Politique de confidentialité de 7DayPost

1. Responsable du traitement

Le service 7DayPost est édité par un particulier, éditeur non professionnel, dont les coordonnées ont été communiquées à l’hébergeur. Pour toute question relative à vos données : taneflitgpt@gmail.com.

2. Le service et votre espace

7DayPost fonctionne sans compte : aucune adresse e-mail, aucun nom et aucun mot de passe ne vous sont demandés. « Commencer gratuitement » crée un espace, désigné par un identifiant aléatoire (il commence par esp_).

• Votre navigateur garde l’accès à l’espace grâce à un cookie de session (section 14). Le serveur ne conserve qu’une empreinte (hachage SHA-256) du secret de session, jamais le secret lui-même.
• Le lien personnel que vous pouvez créer depuis « Mon espace » est un secret qui ouvre l’espace sans mot de passe. Seule son empreinte est conservée : il ne peut pas être retrouvé, ni par vous ni par nous. Ne le communiquez à personne.
• Pour la sécurité, le service enregistre quand l’espace a été créé, quand il a été vu pour la dernière fois et sur combien de navigateurs il est ouvert — sans adresse IP ni description de l’appareil.

3. Données traitées

3.1 Vos médias

Les vidéos et images que vous importez sont stockées sur le serveur du service pour pouvoir être publiées. Les images sont réenregistrées sans leurs métadonnées (EXIF, position GPS). Les vidéos conservent les métadonnées de leur fichier, qui peuvent inclure un lieu, et sont transmises telles quelles à la plateforme que vous choisissez.

Adresses publiques des médias. Les fichiers importés sont servis à une adresse de la forme https://7daypost.com/m/<empreinte>, pour que les plateformes puissent les récupérer. Toute personne qui a cette adresse peut ouvrir le fichier, y compris une vidéo publiée en « Moi uniquement ». Les fichiers sont effacés après publication lorsque la purge après publication est active, lorsque vous supprimez le média ou l’espace, ou lors de la purge pour inactivité (section 11).

3.2 Vos publications

Les textes et réglages de vos publications, vos planifications, l’historique et l’état de chaque envoi (avec, le cas échéant, le motif d’échec renvoyé par la plateforme). Pour TikTok, une trace des options que TikTok proposait pour votre compte au moment de la validation est conservée : elle montre que les choix présentés venaient bien de TikTok.

3.3 Journaux techniques

• Les appels aux interfaces des plateformes sont journalisés (point d’entrée, code de réponse, durée, identifiant de journal) pour le diagnostic ; les jetons et secrets en sont retirés.
• Le serveur web (nginx) enregistre pour chaque requête l’adresse IP, l’adresse demandée (y compris les termes saisis dans la recherche de l’application) et le navigateur (user-agent). Ces journaux sont conservés 14 jours.
• Les compteurs anti-abus (limites de création d’espace, d’ouverture de lien, d’import) utilisent une empreinte tronquée et chiffrée par clé de l’adresse IP, jamais l’adresse elle-même ; ils sont supprimés après 48 heures.

4. TikTok

7DayPost utilise le Login Kit et la Content Posting API de TikTok. Les autorisations demandées sont exactement :

• user.info.basic : identifiant de votre compte pour l’application (open_id), identifiant commun aux applications du même développeur (union_id), nom d’affichage et adresse de votre avatar (gardée en cache environ 2 heures) ;
• video.publish : publier directement sur votre compte. Avant chaque publication, 7DayPost lit les informations du créateur (creator_info) : options de confidentialité autorisées, réglages d’interaction, durée maximale des vidéos ;
• video.upload : envoyer une vidéo en brouillon dans votre boîte de réception TikTok, pour que vous la terminiez dans l’application TikTok.

Les jetons d’accès et de rafraîchissement sont chiffrés (AES-256-GCM). Pour chaque envoi, 7DayPost conserve l’identifiant de publication renvoyé par TikTok et son état. Les vidéos sont envoyées à TikTok ; les photos sont récupérées par TikTok à leur adresse https://7daypost.com/m/….

7DayPost ne lit ni vos vidéos existantes, ni leurs statistiques, ni vos messages, ni vos abonnés. Lorsque vous déconnectez le compte, 7DayPost demande à TikTok de révoquer l’autorisation, puis efface les jetons. Le traitement par TikTok est régi par la politique de confidentialité de TikTok.

5. Meta : Facebook, Instagram, Threads

Cette section s’applique à la connexion Facebook, Instagram et Threads. Tant que Meta n’a pas terminé l’examen de l’application (mode Développement), seuls les comptes qui ont un rôle sur l’application Meta de 7DayPost peuvent se connecter.

