Déclaration de confidentialité

5.1 Données d'enregistrement et de compte

• Lors de l'inscription, nous collectons les informations suivantes :
• • Adresse e-mail (champ obligatoire)
• • Nom d'utilisateur (champ obligatoire)
• • Mot de passe (chiffré avec bcrypt, au moins 8 caractères)
• • Type de compte (particulier ou entreprise)
• • Date d'enregistrement
• • Authentification à deux facteurs (2FA) - facultative mais recommandée
• Objectif : mise à disposition et gestion de votre compte, authentification, sécurité
• Les données de l'authentification à deux facteurs (2FA) sont enregistrées uniquement en local sur votre appareil (lecture du code QR). Nous n'enregistrons que le statut d'activation.
• Remarque : vous pouvez également vous inscrire ou vous connecter via Google, Meta (Facebook), LinkedIn, TikTok ou X — voir la section 5.1a pour connaître les données et autorisations demandées dans chaque cas.
• Afin de nous prémunir contre les inscriptions automatisées (bots), nous utilisons Cloudflare Turnstile (voir section 10a.2).

5.1a Inscription et connexion via des services tiers (connexion via les réseaux sociaux)

• En plus de l'inscription classique par e-mail et mot de passe, vous pouvez vous inscrire ou vous connecter à PostMaestro.ai via les services tiers suivants. Ces connexions servent exclusivement à la création de compte et à la connexion, et sont indépendantes des liens vers les réseaux sociaux destinés à la publication de contributions (voir section 5.5) : dans chaque cas, des autorisations OAuth (scopes) distinctes, aux droits nettement plus limités, sont demandées :
• • Google (Scopes : openid, profile, email) - les données transmises sont l'identifiant Google, l'adresse e-mail, le prénom et le nom, la photo de profil et la langue
• • Connexion via Meta / Facebook (permissions : public_profile, email) – les données transmises sont l'identifiant Facebook, l'adresse e-mail, le prénom et le nom, la photo de profil et la langue
• • Connexion à Instagram Business (champ d'application : instagram_business_basic) - les informations transmises sont l'identifiant Instagram, le nom d'utilisateur, le nom d'affichage et la photo de profil (pas d'adresse e-mail - celle-ci est demandée séparément lors de la procédure d'inscription)
• • LinkedIn (OpenID Connect, champs d'application : openid, profile, email) - les données transmises sont l'identifiant LinkedIn, l'adresse e-mail, le prénom et le nom, la photo de profil et la langue
• • Kit de connexion TikTok (permissions : user.info.basic, user.info.profile) – les informations transmises sont l'Open ID TikTok, le nom d'utilisateur, le nom d'affichage et la photo de profil (TikTok ne fournit pas d'adresse e-mail ; une adresse temporaire est utilisée en interne jusqu'à ce que l'utilisateur en saisisse une lors de la procédure d'inscription)
• • X / Twitter (OAuth 2.0 avec PKCE, champs d'application : users.read, users.email, tweet.read) - les données transmises sont l'identifiant X, le nom d'utilisateur, le nom d'affichage, la photo de profil ainsi que, si elle a été validée sur X, l'adresse e-mail confirmée
• Ces autorisations permettent uniquement la lecture des données de profil de base nécessaires à la création d'un compte. Aucune publication n'est diffusée, aucun message n'est lu et aucun accès à vos contacts n'est accordé.
• Si une adresse e-mail déjà enregistrée est réutilisée via un autre fournisseur, nous identifions le compte existant à partir de l'adresse e-mail (sans tenir compte de la casse) et associons l'identifiant du nouveau fournisseur a posteriori (liaison de comptes), au lieu de créer un double compte.
• Si cette option est activée dans vos paramètres de sécurité, nous envoyons à chaque connexion (y compris via une connexion via les réseaux sociaux) une notification par e-mail indiquant l'heure, l'appareil, le navigateur et la localisation approximative. La localisation est déterminée à partir de votre adresse IP par le prestataire tiers ipinfo.io (voir section 10a.1).
• Suppression du compte Meta : pour la connexion via Meta (Facebook/Instagram), nous mettons à disposition les points de retour (callback endpoints) prescrits par Meta pour la désautorisation et la suppression des données. Si vous supprimez l'application dans les paramètres de votre compte Facebook ou si vous y demandez la suppression de vos données, nous recevons automatiquement une demande en ce sens et indiquons l'état d'avancement du traitement via une URL de statut fournie par Meta.

