Politique de confidentialité

Dernière mise à jour : 7 octobre 2026.

INN est une plateforme de gestion du personnel, de la caisse et des dossiers, utilisée par des entreprises. L’application mobile s’adresse aux salariés dont l’employeur a ouvert un accès. Cette page décrit ce que le produit fait aujourd’hui, pas une politique inventée pour la revue d’un magasin.

L’employeur est responsable du dossier RH (bulletins, pointages, contrats). INN héberge et traite ces données pour son compte. Pour exercer un droit sur votre dossier employé, adressez-vous d’abord à votre entreprise.

Qui lit cette pageCopier le lien de ce titre

• un salarié qui utilise l’application ou le tableau de bord ;
• un relecteur d’App Store ou de Google Play ;
• un employeur qui veut savoir ce que l’outil envoie hors de son périmètre.

Données que l’application mobile envoieCopier le lien de ce titre

Rien n’est lu avant la connexion, hors le nom d’appareil que vous voyez dans « Mes appareils » une fois connecté.

La localisation n’est jamais lue en arrière-plan. Un refus de permission n’empêche pas d’ouvrir l’application : le pointage part sans position, et c’est l’employeur qui décide s’il l’accepte. Une visite déclarée sans position reste une visite.

Si votre employeur a activé le tracé du terrain, des positions peuvent aussi être relevées pendant la journée (pas seulement au geste) — toujours à l’écran ouvert, jamais le soir ni hors d’une journée pointée. Deux périmètres possibles, choisis par l’employeur : toute la journée pointée, ou seulement pendant une visite ouverte. Dans les deux cas, ranger l’application suffit à arrêter la collecte.

Les appels sont-ils enregistrés ?Copier le lien de ce titre

Pas par cette application. Un appel passé depuis votre téléphone ne peut être enregistré par aucune application : iOS l’interdit, et Android le bloque depuis sa version 10. Ce que l’application fait, c’est vous laisser inscrire l’appel au journal après coup — le numéro, l’heure, la durée que vous déclarez, et s’il a abouti.

Le jour où votre entreprise activerait les appels depuis l’application (téléphonie par internet), l’enregistrement deviendrait possible, et il obéirait alors à trois règles écrites dans le produit : une annonce ou un accord demandé à la personne appelée selon son pays, des destinations où l’enregistrement est coupé d’office, et une durée de conservation au terme de laquelle l’enregistrement est effacé automatiquement. Cette page sera mise à jour le jour où cela arrivera.

L’application parle-t-elle quand je ne la regarde pas ?Copier le lien de ce titre

Oui, et seulement pour une chose : dire que votre appareil répond encore, tant qu’une journée est pointée. C’est le seul message envoyé sans que vous ayez touché à quoi que ce soit.

Il existe pour vous protéger d’une erreur, pas pour vous surveiller. Sans lui, ranger son téléphone pendant sa journée suffisait à faire croire au serveur que le poste s’était éteint : une alerte partait, et au bout de quatre heures la journée se fermait toute seule à l’heure du dernier signe.

Ce message ne contient ni position, ni son, ni rien de ce que vous faites sur le téléphone. Il s’arrête dès que vous pointez votre sortie, dès que vous partez en pause, et dès que vous vous déconnectez. Le système d’exploitation décide seul du moment de ces réveils — l’application ne peut ni les forcer, ni les rapprocher.

Face ID (ou le code de l’appareil) sert à confirmer que c’est bien vous avant d’autoriser un collègue à apposer votre signature enregistrée. La reconnaissance a lieu sur le téléphone. Rien n’est envoyé.

INN Poste, sur un ordinateur de travailCopier le lien de ce titre

Cette partie ne concerne qu’INN Poste, l’application que votre employeur fait installer sur un ordinateur de travail (Windows, macOS ou Linux). Hors le signal de présence, décrit plus haut pour le téléphone, rien de ce qui suit n’existe dans l’application mobile ni dans le site web.

INN Poste démarre avec votre session sur l’ordinateur et reste en marche, fenêtre rangée près de l’horloge. Sa croix range la fenêtre : l’application n’a aucune commande pour s’arrêter, elle s’arrête quand vous fermez votre session.

Ce qu’INN Poste lit sur l’ordinateurCopier le lien de ce titre

Une seule valeur : depuis combien de temps le clavier et la souris n’ont rien reçu. C’est celle que lit votre économiseur d’écran.

Ce qui n’est jamais lu : ce que vous tapez, où va le pointeur, le contenu et le titre de vos fenêtres, les adresses des sites. Ni vos fichiers, ni votre écran, ni votre caméra, ni votre microphone. Depuis le 31 août 2026, le nom des programmes ouverts non plus.

Le reste, le serveur d’INN le connaît déjà : votre horaire, vos congés, vos pointages, vos tâches. C’est lui qui dit au poste, à chaque signal, ce qui est permis et ce que l’écran réclame.

Signal « ce poste est allumé »Copier le lien de ce titre

• Par défaut : en marche tant qu’INN Poste tourne. Personne ne l’éteint ; il s’arrête avec votre session.
• Quand : environ toutes les deux minutes quand votre journée est ouverte, toutes les cinq minutes sinon, fenêtre rangée comprise. Toutes les quinze secondes tant que l’écran de conformité attend un geste de votre part.
• Lu sur l’ordinateur : rien.
• Envoyé : le poste répond, sa fenêtre est rangée ou non, et c’est le premier signal depuis son démarrage ou non. Ni position, ni nom de fenêtre, ni nom de programme.
• Pourquoi : sans lui, le serveur croirait le poste éteint et fermerait votre journée à tort.

