Politique de confidentialité
Dernière mise à jour : 3 octobre 2026 · Version 2026.10
La SARL SOARLY (ci-après « Upster » ou « nous ») s'engage à protéger la vie privée des utilisateurs de la plateforme upster.ai. La présente politique décrit comment nous collectons, utilisons et protégeons vos données personnelles, conformément au Règlement Général sur la Protection des Données (RGPD — Règlement UE 2016/679) et à la loi Informatique et Libertés.
1. Responsable du traitement
| Société | SARL SOARLY, au capital de 2 000 € |
| Siège | 1 Avenue de la gare, 40100 Dax, France |
| RCS | 939 920 591 R.C.S. Dax |
| Contact DPO | contact@upster.ai |
2. Données collectées
Nous collectons les catégories de données suivantes :
2.1 Données d'identification du Client
- Nom complet, adresse email (inscription)
- Adresse IP, user agent, système d'exploitation, navigateur (consentement RGPD)
- Informations de facturation (traitées par Stripe, jamais stockées chez nous)
2.2 Données liées à l'utilisation du service
- Configuration de l'agent IA (paramètres, ton, personnalité)
- Données de connexion aux plateformes tierces (tokens OAuth Meta pour Facebook, Facebook Messenger et Instagram)
- Statistiques d'utilisation agrégées
2.3 Données des prospects du Client (sous-traitance)
Dans le cadre de la fourniture du service, Upster traite, pour le compte de ses clients, certaines données issues de Facebook, Facebook Messenger et Instagram. Ces données peuvent comprendre les identifiants de Page et d'utilisateur, noms ou pseudonymes, photos de profil lorsque Meta les transmet, messages privés, commentaires, pièces jointes, métadonnées d'événement et jetons d'accès nécessaires à la connexion des comptes.
Upster agit à ce titre en qualité de sous-traitant au sens de l'article 28 du RGPD. Le client reste responsable du traitement et détermine les finalités, la base légale et les réglages activés. Ce traitement est encadré par le Contrat de Traitement des Données (DPA).
3. Finalités et bases légales
| Finalité | Base légale (Art. 6 RGPD) | Durée de conservation |
|---|---|---|
| Création et gestion du compte | Exécution du contrat (Art. 6.1.b) | Durée du contrat + 3 ans |
| Affichage et gestion des conversations dans l'inbox Upster | Exécution du contrat (Art. 6.1.b) | Durée du contrat |
| Traitement des messages Facebook Messenger et Instagram, ainsi que des commentaires reçus sur les Pages et publications connectées | Traitement réalisé pour le compte du client, selon ses instructions (Art. 28) | Durée paramétrée par le client ou durée du contrat |
| Envoi d'une réponse privée ou démarrage d'un scénario conversationnel lorsque le client active cette automatisation | Traitement réalisé pour le compte du client, selon ses instructions (Art. 28) | Durée paramétrée par le client ou durée du contrat |
| Génération de brouillons ou de réponses par l'IA selon les réglages du workspace | Traitement réalisé pour le compte du client, selon ses instructions (Art. 28) | Durée paramétrée par le client ou durée du contrat |
| Facturation et paiements | Obligation légale (Art. 6.1.c) | 10 ans (obligation comptable) |
| Preuve du consentement (CGV, DPA) | Obligation légale (Art. 6.1.c) | 5 ans après la fin du contrat |
| Support technique | Intérêt légitime (Art. 6.1.f) | Durée du contrat |
| Sécurisation, journalisation minimale et diagnostic du service | Intérêt légitime (Art. 6.1.f) et exécution du contrat (Art. 6.1.b) | Durée strictement nécessaire à la sécurité et au diagnostic |
| Amélioration du service (données anonymisées) | Intérêt légitime (Art. 6.1.f) | Indéfinie (données anonymisées) |
4. Destinataires des données
Vos données peuvent être partagées avec les sous-traitants suivants, strictement nécessaires à la fourniture du service :
| Sous-traitant | Finalité | Localisation | Garanties |
|---|---|---|---|
| Supabase, Inc. | Hébergement base de données, authentification | UE (AWS eu-central-1) | CCT, SOC 2 Type II |
| OpenAI Ireland Ltd. | Génération de brouillons, analyse et génération de réponses conversationnelles par IA | Irlande et transferts possibles vers les États-Unis et les lieux de traitement documentés par OpenAI | DPA OpenAI, Clauses Contractuelles Types ; données API non utilisées pour l'entraînement par défaut ; conservation de certains journaux jusqu'à 30 jours par défaut, sauf Zero Data Retention effectivement activée |
| Meta Platforms Ireland Ltd | Connexion des comptes et envoi/réception de messages, commentaires et réponses privées sur Facebook, Facebook Messenger et Instagram | Irlande / USA | CCT, DPA Meta |
| Stripe Inc. | Traitement des paiements | Irlande / USA | CCT, PCI DSS Niveau 1 |
| Hostinger International Ltd | Hébergement serveur applicatif | France (datacenter) | CCT |
| Google LLC | Mesure d'audience (Google Analytics 4) et suivi de conversion publicitaire (Google Ads) | USA | CCT, EU-US Data Privacy Framework |
| Meta Platforms Ireland Ltd | Pixel Meta — suivi de conversion publicitaire (Facebook & Instagram Ads) | Irlande / USA | CCT, DPA Meta |
Les transferts de données hors UE sont encadrés par des Clauses Contractuelles Types (CCT) approuvées par la Commission Européenne (Décision 2021/914).
