Politique de confidentialité

PigeonDM (« l’application », « nous ») est un outil d’automatisation qui, avec l’autorisation du titulaire d’un compte Instagram professionnel, détecte les commentaires contenant un mot-clé et envoie automatiquement une réponse privée (message direct) via l’API officielle de Meta.

Responsable du traitement : Antonin Langlade. Contact : info@pigeondm.com.

Lorsqu’un commentaire est publié sous une publication d’un compte connecté, nous recevons et traitons les informations suivantes via l’API de Meta :

• le contenu du commentaire ;
• le nom d’utilisateur et l’identifiant Instagram de son auteur ;
• l’identifiant de la publication concernée ;
• l’heure de sa réception.

Instagram nous signale aussi les messages privés que reçoit un compte connecté, y compris les réponses à ses stories, que son titulaire utilise ou non les réponses aux DM, une fonction Pro : Instagram ne laisse pas une application choisir compte par compte. Pour un compte qui n’a pas activé la fonction, nous écartons ces notifications dès leur arrivée : nous n’y cherchons aucun mot et nous ne les enregistrons pas. Pour un compte qui l’a activée, nous lisons chaque message uniquement pour y chercher les mots du titulaire, et ne gardons que ceux qui en contiennent un : l’identifiant et le pseudo Instagram de l’expéditeur, le texte, s’il répondait à une story, et la réponse envoyée. Les autres ne sont jamais enregistrés.

Nous ne collectons aucun mot de passe, aucune donnée de paiement et aucun contenu privé au-delà de ce qui est strictement nécessaire au fonctionnement décrit ici.

Ces données sont utilisées uniquement pour :

• détecter le mot-clé configuré par le titulaire du compte ;
• envoyer la réponse privée (référence / lien) à l’auteur du commentaire ;
• quand les réponses aux DM sont activées, envoyer la réponse réglée par le titulaire du compte à quelqu’un qui lui a écrit un de ses mots en message privé ;
• conserver un journal technique de ce qui a été traité, à des fins de fiabilité et de débogage.

Le traitement repose sur l’intérêt légitime du titulaire du compte à répondre à sa communauté, et sur le consentement implicite de la personne qui commente publiquement dans le but explicite d’obtenir la réponse annoncée par la publication.

Supabase (PostgreSQL) conserve les données ; Vercel exécute l’application. Le serveur accède à cette base de données avec une clé de service confidentielle qui ne le quitte jamais, de sorte qu’aucune valeur sensible n’atteint le navigateur. Tout le trafic passe par HTTPS. Les notifications d’Instagram passent d’abord par un filtre chez Cloudflare, qui lit chacune uniquement pour décider de la transmettre ou non. Notre serveur refuse ensuite toute notification qui arrive sans une signature X-Hub-Signature-256 valide, avant de la traiter.

Nous ne les vendons ni ne les louons jamais. Elles ne parviennent qu’aux prestataires sans lesquels le service ne peut pas fonctionner, chacun agissant selon nos instructions et rien de plus :

• Meta / Instagram nous transmet les commentaires et délivre les messages.
• Cloudflare reçoit en premier les notifications d’Instagram et nous les transmet. Il écarte celles qui ne nous servent à rien : les notifications de messages sur lesquelles nous n’agissons pas, les commentaires d’un compte sur ses propres posts, les messages adressés à un compte qui n’a pas activé les réponses aux DM, et les commentaires sur un compte qui n’a aucun post allumé. Il n’en conserve aucun contenu : pendant trois jours, seulement une ligne par notification qui dit si elle a été transmise et pourquoi, sans aucun identifiant. Pour savoir quels comptes ont activé les réponses aux DM, et lesquels n’ont aucun post allumé, il garde deux listes d’empreintes de leur identifiant Instagram, calculées avec une clé secrète, de sorte qu’aucune liste ne révèle seule un identifiant. Il compte aussi ses décisions par heure, par motif et par cette même empreinte du compte concerné, jamais de la personne qui a commenté ou écrit, et Cloudflare garde ces comptages trois mois, pour qu’on voie de quel compte vient un afflux.
• Supabase (PostgreSQL) stocke les comptes, la configuration par publication et le journal d’activité.
• Vercel exécute l’application et ses tâches planifiées, et compte les pages vues sans cookie.
• Inngest met chaque commentaire entrant en file d’attente jusqu’à ce qu’il ait été traité, afin qu’un commentaire ne soit jamais perdu lorsqu’un envoi échoue. L’événement mis en file d’attente contient le texte du commentaire et le nom d’utilisateur de son auteur, ou, pour les réponses aux DM, le texte du message et l’identifiant Instagram de son expéditeur.
• PostHog (UE) enregistre l’usage du produit. Il reçoit l’identifiant utilisateur Instagram et le nom d’utilisateur du compte connecté, afin que nous puissions savoir si une connexion a réussi. Il ne reçoit jamais le corps d’un message, le nom d’utilisateur d’un auteur de commentaire, ni un jeton d’accès.
• ntfy nous envoie une notification sur téléphone quand un compte se connecte, change de formule ou retire l’application, avec le pseudo Instagram de ce compte. Quand un compte supprime ses données, la notification ne porte aucun pseudo.

