. Le reçu de votre demande, le journal qui atteste qu'elle a été exécutée, et les reçus de destruction de vos fichiers et de vos clés de chiffrement. Sans eux, nous serions incapables de vous prouver — ou de prouver à la CNIL — que l'effacement a bien eu lieu. Ces lignes disent qu'un effacement s'est produit et ce qu'il a détruit, pas qui vous étiez.
• Les emplacements vides, là où se trouvaient vos données. Chaque document effacé laisse une ligne dont le contenu chiffré est mis à zéro et dont la clé est marquée détruite. Ce n'est pas un reste de vos données : c'est ce qui empêche une restauration de sauvegarde de les ressusciter. Sont de même conservés, sans votre nom, le coût de calcul du mois écoulé — nos comptes de consommation en ont besoin — et un éventuel parrainage, dont l'effacement pur et simple rouvrirait le quota de l'autre personne.
• Dans un espace d'équipe, vos dossiers deviennent anonymes pour l'équipe. Ils appartiennent au travail commun : les supprimer amputerait le dossier des autres membres. Ils restent donc, mais votre nom en part et vous n'y apparaissez plus que comme un membre supprimé ; ce qui y était scellé à votre nom est vidé, et le titre des conversations attachées est effacé. La marque qui vous remplace est propre à chaque espace : la même personne effacée dans deux cabinets n'y porte pas la même, et rien ne permet de recoudre les deux. Votre espace personnel, lui, est vidé et ne garde qu'un nom de tombe.

Cette liste est tenue au même endroit que le code qui l'exécute, et un test la compare au schéma réel de la base : une table nouvelle ne peut pas y échapper en silence.

Sans réglage de votre part, ce sont les durées par défaut ci-dessus qui s'appliquent : les régler dans Paramètres → Données & RGPD ne sert qu'à les allonger, les raccourcir ou les lever. Vos données de compte sont conservées tant que le compte existe. Vous pouvez à tout moment supprimer un document, un profil ou le compte entier. Un document que vous supprimez reste 30 jours dans la corbeille de « Mes documents », d'où vous pouvez le restaurer, puis il est effacé ; vous pouvez aussi l'effacer tout de suite. La corbeille ne retarde ni l'effacement de votre compte ni la purge de conservation.

La suppression d'un compte n'est pas instantanée, et nous préférons décrire ce qui se passe vraiment. Votre demande est enregistrée dès que vous la validez, puis exécutée par passes successives : les traitements en cours sont d'abord arrêtés et attendus, vos fichiers sont scellés puis détruits, les clés de chiffrement sont détruites à leur tour, et les lignes de la base partent par lots jusqu'à ce qu'il n'en reste aucune. L'écran affiche « Effacement en cours » ; vous pouvez fermer la page, l'opération va à son terme sans vous. Comptez quelques minutes, davantage si votre espace est volumineux. L'effacement est ensuite réappliqué à toute restauration de sauvegarde, et les anciennes sauvegardes chiffrées disparaissent à l'expiration de leur rétention contractuelle.

• Accès / portabilité: téléchargez vos données (compte, profils, mémoire, documents) dans un fichier ZIP, depuis votre espace. L'archive part même s'il lui manque quelque chose — et elle le dit plutôt que de vous faire attendre un export parfait : un manifeste y recense ce qui n'a pas pu être joint, un fichier OBJETS_MANQUANTS.txt le répète en clair à la racine, et le nom du fichier téléchargé porte alors la mention « incomplet ».
• Effacement: supprimez définitivement votre compte et vos données (base et fichiers). L'opération est irréversible. Elle n'est pas instantanée : la demande est enregistrée, puis exécutée par passes successives, comme le décrit le point 8. Si vous êtes propriétaire d'un espace d'équipe qui compte d'autres membres, elle est refusée tant que vous n'en avez pas transféré la propriété depuis Paramètres → Espaces & équipe : l'espace et le travail des autres membres partiraient avec vous. Un espace d'équipe où personne d'autre que vous n'est membre est supprimé avec votre compte, documents compris.
• Rectification: modifiez vos profils et votre mémoire à tout moment.
• Opposition: vous pouvez vous opposer à l’analyse IA de vos documents et retirer votre autorisation dans vos réglages. La détection assistée par IA est également concernée, même sans remplissage automatique : ce n’est pas une détection locale qui échapperait à votre refus. La lecture directe des champs AcroForm disponibles, leur édition manuelle et l’export restent possibles sans appel IA ; ces opérations ne sont pas une analyse visuelle des champs.
• Limitation: vous pouvez demander le gel d'un traitement le temps qu'une contestation soit tranchée. Vos données restent conservées, mais ne sont plus utilisées.
• Décision automatisée: la nature détectée de vos documents décide de leur durée de conservation. Elle vous est affichée et se corrige d'un clic, dans l'onglet Validation.
• Directives après décès : vous pouvez nous indiquer ce que doivent devenir vos données après votre décès, et modifier ces directives à tout moment (article 85 de la loi Informatique et Libertés).

Pour toute demande, écrivez à contact@plumeai.fr.

Nous répondons à toute demande dans un délai d'un mois. Ce délai peut être prolongé de deux mois si la demande est complexe ou si elles nous parviennent en nombre ; nous vous en informons alors dans le mois, en vous disant pourquoi (article 12.3 du RGPD).

Si notre réponse ne vous satisfait pas, vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr), autorité de contrôle française.

CGV / CGU · Mentions légales