Politique de confidentialité

01Qui sommes-nous

Slashbox (slashbox.fr) est un service en ligne édité par VOILA VOILA CREA (SIRET 934 244 450 00011, 7 rue George Charpak, 38300 Bourgoin-Jallieu). Il permet aux agences et entreprises qui s'y inscrivent de préparer, programmer et publier du contenu sur leurs pages de réseaux sociaux et sur celles de leurs clients. Contact : hello@slashbox.fr.

VOILA VOILA CREA est responsable du traitement des données décrites sur cette page, à une exception près : pour les contenus publiés au nom d'un espace sur les pages qu'il gère, pour les messages privés que ces pages reçoivent, et pour les données de tiers que Slash IA traite à la demande d'un membre (auteurs d'avis, contacts), VOILA VOILA CREA agit en sous-traitant de l'agence ou de l'entreprise inscrite (article 28 du RGPD). Le gestionnaire de la page reste alors responsable de ces traitements vis-à-vis des personnes concernées, par exemple d'une personne qui écrit à la page. Les engagements que nous prenons à ce titre figurent dans les conditions d'utilisation (section 07).

Cette page détaille les données issues des réseaux sociaux que vous connectez à Slashbox (Facebook, Instagram, LinkedIn). Les données de votre compte Slashbox (email, nom, mot de passe, facturation) sont décrites dans les mentions légales.

02Données collectées

Lorsque vous connectez un compte Meta (Facebook, Instagram)

• L'identifiant et le nom de votre profil Meta, pour savoir quel compte a été connecté. Votre adresse email n'est pas demandée.
• Votre token d'accès Meta et les tokens d'accès de vos pages, chiffrés en base de données (AES-256-GCM).
• L'identifiant, le nom et la photo des pages Facebook et des comptes Instagram professionnels auxquels vous nous donnez accès.
• Les messages privés reçus et envoyés par ces pages sur Messenger et Instagram (identifiant, nom et photo de l'interlocuteur, texte et pièces jointes), pour les afficher et y répondre depuis Slashbox. À l'arrivée d'un message, une notification reprenant le nom de l'expéditeur et un extrait du message est enregistrée pour les membres qui gèrent la page. Les images que vous envoyez en réponse sont enregistrées sur notre serveur, d'où Meta les récupère.
• Les posts publiés par ces pages directement sur Facebook ou Instagram, hors de Slashbox, sur les 30 derniers jours (texte, vignette, date et lien), pour les afficher dans votre calendrier.
• Les statistiques d'audience de ces pages (vues, portée, interactions, nombre d'abonnés), qui sont des chiffres agrégés et ne désignent aucune personne.
• Pour chaque post publié par ces pages, y compris hors de Slashbox, à partir des 90 jours qui précèdent la connexion de la page : ses compteurs (vues, portée, interactions), un extrait de son texte (280 caractères au plus), sa vignette, son lien et sa date de publication, pour classer vos posts les plus vus.

Lorsque vous connectez un compte LinkedIn

• Votre identifiant de membre LinkedIn et votre nom, pour savoir quel compte a été connecté. LinkedIn nous transmet votre profil de base, mais nous n'en conservons que ces deux informations.
• Vos tokens d'accès LinkedIn, chiffrés en base de données (AES-256-GCM), et leur date d'expiration.
• La liste des pages LinkedIn sur lesquelles votre rôle vous permet de publier (par exemple administrateur ou administrateur de contenu), avec pour chaque page son identifiant, son nom et son logo. Votre rôle est lu à la connexion pour retenir ces pages, il n'est pas conservé.
• Les posts publiés par ces pages directement sur LinkedIn, hors de Slashbox, sur les 30 derniers jours (texte, média, date et lien), pour les afficher dans votre calendrier.

Autorisations LinkedIn demandées :

• r_basicprofile : identifier le membre qui connecte son compte (seuls son identifiant et son nom sont conservés)
• rw_organization_admin : lister les pages sur lesquelles votre rôle permet de publier, et lire leur nom et leur logo
• w_organization_social : publier, modifier et supprimer, au nom de la page, les posts que vous créez dans Slashbox
• r_organization_social : lire les posts de la page, pour les afficher dans votre calendrier et suivre ceux publiés via Slashbox
• w_organization_social_feed : publier, au nom de la page, le premier commentaire que vous avez rédigé pour un post

Dans tous les cas

• Le contenu des posts que vous créez dans Slashbox (textes, images, vidéos, documents, dates de publication) et, une fois publiés, leur identifiant et leur lien sur la plateforme.
• Les logs techniques de publication (statut, réponse de la plateforme, code d'erreur, horodatage).

