Politique de confidentialité
Cette Politique de confidentialité explique comment Penbox traite les données personnelles lorsque vous visitez notre site web https://penbox.io, utilisez notre plateforme https://app.penbox.io, connectez une boîte de messagerie à Penbox, ou prenez contact avec nous.
Cette politique prend effet le 5 novembre 2026.
Dernière mise à jour : 6 novembre 2026
1. Qui sommes-nous
Penbox SRL est une société enregistrée en Belgique sous le numéro BE 0738.549.585, ayant son siège social au 4 Rue des Pères Blancs, 1040 Etterbeek, Belgique (« Penbox », « nous »).
Penbox a désigné un Délégué à la protection des données (DPO) externe. Pour toute question concernant cette politique ou vos données personnelles, vous pouvez contacter notre DPO à dpo@penbox.io.
2. Nos deux rôles : responsable du traitement et sous-traitant
Penbox en tant que responsable du traitement. Nous décidons de la manière et des finalités pour lesquelles les données personnelles sont traitées dans le cadre de nos propres activités : notre site web, nos relations avec les prospects et clients, les comptes des personnes qui utilisent Penbox, la facturation, le support et le marketing. Cette politique couvre principalement ces activités.
Penbox en tant que sous-traitant. Nos clients (assureurs, courtiers et autres entreprises) utilisent Penbox pour collecter des documents, gérer des dossiers et traiter leurs e-mails. Les données qu'ils traitent sur la plateforme, par exemple concernant leurs propres clients, demandeurs ou partenaires, sont traitées par Penbox pour leur compte et selon leurs instructions, en vertu d'un contrat de sous-traitance (DPA) conforme à l'article 28 du RGPD. Pour ces données, notre client est le responsable du traitement. Si vous êtes client de l'un de nos clients, veuillez le contacter directement pour exercer vos droits. Si vous nous contactez, nous lui transmettrons votre demande.
3. Données personnelles que nous collectons
Données que vous nous transmettez
Coordonnées et informations professionnelles : nom, adresse e-mail professionnelle, numéro de téléphone, entreprise et intitulé de poste, par exemple lorsque vous réservez une démo, vous inscrivez, vous abonnez à nos actualités ou nous contactez.
Données de compte : vos identifiants de connexion, rôle et préférences lorsque vous créez ou utilisez un compte Penbox.
Communications : le contenu de vos messages qui nous sont adressés et de vos échanges avec nos équipes de support et de vente, y compris les notes d'appels et de réunions.
Données de facturation : contact de facturation, informations sur l'entreprise et données de paiement. Les paiements sont gérés par nos prestataires de services de paiement.
Données collectées automatiquement
Données du site web : adresse IP, type de navigateur et d'appareil, pages visitées, site référent et paramètres de campagne, collectés par le biais de cookies et technologies similaires. Consultez notre Politique relative aux cookies.
Données d'utilisation de la plateforme : la façon dont vous utilisez la plateforme (fonctionnalités utilisées, actions effectuées) afin de l'exploiter, la sécuriser et l'améliorer.
Journaux techniques : journaux de sécurité et d'audit contenant des identifiants techniques (utilisateur, objet concerné, horodatage, adresse IP, action et résultat).
Données provenant d'autres sources
Afin d'identifier et de qualifier les entreprises susceptibles d'être intéressées par Penbox, nous pouvons collecter des informations professionnelles vous concernant à partir de sources accessibles au public (telles que le site web de votre entreprise ou votre profil professionnel sur les réseaux sociaux) et auprès de fournisseurs de données d'entreprises.
4. Pourquoi nous utilisons vos données et sur quelle base juridique
Fourniture de la plateforme et de votre compte, et assistance : exécution de notre contrat avec vous ou votre organisation.
Facturation et comptabilité : exécution du contrat et respect de nos obligations légales.
Réponse à vos demandes et préparation d'un contrat, comme des démos et des devis : mesures prises à votre demande avant de conclure un contrat.
Sécurité, prévention de la fraude et détection des abus : notre intérêt légitime à protéger notre plateforme, nos clients et leurs utilisateurs.