5.2 Profils et données de la marque

• Lors de la création d'un profil de marque, nous enregistrons
• - Nom de la marque et description
• - URL du site web (pour Brand Analyzer)
• - Guides de la marque et documents téléchargés
• - Données de marque analysées (couleurs, polices, tonalité de la voix)
• - Logo et actifs visuels
• - Définitions des groupes cibles
• - Secteur et catégorie
• But : création de contenus conformes à la marque, gestion de l'identité de la marque

5.3 Données de contenu (posts, médias, campagnes)

• Lors de l'utilisation de la fonctionnalité de création de contenu, nous enregistrons :
• • Publications sur les réseaux sociaux rédigées et programmées (texte, légendes, hashtags)
• • Images, vidéos et graphiques téléchargés et générés
• • Données relatives aux campagnes et modèles
• • Validation d'idées (données de swipe dans l'Idea Generator)
• • Documents de recherche
• • Statut du contenu (Brouillon, En révision, Prévu, Publié)
• • Dates et plateformes de publication
• • Les données relatives au marquage et à l'origine des contenus multimédias générés (catégorie de contenu, statut de marquage, statut des métadonnées), ainsi que votre confirmation de la vérification rédactionnelle des textes générés
• Objectif : gestion de contenu, planification, automatisation, archivage et mise en évidence du respect des obligations de transparence en matière d'IA
• Dans la mesure où cela est techniquement possible, les fichiers multimédias générés contiennent des informations d'identification, des métadonnées ou des indicateurs techniques similaires indiquant qu'il s'agit de contenus générés par l'IA ou assistés par l'IA (voir section 8.2).

5.4 Données d'utilisation et analyses

• Pour améliorer la plateforme, nous enregistrons
• - Heures de connexion et durée de la session
• - Caractéristiques et fonctions utilisées
• - Consommation de jetons et données de facturation
• - Rapports d'erreurs et données de performance
• - Commentaires et demandes d'assistance
• Objectif : Amélioration de la plateforme, analyse des erreurs, support, facturation

5.5 Liens vers les réseaux sociaux (publication)

• Lorsque vous connectez des comptes de réseaux sociaux pour publier du contenu (Instagram, Facebook, Threads, WhatsApp Business, LinkedIn, X, YouTube, TikTok, Wix, WordPress, votre propre site web), chaque plateforme ne demande, via OAuth, que les autorisations (scopes) nécessaires à cet effet. Ces connexions sont indépendantes de la connexion via les réseaux sociaux pour l'accès au compte (voir section 5.1a). Nous enregistrons alors :
• • Jetons d'accès et de rafraîchissement OAuth par plateforme, stockés dans la base de données après avoir été chiffrés en AES-256-GCM (voir section 10)
• • Identifiants des comptes, pages et chaînes sur la plateforme, ainsi que le nom d'affichage, la photo de profil ou le logo
• • Sur LinkedIn, en outre : les pages d'entreprise que vous gérez (ID, nom, logo) pour choisir la cible de publication
• • Sur Facebook/Instagram/WhatsApp : liens détectés automatiquement entre la page Facebook, le compte professionnel Instagram et le compte professionnel WhatsApp (« transfert » des comptes associés lors de l'établissement de la connexion)
• • Date d'expiration du jeton d'accès pour le renouvellement automatique (par exemple, pour X et Wix)
• • Pour WordPress ou un site web personnel : les identifiants que vous avez renseignés (mot de passe d'application ou URL du point de terminaison et clé secrète) à la place du jeton OAuth
• Ces données sont utilisées exclusivement pour publier, en votre nom, des publications sur les comptes associés et pour afficher les statistiques correspondantes (Analytics) au sein de PostMaestro.ai. L'accès aux messages privés ou aux contacts s'effectue exclusivement dans le cadre de la fonctionnalité de gestionnaire de communauté que vous avez activée (Facebook Messenger, Instagram Direct, WhatsApp).
• Vous pouvez interrompre n'importe quelle connexion à tout moment dans les paramètres. Nous vous recommandons également de révoquer l'autorisation accordée à l'application directement sur la plateforme concernée (par exemple, dans les paramètres du compte Meta).

