Règles de confidentialité

Qui est responsable

Le service est édité et exploité par Patrick LY, entrepreneur individuel (voir les mentions légales), joignable à contact@aimailbox.cloud. Les données sont hébergées sur le serveur AIMailBox, chez Hostinger, au Royaume-Uni — un pays que la Commission européenne reconnaît comme offrant une protection adéquate des données. Son déménagement dans l’Union européenne ou en Suisse est prévu. Une seconde machine, située en République tchèque, sert de relais, vérifie que le service répond et tient le témoin du journal des preuves. Elle garde une copie de ce journal : des empreintes, des dates et un pseudonyme par compte, qui montrent quelles pièces sont réunies dans une même affaire, combien, et quand, sans leur contenu, leur intitulé ni votre nom. Elle garde aussi chaque version de votre coffre des preuves, chiffrée sous votre clé, qu’elle ne peut pas lire, et une copie de sauvegarde du code source de l’application. Chaque nuit, une sauvegarde du service part vers un serveur de l’exploitant, en France : elle est chiffrée avant de quitter le serveur AIMailBox, par une clé que ce serveur de sauvegarde n’a pas : il ne peut pas la lire, et toute altération s’y verrait.

Certains calculs isolés se font sur un autre serveur de l’exploitant, en France : l’aperçu d’un PDF joint, la comparaison de deux versions d’un document et la capture de l’aperçu d’un lien. Le fichier, ou l’adresse de la page, y arrive en clair, par un tunnel chiffré, pour la seule durée du calcul. Ce serveur travaille en mémoire, sans rien écrire sur son disque, et efface tout à la fin du calcul ; il n’est pas sauvegardé. S’il est indisponible, le calcul se fait sur le serveur AIMailBox.

Les connexions au site arrivent directement sur notre serveur, chiffrées entre votre navigateur et lui (TLS, certificat Let’s Encrypt). Aucun relais intermédiaire ne les déchiffre. Pour le site, Cloudflare n’est plus que l’annuaire (DNS) qui indique l’adresse du serveur : il ne voit pas passer vos échanges.

L’assistance par modèle de langage est exécutée en Europe, par l’accès européen d’Eden AI ou, en secours, par OpenRouter, limité à ses points d’accès européens. Seule exception, pendant la phase pilote : le classifieur rapide Jev, servi par OpenRouter, peut l’être hors d’Europe (voir plus bas). Même traitées en Europe, une partie de ces données relève de sociétés soumises au droit américain, qui peut les obliger à répondre à une demande d’une autorité américaine (voir plus bas). Seule autre sortie, technique : si le résolveur de notre hébergeur ne répond pas, les noms de domaine sont résolus par ceux de Cloudflare ou de Google, qui ne reçoivent que ces noms.

