Politique de confidentialité
Comment heyrup.app traite vos données
Dernière mise à jour : 15 septembre 2026
1. Service et contact
heyrup.app est exploité par Radek Duha, identifiant d’entreprise tchèque 01091484, domicilié à Tulipánová 2805/3, Záběhlice, 106 00 Praha 10. L’application aide les entrepreneurs à trouver des pièces jointes PDF dans leurs e-mails, à lire leur contenu, à reconnaître les documents et à les attribuer aux entreprises selon des règles confirmées ou des décisions individuelles de l’utilisateur. Les résultats incertains sont soumis à vérification. L’objectif est de faciliter la préparation des documents pour les comptables.
Adressez vos questions et demandes d’accès aux données ou de suppression à jsem@radekduha.cz. Cette politique s’applique au site public heyrup.app et à l’application app.heyrup.app.
2. Comment nous accédons à votre boîte mail
Pour IMAP, vous renseignez l’adresse du serveur, l’identifiant et le mot de passe, ou un mot de passe d’application créé chez votre fournisseur. La connexion utilise TLS sur le port 993. Nous stockons le mot de passe chiffré avec AES-256-GCM ; le service l’utilise pour accéder à la boîte mail. Après vérification de la connexion, vous choisissez les dossiers que HeyRup doit parcourir.
HeyRup lit les dossiers sélectionnés en lecture seule et télécharge les pièces jointes PDF de la période choisie. Il ne déplace ni ne supprime les messages et ne les marque pas comme lus. Les identifiants peuvent donner des droits plus larges chez votre fournisseur : la lecture seule est une limite de notre traitement, pas une garantie sur les droits associés au mot de passe.
3. Quelles données nous traitons et pourquoi
Au lancement de la recherche, nous lisons les messages correspondants et leur structure. Pour les PDF trouvés, nous conservons l’objet, l’expéditeur, la date et le nom du fichier afin que vous puissiez retrouver leur origine. Nous téléchargeons ensuite le PDF et reconnaissons son contenu. IMAP lit les métadonnées et les parties PDF sélectionnées ; nous ne stockons pas le corps des e-mails dans la base documentaire et ne l’envoyons pas à la classification par IA.
Nous conservons l’adresse e-mail de la boîte connectée, les identifiants des messages et pièces jointes, l’objet, l’expéditeur, la date, le nom, le type et la taille du fichier, une copie du PDF, le texte extrait par OCR et le résultat de la reconnaissance, avec sa justification et son niveau de confiance. Un document peut contenir des noms, adresses, identifiants d’entreprise et fiscaux, coordonnées bancaires, montants et informations d’achat. Nous stockons aussi les pièces jointes marquées comme autres documents ou incertaines pour préserver la traçabilité des résultats.
Pour les accès IMAP suivants, nous conservons l’adresse du serveur, l’identifiant, le mot de passe chiffré et les dossiers choisis. Pour une éventuelle connexion Google OAuth, nous conservons un jeton de renouvellement chiffré. Nous traitons aussi l’identifiant du compte applicatif, son e-mail, l’organisation et les entreprises, les règles, les décisions concernant les documents, les coordonnées des destinataires et les paramètres d’envoi. Lors des transmissions, nous enregistrons les fichiers, les tentatives et leurs résultats. Des journaux techniques des requêtes et traitements servent à résoudre les erreurs.
4. OCR, IA et prestataires techniques
Les données sont traitées sur des serveurs, pas uniquement dans votre navigateur. Railway héberge l’application et la base de données ; nous stockons les copies PDF dans Google Cloud Storage. Lors de la reconnaissance d’un document, nous envoyons le PDF à Google Document AI pour le convertir en texte (OCR). Cela va au-delà de la lecture du nom de la pièce jointe ou de l’objet de l’e-mail.
Nous envoyons le texte extrait du document à l’API OpenAI pour identifier son type et les informations nécessaires à son attribution à la bonne entreprise. Si vous décrivez une nouvelle règle avec vos propres mots, OpenAI reçoit cette description et les informations de l’entreprise choisie pour préparer une règle. La proposition ne prend effet qu’après votre confirmation. Il ne s’agit pas d’entraîner un modèle généraliste ; la reconnaissance automatique peut se tromper et les résultats incertains doivent être vérifiés.
Clerk assure la connexion à l’application. Cloudflare héberge le site public. Se connecter à l’application et relier une boîte mail sont deux étapes distinctes. Les forfaits payants sont en préparation ; la description suivante inclut les échanges de données prévus lors de leur mise à disposition.
Nous utilisons Resend pour transmettre les documents. Lors d’un envoi, ce service reçoit l’adresse choisie, le message et les PDF concernés. Un envoi manuel exige la confirmation de son aperçu ; les envois réguliers suivent le programme que vous avez expressément activé. Enregistrer une adresse ne déclenche aucun envoi. HeyRup utilise son propre prestataire, pas votre compte de messagerie.
Stripe est prévu pour gérer les abonnements et les paiements. Pour un forfait payant, il traite les données nécessaires au paiement et à la facturation, pas les pièces jointes des e-mails ni le texte OCR des documents. Vous saisissez vos coordonnées bancaires directement dans Stripe.
5. Utilisation des données et futur connecteur Gmail
Nous utilisons les données des boîtes mail uniquement pour les fonctions décrites de heyrup.app. Nous ne les vendons pas et ne les utilisons ni pour la publicité, ni pour le profilage publicitaire, ni pour entraîner des modèles généraux d’IA ou d’apprentissage automatique. Leur transmission aux prestataires techniques est limitée à ces fonctions, à la sécurité du service et aux obligations légales.