Pointage automatique de l’arrivéeCopier le lien de ce titre

Quand INN Poste tourne pendant vos heures de travail et que votre journée n’est pas ouverte, il pointe votre arrivée tout seul. Comme l’application démarre avec votre session, c’est souvent au démarrage de l’ordinateur.

• Par défaut : allumé, par un choix d’INN valable pour toutes les entreprises. Votre employeur l’éteint pour tous, pour certains pôles ou pour une personne.
• Quand : une fois par jour, de votre heure de début jusqu’à votre heure de fin. Votre employeur règle une avance, un quart d’heure par défaut. Jamais un jour de repos, un jour férié ou un jour de congé approuvé.
• Lu sur l’ordinateur : rien. Le serveur d’INN décide avec votre horaire, les jours fériés et vos congés.
• Envoyé : un pointage d’arrivée, marqué « pointage automatique du poste » dans le journal de vos passages. Jamais un départ, jamais une pause.
• Ce que vous voyez : une notification et une phrase sur l’écran du poste. Le passage se corrige comme n’importe quel autre.

Rappel de pointerCopier le lien de ce titre

• Par défaut : en marche. Personne ne le règle.
• Quand : vous travaillez sur l’ordinateur depuis vingt minutes et votre journée n’est pas ouverte. Une notification, une fois par jour, jamais deux.
• Lu sur l’ordinateur : le temps sans clavier ni souris. Cinq minutes sans rien toucher remettent le décompte à zéro.
• Envoyé : rien.

Écran de conformitéCopier le lien de ce titre

Tant que votre journée n’est pas en règle, INN Poste affiche un compte à rebours, puis passe sa fenêtre en plein écran, au-dessus des autres. Elle ne se ferme ni ne se réduit tant que le geste manque. Elle reprend sa taille dès que vous l’avez fait.

• Par défaut : allumé, avec les trois premiers motifs et une minute de délai. INN a fait ce choix pour toutes les entreprises, y compris celles déjà installées. Votre employeur le garde, le règle ou l’éteint.
• Les quatre motifs, dans cet ordre :
  1. journée non ouverte : l’écran demande de pointer votre arrivée ;
  2. retard relevé sans explication : vous choisissez le motif sur l’écran même ;
  3. aucune tâche en cours : l’écran ouvre INN sur vos tâches, pour en choisir ou en créer une. Sans tâche à choisir ni à créer, ce motif se tait ;
  4. poste qui ne bouge plus, éteint par défaut : journée ouverte, hors pause, sans clavier ni souris pendant le temps fixé par votre employeur. C’est quinze minutes par défaut, de cinq à soixante. L’écran propose « Je reprends », ou de déclarer une pause.
• Quand il ne se montre pas : un jour de repos ou férié, pendant un congé approuvé ou une pause déclarée. Il se tait aussi pendant les heures sans écran fixées par votre employeur, et si votre employeur vous en a dispensé.
• L’heure n’entre pas en compte. Un jour travaillé, il réclame votre arrivée dès que la journée n’est pas ouverte : avant l’heure de début comme après votre départ. Les heures sans écran — la pause de midi ou la nuit, par exemple — sont le moyen de votre employeur pour l’éviter.
• Lu sur l’ordinateur : rien pour les trois premiers motifs, que le serveur d’INN tranche avec vos pointages et vos tâches. Pour le quatrième, le temps sans clavier ni souris, qui ne quitte pas l’ordinateur et ne s’affiche nulle part.
• Envoyé : rien sur l’écran lui-même — ni qu’il s’est affiché, ni combien de temps. Partent seulement les gestes que vous faites : pointage, explication, tâche, pause. « Je reprends » n’envoie rien.
• Qui l’éteint : votre employeur, pour tous, pour certains pôles, pour une personne ou à certaines heures.

Ce plein écran n’est pas un verrou de votre ordinateur. Il s’efface aussi quand le poste reste dix minutes sans joindre le serveur d’INN.

Verrouillage de la fenêtre d’INNCopier le lien de ce titre

• Par défaut : en marche dès que la fenêtre d’INN est ouverte. Ni votre employeur ni vous ne le réglez.
• Quand : quinze minutes sans clavier ni souris, puis une minute d’avertissement. Bouger la souris l’annule, il n’y a rien à cliquer.
• Ce qui se passe : INN couvre sa fenêtre et demande votre code de poste. Sans code choisi, INN vous déconnecte, et votre mot de passe rouvre la session. La fenêtre de pointage et vos autres programmes restent tels quels.
• Lu sur l’ordinateur : le temps sans clavier ni souris.
• Envoyé : la durée ne part pas. INN envoie au serveur la demande de verrouiller, avec son heure et la cause « absence ». Le serveur la garde tant que la fenêtre reste verrouillée, puis l’efface quand vous rouvrez INN. Aucun écran de votre employeur ne l’affiche.