Ce que nous traitons

• Votre compte AIMailBox : adresse email, nom d’affichage, empreinte du mot de passe (Argon2id — le mot de passe lui-même n’est jamais conservé), sessions ouvertes, et un journal des évènements d’accès sans contenu de courrier.
• Vos dernières connexions : date, adresse IP, pays et ville approximatifs, calculés sur notre serveur à partir d’une base locale (DB-IP), et type de navigateur, pour que vous puissiez repérer un accès qui ne serait pas le vôtre. Aucun service de géolocalisation tiers n’est interrogé : votre adresse n’est envoyée à aucun service pour la situer. Lorsque votre courrier est au coffre, ces informations sont chiffrées avec lui.
• Contacts : si vous l’activez, AIMailBox garde le nom et l’adresse des personnes à qui vous écrivez et de celles dont les messages sont rangés dans « Personnel » ou « Documents ». Chiffrés avec votre clé, ils servent seulement à compléter les destinataires quand vous écrivez : ils ne sortent d’AIMailBox que vers votre navigateur, à ce moment-là, ne servent pas à l’analyse des messages et sont effacés avec votre compte. Pour un expéditeur dont vous n’avez reçu qu’un message, nous ne gardons qu’une empreinte de son adresse et de ce message : elle ne se lit pas, mais permet de reconnaître une adresse déjà connue. Il ne devient un contact qu’à son deuxième message.
• Vos boîtes connectées : adresse, serveurs, et les identifiants nécessaires à la connexion — mot de passe d’application ou jetons OAuth — chiffrés sous votre clé quand votre compte est au coffre : seule votre session les rouvre. Exception : une boîte à relève automatique, dont les accès restent chiffrés par une clé du serveur pour que la relève tourne sans vous.
• Vos messages : en-têtes, corps et pièces jointes des messages récupérés, conservés sur le serveur pour être affichés, triés et recherchés. Ils sont stockés chiffrés sous une paire de clés propre à votre compte : la clé privée n’est déverrouillée que par votre mot de passe (ou votre code de secours) et n’existe en clair qu’en mémoire, pendant votre session. Restent lisibles les dates, la catégorie, le niveau d’alerte et le domaine de l’expéditeur, dont le tri et la détection ont besoin. Pour une adresse @aimailbox.cloud, notre serveur de messagerie garde sa propre copie : l’expéditeur, les destinataires, l’objet et la date y restent lisibles, comme les messages reçus avant l’activation du chiffrement et la copie de vos envois.
• Vos messages conservés et leur journal : un message placé dans « À conserver » quitte la messagerie pour un coffre des preuves propre à votre compte, chiffré sous votre clé et signé par elle. Chaque geste sur un message conservé est inscrit à un journal des preuves où vous figurez sous un pseudonyme ; un message n’y apparaît que par une empreinte mêlée à un secret qui vous est propre, et son objet et son expéditeur y sont chiffrés sous votre clé. Un serveur témoin, distinct de celui du service, copie ce journal et les versions de votre coffre, sans pouvoir lire ni l’un ni l’autre, pour qu’aucun message conservé ne puisse disparaître sans que cela se voie. L’heure et la taille de chaque message reçu sur votre adresse @aimailbox.cloud, hors pourriel, sont inscrites au journal des preuves, sous un pseudonyme, et y restent.
• Vos messages envoyés depuis AIMailBox : chaque message parti d’ici, pièces jointes comprises, est gardé sur le serveur pour la rubrique « Envoyés », chiffré sous votre clé quand votre compte est au coffre (il se scelle sans votre session, un envoi programmé compris). Ces copies comptent dans le plafond de messages de votre boîte. Elles disparaissent quand vous les supprimez de « Envoyés », avec la boîte ou avec votre compte, et partent dans votre sauvegarde personnelle quand vous sauvegardez « tout ».
• Vos affaires : l’intitulé, le client ou fournisseur, la référence, les notes et la liste des messages de chaque affaire sont rangés à côté de votre coffre des preuves, chiffrés sous votre clé et signés par elle. Chaque geste (créer, verser ou retirer un message, clore) est inscrit au journal des preuves. Le serveur témoin, qui copie ce journal, y voit quels messages conservés sont réunis dans une même affaire, combien, et quand — jamais l’intitulé, le client ni le contenu, qui ne figurent au journal que chiffrés. C’est ce qui permet de prouver qu’un message était dans un dossier à une date donnée.
• Un dossier d’affaire remis à un tiers : il contient, pour que chaque entrée de son historique se relie à son message, un secret propre à votre compte, valable pour tous vos messages conservés, passés et futurs. Avec lui, son destinataire peut vérifier, pour un document qu’il a lui-même en main, si vous l’avez conservé. À remettre en connaissance de cause : sans hésiter à votre avocat, un expert ou votre assureur ; à la partie adverse, en le sachant.
• Vos envois programmés : un message que vous programmez doit partir sans vous, à une heure où aucune session n’est ouverte. Il attend donc chiffré par une clé du serveur, comme les accès d’une boîte à relève automatique — et non sous votre clé personnelle. Pendant cette attente, qui administre le serveur pourrait techniquement le lire. Il est effacé dès qu’il est parti, ou dès que vous l’annulez. Seule une boîte à relève automatique peut programmer un envoi.
• Les dépôts par lien : quand vous créez un lien de dépôt, la personne qui l’ouvre voit son libellé et votre nom d’affichage. Ce qu’elle dépose — ses fichiers, son message, et le nom et l’adresse qu’elle saisit, sans vérification — arrive dans votre boîte comme un courrier, chiffré sous votre clé dès son arrivée, analysé comme un courrier (antivirus compris) et conservé. Son adresse IP n’est pas gardée. Pour ces données, c’est vous qui décidez de leur usage ; nous les traitons pour votre compte.
• Le courrier reçu à votre adresse de collecte : il est reçu par notre propre serveur de messagerie, qui le chiffre aussitôt sous votre clé. S’il n’est pas rangé au bout de 30 jours, il est effacé ; un mail vous prévient 5 jours avant. Les journaux de ce serveur de messagerie sont gardés 30 jours.
• Les indésirables d’une boîte en @aimailbox.cloud : quand notre serveur de messagerie range un message en indésirable, AIMailBox en garde une copie dans la rubrique « Spam », chiffrée sous votre clé et analysée seulement pour sa sûreté : ni modèle de langage, ni apprentissage de l’expéditeur. Cette copie est effacée au bout de 30 jours, sauf si vous la sortez du spam ou la conservez, et ne compte pas dans le plafond de messages de votre boîte.
• Les indésirables de vos autres boîtes : sur votre demande seulement, AIMailBox lit l’expéditeur, l’objet et la date des derniers messages de votre dossier des indésirables, ainsi que les en-têtes techniques qui disent si votre fournisseur a authentifié l’expéditeur, sans les garder, et peut en remettre un dans votre boîte de réception.
• Des compteurs d’usage : nombre d’appels aux modèles et volumes de jetons, sans aucun contenu de message. Ils servent à dimensionner le service et ses tarifs. Pour mesurer la fiabilité de nos règles d’analyse, nous comptons aussi, par jour, combien de fois chacune s’est déclenchée ; ces nombres sont effacés avec la boîte.
• Vos retours sur l’analyse : quand vous cliquez sur « Signaler un hameçonnage » ou « Fausse alerte », nous gardons votre avis, sa date, le niveau d’alerte du message et le nom des règles qui s’étaient déclenchées. Nous ne gardons ni l’expéditeur, ni l’objet, ni le contenu. Ces retours servent à améliorer nos règles et ne quittent pas ce serveur.
• Données de connexion : à chaque connexion à votre compte et à sa création, nous gardons la date, l’adresse IP, le port et l’identifiant du compte, sans aucun contenu, pendant un an, au titre de l’obligation légale de conservation des données de connexion. Elles sont chiffrées pour notre seule clé de réquisition, hors de ce serveur, et ne servent qu’à répondre à une réquisition judiciaire. Elles restent un an après la suppression de votre compte.

