Politique de confidentialité de l'extension Velum

Dernière mise à jour : 2026-10-29

Cette politique porte sur l'extension navigateur. La politique complète du service et du site (liste exhaustive des sous-traitants, détail des transferts, exercice des droits) est publiée sur velum-ai.com/politique-de-confidentialite et prévaut en cas de divergence.

Velum édite une extension navigateur qui aide les professionnels de l'immobilier (agences, syndics, administrateurs de biens) à suivre leurs outils métier et à leur proposer des actions administratives à valider. Cette politique décrit quelles données l'extension traite, comment et pourquoi.

1. Qui sommes-nous

Velum VP LLC, Close LLC de l'État du Wyoming (États-Unis). Contact confidentialité : privacy@velum-ai.com · Support : support@velum-ai.com.

Représentant dans l'Union (article 27 RGPD) : Philippe Vrecko, 118 rue Lauriston, 75116 Paris, France. Il est l'unique représentant opposable, au titre de l'article 27, vis-à-vis des autorités de contrôle et des personnes concernées.

Velum agit en tant que sous-traitant (article 28 RGPD) pour le compte du cabinet client, qui est responsable de traitement. La relation est encadrée par l'Accord de traitement des données (DPA) conclu avec le cabinet.

2. Données traitées par l'extension

L'extension ne traite des données que sur les outils que vous activez explicitement (« Mes outils »), et uniquement pour proposer des actions à valider :

• Contenu affiché de vos outils métier : uniquement sur les sites que vous avez autorisés un par un (permissions optionnelles Chrome), qu'ils figurent dans notre liste d'outils reconnus ou que vous les ayez ajoutés vous-même (« Un autre outil »). Dans ce dernier cas, l'adresse du site vous est affichée avant l'accord, et Chrome vous demande votre permission pour ce seul site. Aucun accès n'est accordé par défaut à l'installation.
• Parcours des menus, en lecture seule : sur un outil que vous avez ajouté, l'extension ouvre au plus quinze liens de menu du même site pour en scanner la structure. Elle n'ouvre jamais un formulaire, un lien d'action (suppression, envoi, paiement, export, déconnexion) ni un fichier à télécharger. Ce parcours est débrayable depuis le popup.
• Structure des écrans inconnus, sans données personnelles : quand l'extension scanne un écran qu'elle ne reconnaît pas, elle en remonte la structure (intitulés de colonnes, de champs et de boutons), pseudonymisée, et non le contenu des fiches. Une capture où subsisterait une donnée personnelle est refusée.
• E-mails (si vous connectez une boîte Gmail/Outlook) : lecture seule des messages et création de brouillons. Velum n'envoie jamais d'e-mail : il dépose un brouillon, c'est vous qui l'envoyez. Il ne marque aucun message comme lu et ne modifie ni ne supprime jamais vos messages (les périmètres d'accès n'incluent aucun droit d'envoi).
• Votre portefeuille : sur les pages listes de votre logiciel, l'extension compare dans votre navigateur le responsable de chaque ligne au nom sous lequel vous apparaissez dans ce logiciel. Quand votre logiciel indique le responsable d'un dossier, les dossiers de vos collègues ne quittent pas votre poste ; sinon, Velum vous pose la question une fois par dossier (lot, bail, mandat, immeuble), jamais par période ou par appel de loyer, ne traite rien sans votre oui, et ce qu'il a reçu est pseudonymisé. Pour les dossiers d'un collègue, seuls partent un compteur et une empreinte calculée avec un sel aléatoire propre au cabinet, qui ne sert qu'à compter ; jamais le nom.
• Profil courant et dernière activité : le profil métier sous lequel vous travaillez (le même dans l'extension et sur la plateforme) et la date de la dernière activité de l'extension, qui figure parmi vos indicateurs d'utilisation ; vous les voyez, comme la direction de votre cabinet. Aucun temps de connexion, aucune frappe, aucune page visitée n'est mesuré. Sous le profil Direction, les pages que vous ouvrez ne sont pas transmises ; les passes automatiques de vos profils métier continuent. Une personne qui n'a que le profil Direction n'a aucun scan.
• Jeton de connexion à votre compte Velum (stocké localement dans le navigateur).

Ce que l'extension NE fait PAS

• Elle fonctionne aujourd'hui en lecture seule, en mode observation (« shadow ») : elle n'écrit rien dans vos outils et n'en modifie pas les données (zéro écriture à ce jour). L'écriture dans vos outils (par exemple la mise à jour d'une fiche ou le retrait d'une annonce) est une capacité visée, non activée : elle ne le sera qu'après validation des adaptateurs concernés, et chaque action ne sera alors exécutée qu'après votre double validation. Velum ne retire ni ne supprime jamais rien de sa propre initiative.
• Elle ne déclenche aucune action sans votre validation (mode passif). La validation des actions proposées se fait sur la plateforme Velum, pas depuis l'extension.
• Elle ne s'active sur aucun site que vous n'avez pas explicitement autorisé.
• Elle refuse les sites hors métier, même si vous tentez de les ajouter : messageries, banques et services de paiement, portails administratifs à données personnelles, moteurs de recherche, réseaux sociaux, adresses locales ou privées, et adresses trop générales pour désigner un outil. La raison du refus vous est affichée.
• Elle n'affiche aucune interface dans vos outils tiers.

