Politique de confidentialité

Préambule

SUPASST (« nous », « notre ») édite une plateforme SaaS d'agents IA marketing permettant de créer, planifier et publier du contenu sur les réseaux sociaux. La présente politique décrit comment nous traitons vos données personnelles, conformément au Règlement Général sur la Protection des Données (RGPD) et à la loi française Informatique et Libertés.

Données que nous collectons

• Données d'identification : email, nom d'affichage, mot de passe (haché argon2id).
• Données d'utilisation : conversations IA, contenus créés, intégrations connectées, paramètres.
• Données techniques : adresse IP, user-agent, journaux d'audit (durée 90 jours).
• Données de paiement : gérées par Stripe, jamais stockées sur nos serveurs.
• Comptes sociaux connectés : lorsque vous reliez un réseau (TikTok, Meta, LinkedIn, YouTube…) via OAuth, nous recevons un jeton d'accès et des informations de profil publiques (identifiant de compte, nom d'affichage, avatar). Pour TikTok (Login Kit), il s'agit de votre `open_id`, de votre nom d'affichage et de votre avatar.

Contenu que vous nous confiez pour publication

Lorsque vous demandez la publication d'un contenu (vidéo, image, texte) sur un réseau connecté, ce contenu est transmis à la plateforme de destination via son API officielle, en votre nom et sous votre contrôle. Sur TikTok, les vidéos sont envoyées via la Content Posting API ; le niveau de confidentialité de chaque publication est choisi parmi les options autorisées par votre compte, et peut rester privé tant que l'application n'a pas été auditée par TikTok.

Finalités du traitement

• Fonctionnement du service (base légale : exécution du contrat).
• Publication du contenu sur les réseaux que VOUS connectez et déclenchez.
• Sécurité et lutte contre la fraude (intérêt légitime).
• Communications marketing (consentement explicite uniquement, double opt-in).
• Obligations légales (facturation, conservation 5 ans).

Partage avec des tiers

Nous ne vendons jamais vos données. Elles ne sont partagées qu'avec :

• Les plateformes que vous connectez (TikTok, Meta, LinkedIn, YouTube…), pour exécuter les publications que vous demandez, dans la limite des autorisations (scopes) que vous accordez.
• Nos sous-traitants techniques (hébergement, Stripe pour le paiement, fournisseurs d'IA), liés par contrat et conformes au RGPD.

Une seule exception, décrite en détail ci-dessous : le *mode gratuit*, dont les modèles ne sont pas couverts par cet engagement de non-réutilisation. Ce mode n'est jamais activé sans votre consentement explicite.

Mode gratuit : vos échanges servent à entraîner des modèles tiers

À l'expiration de votre essai ou de votre abonnement, SUPASST peut vous proposer un mode gratuit : le chat seul, sur des modèles dits « ouverts », avec un quota quotidien. Ce mode a une contrepartie, et nous préférons l'écrire noir sur blanc plutôt que la laisser dans des conditions générales.

Ce qui se passe concrètement. Les messages que vous envoyez dans ce mode sont transmis à OpenRouter, une passerelle américaine qui les achemine vers des fournisseurs de modèles partenaires. Sur le compte que nous utilisons pour ce mode gratuit, ces fournisseurs sont autorisés à :

• utiliser vos requêtes pour entraîner leurs modèles (réglage « may train on inputs ») ;
• publier vos requêtes, selon leurs propres conditions (réglage « may publish prompts »).

C'est précisément ce qui rend ces modèles gratuits. Nous n'avons aucun moyen technique de récupérer, de corriger ou de faire supprimer une donnée une fois qu'elle a servi à un entraînement chez un tiers — c'est une conséquence irréversible, et c'est pourquoi nous vous demandons un accord préalable.

Base légale : votre consentement explicite (et non l'exécution du contrat). Concrètement :

• une fenêtre vous décrit cette contrepartie avant votre premier message sur un modèle gratuit, et rien n'est envoyé tant que vous n'avez pas accepté ;
• vous pouvez retirer ce consentement à tout moment, en un clic, depuis vos paramètres (onglet « Données » → « Consentements accordés ») ou en écrivant à support@supasst.ai. Le retrait prend effet immédiatement : dès qu'il est enregistré, plus aucune requête ne part vers ces modèles sans un nouvel accord de votre part. Il vaut pour l'avenir — il n'annule pas les traitements déjà effectués par les tiers, que nous n'avons aucun moyen de faire cesser rétroactivement ;
• refuser ou retirer votre accord n'entraîne aucune suppression de données : vos conversations, documents et automatisations restent intacts. L'accès aux fonctionnalités reste celui de votre offre — le mode gratuit ne donne accès qu'au chat, un abonnement rouvre le reste.

Ce qu'il ne faut pas y écrire. N'utilisez pas le mode gratuit pour des données personnelles de vos clients, des informations confidentielles, des documents contractuels ou votre stratégie commerciale. Si vous traitez des données personnelles de tiers, sachez que vous en êtes le responsable de traitement : les transmettre à un modèle qui s'entraîne dessus vous engage.

Transfert hors Union européenne. OpenRouter et ses fournisseurs partenaires sont majoritairement établis aux États-Unis. Ce transfert est encadré par les clauses contractuelles types de la Commission européenne, et il repose ici, en plus, sur votre consentement explicite au sens de l'article 49.1.a du RGPD.