Sortie automatiqueCopier le lien de ce titre

• Par défaut : éteinte. Votre employeur l’allume, et règle le délai et l’heure inscrite.
• Quand : après votre heure de fin seulement, quand plus rien n’est touché pendant le délai réglé. Ce délai, cinq minutes par défaut, se compte à partir de l’heure de fin. Une minute d’avertissement précède le pointage, et bouger la souris l’annule.
• Lu sur l’ordinateur : le temps sans clavier ni souris, et seulement après votre heure de fin. Pendant vos heures de travail, elle ne compte rien.
• Envoyé : une fois, au moment de fermer, une durée — « plus rien touché depuis tant de secondes ». Ni historique d’activité, ni nom de fenêtre, ni nom de programme.
• Ce que le serveur en fait : il pointe votre départ à l’heure de votre dernier geste. Il retient votre heure de fin à la place, si votre employeur a fait ce choix. Pour votre employeur, c’est votre heure de départ.
• Ce que vous voyez : une notification avec l’heure inscrite. Une régularisation la corrige si vous étiez encore là.
• Jamais : pendant une pause, un jour de repos, un jour férié, un congé approuvé, ni sur un horaire qui passe minuit. Sans réseau, rien ne part et la journée reste ouverte.

Fermeture de programmes, retiréeCopier le lien de ce titre

Si votre employeur avait dressé une liste, les versions d’INN Poste antérieures au 31 août 2026 lisaient le nom des programmes ouverts. Elles le faisaient pendant vos heures de travail, à une demi-heure près. Tant que votre journée n’était pas en règle, elles prévenaient, et pouvaient demander aux programmes listés de se fermer. Sous Windows, cette fermeture perdait le travail non enregistré.

• Aujourd’hui : la version actuelle ne lit aucun nom de programme et n’en ferme aucun, même si votre employeur a gardé sa liste.
• Une version plus ancienne l’applique encore, si votre employeur a gardé une liste. La mise à jour d’INN Poste arrête cette lecture.
• Envoyé par une version plus ancienne : ce qu’elle a constaté ou fait sur un programme visé par votre employeur, et l’heure — vu ouvert, prévenu, fermé. Un programme sur lequel elle n’a pas agi ne part jamais.
• Vos droits : l’entrée « Applications surveillées… », près de l’horloge, montre la liste appliquée et les trente derniers faits qu’INN Poste a enregistrés sur vous.

Données déjà chez l’employeurCopier le lien de ce titre

Une fois connecté, l’application affiche ce que votre entreprise a déjà saisi ou que vous avez vous-même déposé : fiche, horaires, congés, bulletins, demandes, tâches, messages à INNIA. Ces pièces restent dans le dossier de l’entreprise.

Automatisations de l’entrepriseCopier le lien de ce titre

Une automatisation est écrite par votre entreprise, qui en répond. Elle travaille sur les données que l’entreprise tient déjà ; INN garde en plus, pour chaque passage, ce qu’elle a écrit dans les registres (la valeur d’avant et celle d’après) afin de pouvoir le défaire, et d’où elle est partie — y compris, quand un autre logiciel l’a appelée, le contenu de cet appel. Ce journal ne garde que les cinquante derniers passages de chaque automatisation. Un évènement de votre dossier (un congé validé, une arrivée) peut faire partir une automatisation ; il ne lui transmet jamais le motif d’un congé.

Une automatisation peut aussi prévenir la personne qu’une ligne nomme — le responsable d’un engin, le salarié suivi dans un registre — et lui confier une tâche. C’est la personne qui compose l’automatisation qui le décide, colonne par colonne : rien n’est coché d’avance, et INNIA, quand elle propose une automatisation, laisse ce choix à la personne. La personne nommée reçoit une notification dans l’application (hors de l’application, son titre seul, sans montant ni motif médical) et, le cas échéant, une tâche sur le tableau de l’équipe ; jamais deux fois pour le même fait. Une personne sans compte n’est pas prévenue : aucun courriel ne part vers une adresse que la ligne porterait, et aucune fiche n’est créée. INN retient, pour chaque automatisation, quelles lignes ont déjà reçu leur tâche ou leur notification — pour ne pas les répéter — et rien d’autre.

Paragraphes ajoutés le 6 octobre 2026. Une automatisation peut ouvrir une page web publique et y faire des gestes que l’entreprise a écrits (cliquer, remplir un champ, lire un texte, capturer la page). Les captures qu’elle prend sont gardées sept jours sur les serveurs INN, en accès authentifié, puis effacées. Une valeur secrète (un mot de passe) tapée dans une page n’est jamais écrite au journal ni visible sur une capture.

L’étape « Faire sur une page » suit une consigne écrite en français : à chaque geste, une capture de la page et la liste de ses boutons et champs partent vers OpenRouter (États-Unis), qui les achemine vers le modèle d’IA réglé pour décider du geste suivant — les mêmes destinataires qu’INNIA (voir INNIA, l’assistante). Une valeur secrète n’y part jamais : le modèle voit « •••• ». Elle ne visite que les sites que l’automatisation permet, au plus quinze gestes et cinq minutes par passage.

Paragraphes ajoutés le 6 octobre 2026 (le plan des automatisations). Une automatisation se compose d’étapes que l’entreprise voit et règle une à une ; certaines envoient des données hors d’INN, et voici lesquelles.

L’étape « Lire une image ou un document » envoie à OpenRouter (États-Unis), qui les achemine vers le modèle d’IA réglé par l’installation (les mêmes destinataires qu’INNIA, voir INNIA, l’assistante) : les fichiers qu’elle lit — jusqu’à cinq photos, captures ou PDF de 8 Mo au plus chacun, par exemple le recto et le verso d’une pièce d’identité —, la consigne écrite par l’entreprise et la liste des informations à en tirer. L’étape « Générer un texte » envoie la consigne et les données que cette consigne cite. Aucune des deux ne reçoit un mot de passe, une valeur secrète, ni une information lue sur une pièce d’identité par une autre étape : le modèle voit « •••• » à sa place.

