Politique de confidentialité

Dernière mise à jour : 8 octobre 2026 · Version 2.2

Cette politique décrit comment Cadence collecte, utilise et protège vos données personnelles, conformément au Règlement Général sur la Protection des Données (UE 2016/679) et à la loi « Informatique et Libertés » du 6 janvier 1978 modifiée.

1. Responsable du traitement

Cadence est un service édité par Newspark, Société par actions simplifiée à associé unique (SASU), exerçant sous le nom commercial « Cadence », SIRET 109 208 280 00015, siège 47 rue Vivienne, 75002 Paris, France, responsable du traitement. Coordonnées complètes dans les mentions légales.

Contact général : contact@getcadence.fr
Contact pour les données personnelles : dpo@getcadence.fr

2. Données collectées et finalités

Conformément à l'article 13 du RGPD, voici un tableau récapitulatif des données traitées, de leurs finalités, de leurs bases légales et de leurs durées de conservation.

Donnée	Finalité	Base légale	Durée
Email, mot de passe (hashé) ou identifiant du compte Google si vous vous connectez avec Google	Authentification	Exécution du contrat	Durée du compte
Nom, prénom, organisation	Personnalisation de l'expérience	Exécution du contrat	Durée du compte
Brouillons & publications	Génération IA et publication	Exécution du contrat	Durée du compte de l'organisation
Adresse e-mail et décision des valideurs désignés sans compte Cadence	Validation des publications par lien à durée limitée	Exécution du contrat conclu avec l'organisation	Tant que l'organisation les désigne
Jetons OAuth réseaux sociaux (chiffrés AES-256-GCM)	Publication sur les plateformes choisies	Exécution du contrat	Jusqu'à révocation
Logs techniques (IP, user-agent, horodatage)	Sécurité, détection d'abus, débogage	Intérêt légitime	Selon la rotation des journaux du serveur et des prestataires
Suivi des erreurs (Sentry) : erreurs, page concernée, navigateur, mesures de performance, enregistrement de certaines sessions (texte masqué, images bloquées)	Détecter et corriger les erreurs du service	Intérêt légitime	Durée de rétention appliquée par Sentry
Journaux d'audit (actions sensibles)	Sécurité, preuve des actions effectuées	Intérêt légitime	Durée du compte de l'organisation
Données de facturation	Comptabilité, facturation	Obligation légale	10 ans (art. L.123-22 C. com.)
Email + contenu support	Réponse aux demandes	Intérêt légitime	Durée du traitement de la demande et de la relation commerciale
Mesure d'audience sans cookie (Umami) : page consultée, site d'origine, navigateur, localisation approximative	Statistiques de fréquentation agrégées	Intérêt légitime (refus possible, voir la politique cookies)	25 mois

Après une suppression. La suppression de votre compte (article 6) est immédiate. La suppression des données de toute une organisation n'est pas automatisée : son titulaire la demande par écrit, et l'Éditeur la réalise sur cette demande. Dans les deux cas, les données effacées subsistent dans les sauvegardes chiffrées déjà réalisées jusqu'à leur rotation, soit en principe trente (30) jours sur le serveur et quatre-vingt-dix (90) jours hors site ; si un incident interrompt les sauvegardes, les dernières sont gardées plus longtemps (article 5). Les données que la loi impose de conserver (facturation) le restent pour la durée indiquée ci-dessus.

Données sensibles. Cadence ne demande aucune donnée sensible au sens de l'article 9 du RGPD (origine, opinions politiques, religion, santé, orientation...). Vos contenus peuvent toutefois en révéler, de même que l'appartenance d'un utilisateur à une organisation politique, syndicale ou religieuse cliente. Ces données sont alors traitées uniquement pour fournir le service à cette organisation, qui en détermine la base légale.

3. Permissions réseaux sociaux

À chaque connexion d'un compte social, l'application demande les permissions nécessaires à la publication et au relevé des statistiques de vos publications :

Facebook : pages_show_list, pages_manage_posts, pages_read_engagement
Instagram : instagram_business_basic, instagram_business_content_publish
LinkedIn : openid, profile, w_member_social, rw_organization_admin, w_organization_social, r_organization_social
X (Twitter), si vous y connectez un compte : tweet.read, tweet.write, users.read, offline.access, media.write
Telegram : Bot Token fourni par l'utilisateur, pas d'OAuth

Validation humaine par défaut : un contenu n'est publié que sur décision d'un utilisateur de votre organisation ou d'une personne qu'elle a désignée pour valider. Exception : si votre organisation active expressément la publication automatique de l'autopilote, désactivée par défaut, certaines publications peuvent partir sans validation humaine individuelle. Elles passent auparavant par les contrôles automatiques de style et de conformité du service, et portent une mention indiquant qu'elles ont été rédigées avec l'aide de l'intelligence artificielle (voir les CGV, article 9).

