POLITIQUE DE CONFIDENTIALITÉ
Business Manager (application Meta « Business Manager »)
Version 2 du 19 octobre 2026.
1. En bref
Business Manager est un service en ligne qui aide les professionnels à gérer les messages privés et les commentaires de leur compte Instagram. Chaque client dispose de sa propre instance, séparée de celles des autres clients, dont les données sont stockées en France, sur un serveur virtuel loué par l'éditeur ; les échanges avec l'instance transitent par le réseau de Cloudflare.
L'éditeur joue deux rôles :
- pour les données de ses clients (identité, commande, facturation, accès), il est responsable du traitement (§ 3) ;
- pour les données des personnes qui écrivent à un client sur Instagram (prospects), il agit en sous-traitant du client, qui est responsable du traitement (§ 4).
2. Qui est l'éditeur
Adham TANGUY EI — entrepreneur individuel (micro-entreprise), SIREN 990 087 389, 76 avenue des Thermes, 63400 Chamalières, France — contact@stonks-inc.com — +33 6 65 50 99 42 (ci-après « l'Éditeur »).
Aucun délégué à la protection des données (DPO) n'est désigné. Pour toute question sur vos données personnelles : contact@stonks-inc.com.
3. Données des clients (l'Éditeur est responsable du traitement)
| Données | Pourquoi | Base légale | Durée |
|---|---|---|---|
| Nom, prénom, raison sociale, email, téléphone, adresse, déclaration d'usage professionnel, historique d'abonnement | Conclure et gérer l'abonnement, ouvrir l'instance, conserver la déclaration d'usage professionnel faite à la commande, assistance | Exécution du contrat ; après la fin de l'abonnement, intérêt légitime à conserver la preuve du contrat en cas de litige | Durée de l'abonnement, puis 5 ans (prescription, article 2224 du Code civil) |
| Factures | Comptabilité et contrôle fiscal | Obligation légale | 6 ans à compter de leur date (article L. 102 B du livre des procédures fiscales) |
| Données de paiement (carte bancaire) | Encaisser l'abonnement | Exécution du contrat | Traitées par Stripe seul : l'Éditeur n'y a jamais accès |
| Adresse email de connexion, date et heure des connexions, adresse IP | Contrôler l'accès à l'instance (Cloudflare Access) et la sécuriser | Exécution du contrat ; intérêt légitime à sécuriser le service | 24 heures dans les journaux de connexion de Cloudflare Access (offre gratuite) |
| Échanges par email avec l'Éditeur | Répondre aux demandes | Exécution du contrat ; après la fin, intérêt légitime (preuve) | Durée de l'abonnement, puis 5 ans (article 2224 du Code civil) |
Ces données sont nécessaires à l'abonnement : sans elles, il ne peut pas être conclu. L'Éditeur ne les vend pas, ne les utilise pas à d'autres fins et ne les transmet qu'aux prestataires du § 6.
4. Données des prospects des clients (l'Éditeur est sous-traitant)
Quand un client connecte son compte Instagram professionnel, Business Manager accède, par l'API officielle d'Instagram et avec l'accord donné par le client sur la page d'autorisation d'Instagram, aux données suivantes :
| Autorisation demandée | Ce que le service en fait |
|---|---|
instagram_business_basic | Lire l'identifiant, le nom d'utilisateur, le nom et la photo du compte du client, et la liste de ses publications, pour afficher le compte et rattacher commentaires et messages à la bonne publication. |
instagram_business_manage_messages | Lire les conversations privées du compte et y répondre, à la demande du client ou par les relances qu'il programme. |
instagram_business_manage_comments | Lire les commentaires des publications du compte et y répondre, à la demande du client ou par les réponses automatiques qu'il programme. |
Ces données concernent aussi les personnes qui écrivent au client ou commentent ses publications : nom d'utilisateur, nom affiché, photo de profil, identifiant propre à l'application, messages, commentaires et dates. Le client peut y ajouter des notes et des étapes de suivi.
Elles sont enregistrées sur l'instance du client, stockée en France, et traitées pour le compte du client et selon ses instructions, dans le cadre du contrat de sous-traitance annexé aux conditions générales. C'est le client qui décide qui contacter, quoi écrire et combien de temps garder ces données ; c'est à lui d'informer les personnes concernées.
Vous avez écrit à un compte qui utilise Business Manager ? Le responsable de vos données est le titulaire de ce compte. Adressez-lui vos demandes. Vous pouvez aussi écrire à l'Éditeur (§ 9), en indiquant votre nom d'utilisateur Instagram et le compte concerné : il transmet votre demande à ce client.
5. Intelligence artificielle
Quand un client demande une suggestion de réponse, le fil de la conversation concernée est transmis à l'API Claude de la société Anthropic, au moyen du compte de l'Éditeur. Aucune fonction d'intelligence artificielle ne s'exécute sans cette demande. Aucune suggestion ne part sur Instagram sans que le client l'ait relue et validée. Le client peut couper cette fonction dans ses paramètres.
Selon ses conditions commerciales, Anthropic n'entraîne pas ses modèles sur les données transmises par l'API, et efface les entrées et les sorties de l'API dans les 30 jours, sauf exceptions qu'il prévoit (notamment le contrôle du respect de sa politique d'utilisation).