Mesure et amélioration de notre site web et de nos produits : notre intérêt légitime, et votre consentement pour les cookies non essentiels.
Développement commercial et marketing auprès des professionnels (newsletters, mises à jour de produits, événements, prospection) : notre intérêt légitime ou, lorsque la loi l'exige, votre consentement. Vous pouvez vous y opposer ou vous désabonner à tout moment.
Respect de la loi et défense de nos droits : nos obligations légales et notre intérêt légitime.
Lorsque nous nous fondons sur le consentement, vous pouvez le retirer à tout moment. Cela n'affecte pas les traitements effectués avant le retrait.
5. Boîtes de messagerie connectées (Gmail et Outlook)
Lorsque vous connectez une boîte de messagerie Gmail ou Microsoft Outlook (Microsoft 365) à Penbox, vous nous autorisez à accéder aux données de cette boîte via les API Google ou l'API Microsoft Graph. Cette section explique à quoi nous accédons, pourquoi, et comment nous le protégeons. Les données de messagerie sont traitées pour le compte de l'organisation qui possède l'espace de travail Penbox.
Données auxquelles nous accédons : les messages électroniques et pièces jointes de la boîte de messagerie connectée, ses libellés, dossiers ou catégories et ses brouillons, ainsi que le nom et l'adresse e-mail du compte.
Comment nous les utilisons : nous utilisons ces données uniquement pour fournir les fonctionnalités de Penbox que vous utilisez :
détecter les e-mails entrants et les afficher dans votre espace de travail, avec leurs pièces jointes, et les joindre au bon dossier ;
envoyer des e-mails et créer des brouillons depuis votre adresse e-mail, lorsque vous ou votre équipe nous le demandez ;
étiqueter ou catégoriser les e-mails traités par Penbox, afin que vous puissiez les retrouver dans votre messagerie, et maintenir Penbox synchronisé lorsqu'un e-mail est archivé.
Intelligence artificielle : pour trier les e-mails entrants, en extraire des informations et préparer des brouillons de réponse, nous envoyons leur contenu à des modèles d'IA (Google Gemini et Anthropic Claude) hébergés par Google Cloud Vertex AI dans l'Union européenne, agissant en tant que notre sous-traitant ultérieur. Google Cloud traite les données uniquement pour nous renvoyer un résultat. Ni Penbox ni Google Cloud n'utilisent les données des boîtes de messagerie, y compris les données utilisateur de Google, pour développer, améliorer ou entraîner des modèles généralisés d'IA ou d'apprentissage automatique.
Stockage : les e-mails sont stockés dans notre base de données, hébergée sur AWS. Les pièces jointes sont stockées sur Google Cloud Storage. Pour les espaces de travail avec un compte Gmail connecté, nos outils de surveillance de l'IA reçoivent uniquement des données chiffrées d'utilisation, telles que le modèle utilisé et le nombre de jetons. Ils ne reçoivent jamais le contenu des e-mails de ces espaces de travail. Pour les autres boîtes de messagerie, un nombre restreint de membres du personnel autorisés peut accéder à ces données de surveillance pour résoudre les problèmes.
Partage : nous ne vendons pas les données de messagerie et ne les utilisons jamais à des fins publicitaires. Nous ne les transférons qu'aux sous-traitants ultérieurs nécessaires à l'exécution des fonctionnalités ci-dessus, pour nous conformer à la loi, ou dans le cadre d'une fusion ou d'une acquisition. Notre personnel ne lit pas les données utilisateur de Google, sauf si vous nous donnez une autorisation explicite pour un message spécifique, ou si cela est nécessaire pour des raisons de sécurité ou requis par la loi.