4. Sous-traitants et transferts hors UE

Cadence s'appuie sur des prestataires techniques listés, avec leur localisation, dans notre Accord de sous-traitance (DPA). Certains sont établis hors de l'Union européenne ou peuvent y traiter des données : Anthropic (États-Unis, rédaction par IA), OpenAI (modération des contenus), Resend(États-Unis, emails transactionnels) et Google (copie hors site des sauvegardes, que Google ne reçoit que chiffrées). Les transferts vers Anthropic, OpenAI et Resend sont encadrés par les clauses contractuelles types adoptées par la Commission européenne (décision 2021/914/UE). En particulier, les conditions API d'Anthropic stipulent l'absence d'entraînement de modèles sur les données soumises.

La mesure d'audience (Umami) est hébergée par nos soins, sur notre serveur : aucune donnée de navigation n'est transmise à un tiers pour la produire.

5. Sécurité

Connexions chiffrées en TLS 1.2 ou 1.3
Chiffrement AES-256-GCM des jetons OAuth en base
Mots de passe hashés (bcrypt via Supabase Auth)
Isolation multi-tenant garantie par PostgreSQL Row Level Security
Journalisation des actions sensibles, en lecture seule depuis l'application
Protection SSRF sur les webhooks sortants
Sauvegardes quotidiennes automatisées, chiffrées avant toute copie, conservées en principe 30 jours sur le serveur et 90 jours hors site (Google Drive) ; si un incident interrompt les sauvegardes, les dernières sont gardées au-delà de ces durées, jusqu'à ce qu'une nouvelle sauvegarde complète réussisse
Suivi des erreurs (Sentry) : adresses transmises sans paramètres ni ancre ; dans les enregistrements de session, texte masqué et images bloquées

Voir notre page sécurité pour le détail des mesures techniques.

6. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

Droit d'accès et de portabilité : téléchargez vos données au format JSON depuis « Paramètres > Mes données > Exporter ».
Droit à l'effacement (« droit à l'oubli ») : supprimez votre compte depuis « Paramètres > Mes données > Supprimer mon compte ». La suppression est immédiate : les publications sont anonymisées (user_id mis à NULL) et restent à l'organisation, les commentaires et notifications sont supprimés. La suppression des données de toute l'organisation se demande à contact@getcadence.fr.
Droit de rectification : éditez directement vos informations depuis votre profil.
Droit d'opposition et de limitation : écrivez à dpo@getcadence.fr.
Droit de réclamation auprès de la CNIL : 3 place de Fontenoy, 75007 Paris, www.cnil.fr.

Toute demande reçoit une réponse dans un délai maximum d'un (1) mois, prolongeable de deux (2) mois en cas de demande complexe.

7. Cookies

Voir notre politique cookies. En résumé : Cadence dépose des cookies techniques (la session de connexion et, le temps d'une connexion à un réseau social, un cookie de sécurité) ; aucun cookie publicitaire ni analytique tiers. Le suivi des erreurs (Sentry) ne dépose pas de cookie. La mesure d'audience (Umami, hébergée par nos soins) ne dépose aucun cookie, respecte le signal « Ne pas me pister » et peut être refusée depuis la politique cookies.

8. Décisions automatisées et profilage

Cadence ne prend aucune décision automatisée produisant des effets juridiques à votre égard. Les contenus rédigés par l'IA sont des propositions, soumises à validation humaine avant publication, sauf si votre organisation active la publication automatique de l'autopilote (article 3) ; cette publication ne produit pas d'effet juridique à votre égard.

9. Mises à jour

La présente politique peut évoluer. En cas de modification substantielle, vous serez informé par email avec un préavis de trente (30) jours avant entrée en vigueur. La version en vigueur est toujours consultable à l'adresse /privacy avec l'horodatage en en-tête.