Politique de confidentialité
Dernière mise à jour : 25 octobre 2026
Cette politique explique quelles données personnelles Marklls HK traite lorsque vous utilisez le site et l’application SprintPost (https://www.sprintpost.app), pourquoi, sur quelle base légale, pendant combien de temps, avec qui elles sont partagées et comment exercer vos droits. Elle s’applique conformément au règlement (UE) 2016/679 (RGPD) et à la loi n° 78-17 du 6 janvier 1978 « Informatique et Libertés ».
1.Responsable du traitement
Marklls HK, SAS, RCS Lyon 908821580, dont le siège est situé 12 rue de la Part Dieu 69003 Lyon, France. Pour toute question relative à vos données : contact@sprintpost.app.
2.Responsable de traitement ou sous-traitant
Nous sommes responsable de traitement pour les données de votre compte, la facturation, la sécurité du service, la mesure de son utilisation et les échanges avec vous.
Pour les données que vous placez dans un espace ou que le service récupère pour vous (publications, médias, membres, comptes sociaux, statistiques, commentaires reçus), le client titulaire de l’espace est responsable de traitement et nous agissons comme sous-traitant, dans les conditions de l’accord de traitement des données.
3.Données traitées
- Compte : nom, adresse e-mail, codes de connexion à usage unique envoyés par e-mail (valables 10 minutes ; seule une empreinte irréversible est conservée), photo de profil si vous vous connectez avec Google, langue, facteurs et codes de double authentification. SprintPost n’utilise pas de mot de passe.
- Espaces et équipe : nom de l’espace, fuseau horaire, membres, rôles, invitations, offre souscrite et utilisation de ses limites.
- Comptes sociaux connectés (Facebook, Instagram, Threads, LinkedIn, TikTok, YouTube, Pinterest, X) : identifiants et noms des comptes, Pages ou chaînes choisis, photo de profil, autorisations accordées et jetons d’accès.
- Contenus : photos, vidéos, retouches, textes, tags, mentions, notes internes, dates de publication, commentaires et historique de validation.
- Données de publication : liens et identifiants des publications, statistiques (vues, réactions, commentaires, partages, enregistrements), commentaires reçus et réponses, avec le nom, l’identifiant et la photo publics de leurs auteurs.
- Imports Google : uniquement les fichiers que vous sélectionnez vous-même dans le sélecteur Google Drive ou Google Photos.
- Assistant IA : les textes, images et consignes que vous soumettez, et la suggestion générée ; un journal d’utilisation (date, type, fournisseur) sert au suivi des quotas.
- Données techniques : adresse IP, navigateur, dates de connexion, journaux d’erreurs et des appels refusés par les réseaux sociaux.
- Parrainage : votre lien de parrainage et son nombre de visites, le compte qui vous a parrainé le cas échéant, vos filleuls et l’état de leurs récompenses. Votre parrain voit votre prénom, l’initiale de votre nom, votre date d’inscription et si vous êtes abonné ; jamais votre e-mail ni vos contenus.
- Facturation et échanges : raison sociale, adresse, numéro de TVA, factures, état de l’abonnement, historique de l’offre et correspondance avec l’assistance. Les coordonnées bancaires sont saisies sur les pages de notre prestataire de paiement Stripe, qui les conserve : nous n’y avons pas accès.
4.Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Créer et gérer votre compte ; fournir le service (import, retouche, rédaction, validation, planification, publication, statistiques, messagerie des commentaires) | Exécution du contrat (art. 6.1.b RGPD) |
| Appliquer les limites des offres et administrer la plateforme | Exécution du contrat |
| Sécuriser le service, prévenir la fraude et les abus, diagnostiquer les erreurs des réseaux sociaux | Intérêt légitime (art. 6.1.f) : assurer la sécurité et la fiabilité du service |
| Vous informer sur le service (incidents, évolutions, modification des conditions) et vous assister | Exécution du contrat ; intérêt légitime |
| Améliorer le service à partir de statistiques d’usage agrégées | Intérêt légitime : faire évoluer le produit |
| Gérer le programme de parrainage (offre du filleul, crédit du parrain, prévention des abus) | Exécution du contrat (conditions du programme) |
| Encaisser les paiements, gérer l’abonnement (renouvellement, changement d’offre, résiliation) et mettre les factures à disposition | Exécution du contrat |
| Facturer, tenir la comptabilité, répondre aux demandes des autorités | Obligation légale (art. 6.1.c) |
| Constater, exercer ou défendre nos droits | Intérêt légitime |
5.Personnes qui interagissent avec les publications
Lorsqu’une marque utilise la messagerie des commentaires, SprintPost récupère, par les API officielles des réseaux, les commentaires publiés sous ses publications : texte, date, nom, identifiant et photo publics de leur auteur, nombre de « J’aime ». Ces données servent uniquement à permettre à la marque de les lire, d’y répondre, d’y réagir et de les modérer. Elles ne sont ni utilisées pour du profilage, ni pour de la publicité, ni partagées avec d’autres clients.