Conservation et suppression : les e-mails reçus sont conservés dans la boîte de réception de votre espace de travail, et les e-mails rattachés à un dossier sont conservés tant que ce dossier existe. Le corps et la liste des pièces jointes des e-mails archivés qui ne sont pas rattachés à un dossier sont effacés au bout de 30 jours par défaut. Leur objet, expéditeur et destinataires restent dans votre espace de travail. Vous pouvez déconnecter votre boîte de messagerie à tout moment depuis vos paramètres : nous révoquons alors notre accès et cessons de lire votre boîte de messagerie. Vous pouvez également révoquer notre accès depuis les paramètres de votre compte Google ou de votre compte Microsoft, ou par l'intermédiaire de votre administrateur Microsoft 365. Les données déjà stockées restent dans votre espace de travail après une déconnexion. Pour les supprimer, supprimez les dossiers concernés ou contactez-nous à dpo@penbox.io, et nous les supprimerons sur demande.
Utilisation limitée (données utilisateur de Google) : l'utilisation par Penbox et son transfert à toute autre application des informations reçues des API Google respecteront le Règlement relatif aux données utilisateur des services d'API Google, y compris les exigences d'utilisation limitée.
Comptes Microsoft : pour les boîtes de messagerie Outlook, l'accès repose sur les autorisations accordées à l'application Penbox par vous ou votre administrateur Microsoft 365 dans Microsoft Entra ID. Ces autorisations peuvent y être consultées et révoquées à tout moment.
6. Intelligence artificielle
Tous les modules d'IA de Penbox (Document Intelligence, Email Intelligence, Case Intelligence, agents IA et autres) s'exécutent dans un environnement d'entreprise privé hébergé dans l'Union européenne. Cet environnement ne conserve aucune donnée : les données sont traitées, le résultat est renvoyé à la plateforme Penbox, et rien n'est conservé du côté de l'IA. Les données de nos clients ne sont jamais utilisées pour entraîner des modèles d'IA.
Penbox ne prend pas elle-même de décisions produisant des effets juridiques ou vous affectant de manière similairement significative sur la seule base d'un traitement automatisé. Lorsque nos clients utilisent les fonctionnalités d'IA de Penbox dans leurs propres processus, par exemple pour vérifier des documents, trier des demandes ou signaler de possibles fraudes, ils restent responsables de ces processus en tant que responsables du traitement.
7. Avec qui nous partageons vos données
Nous ne vendons pas de données personnelles. Nous les partageons uniquement avec :
Des prestataires de services agissant selon nos instructions, tels que l'hébergement et l'infrastructure (Amazon Web Services, Google Cloud), le traitement par IA, la distribution d'e-mails, la gestion de la relation client, l'analytique, la facturation et le paiement, le support client et les outils de planification. Ils sont tenus par contrat de protéger vos données et de les utiliser uniquement pour nous fournir leurs services.
Des conseillers professionnels et auditeurs, tels que des avocats, des comptables et notre organisme de certification ISO 27001, soumis à des obligations de confidentialité.
Des autorités, tribunaux et régulateurs, lorsque la loi l'exige ou pour établir, exercer ou défendre nos droits en justice.
Un acheteur ou successeur, si Penbox est impliquée dans une fusion, une acquisition ou une vente d'actifs, auquel cas cette politique continuera de s'appliquer à vos données.
La liste détaillée des sous-traitants ultérieurs auxquels nous faisons appel pour les données des clients fait partie de notre DPA et est disponible sur demande à dpo@penbox.io. Nous informons nos clients avant tout changement.
8. Où vos données sont stockées
Les données des clients traitées sur la plateforme Penbox restent dans l'Union européenne. Nos serveurs d'applications et nos bases de données sont hébergés par Amazon Web Services à Francfort (Allemagne), les sauvegardes sont conservées sur un site distinct en Belgique, et le traitement par IA ainsi que les journaux techniques ont lieu dans l'UE. L'équipe Penbox est basée en Europe et n'accède pas aux données des clients depuis l'extérieur de l'UE. Plus de détails sont disponibles sur notre page Sécurité.
Certains des outils que nous utilisons pour nos propres opérations commerciales, tels que notre site web, notre CRM, nos outils de marketing ou de facturation, peuvent impliquer un transfert de données personnelles en dehors de l'Espace économique européen. Dans ce cas, le transfert repose sur une décision d'adéquation de la Commission européenne (telle que le cadre de protection des données UE-États-Unis) ou sur les clauses contractuelles types de la Commission européenne.
