Politique de confidentialité

01Responsable du traitement

Le responsable du traitement est Louis Valli, qui édite SociaFlow sous le nom Smartcom (https://smartcom.digital), Rue les Allées 12, 5660 Couvin, Belgique, BE0664.627.568.

Pour toute question sur tes données ou pour exercer tes droits : contact@sociaflow.app. Nous n’avons pas désigné de délégué à la protection des données (DPO), cette désignation n’étant pas obligatoire pour notre activité ; contact@sociaflow.app est le point de contact unique.

02En bref

• Aucune publicité, aucun pistage entre applications ou sites, aucune revente de données.
• Tes clés API (Claude, ChatGPT, Gemini) sont stockées dans le trousseau de chaque appareil et ne sont jamais envoyées à nos serveurs (seule exception : le bot Telegram, si tu l’actives, voir « Intelligence artificielle »).
• Nous n’utilisons pas tes contenus pour entraîner des modèles d’IA.
• Ton espace de travail est synchronisé entre tes appareils via nos serveurs, avec un accès limité à ton seul compte.
• Tu peux supprimer ton compte à tout moment depuis l’app Mac, l’app iPhone/iPad ou par e-mail.
• Avec SociaFlow IA (l’option sans clé), tes demandes transitent par nos serveurs jusqu’à Anthropic (textes) et OpenAI (visuels) : nous n’en gardons pas le contenu, seulement des compteurs d’usage (voir « SociaFlow IA »).

03Champ d’application

Cette politique couvre l’application SociaFlow pour Mac, l’application SociaFlow pour iPhone et iPad, les services cloud associés (compte, synchronisation, publication, notifications, bot Telegram) et le site sociaflow.app.

Elle ne couvre pas les services tiers que tu relies à SociaFlow (réseaux sociaux, fournisseurs d’IA, Telegram) : ils appliquent leurs propres politiques.

04Données traitées, finalités et durées

Voici chaque traitement, avec les données concernées, sa base légale au sens de l’article 6 du RGPD et sa durée de conservation.

Nous ne prenons aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques te concernant, et nous ne faisons pas de profilage.

05App iPhone et iPad : autorisations

L’app ne demande une autorisation qu’au moment où tu utilises la fonction concernée. Tu peux la retirer à tout moment dans Réglages › SociaFlow sur ton appareil.

• Appareil photo : uniquement quand tu prends une photo ou une vidéo pour une publication.
• Photos : tu choisis toi-même les photos et vidéos à importer (sélecteur du système, sans accès à toute ta photothèque). L’autorisation « ajout seulement » sert à enregistrer dans Photos les visuels et vidéos que tu exportes.
• Micro et reconnaissance vocale : uniquement quand tu dictes une demande à l’assistant ou filmes une vidéo (voir « Dictée vocale »).
• Notifications : pour t’avertir qu’une publication est partie ou a échoué, et pour des rappels locaux.
• Identifiant d’appareil : nous utilisons une empreinte (hachage SHA-256) de l’identifiant fourni par Apple pour cette app, afin de reconnaître l’appareil pour la synchronisation, les notifications et la licence. Elle ne permet pas de te suivre dans d’autres apps.
• Aucune localisation, aucun accès aux contacts, aucun identifiant publicitaire (IDFA), aucun pistage.

06Dictée vocale

La dictée utilise la reconnaissance vocale d’Apple. Quand ton appareil et ta langue la prennent en charge, SociaFlow exige une reconnaissance entièrement sur l’appareil : ta voix ne quitte pas ton iPhone, ton iPad ou ton Mac.

Sinon, la reconnaissance peut être effectuée par les serveurs d’Apple, selon la politique de confidentialité d’Apple. Dans tous les cas, SociaFlow ne reçoit ni n’enregistre ta voix : seul le texte transcrit est inséré dans ta demande.

07Intelligence artificielle

Tu choisis comment SociaFlow utilise l’IA, et tu peux changer à tout moment dans les réglages. Le traitement de tes données dépend de ce choix :

• Ta propre clé : Anthropic (Claude), OpenAI (ChatGPT) ou Google (Gemini). Tes clés API sont stockées dans le trousseau (Keychain) de chaque appareil ; elles ne sont ni synchronisées, ni envoyées à nos serveurs.
• Avec ta clé, les requêtes partent directement de ton appareil vers le fournisseur choisi, sans passer par nos serveurs : SociaFlow ne les voit pas. Elles contiennent ce qui est nécessaire à la demande : ton message, le contexte de la marque (fiche, ton, design system), les publications concernées et, le cas échéant, des images. Ces contenus sont soumis aux conditions et à la politique de confidentialité du fournisseur, avec lequel tu as ton propre contrat : vérifie ses réglages de conservation et d’entraînement.
• Apple Intelligence s’exécute sur l’appareil : aucune donnée n’est envoyée, ni à nous ni à un tiers.
• SociaFlow IA, l’IA hébergée par SociaFlow et sans clé : dans ce cas seulement, tes demandes passent par nos serveurs (voir la section suivante).
• SociaFlow n’utilise pas tes contenus, tes demandes ni les réponses générées pour entraîner un modèle d’IA, et ne les partage qu’avec les prestataires nécessaires pour répondre à ta demande.
• Exception, le bot Telegram : si tu l’actives et lui confies une clé IA, cette clé est stockée chiffrée sur nos serveurs, et les demandes envoyées au bot sont transmises depuis nos serveurs à ton fournisseur, avec ta clé.

