Politique de confidentialité
Dernière mise à jour : 20 octobre 2026
Broadcast est un outil de publication sur les réseaux sociaux, ouvert à l’inscription. Chaque utilisateur y connecte ses propres comptes et y rédige ses propres posts. Le responsable du traitement est Antoine Labbe (taraxe.com), joignable à broadcast@taraxe.com.
Données traitées
| Donnée | Finalité | Conservation |
|---|---|---|
| Adresse e-mail, nom affiché, mot de passe (haché PBKDF2), langue, choix des alertes par e-mail, provenance de l’inscription (site d’origine ou lien de campagne, lus sur la page d’inscription) | Création et connexion au compte, e-mails du service, suivi de la provenance des inscriptions | Jusqu’à la suppression du compte |
| Liens à usage unique envoyés par e-mail (confirmation d’adresse, nouveau mot de passe), stockés hachés | Vérifier l’adresse, choisir un nouveau mot de passe | Jusqu’à leur utilisation ou leur expiration |
| Jetons d’accès délivrés par X, Meta (Facebook, Instagram, Threads), Google (YouTube), TikTok, LinkedIn, Bluesky et le serveur Mastodon choisi, nom ou identifiant du compte connecté | Publier en votre nom sur les comptes que vous avez connectés et lire les statistiques de ces publications. Chiffrés au repos (AES-GCM). | Jusqu’à la déconnexion du réseau ou la suppression du compte |
| Texte, liens, hashtags, premier commentaire, images et vidéos des posts, réglages propres à chaque réseau, résultat renvoyé par chaque réseau (lien du post, erreur) | Rédaction, planification, publication, historique | Jusqu’à la suppression du post ou du compte |
| Statistiques des posts publiés (vues, mentions « j’aime », commentaires, partages) et nombre d’abonnés des comptes connectés, par jour | Page Statistiques | Jusqu’à la suppression du post, du réseau ou du compte |
| Flux RSS ou Atom suivis (adresse, titre, comptes de destination) et empreinte des articles déjà vus | Créer un post pour chaque nouvel article | Jusqu’à l’arrêt du suivi ou la suppression du compte |
| Clés d’API et accès accordés aux assistants IA par le serveur MCP (nom, droits, limite quotidienne, date de dernier usage ; jetons stockés hachés) | Permettre à vos outils de créer et planifier des posts | Jusqu’à la révocation ou la suppression du compte ; jetons OAuth jusqu’à leur expiration |
| Journal d’activité de l’API et du serveur MCP (action, post concerné, adresse de la conversation d’origine si elle est fournie) | Vous montrer ce que vos outils ont fait, appliquer la limite quotidienne | 90 jours |
| Jetons de session (hachés), adresse IP lors des tentatives de connexion et des inscriptions | Maintien de la session ; limitation des tentatives de connexion et des créations de comptes | 30 jours pour les sessions ; une heure pour les compteurs de tentatives |
| Achats et consommation de crédits X (montant, date, post concerné) ; pour la recharge automatique, identifiant client Stripe, carte enregistrée chez Stripe (marque et 4 derniers chiffres), seuil, plafond et date de votre accord. Broadcast ne stocke jamais le numéro complet de la carte. | Facturation de la publication sur X | Jusqu’à la suppression du compte. Les factures et paiements restent conservés chez Stripe 10 ans, au titre des obligations comptables ; l’identifiant client et la carte enregistrée y restent tant que vous ne retirez pas la carte. |
| Codes d’invitation et compte qui les a utilisés | Savoir qui a rejoint Broadcast par votre lien | Jusqu’à la suppression du compte émetteur |
| Journaux techniques du service (erreurs de publication, de renouvellement des jetons) | Détecter et corriger les pannes | 7 jours au plus |
Base légale : l’exécution du service que vous avez demandé (article 6.1.b du RGPD) ; l’intérêt légitime de l’éditeur (article 6.1.f) pour la sécurité, la prévention des abus et la mesure de la provenance des inscriptions ; l’obligation légale (article 6.1.c) pour les données comptables liées aux achats.