Ce que nous ne faisons pas

• Nous ne vendons ni ne louons vos données, à personne.
• Nous n’affichons aucune publicité et n’alimentons aucun profil publicitaire.
• Nous ne lisons pas votre courrier à des fins autres que les fonctions que vous utilisez.
• Nous n’utilisons pas vos données, ni celles qui en sont dérivées, pour créer, entraîner ou améliorer des modèles d’intelligence artificielle généralistes.

Accès à votre compte Google

Si vous connectez une boîte Gmail, AIMailBox demande la permission https://mail.google.com/. C’est la seule qui permette un accès IMAP ; il n’en existe pas de plus étroite pour cet usage. Elle sert exclusivement à :

• relever vos messages pour les afficher et les classer ;
• envoyer les messages que vous décidez d’envoyer ;
• déplacer vers la corbeille les messages que vous supprimez.

La récupération se fait en lecture seule : le serveur ouvre vos dossiers sans les modifier et n’y marque rien comme lu. La seule écriture possible est celle que vous déclenchez vous-même.

L’usage que fait AIMailBox des informations reçues des API Google respecte la Google API Services User Data Policy, y compris ses exigences d’usage limité (Limited Use). En particulier, les données obtenues par ces permissions ne sont ni transférées à des tiers à d’autres fins que la fourniture des fonctions que vous utilisez, ni employées pour entraîner des modèles d’intelligence artificielle généralistes.