08SociaFlow IA (IA hébergée)

SociaFlow IA est l’option sans clé, disponible avec l’abonnement SociaFlow IA ou avec des crédits SociaFlow IA qui t’ont été attribués. Quand tu l’utilises :

• Ta demande part de ton appareil, par une connexion chiffrée, vers notre fonction serveur, qui vérifie ton compte et ton quota, puis la transmet avec les clés de SociaFlow : à Anthropic (modèle Claude) pour les textes, et à OpenAI (modèle d’images) pour les visuels.
• Ce qui est transmis : ton message, les instructions et le contexte de la marque (fiche, ton, audience, design system, calendrier), les publications concernées et, le cas échéant, les images que tu joins ; pour un visuel, sa description et son format. Nous n’y ajoutons ni ton nom, ni ton e-mail, ni ton identifiant de compte, mais le contenu lui-même peut contenir des données personnelles si tu en inclus.
• SociaFlow n’enregistre pas le contenu de tes demandes ni les réponses : la réponse est renvoyée à ton appareil et rien n’en est gardé sur nos serveurs. Nos journaux techniques ne contiennent jamais ce contenu. Ce que tu enregistres ensuite (une publication, un visuel) suit les règles de la synchronisation.
• Nous conservons seulement ce qui sert à fournir et à décompter le service : abonnement, crédits, nombre de requêtes et de visuels, tokens et coût estimé, par période (voir « Données traitées, finalités et durées »).
• Anthropic et OpenAI traitent ces données pour notre compte, en tant que sous-traitants, dans le cadre de leurs conditions commerciales d’API et de leurs accords de traitement des données. Selon ces conditions, les données reçues via leur API ne servent pas, par défaut, à entraîner leurs modèles.
• Ces fournisseurs peuvent conserver les données pendant une durée limitée, notamment pour la sécurité et la détection des abus, selon leurs propres politiques de conservation pour l’API ; Anthropic peut aussi garder en cache, quelques minutes, une partie des instructions pour accélérer les demandes suivantes.

09Sous-traitants et destinataires

Tes données ne sont accessibles qu’à l’éditeur et aux prestataires strictement nécessaires, liés par contrat et par les garanties du RGPD :

• Supabase Inc. : hébergement des données, base de données, authentification, stockage des médias, fonctions serveur, temps réel (région : EU · Ireland (eu-west-1)).
• Stripe Payments Europe Ltd. (Irlande) et ses sociétés affiliées : paiements sur le site et sur Mac, factures.
• Apple Inc. et Apple Distribution International Ltd. : achats intégrés App Store, notifications (APNs), reconnaissance vocale serveur si elle est utilisée.
• Resend, Inc. : envoi d’e-mails, dont la transmission de tes messages au support.
• OVH SAS (France) : hébergement du site sociaflow.app.
• Réseaux sociaux que tu relies (Meta Platforms, LinkedIn, X, TikTok) et Telegram : ils reçoivent les contenus que tu publies ou envoies, et agissent en responsables de traitement indépendants selon leurs propres politiques.
• Anthropic PBC (États-Unis) : génération des textes de SociaFlow IA, en tant que sous-traitant.
• OpenAI, L.L.C. (États-Unis) : génération des visuels de SociaFlow IA, en tant que sous-traitant.
• Fournisseurs d’IA que tu choisis avec ta propre clé (Anthropic, OpenAI, Google) : ils reçoivent tes requêtes directement de ton appareil, dans le cadre de ton propre contrat avec eux.
• Autorités : uniquement si la loi l’exige.

Nous ne vendons, ne louons et n’échangeons aucune donnée personnelle, et nous n’en utilisons aucune à des fins publicitaires.

10Transferts hors de l’Union européenne

Certains prestataires (Supabase, Stripe, Apple, Resend, Anthropic, OpenAI, les réseaux sociaux et les fournisseurs d’IA) sont établis aux États-Unis ou y traitent des données. Ces transferts sont encadrés par la décision d’adéquation « EU-U.S. Data Privacy Framework » lorsque le prestataire y adhère, et à défaut par les clauses contractuelles types de la Commission européenne, avec des mesures complémentaires (chiffrement en transit et au repos). Pour SociaFlow IA, les transferts vers Anthropic PBC et OpenAI reposent sur les clauses contractuelles types intégrées à leurs accords de traitement des données.

Tu peux obtenir une copie de ces garanties en écrivant à contact@sociaflow.app.

