Politique de Confidentialité

Responsable du traitement

Angad Manik, Rebgasse 53, 4058 Bâle, Suisse (IDE : CHE-449.720.296) — contact : impact@angad.swiss

Sarama est responsable du traitement des données de compte, de facturation et d’analyse de la plateforme. Pour les données chargées ou connectées par un client, Sarama agit comme sous-traitant du client. Si ce client, par exemple une agence ou un freelance, agit lui-même comme sous-traitant d’un tiers responsable du traitement, Sarama agit comme sous-traitant ultérieur ; le client reste responsable de la chaîne contractuelle de l’art. 28 RGPD, des instructions documentées et de l’autorisation de désigner Sarama.

Données collectées

• Données de compte : nom, adresse e-mail et données d’authentification. La connexion peut utiliser un code à usage unique, un mot de passe ou une clé d’accès ; les mots de passe sont vérifiés par notre fournisseur d’authentification au moyen d’un hachage à sens unique et ne sont jamais stockés en clair ni lisibles par Sarama.
• Données d'utilisation : fonctionnalités utilisées, pages visitées (avec consentement)
• Données de facturation : plan d'abonnement, historique de paiement
• Données de communication : e-mails de support, tickets
• Données d’accès collaboratif : appartenance à l’organisation, statut de collaborateur externe et autorisations sociales par compte
• Journaux d’autorisations et de révision sociale : attributions et modifications d’autorisations, changements du mode d’approbation, demandes et décisions de révision, identifiants d’acteurs et d’utilisateurs cibles pertinents, clé d’autorisation, valeurs antérieure/nouvelle, notes, horodatages, révision du contenu, charge canonique du contenu/de la destination/des paramètres examinés et son empreinte

Un collaborateur externe invité agit sous l’autorité du client ou du client de celui-ci. Le client doit vérifier son mandat, limiter, revoir et révoquer ses autorisations et maintenir la chaîne d’instructions et d’autorisations décrite ci-dessus. Une invitation ou une autorisation technique ne prouve pas à elle seule l’accord du titulaire du compte social.

Comptes sociaux et approbation client

Le titulaire du compte, ou un administrateur côté client expressément autorisé, connecte le compte avec sa propre autorisation auprès de la plateforme. Avec client_required, cette personne côté client doit être le connecteur ; une agence, un freelance ou un autre prestataire externe utilise des autorisations déléguées et distinctes pour préparer, approuver, publier, programmer ou consulter les statistiques. L’auteur d’une demande de révision ne peut approuver la même révision. L’approbation est liée à la révision, la destination, les médias et les paramètres actuels représentés par la charge canonique d’approbation conservée et son empreinte ; toute modification substantielle l’invalide, et Sarama revérifie l’autorisation et l’approbation exacte avant exécution.

Données d’une Page LinkedIn connectée

Lorsqu’un administrateur autorisé connecte une Page LinkedIn, nous traitons les identifiants du compte et de l’organisation, le nom, l’URL personnalisée, le site web et le logo de la Page, ainsi que les publications de cette Page et des statistiques agrégées sur ses abonnés, sa performance, ses publications et ses partages. Ces données servent uniquement à administrer la Page connectée et à présenter au même client un reporting LinkedIn distinct.

L’autorisation r_basicprofile permet à Sarama d’identifier, via /v2/me, le membre administrateur authentifié à l’origine de l’autorisation. Nous traitons son URN de personne, son nom et, lorsque LinkedIn les renvoie, son URL de profil public et son avatar uniquement pour relier ses autorisations LinkedIn et afficher qui a autorisé la connexion. Ces champs d’affichage sont actualisés ou supprimés sous huit semaines.

Les commentaires et réactions sont demandés en direct à LinkedIn et ne sont affichés qu’au même membre LinkedIn qui a connecté l’autorisation Community Management et qui est associé à la Page. Sarama traite le texte, les horodatages, les totaux agrégés, la relation entre les commentaires, l’URN/identifiant et le type d’acteur ainsi que, lorsque LinkedIn les inclut directement dans la réponse au commentaire, le prénom et le nom, le titre professionnel, l’URL de profil public et l’avatar du commentateur. Sarama n’effectue aucune consultation distincte du profil du commentateur. Le nom, le titre et le lien public vers le profil peuvent être affichés de manière transitoire ; les commentaires et champs de profil du commentateur ne sont pas stockés durablement.

