Politique de confidentialité

La présente politique de confidentialité explique comment Echoia(« Echoia », « nous ») collecte, utilise, conserve, partage et protège les informations lorsque vous utilisez notre site, nos applications et nos services (ensemble, le « Service »), une plateforme de gestion des réseaux sociaux qui vous permet de publier du contenu, de gérer les commentaires et les messages privés, et d’analyser les performances des comptes de réseaux sociaux que vous choisissez de connecter.

Le responsable du traitement des données à caractère personnel décrites dans la présente politique est Ilies Ziyad EL AYYADI, entrepreneur individuel exerçant sous le nom commercial STUDIO DA, immatriculé en France sous le numéro SIREN 104 686 118 (SIRET 104 686 118 00019), dont l’adresse déclarée est le 60 rue François Ier, 75008 Paris, France. Echoia est un service exploité par cette entreprise. Pour toute question ou demande relative à la protection de vos données, écrivez à contact@echoia.io.

1. Les informations que nous collectons

Informations de compte. Lorsque vous créez un compte Echoia, nous collectons votre nom, votre adresse e-mail, votre mot de passe (conservé sous forme d’empreinte salée : nous ne voyons ni ne conservons jamais votre mot de passe en clair) et, de manière facultative, une photo de profil et le nom de votre espace de travail. Si vous vous connectez avec Google, nous recevons de Google votre nom, votre adresse e-mail et votre photo de profil.

Comptes de réseaux sociaux connectés. Lorsque vous connectez une plateforme sociale (par exemple Instagram, Facebook, YouTube, TikTok, LinkedIn, X, Threads, Bluesky, Pinterest ou Google Business Profile), nous recevons et conservons, avec votre autorisation expresse donnée au moyen du parcours de consentement de cette plateforme :

• Des identifiants d’accès (jetons d’accès et d’actualisation OAuth, ou mot de passe d’application que vous fournissez pour les plateformes qui en utilisent un). Ils sont conservés de manière sécurisée et utilisés exclusivement pour effectuer les actions que vous demandez.
• Des métadonnées de profil du compte connecté : nom du compte ou de la page, nom d’utilisateur, avatar, identifiant du compte, et statistiques d’audience telles que le nombre d’abonnés.
• Des données de contenu et d’engagement nécessaires au fonctionnement de votre boîte de réception et de vos statistiques : les publications que vous diffusez via Echoia, les commentaires et les réponses à vos contenus, les messages privés envoyés à vos comptes connectés, ainsi que les indicateurs d’engagement correspondants.

Contenus que vous créez. Brouillons, publications programmées, médias que vous importez, étiquettes et notes internes, modèles de réponse, et tout autre contenu que vous produisez dans le Service.

Informations de paiement. Les paiements sont traités par Stripe. Nous ne recevons ni ne conservons jamais votre numéro de carte complet ; nous ne conservons que le statut de votre abonnement, votre formule, votre pays de facturation et l’historique de vos factures.

Données d’utilisation et données techniques. Données de journalisation (adresse IP, type de navigateur, pages consultées, horodatages), informations sur l’appareil et mesures d’utilisation des fonctionnalités (par exemple le nombre de publications programmées ou de messages d’IA consommés par votre formule). Nous les utilisons pour appliquer les quotas, sécuriser le Service et améliorer le produit.

Échanges avec le support. Les messages que vous adressez à nos canaux d’assistance, y compris leur contenu et vos coordonnées.

2. Comment nous utilisons vos informations

• Pour fournir le Service : publier vos contenus, synchroniser vos boîtes de réception, calculer les statistiques et faire fonctionner les fonctionnalités que vous utilisez.
• Pour faire fonctionner les fonctionnalités d’IA de votre formule, aussi bien celles que vous déclenchez que la classification automatique de votre boîte de réception, décrites à la section 4.
• Pour vous authentifier et assurer la sécurité de votre compte (y compris la prévention de la fraude et des abus).
• Pour traiter les paiements, appliquer les quotas des formules et gérer les abonnements.
• Pour répondre aux demandes d’assistance.
• Pour envoyer des e-mails transactionnels (compte, facturation, sécurité). Les e-mails relatifs au produit ou à caractère commercial ne sont envoyés qu’avec votre consentement et comportent toujours un lien de désinscription.
• Pour comprendre l’utilisation globale du produit et améliorer le Service.
• Pour respecter nos obligations légales.

Nous ne vendons pas vos données à caractère personnel. Nous n’utilisons ni vos données, ni les données reçues des plateformes connectées, à des fins publicitaires. Nous n’utilisons ni vos contenus, ni les données reçues des plateformes connectées, pour entraîner des modèles d’apprentissage automatique.

