Politique de confidentialité

Qui nous sommes

Miross est un helpdesk pour les vendeurs sur marketplaces, disponible sur miross.io et app.miross.io et exploité par MIROSS LABS, S.L. (NIF B05706981), Calle Isabel Colbrand 6, Piso 2, 28050 Madrid, Espagne. Pour toute question relative à la confidentialité, écrivez à privacy@miross.io.

Il existe deux types de données personnelles dans Miross, et notre rôle diffère pour chacun. Pour votre compte et notre site web, c’est Miross qui décide de l’usage des données (nous sommes responsable du traitement). Pour les conversations que vous gérez dans Miross, c’est vous qui décidez et nous ne les traitons que sur vos instructions (vous êtes responsable du traitement, nous sommes sous-traitant). L’Accord de traitement des données couvre ce second cas.

Données que nous collectons à votre sujet

• Compte : votre nom, votre adresse e-mail et un mot de passe, que nous stockons uniquement sous forme de hachage Argon2id. Si vous activez la validation en deux étapes, également sa clé secrète, stockée chiffrée, et vos codes de récupération, stockés uniquement sous forme de hachages.
• Espace de travail : son nom, ses membres, leurs rôles, les paramètres, les règles et les modèles.
• Journaux de sécurité : connexions, sessions avec adresse IP et navigateur, et un journal d’audit des envois, des actions et des modifications de paramètres.
• Facturation : votre forfait et l’état de votre abonnement. Les données de paiement sont conservées par Stripe, pas par nous.
• Liste d’attente : l’adresse e-mail que vous nous communiquez et, si vous l’ajoutez, ce que vous vendez et où. Nous l’utilisons une seule fois, pour vous inviter.
• Utilisation des fonctionnalités d’IA : nombre de tokens par espace de travail, pour la mesure de la consommation. Pas le contenu.

Données que vous apportez dans Miross

Lorsque vous connectez une marketplace, une boîte mail ou un compte de messagerie, Miross en importe les conversations : messages, pièces jointes, noms et coordonnées de vos clients. Pour le panneau commande, il conserve aussi la commande dont parle une conversation : numéro de commande, articles, prix, statut, ville et pays de livraison, et suivi. Les identifiants de ces comptes sont chiffrés en AES-256-GCM avant d’être stockés et ne sont plus jamais affichés.

Le widget de chat en direct que vous pouvez ajouter à votre boutique est lui aussi un canal : vous êtes responsable du traitement de ce que les visiteurs envoient, et Miross est votre sous-traitant. Pour chaque visiteur, Miross conserve le nom et l’e-mail qu’il indique, un jeton de son navigateur et son adresse IP, tous deux uniquement sous forme hachée (l’adresse IP ne sert qu’à limiter le nombre de requêtes), les messages et fichiers qu’il envoie, et l’heure de sa dernière visite. Les e-mails aux visiteurs, comme une réponse qu’ils ont manquée ou une transcription qu’ils ont demandée, passent par Resend et sont envoyés au nom de « <votre boutique> via Miross », avec votre adresse de support comme adresse de réponse.

Ces données vous appartiennent. Nous les utilisons pour vous afficher votre boîte de réception et pour exécuter ce que vous demandez (envoyer une réponse, traduire, appliquer une règle). Nous ne les vendons pas, ne les exploitons pas à des fins publicitaires et ne les utilisons pas pour entraîner des modèles d’IA.

Pourquoi nous les traitons, et sur quelle base légale

• Pour fournir le service auquel vous avez souscrit : exécution de notre contrat avec vous.
• Pour protéger les comptes, prévenir les abus et conserver une piste d’audit : notre intérêt légitime à un service sécurisé.
• Pour vous facturer et tenir notre comptabilité : obligation légale.
• Pour vous écrire à l’ouverture de la liste d’attente : votre consentement, que vous pouvez retirer à tout moment.