11Sécurité

• Chiffrement de toutes les communications (HTTPS/TLS).
• Jetons des réseaux sociaux, jeton du bot Telegram et clé IA du bot chiffrés (AES-GCM) avant stockage ; ils ne sont jamais renvoyés aux appareils.
• Contrôle d’accès au niveau des lignes (Row Level Security) : chaque compte ne peut lire que ses propres données. Les tables sensibles ne sont accessibles qu’aux fonctions serveur.
• Médias de l’espace de travail dans un stockage privé, rangés par compte, accessibles uniquement par le propriétaire ou par des liens signés à durée limitée.
• Clés IA et jetons locaux dans le trousseau d’Apple ; identifiants d’appareil et adresses IP pseudonymisés par hachage.
• Accès d’administration réservé à l’éditeur, et limité au strict nécessaire.
• SociaFlow IA : chaque appel est authentifié par ton compte et limité en débit ; les clés d’API de SociaFlow restent des secrets du serveur, jamais envoyés aux appareils ; le contenu des demandes n’est ni enregistré ni journalisé.

En cas de violation de données présentant un risque pour tes droits, nous notifions l’Autorité de protection des données dans les 72 heures et, si le risque est élevé, nous t’en informons directement.

12Tes droits

Conformément au RGPD, tu disposes des droits suivants :

• Accès : obtenir une copie de tes données.
• Rectification : corriger tes données. Ton nom affiché et ton mot de passe se modifient directement dans l’app (Réglages › Compte).
• Effacement : supprimer ton compte et tes données (voir « Supprimer mon compte »).
• Portabilité : recevoir les données que tu nous as fournies dans un format structuré et lisible par machine (JSON).
• Opposition : t’opposer aux traitements fondés sur l’intérêt légitime, notamment la mesure d’audience.
• Limitation : demander le gel temporaire d’un traitement.
• Retrait du consentement : à tout moment, sans effet sur ce qui a été fait avant (notifications dans les réglages de ton appareil, liste d’attente par e-mail).

Pour exercer ces droits, écris à contact@sociaflow.app depuis l’adresse de ton compte. Nous répondons dans un délai d’un mois, prolongeable de deux mois pour les demandes complexes (nous te prévenons alors). Nous pouvons te demander de confirmer ton identité.

Si tu estimes que tes droits ne sont pas respectés, tu peux introduire une réclamation auprès de l’Autorité de protection des données (APD), rue de la Presse 35, 1000 Bruxelles, https://www.autoriteprotectiondonnees.be, ou auprès de l’autorité de ton pays de résidence dans l’Union européenne.

14Révoquer l’accès de SociaFlow à tes réseaux

Déconnecter un réseau dans l’app supprime son jeton de nos serveurs. Tu peux aussi retirer l’autorisation directement depuis chaque réseau :

• Facebook et Instagram : Facebook › Paramètres et confidentialité › Paramètres › Intégrations professionnelles (ou Apps et sites web) › SociaFlow › Supprimer.
• LinkedIn : Préférences › Confidentialité des données › Autres applications › Services autorisés › SociaFlow › Supprimer.
• X : Paramètres et confidentialité › Sécurité et accès au compte › Applications et sessions › Applications connectées › SociaFlow › Révoquer les autorisations.
• TikTok : Profil › Paramètres et confidentialité › Sécurité et autorisations › Autorisations des applications et services › SociaFlow › Supprimer l’accès.

15Site web : cookies et stockage local

Le site sociaflow.app ne dépose aucun cookie et ne charge aucun service tiers (polices et images sont servies par notre propre hébergement).

Il enregistre uniquement dans ton navigateur (stockage local) ton thème, ta langue, le choix de masquer la suggestion de langue et, pour la mesure d’audience, un identifiant aléatoire non relié à ton identité. Si ton navigateur envoie « Do Not Track » ou « Global Privacy Control », aucune mesure n’est effectuée. Tu peux effacer ces données à tout moment dans les réglages de ton navigateur.

16Enfants

SociaFlow est un outil professionnel qui ne s’adresse pas aux personnes de moins de 16 ans. Nous ne collectons pas sciemment leurs données ; si tu penses qu’un mineur nous en a transmis, écris à contact@sociaflow.app et nous les supprimerons.

17Modifications de cette politique

Nous pouvons faire évoluer cette politique, par exemple lors d’une nouvelle fonctionnalité. La date de dernière mise à jour figure en haut de la page. En cas de changement important, nous te prévenons dans l’app ou par e-mail avant son entrée en vigueur.

18Mentions légales

• Éditeur : Louis Valli (Smartcom), Rue les Allées 12, 5660 Couvin, Belgique, BE0664.627.568. Contact : contact@sociaflow.app.
• Hébergement du site : OVH SAS, 2 rue Kellermann, 59100 Roubaix, France.
• Hébergement des données : Supabase Inc. (région : EU · Ireland (eu-west-1)).