Politique de confidentialité — FGStudio-IG

Dernière mise à jour : 30 juillet 2026

Brouillon — les passages surlignés doivent être complétés et le document relu avant publication définitive.

1. Présentation et objet

FGStudio-IG (App ID Meta : 1002065245925996) est un outil web privé de gestion et d'analyse de contenu Instagram. Il est destiné à une seule créatrice, Fanny Gurunlian (@fannygrnln), basée à Genève (Suisse), et sert exclusivement à gérer et analyser son propre compte Instagram Business. Aucun autre compte Instagram n'y est connecté, et l'outil n'est proposé à aucun tiers. Un administrateur technique en assure la maintenance pour le compte de l'éditrice (voir section 2).

L'outil est accessible sous https://www.fannygurunlian.com/studio, derrière une protection par mot de passe (authentification HTTP Basic). Les pages légales /confidentialite et /cgu sont publiques.

La présente politique explique quelles données sont traitées, pourquoi, avec quels prestataires, combien de temps, et quels sont les droits des personnes concernées. Elle est rédigée pour être conforme au Règlement général sur la protection des données (RGPD, UE 2016/679) et à la Loi fédérale suisse sur la protection des données (nLPD/LPD).

2. Responsable du traitement et contact

L'application est éditée et exploitée à titre professionnel par la structure de la créatrice, pour son propre compte. Cette structure est responsable du traitement (au sens du RGPD) / responsable du fichier (au sens de la nLPD) :

Raison sociale : [À vérifier : dénomination exacte de la société]
Forme juridique : [À vérifier : Sàrl, SA, raison individuelle, SASU…]
Numéro d'identification : [À vérifier : IDE/UID suisse (CHE-xxx.xxx.xxx) ou SIREN/SIRET français, et registre d'inscription]
Siège social : [À vérifier : adresse postale complète du siège]
Représentée par : Fanny Gurunlian (@fannygrnln), en qualité de [À vérifier : gérante, associée, présidente…]
Contact : contact@fannygurunlian.com

Délégué à la protection des données. Compte tenu de la taille de la structure et de la nature des traitements décrits ici, aucun délégué à la protection des données (DPO) n'est désigné : les conditions de l'art. 37 RGPD ne sont pas réunies (pas de suivi systématique à grande échelle, pas de traitement à grande échelle de données sensibles). Les demandes sont traitées directement à l'adresse ci-dessus.

Administrateur technique. La maintenance de l'outil (déploiement, correctifs, sauvegardes, incidents) est assurée par un administrateur technique agissant pour le compte et sur instruction de l'éditrice. À ce titre, il dispose d'un accès technique au serveur et aux fichiers de données. Il n'exploite ces données pour aucune finalité propre et intervient en qualité de sous-traitant (art. 28 RGPD / art. 9 nLPD). Le compte Instagram connecté à l'outil reste exclusivement celui de Fanny Gurunlian.

Pour toute question relative à la protection de vos données ou pour exercer vos droits, écrivez à contact@fannygurunlian.com.

2.1 Droit applicable et représentation dans l'Union européenne

L'éditrice est établie en Suisse. La nLPD s'applique donc directement à ses traitements. Par ailleurs, une partie des personnes concernées (auteurs de commentaires, abonnés) résidant dans l'Union européenne, le RGPD s'applique également, par l'effet de son art. 3 §2 (offre de services et suivi de comportements de personnes situées dans l'UE). Les deux régimes sont appliqués cumulativement, la règle la plus protectrice prévalant.

Représentant dans l'Union (art. 27 RGPD). Un responsable de traitement établi hors de l'UE doit en principe désigner par écrit un représentant dans l'Union. [À vérifier : décider et indiquer ici : soit l'identité et l'adresse du représentant UE désigné, soit l'invocation motivée de la dérogation de l'art. 27 §2 (traitement occasionnel, n'incluant pas à grande échelle de données sensibles et peu susceptible d'engendrer un risque pour les droits des personnes) — à trancher avec un conseil juridique, en tenant compte du volume réel de commentaires traités]

[À vérifier : si la structure est établie en France (ou dans un autre État de l'UE) plutôt qu'en Suisse, cette section doit être reprise : le RGPD s'appliquerait alors à titre principal, aucun représentant UE ne serait requis, l'autorité de contrôle compétente serait celle du pays d'établissement (p. ex. la CNIL), et l'article 12 des CGU (droit suisse, for genevois) devrait être aligné en conséquence]

Registre des activités de traitement (art. 30 RGPD / art. 12 nLPD). Un registre interne des traitements décrits dans la présente politique est tenu par l'éditrice et communiqué à l'autorité de contrôle sur demande.

