Privacy Policy

Last updated: October 6, 2026 · Effective from this date · English version — version française

MagAscii (“we”, “our”, “the platform”) respects your privacy. This document explains what data we collect, why, how we use it, and what rights you have over it. The platform is operated by David Giraudeau (contact: david.giraudeau@ecole2600.com) and hosted in France (EU). It complies with the GDPR.

This policy exists in English and in French with the same content. For users located in France, the French version prevails in case of discrepancy.

1. Data controller

Controller: David Giraudeau — sole proprietor (micro-entreprise) — david.giraudeau@ecole2600.com — Website: https://magascii.com.

2. Data we collect

2.1 Data you provide

Account: email, password hashed with scrypt and a dedicated salt, optional first/last name.
Professional profile: CV, cover letters, skills, experience, portfolio, SIRET number, tax regime (if you use Profil-Ops or Finance-Ops).
Financial data: invoices, clients, URSSAF declarations, taxes, stock/crypto positions (Finance-Ops).
Social content: OAuth access tokens of the third-party platforms you connect (TikTok, Instagram, LinkedIn, Facebook, Twitter/X, YouTube), post drafts, planning (Social-Ops).
Mailbox: IMAP/SMTP settings you add in Profil-Ops, messages read at your request, drafts or messages sent through Hermes-Ops.

2.2 Data from third-party platforms (OAuth)

When you connect a TikTok, Instagram or other account through OAuth, we receive and store only:

TikTok open ID, display name, avatar, username, bio, profile link and verified status, account statistics (followers, following, likes, number of videos), the list of your own public videos (title, cover image, link, views, likes, comments, shares), authorized scopes (user.info.basic, user.info.profile, user.info.stats, video.list, video.upload, video.publish, and, only if you request a data export, portability.postsandprofile.single), the status of the videos you send to TikTok, access_token and refresh_token encrypted at rest.
Instagram Business/Creator user ID, display name, scopes (instagram_business_basic, instagram_business_content_publish, instagram_business_manage_comments, instagram_business_manage_messages, instagram_business_manage_insights), encrypted access_token. Direct connection through the Instagram account (Business Login).
Facebook user ID, public profile name and picture, email address (if you allow it), list of your Pages and their IDs, scopes (public_profile, email, pages_show_list, pages_read_engagement, pages_manage_posts, business_management), access_token and Page token encrypted at rest.
Threads Threads user ID, display name, scopes (threads_basic, threads_content_publish, threads_manage_insights, threads_manage_replies), encrypted access_token.
Others Same principle: ID, name, avatar, scopes, encrypted tokens.

We never read your private messages, DMs or private comments. We only collect what is strictly necessary for the features you enable.

2.3 Technical data

Server logs (IP, user agent, timestamps) kept for 30 days for security.
Authentication cookies (hub_token, passed to the services as auth_token), HttpOnly, Secure, SameSite=Strict.
No advertising tracking, no Google Analytics. Google Sign-In is only loaded after consent on the sign-in screen.

3. Why we use your data (purposes)

Purpose	GDPR legal basis	Retention
Provide access to the service and your spaces (hub, career, finance, social, etc.)	Performance of the contract	Until the account is deleted
Publish content to TikTok/Instagram/etc. at your explicit request	Consent (through OAuth)	Until the third-party account is disconnected
Read or send emails from the mailbox configured by the signed-in user	Performance of the contract / consent through configuration	Until the configuration is removed or deleted
Display the public statistics of your connected accounts	Consent	Same
Security (abuse detection, logs)	Legitimate interest	30 days
Billing (if you have a paid subscription)	Legal obligation	10 years (French Commercial Code)

4. Specific use of TikTok and Instagram data

By granting us access to your TikTok or Instagram account, you authorize MagAscii to:

Read the basic public information of your account (name, avatar, ID, profile link) so you can identify it in the interface.
Publish videos/posts on your behalf only when you explicitly click “Publish” in Social-Ops. No automatic posting without action on your part.
Read the list and public statistics of your own posts (views, likes, comments) to display them in your Social-Ops dashboard.