Ce qui sort du serveur

Treize traitements font sortir des informations du serveur. Douze ne s’exécutent que pour rendre une fonction que vous avez demandée ou réglée ; le treizième, la vérification de l’âge des domaines, s’exécute automatiquement à la réception, et il est décrit en premier pour cette raison.

• Vérification de l’âge des domaines (automatique) — un domaine enregistré depuis quelques jours est l’un des signes les plus sûrs d’hameçonnage. Pour le détecter, à la réception d’un message, AIMailBox demande la date d’enregistrement du domaine de l’expéditeur et de domaines de liens présents dans le message, cinq au plus par message. La question est posée au registre de chaque extension, par le protocole public RDAP : par exemple l’AFNIC pour .fr, Verisign pour .com ; à défaut de registre connu, au relais public rdap.org. La liste des registres est téléchargée chaque semaine auprès de l’IANA, sans aucun domaine. Ce qui part est le seul nom de domaine, réduit à sa forme enregistrable (exemple.fr, jamais compte.exemple.fr/connexion?id=…) : ni adresse complète, ni lien, ni contenu, ni votre adresse électronique. Les domaines de vos correspondants habituels ne sont jamais interrogés, et chaque réponse est conservée : un domaine n’est demandé qu’une fois pour tout le service. Cette limite a une portée réelle : un registre voit que notre serveur s’est intéressé à tel domaine, ce qui révèle une partie des expéditeurs et des liens reçus par les utilisateurs du service, sans pouvoir dire lequel. Ces requêtes ne portent aucun identifiant d’utilisateur.

Les douze autres :

