Politique de Confidentialité
Traduction fournie à titre indicatif ; la version anglaise prévaut. English
Date d’entrée en vigueur : 2026-11-01
Version : v1.0
1. Introduction
La présente Politique de Confidentialité décrit la manière dont AZWAUL LP, société en commandite (LP) enregistrée en Ontario, Canada, dont le siège social est situé au 1025 King Street East, Unit 107 #1697, Cambridge, ON N3H 3P5 (ci-après l’« Éditeur », « nous », « notre »), collecte, utilise, stocke et protège les données personnelles dans le cadre du service Heraldly (ci-après le « Service »), disponible à l’adresse heraldlyapp.com.
Heraldly permet aux créateurs, aux entreprises et aux agences de publier et de programmer des contenus sur les réseaux sociaux, de regrouper ces contenus en campagnes et d’en mesurer les résultats. En utilisant le Service, vous (l’« Utilisateur ») reconnaissez les pratiques décrites dans la présente Politique.
En bref :
- Nous n’accédons à vos comptes sociaux que pour publier ce que vous ou votre équipe programmez, et pour lire les statistiques de ces comptes.
- Nous ne lisons jamais vos messages privés, ne vendons jamais vos données et ne les utilisons jamais à des fins publicitaires.
- Vous pouvez à tout moment déconnecter un compte, exporter vos données ou tout supprimer (voir notre page Suppression des données).
2. Cadre juridique applicable
L’Éditeur est établi au Canada et le Service est proposé à l’international. La présente Politique est rédigée en référence à :
- la Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE, en anglais PIPEDA) du Canada et, pour les Utilisateurs situés au Québec, la Loi sur la protection des renseignements personnels dans le secteur privé (modifiée par la Loi 25) ;
- le Règlement Général sur la Protection des Données (RGPD, UE 2016/679) pour les Utilisateurs situés dans l’Espace économique européen, et le RGPD britannique (UK GDPR) pour les Utilisateurs situés au Royaume-Uni ;
- les autres lois de protection des données applicables aux Utilisateurs dans leur lieu de résidence, y compris, le cas échéant, les lois des États américains relatives à la vie privée.
En cas de divergence entre ces cadres, la norme offrant la protection la plus élevée à l’Utilisateur prévaut.
3. Rôles de responsable de traitement et de sous-traitant
- L’Éditeur est responsable de traitement pour les données nécessaires au fonctionnement du compte de l’Utilisateur : données d’identité et de connexion, accès accordés aux comptes sociaux connectés, données d’abonnement, données techniques et de sécurité.
- Pour les contenus que l’Utilisateur crée ou téléverse (publications, légendes, médias, commentaires dans le circuit d’approbation), les statistiques collectées sur les comptes connectés de l’Utilisateur et les données de clics de ses liens courts, l’Utilisateur (ou l’Organisation pour laquelle il agit) est responsable de traitement et l’Éditeur agit en tant que sous-traitant, traitant ces données uniquement pour fournir le Service.
- Les réseaux sociaux (LinkedIn, Google/YouTube, Meta pour Facebook et Instagram, TikTok) sont responsables de traitement indépendants des données qu’ils détiennent. Lorsque l’Utilisateur publie via Heraldly, le contenu leur est transmis sur instruction de l’Utilisateur et est alors régi par leurs propres conditions et politiques de confidentialité.
- Paddle, notre revendeur et Merchant of Record (voir section 7), est responsable de traitement indépendant des données qu’il collecte lors du paiement, selon sa propre politique de confidentialité (https://www.paddle.com/legal/privacy).