Les images et vidéos des posts sont servies à une adresse impossible à deviner, sans connexion, pour que les réseaux puissent les récupérer au moment de la publication. L’éditeur peut consulter les comptes et leurs posts pour administrer le service et traiter les abus.
Destinataires et sous-traitants
- Les réseaux que vous avez choisis (X Corp., Meta Platforms, Google/YouTube, TikTok, LinkedIn, Bluesky, le serveur Mastodon que vous avez indiqué) reçoivent les contenus que vous publiez et les traitent selon leur propre politique.
- Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, États-Unis : hébergement de l’application, de la base de données et des médias, vérification anti-robots (voir ci-dessous).
- Stripe Payments Europe, Ltd. (Irlande) : paiement des crédits X et carte enregistrée pour la recharge automatique.
- Resend, Inc. (États-Unis) : envoi des e-mails du service (confirmation d’adresse, nouveau mot de passe, alertes de publication). Resend reçoit votre adresse e-mail et le contenu du message.
Aucune donnée n’est vendue ni transmise à d’autres tiers. Aucun outil publicitaire ni de mesure d’audience n’est utilisé.
Hébergement et transferts
La base de données (Cloudflare D1) et les médias (Cloudflare R2) sont stockés dans l’Union européenne. Cloudflare et Resend sont des sociétés américaines : certaines données peuvent donc être transférées aux États-Unis. Pour Cloudflare, ces transferts s’appuient sur sa certification au Data Privacy Framework UE-États-Unis ; pour Resend, sur les clauses contractuelles types de la Commission européenne prévues dans son accord de traitement des données.
Cookies et stockage local
Broadcast n’utilise que des cookies nécessaires au service, sans publicité ni mesure d’audience :
pb_session: garde votre session ouverte, 30 jours.pb_lang: la langue que vous avez choisie, un an.pb_cal_showetpb_cal_platforms: les filtres du calendrier, un an.
La page Intégrations garde aussi dans votre navigateur (stockage local) les choix faits dans le guide de configuration.
Protection contre les robots
À l’inscription, à la demande d’un nouveau mot de passe et après plusieurs essais de connexion sur une même adresse, Broadcast utilise Cloudflare Turnstile pour vérifier que la demande vient d’une personne. Turnstile peut fonctionner de façon invisible : Cloudflare collecte alors des signaux techniques sur votre navigateur et votre appareil (adresse IP, caractéristiques du navigateur, interactions avec la page), uniquement pour distinguer les humains des robots. Ce traitement repose sur l’intérêt légitime de l’éditeur à protéger le service (article 6.1.f du RGPD) et est décrit dans le Turnstile Privacy Addendum de Cloudflare, qui complète la présente politique.
Ce que nous ne faisons pas
Nous ne collectons aucune donnée sur les autres utilisateurs des réseaux et ne lisons aucun message privé. Les jetons servent uniquement à publier ce que vous avez demandé et à lire les statistiques de vos publications et de vos comptes.
YouTube : Broadcast utilise les services d’API YouTube. En connectant votre chaîne, vous acceptez les conditions d’utilisation de YouTube, et les données sont aussi traitées selon les règles de confidentialité de Google. L’usage que fait Broadcast des informations reçues des API Google respecte la Google API Services User Data Policy, y compris ses exigences d’usage limité (Limited Use). Vous pouvez retirer l’accès à tout moment depuis les autorisations de votre compte Google.
Vos droits
- Déconnecter un réseau efface immédiatement ses jetons (page Comptes).
- Supprimer votre compte efface tout : réseaux, posts, médias, statistiques, flux suivis, clés d’API, crédits, sessions, invitations (page Mon compte, bouton « Supprimer mon compte »). Seules les factures et paiements restent chez Stripe, pour les obligations comptables ; retirez la carte enregistrée avant si vous en avez une. Toutes les façons d’effacer vos données sont sur la page Suppression des données.
- Vous pouvez demander l’accès, la rectification, la portabilité ou l’effacement de vos données, ou vous opposer à un traitement fondé sur l’intérêt légitime, en écrivant à broadcast@taraxe.com ; réponse sous 30 jours.
- Vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr).