Politique de confidentialité de Spine
Dernière mise à jour : 1er septembre 2026
Spine est un assistant de travail destiné aux entreprises. Il est disponible sur le web, sur ordinateur et en application mobile (iPhone et Android). Cette politique explique quelles données Spine traite, pourquoi, avec qui, et comment exercer vos droits.
1. Qui est responsable de vos données
Spine est édité par Reverall, SARL au capital de 40 000 €, dont le siège est au 62 rue du Renard, 76000 Rouen, France, immatriculée au RCS de Rouen sous le numéro 915 359 566, représentée par Olivier Martineau, gérant.
Spine est un outil professionnel. Votre compte est créé par l'entreprise qui vous donne accès à Spine (votre employeur ou l'organisation pour laquelle vous travaillez). Chaque entreprise dispose de sa propre instance, séparée de celle des autres.
En règle générale :
- l'entreprise cliente est responsable du traitement : elle décide d'utiliser Spine, choisit les fonctions et les services activés, et gère les comptes ;
- Reverall est son sous-traitant : nous traitons les données pour son compte et selon ses instructions, dans le cadre d'un contrat.
La répartition exacte des rôles est fixée dans le contrat conclu avec chaque entreprise. Pour les traitements que Reverall mène pour son propre compte (par exemple la mesure globale de l'usage du service, voir section 4), Reverall est responsable du traitement.
Chez Reverall, le responsable des traitements est Olivier Martineau, gérant.
2. Les données que nous traitons
Votre compte
- votre nom et votre adresse e-mail ;
- votre rôle dans l'entreprise et vos préférences dans l'app ;
- si votre entreprise l'a activée, les informations transmises par la connexion Microsoft (identifiants techniques du compte, nom, e-mail).
Ce que vous confiez à Spine
- les messages que vous écrivez à l'assistante et ses réponses ;
- vos dictées, transformées en texte (voir section 9) ;
- les documents, fichiers et photos que vous ajoutez ;
- les contenus des services que vous ou votre entreprise connectez à Spine (par exemple messagerie, agenda ou fichiers), dans la limite des autorisations accordées.
Les données techniques
- les journaux techniques nécessaires au fonctionnement et à la sécurité du service (dates de connexion, adresse IP, appareil utilisé, erreurs) ;
- des mesures d'usage et de consommation (outils utilisés, nombre de documents, volume traité par l'assistante). Elles ne contiennent ni votre nom, ni votre e-mail, ni le contenu de vos échanges ou documents.
Les notifications (application iPhone)
Si vous autorisez les notifications, nous traitons un identifiant de votre appareil pour vous les envoyer. Une notification contient le titre d'un document (120 caractères au plus) et le début de son résumé (240 caractères au plus), jamais le document entier. Les notifications ne sont pas encore proposées sur Android.
Sur votre téléphone
L'application garde localement l'adresse du serveur de votre entreprise, vos jetons de session et quelques réglages d'affichage. Ces données sont effacées à la déconnexion ou à la désinstallation.
3. L'assistante et les fournisseurs d'intelligence artificielle
Pour vous répondre, Spine envoie à un fournisseur d'intelligence artificielle :
- votre message ou votre dictée ;
- les documents et photos que vous ajoutez ;
- les extraits de documents utiles à la réponse ;
- les consignes et le contexte nécessaires.
Les fournisseurs traitent ces données uniquement pour vous répondre, pour le compte de votre entreprise.
Votre accord est demandé dans l'app avant tout usage de l'assistante. Sans cet accord, Spine n'est pas utilisable.
Les fournisseurs possibles sont listés ci-dessous. Ceux qui sont réellement utilisés dépendent de l'instance et de la configuration choisie par votre entreprise. Votre administrateur peut vous dire lesquels sont actifs.
| Fournisseur | Rôle | Lieu de traitement |
|---|---|---|
| Scaleway SAS (France) | Assistante par défaut : rédaction des réponses et recherche dans vos documents | Paris, France |
| Mistral AI SAS (France) | Lecture des documents scannés et des images (reconnaissance de texte) | France |
| OpenAI (OpenAI Ireland Ltd.) | Assistante, si votre entreprise la choisit ; génération d'images | Union européenne si le projet européen est utilisé, sinon possible hors UE |
| Google (Google Ireland Ltd.) — Gemini | Assistante, si votre entreprise la choisit | Hors UE possible |
| Anthropic, PBC (États-Unis) | Assistante, si votre entreprise la choisit | États-Unis |
| Exa Labs, Inc. (États-Unis) | Recherche sur le web : reçoit la requête de recherche, qui peut reprendre une partie de votre demande | États-Unis |
Pour Scaleway, fournisseur par défaut : Scaleway annonce ne pas conserver les requêtes par défaut (sauf requêtes anormales, gardées jusqu'à deux semaines), et les éditeurs des modèles qu'il exécute n'ont pas accès à vos échanges.