5.6 Données du compte d'équipe et du compte d'entreprise

• Dans le cas de comptes de société avec plusieurs utilisateurs, nous enregistrons en plus :
• - Membres de l'équipe et leurs rôles
• - Autorisations et contrôle d'accès
• - Workflows de validation et commentaires
• - Journaux d'activité (Audit Log)
• Objectif : collaboration d'équipe, contrôle d'accès, conformité

5.7 Notifications push (application mobile)

• Si vous utilisez notre application mobile et activez les notifications push, nous traitons :
• • Jeton d'appareil (Device Token) pour l'envoi des notifications
• • Préférences en matière de notifications
• Pour l'envoi des notifications push, nous utilisons Firebase Cloud Messaging (Google).
• Vous pouvez désactiver les notifications push à tout moment dans les paramètres de votre appareil.

5.8 Actualités, recherche et flux RSS

• La plate-forme propose une fonction d'actualités qui utilise par défaut des recherches basées sur l'IA (via Perplexity AI) pour fournir des actualités pertinentes sur le secteur. En outre, vous pouvez ajouter vos propres flux RSS. Ce faisant, nous traitons
• - Recherches et préférences thématiques pour la recherche d'actualités basée sur l'IA
• - Les URL des flux RSS que vous avez ajoutés
• - Vos préférences et catégorisations pour ces flux
• - Articles lus ou enregistrés
• La plate-forme récupère les contenus des flux tiers via nos serveurs, de sorte que votre adresse IP n'est pas transmise aux opérateurs des flux RSS. Lorsque vous utilisez la recherche d'actualités assistée par l'IA, vos requêtes de recherche sont transmises à Perplexity AI (voir section 7.3).
• Objectif : fournir des actualités sectorielles personnalisées, des recherches et de l'inspiration de contenu

6.1 Procédure de double opt-in

Après l'inscription à la newsletter, vous recevrez un e-mail de confirmation.

Ce n'est qu'après avoir cliqué sur le lien de confirmation que vous serez inscrit à la liste de diffusion de la newsletter.

Cela sert à vous protéger contre l'utilisation abusive de votre adresse e-mail.

6.2 SendGrid (envoi par e-mail)

Pour l'envoi de la newsletter, nous utilisons SendGrid (Twilio Inc., USA).

SendGrid traite votre adresse e-mail pour le compte de l'envoi de la newsletter.

Nous avons conclu un contrat de traitement des commandes (CTP) avec SendGrid conformément à l'article 28 du RGPD.

SendGrid est certifié EU-US Data Privacy Framework.

Pour plus d'informations : https://www.twilio.com/legal/privacy

Déclaration de confidentialité de Twilio (SendGrid)

6.3 Suivi de la newsletter

Actuel : pas de suivi des taux d'ouverture ou de clics

Prévue pour le moment : Opt-in pour les statistiques de la newsletter (taux d'ouverture, suivi des clics)

Vous serez informé avant l'activation du tracking et pourrez donner ou refuser votre consentement.

6.4 Déconnexion

Vous pouvez vous désabonner de la newsletter à tout moment :

- Via le lien de désinscription dans chaque e-mail de la newsletter

- Par e-mail à newsletter@nexaluna.ai

- Dans les paramètres de votre compte (si disponible)

Après votre désinscription, vos données seront supprimées de la liste de diffusion de la newsletter.