TikTok data we receive and why

MagAscii uses TikTok Login Kit, the Content Posting API, Share Kit (in the MagAscii Android app), Webhooks and the Data Portability API. Our use complies with the TikTok for Developers Terms of Service.

Scope / product	Data received	Why (purpose)
`user.info.basic`	Open ID, display name, avatar	Identify the connected TikTok account in your dashboard
`user.info.profile`	Username, bio, profile link, verified status	Display your connected profile and link to it
`user.info.stats`	Follower, following, like and video counts	Show your account statistics in your dashboard
`video.list`	Your own public videos (title, cover image, link, views, likes, comments, shares)	Show your TikTok videos and their performance in your dashboard
`video.upload`	Ability to send a video to your TikTok inbox as a draft	“Send to TikTok inbox”, only when you click it
`video.publish`	Your posting settings (creator info) and the ability to post a video to your profile	“Post to TikTok”, only when you click it, with the visibility and interaction settings you choose
`portability.postsandprofile.single`	A one-time export of your TikTok posts and profile data	“Export my TikTok data”, only when you request it, after a separate TikTok consent. The file is streamed to you and not stored by MagAscii
Share Kit	The result of the share (share ID, success or error)	“Share to TikTok app” in the MagAscii Android app: your video is handed to the TikTok app on your phone, where you finish and post it
Webhooks	Event notifications from TikTok (authorization removed, share result, export ready)	Delete your data when you remove MagAscii from TikTok; update the status of your shares and exports

When you click Disconnect, MagAscii revokes its access at TikTok (token revocation) and deletes your TikTok tokens and related data. If you remove MagAscii from your TikTok settings, TikTok notifies us (authorization.removed) and we delete the same data.

We never use your TikTok/Instagram data to:

Train AI models.
Sell it or share it with advertisers / data brokers.
Publish content without your explicit consent.
Access your DMs, contacts or private content.

In accordance with the TikTok for Developers Terms of Service, we delete TikTok data as soon as you revoke access or delete your MagAscii account.

4a. Meta platforms — Facebook Login, Instagram and Threads

MagAscii uses the Meta platforms (Facebook Login, Instagram Graph API and Threads API) so that, from the Social-Ops module, you can connect your own professional accounts and publish your content to them. Our use of these APIs complies with the Meta Platform Terms and the Meta Developer Policies.

Data we receive from Meta and why

Permission / scope	Data received	Why (purpose)
`public_profile`, `email`	Name, profile picture, Facebook ID, email	Create/identify your session and show your connected account in the interface
`pages_show_list`	List of your Facebook Pages and their IDs	Let you choose the Page to publish to
`pages_read_engagement`	Public statistics of your Pages/posts	Display your statistics in the Social-Ops dashboard
`pages_manage_posts`	Ability to publish to your Page	Publish a post only when you click “Publish”
`instagram_business_basic`	ID, name and avatar of your Instagram Business/Creator account	Identify the connected Instagram account in the interface
`instagram_business_content_publish`	Ability to publish media/reels/stories	Publish to Instagram at your explicit request
`instagram_business_manage_comments`	Public comments on your posts	Human-in-the-loop engagement module: you approve every reply, nothing is automatic
`instagram_business_manage_messages`	Direct messages (DM) of your professional account	Manage messages from the dashboard, replies approved by you — never sent automatically
`instagram_business_manage_insights`	Statistics of your posts	Display views / reach / interactions in your dashboard
`threads_basic`	ID and name of your Threads account	Identify the connected Threads account
`threads_content_publish`	Ability to publish a Thread	Publish to Threads at your explicit request
`threads_manage_replies`, `threads_manage_insights`	Public replies and statistics	Display statistics and prepare replies that you approve

What we do — and never do — with Meta data

✅ We publish to Facebook, Instagram or Threads only after an explicit action from you (click on “Publish”). No automatic posting, liking or following.
✅ We display the public statistics of your accounts and posts.
✅ We store access tokens encrypted at rest (AES-256-GCM) and send them exclusively to Meta’s official APIs, over HTTPS.
⛔ We do not train any AI model with your Meta data.
⛔ We do not sell or share your Meta data with advertisers or data brokers.
⛔ We do not access your private messages (DM/Messenger) or private content, and we do not store any content of your followers beyond what is strictly necessary for an action you trigger.