3. Données collectées et leur source

L'essentiel des données ci-dessous provient de l'API Instagram de Meta (graph.instagram.com), après connexion de Fanny via Instagram Login (OAuth) et autorisation explicite des permissions demandées. Deux autres canaux, décrits en 3.4, sont également utilisés. Aucune donnée n'est achetée à un courtier de données.

3.1 Permissions Instagram demandées

instagram_business_basic — accès au profil et aux publications ;
instagram_business_manage_insights — accès aux statistiques et à la démographie de l'audience ;
instagram_business_manage_comments — accès aux commentaires des publications, et publication de réponses à ces commentaires ;
instagram_business_content_publish — publication de contenus (carrousels, visuels) sur le compte de Fanny depuis l'outil.

3.2 Catégories de données traitées

Données de profil de Fanny : nom d'utilisateur, photo de profil, nombre d'abonnés.
Publications de Fanny : légendes, dates de publication, permaliens, vignettes (miniatures), compteurs associés.
Statistiques de ses propres contenus : portée, interactions, enregistrements, partages, vues.
Démographie de l'audience de Fanny : données agrégées et anonymisées uniquement (tranches d'âge, genre, pays, villes). Ces données ne permettent pas d'identifier un abonné individuel.
Commentaires sur ses propres publications : pseudonyme public de l'auteur du commentaire et texte du commentaire. Voir la section 8.

3.3 Données d'authentification

Pour maintenir la connexion à Instagram, un jeton d'accès de longue durée (60 jours) est émis par Meta, renouvelé automatiquement et stocké côté serveur. Ce jeton permet à l'application d'appeler l'API Instagram au nom de Fanny.

3.4 Autres sources de données

Outre l'API Instagram, l'outil interroge deux autres points d'accès :

API Marketing de Meta (graph.facebook.com) — uniquement pour lire les statistiques des campagnes publicitaires de Fanny (dépenses, portée, résultats). Aucune donnée personnelle d'un tiers n'est lue par ce canal : les chiffres restitués sont agrégés.
Business Discovery (API Instagram) — pour consulter les données publiques de comptes professionnels tiers suivis à titre de veille (nom d'utilisateur, nombre d'abonnés, et pour leurs publications récentes : légende, permalien, date, compteurs publics de mentions J'aime et de commentaires). Seuls des comptes professionnels, dont ces informations sont publiquement affichées sur Instagram, sont concernés ; aucun compte privé, aucun abonné individuel. Ces légendes peuvent être transmises aux prestataires IA (section 5.2) pour produire une synthèse de veille éditoriale destinée à la seule Fanny. La base légale est l'intérêt légitime (art. 6.1.f RGPD ; art. 31 nLPD). Le responsable d'un compte concerné peut demander l'arrêt de cette veille et la suppression des données le concernant en écrivant à contact@fannygurunlian.com.

4. Finalités et bases légales

La finalité générale de l'application est d'aider Fanny à gérer et comprendre son propre compte Instagram. Aucune donnée n'est revendue, partagée publiquement, ni utilisée pour du profilage de tiers.

Traitement	Finalité	Base légale RGPD	Base légale nLPD
Connexion et maintien de session (jeton OAuth)	Permettre à Fanny d'accéder à son compte via l'outil	Consentement (art. 6.1.a) / exécution du service (art. 6.1.b)	Traitement à la demande de la personne concernée / intérêt légitime (art. 31)
Profil, publications, statistiques de Fanny	Afficher et analyser ses propres contenus et performances	Consentement / exécution du service (art. 6.1.a / 6.1.b)	À la demande de la personne concernée
Démographie agrégée de l'audience	Comprendre la composition de son audience (données anonymisées)	Consentement / intérêt légitime (art. 6.1.a / 6.1.f)	Intérêt légitime prépondérant (art. 31)
Lecture des commentaires (auteurs tiers)	Afficher à Fanny les retours de sa communauté + résumé	Intérêt légitime (art. 6.1.f) — voir section 8	Intérêt légitime prépondérant (art. 31)
Génération de visuels et d'analyses par IA	Visuels de couverture, analyses, résumé « ce que dit ta communauté »	Intérêt légitime (art. 6.1.f) / exécution du service (art. 6.1.b)	Intérêt légitime prépondérant (art. 31)

Comme l'utilisatrice est aussi, dans les faits, la principale personne concernée par les données traitées, une grande partie des traitements repose sur sa propre demande et son propre consentement, matérialisés par la connexion et l'autorisation des permissions Instagram.

