Politique de confidentialité

1. Responsable du traitement

Les services Octy Community Manager et Octy SEO Agent (ensemble, le « Service ») sont édités par :

Laurie Capelli
Entrepreneur individuel (micro-entreprise)
SIRET : 130 131 170 00016
Adresse : Saint-Jean-de-Fos (34150), France
Contact : [email protected]

2. Données collectées

Dans le cadre du Service, nous collectons et traitons :

• Les données de compte : nom, adresse e-mail, mot de passe (stocké uniquement sous forme chiffrée irréversible), offre souscrite, compteurs d'usage mensuels.
• Les informations de facturation : identifiants client et abonnement chez notre prestataire de paiement. Les numéros de carte bancaire sont saisis chez Stripe et ne transitent ni ne sont conservés par nos serveurs.
• Les informations des comptes de réseaux sociaux connectés par nos clients (Pages Facebook, comptes Instagram professionnels, Threads, TikTok, YouTube, Pinterest, LinkedIn) : identifiants et nom du compte, et jetons d'accès permettant de publier en leur nom.
• Le contenu éditorial créé ou importé par nos clients : textes, images, vidéos, calendriers de publication.
• Les statistiques de performance des publications (portée, impressions, engagement) récupérées via les API des plateformes, dans la seule mesure où elles le permettent.
• Pour l'agent SEO : l'adresse des sites que le client y déclare, les résultats d'analyse de ces sites (pages publiques lues par notre robot), les mots-clés suivis, les articles rédigés et leur état de validation, et les identifiants de publication que le client choisit de configurer (WordPress, Shopify, webhook) ;
• Si le client connecte son compte Google : les données de performance de son site issues de Google Search Console (requêtes, positions, affichages, clics) et, s'il l'autorise, de Google Analytics (nombre de visiteurs, sessions, pages vues, canaux, appareils et pays, sous forme agrégée, sans données personnelles de visiteurs), la liste de ses fiches Google Business Profile et un jeton d'accès en lecture permettant de consulter ces données ou de publier en son nom ;
• Pour l'outil d'audit : des indicateurs publics de comptes Instagram professionnels saisis par nos clients (abonnés, nombre de publications, j'aime et commentaires), conservés dans l'espace du client qui a lancé l'audit.
• Des données techniques de sécurité : adresse IP de connexion, utilisée pour limiter les tentatives abusives, et journaux de fonctionnement.

3. Finalités du traitement

Ces données sont utilisées exclusivement pour :

• Permettre à nos clients de planifier et publier du contenu sur leurs propres comptes ;
• Afficher des statistiques de performance de ces publications ;
• Assister nos clients dans la rédaction de contenus (suggestions générées par intelligence artificielle) ;
• Auditer les sites déclarés par nos clients, leur proposer des mots-clés, des articles et des liens internes, suivre leur positionnement dans Google et, après validation expresse du client, publier les articles sur son site ou sur sa fiche Google Business Profile ;
• Gérer les comptes, les abonnements et la facturation, et envoyer les e-mails liés au compte (confirmation, invitation, réinitialisation du mot de passe) ;
• Assurer la sécurité et le bon fonctionnement du Service.

Nous ne vendons, ne louons et ne partageons jamais ces données à des fins publicitaires ou commerciales tierces.

4. Base légale

Le traitement repose sur l'exécution du contrat conclu avec chaque client (fourniture du Service et facturation), sur notre intérêt légitime à sécuriser le Service, ainsi que, pour les jetons d'accès aux réseaux sociaux, sur le consentement explicite donné par le client lors de la connexion OAuth de son compte.