Bases légales

Au titre du RGPD, chacune des finalités ci-dessus repose sur l’une des bases légales suivantes.

• L’exécution du contrat conclu avec vous (article 6, paragraphe 1, point b) : faire fonctionner le Service, publier ce que vous programmez, synchroniser vos boîtes de réception, calculer vos statistiques, faire fonctionner les fonctionnalités d’IA de votre formule, traiter les paiements et répondre aux demandes d’assistance.
• Notre intérêt légitime (article 6, paragraphe 1, point f) : assurer la sécurité du Service, prévenir la fraude et les abus, appliquer les quotas des formules, et comprendre l’utilisation globale du produit pour l’améliorer. Nous mettons ces intérêts en balance avec vos droits, et vous pouvez vous opposer à ces traitements à tout moment dans les conditions décrites à la section 10.
• Votre consentement (article 6, paragraphe 1, point a) : les e-mails relatifs au produit et à caractère commercial. Vous pouvez retirer ce consentement à tout moment, sans incidence sur le Service.
• Le respect d’une obligation légale (article 6, paragraphe 1, point c) : la tenue des documents comptables et fiscaux, et les réponses aux demandes légalement fondées des autorités publiques.

3. Les données reçues des plateformes de réseaux sociaux

Les données obtenues au moyen des API des plateformes sont utilisées uniquement pour fournir les fonctionnalités que vous demandez, ne sont pas conservées plus longtemps que nécessaire à cette fin, et ne sont jamais vendues ni transférées à des tiers, sauf lorsque le fonctionnement du Service l’exige (voir la section 6) ou que la loi l’impose. Notre utilisation des données de chaque plateforme respecte les conditions de cette plateforme, notamment :

• Meta Platforms (Instagram, Facebook, Threads) : nous respectons les Conditions de la plateforme Meta (Meta Platform Terms) et les Règles pour les développeurs (Developer Policies). Vous pouvez révoquer l’accès d’Echoia à tout moment dans les paramètres de sécurité de Facebook ou d’Instagram, ou en déconnectant le compte dans Echoia.
• Google (YouTube, Google Business Profile) : l’utilisation et le transfert par Echoia des informations reçues des API Google respectent les Règles relatives aux données utilisateur dans les services d’API Google (Google API Services User Data Policy), y compris les exigences d’utilisation limitée (Limited Use). Echoia utilise les services d’API YouTube ; en connectant un compte YouTube, vous acceptez également les Conditions d’utilisation de YouTube et les Règles de confidentialité de Google. Vous pouvez révoquer l’accès d’Echoia à tout moment depuis les paramètres de sécurité de votre compte Google.
• Autres plateformes (TikTok, LinkedIn, X, Pinterest, Bluesky et celles que nous pourrions ajouter) : nous n’accédons qu’aux autorisations (scopes) que vous approuvez lors de la connexion et respectons les conditions applicables aux développeurs de chaque plateforme. L’accès peut toujours être révoqué depuis les paramètres de la plateforme elle-même ou en déconnectant le compte dans Echoia.

La déconnexion d’un compte dans Echoia désactive immédiatement ses identifiants ; les contenus associés mis en cache sont supprimés selon les règles de conservation de la section 8.

4. Les fonctionnalités d’IA

Certaines fonctionnalités utilisent de grands modèles de langage. Le contenu concerné est transmis pour traitement à notre fournisseur d’infrastructure d’IA (OpenRouter), en vertu de contrats qui interdisent de l’utiliser à toute autre fin que la production du résultat, y compris pour l’entraînement de leurs modèles. Il en existe deux sortes, et la différence compte.

Les fonctionnalités que vous déclenchez. Rédiger une réponse, réécrire une légende, générer un texte d’annonce, répondre à une question dans l’assistant. Rien n’est envoyé tant que vous n’avez pas appuyé sur le bouton.

La classification automatique. Les commentaires et les messages qui arrivent dans votre boîte de réception sont classés comme positifs, négatifs ou neutres et étiquetés par sujet (question, réclamation, suggestion) au moment de leur synchronisation, sans action de votre part. C’est ce qui permet à la boîte de réception de vous montrer en priorité ce qui appelle une réponse, et c’est la fonctionnalité autour de laquelle le produit est construit. Le texte du commentaire ou du message est transmis pour cette classification.

Ces classifications sont des libellés associés à un message pour vous aider à trier votre boîte de réception. Elles ne produisent aucune décision concernant qui que ce soit, aucun score, aucune action automatisée, et rien n’est jamais envoyé ni publié sans que vous ayez appuyé sur le bouton d’envoi.