3. Flux des données & pseudonymisation

1. L'extension scanne le contenu nécessaire dans votre navigateur, trie ce qui relève de votre portefeuille (voir § 2) et le transmet au backend Velum via une connexion chiffrée (WSS/TLS).
2. Pseudonymisation à la réception (backend-ingress) : à l'arrivée sur nos serveurs, les données personnelles (noms, adresses, e-mails, téléphones…) sont pseudonymisées avant tout stockage durable et avant tout envoi à notre sous-traitant d'IA. Autrement dit, la pseudonymisation a lieu côté serveur Velum, pas dans votre navigateur ; le transport est chiffré de bout en bout.
3. Les données pseudonymisées sont analysées par l'API Anthropic (Claude) pour classer et proposer des actions.
4. Hébergement des données : 100 % OVHcloud, en France. Seule l'analyse par l'IA (modèles Claude d'Anthropic) sort de cet environnement, sur des textes pseudonymisés. Chiffrement au repos (AES-256).

4. Sous-traitants & transferts hors Union européenne

Sous-traitants intervenant sur les données issues de l'extension :

La liste exhaustive des sous-traitants du service (au-delà du périmètre de l'extension) figure dans la politique complète.

Transfert de tête de chaîne. Velum VP LLC étant établie aux États-Unis, la transmission des données du cabinet (UE) vers Velum constitue un transfert hors UE au sens du chapitre V du RGPD. Il est encadré par les Clauses contractuelles types (CCT / SCC), décision d'exécution (UE) 2021/914, Module 2 (responsable de traitement UE → sous-traitant hors UE), intégrées au DPA.

Limite assumée. Velum détient les clés de chiffrement : le service n'est pas à « connaissance nulle » (zero-knowledge). Face à une demande contraignante fondée sur le droit américain (notamment le CLOUD Act), le chiffrement ne constitue donc qu'une mitigation partielle. Nous ne le présentons pas comme neutralisant ce risque ; voir l'analyse détaillée dans la politique complète.

Aucune donnée n'est vendue ni cédée à des fins publicitaires.

5. Conformité Google API Services (Limited Use)

L'utilisation et le transfert par Velum des informations reçues des API Google respectent la Google API Services User Data Policy, y compris ses exigences d'usage limité (Limited Use). Les données Gmail accédées : sont utilisées uniquement pour fournir la fonctionnalité visible par l'utilisateur (suivi, proposition d'actions, dépôt de brouillons) ; ne sont pas utilisées à des fins publicitaires ; ne sont pas vendues ; ne sont accessibles à des humains que dans les cas autorisés (consentement explicite, sécurité, obligations légales, données agrégées/anonymisées).

6. Conservation & droits

Durées applicables aux données issues de l'extension :

Les données métier confiées par le cabinet sont conservées pour la durée définie au DPA, sous le contrôle du cabinet responsable de traitement.

Vous (et les personnes concernées) disposez des droits RGPD : accès, rectification, effacement, limitation, opposition, portabilité. Exercice via votre cabinet (responsable de traitement) ou privacy@velum-ai.com ; le représentant dans l'Union (§ 1) peut également être saisi.

Déconnexion : le bouton « Déconnecter » de l'extension efface le jeton local ; la désactivation d'un outil retire immédiatement l'accès de l'extension à ce site.

7. Sécurité

Transport chiffré (TLS/WSS), chiffrement au repos (AES-256), permissions minimales et par-outil, aucun droit d'envoi d'e-mail, journaux sans données personnelles en clair.

8. Mesure d'audience du site velum-ai.com

(Concerne le site web, pas l'extension.) Nous mesurons l'audience de ce site de façon anonyme, sans cookie et sans enregistrer votre adresse IP, dans le seul but d'améliorer nos pages. Nous enregistrons uniquement des informations non identifiantes : page consultée, référent, paramètres de campagne (UTM), langue, taille d'écran, sections vues, profondeur de défilement et temps passé. Pour reconstituer le parcours d'une même visite, un identifiant temporaire de visite est généré dans votre navigateur (sessionStorage) et effacé dès la fermeture de l'onglet : ce n'est pas un cookie, il n'est pas partagé entre visites ni entre sites. Aucune donnée n'est partagée avec des tiers et rien n'est utilisé à des fins publicitaires. Les événements sont conservés au maximum 13 mois puis supprimés automatiquement. Si votre navigateur émet un signal « Do Not Track » ou « Global Privacy Control », aucune mesure n'est effectuée. Ce dispositif relève de l'exemption de consentement prévue par la CNIL pour la mesure d'audience ; aucun bandeau n'est donc requis.

9. Modifications

Toute modification substantielle sera publiée à cette adresse avec une nouvelle date de mise à jour.