8.1 Divulgation des interactions avec un système d'IA

• Dans PostMaestro.ai, vous interagissez directement avec des systèmes d'IA. Toutes les fonctionnalités permettant de générer, d'évaluer, de résumer, de traduire ou de reformuler des contenus s'appuient sur l'IA et sont identifiées comme telles dans l'interface utilisateur.
• Cette mention doit apparaître avant la première interaction, être claire, compréhensible et se distinguer nettement des autres éléments de commande (art. 50, al. 1, de la loi européenne sur l'IA).
• Nous mettons ces informations à disposition dans un format accessible et les adaptons aux exigences reconnues en matière d'accessibilité (art. 50, al. 5, de la loi européenne sur l'accessibilité).
• Les réponses et suggestions fournies par l'IA peuvent être incomplètes, obsolètes ou factuellement erronées. Elles ne constituent en aucun cas des conseils juridiques, fiscaux, médicaux ou financiers.

8.2 Marquage lisible par machine des contenus générés

• Conformément à l'article 50, paragraphe 2, de la loi européenne sur l'IA, les contenus générés par des systèmes d'IA qui produisent des images, des fichiers audio, des vidéos ou des textes synthétiques doivent être signalés comme étant générés ou manipulés artificiellement, dans un format lisible par machine. Ce marquage doit être efficace, interopérable, robuste et fiable.
• Nous mettons en œuvre cette exigence à l'aide de plusieurs procédures complémentaires, car, en l'état actuel de la technique, aucune procédure ne permet à elle seule d'atteindre le niveau de robustesse requis :
• • Métadonnées d'origine dans le fichier : Lors de l'exportation, nous intégrons des métadonnées XMP et IPTC dans les fichiers multimédias générés, notamment dans le champ IPTC « Digital Source Type » avec la valeur « trainedAlgorithmicMedia », ainsi que des informations sur le système d'IA utilisé, la version du modèle et la date de création.
• • Content Credentials (C2PA) : pour les fichiers image et vidéo générés, nous intégrons dans le pipeline de sortie une indication d'origine signée cryptographiquement, conformément à la norme C2PA.
• • Filigranes ajoutés par le fournisseur : lorsque le fournisseur de modèles utilise des filigranes invisibles, ceux-ci sont conservés et ne sont pas supprimés. Pour les modèles d'images de Google Gemini, il s'agit de la technique de filigrane SynthID.
• • Validation : une fois l'écriture terminée, nous relisons les balises et enregistrons un statut pour chaque fichier (en attente, valide, manquant, supprimé). Si l'intégration échoue, nous imposons un marquage visible pour les catégories de contenu sensibles.
• Le marquage est appliqué côté serveur avant qu'un fichier ne soit stocké ou diffusé, afin qu'il résiste au rendu, au téléchargement et à la mise en ligne. D'un point de vue technique, il n'est pas exclu que des tiers ou des plateformes cibles suppriment les métadonnées lors d'un nouveau téléchargement, d'une compression ou d'un recadrage. Dans ce cas, le marquage visible constitue votre garantie (voir 8.3).
• État d'avancement de la transposition et délai : les obligations de transparence prévues à l'article 50 de la loi européenne sur l'IA s'appliquent depuis le 2 août 2026. Pour les systèmes d’IA qui, à l’instar de PostMaestro.ai, étaient déjà commercialisés avant cette date, la période transitoire s’étend jusqu’au 2 décembre 2026. Nous mettrons pleinement en œuvre les procédures décrites ci-dessus dans ce délai et documenterons en interne l’état d’avancement de la mise en œuvre.
• Une simple mention dans la présente déclaration de confidentialité ne suffit pas à satisfaire aux exigences de l'article 50, paragraphe 2, de la loi européenne sur l'intelligence artificielle. C'est le marquage lisible par machine apposé sur le fichier lui-même qui fait foi.