Les données de membres obtenues pour la gestion des Pages LinkedIn ne sont pas ajoutées aux contacts ou prospects du CRM, ne figurent pas dans les exports, ne sont pas combinées avec les données d’autres plateformes dans les rapports et ne sont utilisées ni pour la publicité, la vente, le recrutement ou l’enrichissement par IA, ni transmises à des fournisseurs d’IA.

Finalités du traitement

• Fourniture du service Sarama et exécution du contrat : art. 6, par. 1, point b) RGPD
• Traitement des paiements, comptabilité et obligations légales : art. 6, par. 1, point c) RGPD
• Sécurité, prévention des abus et amélioration nécessaire du service : art. 6, par. 1, point f) RGPD
• Analyse facultative du site et communications fondées sur le consentement : art. 6, par. 1, point a) RGPD
• Traitement des données confiées par le client, y compris les intégrations sociales autorisées : art. 28 RGPD, sur instruction du client

Vos droits (RGPD)

• Droit d'accès à vos données personnelles
• Droit de rectification des données inexactes
• Droit à l'effacement ("droit à l'oubli")
• Droit à la portabilité des données
• Droit d'opposition au traitement

Pour exercer vos droits : impact@angad.swiss

Nous répondons en principe sous 30 jours. Vous pouvez déposer une réclamation auprès du Préposé fédéral à la protection des données et à la transparence (PFPDT), Feldeggweg 1, 3003 Berne, Suisse, ou auprès de l’autorité de contrôle compétente dans votre pays de l’UE/EEE.

Destinataires

Le traitement des paiements est assuré par Stripe Payments Europe, Limited, Irlande (EEE) — l'entité contractante de notre compte de plateforme suisse, donc sans transfert vers un pays tiers à notre égard. Lorsque Stripe traite ces données en aval aux États-Unis, elle le fait via Stripe, LLC, auto-certifiée au titre du cadre de protection des données UE—États-Unis, de son extension britannique et du cadre Suisse—États-Unis, et sur la base des clauses contractuelles types de l'UE. La liste complète des sous-traitants figure dans la politique de confidentialité RGPD.

LinkedIn (États-Unis/UE) fournit, par la connexion initiée par le client, le contenu et les statistiques de la Page, l’identité limitée du membre administrateur authentifié décrite ci-dessus et l’activité de membres en direct. L’activité LinkedIn et les données de membres restent exclues des fournisseurs d’IA et des rapports combinés avec d’autres plateformes.

Conservation des données

Données de compte : durée du contrat + 30 jours (fenêtre d'export). Données de facturation : 10 ans (obligations légales). Données analytiques : 26 mois maximum, sous réserve de délais plus courts imposés par le fournisseur. Les journaux d’autorisations de comptes connectés et de révision de publications sont conservés au maximum 2 ans, sous réserve d’une échéance antérieure liée au compte, au contrat, à une demande de suppression ou à la plateforme. Les données d'administration et de reporting des Pages LinkedIn sont conservées au maximum 1 an ; les données de profil d'une Page authentifiée et les champs d’affichage du membre administrateur authentifié sont actualisés ou supprimés sous 8 semaines. L’URN de personne demeure l’identifiant de l’autorisation tant que celle-ci existe. L’activité des membres LinkedIn est soumise à une durée maximale de 48 heures et les données de profil d’autres membres — dont le prénom et le nom, le titre professionnel, l’URL de profil public et l’avatar — à une durée maximale de 24 heures. Sarama applique une mesure plus stricte dans cette fonction : les commentaires et champs de profil renvoyés directement avec eux sont uniquement traités en direct et ne sont pas stockés durablement.

Les Données Marketing LinkedIn sont effacées définitivement sous 10 jours ou moins lorsque le service fourni au client concerné cesse et qu’elles ne sont plus nécessaires, ou lorsque le client ou l’Account Manager en fait la demande. Les données demandées par LinkedIn sont supprimées dans le délai indiqué par LinkedIn, qui peut être plus court. Toutes les Données de Membres sont supprimées immédiatement si la participation ou l’accès de Sarama au programme LinkedIn Marketing API prend fin. Ces délais opérationnels ne sont pas prolongés par le délai général de réponse de 30 jours applicable aux demandes d’exercice des droits au titre du RGPD. Consultez les instructions de suppression des données.

Infrastructure

Les données de la plateforme (base de données, authentification, fichiers, exécution des fonctions) sont hébergées chez Supabase à Zurich, Suisse (région eu-central-2). L'application web, le site public et les scripts d'intégration sont hébergés chez Infomaniak en Suisse. Chiffrement en transit (TLS) et au repos (AES-256).