La marque concernée en est responsable de traitement ; nous agissons pour son compte. Ces données sont supprimées avec la publication, le compte social ou l’espace. Si vous avez commenté une publication et souhaitez exercer vos droits, adressez-vous à la marque ou écrivez-nous à contact@sprintpost.app ; votre commentaire reste par ailleurs visible sur le réseau social tant que vous ne l’y supprimez pas.
6.Destinataires et sous-traitants
Vos données ne sont jamais vendues. Elles sont accessibles aux seules personnes de notre équipe qui en ont besoin, et aux prestataires suivants, liés par contrat et tenus à la confidentialité :
| Prestataire | Rôle | Localisation |
|---|---|---|
| Clever Cloud SAS | Hébergement de l’application, de la base de données et des fichiers | France |
| Stripe Payments Europe, Ltd. | Paiement des abonnements et facturation | Irlande (UE) |
| Anthropic PBC | Assistant IA, si ce fournisseur est choisi pour l’espace | États-Unis |
| OpenAI, L.L.C. | Assistant IA, si ce fournisseur est choisi pour l’espace | États-Unis |
| Mistral AI SAS | Assistant IA, si ce fournisseur est choisi pour l’espace | France |
| X.AI LLC (xAI) | Assistant IA, si ce fournisseur est choisi pour l’espace | États-Unis |
| Google LLC | Connexion avec Google ; import depuis Google Drive et Google Photos, à votre demande | États-Unis |
Les fournisseurs d’IA ne reçoivent que ce que la demande nécessite (textes, images, consignes). Avec l’IA SprintPost, nous utilisons leurs offres professionnelles et ne les autorisons pas à utiliser ces données pour entraîner leurs modèles. Si un espace passe sur « Mon IA », ses demandes sont envoyées au compte qu’il a connecté (OpenAI, Anthropic, Mistral AI, xAI ou OpenRouter, qui les transmet au fournisseur du modèle choisi) : le contrat et la politique de confidentialité de ce fournisseur s’appliquent alors, et nous ne conservons que la clé d’accès, chiffrée.
Pour les paiements, Stripe agit aussi en responsable de traitement indépendant pour ses propres obligations (prévention de la fraude et du blanchiment, réglementation financière) : voir sa politique de confidentialité.
Les réseaux sociaux reçoivent les contenus que vous décidez d’y publier ou d’y envoyer (publications, réponses, réactions, masquages). Ils agissent alors comme responsables de traitement indépendants, selon leurs propres politiques : Meta, LinkedIn, TikTok, Google, Pinterest et X.
Nous pouvons enfin communiquer des données aux autorités administratives ou judiciaires lorsque la loi l’exige.
7.Transferts hors de l’Union européenne
Lorsque des données sont traitées par un prestataire établi hors de l’Union européenne (Anthropic, OpenAI, xAI, Google, et Stripe pour certains traitements liés aux paiements), le transfert est encadré par la décision d’adéquation de la Commission européenne relative au cadre de protection des données UE–États-Unis (Data Privacy Framework) pour les entreprises certifiées et, à défaut ou en complément, par les clauses contractuelles types adoptées par la Commission (décision 2021/914). Une copie de ces garanties peut être obtenue sur demande.
