Vous voulez vérifier. Voici tout ce que nous savons.
Le compte rendu complet, section par section, avec les dates et les sources. La version courte est sur la page Sécurité.
Qui a examiné Trupeo ?
Examiné par un laboratoire extérieur, pas seulement par nous.
Google classe la lecture et la gestion d’une boîte Gmail parmi ses autorisations restreintes. Une application comme Trupeo, qui s’en sert depuis ses propres serveurs, doit se soumettre à une évaluation de sécurité menée par un laboratoire indépendant. Ce programme s’appelle CASA.
TAC Security évalue Trupeo au niveau AL1. C’est l’un des laboratoires autorisés par l’App Defense Alliance à mener ces évaluations.
Fin de l’examen. TAC Security conclut que Trupeo est conforme sur l’ensemble des contrôles du niveau AL1.
Google approuve la vérification de Trupeo pour cet accès. Gmail n’affiche plus d’écran d’avertissement au moment de connecter votre boîte mail.
- Chaque année
Une nouvelle évaluation. Ce n’est pas un examen ponctuel : Google la demande au moins tous les 12 mois.
D’où viennent ces règles
- Google : autorisations de l’API Gmail et leur classement (en anglais)
- Google : vérification des autorisations restreintes (en anglais)
- App Defense Alliance : laboratoires autorisés (en anglais)
Ces pages expliquent les règles. Le niveau, les dates et le résultat de Trupeo n’y figurent pas : ils viennent des courriers de Google et de TAC Security.
Où sont gardés mes mails ?
Vos mails restent où ils sont.
Trupeo se connecte à l’adresse que vous avez déjà. Gmail, Microsoft 365 et Outlook passent par la page de connexion de Google ou de Microsoft ; tout autre service mail, par IMAP.
Vos mails restent chez votre service mail. Trupeo travaille sur une copie des mails qu’il montre à votre équipe, stockée chez Microsoft Azure, en France.
Si vous arrêtez Trupeo, votre boîte mail ne bouge pas et rien n’y est supprimé.
- Votre boîte mailGmail, Outlook ou votre service mail. Elle reste où elle est.
- Une copie chez TrupeoStockée en France, chiffrée.
- Votre équipeChacun avec son propre compte.
Ce que Trupeo change dans votre boîte mail
Une partie de ce que votre équipe fait dans Trupeo se fait aussi dans votre boîte mail.
Pour Gmail, Trupeo n’a pas l’autorisation de supprimer définitivement un mail.
Qui peut y accéder ?
Chacun se connecte avec son propre compte.
Chaque membre de l’équipe a son propre compte Trupeo, et une boîte mail n’est partagée qu’avec les personnes invitées par ses propriétaires. Personne n’a besoin de faire circuler le mot de passe de la boîte mail.
Vérification en deux étapes
C’est un code donné par une application d’authentification, avec des codes de secours si vous perdez votre téléphone. Elle dépend de la façon dont vous vous connectez.
Quand l’équipe Trupeo ouvre votre compte
Personne chez Trupeo ne lit vos mails, sauf si vous nous le demandez ou si la sécurité ou la loi l’exige.
Quand un membre de l’équipe Trupeo ouvre votre compte, c’est enregistré, avec la date. Aucune notification n’est envoyée : c’est cette liste qu’il faut consulter.
L’écran tel qu’il est dans l’app. La date est un exemple.
Chaque membre ne voit que les ouvertures de son propre compte. Quand l’équipe Trupeo ouvre le compte d’un autre membre, elle accède à la même boîte mail partagée. Un propriétaire de boîte mail qui veut une vue complète peut demander aux autres membres de consulter aussi leur liste.
Où sont les serveurs ?
Stocké en France, chiffré pendant les échanges et une fois stocké.
Trupeo fonctionne sur Microsoft Azure. La base de données et les serveurs de l’application sont en France (région Azure France Central). Les contenus des mails et les pièces jointes stockés y sont aussi.
Certains prestataires ne sont pas en France. Leur liste est dans la politique de confidentialité, section 5, et ce que chacun voit est expliqué plus bas.
Pendant les échanges
Le site et l’application sont servis uniquement en HTTPS, et les connexions de Trupeo à Gmail et à Microsoft sont chiffrées elles aussi.
Ses connexions à un serveur IMAP ou SMTP sont chiffrées quand ce serveur le propose. Trupeo ne refuse pas un serveur qui ne le propose pas.
Une fois stocké
Azure chiffre la base de données et le stockage de fichiers sur ses disques. Trupeo ajoute sa propre couche par-dessus (AES-256-GCM), avec une clé propre à chaque boîte mail, mais pas sur tout :
| Ce qui est stocké | Chiffré par Azure | Chiffré aussi par Trupeo |
|---|---|---|
| Vos identifiants de connexion à la boîte mail | Oui | Oui |
| Le texte de vos mails et les pièces jointes | Oui | Ouidepuis le 10 juillet 2026 |
| L’objet d’un mail, ses adresses, l’aperçu, une copie de son texte gardée pour la recherche, et ce que votre équipe écrit dans Trupeo | Oui | Non, Azure seulement |
- Vos identifiants de connexion à la boîte mailAzureOuiTrupeo en plusOui
- Le texte de vos mails et les pièces jointesAzureOuiTrupeo en plusOuidepuis le 10 juillet 2026
- L’objet d’un mail, ses adresses, l’aperçu, une copie de son texte gardée pour la recherche, et ce que votre équipe écrit dans TrupeoAzureOuiTrupeo en plusNon
Copier un fichier depuis le stockage ne suffit pas à le lire : la clé est gardée à part, dans Azure Key Vault.
Et mes coordonnées de paiement ?
Vos coordonnées de paiement vont chez Stripe, pas chez nous.
Les abonnements et les paiements sont gérés par Stripe.
Quels autres services interviennent ?
Les autres services qui interviennent.
Trupeo s’appuie sur neuf services extérieurs. Six ne voient jamais vos mails. Voici le rôle de chacun, et ce qu’il peut voir.
Ils ne voient pas vos mails(6)
- StripeAbonnements et paiements.
- Cloudflare TurnstileTient les robots à l’écart des formulaires du site.
- Google AnalyticsMesure l’utilisation du site et de l’application.
- PostHogMesure l’usage du produit et enregistre la navigation, pour voir où l’on bloque.L’enregistrement s’arrête avant votre boîte mail.
- Google ChatPrévient l’équipe Trupeo quand quelqu’un lui écrit ou utilise le formulaire de contact.Il ne reçoit que ce que vous nous écrivez.
- GitHubGarde le code source de Trupeo et le déploie.Il ne voit pas vos mails, mais le code qu’il déploie pourrait les voir.
Ils en voient une partie(1)
- Amazon SESEnvoie les mails de Trupeo lui-même, comme les confirmations de compte et les notifications par mail.Un mail de notification peut citer l’objet d’une conversation et le nom de la personne qui a écrit, pas le texte du mail.
Ils voient vos mails(2)
- Microsoft AzureHéberge Trupeo : serveurs de l’application, base de données et stockage de fichiers.Il stocke la copie de Trupeo.
- Google, Microsoft et les services mail en IMAPLà où votre boîte mail se trouve déjà. Trupeo y lit, envoie et range les mails pour votre équipe.Vos mails y sont déjà.
Vous savez maintenant où vont vos mails.
Connectez votre boîte mail quand vous le voulez. Vos mails restent chez votre service mail, et vous pouvez arrêter à tout moment.
- Sans carte bancaire
- Vous gardez votre adresse et vos mails
- Dès 10 € HT par mois et par boîte mail