4. Pourquoi nous utilisons ces données
| Finalité | Base légale |
|---|---|
| Fournir le service : compte, connexion, assistante, documents, notifications | Exécution du contrat entre votre entreprise et Reverall ; pour votre entreprise, en général son intérêt légitime ou l'exécution de votre contrat de travail |
| Envoyer vos données aux fournisseurs d'IA | Votre accord, recueilli dans l'app, en plus de la base retenue par votre entreprise |
| Assurer la sécurité et le bon fonctionnement (journaux, sauvegardes) | Intérêt légitime |
| Facturer l'entreprise et améliorer le produit, à partir de mesures d'usage sans donnée nominative ni contenu | Intérêt légitime de Reverall |
Nous n'utilisons pas vos données pour de la publicité.
5. Qui reçoit vos données
Vos données ne sont accessibles qu'aux personnes autorisées de votre entreprise, selon les droits fixés par son administrateur, et aux équipes de Reverall qui en ont besoin pour le service.
Elles sont aussi traitées par les prestataires suivants, en plus des fournisseurs d'IA de la section 3 :
| Service | Rôle | Données | Lieu |
|---|---|---|---|
| Scaleway SAS | Hébergement, stockage des fichiers, sauvegardes | Toutes les données de l'instance | France (Paris) ; copie de secours aux Pays-Bas (Amsterdam) |
| Hetzner Online GmbH | Hébergement des instances ouvertes avant septembre 2026 | Toutes les données de ces instances | Allemagne (Falkenstein) |
| Scaleway SAS — e-mail | Envoi des liens de connexion et des notifications par e-mail, si activé | Adresse e-mail, contenu du message | Union européenne |
| Digital Shift OÜ (Capgo) puis Apple (APNs) | Notifications sur iPhone | Identifiant de la personne, titre et début du résumé du document, compteur de non-lus | Estonie (éditeur) ; traitement possible au Royaume-Uni, aux États-Unis et ailleurs |
| Ybug s.r.o. | Signalement d'anomalie, sur le web et l'app ordinateur uniquement (absent de l'app mobile) | Capture d'écran, informations techniques, message et adresse laissés, seulement si vous envoyez un signalement | Allemagne ; transit possible par les États-Unis |
| GitHub, Inc. | Préparation de l'instance de l'entreprise | Nom de l'entreprise, nom et e-mail de son administrateur | Possible hors UE |
Services connectés par votre entreprise ou par vous. Si vous connectez Google Workspace, Microsoft 365, Granola ou Linear, des données circulent entre Spine et ces services, au nom de votre compte. Ces services sont choisis par votre entreprise ou par vous, et soumis à leurs propres conditions. Ce que l'assistante y lit est envoyé au fournisseur d'IA pour vous répondre.
Si vous reliez vous-même Spine à un autre assistant (par exemple via le protocole MCP), les données que cet assistant lit sont traitées par son éditeur, que Reverall ne choisit pas.
Nous ne vendons pas vos données. Nous ne les partageons pas avec des annonceurs ni des courtiers en données.
6. Transferts hors de l'Union européenne
Par défaut, Spine traite vos données en France (Scaleway) ou en Allemagne (Hetzner, pour les instances plus anciennes).
Certains services peuvent traiter des données hors de l'Union européenne : Capgo et Apple pour les notifications, OpenAI hors projet européen, Google (Gemini), Exa, Anthropic, Ybug (transit), et les services que vous connectez.
Chaque transfert hors de l'Union européenne est encadré par l'une des garanties prévues par le RGPD (articles 45 et 46), selon le fournisseur et le pays concerné :
- une décision d'adéquation de la Commission européenne, qui reconnaît au pays un niveau de protection équivalent (par exemple le Royaume-Uni, ou les entreprises américaines certifiées au titre du Data Privacy Framework UE–États-Unis) ;
- à défaut, les clauses contractuelles types adoptées par la Commission européenne, intégrées au contrat ou à l'accord de traitement des données conclu avec le fournisseur, complétées si nécessaire par des mesures techniques et organisationnelles.
Vous pouvez obtenir des informations sur la garantie applicable à un fournisseur, ou une copie de celle-ci, en nous écrivant à hello@iamspine.com.