• Assistance par modèle de langage — classement d’un message, analyse, synthèse d’un fil, résumé, traduction, rédaction d’un brouillon, correction, résumé d’une affaire, et réponse aux questions posées au tchat d’aide, sur les pages publiques comme dans l’application (la question et le texte d’aide de la page ou de l’écran, jamais vos messages ; rien n’est conservé). Si vous cliquez sur « Transmettre ma question au support », votre question, la page où vous l’avez posée et votre adresse mail sont envoyées au support d’AIMailBox pour vous répondre ; la demande est effacée un an après sa clôture. Les avis « Cette réponse vous a aidé ? » sont comptés sans la question. Le contenu concerné, après suppression des données les plus identifiantes lorsque c’est possible, est transmis à des modèles de langage exécutés en Europe (sauf Jev pendant la phase pilote, voir plus bas). La requête passe par l’accès européen d’Eden AI (France), qui refuse tout traitement hors d’Europe ; si Eden AI ne répond pas, par OpenRouter (États-Unis), limité aux seuls points d’accès européens. En dehors de Jev (voir plus bas), aucun autre modèle ni hébergeur n’est appelé : le service vérifie, pour chaque réponse, quel modèle l’a produite et où, et la refuse sinon. La liste des modèles et de leurs hébergeurs est communiquée sur simple demande à contact@aimailbox.cloud. Limite : Eden AI, et OpenRouter en secours, reçoivent le texte en clair. Pour un brouillon et pour le résumé d’une affaire, seuls les noms de personnes reconnus sont masqués avant l’envoi, puis rétablis dans la réponse : le reste du contenu des messages, une adresse ou un lieu écrits en clair compris, part tel quel, et le premier résumé d’une affaire vous en demande l’accord ; la correction porte sur votre propre texte, qui part tel que vous l’avez écrit. Ce qu’Eden AI fait de ce contenu relève de ses conditions, et non d’une exigence portée par chaque requête : il déclare ne conserver ni le contenu des requêtes ni celui des réponses (son journal facultatif ne garde que des métadonnées, et nous ne l’activons pas), et ne jamais s’en servir pour entraîner un modèle. Il en va de même pour les hébergeurs des modèles : leur non-conservation relève de leurs conditions. OpenRouter et certains hébergeurs des modèles sont des sociétés américaines : même lorsque le traitement a lieu en Europe, le droit américain peut les obliger à répondre à une demande d’une autorité américaine. Pour OpenRouter, chaque requête exige que le contenu ne soit ni conservé ni utilisé pour entraîner un modèle : OpenRouter ne la confie qu’à un point d’accès qui s’y engage, et, s’il n’en trouve aucun, la requête échoue au lieu de partir ailleurs. Jev ne permet pas encore de l’exiger requête par requête : pendant la phase pilote, ce qu’il reçoit relève des conditions d’OpenRouter. Nous l’exigerons partout avant l’ouverture du service. Une partie du classement, et la reconnaissance de la nature d’un document (facture, devis, contrat…) quand vous ouvrez un document ou un message avec pièce jointe, passent par Jev, un modèle de décision servi par OpenRouter : il ne rédige rien, il choisit parmi des réponses fixées d’avance. Jev n’est pas encore limité aux points d’accès européens : pendant la phase pilote, il peut être servi hors d’Europe. Il reçoit l’objet, le domaine de l’expéditeur, le début du message et de ses pièces jointes, caviardés, noms de personnes masqués, comme pour le classement — jamais un message en alerte. Ce masquage est automatique : un nom peu courant ou un numéro sans étiquette peut passer. Si vous l’activez dans « Mon compte » (option désactivée par défaut), Jev dit aussi si un message que vous avez envoyé attend une réponse, et seulement quand le tri local, fait sur notre serveur, ne le tranche pas : il reçoit alors l’objet et le texte que vous avez écrit, sans la citation ni la signature, caviardés, noms de personnes masqués.
• Vérification de liens — lorsque vous la demandez sur un message précis, les liens qu’il contient sont comparés aux signalements de Google Safe Browsing ; de même pour la destination d’un lien que vous ouvrez par le relais. Aucune adresse n’est transmise : seuls partent des fragments de quatre octets d’empreintes, que d’innombrables adresses du web partagent. Le service renvoie toutes les empreintes qu’il connaît pour ces fragments, et la comparaison se fait sur notre serveur. Il apprend qu’un fragment a été consulté, jamais quelle adresse vous teniez — et notre propre cache ne retient que ces fragments, pas vos liens. Le corps du message n’est pas transmis.