6. Prestataires et transferts hors de l'Union européenne
| Prestataire | Rôle | Lieu des données | Garantie en cas de transfert |
|---|---|---|---|
| OVH SAS (France) | Serveur de l'instance de chaque client | Centre de données en France ; interventions à distance possibles depuis des pays tiers pour la sécurité et la maintenance | Clauses contractuelles types de la Commission européenne (décision 2021/914), prévues par l'annexe de traitement des données d'OVHcloud |
| Cloudflare, Inc. (États-Unis) | Tunnel et contrôle d'accès devant l'instance (le trafic transite par son réseau) ; hébergement du site stonks-inc.com ; acheminement des emails adressés à contact@stonks-inc.com | Monde, dont États-Unis | Clauses contractuelles types (DPA client de Cloudflare, intégré par renvoi à ses conditions d'utilisation) |
| Anthropic Ireland, Limited (Irlande) et ses sous-traitants | Suggestions de réponse par intelligence artificielle (§ 5) | Union européenne et hors Union européenne, notamment États-Unis (liste de ses sous-traitants publiée sur trust.anthropic.com) | Clauses contractuelles types (Data Processing Addendum d'Anthropic) |
| Stripe Payments Europe, Limited (Irlande) et Stripe, LLC (États-Unis) | Paiement, factures, espace d'abonnement | Union européenne et États-Unis | Data Privacy Framework (Stripe, LLC), à défaut clauses contractuelles types |
| Google LLC (Gmail) | Messagerie de l'Éditeur, qui reçoit les emails adressés à contact@stonks-inc.com | Monde, dont États-Unis | Data Privacy Framework (Google LLC) |
Une copie des garanties applicables peut être demandée à l'Éditeur (§ 9).
Meta (Instagram) n'est pas un prestataire de l'Éditeur : le client utilise Instagram avec son propre compte.
7. Sécurité, notamment de l'accès aux comptes Instagram
- Chaque client a sa propre instance : processus, compte système et dossier de données accessibles à ce seul compte, sur un serveur virtuel qui peut héberger les instances de plusieurs clients.
- L'instance n'est accessible qu'à travers Cloudflare Access, après identification du client par un code à usage unique envoyé à son adresse email ; aucun port du serveur n'est ouvert sur Internet, hormis l'accès d'administration de l'Éditeur (SSH, par clé).
- Les échanges sont chiffrés (HTTPS) ; Cloudflare, qui achemine le trafic, le déchiffre à son passage.
- Seuls des cookies strictement nécessaires sont déposés : session de connexion (Cloudflare Access et instance) et protection contre les robots (Cloudflare). Ni le site ni les instances n'utilisent de cookie de mesure d'audience ou de publicité.
- L'accès au compte Instagram du client (jeton délivré par Instagram) est enregistré sur son instance, dans un fichier lisible par le seul compte système du service. Il n'est jamais affiché, ni journalisé, ni transmis à un tiers. La clé secrète de l'application Meta n'est jamais remise au client.
- Une copie de secours de l'instance est faite chaque jour et gardée sept jours ; OVH fait en outre une sauvegarde automatique quotidienne du serveur, remplacée chaque jour.
8. Durées de conservation sur l'instance
Les données d'une instance sont conservées pendant l'abonnement, selon les choix du client. À la fin de l'abonnement, le client peut en demander une copie pendant 30 jours ; l'instance et toutes ses données sont supprimées au plus tard 30 jours après la fin ou, si une copie a été demandée, dans les sept jours qui suivent son envoi ; les copies de secours disparaissent au plus tard sept jours plus tard. Le journal technique des appels à Instagram est gardé 14 jours, et jusqu'à sept jours de plus dans les copies de secours.
9. Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur les données que l'Éditeur traite à votre sujet en tant que responsable (§ 3). Écrivez à contact@stonks-inc.com. Une réponse vous est apportée dans un délai d'un mois à compter de la réception de votre demande ; ce délai peut être prolongé de deux mois si la demande est complexe, auquel cas vous en êtes informé dans le premier mois.
Vous pouvez adresser une réclamation à la CNIL (www.cnil.fr) ou à l'autorité de protection des données de votre pays (en Belgique, l'Autorité de protection des données ; en Suisse, le Préposé fédéral à la protection des données et à la transparence).
10. Supprimer vos données
- Client de Business Manager : la résiliation de l'abonnement entraîne la suppression de l'instance (§ 8). Pour une suppression anticipée de vos données de client, écrivez à contact@stonks-inc.com, objet « Suppression Business Manager » : elles sont effacées sous 30 jours, sauf celles qu'une obligation légale impose de garder (factures).
- Accès à Instagram : dans Instagram, Paramètres › Sites web et apps, retirez « Business Manager ». Le service ne peut plus rien lire ni envoyer sur le compte.
- Personne qui a écrit à un client : voir § 4.
Ces instructions sont aussi publiées sur la page https://stonks-inc.com/suppression-donnees/.
11. Modifications
Toute modification de cette politique est annoncée par email aux clients au moins trente (30) jours avant de s'appliquer, sauf si elle découle d'une obligation légale immédiate.