8.3 Vos obligations en tant qu'exploitant face aux deepfakes

• Lorsque vous publiez du contenu généré par PostMaestro.ai, vous êtes considéré comme un « exploitant » au sens de la loi européenne sur l'IA. Dans ce cas, c'est à vous, et non à nous, qu'incombe l'obligation de divulgation prévue à l'article 50, paragraphe 4, de la loi européenne sur l'IA.
• Si vous créez ou modifiez des contenus visuels, audio ou vidéo qui ressemblent de manière trompeuse à des personnes, des objets, des lieux, des établissements ou des événements réels (« deepfakes »), vous devez, lors de leur publication, indiquer clairement que ces contenus ont été générés ou manipulés artificiellement.
• Selon les lignes directrices de la Commission européenne, cette obligation s'applique indépendamment de toute intention de tromperie et même lorsqu'aucune personne réelle n'est représentée. Elle s'applique donc généralement aux publications sur les réseaux sociaux.
• Pour vous aider, nous mettons à votre disposition : un marquage visible par défaut pour les catégories de contenu sensibles, une suggestion de texte d'avertissement lors de l'exportation et une remarque dans le processus de publication.
• Le paramètre par défaut est toujours « activé ». Toute désactivation doit être consignée : nous enregistrons l'heure, le compte utilisateur, l'espace de travail et la version du texte de confirmation. La désactivation est impossible pour les représentations photoréalistes de personnes et les voix synthétiques.
• Vous ne devez pas supprimer, désactiver, contourner ou altérer le fonctionnement des mécanismes d'identification et de divulgation que nous mettons à votre disposition (voir la section 6.4 des CGV).
• Cette obligation s'ajoute aux règles d'étiquetage imposées par la plateforme de réseau social concernée. C'est à vous de vérifier si une obligation de divulgation s'applique dans chaque cas particulier.

8.4 Textes générés par l'IA et responsabilité éditoriale

• En ce qui concerne les textes, l'article 50 de la loi européenne sur l'IA est formulé de manière nettement plus restrictive que pour les images, les fichiers audio et les vidéos. Une obligation de divulgation n'existe que si les trois conditions suivantes sont réunies :
• 1. Le texte a été généré ou modifié par une intelligence artificielle.
• 2. Le texte est publié.
• 3. La publication a pour but d'informer le public sur des sujets d'intérêt général, tels que l'actualité, les prises de position politiques ou sociétales et les contributions aux débats publics.
• L'obligation de mention est levée lorsque le contenu a fait l'objet d'une vérification humaine ou d'un contrôle éditorial et qu'une personne physique ou morale assume la responsabilité éditoriale de la publication.
• Il n'existe pas d'obligation générale de signalement pour tout texte généré par l'IA. Quiconque utilise l'IA comme outil d'aide, vérifie les textes sur le plan rédactionnel et en assume lui-même la responsabilité n'est généralement soumis à aucune obligation supplémentaire de signalement.
• PostMaestro.ai est précisément conçu dans ce but : les textes générés sont des suggestions. Avant toute programmation ou publication, nous vous demandons de confirmer expressément que vous avez vérifié le texte et que vous en assumez la responsabilité éditoriale. Nous consignons cette confirmation en précisant la date et l'heure, le compte utilisateur et la version du texte, afin que cette exception reste vérifiable.
• La remarque figurant dans l'application est la suivante : « Ce texte est une proposition. Veuillez le vérifier avant sa publication. En le vérifiant, vous en assumez la responsabilité éditoriale. »
• Sans cette vérification, vous n'êtes pas autorisé à publier les textes générés en tant que contenus relevant de la responsabilité éditoriale ; l'obligation de divulgation prévue à l'article 50, paragraphe 4, de la loi européenne sur l'IA (EU AI Act) peut alors s'appliquer.

8.5 Pas de reconnaissance des émotions ni de classification biométrique

• PostMaestro.ai n'utilise aucun système de reconnaissance des émotions et ne déduit aucune émotion, aucun état émotionnel ni aucune intention à partir de données biométriques.
• Nous ne pratiquons ni classification biométrique, ni reconnaissance faciale, ni identification biométrique, ni reconnaissance de caractéristiques protégées telles que l'origine ethnique, les opinions politiques, la religion, l'appartenance syndicale, l'état de santé ou l'orientation sexuelle.
• Les fonctions d'évaluation telles que « Idea Validation », « Brand Analyser » ou les analyses de performance portent exclusivement sur les contenus, les données relatives aux marques et à l'audience – et non sur des personnes ni sur des caractéristiques biométriques.
• Les obligations d'information prévues à l'article 50, paragraphe 3, de la loi européenne sur l'IA (EU AI Act) concernant les systèmes de reconnaissance des émotions et de catégorisation biométrique ne s'appliquent donc pas à notre entreprise.