4. Données collectées
4.1 Données de compte et d’identité
| Catégorie | Données | Moment de la collecte |
|---|---|---|
| Identification | Prénom, nom, adresse e-mail | Inscription |
| Authentification | Mot de passe (haché avec bcrypt), secret 2FA et codes de récupération, ou identifiant du fournisseur d’authentification utilisé | Inscription / paramètres de sécurité |
| Profil | Avatar (image), langue, fuseau horaire | Paramètres du profil |
| Appartenance | Organisations dont l’Utilisateur est membre, rôle dans chacune | Invitation / paramètres de l’organisation |
4.2 Données issues des comptes sociaux connectés
Lorsque l’Utilisateur connecte un compte social, le réseau lui demande d’accorder des permissions précises à Heraldly. Nous n’utilisons que les permissions listées ci-dessous, et uniquement pour les finalités indiquées.
| Réseau | Ce à quoi nous accédons | Pourquoi |
|---|---|---|
| Nom, photo de profil et identifiant de membre ; les Pages que l’Utilisateur administre (nom, logo, identifiant) ; statistiques des publications et des Pages (impressions, clics, nombre de réactions, de commentaires et de partages, abonnés) | Publier sur le profil ou la Page ; afficher les statistiques dans les rapports | |
| YouTube (via YouTube API Services) | Identifiant, titre et miniature de la chaîne ; la possibilité de téléverser des vidéos et d’en définir le titre, la description, la miniature, la playlist et la visibilité ; statistiques YouTube Analytics des vidéos de la chaîne (vues, durée de visionnage, durée moyenne de visionnage, mentions « J’aime », commentaires, abonnés gagnés) | Téléverser et programmer des vidéos ; afficher les statistiques dans les rapports |
| Les Pages que l’Utilisateur gère (nom, image, identifiant) et un jeton d’accès pour chacune ; statistiques des Pages et de leurs publications | Publier sur la Page ; afficher les statistiques dans les rapports | |
| Instagram (comptes professionnels) | Identifiant du compte, nom d’utilisateur et photo de profil ; statistiques du compte et de ses médias (couverture, vues, mentions « J’aime », commentaires, enregistrements, partages) | Publier des images, des carrousels et des reels ; afficher les statistiques dans les rapports |
| TikTok | Identifiant ouvert (open ID), nom affiché et avatar ; options de publication du compte (niveaux de confidentialité disponibles, durée maximale des vidéos) ; statistiques des vidéos publiées (nombre de vues, de mentions « J’aime », de commentaires et de partages) | Publier des vidéos et des photos ; afficher les statistiques dans les rapports |
Lorsqu’un réseau les fournit, nous pouvons aussi recevoir des répartitions agrégées de l’audience (par exemple les vues par pays). Ces chiffres sont des statistiques et n’identifient pas individuellement les spectateurs.
Nous ne lisons pas les messages privés, nous ne collectons pas l’identité ni le contenu des personnes qui commentent les publications de l’Utilisateur ou y réagissent, et nous ne publions jamais quoi que ce soit que l’Utilisateur ou un membre de son Organisation n’a pas créé et programmé.
Les jetons d’accès des comptes connectés sont chiffrés au repos (AES-256-GCM).
4.3 Données de contenu et d’espace de travail
Publications, légendes, hashtags, liens, fichiers médias (images et vidéos), miniatures, programmations, campagnes, étiquettes, historique d’approbation (commentaires, modifications demandées, approbations et leurs auteurs), et historique des publications importées depuis les comptes connectés. Lorsque l’Utilisateur importe un export de données LinkedIn (un tableur téléchargé depuis LinkedIn), le fichier est lu pour en extraire les statistiques des publications, puis supprimé.
4.4 Données de clics des liens courts
Les liens raccourcis par Heraldly (go.heraldlyapp.com) enregistrent chaque clic afin de mesurer les campagnes. Pour chaque clic, nous conservons : la date et l’heure, le lien court, le pays, le type d’appareil et la famille de navigateur, ainsi que le site web référent.
L’adresse IP du visiteur n’est utilisée qu’au moment du clic, pour déterminer le pays et filtrer le trafic automatisé, et n’est pas conservée. La redirection ne dépose aucun cookie et n’identifie pas le visiteur.