5. Les personnes qui vous contactent sur les plateformes que vous connectez

Lorsqu’une personne commente l’une de vos publications ou envoie un message à l’un de vos comptes connectés, Echoia conserve ce commentaire ou ce message afin qu’il apparaisse dans votre boîte de réception. Cela comprend son nom d’affichage, sa photo de profil publique, l’identifiant que la plateforme lui attribue et ce qu’elle a écrit. Cela comprend aussi ce que décrit la section 4 : un libellé automatique de sentiment et de sujet et, si vous utilisez ces fonctionnalités, les étiquettes, les notes privées et les groupes que vous associez à un contact.

Ces personnes ne sont pas des utilisateurs d’Echoia et n’ont pas de compte chez nous. Nous traitons leurs données sur le fondement de notre intérêt légitime, et du vôtre, à permettre à une entreprise de lire les messages qui lui sont adressés et d’y répondre, ce que fait la boîte de réception de la plateforme elle-même, mais en un seul endroit plutôt que cinq. Nous ne les utilisons jamais à des fins publicitaires, ne les vendons jamais, ne les enrichissons jamais de données provenant d’ailleurs et ne les communiquons jamais au-delà des sous-traitants énumérés à la section 6.

Ces données sont supprimées lorsque vous déconnectez le compte dont elles proviennent, ou lorsque vous supprimez votre compte Echoia, dans les conditions décrites à la section 8. Si vous êtes l’une de ces personnes et souhaitez savoir quelles données nous détenons à votre sujet ou les faire supprimer, écrivez à contact@echoia.io et nous donnerons suite à votre demande ; la copie détenue par la plateforme elle-même échappe toutefois à notre contrôle, et c’est à elle qu’il faut vous adresser.

6. Avec qui nous partageons les informations

Nous ne partageons des données à caractère personnel qu’avec :

• Des prestataires de services (sous-traitants) qui font fonctionner des parties du Service pour notre compte. Chacun est lié par un accord de traitement des données et n’agit que sur nos instructions :
  • Render : hébergement de l’application (Francfort, Allemagne)
  • Neon : base de données PostgreSQL gérée (Francfort, Allemagne)
  • Upstash : file de messages qui achemine les contenus des webhooks des plateformes
  • OpenRouter : inférence d’IA (section 4)
  • ScrapeCreators : fait fonctionner le module complémentaire facultatif de veille (Listening). Lorsque vous créez un sujet de veille, les termes de recherche que vous avez choisis lui sont transmis afin de trouver les publications publiques correspondantes. Il ne reçoit jamais votre boîte de réception, vos contenus programmés, vos jetons, ni quoi que ce soit concernant les personnes qui vous écrivent.
  • Cloudinary : stockage et diffusion des médias que vous importez
  • Stripe : paiements
  • Resend : e-mails transactionnels
  • PostHog : mesure d’audience du produit, hébergée dans l’Union européenne. Il enregistre quelles fonctionnalités sont utilisées et quand, jamais les contenus que vous écrivez ou recevez. Les requêtes passent par notre propre domaine, de sorte qu’aucun tiers ne voit votre navigation.
• Les plateformes sociales que vous connectez : lorsque vous publiez ou répondez via Echoia, le contenu est transmis à la plateforme que vous avez choisie, et ce sont alors ses propres conditions d’utilisation et sa propre politique de confidentialité qui s’appliquent.
• Les membres de votre espace de travail : les contenus, les éléments de la boîte de réception et les statistiques d’un espace de travail sont visibles par les coéquipiers que vous invitez, selon les rôles que vous leur attribuez.
• Les autorités, lorsque la loi applicable l’exige, et nos successeurs en cas de fusion ou d’acquisition (nous vous en informerions avant que vos données ne soient soumises à une autre politique de confidentialité).

7. Les transferts internationaux

Nous sommes établis dans l’Union européenne, et certains de nos prestataires traitent des données aux États-Unis ou dans d’autres pays. Lorsque des données à caractère personnel quittent l’Espace économique européen, nous nous appuyons sur des garanties appropriées, telles que les clauses contractuelles types de la Commission européenne ou une décision d’adéquation (y compris le cadre de protection des données UE-États-Unis, lorsque le prestataire est certifié).