5. Destinataires des données

Les données peuvent être transmises aux sous-traitants suivants, strictement nécessaires au fonctionnement du Service :

• Meta Platforms Ireland Ltd. (Facebook, Instagram, Threads), TikTok, Google (YouTube), Pinterest et LinkedIn — pour la publication de contenu et la récupération de statistiques, sur les seuls comptes explicitement connectés par le client ;
• Google (Search Console, Google Analytics et Google Business Profile) — pour lire les données de performance du site, les statistiques de fréquentation et la liste des fiches du compte que le client a connecté, et publier un post sur sa fiche à sa demande. L'utilisation et le transfert par Octy des informations reçues des API Google respectent la Politique relative aux données utilisateur des services d'API Google, y compris les exigences d'utilisation limitée : ces données ne servent qu'à fournir les fonctions décrites ici, ne sont ni vendues, ni transférées à des tiers (hors prestataires listés ci-dessous strictement nécessaires), ni utilisées pour de la publicité ou pour entraîner des modèles d'IA généralistes, et ne sont lues par un humain qu'avec l'accord du client (support) ou pour des raisons de sécurité ou légales ;
• Les services de publication choisis par le client (WordPress ou Shopify de son site, ou l'adresse de webhook qu'il indique) — ils ne reçoivent que les articles validés et uniquement vers l'adresse configurée par le client ;
• Anthropic PBC — pour la génération assistée de textes et l'analyse des résultats d'audit (le contenu transmis n'est utilisé que pour produire la réponse, pas pour entraîner leurs modèles dans le cadre d'un usage API) ;
• Stripe — pour le paiement des abonnements ;
• Resend — pour l'envoi des e-mails liés au compte ;
• Cloudflare, Inc. — pour la protection et l'acheminement du trafic du site (les échanges transitent par son réseau) ;
• Notre hébergeur (serveur situé à Paris, France).

Certains de ces prestataires sont établis hors de l'Union européenne ; les transferts sont alors encadrés par les mécanismes prévus par le RGPD (clauses contractuelles types ou décision d'adéquation).

6. Durée de conservation

Les données sont conservées pendant toute la durée de la relation contractuelle avec le client, puis supprimées du Service dans un délai maximum de 30 jours après la résiliation ou la demande de suppression. Les copies de sauvegarde sont purgées automatiquement : au plus 60 jours pour les sauvegardes quotidiennes de données, 4 semaines pour les sauvegardes hebdomadaires complètes. Les données de facturation sont conservées 10 ans, conformément aux obligations comptables.

6 bis. Cloisonnement et suppression

Les données de l'agent SEO de chaque compte sont stockées dans un espace distinct et ne sont accessibles qu'à ce compte. La suppression du compte efface l'ensemble de ces données (sites, audits, articles, jetons Google, identifiants de publication). Le client peut aussi retirer l'accès à son compte Google à tout moment depuis les paramètres de sécurité de son compte Google ou en déconnectant Search Console dans le Service.

7. Cookies

Le Service utilise un cookie strictement nécessaire (octy_session), destiné à maintenir la session de connexion, ainsi qu'un cookie temporaire (10 minutes) lié à la connexion à Google (seo_gsc_state), qui protège cette connexion contre les détournements. Ce cookie ne sert à aucune finalité publicitaire ou de suivi et n'est pas partagé avec des tiers. Aucun consentement cookie n'est requis pour ce cookie essentiel au fonctionnement du Service. Notre prestataire Cloudflare peut déposer un cookie technique de sécurité (protection contre les robots) sans finalité publicitaire.

8. Vos droits

Conformément au Règlement général sur la protection des données (RGPD), vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données, ainsi que du droit de retirer votre consentement à tout moment (notamment en déconnectant vos comptes depuis les paramètres de chaque plateforme). Pour exercer ces droits, voir notre page dédiée à la suppression des données ou contactez-nous à [email protected]. Vous pouvez également introduire une réclamation auprès de la CNIL (cnil.fr).

9. Sécurité

Les jetons d'accès aux réseaux sociaux et les mots de passe sont stockés de manière sécurisée (mots de passe chiffrés de façon irréversible, sauvegardes à accès restreint). Les échanges sont chiffrés (HTTPS). L'accès au Service est protégé par authentification, par une limitation des tentatives de connexion, et n'est accessible qu'aux personnes autorisées par nos clients.

10. Contact

Pour toute question relative à cette politique de confidentialité ou à vos données personnelles : [email protected].