8.6 Utilisations interdites : représentations à caractère intime sans consentement et représentations d'abus sur mineurs

• L'article 5 de la loi européenne sur l'IA interdit les systèmes d'IA dont le résultat raisonnablement prévisible est la production de représentations intimes non consensuelles (NCII) ou de représentations d'abus sexuels sur mineurs (CSAM). En tant que fournisseur d’un outil général de génération d’images et de vidéos, nous évaluons ce risque d’abus dès la phase de conception et mettons en place des mesures de protection techniques.
• Mesures de protection mises en œuvre :
• • Des filtres d'entrée qui bloquent les invites pertinentes avant même l'appel des modèles d'image et de vidéo
• • les filtres de sortie ainsi que les paramètres de sécurité des fournisseurs de modèles utilisés
• • Blocage des contenus visant des mineurs dans un contexte à caractère sexuel ou présentant des images intimes de personnes identifiables
• • Désactivation des fonctions « Persona » et « Voice » sans le consentement documenté de la personne concernée (voir section 5.9)
• • Enregistrement des requêtes bloquées à des fins de détection des abus, ainsi que la possibilité de suspendre les comptes concernés
• Toute utilisation de la plateforme à ces fins est strictement interdite et entraîne la suspension immédiate du compte ainsi que, en cas d'indices d'infractions pénales, la saisine des autorités compétentes.
• Signaler un abus : vous et tout tiers pouvez signaler à tout moment les infractions à l'adresse info@nexaluna.ai en indiquant en objet « Signaler un abus lié à l'IA ». Nous traitons les signalements reçus en priorité et vous confirmons leur réception.
• Nous consignons en interne notre évaluation des risques réalisée lors de la phase de conception, les filtres utilisés et le traitement des notifications, et nous les communiquons à la demande des autorités compétentes.

8.7 Répartition des rôles : fournisseurs et opérateurs

• Au sens de la loi européenne sur l'IA (EU AI Act), le fournisseur du système d'IA PostMaestro.ai est la société Nexaluna AI Solutions UG (à responsabilité limitée). Nous sommes soumis aux obligations incombant aux fournisseurs, notamment le marquage lisible par machine des résultats conformément à l'article 50, paragraphe 2, et la divulgation de l'interaction avec l'IA conformément à l'article 50, paragraphe 1.
• Vous êtes considéré comme exploitant dès lors que vous utilisez la plateforme sous votre responsabilité et que vous publiez des contenus que vous avez créés. Vous êtes soumis aux obligations incombant à l'exploitant, notamment à l'obligation de divulgation prévue à l'article 50, paragraphe 4, en ce qui concerne les « deepfakes » et les textes d'intérêt public.
• Les modèles de base utilisés proviennent de tiers (voir section 7). Leurs fournisseurs sont les fournisseurs des modèles d'IA correspondants ; nous sommes quant à nous les fournisseurs du système d'IA qui s'appuie sur ces modèles.
• Nous tenons à jour en interne un registre de tous les modèles utilisés, avec l'attribution des rôles correspondants, et nous le mettons à jour en cas de modifications.
• En ce qui concerne les compétences en matière d'IA au sens de l'article 4 de la loi européenne sur l'IA, nous formons nos collaborateurs à l'utilisation des systèmes d'IA mis en place et nous consignons ces formations.

8.8 Contrôle et réclamations

• Depuis le 29 juillet 2026, l'Agence fédérale des réseaux est l'autorité de surveillance du marché compétente, le point de contact central et l'instance chargée de traiter les réclamations relatives à la loi européenne sur l'IA en Allemagne.
• Agence fédérale des réseaux, Tulpenfeld 4, 53113 Bonn, https://www.bundesnetzagentur.de
• Vous pouvez à tout moment déposer une réclamation concernant la transparence de l'IA sur ce site. Nous vous invitons à nous contacter au préalable à l'adresse info@nexaluna.ai afin que nous puissions traiter votre demande dans les plus brefs délais.