Politique de confidentialité de Milly

Version : v2
Date : 19 août 2026

En cas de divergence entre la version française et la version anglaise de ce document, la version française prévaut.

1. Responsable de traitement

Le responsable du traitement de vos données est Aristide Hervé Mbassi Demoudourou, personne physique, joignable à l'adresse aristide.mbassi28@gmail.com et domicilié au 91 D Rue Gabriel Péri, 42100 Saint-Étienne, France. La présente politique est publiée à l'adresse https://milly-virtualassistant.fr/privacy.

2. Les données que Milly conserve

Milly conserve, pour chaque utilisateur, dans une base de données PostgreSQL :

• Compte : un identifiant, votre fuseau horaire, l'identifiant de sujet de votre compte Google, la date de création du compte.
• Préférences de planification renseignées lors de l'accueil : début et fin de journée, heure et durée du déjeuner, marge entre les blocs, durée maximale de tâches par jour.
• Tours de conversation : le texte que vous envoyez (limité à 2000 caractères par message) et le texte de la réponse de Milly, tous deux chiffrés au repos avec AES-256-GCM.
• Tâches : titre, durée estimée, priorité, échéance, statut, et l'état de planification jour par jour.
• Propositions et plans de journée, ainsi qu'un journal des actions qui conserve la formulation de chaque action afin de pouvoir l'annuler.
• Autorisation Google : son statut, les périmètres accordés, et les jetons d'accès et de rafraîchissement OAuth, chacun chiffré au repos avec AES-256-GCM.
• Événements d'agenda projetés depuis et vers Google Agenda : titre, horaires, invités.
• Enregistrement de l'appareil pour les notifications : un jeton d'appareil APNs, un identifiant d'appareil, la plateforme.
• Jetons de rafraîchissement de session, conservés uniquement sous forme de hachage.

3. Ce que Milly ne conserve jamais

Deux points inhabituels, et à votre avantage :

• Le contenu des lieux renvoyés par Google n'est jamais conservé. Seul l'identifiant place_id de Google est gardé ; relire une ancienne conversation redemande les fiches à Google. Exception : le lieu que vous choisissez effectivement. Son nom et son adresse deviennent le lieu du rendez-vous, conservés et projetés vers Google Agenda comme tout autre champ d'un rendez-vous.
• La position de votre appareil n'est jamais conservée. Elle voyage avec la requête, sert à ancrer la recherche de lieux, et est effacée dès que la requête est servie.

4. Pourquoi ces données sont traitées et sur quelle base légale

• Fournir le service (comprendre vos messages, planifier votre journée, synchroniser votre agenda, envoyer des notifications) : exécution du contrat (article 6.1.b du RGPD).
• Créer et sécuriser votre compte et vos sessions : exécution du contrat (article 6.1.b) et intérêt légitime à la sécurité du service (article 6.1.f).
• Accéder à votre agenda Google et rechercher des lieux : exécution du contrat (article 6.1.b), l'accès à Google étant en outre subordonné à l'autorisation que vous donnez explicitement et pouvez révoquer.

Milly ne fait ni publicité, ni profilage à des fins commerciales, ni revente de données.

5. Destinataires et sous-traitants

Vos données sont transmises aux tiers suivants, uniquement pour faire fonctionner le service :

• Google : l'API Google Agenda, sur le périmètre https://www.googleapis.com/auth/calendar, pour lire votre agenda et y écrire les rendez-vous créés par Milly ; et l'API Places (New), qui renvoie des suggestions de lieux. Les Conditions d'utilisation de Google (https://policies.google.com/terms) et la Politique de confidentialité de Google (https://policies.google.com/privacy) s'appliquent aux données de cartes et de lieux et sont incorporées par référence à la présente politique. Certains résumés de lieux sont rédigés par Google et affichés tels quels, avec leur mention d'origine.
• Anthropic : le texte de votre message et le contexte nécessaire pour y répondre sont envoyés à l'API Claude (modèle claude-haiku-4-5) pour que Milly comprenne votre demande. Ce contenu est traité pour servir la requête et n'est pas utilisé pour entraîner des modèles.
• Anthropic, votre accord : l'envoi de vos messages, de vos tâches et de votre agenda à Anthropic n'a lieu qu'après votre accord explicite, demandé dans l'application avant la première conversation. Vous pouvez le retirer à tout moment depuis les réglages de Milly ; la conversation s'arrête alors, votre journée reste consultable.
• Apple : Sign in with Apple pour l'authentification, et le service de notifications push d'Apple (APNs) pour les notifications.
• Hébergement : un serveur virtuel loué chez OVH, situé en France ; la base de données est hébergée chez Supabase, dans une région située en Europe, au sein de l'Union européenne.

6. Utilisation limitée des données Google

Milly reçoit des données de votre compte Google via l'API Google Agenda, sur un périmètre que Google classe comme sensible. Milly se conforme à la Google API Services User Data Policy (https://developers.google.com/terms/api-services-user-data-policy), y compris ses exigences d'utilisation limitée (Limited Use). Nonobstant toute autre mention de la présente politique :

• les données utilisateur Google ne sont utilisées que pour fournir des fonctionnalités destinées à l'utilisateur et mises en avant dans l'application ;
• elles ne sont pas transférées à des tiers, sauf pour fournir ces fonctionnalités avec votre consentement, pour des raisons de sécurité, pour respecter la loi, ou dans le cadre d'une fusion ou d'une cession d'actifs après votre consentement explicite préalable ;
• elles ne sont jamais utilisées à des fins publicitaires ;
• aucun humain ne les lit, sauf avec votre accord exprès, pour des raisons de sécurité (par exemple l'examen d'un bug ou d'un abus), ou lorsque la loi l'exige.