Personne ne doit consulter le contenu de vos données, sauf avec votre accord explicite pour une assistance précise, pour une enquête de sécurité nécessaire ou en vertu d’une obligation légale. Le connecteur Gmail n’est pas encore accessible au public. Une fois disponible, la connexion sera volontaire via Google OAuth avec les autorisations openid, email, profile et gmail.readonly ; cette dernière permet techniquement de lire toute la boîte. Nous ne recevons pas votre mot de passe Google par cette connexion. L’engagement Limited Use ci-dessous s’applique aussi aux données obtenues via les API Google.
L’utilisation par heyrup.app des informations reçues des API Google et leur transfert à toute autre application respecteront la Politique relative aux données utilisateur des services API Google, y compris ses exigences d’utilisation limitée (Limited Use).
6. Conservation, déconnexion et suppression
Nous conservons les copies de travail des PDF, le texte OCR et le contenu reconnu pendant trois mois calendaires à compter du premier import. Après cette période, ils ne peuvent plus être ouverts ni envoyés, et nous les retirons de l’environnement actif. Un nouveau traitement ou envoi ne prolonge pas la durée. HeyRup n’est pas une archive comptable à long terme ; organisez séparément la conservation obligatoire des documents.
Vous pouvez supprimer une copie de travail plus tôt depuis le document dans l’application. Des tâches ultérieures suppriment les objets stockés et réessaient en cas d’erreur technique. Nous ne supprimons ni le message ni la pièce jointe d’origine dans votre boîte. Supprimer une copie HeyRup ne supprime pas les fichiers déjà téléchargés ou transmis.
Nous conservons pendant six mois l’historique des envois, comprenant les adresses des destinataires, les noms des pièces jointes, les tentatives d’envoi et les événements du prestataire, ainsi que les traces d’activité, puis les supprimons. Les empreintes de fichiers et identifiants de source sont conservés pendant la durée de vie de l’organisation pour éviter la restauration involontaire, une nouvelle facturation ou un double envoi de documents expirés. Nous conservons les identifiants et décomptes des unités de forfait consommées pendant la même durée. Ces traces résiduelles ne contiennent ni PDF, ni texte OCR, ni lignes ou montants des factures clients.
Déconnectez la boîte IMAP dans HeyRup : nous supprimons alors les identifiants enregistrés et arrêtons tout nouvel accès. Pour une éventuelle connexion Google OAuth, le consentement peut aussi être retiré dans les connexions de votre compte Google. La révocation du consentement arrête les accès autorisés ultérieurs, mais n’efface pas à elle seule les documents déjà stockés, votre compte ou les paramètres de l’application. Elle ne résilie pas non plus un forfait payant et n’annule pas l’envoi de documents déjà stockés ; vous gérez ces éléments séparément dans l’application. Pour supprimer les connexions, les jetons, votre compte complet et les données associées, contactez jsem@radekduha.cz.
Le stockage PDF dans Google Cloud est privé et situé dans l’UE. Après suppression d’un objet, une période de protection de sept jours permet sa restauration technique ; pendant cette période, le document ne peut pas être ouvert ni envoyé dans HeyRup. Cette localisation ne s’applique pas automatiquement à tous les autres prestataires du service.
Nous stockons les sauvegardes de notre base de données dans un espace Google Cloud distinct, privé et situé dans l’UE. Leur suppression est configurée après sept jours, suivis de sept jours supplémentaires de récupération technique possible. La suppression est asynchrone : cela ne garantit pas un effacement exactement au quatorzième jour. Une suppression dans l’application active ne signifie pas un effacement immédiat des sauvegardes ou des journaux opérationnels des prestataires. Nous examinerons avec vous la portée et l’achèvement d’une demande d’effacement via le contact ci-dessus.
7. Protection des données
Nous contrôlons l’accès aux documents selon l’utilisateur connecté et son organisation. Recommander le service ne donne pas au cabinet comptable accès à la boîte du client. Les mots de passe IMAP et les éventuels jetons de renouvellement Gmail sont stockés chiffrés. Le site utilise HTTPS et la connexion IMAP un TLS vérifié. Nous transmettons aux prestataires les données nécessaires au traitement concerné ; aucune sécurité ne supprime tous les risques.
8. Vos demandes et vos droits
La connexion de la boîte mail est facultative et vous pouvez l’arrêter dans HeyRup. Pour demander l’accès à vos données personnelles, leur rectification, leur export, leur suppression ou la limitation du traitement, contactez-nous à jsem@radekduha.cz. Avant de traiter une demande, nous pouvons raisonnablement vérifier qu’elle concerne votre compte. Cela ne limite pas vos droits prévus par les textes applicables.
9. Modifications de la politique
Nous publions la version actuelle et sa date de mise à jour à cette adresse. Avant d’introduire une nouvelle finalité ou un autre partage de données, nous mettrons à jour les informations et demanderons le consentement si nécessaire.
Notification du lancement de HeyRup
Si vous souhaitez être prévenu du lancement, Radek Duha enregistre, avec votre consentement, votre e-mail, la langue du formulaire et la date de votre accord. Ces données servent uniquement à annoncer le lancement, sans inscription à une newsletter. Elles sont conservées dans une base de données privée Cloudflare ; le formulaire est protégé par Cloudflare Turnstile.
Les données de plus de 180 jours sont supprimées chaque jour de la base active. Les sauvegardes techniques du prestataire peuvent les conserver plus longtemps.
Vous pouvez retirer votre consentement et demander la suppression de vos données à tout moment en écrivant à jsem@radekduha.cz.