Politique de confidentialité

1. Responsable de traitement

Onde (https://onde.baptcompany.fr) est un service édité par BAPTCOMPANY, Entreprise individuelle (micro-entreprise) exploitée par Baptiste Coulon, 45 rue du 8 mai, 72220 Teloché, France (SIRET : 832 892 657 00020). BAPTCOMPANY est responsable du traitement des données décrit dans la présente politique. Contact : contact@baptcompany.fr.

Onde est un outil de gestion et de publication de contenus sur les réseaux sociaux assisté par intelligence artificielle, destiné à l'éditeur et aux projets dont il gère la communication. L'accès se fait sur invitation.

2. Données collectées

2.1 Données de compte

• Adresse e-mail, nom, photo de profil (optionnelle)
• Données d'authentification (mot de passe haché, identifiant de connexion Google le cas échéant, sessions)
• Organisations dont vous êtes membre et rôle (membre, admin, propriétaire)

2.2 Données des comptes de réseaux sociaux connectés

Lorsque vous connectez un compte (Facebook, Instagram, LinkedIn, X, YouTube, TikTok), nous collectons :

• Identifiants techniques de la page, de la chaîne ou du compte, nom affiché et photo de profil
• Jetons d'accès et de rafraîchissement OAuth, chiffrés au repos (AES-256-GCM) dans notre base de données et jamais exposés au navigateur
• Les permissions (scopes) accordées
• Les métriques de vos publications (mentions J'aime, commentaires, impressions, portée, abonnés)

2.3 Contenus

• Textes, images, vidéos et fichiers audio que vous importez ou générez
• Contenus publiés ou planifiés, et leur état de publication
• Profils de marque et stratégies éditoriales que vous renseignez

2.4 Données techniques

• Adresse IP, type de navigateur, système d'exploitation, journaux techniques
• Cookies strictement nécessaires (voir section 10)

3. Finalités et bases légales

Finalité	Base légale (RGPD)
Création et gestion du compte, authentification, gestion des organisations	Exécution du contrat (art. 6.1.b)
Connexion de vos comptes sociaux, publication et planification de contenus en votre nom	Exécution du contrat et consentement OAuth que vous accordez à la plateforme (art. 6.1.a et 6.1.b)
Génération de contenus et de vidéos par IA à partir de vos profils de marque et instructions	Exécution du contrat (art. 6.1.b)
Affichage des métriques de performance de vos publications	Exécution du contrat (art. 6.1.b)
E-mails transactionnels (code de connexion, invitations, notifications de service)	Exécution du contrat (art. 6.1.b)
Sécurité, prévention des abus, journaux techniques	Intérêt légitime (art. 6.1.f)
Obligations comptables et légales	Obligation légale (art. 6.1.c)

Nous ne vendons pas vos données, ne faisons aucune publicité ciblée et ne réalisons aucun profilage produisant des effets juridiques.

4. Données issues de Meta (Facebook et Instagram)

• Les données Facebook et Instagram sont obtenues uniquement avec votre autorisation explicite via le flux OAuth de Meta.
• Elles sont utilisées uniquement pour publier du contenu sur les Pages et comptes professionnels que vous avez connectés, et pour afficher leurs statistiques dans Onde.
• Elles ne sont ni vendues, ni louées, ni partagées avec des courtiers de données, ni utilisées pour de la publicité, du profilage ou toute autre finalité.
• Elles ne sont transmises à aucun tiers, à l'exception des sous-traitants techniques listés en section 6 strictement nécessaires au fonctionnement du service.
• Vous pouvez révoquer l'accès à tout moment (section 9) ; les données associées sont alors supprimées selon la page Suppression des données.

5. Services API YouTube et Google

Onde utilise les services API YouTube. En connectant votre chaîne YouTube, vous acceptez d'être lié par les Conditions d'utilisation de YouTube et par la Politique de confidentialité de Google.

• Les données obtenues via les API YouTube / Google servent uniquement à publier des vidéos sur votre chaîne et à en afficher les statistiques, à votre demande.
• L'utilisation et le transfert par Onde des informations reçues des API Google vers toute autre application respectent la Politique relative aux données utilisateur des services API de Google, y compris les exigences d'utilisation limitée (Limited Use).
• Ces données ne sont pas utilisées pour de la publicité, ne sont pas vendues, ne sont pas lues par des personnes sauf avec votre accord, pour des raisons de sécurité, pour respecter la loi ou en cas d'agrégation anonymisée, et ne servent pas à entraîner des modèles d'IA généralistes.
• Vous pouvez révoquer l'accès de Onde à votre compte Google à tout moment sur https://security.google.com/settings/security/permissions. Les jetons YouTube conservés sont supprimés lorsque vous déconnectez la chaîne dans Onde.