• Relais d’images et de liens — lorsque vous choisissez d’afficher les images d’un message, AIMailBox demande leur adresse au relais, qui les récupère auprès de leur serveur. Ce serveur voit l’adresse du relais, pas la vôtre ; l’expéditeur apprend toujours que le message a été ouvert et à quelle heure. Lorsqu’un lien est ouvert, le relais suit ses redirections à la place de votre navigateur, puis AIMailBox affiche dans une fenêtre la destination et la liste des paramètres de pistage retirés. Votre navigateur n’ouvre ensuite que la destination, sans référent. Les redirecteurs voient l’adresse du relais ; le site final voit votre adresse IP, car vous le visitez. Le relais ne reçoit aucun courrier, mot de passe IMAP, jeton OAuth, base ni clé de chiffrement ; il ne journalise aucune adresse, n’écrit rien sur disque et n’est appelé que par AIMailBox, jamais par votre navigateur. Cette même machine interroge AIMailBox toutes les deux minutes pour vérifier qu’elle répond, et prévient l’exploitant dans le cas contraire : une panne ne doit pas dépendre de qui la remarque. Cette vérification ne lui apprend rien de vous — ni adresse, ni compte, ni message : seulement si le service fonctionne.
• Calculs isolés — l’aperçu d’un PDF joint, la comparaison de deux versions d’un document et la capture de l’aperçu d’un lien se calculent sur un serveur de calcul de l’exploitant, en France, joint par un tunnel chiffré. Il reçoit en clair le fichier, ou l’adresse de la page à capturer, pour la seule durée du calcul ; il ouvre les pages par le relais, comme le serveur AIMailBox. Il travaille en mémoire, sans rien écrire sur son disque, ne note aucune adresse de page dans son journal, efface tout à la fin du calcul et n’est pas sauvegardé. Le résultat revient au serveur AIMailBox, qui le nettoie comme un contenu hostile avant de vous l’afficher. Si ce serveur est indisponible, le calcul se fait sur le serveur AIMailBox.
• Horodatage des messages conservés et de leur journal — lorsque vous placez un message dans « À conserver » (vous-même, ou une règle de conservation automatique que vous avez créée), son empreinte SHA-256, puis celle du relevé de sa signature DKIM, sont envoyées à une autorité d’horodatage (Sectigo, à défaut DigiCert ou FreeTSA ; pour une conservation en lot, DigiCert et FreeTSA en alternance, Sectigo en secours), qui renvoie pour chacune un jeton signé attestant la date. Chaque heure où un message conservé a été touché, l’empreinte de l’état du journal des preuves part aussi vers cette autorité et vers les serveurs publics d’OpenTimestamps, qui l’inscrivent dans la chaîne Bitcoin. Seules des empreintes partent : des suites de 64 caractères dont on ne peut rien retrouver, ni du message, ni de vous.
• Envoi automatique de vos sauvegardes — si vous le réglez, une copie de votre coffre part vers le stockage que vous avez choisi (WebDAV, S3 ou SFTP). Seuls des fichiers chiffrés sous votre clé y partent : ce stockage ne peut pas les lire. Ses identifiants sont chiffrés sur notre serveur et ne servent qu’à cet envoi.
• Météo de « Ma journée » — si vous choisissez une ville, notre serveur cherche son nom auprès de Nominatim (OpenStreetMap), une fois, puis demande les prévisions à MET Norway, l’institut météorologique norvégien. Ce qui part est le nom de la ville que vous tapez, puis ses coordonnées arrondies à environ un kilomètre : jamais votre adresse IP, votre nom ni votre courrier, car c’est notre serveur qui interroge, pas votre navigateur. La ville choisie est enregistrée avec votre compte ; « Ne plus afficher la météo » l’efface.
• Recherche de la clé OpenPGP d’un correspondant — si vous cherchez la clé OpenPGP d’un correspondant, dans Mon compte, en lui écrivant ou depuis un message chiffré qu’il vous a envoyé, notre serveur la demande au domaine de son adresse, qui apprend qu’on cherche sa clé (depuis un message, peu après son arrivée) ; si vous le demandez aussi à keys.openpgp.org, un annuaire de clés indépendant d’AIMailBox, celui-ci reçoit son adresse.
• Votre clé publique dans vos envois — un message envoyé depuis une adresse @aimailbox.cloud qui a une clé porte votre clé publique (en-tête Autocrypt) : vos correspondants voient qu’elle existe et peuvent vous répondre chiffré.
• Votre clé publique trouvable par votre adresse — si vous l’avez choisi en activant votre clé, ou plus tard dans Mon compte, notre serveur la donne à qui la demande pour votre adresse exacte (Web Key Directory, utilisé par Thunderbird et GnuPG) : qui connaît votre adresse peut savoir qu’elle a une clé de chiffrement. Votre nom n’est pas publié ; la clé est retirée dès que vous décochez la case ou la révoquez.
• Analyse d’une pièce d’un message chiffré OpenPGP — si vous faites analyser une pièce d’un tel message, votre navigateur l’envoie déchiffrée à notre serveur, qui la passe à l’antivirus et la décode sans la garder ; nos journaux techniques notent la demande et la taille de la pièce, jamais son nom ni son contenu.
• Emails de service — invitations et réinitialisations de mot de passe, envoyés par notre serveur d’envoi.

