Politique de confidentialité.

Deux rôles, deux situations

Poquelin est un logiciel pour les rédactions. Selon la donnée, nous n’avons pas le même rôle au sens du règlement général sur la protection des données (RGPD) :

• Responsable de traitement pour les données que nous collectons pour notre propre compte : votre compte utilisateur, votre organisation, la facturation, nos échanges avec vous, le fonctionnement et la sécurité du service.
• Sous-traitant pour tout ce que vous traitez à travers les outils : vos contenus, vos sources, vos médias, les accès à vos sites et à vos réseaux, et les données des lecteurs de vos sites que la balise Analytics et les notifications Push collectent pour vous. Vous en êtes le responsable de traitement ; nous n’agissons que sur vos instructions, dans les conditions de l’accord de sous-traitance inclus dans les conditions d’utilisation.

Le responsable de traitement est Raison sociale, adresse du siège. Pour toute question sur vos données : adresse email RGPD.

Votre compte et votre organisation

À l’inscription, nous collectons votre adresse email et le nom que vous indiquez. Si vous choisissez « Continuer avec Google », nous recevons de Google votre adresse email, votre nom et votre photo de profil, rien d’autre. Poquelin ne stocke aucun mot de passe : la connexion se fait par un code à usage unique envoyé par email, ou par Google.

Nous traitons ensuite ce que votre usage produit : les organisations et sites que vous créez, les membres que vous invitez et leurs rôles, vos préférences (langue, thème), les journaux de connexion et d’actions nécessaires à la sécurité du service, et les mesures d’utilisation (volumes consommés par outil) qui servent à appliquer votre offre.

Base légale : l’exécution du contrat qui nous lie (les conditions d’utilisation) et, pour la sécurité et les journaux, notre intérêt légitime à protéger le service. Pour la facturation, l’obligation légale de tenir une comptabilité.

Ce que vous traitez dans les outils

Les outils de Poquelin manipulent les données que vous leur confiez : flux et articles suivis dans Reader, sujets et événements du Planner, briefs, sources (liens, documents PDF, publications sociales, photos, vidéos) et articles de l’Editor, médias de la Médiathèque, notifications Push, publications du Social Creator, chiffres d’audience et de revenu d’Analytics. Ces données peuvent contenir des données personnelles (noms d’auteurs, de personnes citées, d’abonnés) : vous en restez responsable, nous les traitons pour vous.

Les accès que vous connectez (sites WordPress ou API, comptes sociaux, Google Ad Manager) sont stockés chiffrés au repos (AES-256-GCM) et ne servent qu’aux opérations que vous demandez : publier, synchroniser, lire des rapports. Vous pouvez les révoquer à tout moment depuis les paramètres de votre site.

Vos équipes de support : nos administrateurs peuvent accéder à votre espace pour vous aider, uniquement à votre demande ou pour résoudre un incident. Chaque accès est limité à une heure et journalisé.

Intelligence artificielle

Lorsque vous utilisez une fonction d’IA (générer un brief, un article, des titres, des légendes, une analyse de source, une transcription), le texte, les documents ou les médias concernés sont transmis au fournisseur de modèle configuré pour cette fonction : Google (Gemini, via l’API Gemini ou Vertex AI en région européenne), OpenAI (modèles GPT et transcription Whisper) ou Anthropic (modèles Claude). Nous utilisons leurs API professionnelles, dont les conditions excluent l’entraînement de leurs modèles sur les données transmises.

Nous conservons les requêtes et les réponses de chaque appel pendant 30 jours, pour diagnostiquer un résultat inattendu et contrôler les coûts ; passé ce délai, seuls restent les volumes consommés. Les profils de voix éditoriale (articles de référence, règles) restent dans votre espace et ne sont envoyés qu’avec les requêtes qui en ont besoin.

Si vous êtes lecteur d’un site équipé de Poquelin

Un média qui utilise Poquelin peut installer sur son site un script Poquelin qui alimente deux services. Dans les deux cas, le média est responsable du traitement et Poquelin agit pour son compte ; sa propre politique de confidentialité vous informe, et c’est à lui qu’il faut adresser vos demandes — nous les relayons si vous nous écrivez.