Lorsque vous utilisez Slash IA

Slash IA, l'assistant intégré à Slashbox, ne fonctionne que lorsque vous le sollicitez (bouton de rédaction, réponse à un avis, étapes d'une carte, conversation dans la palette ⌘K). Il traite alors :

• votre consigne ou votre question, et les messages de la conversation ;
• le contenu nécessaire à la demande, lu dans votre espace avec vos propres droits : par exemple la légende et, si vous le choisissez, des copies réduites des photos d'un post, le texte d'un avis Google et le nom de son auteur, le titre et la description d'une carte, le « ton & brief » d'une fiche client, ou les éléments que l'assistant consulte pour vous répondre (tableaux, fiches, signatures, publications, avis) ;
• un journal d'utilisation sans contenu (date, fonction utilisée, nombre de mots traités, coût), qui sert au décompte des crédits.

Les copies réduites des photos ne sont jamais enregistrées. Les conversations avec l'assistant sont enregistrées dans votre espace pour que vous puissiez les reprendre ; elles ne sont visibles que par vous.

Ce que nous ne collectons pas

Nous ne collectons ni votre adresse email Meta ou LinkedIn, ni vos contacts, ni vos messages privés LinkedIn. Côté LinkedIn, nous n'enregistrons aucun commentaire ni aucune réaction des membres, et aucune donnée de profil des personnes qui interagissent avec vos pages. Côté Meta, nous n'enregistrons pas les commentaires publiés sous vos posts.

03Finalités et bases légales

Ces données servent exclusivement à faire fonctionner les outils de publication de Slashbox, après votre autorisation explicite donnée via le flux OAuth standard de chaque plateforme (Facebook Login, autorisation OAuth 2.0 de LinkedIn) :

Connecter un compte Meta ou LinkedIn est facultatif. Sans cette connexion, les fonctions de publication, de messagerie et de statistiques de ce réseau ne sont pas disponibles ; le reste du service fonctionne normalement.

Les données issues de LinkedIn obéissent en outre aux règles suivantes :

• elles ne sont accessibles qu'aux personnes rattachées à la page concernée : les membres de l'espace qui la gèrent, le client titulaire de la page si l'espace lui ouvre son calendrier de publications, et les outils que l'espace ou ses membres relient eux-mêmes à Slashbox pour agir en leur nom, qui ne reçoivent que le nom de la page et les posts créés via Slashbox (voir section 06) ;
• elles ne sont jamais utilisées à des fins de publicité ou de ciblage publicitaire, de prospection commerciale, de recrutement ou de profilage ;
• elles ne sont jamais vendues, louées ni cédées ;
• aucune donnée de membre LinkedIn n'est exportée hors de Slashbox ni communiquée à nos clients ou à des tiers ;
• elles ne sont jamais croisées avec d'autres sources pour constituer, enrichir ou vérifier des profils de personnes, des fichiers de prospects ou des audiences.

04Stockage et sécurité

Les données sont stockées sur le serveur décrit dans les mentions légales. Les tokens d'accès sont chiffrés au repos (AES-256-GCM, clé conservée hors du code source) et les communications transitent exclusivement en HTTPS.

Dans Slashbox, une page n'est visible que par le membre qui l'a connectée et par les membres de son espace avec qui il choisit de la partager. Si l'espace l'active, le client titulaire de la page peut aussi consulter, via un lien privé révocable à tout moment ou depuis son propre espace client, les publications programmées et publiées via Slashbox sur sa page, ainsi que les statistiques de ses pages Facebook et Instagram si cet accès lui est ouvert. Une application munie d'une clé d'API de l'espace accède, elle, pour les fiches clients de l'espace, aux publications et aux statistiques des pages rattachées à ces fiches, indépendamment des partages entre membres (voir section 06). Les administrateurs de la plateforme (VOILA VOILA CREA) n'accèdent à ces données que pour le support, la sécurité ou le traitement d'une demande de suppression.

05Conservation et suppression

Déconnexion d'un compte Meta. Elle supprime immédiatement votre compte Meta dans Slashbox (identifiant, nom, token), les pages et comptes Instagram de ce compte avec leurs tokens et leurs partages, leurs conversations et messages, les notifications de nouveau message, les posts importés, et les liens entre vos posts et ces pages. Les posts programmés sur ces pages passent en échec et ne sont pas publiés. Vos contenus restent dans votre espace, images envoyées en réponse comprises. Les statistiques d'audience sont rattachées à la page et non à votre compte : elles ne sont pas effacées par la déconnexion, pour conserver l'historique de l'espace ; elles sont supprimées sur simple demande à hello@slashbox.fr, et l'extrait, la vignette et le lien des posts le sont de toute façon 13 mois après leur publication.

