Confidentialité

Dernière mise à jour : 6 octobre 2026.

Colossales est une extension Chrome. Elle transforme Gmail en CRM Kanban. Pour Gmail, Drive, Tasks, Contacts et l’export Sheets, Colossales n’utilise que le compte Google connecté. Ces contenus restent dans ce compte (ou le Drive partagé du domaine en plan Équipe). L’extension les lit et les écrit via les API Google ; nos serveurs ne reçoivent pas le corps des mails ni le fichier CRM. Les seuls envois hors de ce périmètre sont décrits ci-dessous, chacun pour une fonctionnalité précise — jamais pour indexer votre boîte comme un CRM hébergé.

Données utilisateur Google — usage limité (Limited Use)

Colossales respecte la politique d’utilisation des données utilisateur du Chrome Web Store, y compris les exigences d’usage limité (Limited Use), ainsi que la politique relative aux données utilisateur des API Google.

Les données utilisateur Google (Gmail, Drive, Tasks, Contacts, People, Directory Workspace, identifiant de compte / e-mail OAuth, extraits de fils) sont utilisées uniquement pour fournir les fonctionnalités visibles de Colossales et les améliorer : board Kanban dans Gmail, commentaires internes, rappels Google Tasks, fichier CRM dans votre Drive, export Sheets/CSV à la demande, licence Free / Pro / Équipe, assistant deal au clic, lien de partage d’un fil, décompte des sièges Équipe.

• Nous ne vendons pas les données utilisateur Google.
• Nous ne les utilisons pas, et ne les transférons pas, pour des publicités personnalisées, reciblées ou fondées sur les centres d’intérêt, ni pour du crédit / scoring, ni auprès de courtiers en données.
• Nous ne transférons ces données à des tiers que si c’est nécessaire pour fournir ou améliorer ces fonctionnalités (par exemple Google pour Gmail, Drive, Tasks, Contacts et, au clic, Gemini ; Stripe pour l’abonnement, sans le contenu Gmail), pour respecter la loi, pour la sécurité (fraude, abus), ou dans le cadre d’une fusion / cession d’actifs avec consentement préalable explicite.
• Aucun humain chez Colossales ne lit les données utilisateur Google, sauf : (a) avec votre consentement explicite pour un cas précis (support) ; (b) données agrégées et anonymisées pour l’exploitation interne ; (c) nécessité de sécurité ; (d) obligation légale.

La mesure d’audience PostHog du site marketing et le ping d’installation (version de l’extension, sans e-mail) ne reçoivent pas de données utilisateur Google (ni contenu Gmail, ni Drive, ni Contacts).

Données traitées

Identité Google et licence

À la connexion, Google OAuth nous donne l’adresse e-mail du compte (userinfo.email) et un jeton d’accès. Nous ne stockons pas votre mot de passe Google. L’abonnement Stripe vit sur colossales.com, pas dans Gmail : l’e-mail est la clé de licence. L’extension demande à colossales.com si ce compte est Free, Pro ou Équipe, pour débloquer Pipeline, l’assistant deal ou les sièges. Aucun corps de mail n’est envoyé dans cet appel.

Gmail

L’extension lit les fils (inbox, envoyés, archives) pour afficher des cartes Kanban : identifiant de thread, objet, expéditeur, extrait, boîte. Elle peut modifier un fil (statut, archive liée au Kanban) via le scope Gmail. Le texte complet d’un mail reste chez Google. Colossales ne recopie pas votre boîte sur ses serveurs pour « avoir une copie CRM ».

Free indexe les 30 derniers fils ; Pro, davantage. Un fil peut n’être sur aucun board, sur TODO, sur Pipeline, ou sur les deux.

Google Drive — le CRM (JSON)

La source de vérité n’est pas une base Colossales. Au premier Sync, l’extension crée (si besoin) un dossier Drive visible « Colossales CRM » contenant le fichier crm-data.json : threads, deals, commentaires, rappels, entreprises, activité et config. Y sont écrits le statut Kanban, les commentaires d’équipe (texte + e-mail de l’auteur + date), les liens vers les rappels, les entreprises (Pro), les champs deal (montant, date de clôture, probabilité), les identifiants de fils liés à un même deal.