• Autorisations demandées : public_profile, pages_show_list, pages_read_engagement, pages_manage_posts, instagram_basic, instagram_content_publish ; pour Threads : threads_basic, threads_content_publish. Facultatives, pour les statistiques : read_insights, pages_read_user_content, instagram_manage_insights, threads_manage_insights.
• Données conservées : la liste de vos Pages (nom, image) et un jeton par Page ; l’identifiant, le nom d’utilisateur et l’image de vos comptes Instagram professionnels ; l’identifiant, le nom et la photo de votre profil Threads et son jeton (valable 60 jours, renouvelé). Les jetons sont chiffrés.
• Les médias sont récupérés par Meta à leur adresse https://7daypost.com/m/….
• Le traitement par Meta est régi par la politique de confidentialité de Meta.

Suppression de vos données

Vous pouvez faire supprimer vos données de plusieurs façons :

1. Dans 7DayPost, un compte à la fois : Comptes → Déconnecter. Les jetons du compte et les planifications qui en dépendent sont supprimés immédiatement.
2. Tout l’espace : Mon espace → « Supprimer définitivement cet espace ». Tout est supprimé immédiatement (comptes, médias et leurs fichiers, planifications, historique), et les autorisations sont révoquées chez les plateformes qui le permettent.
3. Depuis Facebook : Facebook → Paramètres et confidentialité → Paramètres → Applications et sites web → 7DayPost → Supprimer. Meta prévient alors 7DayPost (adresse de rappel https://7daypost.com/api/meta/data-deletion), qui supprime les comptes liés et vous donne un code de confirmation et une adresse pour suivre la demande.
4. Par e-mail à taneflitgpt@gmail.com, en indiquant l’identifiant de votre espace (esp_…, visible dans Mon espace) — jamais votre lien personnel.
5. Vous avez perdu votre lien ? Retirez l’accès de 7DayPost chez la plateforme : TikTok (Paramètres et confidentialité → Sécurité → Autorisations des applications), Google (https://myaccount.google.com/permissions), LinkedIn (services autorisés), Facebook (comme au point 3). Plus rien n’est alors publié, et l’espace est supprimé automatiquement après 30 jours sans visite (ses comptes ne pouvant plus publier), et dans tous les cas après 90 jours sans visite.

Délais : immédiat pour les moyens 1, 2 et 3 ; 30 jours au plus pour le moyen 4. Les copies présentes dans les sauvegardes disparaissent sous 14 jours (durée de conservation des sauvegardes).

6. YouTube et Google

7DayPost utilise les services d’API YouTube. En connectant une chaîne, vous acceptez les Conditions d’utilisation de YouTube (https://www.youtube.com/t/terms). Les données traitées par Google le sont selon les Règles de confidentialité de Google (https://policies.google.com/privacy).

Autorisations demandées :

• youtube.upload : mettre en ligne sur votre chaîne les vidéos que vous avez validées ;
• youtube.readonly : lire les informations de votre chaîne et l’état des vidéos envoyées par 7DayPost, avec leurs compteurs publics ;
• yt-analytics.readonly (facultative) : lire les statistiques YouTube Analytics des seules vidéos envoyées par 7DayPost.

Données lues et conservées : identifiant, nom, adresse personnalisée et image de la chaîne ; son statut de vérification ; pour chaque vidéo envoyée par 7DayPost, son identifiant, son titre, son état et la visibilité appliquée, et ses statistiques datées ; les jetons, chiffrés. Données transmises à YouTube : le fichier vidéo, le titre, la description, la visibilité, la déclaration « conçue pour les enfants », la catégorie et la déclaration de contenu modifié ou généré par IA — tout ce qui part vous est présenté et validé par vous. 7DayPost ne lit ni vos autres vidéos, ni vos commentaires, ni vos abonnés, et ne modifie ni ne supprime aucune vidéo.

Ces informations ne servent qu’aux fonctions décrites : aucune publicité, aucun profilage, aucun entraînement de modèle d’intelligence artificielle, aucune lecture humaine sauf pour la sécurité, pour se conformer à la loi ou à votre demande.

Les informations de chaîne non actualisées depuis 30 jours sont actualisées ou supprimées ; les statistiques qui n’ont pas pu être relues depuis 30 jours sont supprimées. Pour retirer l’accès : Comptes → Déconnecter (7DayPost demande à Google de révoquer le jeton de rafraîchissement), ou https://myaccount.google.com/permissions.

7. LinkedIn

Autorisations : openid et profile (votre identifiant de membre, votre nom et votre photo) et w_member_social (publier sur votre profil, en écriture seule). Le jeton, chiffré, est valable 60 jours ; 7DayPost vous prévient avant l’échéance. Les statistiques ne sont pas lues par l’API : vous pouvez les saisir vous-même. Pour retirer l’accès : Comptes → Déconnecter, ou https://www.linkedin.com/psettings/permitted-services. Le traitement par LinkedIn est régi par sa politique de confidentialité.