Ce qu’INN garde : ce que l’étape a lu sert à la suite de l’automatisation (remplir un formulaire, écrire dans un tableau de l’entreprise, si l’entreprise l’a réglé ainsi). Quand l’étape est marquée « Contient une pièce d’identité » — ou qu’une information est marquée sensible —, ce qui est lu n’est jamais écrit dans l’historique des exécutions, ni dans les exemples de données qu’il garde, ni pendant qu’une automatisation attend une validation : il y paraît « •••• (lu) », et il n’est montré à aucune IA, INNIA comprise. Le reste du résultat (un texte généré, une information non sensible) est gardé avec l’historique, soit les cinquante derniers passages de chaque automatisation. Un PDF assemblé par l’étape « Assembler un PDF » n’est écrit nulle part : il vit le temps du passage, puis il est perdu. Le journal des dépenses d’IA garde le nom de l’étape, le nombre de crédits et le coût de l’appel — jamais ce qui a été lu ou écrit. INN ne maîtrise pas la durée pendant laquelle OpenRouter et le modèle gardent ce qu’ils ont reçu (voir « Hors du pays »).

Une automatisation peut garder une page ouverte d’une étape à l’autre (« Ouvrir une session de navigateur ») : la connexion au site et ses cookies vivent sur les serveurs INN, dans un navigateur à part réservé à une seule ligne, et sont détruits à la fin de cette ligne, de l’exécution, quand quelqu’un l’arrête, ou après quinze minutes sans geste. Ils ne sont jamais écrits, ni prêtés à une autre ligne ou à une autre entreprise. Le geste « Téléverser » envoie au site visité un fichier de l’exécution — une pièce jointe à la ligne d’un registre, une capture, un document fabriqué pendant l’exécution —, 8 Mo au plus, et seulement dans la page où l’entreprise a écrit ce geste ; aucun fichier des serveurs eux-mêmes ne peut partir. Le geste « Vérifier avec l’IA » envoie une capture de la page et la consigne de l’entreprise à OpenRouter : un mot de passe tapé ou une donnée lue sur une pièce d’identité y est masqué avant la capture, et si l’un d’eux reste visible, la capture ne part pas.

L’étape « Recevoir sur une adresse jetable » ouvre une boîte de courriel temporaire chez temp-mail.io, un service tiers public : l’automatisation donne cette adresse à un site (par exemple pour créer un compte), et ce service reçoit le courriel que le site y envoie. INN n’en garde que le lien ou le code cherché, l’objet du courriel et l’heure d’arrivée ; la boîte est abandonnée à la fin de la ligne. Les démarches INPI automatiques s’en servent aussi pour créer un compte quand la ligne ne porte pas d’adresse de courriel — elles le faisaient déjà avant que cette page le dise.

Les étapes « Connecteurs » interrogent, pour chaque ligne qu’on leur donne, le service qu’elles nomment, et lui envoient la valeur de la ligne que l’entreprise a désignée : le numéro ou le nom d’une entreprise à l’INSEE, au Registre national des entreprises (seulement si l’entreprise l’a demandé) et à l’annuaire public des entreprises (recherche-entreprises.api.gouv.fr) ; le texte de la recherche, tel que l’étape le compose, à notre fournisseur de résultats Google ; le lien d’une fiche et des mots-clés à Google Maps ; l’adresse d’un site au site lui-même. Rien d’autre de la ligne ne part, et jamais une colonne secrète.

Le mot de passe d’un compte INPI créé par une automatisation est rangé au coffre chiffré d’INN ; l’entreprise peut choisir de l’écrire aussi dans une colonne — secrète dans un registre, ou en clair dans sa propre base Notion, seulement par une personne qui a le droit de lire les secrets.

Discussions dans le tableau de bordCopier le lien de ce titre

L’écran Discussions (anciennement Questions) porte trois espaces :

L’anonymat d’une idée masque l’auteur dans toute réponse de l’API, y compris pour les administrateurs de la société. Ce n’est pas un anonymat cryptographique vis-à-vis des opérateurs de la base : l’identifiant technique reste stocké pour l’intégrité (votes, commentaires de l’auteur restant « Anonyme », anti-abus).

Les images jointes à un fil (captures d’écran) sont conservées sur les serveurs INN, en accès privé authentifié, et sont supprimées avec le fil.

INNIA en aide produit (conversation d’assistance depuis Support) ne lit pas les données métier et n’exécute aucune action. Une transmission à un humain n’a lieu qu’après prévisualisation du contenu exact et confirmation explicite du destinataire.

INNIA, l’assistanteCopier le lien de ce titre

Section ajoutée le 29 septembre 2026.

INNIA est une intelligence artificielle, pas une personne. Elle peut se tromper ou inventer : relisez ses réponses avant d’agir, surtout un chiffre, une date ou un texte que vous allez envoyer. Elle ne modifie rien sans votre confirmation — elle prépare, vous validez.

Pour répondre, INNIA envoie des informations à des fournisseurs d’intelligence artificielle extérieurs à INN. Cette section dit lesquels, ce qui part, ce qui ne part pas, et comment retirer votre accord. Elle complète la section « Tiers » ci-dessous pour tout ce qui touche à l’assistante.