Vous possédez ce dossier. Solo / Free / Pro perso : dossier dans Mon Drive. Plan Équipe Pro : dossier partagé au domaine Workspace (Colossales CRM — Équipe …), même fichier pour tous les sièges. Pour que chaque siège ouvre le même fichier, le responsable enregistre une fois l’identifiant du dossier (et, le cas échéant, d’un classeur d’export) auprès de colossales.com — des IDs Drive, pas le JSON CRM. Désinstaller l’extension n’efface pas le dossier. Vous pouvez le copier ou le télécharger depuis Drive.

Google Sheets reste disponible en export à la demande (classeur « Colossales CRM Export ») et en CSV depuis le board — ce n’est plus le moteur de sync live.

Rappels (Google Tasks)

Un rappel créé dans le panneau devient une tâche Google Tasks (titre, échéance, note) liée au fil. L’index CRM pointe vers cette tâche. Free et Pro. Même compte Google que Gmail.

Contacts (Pro)

Le panneau peut afficher nom, organisation, téléphone et photo de l’expéditeur via Google People / Contacts. Si vous saisissez le nom d’entreprise d’un contact dans Colossales, l’extension peut l’écrire sur la fiche Google Contacts correspondante (ou en créer une) — uniquement pour tenir la fiche à jour. Rien de cet enrichissement n’est recopié sur les serveurs Colossales, hors le nom d’entreprise déjà stocké dans votre fichier CRM Drive.

Annuaire Workspace (plan Équipe)

Le plan Équipe se facture au siège, calé sur l’annuaire Workspace (domaine ou groupe Google), sans saisie manuelle du nombre. Le checkout et le true-up quotidien lisent donc l’annuaire : qui a le Pro d’équipe, quelle quantité Stripe facturer. L’extension du responsable n’est pas allumée en continu, d’où un jeton de rafraîchissement Google de l’admin, conservé côté site le temps de l’abonnement. Nous gardons les e-mails des sièges pour l’accès et la facturation — pas pour en faire un CRM, ni pour les revendre.

Réglages dans Chrome

L’extension stocke en local (chrome.storage) : identifiants du dossier / fichier CRM Drive, cache de plan, portée d’installation (solo / entreprise), préférences d’interface. La clé API Gemini, si vous la reliez, reste uniquement là — jamais envoyée à colossales.com.

Abonnement Stripe (Pro / Équipe)

Le paiement passe par Stripe (sous-traitant), hors Chrome Web Store. Stripe traite e-mail, moyen de paiement et factures selon sa propre politique. Côté Colossales, nous gardons ce qu’il faut pour honorer l’accès : e-mail, identifiant client Stripe, plan, statut (actif / résilié), période, tarif fondateur le cas échéant, quantité de sièges Équipe. Le portail client Stripe sert à modifier la carte ou résilier.

Compteur d’installations

À la première installation, l’extension envoie un ping à colossales.com : motif « install » et numéro de version. Pas d’e-mail, pas d’identifiant de compte, pas de données utilisateur Google. Nous agrégeons un total, par jour et par version, pour suivre la diffusion des versions de l’extension (besoin opérationnel) — pas pour vous profiler.

Assistant deal (Pro, au clic)

Rien n’est envoyé tant que vous ne cliquez pas « Analyser ce fil ». L’assistant a besoin d’un modèle pour un résumé, une prochaine action et des champs deal : l’appel part du service worker vers l’API Gemini de Google (generativelanguage.googleapis.com), avec la clé Google AI Studio collée en local. Partent un extrait du fil et les champs CRM déjà visibles dans le panneau. Google traite cette requête selon ses conditions Gemini / AI Studio. Colossales ne relaie pas le mail via ses serveurs et n’écrit rien dans le store CRM tant que vous n’appliquez pas une suggestion champ par champ. L’abonnement « Gemini dans Gmail » ne remplace pas cette clé : Google ne l’ouvre pas aux extensions.

