Politique de confidentialité

Dernière mise à jour: 14 octobre 2026

La présente politique explique quelles données personnelles detachbox collecte, à quelles fins nous les utilisons et comment vous en gardez le contrôle. Le service est exploité par AppMaster Inc, DBA DetachBox. Écrivez à support@detachbox.com pour toute question ou demande relative à la confidentialité.

Exploitant: AppMaster Inc, DBA DetachBox
Siège social: 111 Pier Ave STE 100, Hermosa Beach, CA 90254, United States
Droit applicable: État de Californie, États-Unis ; tribunaux du comté de Los Angeles

1. Ce que nous collectons

Données de compte : votre adresse e-mail et votre nom ; la photo de votre compte Google si vous vous connectez avec Google ; la clé publique de votre clé d’accès (passkey) si vous en utilisez une ; une empreinte (hash) de votre mot de passe si vous vous connectez avec une adresse e-mail et un mot de passe.
Données de facturation : vos identifiants client et d’abonnement Stripe, votre offre, le statut de vos paiements et vos factures. Les données de carte sont transmises à Stripe et n’atteignent jamais nos serveurs.
Données du Compute : le nom, l’offre, le statut et l’utilisation des ressources (CPU, mémoire, disque, réseau) de votre Compute ; le nom et le dossier de vos projets ; et pour chaque terminal ouvert, son projet, son agent, le compte sur lequel il tourne, son statut et l’heure de son démarrage.
Comptes et clés connectés : pour chaque compte Codex ou Claude que vous connectez, l’identifiant du compte chez le fournisseur, l’adresse e-mail, le nom de l’offre, les jetons OAuth et les relevés de vos limites d’utilisation ; pour chaque clé API que vous ajoutez, son fournisseur et la clé, chiffrée.
Données de notification, si vous activez les notifications : les abonnements push du navigateur que vous enregistrez, votre conversation Telegram si vous la liez, vos heures calmes et les notifications que nous envoyons. Une notification concernant un agent contient les noms du projet et de l’onglet ainsi qu’une ligne de la sortie du terminal de cet onglet.
Données Vault, si vous connectez Sallyport Cloud : les jetons de la connexion, l’agent Sallyport que nous créons pour chaque projet et le jeton de cet agent.
Données techniques : adresses IP et localisation approximative que notre CDN en déduit (pays, région, ville), agent utilisateur et fuseau horaire du navigateur, un identifiant aléatoire que votre navigateur conserve pour detachbox (il distingue vos connexions et nous permet de vérifier qu’une invitation est envoyée depuis le propre navigateur de la personne qui invite), journaux des requêtes et des connexions aux terminaux, et rapports d’erreur.
Les messages que vous nous envoyez, par exemple au support ou au service abus.

2. Vos jetons Codex et Claude

Lorsque vous connectez un compte Codex (ChatGPT) ou Claude dans le tableau de bord, OpenAI ou Anthropic émet des jetons OAuth pour ce compte : un jeton d’accès (access token) et un jeton d’actualisation (refresh token). Nous les stockons tous deux sous forme chiffrée dans notre base de données, avec une clé détenue uniquement par notre serveur.

Nous les utilisons à deux fins. Premièrement, pour lire vos limites d’utilisation auprès du fournisseur et les afficher sur votre tableau des limites. Deuxièmement, pour placer un jeton d’accès valide dans les projets dont les agents tournent sur ce compte, afin que les outils en ligne de commande de votre Compute puissent fonctionner. Notre serveur renouvelle le jeton d’accès au moyen du jeton d’actualisation avant son expiration.

Le jeton d’actualisation ne quitte jamais notre serveur et n’est jamais écrit sur votre Compute. Toute personne ayant accès à votre Compute, y compris un agent qui y fonctionne avec sudo, peut lire le jeton d’accès qu’il contient ; ne donnez donc accès à votre Compute qu’à des logiciels que vous contrôlez.

Vous pouvez déconnecter un compte à tout moment. Nous supprimons alors ses jetons et son historique d’utilisation de notre base de données et retirons les fichiers d’identifiants de votre Compute ; nous ne révoquons pas les jetons auprès du fournisseur, déconnectez-vous donc chez lui pour mettre également fin à sa session. La suppression de votre compte detachbox produit le même effet pour l’ensemble de vos comptes connectés.

3. Ce qui se trouve sur votre Compute

Les fichiers, bases de données, projets et programmes présents sur votre Compute constituent votre contenu. Notre personnel ne les parcourt pas. Nous n’accédons au contenu d’un Compute que lorsque vous demandez de l’aide, lorsque nous enquêtons sur un incident de sécurité ou un abus, ou lorsque la loi l’exige.