Votre accord, avant le premier messageCopier le lien de ce titre

Au premier usage, INNIA affiche ce texte en clair et demande votre accord, par un bouton — « Utiliser INNIA » —, jamais par une case déjà cochée. Sans accord, aucun message ne part : l’application mobile reste utilisable en entier sans INNIA.

INN garde, pour chaque compte, la date de l’accord et la version du texte que vous avez lu. Si un fournisseur est remplacé ou qu’un destinataire s’ajoute (par exemple le mode vocal), la version change et INNIA vous demande de relire avant de continuer. L’accord est personnel : votre entreprise qui ouvre INNIA à ses salariés ne consent pas à votre place.

Retirez-le à tout moment, aussi simplement que vous l’avez donné : sur le téléphone, dans Réglages, à la ligne « Retirer mon accord INNIA » ; sur le tableau de bord, dans le menu « Plus d’options » de l’en-tête d’INNIA. INNIA s’arrête aussitôt ; la ligne de l’accord reste, avec la date du retrait, comme trace de ce que vous aviez accepté.

Qui reçoit vos messagesCopier le lien de ce titre

Le modèle exact est réglé par l’installation, et il peut changer : l’écran d’accord nomme toujours celui qui est en service, et redemande votre accord quand un nouveau fournisseur apparaît.

Ce qui partCopier le lien de ce titre

• votre question, et le début de la conversation en cours ;
• les pièces jointes que vous ajoutez : le modèle en lit le contenu ;
• les données de l’entreprise dont INNIA a besoin pour répondre — horaires, congés, fiches, chiffres — et seulement celles que votre compte a déjà le droit de voir : INNIA lit avec vos droits, pas avec ceux de la direction ;
• un enregistrement audio, un texte à lire, ou votre voix, dans les cas du tableau ci-dessus.

Quand la maison a activé le remplacement des numéros d’identification, les NIU, numéros CNPS, RIB, IBAN et numéros de téléphone sont remplacés par des repères ([[NIU_1]], [[TEL_1]]…) avant l’envoi dans la conversation écrite, puis rétablis dans la réponse que vous lisez et dans ce que vous validez. Une photo ou un PDF scanné, eux, partent tels quels : ce remplacement ne lit pas les images. Ce n’est pas une garantie que rien de personnel ne part — c’est une réduction de ce qui part.

Paragraphe ajouté le 6 octobre 2026. INNIA peut proposer une modification d’une automatisation sur son plan, et expliquer pourquoi une exécution a échoué. Elle ne l’enregistre jamais elle-même : c’est vous qui gardez la proposition, puis l’enregistrez. Pour expliquer un échec, elle lit le journal de l’étape et ses réglages ; un mot de passe, une valeur secrète, une information lue sur une pièce d’identité et les exemples de données de l’exécution ne lui sont jamais transmis. La proposition qu’elle a faite est gardée avec la conversation, comme le reste de ses réponses.

Ce qui ne part pasCopier le lien de ce titre

• votre mot de passe et vos codes de connexion ;
• les données que votre compte n’a pas le droit de voir ;
• les lignes et les chiffres d’un document qu’INNIA prépare pour vous (une lettre, un rapport, une liste, une attestation) : ils sont lus et mis en page sur les serveurs INN, avec vos droits ; le fournisseur ne reçoit que le texte qu’il a rédigé et, quand le document ne peut pas se faire, le nom de ce qui manque (une colonne, une fiche) ;
• rien n’est vendu ni utilisé pour de la publicité : INN ne vend pas ces données et ne s’en sert pas pour du suivi publicitaire.

Pourquoi — les finalitésCopier le lien de ce titre

Répondre à ce que vous demandez à INNIA, et préparer des actions que vous validez vous-même. Rien d’autre : ni évaluation de votre travail, ni comparaison entre salariés, ni décision prise à votre place.

Hors du paysCopier le lien de ce titre

OpenRouter et OpenAI sont établis aux États-Unis, et le modèle réglé peut être servi depuis d’autres pays encore. Vos messages quittent donc le Cameroun pour être traités. La loi camerounaise n° 2024/017 relative à la protection des données personnelles s’applique à ces données, y compris lorsqu’elles sont traitées à l’étranger.

INN ne maîtrise pas la durée pendant laquelle un fournisseur garde ce qu’il a reçu : elle relève des conditions de chaque fournisseur, et INN n’en promet pas la teneur.

Combien de temps chez INNCopier le lien de ce titre

Vos conversations avec INNIA restent dans le dossier de votre entreprise, sur les serveurs INN, jusqu’à ce que vous les supprimiez (chaque conversation est supprimable depuis la liste des conversations). Les enregistrements de lecture à voix haute qu’INN garde pour éviter de payer deux fois la même lecture sont effacés au bout de trente jours. Les documents qu’INNIA prépare à votre demande — un rapport, un export, un devis — sont gardés trente jours pour que vous puissiez les télécharger, puis effacés ; les fichiers que vous joignez à un message, sept jours. Supprimer une conversation efface aussi ses documents et ses fichiers.

