HexomailConfidentialité
Mise à jour le 6 octobre 2026
Hexomail est un client de messagerie : il lit et envoie vos mails sur votre appareil, en se connectant directement aux serveurs de votre fournisseur (Gmail, Orange, votre hébergeur…). Cette page décrit, sans exception, ce qui quitte votre appareil, vers qui et pourquoi.
Responsable du traitement : Hexonest SAS (voir les mentions légales). Contact pour toute question sur vos données : bonjour@hexonest.fr.
1. Ce qui reste sur votre appareil
- Vos messages, pièces jointes, dossiers, l'index de recherche et le cache des images : dans une base locale chiffrée.
- Vos mots de passe de messagerie et jetons de connexion Google : dans le trousseau du système (Linux) ou le stockage chiffré d'Android.
- Vos clés HexoTransfert privées.
- Votre carnet d'adresses : les adresses auxquelles vous écrivez et qui vous écrivent, et, si vous le demandez, les contacts de votre téléphone (Android, permission « Contacts ») ou d'un serveur CardDAV que vous indiquez. Seuls les noms et adresses e-mail sont lus ; rien n'est envoyé à Hexonest.
Hexonest n'a accès à aucune de ces données.
2. Ce qui passe par nos serveurs, et seulement dans ces cas
| Service | Données transmises | Conservation |
|---|---|---|
| Détection de la configuration, à l'ajout d'un compte | Le nom de domaine de l'adresse (la partie après « @ »), jamais l'adresse complète. | Les réglages trouvés sont gardés par domaine, sans lien avec vous. |
| Proxy d'images (abonnés, facultatif) | L'adresse des images que vous choisissez d'afficher. | Aucune adresse dans nos journaux, seulement des compteurs agrégés. Cache des images : 24 h. |
| Destination d'un lien opaque (abonnés, sur demande) | L'adresse du lien, au moment où vous demandez à la révéler. | Aucune adresse dans nos journaux. |
| Compte Hexomail (facultatif) | Vos adresses vérifiées, un condensat de votre mot de passe (scrypt), vos crédits et commandes. | Tant que le compte existe. |
| HexoTransfert | Vos clés publiques, consultables par les personnes qui vous envoient des fichiers ; l'historique des recherches de clés (adresse de l'expéditeur, adresse recherchée, date). | Clés : tant que vous les publiez. Recherches : 12 mois, puis supprimées automatiquement. |
| Synchronisation entre vos appareils (facultatif) | Vos comptes (sans mots de passe), signatures et réglages, chiffrés de bout en bout avec une clé que seuls vos appareils possèdent. | Tant que la synchronisation est active ; illisibles pour nous. |
| Ajout d'un appareil | Une enveloppe chiffrée pour le seul nouvel appareil, relayée par notre serveur. | 10 minutes au plus, supprimée dès qu'elle est reçue. |
| Envoi d'une newsletter (membres d'une liste) | L'app récupère les adresses des abonnés de la liste pour envoyer à chacun son exemplaire, depuis votre propre serveur de messagerie. | Les adresses ne sont pas gardées sur l'appareil ; seul l'avancement de l'envoi l'est. |
| Inscription à une liste de diffusion | L'adresse et le nom que vous donnez, et la preuve de votre accord. | Tant que vous êtes inscrit (voir Listes de diffusion). |
| Code de vérification d'une adresse | Un message envoyé à l'adresse à vérifier. | Le code expire après 30 minutes. |
Les journaux techniques de nos serveurs ne contiennent ni le contenu de vos messages, ni l'adresse des images ou des liens.
3. Données Google (Gmail)
Pour un compte Gmail connecté avec Google, Hexomail demande l'accès complet à Gmail (https://mail.google.com/), seul moyen de relever et d'envoyer vos messages en IMAP et SMTP, ainsi que votre adresse et votre photo de profil.
- La connexion à Google et l'échange des jetons se font sur votre appareil ; vos messages Gmail et vos jetons Google ne transitent jamais par les serveurs d'Hexonest.
- Le proxy d'images et la révélation automatique des liens sont désactivés pour ces comptes, sauf si vous les activez vous-même.
- Les jetons Google ne sont jamais transmis à un autre appareil, même lors de l'ajout d'un appareil : chaque appareil se connecte à Google lui-même.
- Ces données ne servent qu'à vous afficher et vous laisser gérer vos messages. Elles ne sont ni vendues, ni utilisées pour de la publicité, ni pour entraîner des modèles d'intelligence artificielle.
L'utilisation et le transfert, par Hexomail, des informations reçues des API Google respectent les règles relatives aux données utilisateur des services d'API Google, y compris les exigences d'utilisation limitée (« Limited Use »).
4. Listes de diffusion
Hexonest héberge des listes de diffusion (lettres d'information) en France. Deux cas, selon qui envoie la liste.
Les listes d'Hexonest
Pour ses propres listes, comme « Nouvelles d'Hexomail », Hexonest est responsable du traitement.
- Finalité : vous envoyer la lettre à laquelle vous vous êtes inscrit, et rien d'autre. Pas de publicité de tiers, pas de revente, pas de croisement avec d'autres données.
- Base légale : votre consentement, donné par double confirmation : vous cochez la case, puis vous confirmez par le lien reçu par mail. Vous le retirez quand vous voulez avec le lien de désinscription présent dans chaque message, ou en nous écrivant.
- Données : votre adresse et, si vous le donnez, votre nom ; comme preuve de votre accord, la date, l'adresse IP, la page d'inscription et le texte accepté.
- Protection : l'adresse et le nom sont chiffrés dans notre base. Seules les personnes chargées de la liste y ont accès.
- Durée : tant que vous êtes inscrit. Une demande non confirmée est effacée après 30 jours. Après une désinscription, nous ne gardons qu'une empreinte non réversible de l'adresse, pour ne plus jamais vous écrire, même si l'adresse est réimportée.
- Envoi : les messages partent de notre serveur de messagerie, hébergé par HostNatPro en France, ou du serveur d'envoi choisi pour la liste.
Les listes d'autres expéditeurs
Quand une liste est gérée par une autre organisation, celle-ci est responsable du traitement : c'est elle qui décide de ce qu'elle vous envoie, et c'est à elle que vous adressez vos demandes. Son nom et son contact sont indiqués sur le formulaire d'inscription et dans chaque message. Hexonest n'agit alors que comme sous-traitant (article 28 du RGPD) : nous hébergeons et envoyons la liste pour son compte, avec les mêmes protections, sans utiliser vos données pour nous-mêmes. Le lien de désinscription fonctionne dans tous les cas, et nous transmettons à l'expéditeur toute demande qui nous parviendrait.
5. Ce site
Ce site ne dépose aucun cookie, n'utilise aucun outil de mesure d'audience et ne charge aucune ressource externe.
6. Hébergement
Nos serveurs sont hébergés par OVH SAS, dans son centre de données de Gravelines, en France. Les codes de vérification et les alertes de sécurité sont envoyés par notre serveur de messagerie, hébergé par HostNatPro, en France.
7. Vos droits
Vous pouvez accéder à vos données, les faire rectifier ou supprimer, vous opposer à leur traitement ou en demander la portabilité en écrivant à bonjour@hexonest.fr. Sur simple demande, nous supprimons votre compte Hexomail : vos adresses, clés publiées, sessions, commandes et données synchronisées sont effacées. Pour une liste de diffusion, le lien de désinscription suffit ; pour l'effacement complet de votre inscription, écrivez à l'expéditeur de la liste. Vous pouvez aussi saisir la CNIL (cnil.fr).