8. Statistiques

Uniquement lorsque la fonction est activée sur le service. Sont lus, pour les seules publications envoyées par 7DayPost : les statistiques YouTube Analytics (vues, mentions « J’aime », commentaires, durée de visionnage), les statistiques Meta des Pages et d’Instagram, les statistiques Threads ; pour LinkedIn, les chiffres que vous saisissez vous-même.

Les statistiques TikTok ne sont pas collectées : elles exigeraient une autorisation de lecture de vos vidéos que 7DayPost ne demande pas ; l’ajouter demanderait à nouveau votre consentement.

Les statistiques sont conservées par publication, avec des relevés datés, et supprimées avec la publication, le compte ou l’espace ; celles de YouTube suivent la règle des 30 jours de la section 6.

9. Finalités et bases légales

• Exécution du service que vous demandez (contrat) : publier ce que vous avez préparé, exécuter vos planifications, vous informer de leur état.
• Intérêt légitime : sécurité du service, prévention des abus, diagnostic des incidents.

Aucune donnée n’est utilisée à des fins publicitaires, de profilage ou de revente.

10. Sécurité et accès administrateur

• Les jetons des plateformes sont chiffrés au repos (AES-256-GCM).
• Les identifiants de l’application auprès des plateformes ne figurent que dans la configuration du serveur : il n’existe aucun écran de saisie de secret.
• Les échanges se font en HTTPS, avec HSTS ; le service applicatif n’écoute que localement.
• L’administrateur peut, depuis le serveur uniquement, ouvrir ou supprimer n’importe quel espace (abus, demande légale, assistance à votre demande). Chaque accès de ce type à un espace est enregistré et affiché dans sa page Mon espace. Aucune page web ne permet d’ouvrir l’espace de quelqu’un d’autre.
• Des sauvegardes locales sont faites chaque jour ; leur accès est réservé à l’administrateur et elles sont conservées 14 jours.

11. Conservation

• Espace actif : tant que vous l’utilisez.
• Espace sans visite depuis 30 jours et sans publication réussie pendant cette période : supprimé, avec révocation des autorisations chez les plateformes qui le permettent.
• Espace sans aucune visite pendant 90 jours : supprimé dans tous les cas.
• Espace resté vide (aucun compte, aucun média, aucune planification) : supprimé après 24 heures.
• Jetons d’un compte : jusqu’à sa déconnexion ou la révocation de l’autorisation.
• Journaux du serveur web : 14 jours. Compteurs anti-abus : 48 heures.
• Événements et historique : supprimés avec l’espace.
• Sauvegardes : 14 jours.

12. Partage, sous-traitants, transferts

• Vos contenus et leurs réglages ne sont transmis qu’aux plateformes sur lesquelles vous demandez à publier : TikTok, Meta, Google (YouTube), LinkedIn — des sociétés qui peuvent traiter des données hors de l’Union européenne, notamment aux États-Unis, selon leurs propres politiques.
• Hébergement du service : OVH SAS, 2 rue Kellermann, 59100 Roubaix, France.
• Stockage distant Google Cloud Storage (Firebase, Google) : utilisé pour les seuls médias des publications planifiées, afin qu’ils restent disponibles au moment de publier.
• Aucune donnée n’est vendue ni louée.

13. Vos droits

Conformément au Règlement général sur la protection des données (RGPD), vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Pour les exercer, écrivez à taneflitgpt@gmail.com en indiquant l’identifiant de votre espace (jamais votre lien personnel). Vous pouvez aussi introduire une réclamation auprès de la CNIL (https://www.cnil.fr/fr/plaintes).

Le service est réservé aux personnes âgées d’au moins 15 ans et ayant l’âge exigé par chaque plateforme.

14. Cookies

• __Host-7dp_espace : cookie de session de votre espace, strictement nécessaire (400 jours au plus).
• langue : langue de l’interface de l’application (préférence, 1 an).
• 7dp_alertes_vues : date des dernières notifications vues sur cet appareil (fonctionnel, propre à l’appareil, 1 an ; aucun suivi).

Aucun cookie de mesure d’audience ni de publicité, aucun traceur tiers : aucun bandeau de consentement n’est donc nécessaire.

15. Modifications

Cette politique peut évoluer : la date de version figure en haut de la page, et l’historique ci-dessous décrit chaque modification importante.

Historique

• 7 octobre 2026 : l’éditeur est un particulier, non professionnel, dont les coordonnées ont été communiquées à l’hébergeur (LCEN) ; contact par e-mail ; hébergeur précisé ; connexion Facebook, Instagram et Threads proposée, limitée aux comptes ayant un rôle sur l’application Meta tant que Meta n’a pas terminé son examen.
• 6 octobre 2026 : politique unique pour toutes les plateformes ; espaces sans compte et lien personnel ; adresses publiques des médias ; durées de conservation et purge des espaces inactifs ; cookies.
• 23 août 2026 : première version (TikTok).