AIMailBox consulte aussi le DNS, l’annuaire public d’Internet, pour vérifier que le domaine d’un expéditeur existe encore : un domaine disparu est un signe d’hameçonnage. La question ne porte que sur le nom de domaine ; elle passe par le résolveur de l’hébergeur (Hostinger), et à défaut par ceux de Cloudflare ou de Google. L’authenticité de l’expéditeur (SPF, DKIM, DMARC), elle, est lue dans le message tel que votre fournisseur l’a reçu, sans nouvelle requête — sauf pour un message que vous conservez : AIMailBox y relève alors, par le même résolveur, la clé DKIM publiée par le domaine expéditeur (nom du sélecteur et du domaine seulement), pour que la signature reste vérifiable après que le domaine en a changé. L’empreinte de ce relevé est horodatée comme celle du message.

Tout le reste demeure sur le serveur : l’analyse de sécurité, le blocage des traqueurs, l’indexation et la recherche par le sens, qui utilise un modèle exécuté localement.

Sur votre téléphone (application Android)

• Notifications — pour vous prévenir des nouveaux messages, l’application reçoit un jeton d’appareil qui ne sait que compter : combien de messages sont arrivés, boîte par boîte, et combien sont suspects. Pour votre adresse @aimailbox.cloud, il apprend aussi l’heure de la dernière arrivée. Ni expéditeur, ni objet, ni contenu : ils restent chiffrés hors de votre session. Ce jeton ne prolonge pas votre session et n’ouvre pas votre coffre ; il est révoqué à la déconnexion dans l’application, par « Déconnecter partout », au changement de mot de passe, et expire après 90 jours sans usage.
• Lecture hors ligne, sur votre accord seulement — si vous l’acceptez, le téléphone garde une copie de votre boîte de réception (50 messages : expéditeur, objet, date) et du texte des 50 derniers messages que vous avez ouverts. Cette copie est chiffrée par une clé du téléphone qui ne peut pas en sortir, exclue des sauvegardes Android, et effacée quand vous vous déconnectez de l’application ou que vous la supprimez depuis l’écran hors ligne. Elle ne quitte jamais le téléphone. Tant qu’elle existe, ces informations ne sont plus seulement sur le serveur : c’est pourquoi elle n’est créée qu’avec votre accord.
• Partager vers AIMailBox — un fichier ou un texte partagé depuis une autre application ouvre un nouveau message prérempli. L’application ne lit que ce que vous partagez, et rien ne part sans votre envoi.
• L’application ne demande ni vos contacts, ni votre position, ni l’accès à vos fichiers ou photos ; elle n’ouvre que le service AIMailBox, en HTTPS.

Notifications sur vos appareils

Si vous activez les notifications sur un appareil (dans « Mon compte »), le service de notification de son navigateur (Google pour Chrome et Brave, Microsoft pour Edge, Mozilla pour Firefox, Apple pour Safari) reçoit l’adresse d’abonnement et l’heure de chaque envoi : il sait donc qu’il s’est passé quelque chose dans votre boîte, pas quoi. Le contenu est chiffré et a toujours la même taille : il ne dit que le type d’avis, jamais l’expéditeur, le sujet ni le contenu d’un mail. Vous pouvez arrêter à tout moment dans « Mon compte », appareil par appareil ; la suppression du compte efface tous les abonnements.

Pour une adresse @aimailbox.cloud, l’avis « Nouveau message » suit chaque arrivée, au plus un toutes les dix minutes : le service de notification connaît alors l’heure d’arrivée de votre courrier, jamais son expéditeur ni son objet.

Durée de conservation

• Vos messages restent tant que vous les gardez. Vous pouvez en supprimer à tout moment, y compris définitivement.
• Les identifiants d’une boîte sont effacés dès que vous la déconnectez.
• Supprimer une boîte efface, sur le serveur et sans retour possible, son courrier local, ses brouillons, ses pièces jointes et ses identifiants. Le courrier resté chez votre fournisseur n’est pas touché. Une boîte qui garde des messages sous conservation ne peut pas être supprimée avant leur échéance.
• Vos messages conservés restent pour la durée que vous avez choisie ; à l’échéance, vous pouvez les retirer ou les supprimer. Les copies de votre coffre gardées par le serveur témoin restent illisibles sans votre clé, et sont effacées avec votre compte.
• Le journal des preuves ne peut pas perdre une entrée sans casser la vérification de toutes les autres. Ses entrées sont gardées pendant la durée du message qu’elles concernent, plus dix ans ; celles d’un message conservé sans limite, sans limite. À la suppression de votre compte, votre pseudonyme, votre clé et les données chiffrées disparaissent : ce qui reste du journal ne peut plus être rattaché à vous.
• Vous pouvez supprimer votre compte vous-même, depuis Mon compte, mot de passe ressaisi. La suppression a lieu sept jours après la demande, que vous pouvez annuler d’ici là. Elle efface vos boîtes, vos messages, vos messages conservés et leur coffre, vos affaires, vos brouillons, les copies de vos envois, vos envois programmés, vos sessions, vos connexions et vos clés. Les copies de votre coffre gardées par le serveur témoin, illisibles sans votre clé, sont effacées par l’exploitant dans la foulée. Restent les compteurs d’usage, sans aucun contenu, à des fins comptables — votre identifiant et les adresses de vos boîtes en sont effacés, seuls les nombres restent —, et le journal des preuves, qui ne peut plus être rattaché à vous, ainsi que les données de connexion décrites plus haut, pendant un an. Les sauvegardes du service contenant ces données disparaissent au fil de leur rotation — douze mois au plus — et ne sont jamais restaurées pour un compte supprimé.
• Les sessions expirent d’elles-mêmes et sont révocables depuis votre profil.
• Les vingt dernières connexions affichées dans votre profil sont gardées avec votre compte ; les plus anciennes en sont effacées à chaque nouvelle connexion. Les données de connexion légales, à part, suivent la règle d’un an.
• Si vous supprimez un message que vous aviez signalé, votre retour reste, détaché du message. Il ne garde que le jour, votre avis et le nom des règles, et rien ne permet de retrouver le message. Il est effacé avec la boîte. Pour qu’il disparaisse tout de suite, annulez le retour avant de supprimer le message.