Demande de suppression via Meta. Si vous retirez Slashbox de vos paramètres Facebook en demandant la suppression de vos données, Meta nous transmet la demande automatiquement (/social/webhooks/data-deletion) : les données supprimées lors d'une déconnexion le sont alors immédiatement, et un code de suivi vous permet de vérifier le traitement de la demande sur slashbox.fr. Les statistiques de la page suivent la règle ci-dessus.

Déconnexion d'un compte LinkedIn. Elle supprime immédiatement votre compte LinkedIn dans Slashbox (tokens, identifiant, nom), les pages LinkedIn qui en dépendent, les posts importés et les liens entre vos posts et ces pages.

Demande de suppression des données LinkedIn. Vous pouvez demander la suppression de toutes les données reçues de LinkedIn en écrivant à hello@slashbox.fr : la demande est traitée au plus tard sous 10 jours. Un administrateur d'une page LinkedIn gérée via Slashbox peut lui aussi demander, à la même adresse, la suppression des données de cette page.

Expiration des tokens LinkedIn. Ils expirent d'eux-mêmes : au bout de 60 jours pour un token d'accès, au plus tard au bout d'un an pour un token de renouvellement. Faute de renouvellement, les pages LinkedIn qui en dépendent sont supprimées au plus tard 30 jours après.

Fermeture de votre compte ou de votre espace. Elle se demande par écrit à hello@slashbox.fr et est traitée au plus tard sous 10 jours. Elle entraîne la déconnexion des comptes Meta et LinkedIn concernés, avec les suppressions décrites ci-dessus, et la suppression de toutes les données reçues de LinkedIn dans ce même délai. Les autres données suivent les durées du tableau.

06Destinataires

Les données décrites ici ne sont pas vendues et ne sont transmises à aucun tiers à des fins commerciales. Elles ne sont communiquées qu'aux destinataires suivants.

Les plateformes elles-mêmes

Slashbox échange ces données avec la plateforme concernée, via ses API officielles, pour exécuter ce que vous demandez (publier, lire vos pages, répondre à un message). Meta et LinkedIn traitent ensuite ces données en tant que responsables de traitement distincts, selon leurs propres politiques de confidentialité. Pour les utilisateurs de l'Union européenne, il s'agit de Meta Platforms Ireland Limited et de LinkedIn Ireland Unlimited Company. Ces sociétés peuvent transférer des données hors de l'Union européenne, notamment vers leurs maisons mères aux États-Unis, sous leurs propres garanties (cadre de protection des données UE-États-Unis, clauses contractuelles types de la Commission européenne).

Les notifications de l'application mobile

Si vous utilisez l'application mobile Slashbox, les notifications push sont acheminées par Firebase Cloud Messaging (Google). Une notification de nouveau message Facebook ou Instagram contient le nom de l'expéditeur et un extrait du message reçu. Google peut traiter ces données hors de l'Union européenne, sous les garanties prévues par ses conditions de traitement des données (clauses contractuelles types de la Commission européenne).

Le client titulaire de la page

Si l'espace active le calendrier de publications d'un client, ce client voit, via un lien privé révocable ou son espace client, les posts programmés et publiés via Slashbox sur sa propre page, avec le nom et le logo de cette page, et, si l'espace le lui ouvre, les statistiques de ses pages Facebook et Instagram, avec l'extrait, la vignette et le lien de ses posts les plus vus. Il ne voit jamais les autres pages de l'espace, les messages privés, ni aucune donnée de membre LinkedIn.

Votre assistant IA (connecteur MCP)

À votre initiative, vous pouvez relier à votre compte un assistant IA via notre connecteur MCP. Il agit avec vos propres droits et ne reçoit que ce que vous lui demandez, parmi ce que vous voyez vous-même dans Slashbox : la liste de vos pages avec leur nom, et les posts créés via Slashbox sur ces pages. Il ne reçoit ni les messages privés, ni les statistiques, ni les posts publiés hors de Slashbox, ni aucune donnée de membre LinkedIn.

Slash IA (Anthropic)

Pour répondre à une demande faite à Slash IA, Slashbox transmet les données décrites en section 02 (« Lorsque vous utilisez Slash IA ») à Anthropic, éditeur des modèles d'intelligence artificielle Claude, via son API, en qualité de sous-traitant. Anthropic n'utilise pas ces données pour entraîner ses modèles et ne les conserve que pour la durée limitée prévue par ses conditions commerciales, notamment pour la sécurité et la prévention des abus. Anthropic étant établi aux États-Unis, ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne. Rien n'est transmis à Anthropic tant que vous n'utilisez pas Slash IA.