4. Les assistants que vous connectez

Vous pouvez connecter un assistant IA, comme ChatGPT, Claude ou Grok, à votre compte detachbox. C’est vous qui le faites : l’assistant demande l’accès, et vous l’approuvez sur une page detachbox qui liste tout ce qu’il pourra faire. Vous pouvez aussi créer une clé MCP pour un assistant qui se connecte avec une clé.

Ce que reçoit l’assistant

Quand l’assistant travaille avec detachbox pour vous, il reçoit ce que renvoient ses requêtes :

les noms de vos projets et terminaux, leur état et depuis combien de temps ils y sont ;
ce que font vos agents de code : les questions qu’ils posent avec leurs choix, leurs derniers messages et leurs étapes récentes, comme une commande lancée ou un fichier modifié ;
les dernières lignes affichées à l’écran d’un terminal, et les adresses de ses aperçus ;
les libellés des comptes fournisseurs sur lesquels tournent vos agents (l’adresse e-mail du compte s’il n’a pas de libellé), la part utilisée de chaque limite d’utilisation et sa date de remise à zéro ;
le contenu de tout fichier que vous lui demandez de lire ;
les événements de vos agents : un agent vous attend, a terminé son tour ou s’est arrêté, avec sa question ou la dernière chose qu’il a dite.

Écrans et fichiers

Ce qu’affiche un terminal et ce que contient un fichier, ce sont vos programmes et vos agents qui l’y ont écrit. L’assistant reçoit le contenu d’un fichier quand on lui demande de le lire, ou quand le fichier s’affiche à l’écran d’un terminal. Ce que l’assistant lit n’est pas inscrit dans votre journal d’activité.

Qui les traite

Ces données vont à l’assistant que vous avez connecté et à son fournisseur, par exemple OpenAI, Anthropic ou xAI, qui les traite selon ses propres conditions et sa propre politique de confidentialité. L’assistant agit en votre nom : ce qu’il fait dans vos terminaux est fait sous votre compte.

Ce que nous conservons

Pour chaque connexion : le nom, le site web et le logo de l’application tels qu’elle les déclare, l’adresse vers laquelle elle vous renvoie après votre approbation, la date de connexion et la date de sa dernière activité. Pour une application qui s’est enregistrée elle-même chez nous, nous conservons aussi son enregistrement et l’adresse réseau depuis laquelle elle s’est enregistrée.
Les jetons d’accès, les jetons de renouvellement et les clés MCP uniquement sous forme d’empreintes à sens unique, jamais les jetons ou les clés eux-mêmes ; pour une clé MCP, aussi ses quatre derniers caractères, pour que vous puissiez distinguer vos clés.
Dans votre journal d’activité : chaque modification faite par un assistant, comme la vôtre, avec l’application par laquelle elle est passée, le terminal et le type d’action. Le texte des messages et des tâches qu’il envoie n’est pas inscrit, seulement sa longueur ; pour les touches qu’il tape, le journal garde le nom des touches comme Enter ou Escape et un masque à la place de tout texte.
Un journal des événements de vos agents (un agent attend, a terminé ou s’est arrêté, avec sa question ou sa dernière ligne).
Pour un assistant qui s’abonne à ces événements : l’adresse que sa plateforme nous a donnée pour les livrer, un secret de signature stocké chiffré et l’état de ses livraisons.
Les e-mails que nous vous envoyons quand un assistant est connecté ou qu’une clé MCP est créée, dans notre journal d’e-mails.

Combien de temps nous les conservons

Les jetons d’accès durent 1 heure et les jetons de renouvellement 30 jours, chaque renouvellement remplaçant celui utilisé ; leurs empreintes sont supprimées un jour après leur expiration.
L’enregistrement d’une connexion est supprimé 30 jours après que vous l’avez déconnectée ou qu’elle a expiré.
Une demande de connexion dure 10 minutes et est supprimée un jour après son expiration. L’enregistrement d’une application qui n’aboutit jamais à une connexion est supprimé au bout d’un jour ; celui d’une application utilisée est conservé.
Le journal des événements garde 7 jours.
Un abonnement aux événements est supprimé un jour après son expiration, après 3 jours de livraisons en échec, ou dès que sa connexion prend fin.
Les entrées du journal d’activité sont conservées 2 ans, comme le reste du journal d’activité, et le journal d’e-mails 90 jours.