Mesure d’audience (Analytics) : la balise ne dépose aucun cookie et ne stocke aucun identifiant dans votre navigateur. Pour compter les lecteurs, le serveur calcule un identifiant à partir d’un secret renouvelé chaque jour, de l’identifiant du site, de votre adresse IP et de votre navigateur ; l’adresse IP est rejetée aussitôt, le secret de la veille est détruit, et l’identifiant ne permet ni de vous reconnaître d’un jour à l’autre ni de vous suivre d’un site à l’autre. Aucune géolocalisation. Les mesures sont conservées par tranches de 30 minutes pendant 7 jours environ, par jour pendant 90 jours environ, puis sous forme d’agrégats mensuels sans donnée individuelle. Cette mesure relève, selon nous, des outils exemptés de consentement au sens des lignes directrices de la CNIL ; le média reste tenu de vous en informer.

Notifications (Push) : si vous acceptez de recevoir les notifications d’un site, votre navigateur fournit un jeton de notification (Firebase Cloud Messaging, Google) que nous associons au site, avec la famille d’appareil, le navigateur, le système et la langue, pour adapter l’envoi et compter les abonnés. Un cookie identifiant d’un an permet de reconnaître votre appareil si vous videz le stockage du navigateur. Vous vous désabonnez en retirant l’autorisation de notifications du site dans votre navigateur ; les abonnements inactifs sont supprimés.

Services Google connectés

Poquelin peut accéder à certaines de vos données Google, uniquement si vous le demandez : votre profil de base pour vous connecter, et les rapports de votre réseau Google Ad Manager pour rapprocher le revenu publicitaire de vos articles. Ces données servent exclusivement à afficher ces fonctions dans votre espace ; elles ne sont ni vendues, ni utilisées pour de la publicité, ni lues par un humain hors des cas prévus par Google (votre accord explicite, la sécurité, le respect de la loi).

Poquelin’s use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Vous retirez cet accès à tout moment depuis votre compte Google ou depuis les paramètres de connexion de votre site Poquelin.

Prestataires qui traitent des données pour nous

Nous confions certaines opérations à des prestataires, liés par contrat, qui ne peuvent utiliser les données que pour la tâche confiée. Hors de l’Union européenne, les transferts reposent sur les clauses contractuelles types de la Commission européenne et, lorsque le prestataire y est certifié, sur le cadre de protection des données UE–États-Unis.

Les banques d’images (Unsplash, Pexels, Pixabay, Openverse) et les réseaux sociaux ou CMS que vous connectez reçoivent les requêtes que vous déclenchez (une recherche d’image, une publication) ; ils agissent selon leurs propres conditions, que vous acceptez en les utilisant.

Nous informons nos clients de tout changement de cette liste au moins 30 jours avant qu’il prenne effet.

Durées de conservation

Sécurité

Données hébergées dans l’Union européenne, chiffrées en transit (TLS) ; secrets et accès connectés chiffrés au repos ; connexion sans mot de passe ; rôles et permissions par organisation et par site ; sauvegardes chiffrées et restauration testée ; accès de support limités et journalisés. En cas de violation de données susceptible de créer un risque pour vous, nous vous informons sans délai injustifié et, lorsque la loi l’exige, la CNIL dans les 72 heures.

Vos droits

Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité sur les données qui vous concernent, et du droit de définir des directives sur leur sort après votre décès. La plupart s’exercent directement dans l’application (profil, organisation, corbeille) ; pour le reste, écrivez à adresse email RGPD. Nous répondons sous un mois. Vous pouvez aussi saisir la CNIL.

Lorsque Poquelin agit comme sous-traitant (données que vous traitez pour vos propres lecteurs), adressez votre demande au média concerné ; si elle nous parvient, nous la lui transmettons.

Poquelin s’adresse aux professionnels ; nous ne créons pas de compte pour des personnes de moins de 18 ans.

Modifications

Nous mettons cette politique à jour lorsque le service change. La date en tête de page fait foi ; une modification substantielle est annoncée dans l’application ou par email avant de prendre effet.