6. Destinataires, sous-traitants et transferts hors UE

Les données ne sont accessibles qu'aux membres autorisés de votre organisation et à l'éditeur pour l'exploitation du service. Nous faisons appel aux sous-traitants suivants :

Sous-traitant	Rôle	Localisation
OVH SAS	Hébergement (serveur privé virtuel, base de données, stockage de fichiers)	France (UE)
Inngest	Orchestration des tâches asynchrones (publication, génération)	États-Unis
Resend	Envoi des e-mails transactionnels	États-Unis
OpenAI, Anthropic, Google (Gemini), Mistral AI	Génération de texte, analyse et transcription par IA	États-Unis / UE
Kling AI (Kuaishou)	Génération de vidéos par IA	Chine

Les données envoyées aux fournisseurs d'IA comprennent le contenu à générer ou analyser et le contexte de votre profil de marque ; elles n'incluent ni vos jetons d'accès ni votre mot de passe.

Les plateformes que vous connectez (Meta, Google / YouTube, TikTok, LinkedIn, X) traitent vos données en tant que responsables de traitement indépendants, selon leurs propres politiques de confidentialité.

Pour les transferts hors Union européenne, nous nous appuyons sur le cadre de protection des données UE-États-Unis (Data Privacy Framework) lorsque le prestataire y est certifié, ou sur les clauses contractuelles types de la Commission européenne.

7. Durées de conservation

• Compte utilisateur : tant que le compte est actif, supprimé à votre demande ou à la suppression du compte.
• Jetons et données de comptes sociaux : supprimés immédiatement à la déconnexion du compte social, à la suppression de l'organisation ou du compte.
• Contenus, médias et métriques : tant que l'organisation existe ; supprimés avec elle.
• Journaux techniques : conservés pour une durée limitée de sécurité et de débogage.
• Sauvegardes : les données supprimées disparaissent des sauvegardes lors de leur rotation, dans un délai maximal de 30 jours.
• Données comptables de l'éditeur : conservées pendant les durées légales applicables.

8. Sécurité

• Communications chiffrées (HTTPS / TLS)
• Jetons OAuth chiffrés au repos (AES-256-GCM), mots de passe hachés
• Cloisonnement des données par organisation et contrôle d'accès par rôle
• Accès d'administration restreint à l'éditeur

9. Vos droits et révocation de l'accès

Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de retirer votre consentement et de définir des directives relatives au sort de vos données après votre décès. Pour les exercer : contact@baptcompany.fr (réponse sous un mois).

Vous pouvez également :

• Déconnecter un compte social dans Onde (page Comptes sociaux de l'organisation, bouton Déconnecter) : les jetons sont supprimés immédiatement.
• Supprimer votre compte ou votre organisation depuis l'application.
• Révoquer l'accès côté plateforme :
  • Facebook / Instagram : Paramètres > Applications et sites web (ou https://www.facebook.com/settings?tab=applications) ;
  • Google / YouTube : https://security.google.com/settings/security/permissions ;
  • TikTok : Paramètres et confidentialité > Sécurité et autorisations > Autorisations des applications ;
  • LinkedIn : Paramètres > Confidentialité des données > Services autorisés ;
  • X : Paramètres > Sécurité et accès au compte > Applications et sessions.

Instructions détaillées : Suppression des données.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL (Commission nationale de l'informatique et des libertés), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

10. Cookies

Nous utilisons uniquement des cookies strictement nécessaires : session d'authentification, préférence de langue et cookies OAuth temporaires (10 minutes) lors de la connexion d'un réseau social. Aucun cookie publicitaire ni de suivi tiers n'est utilisé ; aucun consentement n'est donc requis.

11. Mineurs

Le service s'adresse à des professionnels et n'est pas destiné aux personnes de moins de 16 ans.

12. Modifications

Nous pouvons modifier cette politique ; la date d'entrée en vigueur en haut de page est mise à jour et les utilisateurs sont informés par e-mail en cas de changement significatif.

13. Contact

BAPTCOMPANY — Baptiste Coulon 45 rue du 8 mai, 72220 Teloché, France E-mail : contact@baptcompany.fr