Politique de confidentialité
Dernière mise à jour : 12/09/2026
1. Responsable du traitement
OXCA, SAS au capital de 900 €, 35 rue Jean Bouin, 66280 Saleilles, France — SIRET 894 325 414 00015 — Email : oxca.fr@gmail.com.
2. Ce que fait le service
OXCA MCP Hub permet de configurer des connecteurs MCP (dont un connecteur LinkedIn) et de les utiliser depuis les produits Claude. Les actions sur les services tiers (publier un post, lire des statistiques…) ne sont réalisées qu'à la demande de l'utilisateur, via les connecteurs qu'il a lui-même configurés et connectés.
3. Données collectées
- Compte : adresse email (identifiant de connexion, sans mot de passe), dates de création et de dernière connexion.
- Connexion : codes de connexion et liens magiques (stockés hachés en SHA-256, valables 15 minutes, à usage unique) et adresse IP de la demande (limitation anti-abus, conservée avec la demande).
- Connecteurs : nom et réglages du connecteur ; identifiants d'application LinkedIn (Client ID, Client Secret) ; jeton d'accès LinkedIn ; identifiants d'application Meta/Instagram (App ID, App Secret) ; jeton d'accès Instagram ; identifiant, nom d'utilisateur et type du compte Instagram connecté ; identifiant (URN), nom du profil LinkedIn connecté et autorisations accordées ; identifiant de page organisation le cas échéant. Le Client Secret, le jeton LinkedIn et les jetons d'accès aux connecteurs sont chiffrés au repos (AES-256-GCM).
- Journaux techniques : journaux standards du serveur web tenus par l'hébergeur (adresses IP, URL, horodatages).
Aucune donnée n'est collectée à des fins publicitaires. Aucun traceur tiers.
4. Données LinkedIn
Lorsque vous connectez LinkedIn, le service reçoit un jeton d'accès et les informations de profil de base (identifiant, nom — et email selon les autorisations accordées). Ce jeton sert exclusivement à exécuter vos demandes : publier, commenter, réagir, supprimer un post, consulter les statistiques de vos posts ou de votre page. Les données LinkedIn ne sont ni revendues, ni partagées avec des tiers, ni utilisées à des fins publicitaires ou d'entraînement ; elles ne sont pas conservées au-delà de ce qui est nécessaire à l'exécution de la demande (les statistiques et contenus lus sont retransmis à l'utilisateur sans être stockés par le service).
Vous pouvez révoquer l'accès à tout moment : bouton « Déconnecter » sur la page du connecteur, et/ou depuis votre compte LinkedIn (Préférences → Confidentialité des données → Autres applications — services autorisés). Les jetons LinkedIn expirent en outre automatiquement au bout de 60 jours.
5. Données Instagram
Lorsque vous connectez un compte Instagram professionnel, le service reçoit un jeton d'accès et les informations de profil de base (identifiant, nom d'utilisateur, type de compte). Ce jeton sert exclusivement à exécuter vos demandes : publier une image ou un carrousel, lire votre profil, votre quota de publication et vos publications récentes.
Instagram ne reçoit pas les images : ce sont ses serveurs qui viennent les télécharger. Les images que vous transmettez sont donc déposées sur ce serveur, accessibles par une URL imprévisible (128 bits d'aléa), le temps de la publication : elles sont supprimées automatiquement au plus tard 24 heures après leur dépôt. Aucune image n'est conservée au-delà, ni analysée, ni réutilisée.
Les données Instagram ne sont ni revendues, ni partagées avec des tiers, ni utilisées à des fins publicitaires ou d'entraînement. Vous pouvez révoquer l'accès à tout moment : bouton « Déconnecter » sur la page du connecteur, et/ou depuis l'application Instagram (Paramètres → Sécurité → Applications et sites web). Les jetons Instagram expirent automatiquement au bout de 60 jours sans utilisation.
6. Finalités et bases légales
- Fourniture du service demandé (création de compte, connecteurs, exécution des outils) — exécution du contrat.
- Sécurité et prévention des abus (limitation de débit, journaux) — intérêt légitime.
7. Partage des données
Les données ne sont partagées avec personne, à l'exception : de LinkedIn (appels API nécessaires aux actions que vous demandez), de notre hébergeur Infomaniak Network SA (Suisse — pays reconnu adéquat par la Commission européenne), et des personnes avec lesquelles vous choisissez de partager un connecteur — celles-ci peuvent alors utiliser ses outils mais n'ont jamais accès à vos secrets (Client Secret, jetons).
8. Durées de conservation
- Compte et connecteurs : tant que le compte est actif ; supprimés sur demande.
- Images déposées en vue d'une publication Instagram : conservées au maximum 24 heures sur le serveur, le temps qu'Instagram vienne les télécharger, puis supprimées automatiquement.
- Jeton Instagram : jusqu'à déconnexion, suppression du connecteur ou expiration (60 jours sans utilisation).
- Jeton LinkedIn : jusqu'à déconnexion, suppression du connecteur ou expiration (60 jours maximum).
- Codes et liens de connexion : 15 minutes (puis inutilisables) ; demandes purgées régulièrement.
- Suppression d'un connecteur : réglages, jetons et partages associés sont supprimés immédiatement et définitivement.
9. Cookies
Le service utilise un unique cookie technique de session
(oxcahub), strictement nécessaire à l'authentification —
exempté de consentement. Aucun cookie publicitaire, statistique ou tiers.
10. Sécurité
Connexions chiffrées (HTTPS), secrets chiffrés au repos (AES-256-GCM avec clé détenue hors base de données), codes de connexion hachés, jetons d'accès révocables et régénérables à tout moment, requêtes préparées contre l'injection SQL.
11. Vos droits
Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition sur vos données. Exercez-les par email à oxca.fr@gmail.com — réponse sous un mois au plus. Vous pouvez également introduire une réclamation auprès de la CNIL (cnil.fr).
12. Évolution de cette politique
Cette politique peut être mise à jour pour suivre l'évolution du service ; la date en tête de page fait foi. En cas de changement substantiel, les utilisateurs seront informés lors de leur connexion.