9. Durée de conservation de vos données
Données des clients sur la plateforme (dossiers, formulaires, documents, e-mails et comptes utilisateurs) : notre client définit la durée de conservation dans son espace de travail. À son expiration, une purge automatique et enregistrée dans les journaux est exécutée.
Fin de la souscription : lorsqu'un client met fin à sa souscription, nous supprimons toutes ses données, au plus tard 60 jours après la fin du contrat ou immédiatement sur demande, et fournissons un certificat de destruction. Les données supprimées disparaissent ensuite des sauvegardes à la fin d'une fenêtre glissante de 30 jours.
Journaux techniques et de sécurité : 365 jours.
Données de prospects et de marketing : jusqu'à 3 ans après notre dernier contact avec vous, sauf si vous vous y opposez ou vous désabonnez plus tôt.
Documents de facturation et de comptabilité : pour la durée requise par la législation comptable et fiscale belge.
Nous pouvons conserver certaines données plus longtemps lorsque cela est nécessaire pour respecter une obligation légale ou pour établir, exercer ou défendre des droits en justice.
10. Sécurité
Penbox est certifiée ISO/IEC 27001 pour l'ensemble de l'organisation et tous ses produits. Les données sont chiffrées en transit et au repos, les données de chaque client sont isolées à chaque niveau, et l'accès à la production est restreint, journalisé et examiné régulièrement. Vous êtes responsable du maintien de la confidentialité de vos propres identifiants de connexion. Consultez notre page Sécurité pour plus de détails.
11. Vos droits
En vertu du RGPD, vous avez le droit de :
accéder aux données personnelles que nous détenons à votre sujet et en recevoir une copie ;
rectifier les données inexactes ou incomplètes ;
effacer vos données, sauf si nous devons les conserver pour un motif légal ;
limiter le traitement de vos données dans certains cas ;
vous opposer au traitement fondé sur notre intérêt légitime, et à la prospection commerciale à tout moment ;
la portabilité des données, pour recevoir les données que vous nous avez fournies dans un format structuré et lisible par machine ;
retirer votre consentement à tout moment, lorsque le traitement est fondé sur le consentement.
Pour exercer vos droits, contactez notre DPO à dpo@penbox.io. Nous vous répondrons dans un délai d'un mois. Nous pourrons vous demander de confirmer votre identité. Pour vous désabonner de nos e-mails, vous pouvez également utiliser le lien inclus dans chaque e-mail.
Si vous estimez que nous n'avons pas traité vos données correctement, vous pouvez introduire une réclamation auprès de l'Autorité de protection des données belge (Autorité de protection des données / Gegevensbeschermingsautoriteit), Rue de la Presse 35, 1000 Bruxelles, www.dataprotectionauthority.be, ou auprès de l'autorité de contrôle du pays de l'UE où vous résidez ou travaillez.
12. Cookies
Nous utilisons des cookies et technologies similaires sur notre site web. Les cookies non essentiels ne sont utilisés qu'avec votre consentement. Consultez notre Politique relative aux cookies pour plus d'informations.
13. Enfants
Notre site web et nos services sont destinés aux professionnels. Nous ne collectons pas sciemment de données personnelles relatives à des enfants via notre site web. Nos clients peuvent traiter des données concernant des mineurs dans leurs propres dossiers, par exemple un bénéficiaire d'une police d'assurance, en tant que responsables du traitement et sous leur propre responsabilité.
14. Modifications de cette politique
Nous pouvons mettre à jour cette politique pour refléter les modifications apportées à nos services, à nos pratiques ou à la loi. Nous publierons la nouvelle version sur cette page et mettrons à jour la date en haut. Si les changements sont importants, nous en informerons nos clients et les utilisateurs enregistrés.
15. Nous contacter
Pour toute question relative à cette politique ou à vos données personnelles, contactez notre Délégué à la protection des données :
Penbox SRL
dpo@penbox.io
Rue des Pères Blancs 4, 1040 Etterbeek, Belgique
