Politique de confidentialité
Dernière mise à jour : 23 octobre 2026
XTAND Studio est la console d'administration que XTAND met à la disposition de ses clients pour gérer le contenu de leur site web : rédiger et publier des actualités, suivre le référencement, régler l'envoi des formulaires, et préparer la diffusion de leurs contenus sur les réseaux sociaux. Cette page dit quelles données XTAND Studio traite, pourquoi, combien de temps, et comment exercer vos droits.
Qui est responsable
XTAND SARL, 23 rue Catros, 33000 Bordeaux, France. SIRET 531 320 414 00018. Contact : contact@xtand.fr, +33 5 35 54 14 55.
XTAND est responsable du traitement des données des comptes d'accès à XTAND Studio. Pour le contenu des sites et les données liées à l'activité de chaque client (son site, ses statistiques, ses réseaux sociaux), XTAND agit pour le compte de ce client, dans le cadre du contrat qui les lie.
Les données traitées
| Données | Pourquoi | Combien de temps |
|---|---|---|
| Compte d'accès : identifiant, mot de passe (jamais conservé en clair, seulement son empreinte), site rattaché ; pour les comptes XTAND, le secret de double authentification, chiffré | Se connecter à la console | Tant que le compte existe ; supprimé au plus tard trois mois après la fin du contrat |
| Journal des actions : quel compte a fait quoi, et quand (publication, validation d'un post, changement de réglage) | Sécurité, et savoir qui a décidé quoi | Un an au plus |
| Journaux techniques du serveur web : adresse IP, date, page demandée | Sécurité et diagnostic | 14 jours |
| Contenus du site du client : textes, images, liens | Les rédiger, les publier sur son site | Durée du contrat ; restitués au client à sa fin |
| Posts de réseaux sociaux préparés dans XTAND Studio, leurs images, et qui les a validés | Préparer, valider et publier la diffusion des contenus du client | Durée du contrat |
| Connexions aux réseaux sociaux (voir ci-dessous) | Publier sur la page du client les posts qu'il a validés | Jusqu'au débranchement ; effacées aussitôt |
| Statistiques Search Console du site (pages, requêtes, clics, positions) | Suivre le référencement du site | Durée du contrat |
| Journal des formulaires du site : date, formulaire, page d'origine, abouti ou non. Aucun nom, aucune adresse, aucun message | Repérer un formulaire en panne, compter les demandes | 36 mois au plus |
| Réglages techniques fournis par le client : identifiants d'envoi des e-mails des formulaires, clé de son compte d'intelligence artificielle. Chiffrés, jamais réaffichés | Faire fonctionner ses formulaires et l'assistance à la rédaction | Jusqu'au débranchement |
Les données reçues des réseaux sociaux
Quand un client branche sa page Facebook, son compte Instagram professionnel, sa page LinkedIn ou sa fiche Google Business Profile, il autorise l'application XTAND Studio à publier pour lui. XTAND Studio reçoit et conserve alors seulement :
- l'identifiant et le nom de la page, du compte ou de l'établissement choisi ;
- le jeton d'accès fourni par le réseau, chiffré sur nos serveurs, qui n'est jamais montré dans la console ni transmis à qui que ce soit ;
- pour chaque post publié : son identifiant, son adresse chez le réseau et, plus tard, ses statistiques (vues, clics).
XTAND Studio ne lit pas les messages, les commentaires, les abonnés ni les profils des personnes qui suivent la page. Ces données ne servent qu'à publier les posts que le client a validés et à lui en rendre compte. Elles ne sont jamais vendues, ni utilisées pour de la publicité, ni partagées avec un autre client.
Pour Google, XTAND Studio ne demande qu'un droit : gérer la fiche d'établissement choisie
(business.manage). L'image d'un post est mise à la disposition de Google par une adresse
signée, valable 24 heures. L'utilisation et le transfert par XTAND Studio des informations reçues des
API Google respectent les règles
relatives aux données utilisateur des services d'API Google, y compris les exigences d'utilisation
limitée (« Limited Use »).
Ce que nous n'utilisons pas
La console dépose un seul cookie : celui de la session, indispensable pour rester connecté. Aucun cookie de mesure d'audience, de publicité ou de pistage, aucun outil d'analyse tiers.
Bases légales
- l'exécution du contrat entre XTAND et son client (article 6.1.b du RGPD) : comptes, contenus, connexions, diffusion ;
- l'intérêt légitime de XTAND à sécuriser son service (article 6.1.f) : journaux.
Prestataires
| Prestataire | Rôle | Lieu |
|---|---|---|
| OVHcloud | Hébergement des serveurs de XTAND Studio et de ses données | France |
| Forge de code de XTAND (Forgejo) | Dépôt des fichiers des sites (contenus, images), sur les serveurs de XTAND chez OVHcloud | France |
| Anthropic | Assistance à la rédaction : les textes à rédiger lui sont envoyés au moment où le client le demande | États-Unis |
| Meta, LinkedIn, Google | Les réseaux sur lesquels le client choisit de publier | Selon chaque réseau |
Les transferts hors de l'Union européenne sont encadrés par les garanties prévues par le RGPD, dans les conditions contractuelles de ces prestataires.
Sécurité
Connexions chiffrées (HTTPS) ; mots de passe conservés sous forme d'empreinte ; secrets et jetons chiffrés ; double authentification pour les comptes XTAND, qui ont accès à plusieurs sites ; chaque site client isolé dans sa propre base de données.
Vos droits
Vous pouvez demander l'accès à vos données, leur rectification, leur effacement, leur portabilité, la limitation de leur traitement, ou vous y opposer, en écrivant à contact@xtand.fr. Nous répondons dans un délai d'un mois. Pour faire effacer les données d'un compte ou d'une connexion à un réseau social, voir Suppression des données. Vous pouvez aussi adresser une réclamation à la CNIL (www.cnil.fr).
Modifications
Cette politique peut évoluer, notamment à l'ouverture de nouvelles fonctions. La version en vigueur est celle de cette page, avec sa date de mise à jour.