Vos contrôles

Déconnectez une application ou révoquez une clé sur la page Assistants du tableau de bord : son accès et ses abonnements aux événements prennent fin aussitôt.
Changer ou réinitialiser votre mot de passe, ou déconnecter vos autres appareils, ferme toutes les connexions et toutes les clés.
Nous vous écrivons à chaque connexion d’un assistant ou création d’une clé MCP, avec l’adresse de l’application ou les derniers caractères de la clé et l’heure, pour que vous repériez une connexion que vous n’avez pas faite.
Supprimer votre compte detachbox supprime ses connexions avec leurs jetons, ses clés, son journal d’événements et ses abonnements. L’enregistrement d’une application chez nous appartient à l’application, pas à un compte, et il est conservé ou supprimé comme décrit ci-dessus.

5. Pourquoi nous utilisons vos données

Pour fournir le service auquel vous avez souscrit : faire fonctionner votre Compute, vous connecter, afficher vos limites et vous facturer (exécution de notre contrat avec vous).
Pour assurer la sécurité du service et faire cesser les abus, au moyen de statistiques de ressources et de réseau et de journaux (notre intérêt légitime).
Pour vous envoyer des e-mails de service : Compute créé, problèmes de paiement, maintenance planifiée, limite réinitialisée, compte connecté hors service (exécution du contrat).
Pour tenir nos registres comptables (obligation légale).

6. Qui les traite pour notre compte

Stripe : paiements et factures.
Google : connexion avec Google.
Amazon Web Services : acheminement de nos e-mails.
Cloudflare : DNS et périphérie réseau (edge) en amont de notre site web et de notre tableau de bord.
Sentry : rapports d’erreurs de nos logiciels.
OpenAI et Anthropic : lorsque vous connectez un compte, nous échangeons et actualisons des jetons avec eux et lisons votre consommation en votre nom.
Telegram, si vous le liez : acheminement de vos notifications.
Le service push de votre navigateur (par exemple Google, Apple, Mozilla ou Microsoft), si vous activez les notifications du navigateur : acheminement des notifications push.
Sallyport Cloud, si vous le connectez : l’agent et le jeton de chaque projet, et les services que vos agents appellent par son intermédiaire.
Google Analytics, lorsqu’il est activé sur le site web : statistiques de visite agrégées.
L’assistant IA que vous connectez, et son fournisseur : les données décrites à la section 4, quand l’assistant travaille avec detachbox pour vous.

7. Lieu de stockage

Nous choisissons où sont hébergés nos serveurs et votre Compute. Les sous-traitants mentionnés ci-dessus peuvent traiter des données dans d’autres pays, selon leurs propres garanties.

8. Durée de conservation

Les données de compte sont conservées tant que votre compte existe. Vos projets et votre dossier personnel restent sur le disque de votre compte tant que votre Compute existe. L’environnement propre à un terminal, avec les paquets, services, données Docker et processus qu’il contient, est supprimé quand le terminal se termine, avec ses adresses d’aperçu et ses liens de fichiers partagés. Supprimer votre Compute, ou laisser un paiement échoué impayé jusqu’au jour 14, efface le disque du compte avec tous les projets et le dossier personnel qu’il contient. Les jetons des comptes connectés et les clés API sont supprimés quand vous les déconnectez ou supprimez votre compte detachbox. Les données de facturation sont conservées aussi longtemps que l’exige le droit comptable. Les journaux ne sont conservés que le temps nécessaire à la sécurité et au dépannage. Les enregistrements de connexion — adresse IP, localisation approximative, navigateur et identifiant d’appareil — sont conservés tant que la connexion est active et 30 jours après sa fin.

Les connexions d’assistants, les jetons, les événements et les abonnements aux événements sont conservés comme le décrit la section 4.

9. Cookies

Le tableau de bord utilise un cookie de session pour vous maintenir connecté. Le site web marketing ne dépose aucun cookie qui lui soit propre ; Google Analytics, lorsqu’il est activé, dépose ses propres cookies. Le tableau de bord conserve aussi dans le stockage local de votre navigateur l’identifiant aléatoire de l’appareil décrit à la section 1 ; effacer les données du site le supprime.

10. Vos droits

Vous pouvez nous demander une copie de vos données, leur rectification, leur suppression ou leur exportation. Vous pouvez également vous opposer aux traitements fondés sur notre intérêt légitime. Écrivez à support@detachbox.com ; nous répondons dans un délai de 30 jours. Vous pouvez également introduire une réclamation auprès de l’autorité de protection des données dont vous relevez.

11. Modifications

Nous publierons les modifications sur cette page et vous informerons par e-mail des modifications importantes avant leur entrée en vigueur.