PostHog mesure aussi les visites de ce site : les pages vues, les clics, et un enregistrement de chaque visite. Le texte de la page, ce qui est saisi dans un champ et toutes les images sont masqués dans votre navigateur avant tout envoi, et PostHog ne conserve pas les adresses IP. Rien n’est stocké sur votre appareil, donc une visite ultérieure ne peut pas être reliée à celle-ci. Quand vous êtes connecté, ces événements sont rattachés à votre compte. Vous pouvez désactiver cette mesure pour ce navigateur, qui conservera alors ce seul choix :

Le journal d’activité est supprimé après 60 jours, par une tâche planifiée dans la base de données plutôt que sur demande. Cinq éléments lui survivent volontairement. Votre configuration par publication, ainsi que les mots et messages de vos réponses aux DM, sont conservés jusqu’à ce que vous les modifiiez ou les supprimiez, car ce sont eux qui font fonctionner le service. L’enregistrement du fait qu’une personne donnée a déjà reçu un DM pour une publication donnée est permanent, car c’est la seule chose qui garantit que nous ne contactons jamais quelqu’un deux fois ; il contient un identifiant utilisateur Instagram et un identifiant de publication, aucun message ni texte de commentaire.

Et nous conservons des totaux quotidiens de ce que le service a fait, une ligne par jour : combien de commentaires sont arrivés, combien de messages sont partis, combien ont échoué. Ces lignes ne portent aucun compte, aucun identifiant Instagram et aucun texte, elles décrivent donc le service et non vous. C’est ce qui nous permet de répondre à « le mois de juin a-t-il été meilleur que mai » une fois le journal lui-même disparu.

Enfin, pour votre propre compte, nous conservons un décompte quotidien de votre activité : combien de commentaires vos publications ont reçus, combien de DM sont partis, combien ont échoué, une ligne par jour. Ces lignes ne portent aucun texte de commentaire ni l’identité d’un tiers : elles décrivent le volume de votre compte, pas les personnes qui ont commenté. Nous les gardons au-delà du journal pour que vous voyiez vos tendances au-delà de 60 jours, et elles sont effacées quand vous supprimez votre compte.

Les messages privés gardés par les réponses aux DM sont supprimés après 60 jours, comme le journal. L’enregistrement du fait qu’une personne a déjà reçu la réponse à un mot donné est permanent jusqu’à la suppression du compte, pour la même raison que plus haut : c’est ce qui nous empêche de l’envoyer deux fois. Il ne porte qu’un identifiant Instagram et une date, aucun texte de message.

Un compte gratuit sans aucune activité pendant 180 jours est fermé. Aucune activité signifie aucune connexion par Instagram, aucun commentaire reçu sur un post actif, aucun message envoyé et aucun clic sur ses liens pendant cette période. La fermeture fonctionne comme un retrait de l’app depuis Instagram (section 9) : le jeton d’accès est détruit aussitôt, le reste est conservé 30 jours puis effacé. Se reconnecter pendant ce délai annule l’effacement. Les comptes payants ne sont jamais fermés pour inactivité, et pour un ancien abonné les 180 jours courent à partir de la fin de la période payée ou du mois offert.

En vertu du RGPD, vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation et d’opposition. Pour l’exercer, écrivez-nous à info@pigeondm.com.

Trois moyens, tous immédiats et aucun ne nécessitant une intervention manuelle de notre part :

• Depuis l’application. Paramètres → Supprimer mon compte. Cela efface le jeton d’accès, vos publications et mots-clés, et l’intégralité du journal d’activité, d’un seul coup et de manière irréversible, puis vous remet un code de confirmation à conserver.
• Depuis Instagram, en retirant l’application. Paramètres → Applications et sites web → PigeonDM → Supprimer. Instagram nous en informe, et le jeton d’accès est détruit aussitôt, de sorte que plus rien ne peut être lu ni envoyé. Votre configuration est conservée pendant 30 jours puis effacée automatiquement. Vous reconnecter pendant ce délai annule la suppression et conserve votre configuration.
• En demandant à Instagram de supprimer vos données. Instagram nous envoie une demande de suppression signée ; nous effaçons tout immédiatement et renvoyons un lien indiquant l’état de votre demande, accompagné d’un code de confirmation.

Nous conservons un accusé de réception de chaque demande, afin de pouvoir prouver qu’elle a été honorée. Cet accusé ne contient aucun nom d’utilisateur Instagram et aucun identifiant utilisateur Instagram, seulement une empreinte à sens unique qui ne peut pas être ramenée à un compte.

Indépendamment de toute demande, les données de commentaire sont supprimées automatiquement après 60 jours. Si vous préférez écrire à une personne : info@pigeondm.com.

PigeonDM fonctionne via l’API Instagram officielle de Meta, dans le cadre des Conditions de la plateforme Meta et des Politiques pour les développeurs. Nous utilisons ce que cette API renvoie aux fins décrites ci-dessus, et pour rien d’autre. Aucune revente, aucun profil publicitaire, aucun entraînement de modèles sur votre audience.

La présente politique peut être mise à jour ; la date de la dernière mise à jour figure en haut de la page.

Antonin Langlade · info@pigeondm.com