Les offres payantes ne sont pas concernées. Sur un abonnement actif, les modèles premium sont appelés via des comptes dont les réglages de réutilisation et d'entraînement sont désactivés : vos échanges n'entraînent aucun modèle. C'est la différence de fond entre les deux modes — pas seulement un quota.

Jetons d'accès et révocation

Les jetons OAuth sont chiffrés au repos (AES-256-GCM). Vous pouvez déconnecter un réseau ou un outil à tout moment depuis vos paramètres : nous révoquons alors le jeton auprès de la plateforme lorsqu'elle le permet, avant de le supprimer de nos serveurs. À la purge de votre compte, nous demandons de même, lorsque la plateforme le permet, la révocation de chacune de vos connexions avant de les effacer, y compris celles que vous veniez de déconnecter et dont la révocation était encore en cours. Si une révocation n'est pas possible (la plateforme n'en propose pas, ou l'accès n'est plus valide), nous effaçons la connexion de nos serveurs ; vous pouvez aussi la retirer depuis les paramètres de la plateforme. Si une plateforme refuse la révocation, nous la réessayons pendant 7 jours, puis effaçons la connexion malgré tout : votre droit à l'effacement ne dépend pas d'elle.

Espaces d'équipe : ce que devient votre contenu quand vous partez

Le contenu que vous créez dans un espace d'équipe appartient à cet espace. Quand vous quittez un espace d'équipe (vous le quittez, un administrateur vous en retire, ou vous supprimez votre compte) :

• Ce qui reste à l'espace. Tout ce que vous y avez créé pour l'équipe y reste et passe à son propriétaire : notamment les fichiers de votre médiathèque (images, vidéos, sons), vos documents, vos modèles de design, vos sites, vos projets vidéo et motion, vos Flows, vos missions et tâches planifiées d'équipe, vos bases de connaissances et vos vues partagées. Leur visibilité ne change pas : ce qui était partagé avec l'équipe le reste, et ce qui était privé devient privé au propriétaire de l'espace, qui peut donc le lire.
• Rien ne s'exécute au nom du propriétaire sans son accord. Vos Flows passent dépubliés ou en pause, vos missions et tâches planifiées en pause, vos automatisations désactivées : rien ne s'exécute en son nom tant qu'il ne les a pas relancés.
• Vos comptes sociaux de marque passent déconnectés. Les pages, organisations, chaînes et tableaux que vous aviez connectés dans l'espace passent au propriétaire avec leur historique, mais jamais avec vos identifiants : l'accès est effacé et le compte doit être reconnecté. Les envois programmés sur ces comptes (messages, séquences, agent de messagerie) sont arrêtés. Vos comptes sociaux personnels sont déconnectés et restent à votre compte.
• Les doublons sont fusionnés ou renommés. Si le propriétaire possède déjà le même élément (un fichier ou un document lié à un agent, une voix de synthèse), il n'en garde qu'un exemplaire. Une vue partagée qui porte le même nom qu'une de ses vues est renommée « Nom (votre nom) ».
• C'est irréversible. Si vous êtes réinvité dans l'espace, vous ne retrouvez pas la propriété de ce contenu. La restauration de votre compte ne l'annule pas non plus.
• Ce qui ne passe jamais au propriétaire. Vos identifiants ne sont jamais transférés : vos connexions aux outils et aux réseaux, et vos connexions MCP, restent à votre compte et sont révoquées à sa purge lorsque la plateforme le permet (voir « Jetons d'accès et révocation »). Les données qui ne concernent que vous restent aussi à votre compte, même lorsqu'elles ont été créées dans un espace d'équipe : les références de votre avatar cloné (données biométriques), votre voix clonée, vos enregistrements de réunion, les enregistrements de vos sessions avec Jade, l'assistant de SUPASST, vos conversations et les pièces jointes de conversation, vos vues et mémoires personnelles, et vos missions et tâches privées. Elles sont supprimées à la purge de votre compte.

Suppression de votre compte

• Dès que vous demandez la suppression de votre compte, vous quittez tous les espaces d'équipe dont vous êtes membre, avec les effets décrits ci-dessus.
• Vos autres données sont conservées 30 jours, puis purgées. Pendant ces 30 jours, vous pouvez demander la restauration de votre compte en écrivant à support@supasst.ai. La restauration ne vous rend ni vos appartenances aux espaces d'équipe ni la propriété du contenu passé à leurs propriétaires.
• Une fois la purge commencée, elle ne peut plus être interrompue ni annulée : votre compte ne peut plus être restauré.
• Les espaces d'équipe dont vous êtes propriétaire sont supprimés avec votre compte au moment de la purge, avec tout leur contenu, y compris celui qu'y ont déposé leurs autres membres.
• Si vous participez au programme d'affiliation et que des commissions ou des paiements vous concernent, la purge de votre compte est suspendue jusqu'au règlement de ce dossier financier, que la loi nous impose de conserver.

Vos droits

À tout moment, vous pouvez exercer vos droits d'accès, de rectification, d'effacement, de portabilité et d'opposition depuis vos paramètres ou en écrivant à support@supasst.ai. Vous pouvez également saisir la CNIL.

Conservation

• Compte actif : durée de la relation contractuelle.
• Compte supprimé : 30 jours, puis purge (voir « Suppression de votre compte »).
• Jetons de comptes sociaux : jusqu'à la déconnexion du réseau, votre départ de l'espace concerné, ou la suppression du compte.
• Preuves de consentement marketing : 5 ans après la dernière communication.
• Logs d'audit : 90 jours.

Contact

SUPASST — support@supasst.ai.