Depuis le 1er octobre 2026, un fichier de la conversation — un fichier que vous avez joint, ou un document qu’INNIA a préparé — peut être copié ailleurs dans INN, si vous le demandez à INNIA : sur une ligne d’un registre, sur un justificatif d’absence, dans un dossier du personnel, sur une tâche (comme travail livré), dans un dossier de transit, comme justificatif d’une écriture comptable qui n’en a pas encore, ou comme reçu de la note de frais que vous déclarez, si votre entreprise a ouvert la photo du justificatif de frais.

• Rien n’est copié sans vous. INNIA affiche d’abord une carte qui nomme le fichier, son poids et l’endroit où il va ; la copie ne se fait qu’à votre clic. Vous ne copiez que là où votre compte peut déjà déposer un fichier depuis l’écran : votre justificatif, votre dossier, vos tâches, et ceux d’un salarié seulement si votre rôle le permet. Un document préparé par INNIA ne se copie que tant que votre compte garde le droit qui a permis de le préparer.
• L’antivirus d’abord. La copie est examinée avant d’être rangée : s’il la reconnaît comme dangereuse, ou s’il n’a pas pu l’examiner, rien n’est rangé, et la carte le dit.
• Une copie, pas un déplacement. Le fichier reste dans la conversation jusqu’à la fin de son délai (sept jours, trente pour un document préparé), ou jusqu’à ce que vous la supprimiez. La copie, elle, suit la durée de conservation et les accès de l’endroit qui la reçoit, comme un fichier déposé depuis l’écran : elle y reste tant que l’entreprise la garde, même après la suppression de la conversation, et ceux qui voient déjà cet endroit la voient aussi — par exemple le service RH pour un justificatif ou un dossier, l’équipe d’une tâche, la comptabilité pour une écriture. Une pièce de transit reste interne, sauf si vous dites qu’elle part au client avec le devis.
• Ce qui est noté. Le journal de l’entreprise garde le nom et le poids du fichier, l’endroit où il est allé et le fait qu’INNIA l’a joint — jamais son contenu. Quand quelqu’un d’autre range une pièce dans votre dossier, vous en êtes prévenu (« Nouveau document sur votre fiche »).

Le poste de calcul, fermé par défautCopier le lien de ce titre

Ajouté le 6 octobre 2026.

Quand votre entreprise le demande et qu’INN l’ouvre pour elle, INNIA peut faire tourner un calcul sur des fichiers de la conversation — nettoyer un tableau, fusionner deux listes, recalculer une colonne — dans un poste de calcul fermé, sur les serveurs d’INN. Ce n’est pas votre ordinateur : rien ne s’exécute sur le poste de travail d’un salarié.

• Fermé par défaut. Il s’ouvre entreprise par entreprise, sur demande, et seulement pour les comptes que la direction désigne (par défaut, la direction elle-même). L’entreprise le referme à tout moment dans Réglages › INNIA › « Ce qu’elle peut ouvrir » ; INN peut l’éteindre pour tout le monde.
• Ce qu’il reçoit : les seuls fichiers de la conversation qu’INNIA lui désigne — ceux que vous avez joints, ou qu’INNIA y a déjà préparés —, et le programme de calcul qu’INNIA a écrit. Rien d’autre : ni les données de l’entreprise, ni vos identifiants, ni aucun secret. Un document préparé par INNIA ne lui est donné que si votre compte garde le droit qui a permis de le préparer.
• Aucun accès au réseau. Il ne peut rien envoyer ni rien télécharger, ni vers Internet, ni vers les autres services d’INN.
• Il ne garde rien. Chaque calcul part d’un poste vide et dure soixante secondes au plus ; à la fin, tout ce qu’il contenait est effacé.
• Ce qui en sort : un tableau (CSV ou Excel) revient dans la conversation comme un document préparé par INNIA, gardé trente jours comme les autres. Un classeur qui porterait une macro, un objet incorporé, un lien vers l’extérieur ou une formule qui appelle l’extérieur est écarté. Ce que le programme a affiché (un résumé du calcul) est relu par INNIA, donc envoyé au fournisseur d’intelligence artificielle comme le reste de la conversation (voir « Ce qui part »).
• Rien n’entre dans vos données sans vous. Le poste n’écrit nulle part. Pour qu’un résultat entre dans INN — vos clients, votre stock, un registre —, INNIA vous présente une carte d’import : il n’entre qu’à votre clic. Un fichier préparé à partir d’un document dont votre compte n’a plus le droit (par exemple la paie) ne se télécharge ni ne s’importe plus.
• Ce qui est noté : qui a lancé le calcul, quand, combien de temps il a duré et le volume des fichiers donnés et rendus — jamais leur contenu, ni le programme lui-même (seulement son empreinte).

Vos droitsCopier le lien de ce titre

Pour votre dossier RH et pour ce qu’INNIA en a lu, votre employeur répond d’abord. Pour l’accord, la version lue, la date et le retrait, écrivez à l’adresse de la page Assistance : la trace se produit sur demande.

L’aide produit (Support › INNIA) demande le même accord : ses messages partent chez le même fournisseur, même si elle ne lit aucune donnée métier.

Avis publics collectés sur Google MapsCopier le lien de ce titre

Cette section ne concerne ni les salariés ni l’application mobile. Elle décrit une fonction du tableau de bord, réservée aux entreprises qui ont souscrit le module « SEO & Visibilité » : suivre la réputation de leur propre fiche Google.

Quand une entreprise déclare sa fiche Google Maps, INN lit sur cette fiche ce que Google y montre publiquement à n’importe quel visiteur :

Sur les établissements qui sortent devant. Ce sont des entreprises, pas des personnes, et l’on n’en retient que ce qu’une vitrine affiche : une enseigne, une note moyenne, un nombre d’avis, un métier. Aucun avis de ces établissements n’est lu ni conservé, aucune de leurs fiches n’est ouverte, et rien n’est suivi dans le temps à leur sujet : ce relevé est une photo prise au moment de la recherche, remplacée à la suivante.

La source est publique, et rien d’autre n’est fait. Ces informations sont celles que Google montre à quiconque ouvre la fiche ou tape la recherche. Rien n’est acheté à un tiers, rien n’est déduit, aucun profil n’est constitué, et aucun compte n’est rapproché d’un autre. La collecte ne porte que sur des fiches déclarées par l’entreprise qui en répond.

Ce que nous ne faisons pas, en toutes lettres :

• le texte des avis et le nom de leurs auteurs ne sont envoyés à aucun modèle d’intelligence artificielle. Quand le tableau de bord propose des mots-clés, ou explique ce qui sépare une fiche de celles qui sortent devant, le modèle ne reçoit que des noms d’établissements, des adresses, des catégories, des notes et des nombres d’avis — jamais un avis, jamais le nom de son auteur ;
• aucun avis n’est republié, revendu, ni transmis à un tiers ;
• aucune réponse n’est publiée automatiquement sur Google en votre nom.

Conservation. Ces avis sont conservés tant que l’entreprise suit la fiche, et disparaissent avec elle. Un avis retiré de Google reste marqué disparu dans l’historique de l’entreprise — c’est ce qui lui permet de constater que le problème est réglé — sans être republié nulle part.

Les tableaux que l’entreprise branche sur ces écrans. Une entreprise peut brancher sur les Fiches Maps un registre INN ou une base Notion qu’elle a elle-même connectée — une liste de ses fiches, ou des avis que son équipe a postés. INN garde alors une copie des seules colonnes choisies (par exemple le nom, le lien, l’état et la note d’une fiche ; le lien, le statut, le contenu et le nom de la personne qui a posté un avis), pour les afficher page après page sans relire la base à chaque ouverture. Cette copie reste sur les serveurs INN, n’est transmise à aucun tiers ni à aucun modèle d’intelligence artificielle, est remplacée à chaque recalcul (5 000 lignes au plus), et disparaît quand l’entreprise retire la source. INN n’écrit jamais dans la base ainsi branchée.

Vous êtes l’auteur d’un avis et vous ne voulez pas y figurer ? Écrivez à l’adresse de la page Assistance. Retirer l’avis de Google le fait aussi disparaître de nos relevés au passage suivant.

Ce qui ne se fait pasCopier le lien de ce titre

• pas de publicité, pas de revente de données ;
• pas de suivi publicitaire (NSPrivacyTracking est à false) ;
• pas de compte créé depuis l’application : l’accès est ouvert par l’employeur (invitation) ou, pour créer une entreprise cliente, depuis le site.

TiersCopier le lien de ce titre

Les données transitent par les serveurs d’INN. La dictation INNIA est envoyée à un service de transcription pour produire le texte du brouillon — le message reste dans votre conversation d’entreprise.

Quand une entreprise utilise INNIA pour rédiger, fabriquer une image ou une vidéo de publication, ou analyser ses performances sociales, le texte du prompt, les images de référence choisies et les paramètres de fabrication partent vers OpenRouter, qui relaie vers le modèle d’image ou de vidéo réglé par l’installation. Le fichier produit revient sur les serveurs INN ; la publication sur un réseau social ne part jamais toute seule : elle reste un brouillon tant qu’un humain (ou une règle d’approbation explicite) ne l’a pas validée.

Quand une entreprise ouvre un dossier Vision en demandant à INNIA de le construire, le texte libre de la vision (l’intention) et un résumé borné de données d’entreprise déjà autorisées dans INN — y compris, selon les modules souscrits, des agrégats comptables, commerciaux, de stock ou RH — partent vers OpenRouter pour structurer le titre, la description et les objectifs proposés. Les chiffres de départ, les cibles et la faisabilité restent calculés sur les serveurs INN ; rien n’est inventé hors de ce contexte. Le dossier et ses objectifs restent modifiables par l’entreprise.

Quand une entreprise utilise une colonne IA dans un registre (une colonne qu’INNIA remplit à partir d’une consigne), ce que la ligne contient — les cellules que voit la personne qui lance la proposition, jamais une valeur secrète, et le nom de ce à quoi la ligne est rattachée — part vers OpenRouter, qui relaie vers le modèle d’IA réglé par l’installation. La valeur proposée revient comme une proposition : elle n’entre dans le registre que si quelqu’un l’accepte d’un clic.