4.5 Données collectées automatiquement
| Catégorie | Données | Finalité |
|---|---|---|
| Connexion | Adresse IP, agent utilisateur | Sécurité, détection de fraude |
| Audit | Actions effectuées, entité concernée, méthode HTTP, chemin, horodatage | Traçabilité, sécurité |
| Technique | Type de navigateur, système d’exploitation, erreurs | Compatibilité, diagnostic |
Note : aucune donnée de carte bancaire n’est stockée sur nos serveurs. Les paiements sont intégralement encaissés par Paddle (voir section 7).
5. Finalités et bases juridiques
| Finalité | Base juridique |
|---|---|
| Fourniture du Service (publication, programmation, calendrier, campagnes, rapports, approbation) | Exécution du contrat |
| Connexion des comptes sociaux et lecture de leurs statistiques | Exécution du contrat ; autorisation donnée par l’Utilisateur sur chaque réseau |
| Mesure des clics des liens courts | Intérêt légitime de l’Utilisateur à mesurer ses campagnes (aucun cookie, aucune adresse IP conservée) |
| Gestion des abonnements et paiements | Exécution du contrat |
| Sécurité, prévention de la fraude, journaux d’audit | Intérêt légitime / obligation légale |
| E-mails transactionnels | Exécution du contrat |
| Nouveautés produit et infolettres | Consentement (inscription volontaire, retirable à tout moment) |
| Amélioration du Service | Intérêt légitime, à partir de données d’utilisation agrégées |
6. YouTube API Services et données Google
Heraldly utilise les YouTube API Services pour téléverser des vidéos et lire les statistiques des chaînes. En connectant une chaîne YouTube, l’Utilisateur accepte d’être lié par les Conditions d’utilisation de YouTube. Le traitement des données par Google est décrit dans les Règles de confidentialité de Google.
L’utilisation et le transfert par Heraldly des informations reçues des API Google respectent le Règlement sur les données utilisateur des services d’API Google (Google API Services User Data Policy), y compris les exigences « Limited Use » (utilisation limitée des données). En particulier, nous n’utilisons pas ces informations pour diffuser de la publicité, nous ne les vendons pas, et nous ne permettons à aucune personne de les lire, sauf avec le consentement de l’Utilisateur, pour des raisons de sécurité ou lorsque la loi l’exige.
L’Utilisateur peut révoquer à tout moment l’accès de Heraldly à son compte Google depuis la page des paramètres de sécurité Google. Les données obtenues via les YouTube API Services sont supprimées :
- dans un délai de 7 jours après que l’Utilisateur a déconnecté la chaîne dans Heraldly ;
- dans un délai de 30 jours après que l’Utilisateur a révoqué l’accès depuis les paramètres de Google.
Les statistiques YouTube ne sont conservées que tant que Heraldly reste autorisé à accéder à la chaîne ; nous vérifions cette autorisation au moins tous les 30 jours.
7. Partage et sous-traitants
Nous ne vendons ni ne louons de données personnelles. Nous ne partageons de données qu’avec les sous-traitants suivants, dans la mesure nécessaire au fonctionnement du Service :
| Sous-traitant | Localisation | Fonction | Données concernées |
|---|---|---|---|
| Hetzner (Hetzner Online GmbH) | Allemagne / Finlande (UE) | Hébergement des serveurs applicatifs et des bases de données | Toutes les données traitées par le Service |
| Cloudflare | États-Unis (réseau mondial) | DNS, terminaison TLS, protection réseau, distribution des liens courts | Adresse IP et métadonnées des requêtes ; les requêtes transitent par son réseau |
| Backblaze (stockage objet B2 / S3) | Pays-Bas (UE) | Stockage des fichiers médias et sauvegardes | Images et vidéos téléversées, miniatures, avatars, sauvegardes |
| Paddle (Paddle.com Market Limited) | Royaume-Uni | Revendeur et Merchant of Record des plans payants (responsable de traitement indépendant) | Nom, e-mail, pays de facturation, identifiants d’abonnement et de transaction, montants |
| Brevo | France / UE | Envoi d’e-mails transactionnels | Adresse e-mail, nom du destinataire |
| Bugsink | Auto-hébergé / UE | Suivi des erreurs | Événements d’erreur, métadonnées techniques |
Réseaux sociaux. Lorsque l’Utilisateur publie, le contenu et les médias sont envoyés au réseau qu’il a sélectionné (LinkedIn, YouTube, Facebook, Instagram, TikTok). Pour Instagram, le réseau récupère chaque fichier média à partir d’un lien temporaire, à durée limitée, que nous créons à cet effet. Une fois publié, le contenu est public ou privé selon les paramètres choisis par l’Utilisateur sur ce réseau.