Fonctionnalités d’IA

L’IA est activée par défaut pour chaque espace de travail. La traduction, les résumés, les brouillons, les actions suggérées, Formalize, la transcription des messages vocaux et la lecture des images et des documents envoient à un modèle de langage ce dont ils ont besoin : le texte épuré des messages concernés (sans l’historique cité), le message vocal ou l’image eux-mêmes et, pour un PDF ou un document Word, uniquement le texte que nous extrayons sur notre propre serveur. Les requêtes passent par le point d’accès européen d’OpenRouter et sont déchiffrées et traitées uniquement dans l’UE, par des fournisseurs de modèles qui y opèrent ; ces fournisseurs sont tenus de ne conserver aucune donnée (zéro conservation, hors mise en cache en mémoire) et les prompts ne servent jamais à l’entraînement. Chaque espace de travail dispose d’un interrupteur unique qui coupe tout cela ; une fois l’IA désactivée, aucun contenu de message ne quitte nos serveurs pour un traitement par IA et les agents continuent de voir les originaux.

Mike, l’assistant auquel votre équipe s’adresse dans Miross, dispose de son propre interrupteur : un espace de travail qui existait avant son lancement l’a désactivé jusqu’à ce qu’un administrateur l’active, un espace de travail créé depuis l’a dès le premier jour, et un administrateur peut le couper pour l’espace de travail ou pour une personne. Lorsque quelqu’un lui pose une question, un modèle de langage reçoit la question, le texte des fichiers joints à la conversation (une image est envoyée telle quelle) et ce qu’il consulte dans l’espace de travail pour répondre : les dossiers et leurs messages, les commandes, les retours, les produits, les prix et les chiffres de vente. Sauf si un administrateur active « Données clients » dans ses réglages, rien de ce qu’il consulte ne nomme un client : ni nom, ni e-mail, ni téléphone, ni rue, seulement le numéro de commande, le code postal, la ville, le pays et ce qui a été acheté. Les messages du client lui parviennent sans les adresses e-mail ni les numéros de téléphone avec indicatif qui y figurent, et sans le nom ni le téléphone de la fiche de ce client ; un client peut néanmoins dire qui il est avec ses propres mots. Ses requêtes suivent le même chemin que les fonctionnalités ci-dessus : le point d’accès européen d’OpenRouter, des fournisseurs de modèles opérant dans l’UE, zéro conservation et aucun entraînement.

L’IA ne répond jamais d’elle-même : rien de ce qu’écrit une fonctionnalité d’IA n’est envoyé à votre client tant qu’une personne de votre équipe ne l’a pas relu et n’a pas cliqué sur envoyer. Les règles que vous configurez n’envoient que le texte que vous avez rédigé pour elles.

Mike ne répond pas à vos clients. Ce qu’il modifie dans votre espace de travail, il le prépare pour qu’une personne le confirme ou le fait immédiatement, selon ce que ses réglages prévoient pour chaque type d’action, et ce qu’il fait de lui-même figure dans son activité. Un e-mail envoyé depuis sa propre adresse part lorsqu’une personne le confirme ; seul un e-mail destiné à votre équipe ou à une adresse indiquée par un administrateur, ou une réclamation adressée au transporteur à l’adresse définie pour les réclamations, peut partir sans cette confirmation.

Qui d’autre traite les données

Nous faisons appel à un petit nombre de prestataires, chacun lié par un accord de traitement des données :