7. Combien de temps nous gardons vos données
| Données | Durée |
|---|---|
| Compte et contenus | Tant que votre compte est actif, puis 6 mois après sa suppression ou la fin du contrat de votre entreprise |
| Fichiers supprimés | Une copie technique reste jusqu'à 30 jours, puis est effacée |
| Sauvegardes | 6 mois |
| Journaux techniques | 6 mois |
| Mesures d'usage (sans donnée nominative) | 6 mois |
| Chez les fournisseurs d'IA | Variable selon le fournisseur. Scaleway ne conserve pas les requêtes par défaut (voir section 3) ; les autres fournisseurs peuvent les garder quelques semaines pour détecter les abus, puis les effacent |
8. Sécurité
- Chaque entreprise a sa propre instance : ses données ne sont pas mélangées à celles des autres.
- Les échanges entre l'app et le serveur sont chiffrés (HTTPS).
- Les sauvegardes sont chiffrées sur les instances récentes.
- Les mesures d'usage transmises à Reverall ne contiennent ni nom, ni e-mail, ni contenu.
- Les données sont chiffrées au repos.
- L'accès des équipes de Reverall aux données est restreint aux personnes qui en ont besoin, et contrôlé.
9. Les autorisations de l'application mobile
L'app ne demande une autorisation qu'au moment où vous utilisez la fonction concernée. Vous pouvez la retirer à tout moment dans les réglages de votre téléphone.
| Autorisation | Pourquoi |
|---|---|
| Appareil photo | Prendre un document en photo pour l'ajouter. Sur Android, l'app passe par l'appareil photo du système sans demander d'autorisation. |
| Micro | Dicter un message. |
| Reconnaissance vocale (iPhone) | Transformer votre dictée en texte. Elle utilise le service de reconnaissance vocale d'Apple ou de Google intégré au téléphone, qui peut traiter l'audio sur ses serveurs selon ses propres règles. |
| Notifications (iPhone) | Vous prévenir quand un document vous attend. |
Spine n'accède pas à votre position, à vos contacts ni à vos photos en dehors de celles que vous choisissez d'ajouter.
10. Pas de publicité, pas de suivi
Spine ne contient pas de publicité. Il n'utilise pas vos données pour vous suivre sur d'autres apps ou sites, et ne les partage pas avec des courtiers en données.
11. Vos droits
Vous avez le droit :
- d'accéder à vos données et d'en obtenir une copie ;
- de les faire corriger ;
- de les faire effacer ;
- de limiter leur traitement ou de vous y opposer ;
- de récupérer les données que vous avez fournies (portabilité) ;
- de retirer votre accord à l'envoi aux fournisseurs d'IA, à tout moment. Sans cet accord, Spine n'est plus utilisable.
- de donner des directives sur le sort de vos données après votre décès.
Comment les exercer. Votre entreprise étant en général responsable du traitement, adressez-vous d'abord à elle (à l'administrateur Spine ou à son délégué à la protection des données). Vous pouvez aussi nous écrire à hello@iamspine.com : nous transmettrons votre demande à votre entreprise ou y répondrons directement quand nous en sommes responsables. Nous répondons dans un délai d'un mois.
Réclamation. Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL : www.cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.
12. Supprimer votre compte
Vous pouvez demander la suppression de votre compte et des données associées :
- directement dans l'app : Mon profil → Supprimer mon compte ;
- auprès de l'administrateur Spine de votre entreprise ;
- ou par e-mail à hello@iamspine.com, depuis l'adresse de votre compte.
Dès la demande, votre compte est désactivé : vous ne pouvez plus vous connecter et vos sessions sont fermées sur tous vos appareils. L'administrateur de votre entreprise peut le réactiver.
Votre nom et votre adresse e-mail sont effacés dans un délai de 6 mois. Les documents que vous avez partagés avec votre entreprise lui appartiennent : ils restent à sa disposition.
Certaines données peuvent être conservées le temps de leur effacement des sauvegardes (voir section 7) ou si la loi l'impose.
13. Mineurs
Spine est un outil professionnel réservé aux personnes de 18 ans et plus. Il n'est pas destiné aux enfants.
14. Modifications
Nous pouvons mettre à jour cette politique, notamment quand un fournisseur change. La date en tête de page indique la dernière version. En cas de changement important, nous vous en informerons dans l'app ou par e-mail.
15. Contact
Reverall — 62 rue du Renard, 76000 Rouen, France
E-mail : hello@iamspine.com
Délégué à la protection des données : Olivier Martineau — hello@iamspine.com