7. Accès de l'éditeur à vos données

L'éditeur dispose d'un accès technique à la base de données de production et ne lit pas le contenu de vos conversations ni de vos agendas, en dehors des exceptions listées à la section précédente.

8. Aucun entraînement de modèles

Aucun contenu de conversation, d'agenda ou de tâche n'est utilisé pour entraîner un quelconque modèle, ni par l'éditeur, ni par Anthropic à travers l'API. Le transfert vers Anthropic est précisément le cas que Google autorise : un transfert nécessaire pour fournir une fonctionnalité destinée à l'utilisateur et mise en avant dans l'application, la conversation elle-même.

9. Transferts hors de l'Union européenne

Le serveur applicatif est en France et la base de données est hébergée dans l'Union européenne : l'hébergement de vos données n'implique aucun transfert hors de l'Union. Google, Anthropic et Apple peuvent traiter des données hors de l'Union européenne, chacun avec sa propre garantie :

• Google : Google LLC est certifiée au titre du cadre de protection des données UE-États-Unis (EU-U.S. Data Privacy Framework), ainsi que du cadre Suisse-États-Unis et de l'extension au Royaume-Uni, comme l'indique la page de Google sur les cadres de transfert de données (https://policies.google.com/privacy/frameworks). Lorsque cette certification ne s'applique pas, le Cloud Data Processing Addendum de Google prévoit les clauses contractuelles types de la Commission européenne.
• Anthropic : les transferts sont régis par les clauses contractuelles types adoptées par la Commission européenne dans la décision d'exécution 2021/914 du 4 juin 2021, modules deux et trois, complétées de l'addendum britannique, comme le prévoit le Data Processing Addendum d'Anthropic (https://www.anthropic.com/legal/data-processing-addendum). Pour la région européenne, l'entité Anthropic est Anthropic Ireland Limited.
• Apple : les données personnelles des personnes situées dans l'Espace économique européen, au Royaume-Uni et en Suisse sont contrôlées par Apple Distribution International Limited, en Irlande, et les transferts internationaux de ces données par Apple sont régis par les clauses contractuelles types, comme l'indique la politique de confidentialité d'Apple (https://www.apple.com/legal/privacy/en-ww/).

10. Durées de conservation

• Tours de conversation : 90 jours, puis suppression automatique.
• Toutes les autres catégories listées ci-dessus : conservées tant que votre compte existe, puis supprimées avec lui. Aucune autre durée précise n'est définie à ce jour, et cette politique le dit honnêtement plutôt que d'inventer des chiffres.

11. Âge minimum

Le service ne s'adresse pas aux personnes de moins de 15 ans, seuil fixé en France en application de l'article 8 du RGPD. Aucun compte n'est sciemment créé pour un mineur de moins de 15 ans.

12. Transfert d'activité

Si l'activité est transférée, les données personnelles peuvent faire partie du transfert. Les données utilisateur Google, elles, ne le peuvent qu'après votre consentement explicite préalable.

13. Communication exigée par la loi

Vos données peuvent être communiquées lorsque la loi ou une procédure judiciaire l'exige.

14. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur vos données. Pour les exercer, écrivez à aristide.mbassi28@gmail.com. Vous pouvez aussi introduire une réclamation auprès de la CNIL (https://www.cnil.fr).

15. Sécurité

Les mesures en place : chiffrement en transit avec TLS, les connexions se faisant en HTTPS avec des certificats Let's Encrypt ; contenu des conversations et jetons Google chiffrés au repos avec AES-256-GCM ; jetons de rafraîchissement conservés uniquement hachés ; secrets tenus par environnement, hors du code source.

16. Violation de données personnelles

En cas de violation de données personnelles, l'éditeur notifie la CNIL dans les 72 heures et vous informe lorsque le risque pour vos droits est élevé, conformément aux articles 33 et 34 du RGPD.

17. Supprimer votre compte, révoquer l'accès Google

Vous pouvez supprimer votre compte depuis l'application, dans les réglages, après une confirmation. La suppression est immédiate et définitive : il n'y a ni période de grâce, ni compte désactivé conservé en arrière-plan. Tout ce que cette politique décrit est effacé, y compris vos conversations, vos tâches, vos préférences, vos plans de journée, le journal de vos actions, les enregistrements de votre appareil pour les notifications et vos jetons de session.

Avant l'effacement, Milly révoque son accès à votre compte Google auprès de Google. Si cette révocation échoue, la suppression de vos données a lieu quand même et Google fait expirer l'autorisation de son côté.

Les rendez-vous que Milly a écrits dans votre agenda Google vous appartiennent et restent dans votre agenda : ils ne sont pas supprimés avec votre compte Milly.

Vous pouvez aussi écrire à aristide.mbassi28@gmail.com pour demander la suppression.

Pour révoquer l'accès de Milly à votre compte Google sans supprimer votre compte Milly, utilisez les paramètres de votre compte Google (https://myaccount.google.com/permissions).

18. Cookies

Milly est une application iOS et une API : elle n'utilise pas de cookies. Les sessions reposent sur des jetons transmis par l'application, décrits ci-dessus.

19. Évolution de cette politique et contact

Cette politique peut évoluer ; toute nouvelle version portera son numéro et sa date, et vous serez informé des changements substantiels. Pour toute question : aristide.mbassi28@gmail.com.