• Hetzner Online (Allemagne) : serveurs, base de données et sauvegardes, à Nuremberg. C’est ici qu’est stockée la copie de vos données conservée par Miross.
• Resend (États-Unis) : e-mails des canaux relais (Amazon, bol.com et TikTok Shop), e-mails aux visiteurs du chat (réponses manquées, transcriptions) et e-mails de compte (invitations, réinitialisations de mot de passe, alertes), dans le cadre des clauses contractuelles types (CCT) et du Cadre de protection des données UE–États-Unis. Resend conserve aux États-Unis le contenu des messages, les journaux et les données des webhooks jusqu’à 30 jours.
• Unipile (France, hébergé chez Scaleway) : maintient la connexion aux boîtes mail et aux comptes de messagerie que vous reliez. Les messages et médias WhatsApp et LinkedIn, messages vocaux compris, sont stockés chez Unipile jusqu’à la suppression du compte connecté ; pour les boîtes IMAP et Microsoft, seulement des métadonnées ; pour Gmail, rien. La liste des sous-traitants d’Unipile comprend des fournisseurs de proxy optionnels aux États-Unis et à Singapour. Supprimer une connexion ou l’espace de travail supprime aussi le compte chez Unipile.
• OpenRouter, Inc. (New York, États-Unis), avec traitement dans l’UE : achemine les requêtes d’IA (traduction, résumés, brouillons, suggestions, Formalize, transcription des messages vocaux, lecture d’images et de documents, et Mike, l’assistant) via son point d’accès européen, eu.openrouter.ai, où elles sont déchiffrées et traitées uniquement dans l’UE. Il ne reçoit que le texte épuré des messages concernés (pour les messages vocaux et les images, le fichier ; pour un PDF ou un document Word, seulement le texte que nous extrayons sur notre propre serveur), et seulement lorsque l’IA est activée : elle l’est par défaut, et un interrupteur par espace de travail la coupe. Pour Mike, il reçoit la question, le texte des fichiers joints à la conversation et ce qu’il consulte dans l’espace de travail pour répondre, et seulement lorsque Mike est activé. Mécanisme de transfert : clauses contractuelles types (module 2) selon le DPA public d’OpenRouter. Les données de facturation, de compte et d’authentification, les journaux de sécurité et les métadonnées de lutte contre les abus d’OpenRouter peuvent rester hors de l’UE ; elles concernent le compte de Miross chez OpenRouter, pas le contenu des messages.
• Fournisseurs de modèles vers lesquels OpenRouter achemine les requêtes, tous opérant dans l’UE : Mistral AI (France), Amazon Web Services (Irlande), Google Cloud (UE) et Microsoft Azure (UE, pour les résumés de dossiers et Mike). Ils sont tenus de ne conserver aucune donnée (zéro conservation, hors mise en cache en mémoire) et n’entraînent jamais de modèles sur les prompts.
• Stripe (Irlande / États-Unis) : abonnements et factures. Les données de carte bancaire vont à Stripe et ne parviennent jamais à Miross.

Les marketplaces comme Amazon ou Leroy Merlin ne sont pas nos prestataires : ce sont des comptes que vous détenez déjà, et Miross communique avec elles en votre nom. Il en va de même pour les boutiques et les outils que vous connectez, comme Shopify, WooCommerce, Sendcloud ou Holded.

Où les données sont stockées et transferts hors de l’UE

La base de données, les pièces jointes et les sauvegardes se trouvent en Allemagne, et les requêtes d’IA sont déchiffrées et traitées uniquement dans l’UE. Certains des prestataires ci-dessus sont établis aux États-Unis ou y conservent certaines données : Resend, pour les e-mails des canaux relais (Amazon, bol.com et TikTok Shop), les e-mails aux visiteurs du chat et les e-mails de compte ; Stripe, pour la facturation ; OpenRouter, pour les données du compte de Miross (pas le contenu des messages) ; et les fournisseurs de proxy optionnels d’Unipile se trouvent aux États-Unis et à Singapour. Lorsque des données personnelles leur parviennent, le transfert repose sur les clauses contractuelles types (CCT) de la Commission européenne et, pour les prestataires certifiés, sur le Cadre de protection des données UE–États-Unis : Resend sur les deux, OpenRouter sur les clauses contractuelles types (module 2) de son DPA public.