Les données transmises à l'API OpenAI ne sont pas utilisées par défaut pour entraîner ou améliorer les modèles OpenAI. Dans la configuration standard, OpenAI peut conserver certains journaux de surveillance des abus contenant des données client pendant une durée maximale de 30 jours, sous réserve des exceptions légales et de sécurité prévues par ses conditions. Des contrôles de rétention renforcés, dont la Zero Data Retention, peuvent s'appliquer lorsqu'ils ont été approuvés et activés pour l'organisation ou le projet concerné.
5. Vos droits
Conformément au RGPD, vous disposez des droits suivants :
| Droit | Article RGPD | Description |
|---|---|---|
| Accès | Art. 15 | Obtenir une copie de vos données personnelles |
| Rectification | Art. 16 | Corriger des données inexactes ou incomplètes |
| Effacement | Art. 17 | Demander la suppression de vos données |
| Limitation | Art. 18 | Restreindre le traitement de vos données |
| Portabilité | Art. 20 | Recevoir vos données dans un format structuré |
| Opposition | Art. 21 | Vous opposer au traitement de vos données |
Pour exercer vos droits, envoyez votre demande à contact@upster.ai en précisant votre identité et le droit que vous souhaitez exercer. Nous répondrons dans un délai maximum de 30 jours.
Pour demander la suppression de données issues de Facebook, Facebook Messenger ou Instagram, utilisez la même adresse en indiquant le compte ou la Page concernée et les informations permettant d'identifier les données à supprimer. N'envoyez jamais de mot de passe ni de jeton d'accès. Nous transmettrons la demande au client responsable du traitement lorsque son intervention est nécessaire.
En cas de réclamation, vous pouvez contacter la CNIL : www.cnil.fr — 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.
6. Cookies
Upster utilise trois catégories de cookies :
- Cookies strictement nécessaires au fonctionnement du service (authentification, maintien de session).
- Cookies de mesure d'audience (Google Analytics 4), déposés dès votre visite.
- Cookies marketing (Pixel Meta, Google Ads), déposés dès votre visite pour mesurer l'efficacité de nos campagnes publicitaires.
Vous pouvez vous y opposer à tout moment en bloquant ou en supprimant les cookies depuis votre navigateur, ou en nous écrivant à contact@upster.ai. Le détail, avec les liens d'opposition Google et Meta, est précisé dans notre Politique de cookies.
7. Sécurité
Nous mettons en œuvre les mesures de sécurité suivantes :
- Chiffrement des données en transit (TLS 1.3) et au repos (AES-256)
- Authentification sécurisée avec gestion granulaire des accès
- Sauvegardes quotidiennes chiffrées
- Surveillance continue des infrastructures
- Audits de sécurité réguliers
8. Modifications
Nous nous réservons le droit de modifier la présente politique. En cas de modification substantielle, vous serez informé par email au moins 30 jours avant l'entrée en vigueur des changements.
SARL SOARLY — 1 Avenue de la gare, 40100 Dax — RCS Dax 939 920 591 — contact@upster.ai