Paddle vend les plans payants à l’Utilisateur en tant que Merchant of Record. Pour les données qu’il collecte lors du paiement (y compris les données de carte bancaire, qui n’atteignent jamais nos serveurs), il agit en responsable de traitement indépendant. Nous ne recevons de Paddle que ce qui est nécessaire à la gestion de l’abonnement : identifiants de client et d’abonnement, plan, montants et statut de paiement.
Aucun tiers ne diffuse de publicité dans le Service.
Les transferts internationaux (vers l’Union européenne, le Royaume-Uni et les États-Unis) sont encadrés par des garanties appropriées, y compris des clauses contractuelles types le cas échéant.
8. Cookies et technologies similaires
Le Service n’utilise que des cookies strictement nécessaires : des cookies d’authentification (jetons d’accès et de rafraîchissement en cookies httpOnly) et des cookies de préférences (langue, thème). Il n’utilise aucun cookie publicitaire ni cookie de suivi tiers. Les redirections des liens courts ne déposent aucun cookie.
9. Conservation des données
| Type de données | Durée de conservation |
|---|---|
| Données de compte et de profil | Durée de vie du compte |
| Jetons d’accès des comptes connectés | Jusqu’à la déconnexion du compte ou la révocation de l’accès ; supprimés immédiatement à la déconnexion |
| Brouillons, publications programmées, campagnes | Jusqu’à leur suppression par l’Utilisateur ou jusqu’à la suppression de l’Organisation |
| Fichiers médias originaux | 90 jours après la mise en ligne de la dernière publication qui les utilise (les publications mises en ligne et leurs statistiques demeurent) ; les médias non publiés jusqu’à leur suppression, dans la limite du quota de stockage du plan |
| Statistiques issues de YouTube | Tant que Heraldly reste autorisé (voir section 6) |
| Statistiques issues des autres réseaux | Durée de vie de l’Organisation, sauf si l’Utilisateur les supprime en déconnectant le compte |
| Fichiers d’export de données LinkedIn | Supprimés une fois importés, dans un délai de 24 heures |
| Événements de clics des liens courts | 13 mois, puis conservés uniquement sous forme de totaux agrégés |
| Journaux d’audit | 365 jours |
| Sauvegardes | Glissantes, jusqu’à 30 jours |
| Références de paiement (Paddle) | Selon les obligations comptables et fiscales |
Après suppression d’un compte :
- les données d’identité personnelles de l’Utilisateur sont anonymisées (prénom, nom et e-mail remplacés par des valeurs génériques) ;
- les jetons d’accès sont supprimés et, lorsque le réseau le permet, révoqués ;
- les contenus, médias, statistiques et données de clics d’une Organisation sont supprimés lors de la suppression de l’Organisation, dans un délai de 30 jours (sauvegardes comprises) ;
- les contenus déjà publiés sur un réseau social y demeurent : leur suppression se fait sur le réseau lui-même.
10. Sécurité des données
- Chiffrement en transit : toutes les communications sont chiffrées via HTTPS/TLS.
- Hachage des mots de passe : bcrypt avec salage.
- Chiffrement au repos des jetons d’accès des comptes sociaux : AES-256-GCM.
- Authentification à deux facteurs (TOTP) avec codes de récupération.
- Isolation : séparation stricte entre les Comptes et les Organisations ; rôles au sein de chaque Organisation.