8.Durées de conservation
| Données | Durée |
|---|---|
| Compte et profil | Pendant la durée du compte, puis suppression dans les 30 jours suivant sa clôture |
| Contenus d’un espace (publications, médias, tags, historique) | Pendant la durée de l’espace, puis suppression dans les 30 jours suivant sa suppression ou la fin de l’abonnement |
| Jetons d’accès aux réseaux sociaux | Jusqu’à la déconnexion du compte social ou le retrait de l’autorisation : suppression immédiate |
| Statistiques et commentaires reçus | Tant que la publication est suivie et le compte connecté ; suppression avec la publication, le compte social ou l’espace |
| Journal des erreurs des réseaux sociaux | 90 jours |
| Journaux techniques et de sécurité | 12 mois au plus |
| Échanges avec l’assistance | 3 ans après le dernier échange |
| Factures et pièces comptables | 10 ans (article L123-22 du Code de commerce) |
| Sauvegardes | 30 jours au plus, de façon glissante |
9.Vos droits
Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation du traitement, de portabilité, d’opposition aux traitements fondés sur l’intérêt légitime, de retrait de votre consentement lorsqu’il fonde un traitement, et du droit de définir des directives relatives au sort de vos données après votre décès.
Pour les exercer, écrivez à contact@sprintpost.app depuis l’adresse de votre compte. Nous répondons dans un délai d’un mois, prolongeable de deux mois si la demande est complexe ; une pièce d’identité peut être demandée en cas de doute raisonnable sur votre identité. Pour les données d’un espace, adressez-vous en priorité à son titulaire : nous l’aidons à vous répondre. La procédure de suppression est détaillée sur la page Suppression des données.
Vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.
10.Sécurité
- Chiffrement des échanges (HTTPS/TLS) ;
- jetons d’accès aux réseaux sociaux et clés d’API chiffrés au repos (AES-256-GCM) ;
- mots de passe conservés sous forme d’empreinte irréversible ; double authentification disponible ;
- cloisonnement des données par espace, rôles et accès limités compte par compte ;
- accès de notre équipe restreint au strict nécessaire et journalisé ;
- sauvegardes régulières, mises à jour de sécurité et hébergement en France.
En cas de violation de données présentant un risque, nous notifions la CNIL dans les 72 heures et informons les personnes concernées lorsque le risque est élevé ; les clients sont prévenus dans les délais prévus par l’accord de traitement des données.
12.Données issues des services Google
SprintPost accède aux services Google uniquement avec votre autorisation : connexion avec Google (nom, e-mail, photo), import des fichiers que vous sélectionnez dans Google Drive ou Google Photos, et, si vous connectez une chaîne, YouTube (envoi de vidéos, nom et statistiques de la chaîne, commentaires).
L’utilisation et le transfert à toute autre application des informations reçues des API Google respectent la Google API Services User Data Policy, y compris ses exigences d’utilisation limitée (Limited Use) : SprintPost’s use and transfer to any other app of information received from Google APIs will adhere to Google API Services User Data Policy, including the Limited Use requirements. En particulier, ces données ne servent qu’aux fonctions que vous utilisez, ne sont ni vendues ni utilisées pour de la publicité, ne sont lues par un humain qu’avec votre accord ou pour des raisons de sécurité ou légales, et ne servent pas à entraîner des modèles d’intelligence artificielle généralistes.
SprintPost utilise les services d’API YouTube : en connectant une chaîne, vous acceptez les Conditions d’utilisation de YouTube ; les données concernées sont aussi traitées selon les Règles de confidentialité de Google. Vous pouvez retirer cet accès à tout moment depuis la page de sécurité de votre compte Google. Les données YouTube conservées sont actualisées ou supprimées au plus tard tous les 30 jours, et supprimées dans les 7 jours suivant la déconnexion de la chaîne.
13.Données issues des réseaux sociaux
L’accès aux réseaux sociaux passe exclusivement par leurs API officielles, avec les autorisations que vous accordez et que vous pouvez retirer à tout moment, depuis SprintPost ou depuis le réseau concerné. Nous ne demandons que les autorisations nécessaires aux fonctions proposées et respectons les conditions des plateformes (Meta Platform Terms, conditions des développeurs TikTok, LinkedIn, Pinterest et X). Le retrait de l’accès depuis Facebook, Instagram ou Threads nous est notifié et entraîne la suppression automatique des accès concernés.
14.Mineurs
Le service est destiné aux professionnels et réservé aux personnes majeures. Il ne s’adresse pas aux enfants et nous ne collectons pas sciemment de données les concernant.
15.Modifications
Nous pouvons faire évoluer cette politique. La date de mise à jour figure en haut de la page ; en cas de changement important, vous êtes informé par e-mail ou dans l’application avant son entrée en vigueur.