8. La durée de conservation des données

• Données de compte : conservées tant que votre compte est actif.
• Identifiants des plateformes : pour Facebook, Instagram et Threads, la déconnexion d’un compte met fin à tout envoi de données par la plateforme et efface immédiatement ses jetons. Pour les autres plateformes, la déconnexion désactive le compte, et ses jetons sont effacés lorsque vous supprimez votre compte Echoia.
• Contenus synchronisés de la boîte de réception (commentaires, messages, profils de contacts) : pour Facebook, Instagram et Threads, supprimés lorsque vous déconnectez le compte. Pour les autres plateformes, conservés tant que le compte reste connecté, afin que votre boîte de réception reste utilisable, et supprimés avec votre compte. Vos propres publications et l’historique de vos abonnés sont conservés dans les deux cas : ils décrivent votre compte, et non une autre personne, et aucune API ne permet de les reconstituer.
• Médias importés : supprimés du stockage après une publication réussie, ou lorsque vous supprimez le brouillon qui y fait référence.
• Suppression du compte : lorsque vous supprimez votre compte Echoia, les données à caractère personnel sont supprimées ou anonymisées de manière irréversible dans un délai de 30 jours, à l’exception du minimum que nous devons conserver au titre de nos obligations légales (par exemple les factures, conservées pendant la durée légalement requise).

9. La sécurité

Nous protégeons vos données par des mesures conformes aux standards du secteur : chiffrement en transit (TLS) et au repos, mots de passe hachés, jetons OAuth à périmètre limité, contrôle d’accès au niveau de l’espace de travail, et principe du moindre privilège pour nos propres systèmes. Aucune méthode de transmission ou de stockage n’est sûre à 100 %, mais nous travaillons en permanence à protéger vos informations et, comme la loi l’exige, nous vous informerons, ainsi que l’autorité compétente, dans les meilleurs délais en cas de violation de données à caractère personnel vous concernant.

10. Vos droits

Si vous vous trouvez dans l’Espace économique européen, au Royaume-Uni ou en Suisse, vous disposez d’un droit d’accès, de rectification, d’effacement et de portabilité de vos données à caractère personnel, du droit d’obtenir la limitation de certains traitements ou de vous y opposer, et du droit de retirer votre consentement à tout moment lorsque le traitement repose sur celui-ci. Des droits similaires peuvent s’appliquer en vertu d’autres législations (par exemple le CCPA en Californie, qui vous donne également le droit de savoir que nous ne vendons ni ne partageons vos informations personnelles).

Pour exercer l’un de ces droits, écrivez à contact@echoia.io. Nous répondons dans un délai de 30 jours. Vous avez également le droit d’introduire une réclamation auprès de votre autorité de contrôle locale (en France, la CNIL, sur cnil.fr).

11. Les cookies

Le Service utilise des cookies strictement nécessaires à l’authentification de session, à la sécurité (état OAuth) et à vos préférences d’interface, ainsi qu’un identifiant de mesure d’audience du produit une fois votre session ouverte. Cet identifiant nous indique quelles fonctionnalités sont utilisées et à quels endroits les utilisateurs restent bloqués. Il ne transporte jamais les contenus que vous écrivez ou recevez, il est servi depuis notre propre domaine plutôt que par un tiers, et les données sont stockées dans l’Union européenne.

Le site public echoia.io ne dépose aucun cookie de mesure d’audience qui nous soit propre : la mesure des pages y est conservée en mémoire pendant la durée de la visite et disparaît à la fermeture de l’onglet.

Pour mesurer l’efficacité de nos annonces Google, le site public ainsi que les pages d’inscription, de connexion et de facturation de l’application chargent la balise Google Ads, qui peut déposer des cookies publicitaires de Google. Google traite ces données conformément aux Règles de confidentialité de Google. Cette balise n’est jamais chargée sur les pages où vous travaillez sur vos publications et vos messages. Consultez notre politique relative aux cookies pour la liste complète.

12. Les enfants

Le Service ne s’adresse pas aux enfants de moins de 16 ans, et nous ne collectons pas sciemment de données les concernant. Si vous pensez qu’un enfant nous a communiqué des données à caractère personnel, contactez-nous et nous les supprimerons.

13. Les modifications de la présente politique

Nous pouvons mettre à jour la présente politique à mesure que le Service évolue. En cas de modification substantielle, nous vous en informerons par e-mail ou par l’intermédiaire du Service avant son entrée en vigueur. La date de « Dernière mise à jour » indiquée en haut de la page correspond toujours à la version en vigueur.

14. Contact

Ilies Ziyad EL AYYADI, entrepreneur individuel exerçant sous le nom commercial STUDIO DA, 60 rue François Ier, 75008 Paris, France · SIREN 104 686 118 · contact@echoia.io