- URLs pré-signées : accès temporaire et sécurisé aux fichiers stockés.
- Limitation de débit et journalisation d’audit des accès et actions.
Notification en cas de violation
En cas d’atteinte aux mesures de sécurité impliquant des données personnelles, nous notifierons les autorités compétentes et les Utilisateurs concernés conformément au droit applicable : le Commissariat à la protection de la vie privée du Canada lorsqu’il existe un risque réel de préjudice grave et, lorsque le RGPD s’applique, l’autorité de contrôle compétente dans un délai de 72 heures.
11. Droits des Utilisateurs
Selon votre lieu de résidence, vous disposez des droits suivants :
| Droit | Comment l’exercer |
|---|---|
| Accès | Export de données dans les paramètres du compte |
| Rectification | Modifier le profil et les paramètres de l’organisation |
| Effacement | Déconnecter des comptes, supprimer une Organisation ou supprimer le compte (voir Suppression des données) |
| Portabilité | Export JSON via les paramètres du compte |
| Opposition / Limitation | Contacter privacy@heraldlyapp.com |
| Retrait du consentement | Paramètres du compte, lien de désinscription dans les e-mails, ou privacy@heraldlyapp.com |
Nous répondons aux demandes dans le délai requis par le droit applicable (généralement trente (30) jours).
12. Données personnelles contenues dans le Contenu de l’Utilisateur
Les contenus que l’Utilisateur publie peuvent contenir des données personnelles concernant d’autres personnes (par exemple une personne apparaissant dans une vidéo ou nommée dans une publication). L’Utilisateur est responsable de traitement de ces données et doit disposer des droits et consentements nécessaires pour les publier. Les visiteurs des liens courts qui souhaitent exercer leurs droits peuvent contacter l’Utilisateur qui a publié le lien, ou nous écrire à privacy@heraldlyapp.com, et nous transmettrons la demande.
13. Données des mineurs
Le Service est destiné à un usage professionnel et ne s’adresse pas aux personnes de moins de 18 ans. Nous ne collectons pas sciemment de données personnelles de mineurs en tant que titulaires de compte.
14. Communications
Nous envoyons les e-mails transactionnels nécessaires au fonctionnement du Service (activation de compte, réinitialisation de mot de passe, invitations, demandes d’approbation, échecs de publication, avis de paiement et alertes de sécurité). Nous n’envoyons de nouveautés produit et d’infolettres qu’avec le consentement de l’Utilisateur.
15. Modifications de la Politique
Nous pouvons modifier la présente Politique. En cas de modification substantielle, les Utilisateurs seront notifiés par e-mail ou via le Service au moins trente (30) jours à l’avance, et la « Date d’entrée en vigueur » ci-dessus sera actualisée.
16. Autorités de contrôle
Si vous estimez que le traitement de vos données personnelles n’est pas conforme au droit applicable, vous pouvez déposer une plainte auprès de :
- Canada : Commissariat à la protection de la vie privée du Canada — priv.gc.ca
- Québec : Commission d’accès à l’information — cai.gouv.qc.ca
- Union européenne : l’autorité de protection des données de votre pays de résidence (par exemple, la CNIL en France)
- Royaume-Uni : Information Commissioner’s Office — ico.org.uk
Nous vous encourageons à nous contacter en premier lieu afin de résoudre toute préoccupation.
17. Contact
Pour toute question relative à la présente Politique de Confidentialité, ou pour exercer vos droits :
- Contact protection des données : privacy@heraldlyapp.com
- E-mail : legal@heraldlyapp.com
- Téléphone : +230 54 81 00 52
- BIN : 1001668734
- Adresse postale : AZWAUL LP, 1025 King Street East, Unit 107 #1697, Cambridge, ON N3H 3P5, Ontario, Canada
AZWAUL LP — BIN 1001668734 — 1025 King Street East, Unit 107 #1697, Cambridge, ON N3H 3P5 — Ontario, Canada — Tél : +230 54 81 00 52 — Heraldly (heraldlyapp.com)