5. Sous-traitants et transferts internationaux

L'application recourt aux prestataires (sous-traitants au sens de l'art. 28 RGPD / mandataires au sens de l'art. 9 nLPD) suivants :

5.1 Hébergement — Railway

L'application et ses données sont hébergées sur Railway. Les données sont stockées sous forme de fichiers JSON sur un volume Railway. Les régions d'hébergement Railway peuvent être situées dans l'UE et/ou aux États-Unis.

5.2 Prestataires d'intelligence artificielle — OpenRouter et modèles acheminés

Certains textes et données — légendes, agrégats statistiques et commentaires — peuvent être transmis à OpenRouter (OpenRouter, Inc., États-Unis), qui agit comme passerelle et achemine chaque requête vers le fournisseur de modèle correspondant à la fonctionnalité utilisée :

Fonctionnalité	Données transmises	Fournisseur du modèle
Analyses, résumé « ce que dit ta communauté », suggestions de réponses, textes	Légendes, agrégats statistiques, pseudonymes et textes de commentaires	Anthropic (États-Unis)
Génération des visuels de couverture	Consignes textuelles de création (aucune donnée de commentaire)	ByteDance (Seedream) — repli éventuel vers OpenAI (États-Unis)
Animation de visuels en vidéo	Visuel généré et consigne d'animation (aucune donnée de commentaire)	Kuaishou (Kling)

Ces prestataires agissent en qualité de sous-traitants, pour le seul compte de l'application et selon ses instructions. Le choix des modèles est configurable et peut évoluer ; la présente section est mise à jour en conséquence. Les données de commentaires ne sont transmises qu'au fournisseur du modèle de texte — jamais aux modèles d'image ou de vidéo.

[À vérifier : politiques de rétention et de non-entraînement des modèles pour OpenRouter et chacun des fournisseurs ci-dessus — confirmer que les données transmises ne sont pas conservées au-delà du traitement ni utilisées pour entraîner des modèles]

5.3 Transferts hors UE / hors Suisse

Ces prestataires (Railway pour ses régions US, OpenRouter, Anthropic et OpenAI aux États-Unis, ByteDance et Kuaishou dont les sociétés mères sont établies en Chine) peuvent traiter des données hors de l'Union européenne et hors de Suisse. Ces transferts doivent être encadrés par des garanties appropriées (art. 44 et suivants du RGPD ; art. 16-17 nLPD) :

[À vérifier : adhésion des prestataires au Data Privacy Framework UE-US et Suisse-US, ou signature de Clauses Contractuelles Types (CCT/SCC) reconnues par le Préposé fédéral suisse (PFPDT) — en particulier pour les fournisseurs établis hors des pays reconnus comme offrant un niveau de protection adéquat]

Aucune donnée n'est vendue ni partagée à des fins publicitaires ou de profilage de tiers.

6. Stockage, durée de conservation et sécurité

6.1 Stockage

Les données sont stockées sous forme de fichiers JSON sur un volume Railway. Il n'existe aucune base de données tierce et aucune revente de données.

6.2 Durée de conservation

Jeton d'accès Instagram : valable 60 jours, renouvelé automatiquement tant que la connexion est active ; effacé côté serveur dès la déconnexion (voir section 9).
Données de compte et de contenu (profil, publications, statistiques, démographie agrégée, commentaires et brouillons de réponses) : conservées tant que l'outil reste en service. Elles constituent l'historique éditorial sur lequel s'appuient les analyses, et ne sont pas purgées automatiquement — y compris après une déconnexion, qui n'efface que le jeton d'accès. Elles sont supprimées :
- sur demande (de Fanny ou d'un auteur de commentaire), dans un délai de 30 jours — voir la page Suppression de vos données ;
- ou lors de la mise hors service définitive de l'outil, par suppression du volume d'hébergement.

La suppression est réalisée manuellement par l'éditrice sur le volume d'hébergement : il n'existe pas de purge programmée. Ce point est énoncé ici en toute transparence plutôt que présenté comme automatique.

6.3 Sécurité

L'outil est accessible sous /studio, protégé par mot de passe (HTTP Basic). L'accès est restreint à la propriétaire du compte et à l'administrateur technique (section 2).
Les échanges avec l'outil et avec l'ensemble des API tierces sont chiffrés en transit (HTTPS/TLS). Les données au repos résident sur le volume de l'hébergeur, non exposé publiquement, et bénéficient des mesures de chiffrement de ce dernier.
Le jeton d'accès Instagram n'est jamais transmis au navigateur ni restitué par une interface de l'outil.
En cas de violation de données, l'éditrice évalue le risque, coupe l'accès concerné et procède aux notifications décrites ci-dessous.