Vos droits

Vous pouvez accéder à vos données, les rectifier, les effacer, en obtenir une copie ou vous opposer à un traitement, en écrivant à contact@aimailbox.cloud. Vous pouvez retirer l’accès d’AIMailBox à votre compte Google à tout moment depuis les autorisations de votre compte Google ; la boîte cesse alors d’être relevée.

Sécurité, et ses limites

Les échanges avec le service sont chiffrés (HTTPS). Les identifiants de vos boîtes sont chiffrés sous votre clé, sauf ceux des boîtes à relève automatique, chiffrés par une clé du serveur. Le contenu des messages est analysé dans un environnement isolé, sans accès au réseau ni au reste du système ; si cet isolement est indisponible, l’analyse est abandonnée plutôt que menée sans protection.

Le contenu des messages est stocké chiffré sous la clé de votre compte : une copie du disque ou d’une sauvegarde ne permet pas de le lire. Pour une adresse @aimailbox.cloud, notre serveur de messagerie garde sa propre copie : l’expéditeur, les destinataires, l’objet et la date y restent lisibles, comme les messages reçus avant l’activation du chiffrement et la copie de vos envois. Il ne s’agit pas pour autant d’un chiffrement de bout en bout : le serveur lit chaque message pour l’analyser et le classer à son arrivée pour une boîte connectée ; pour une adresse @aimailbox.cloud, notre serveur de messagerie le reçoit en clair et le trie en indésirable avant de le chiffrer, et AIMailBox ne l’analyse que pendant votre session. Il le lit aussi pendant votre session, pour l’afficher. Un exploitant qui modifierait le service pourrait donc y accéder à ces moments-là. Font exception les messages entre adresses @aimailbox.cloud pour lesquels vous avez activé le chiffrement de bout en bout : chiffrés dans votre navigateur, le serveur n’en voit que l’expéditeur, les destinataires, la date et la taille. Un exploitant qui modifierait les pages servies pourrait toutefois atteindre ceux que vous écrivez ou ouvrez ensuite. Si vous gardez la clé ouverte sur un appareil, le service note, jusqu’à l’échéance choisie, le navigateur et le système de cet appareil (par exemple « Firefox sous Linux »), pour que vous le reconnaissiez dans « Mon compte ». Aucune analyse ne garantit l’absence de menace dans un message.

Pour vos messages conservés, la protection va plus loin : qui prendrait le contrôle du serveur ne pourrait ni en lire un, ni en viser un pour le modifier ou le supprimer, ni réécrire le journal de leurs gestes sans que le serveur témoin le détecte. Il pourrait en revanche tout détruire d’un bloc : c’est pourquoi le témoin en garde des copies, et pourquoi une preuve téléchargée reste la copie la plus sûre.

Modifications

Toute modification substantielle de ces règles sera annoncée aux utilisateurs disposant d’un compte, avant son entrée en vigueur.