Les applications munies d'une clé d'API

À la demande d'un espace, VOILA VOILA CREA peut émettre une clé d'API destinée à une application de cet espace. Cette clé permet de créer des brouillons au nom du membre qui la porte et, pour les fiches clients de l'espace, de lire et de commenter les publications des pages rattachées à ces fiches, avec leurs statistiques Facebook et Instagram (posts les plus vus compris), soit le même périmètre que le calendrier de publications du client, indépendamment des partages entre membres. Elle ne donne accès ni aux messages privés ni à aucune donnée de membre LinkedIn ; côté LinkedIn, elle ne reçoit que le nom de la page et les posts créés via Slashbox. L'espace peut demander à tout moment la révocation de la clé.

Le traitement réalisé par ces outils relève de leurs propres conditions, et ils peuvent être établis hors de l'Union européenne.

Mesure d'audience du site (Google Analytics)

Sur les pages publiques de slashbox.fr (accueil, présentation, tarifs, actus, inscription et connexion), et seulement si vous l'acceptez dans le bandeau prévu à cet effet, nous utilisons Google Analytics 4 pour mesurer la fréquentation : pages vues, provenance des visites, type d'appareil. Ces mesures servent uniquement à améliorer le site, ne sont jamais croisées avec votre compte Slashbox et ne servent à aucune publicité. L'application, une fois connecté, n'utilise pas Google Analytics. Google Analytics est fourni par Google Ireland Limited ; les données peuvent être transférées aux États-Unis, dans le cadre du Data Privacy Framework UE-États-Unis. Vous pouvez retirer votre accord à tout moment avec le lien « Gérer les cookies » en bas de page. Le détail des cookies figure dans les mentions légales.

Nos sous-traitants techniques

Les autres sous-traitants du service (hébergement, paiement, intelligence artificielle) sont listés dans les mentions légales.

07Principaux échanges avec les API

Liste indicative, et non exhaustive, des principaux points d'accès appelés, regroupés par fonctionnalité.

Meta (API Graph) :

• Connexion : graph.facebook.com/oauth/access_token, /me, /me/accounts, /me/businesses (pages gérées via un Business Manager)
• Publication Facebook : /{page-id}/photos, /feed, /photo_stories, /video_stories, /video_reels, /{post-id}/comments
• Publication Instagram : /{ig-user-id}/media, /media_publish, /{media-id}/comments
• Messagerie : /{page-id}/conversations, /{conversation-id}/messages, /{page-id}/messages, /{page-id}/subscribed_apps
• Posts publiés hors de Slashbox : /{page-id}/published_posts, /{ig-user-id}/media
• Statistiques : /{page-id}/insights, /{ig-user-id}/insights, /{media-id}/insights

LinkedIn (Community Management API) :

• Connexion : www.linkedin.com/oauth/v2/authorization, /oauth/v2/accessToken, api.linkedin.com/v2/me
• Pages : api.linkedin.com/rest/organizationAcls, /rest/organizations
• Publication et lecture des posts de la page : api.linkedin.com/rest/posts, /rest/images, /rest/videos, /rest/documents
• Premier commentaire publié au nom de la page : api.linkedin.com/rest/socialActions/{post}/comments

08Vos droits (RGPD)

Vous pouvez à tout moment demander l'accès, la rectification, l'effacement, la limitation ou la portabilité de vos données, ou vous opposer à un traitement fondé sur notre intérêt légitime, en écrivant à hello@slashbox.fr. Vous pouvez aussi introduire une réclamation auprès de la CNIL (www.cnil.fr).

Si vous avez écrit à une page gérée via Slashbox, adressez-vous en priorité au gestionnaire de cette page, responsable du traitement de vos messages ; nous lui transmettrons toute demande qui nous parviendrait.

Vous pouvez aussi retirer l'accès de Slashbox à tout moment depuis la plateforme elle-même. Slashbox cesse alors de pouvoir publier sur vos pages.

• Facebook : dans les paramètres « Intégrations professionnelles ». Meta nous en informe et nous supprimons aussitôt vos pages et comptes Instagram, leurs tokens, leurs conversations et messages, les notifications de nouveau message et les posts importés. Ne restent que l'identifiant et le nom de votre profil, avec un token devenu inutilisable, jusqu'à la déconnexion du compte dans Slashbox ou une demande de suppression transmise par Meta (section 05).
• LinkedIn : dans « Préférences et confidentialité > Confidentialité des données > Autres applications > Services autorisés ». Ce retrait n'efface pas immédiatement les données déjà enregistrées dans Slashbox : les pages LinkedIn sont supprimées au plus tard 30 jours après. Pour tout effacer sans attendre, déconnectez aussi le compte depuis la page Connexions de Slashbox ou écrivez-nous.

09Modifications

Cette politique peut être mise à jour. La date en haut de page reflète la dernière version.