Combien de temps nous les conservons

• Données de l’espace de travail : tant que l’espace existe. Lorsqu’un administrateur supprime un espace de travail, l’accès est coupé immédiatement et tout son contenu est définitivement effacé après un délai de grâce de 7 jours.
• Traces des e-mails relayés : pour chaque e-mail qui vous parvient par un canal relais (Amazon, bol.com ou TikTok Shop), nous conservons une trace de son expéditeur, de son objet et de son état de remise, supprimée 90 jours après l’arrivée de l’e-mail, une fois celui-ci traité. Le message d’un acheteur reste dans sa conversation ; un e-mail de la marketplace elle-même, comme une confirmation d’adresse, ne devient jamais une conversation, et son texte n’est récupéré chez Resend que lorsqu’un administrateur l’ouvre depuis les paramètres du canal.
• Visiteurs du chat en direct : la fiche d’un visiteur (nom, e-mail, jeton du navigateur et adresse IP hachés, dernière visite) est supprimée 90 jours après sa dernière visite ; ses conversations sont conservées comme tout autre dossier.
• Sauvegardes : les sauvegardes nocturnes de la base de données et des fichiers stockés sont supprimées au bout de 30 jours. Notre hébergeur conserve en outre une image quotidienne du serveur complet pendant 7 jours, également en Allemagne ; dans le pire des cas, les données effacées peuvent donc subsister dans les sauvegardes jusqu’à 37 jours.
• Votre compte : jusqu’à ce que vous le supprimiez, ce que vous pouvez faire vous-même dans l’application. La clé secrète de la validation en deux étapes et les codes de récupération sont supprimés dès que vous la désactivez ou supprimez le compte.
• Journaux de sécurité : une session prend fin après 7 jours sans utilisation, au bout de 30 jours au maximum ou lorsque vous vous déconnectez. L’historique des connexions (avec adresse IP et navigateur) et le journal d’audit sont conservés 25 mois, puis supprimés. La suppression de votre compte efface immédiatement son historique de connexions ; les entrées du journal d’audit survivent à la suppression d’un compte ou d’un espace de travail, sans plus y être rattachées, jusqu’au terme de leurs 25 mois.
• Compteurs d’utilisation de l’IA : 25 mois, ou jusqu’à la suppression de l’espace de travail si elle intervient avant.
• Mike : une conversation, avec ses messages, ses cartes, ses fichiers et ses e-mails, est supprimée 12 mois après son dernier message, ou plus tôt si l’espace de travail efface plus tôt les conversations résolues ; une conversation dont la tâche planifiée est encore active est conservée. Ce qu’il a consulté pour répondre est conservé jusqu’à sa réponse suivante dans cette conversation, 24 heures au plus. Le texte d’un e-mail qu’il a envoyé est conservé 180 jours. Les tâches planifiées et ce qu’on lui a demandé de retenir restent jusqu’à ce que quelqu’un les supprime.
• Factures et pièces comptables : aussi longtemps que la législation fiscale l’exige.
• Inscriptions à la liste d’attente : conservées jusqu’à ce que nous les supprimions à la main ; rien ne les supprime automatiquement. Vous pouvez nous demander de retirer la vôtre à tout moment en écrivant à privacy@miross.io.

Cookies

L’application dépose un seul cookie : celui de votre session. Il est strictement nécessaire, HttpOnly et jamais utilisé à des fins de suivi. Ce site web ne dépose aucun cookie : les visites sont comptées avec Umami, un outil d’analyse open source que nous hébergeons sur notre propre serveur en Allemagne. Il enregistre la page visitée, la provenance, le navigateur et le pays, et rien qui vous identifie : ni adresse IP, ni cookie, ni empreinte ; il respecte en outre le signal Do-Not-Track de votre navigateur. C’est pourquoi il n’y a pas de bandeau cookies. Le widget de chat en direct sur la boutique d’un vendeur ne dépose pas non plus de cookie et n’utilise aucun traceur : il conserve seulement un jeton de visiteur dans le stockage local du navigateur.

Vos droits

Vous pouvez nous demander l’accès à vos données, leur rectification ou leur effacement, la limitation de leur traitement ou vous y opposer, ou encore les recevoir dans un format portable. Les administrateurs d’un espace de travail peuvent eux-mêmes exporter ou supprimer l’espace entier depuis les paramètres. Écrivez à privacy@miross.io et nous vous répondrons sous un mois. Si vous estimez que nous avons mal traité vos données, vous pouvez introduire une réclamation auprès d’une autorité de protection des données : en Espagne, l’AEPD (aepd.es), ou votre autorité nationale, comme la CNIL en France.

Si vous êtes client d’un vendeur qui utilise Miross, ou avez échangé avec une boutique via son widget de chat Miross, c’est ce vendeur qui est responsable de vos données. Contactez-le d’abord ; nous l’aiderons à vous répondre.

Sécurité

Chaque enregistrement appartient à un seul espace de travail et chaque requête est vérifiée au regard de l’appartenance à cet espace ; des tests automatisés bloquent notre mise en production si un espace peut voir les données d’un autre. Les connexions sont chiffrées en transit, les identifiants au repos. La page Sécurité donne le détail.

Modifications

Si nous modifions cette politique sur un point important, nous en informerons les titulaires de compte par e-mail avant son entrée en vigueur. La date en haut de page indique toujours la version en vigueur.