Politique de confidentialité

Dernière mise à jour : 6 octobre 2026

Cette politique explique quelles données personnelles ScalyX traite, pourquoi, combien de temps, qui les reçoit et comment exercer vos droits. ScalyX est édité par ScalyX (société en cours d’immatriculation, contact : [email protected]).

1. Deux rôles

ScalyX responsable de traitement pour les données de ses clients et utilisateurs (comptes, facturation, assistance, sécurité) et pour le site. ScalyX sous-traitant pour les données que les agences mettent dans ScalyX (les créateurs et créatrices qu’elles gèrent, leurs médias, légendes, comptes de réseaux sociaux et statistiques) : l’agence est responsable de traitement, et ScalyX ne traite ces données que sur ses instructions (voir l’article 9 des conditions générales d’utilisation).

2. Les données traitées

• Compte : nom, e-mail, mot de passe (haché, jamais lisible), langue, photo de profil, secret de double authentification (chiffré), rôle dans l’agence, dates de connexion.
• Inscription : nom de l’agence, contact Telegram ou téléphone, réponses facultatives aux questions de démarrage (nombre de modèles, de comptes, budget).
• Facturation : raison sociale, adresse de facturation, numéro de TVA, abonnement et factures (gérés par Stripe ; ScalyX ne voit jamais les numéros de carte).
• Contenus de l’agence : modèles et identifiants de leurs comptes, médias, légendes, planning, statistiques, fichiers, conversations avec l’assistant.
• Téléphones : nom, modèle et identifiant des téléphones reliés, l’écran affiché en direct dans le navigateur (non enregistré), codes de déverrouillage si l’agence les saisit (chiffrés).
• Comptes reliés : jetons d’accès fournis par Instagram, Threads, Facebook, TikTok ou YouTube quand l’agence relie un compte par leur API.
• Données techniques : adresse IP, navigateur, journal des actions (qui a fait quoi et quand), erreurs, événements de sécurité.

3. Pourquoi, et sur quelle base

• Fournir le service et l’assistance, gérer les comptes et les équipes — exécution du contrat.
• Facturer et tenir la comptabilité — obligation légale.
• Sécurité, prévention des fraudes, journaux, amélioration du service — intérêt légitime.
• E-mails de service et alertes — exécution du contrat ; nouveautés du produit seulement avec la possibilité de s’y opposer à tout moment.

4. YouTube et Google

Quand une agence relie une chaîne YouTube, ScalyX demande seulement l’accès en lecture (youtube.readonly) pour lire la liste des vidéos de cette chaîne et leurs statistiques ; il ne publie, ne modifie et ne supprime rien par l’API YouTube. L’utilisation et le transfert des informations reçues des API Google respectent les règles relatives aux données utilisateur des services API Google, y compris les exigences d’utilisation limitée. ScalyX utilise les services d’API YouTube : voir les conditions d’utilisation de YouTube et les règles de confidentialité de Google. L’accès peut être retiré à tout moment sur myaccount.google.com/permissions.

5. Intelligence artificielle

L’IA incluse (l’assistant Xylacs, la rédaction des textes, la lecture des publications pendant le scroll) envoie les textes et images nécessaires à Anthropic ou OpenAI par leur API. Ces données ne servent pas à entraîner leurs modèles et ne sont pas conservées au-delà de leur durée de contrôle des abus. Rien n’est publié sans l’accord de l’agence.

6. Destinataires et sous-traitants

Les données ne sont accessibles qu’aux membres de l’agence, selon leur rôle, et à l’équipe ScalyX quand c’est strictement nécessaire (l’assistance n’ouvre une agence qu’avec son accord, voir le mode confidentiel). Elles ne sont jamais vendues ni louées, ni utilisées pour de la publicité. ScalyX s’appuie sur :

• OVH (France) : serveur qui fait tourner ScalyX et sa base de données (comptes, agences, planning, statistiques).
• Cloudflare (réseau mondial, transferts encadrés) : protection et accélération du site, noms de domaine, stockage des fichiers de la bibliothèque (Cloudflare R2).
• Stripe (Irlande / États-Unis) : paiement des abonnements et factures. ScalyX ne voit ni ne stocke les numéros de carte.
• Resend (États-Unis) : envoi des e-mails du service (invitations, mots de passe, alertes).
• Anthropic et OpenAI (États-Unis) : l’IA incluse — l’assistant Xylacs, la rédaction des textes et la lecture des publications pendant le scroll. Les données envoyées ne servent pas à entraîner leurs modèles (offres API).
• ScrapeCreators (États-Unis) : relevé des statistiques publiques des comptes renseignés par l’agence (vues, J’aime, abonnés), sans connexion au compte.
• Google et Apple : connexion avec un compte Google ou Apple, si l’utilisateur la choisit ; Google aussi pour les polices de caractères du site.
• Meta (Instagram, Threads, Facebook), TikTok, Google (YouTube) : seulement si l’agence relie un compte par l’API officielle, pour en lire les statistiques.
• Telegram : seulement si l’agence relie un compte Telegram, pour lui envoyer ses alertes.

7. Transferts hors de l’Union européenne

Certains sous-traitants sont situés aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par le cadre de protection des données UE–États-Unis (Data Privacy Framework).

8. Durées de conservation

• Compte et contenus de l’agence : le temps du service, puis suppression sous 30 jours après la fermeture du compte.
• Fichiers supprimés de la bibliothèque : 30 jours dans la corbeille, puis effacés.
• Factures et pièces comptables : 10 ans (obligation légale).
• Journaux et événements de sécurité : 12 mois.
• Agences créées puis jamais utilisées : 12 mois.
• Jetons des comptes reliés : jusqu’à la déconnexion du compte.

9. Sécurité

Les échanges sont chiffrés (HTTPS) ; les mots de passe sont hachés ; les secrets (clés de double authentification, codes des téléphones, jetons) sont chiffrés ; les accès suivent les rôles ; le serveur et la base de données sont en France et dans l’Union européenne ; des sauvegardes sont faites régulièrement. Le mode confidentiel empêche l’équipe ScalyX d’ouvrir une agence sans son accord.

10. Cookies

ScalyX n’utilise que des cookies nécessaires au service : le cookie de session (connexion), les choix de langue et de thème, et des cookies de courte durée pendant l’inscription et la connexion Google / Apple. Aucun cookie publicitaire, de suivi ou de mesure d’audience : aucun bandeau de consentement n’est nécessaire. Le site charge ses polices depuis Google Fonts.

11. Vos droits

Vous pouvez accéder à vos données, les rectifier, les effacer, en limiter le traitement, vous y opposer et les récupérer (portabilité). Écrivez à [email protected] ; nous répondons sous un mois. Si vos données ont été saisies par une agence (par exemple en tant que créatrice qu’elle gère), vous pouvez aussi vous adresser directement à elle. Vous pouvez introduire une réclamation auprès de la CNIL.

12. Évolutions

Cette politique peut évoluer ; la date en haut indique la dernière version, et les changements importants sont annoncés aux clients. Contact : [email protected] · mentions légales