Depuis le 1er octobre 2026, une colonne IA peut aussi lire les pièces jointes de sa ligne (un contrat, une facture, une photo) :

• Éteint par défaut. Rien ne part tant que la personne qui administre le registre n’a pas coché « Lire les pièces jointes de la ligne » sur cette colonne. Le journal du registre dit qui l’a cochée et quand.
• Ce qui part. Le nom et le contenu des pièces jointes de la ligne : le texte d’un PDF, d’un Word, d’un tableur ou d’une présentation, lu sur les serveurs INN ; une photo ou un PDF scanné, envoyé tel quel au modèle des documents réglé par l’installation (toujours via OpenRouter) pour en lire le texte. Au plus cinq pièces par ligne, 8 Mo chacune, et 30 000 signes de texte. Seules partent les pièces des colonnes que voit la personne qui lance.
• Ce qui ne part jamais. Une pièce que l’antivirus n’a pas déclarée saine au moment de l’envoi — y compris quand il n’a pas pu répondre —, un fichier qui n’est pas encore arrivé, une valeur secrète.
• Quand. Seulement au moment d’une proposition : quand quelqu’un clique « Proposer avec INNIA », le demande à INNIA, ou qu’une automatisation de l’entreprise le fait. Jamais au dépôt d’une pièce.
• Qui l’éteint. La personne qui administre le registre, en décochant la case sur la colonne ; ou l’entreprise, en coupant INNIA. Le prix d’une ligne lue avec ses pièces s’affiche avant le clic.

Joindre un dossier entier à un registre (« Joindre des pièces… ») n’envoie rien à un fournisseur d’IA : les fichiers partent un à un vers les serveurs INN, chacun analysé par l’antivirus, et seuls leurs noms servent à trouver la ligne qui les reçoit.

Quand une entreprise utilise les démarches INPI automatiques — sur ses dossiers dans INN, ou sur un registre ou une base Notion qu'elle a branchés à une automatisation —, les données du titulaire (nom, adresse, téléphone, commune, catégorie d'activité, adresse e-mail) et les photos de sa pièce d'identité (recto et verso) sont lues par les serveurs INN et transmises au portail de l'INPI pour créer le compte et déposer le dossier. Les photos passent aussi par OpenRouter, qui relaie vers le modèle d'IA chargé d'en lire les informations avant le dépôt. Le mot de passe du compte INPI créé est rangé chiffré dans le coffre d'INN, jamais dans le tableau de l'entreprise. Rien ne part sans que l'entreprise ait allumé l'automatisation.

Quand une entreprise connecte ses pages Facebook, Instagram, LinkedIn, TikTok ou équivalents, la connexion OAuth et l’envoi des publications passent par Upload-Post, qui ne sert qu’à brancher les comptes, publier et remonter des métriques. Les brouillons, scripts, validations et historiques restent chez INN.

Un outil de diagnostic de pannes (Sentry) peut être allumé sur une installation. S’il l’est, il reçoit des journaux techniques et un identifiant interne, pas votre nom ni votre mot de passe. Tant qu’il n’est pas allumé, rien n’y part.

Apple, Google et le système de votre téléphone voient ce que tout appareil leur montre (jeton de notification le jour où les alertes seront branchées, permission de localisation, etc.). Ce n’est pas INN qui les commercialise.

Ce site de documentationCopier le lien de ce titre

Section ajoutée le 7 octobre 2026.

Les pages de docs.innapp.pro — celle-ci comprise — sont servies par les serveurs INN, les mêmes que l’application. Ce sont des pages toutes faites : rien n’est calculé pour vous, rien ne vous est demandé.

• Ce qui transite : comme pour tout site, votre navigateur envoie au serveur votre adresse IP, l’adresse de la page demandée, celle d’où vous venez et la description de votre navigateur. Le serveur les inscrit dans son journal technique, qui sert à diagnostiquer une panne.
• La recherche se fait dans votre navigateur : la liste des pages est téléchargée depuis ce site, et ce que vous tapez dans la loupe ne part nulle part.
• Le thème : si vous choisissez l’affichage clair ou sombre, ce choix est gardé dans votre navigateur (stockage local), pour la visite suivante. Il n’est jamais envoyé.
• Ce qui n’y est pas branché : aucune mesure d’audience, aucun outil publicitaire, aucun cookie, et aucune ressource venue d’un autre site : les icônes et l’index de recherche sont servis par ce site lui-même, et le texte s’affiche dans les polices de votre appareil. Ce que vous lisez ici ne part chez aucun fournisseur d’intelligence artificielle.
• À confirmer : combien de temps le journal technique de ce site est gardé. Cette section sera complétée dès que la durée sera fixée.

Ce site ne demande aucun compte et ne collecte rien d’autre. Pour une question sur ce journal, voir Assistance.

Combien de tempsCopier le lien de ce titre

Le compte disparaît dès que vous le supprimez depuis l’application (Réglages → Supprimer mon compte). Le dossier employé — bulletins, pointages, contrats — est conservé par l’employeur, qui y est légalement tenu. La suppression détache la fiche de votre identifiant ; elle ne l’efface pas.

La durée exacte de conservation du dossier est celle de votre entreprise, pas celle d’INN.

Vos droitsCopier le lien de ce titre

Depuis l’application vous pouvez :

• consulter et, selon les droits ouverts par l’employeur, demander la correction de votre fiche ;
• révoquer les sessions (« Mes appareils ») ;
• supprimer votre compte, sans attendre un arbitrage. C’est immédiat, sauf si vous êtes le dernier administrateur encore actif de l’entreprise — dans ce cas le produit refuse, pour ne pas verrouiller l’installation.

Pour le dossier RH lui-même (accès, rectification, opposition, durée), c’est votre employeur qui répond. S’il n’est plus joignable, voir Assistance.

EnfantsCopier le lien de ce titre

INN n’est pas destiné aux enfants. Il s’adresse aux salariés d’une entreprise cliente.

ModificationsCopier le lien de ce titre

Si le produit commence à collecter une donnée nouvelle, cette page est mise à jour à la même date. La date en tête de page fait foi.