Lien de partage d’un fil

Sur Pro / Équipe, un collègue sans l’extension (ou hors du Drive d’équipe) peut ouvrir un lien de lecture : Gmail et Drive ne servent pas de page publique. Le site stocke donc un instantané volontaire (objet, nom d’expéditeur, statut, extrait, commentaires et activité — pas le corps Gmail). Les adresses e-mail dans le texte sont masquées. Valable 7 à 30 jours (14 par défaut), révocable. L’e-mail du propriétaire reste attaché au lien pour l’autoriser et le révoquer. Cette page n’est pas mesurée (pas de PostHog).

Formulaire de contact

Si vous nous écrivez via le site : nom, e-mail, sujet et message. Collecte par Netlify Forms, pour vous répondre. Pas de newsletter automatique à partir de ce formulaire.

Cookies et mesure d’audience

Le site marketing n’utilise aucun cookie de suivi publicitaire, ni bandeau de consentement : la mesure d’audience ci-dessous vise l’exemption CNIL (finalité limitée au site, pas de publicité, pas de recoupement nominatif).

Nous mesurons l’usage du site avec PostHog Cloud EU (serveurs à Francfort). PostHog agit comme sous-traitant (DPA). Responsable de traitement : Colossales (Sébastien MAIMON), contact via Contact.

Données envoyées : pages vues et quittées, clics sur liens et boutons, URL, referrer, type de navigateur. Un identifiant anonyme vit seulement le temps de l’onglet (sessionStorage) pour relier le parcours d’une visite — pas d’un jour sur l’autre. L’adresse IP n’est pas conservée. Pas d’enregistrement vidéo, pas de profil nominatif, pas d’identify. Les champs des formulaires (nom, e-mail, message) ne sont pas mesurés. La page de consultation d’un fil partagé n’est pas mesurée.

Conservation : 13 mois maximum. Base légale : intérêt légitime (art. 6.1.f RGPD) à comprendre comment le site est utilisé, sans publicité ni revente.

Vous pouvez vous opposer à cette mesure sur cet appareil. L’opposition est mémorisée localement (pas de cookie publicitaire).

La mesure d’audience est désactivée sur cet appareil.

Ne plus mesurer mes visites

Protection des données sensibles

Les contenus Gmail, les identifiants de compte, les jetons OAuth, la clé API Gemini et les extraits de fils partagés sont traités comme des données sensibles. Mécanismes de protection :

• En transit : toute transmission de données utilisateur (extension ↔ API Google, extension ↔ colossales.com, site ↔ Stripe / PostHog) passe exclusivement par une connexion sécurisée HTTPS / TLS. Aucun envoi en HTTP clair.
• Au repos : le contenu CRM dans votre Google Drive, Gmail, Tasks et Contacts est chiffré au repos par Google (AES). Les enregistrements que nous hébergeons (e-mail de licence, instantané d’un lien de partage, jeton de rafraîchissement admin Équipe, formulaires Netlify) sont stockés chez Netlify avec chiffrement au repos AES. Stripe chiffre les moyens de paiement selon sa propre politique. Nous n’utilisons pas de suites cryptographiques interdites par l’IETF.
• Authentification : connexion Google via chrome.identity (OAuth). Nous ne stockons pas votre mot de passe Google. Les jetons d’accès Gmail / Drive / Tasks / Contacts restent gérés par Chrome ; seul le jeton de rafraîchissement de l’admin Équipe (décompte des sièges) est conservé côté site, le temps de l’abonnement.
• Clé Gemini : si vous en collez une, elle reste dans chrome.storage.local sur l’appareil, jamais envoyée à colossales.com.
• Accès : pas de lecture humaine des boîtes, hors les exceptions Limited Use ci-dessus. Un lien de partage d’un fil masque les adresses e-mail sur la page publique et expire (7 à 30 jours).
• Minimisation : nous ne recopions pas votre boîte sur nos serveurs. L’assistant deal n’envoie un extrait à Gemini qu’après un clic explicite.

Base légale

Extension et compte : exécution du contrat. Paiements : Stripe (sous-traitant). Mesure d’audience du site : intérêt légitime, comme ci-dessus.

Vos droits

Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation et d’opposition. Pour les exercer, utilisez Contact. Vous pouvez aussi introduire une réclamation auprès de la CNIL.

Contact

Pour toute question, utilisez les pages Support ou Contact. Conditions d’utilisation : CGU.