En cas de violation de données susceptible d'engendrer un risque pour les personnes concernées, l'éditeur notifiera l'autorité compétente et, le cas échéant, les personnes concernées (art. 33-34 RGPD ; art. 24 nLPD).

7. Droits des personnes concernées

Conformément au RGPD et à la nLPD, toute personne concernée dispose des droits suivants :

Droit d'accès ; rectification ; effacement (« droit à l'oubli ») ;
Opposition au traitement fondé sur l'intérêt légitime ; limitation du traitement ;
Portabilité des données fournies, dans un format structuré et lisible par machine ;
Retrait du consentement à tout moment, sans effet rétroactif sur la licéité passée.

Pour exercer vos droits : écrivez à contact@fannygurunlian.com. Une réponse est apportée dans les délais légaux (en principe un mois au titre du RGPD).

Réclamation auprès d'une autorité de contrôle — Suisse : Préposé fédéral à la protection des données et à la transparence (PFPDT), Berne. UE : l'autorité de votre pays de résidence (p. ex. la CNIL en France).

8. Cas particulier des commentaires (données d'auteurs tiers)

L'application accède aux commentaires publiés sur les publications de Fanny, ce qui inclut le pseudonyme public de l'auteur et le texte du commentaire. Ces auteurs sont des tiers dont les données sont traitées sans qu'ils soient utilisateurs de l'application. L'usage de ces données est strictement limité :

lus uniquement pour afficher à Fanny les retours de sa communauté sur ses propres publications, et produire un résumé par IA ;
utilisés pour préparer une suggestion de réponse que Fanny relit, modifie et publie elle-même (voir ci-dessous) ;
affichés uniquement à la propriétaire du compte ;
jamais republiés, partagés, ni rendus publics en dehors d'Instagram ;
ne servent à aucun profilage ni à aucune finalité commerciale.

Le texte de certains commentaires peut être transmis aux prestataires IA (section 5.2) pour deux finalités, et deux seulement : la production du résumé « ce que dit ta communauté », et la rédaction d'une suggestion de réponse dans la voix de Fanny. La base légale est l'intérêt légitime de Fanny à comprendre les retours sur ses propres contenus et à animer sa communauté (art. 6.1.f RGPD ; art. 31 nLPD), mis en balance avec les droits des auteurs, qui ont volontairement publié ces commentaires publiquement sur Instagram. Ces auteurs peuvent exercer leurs droits (section 7) en écrivant à contact@fannygurunlian.com.

Aucune réponse n'est publiée automatiquement. Une suggestion générée reste un brouillon tant que Fanny ne l'a pas relue et n'a pas confirmé sa publication ; elle est alors publiée sous son nom, par elle, sur Instagram. Les brouillons sont conservés sur le volume privé de l'application selon la durée indiquée en section 6.2 : ils ne sont pas effacés par une déconnexion, et sont supprimés sur demande. Si une automatisation des réponses devait être activée un jour, cette page serait mise à jour avant sa mise en service.

9. Révocation de l'accès

Fanny peut à tout moment mettre fin à l'accès de l'application à son compte Instagram :

Depuis l'outil : via le bouton « Déconnecter ». Le jeton d'accès est alors effacé côté serveur.
Depuis Instagram : en retirant l'application dans Instagram → Réglages → Applications et sites web.

Portée exacte de la révocation. La déconnexion et le retrait de l'application effacent le jeton d'accès et coupent tout accès futur à l'API Instagram. Elles n'effacent pas les données déjà enregistrées (profil, publications, statistiques, commentaires, brouillons de réponses), qui restent conservées comme indiqué en section 6.2. Pour en obtenir la suppression, il faut en faire la demande : voir la page Suppression de vos données.

10. Mention Meta / Instagram

Cette application utilise l'API Instagram de Meta Platforms, Inc. Son fonctionnement est soumis aux Conditions de la plateforme Meta et aux règles applicables aux développeurs. L'application s'engage à utiliser les données obtenues via l'API Instagram conformément à ces conditions et aux permissions accordées, et uniquement aux finalités décrites ici. FGStudio-IG n'est ni développée, ni parrainée, ni approuvée par Meta / Instagram. Instagram® est une marque de Meta Platforms, Inc.

11. Modifications de la présente politique

La présente politique peut être mise à jour. La version en vigueur est celle publiée sur https://www.fannygurunlian.com/confidentialite, avec sa date de dernière mise à jour indiquée en tête de document.

Document rédigé sur la base des caractéristiques déclarées de l'application FGStudio-IG. Les passages surlignés signalent des informations à compléter ou confirmer avant publication définitive. Ce document ne constitue pas un avis juridique.