Deletion and revocation of Meta data

You keep full control at all times:

Disconnect in MagAscii: Social-Ops → Accounts → “Disconnect”. The revocation is propagated to Meta and the encrypted token is immediately destroyed on our side.
Remove the app on Meta’s side: Settings → Security → Apps and websites on Facebook/Instagram. Meta then notifies us through our data deletion callback, and we erase all associated data.
Dedicated request: see our Data deletion instructions page or write to david.giraudeau@yahoo.fr.

In all cases, data from Meta platforms is deleted from our systems within 30 days at most.

5. Sharing with third parties

Your data is not sold. It may only be shared with:

Technical subcontractors: hosting provider (OVH / Scaleway, EU), Stripe (if you pay for a subscription), Anthropic/Nous Research/OpenAI (only the texts you explicitly send to Hermès, our AI assistant).
Third-party platforms you connect (TikTok, Facebook, Instagram, Threads, LinkedIn…) through their official APIs, only when you use them.
Legal authorities upon a valid court order.

6. Retention period

We keep your data as long as your account is active. Upon deletion:

Personal data, OAuth tokens, content and positions are erased within 30 days.
Security logs are purged within 30 days at most.
Invoices and accounting records are kept for 10 years (French legal obligation).

7. Security

TLS 1.3 encrypted transport everywhere (HTTPS through Caddy).
Application gateway and browser bridge end-to-end encrypted for the sensitive flows concerned.
OAuth tokens encrypted at rest (AES-256-GCM).
Passwords hashed with scrypt and a dedicated salt.
Extension ↔ server bridge end-to-end encrypted (ECDH P-256 + AES-GCM).
Servers hosted in the European Union.

8. Your rights (GDPR)

At any time, you can:

Access all your data through the interface (dashboard → Profile → Export).
Rectify or update this data.
Delete your account and all associated data (dashboard → Profile → Delete account). See also the dedicated Data deletion page.
Revoke OAuth access of a third-party platform at any time in Social-Ops → Accounts → Disconnect. The revocation is propagated to the third-party platform (TikTok, Instagram…).
Port your data (full JSON export).
Withdraw your consent without affecting the lawfulness of past processing.
File a complaint with the CNIL, the French data protection authority (cnil.fr).

Requests by email: david.giraudeau@ecole2600.com (answer within 30 days at most).

9. Cookies

We use cookies that are strictly necessary for authentication (hub_token, passed to the services as auth_token). Optional third-party services, in particular Google Sign-In, are blocked until you consent. If you refuse, sign-in with username and password remains available.

10. Minors

MagAscii is not intended for people under 15. We do not knowingly collect data from minors. If you believe a minor has created an account, contact us for immediate deletion.

11. Changes

This policy may change. Significant changes are notified by email 30 days before they apply.

12. Contact

For any question: david.giraudeau@ecole2600.com

◂ Retour à MagAscii

Politique de confidentialité

Dernière mise à jour : 6 octobre 2026 · En vigueur à partir de cette date · English version

MagAscii (« nous », « notre », « la plateforme ») respecte ta vie privée. Ce document explique quelles données nous collectons, pourquoi, comment nous les utilisons, et quels droits tu as dessus. La plateforme est exploitée par David Giraudeau (contact : david.giraudeau@ecole2600.com) et hébergée en France (UE). Elle est conforme au RGPD.

1. Responsable du traitement

Responsable : David Giraudeau — auto-entrepreneur — david.giraudeau@ecole2600.com — Site : https://magascii.com.

2. Données que nous collectons

2.1 Données fournies par l'utilisateur

Compte : email, mot de passe hashé avec scrypt et sel dédié, nom/prénom optionnels.
Profil professionnel : CV, lettres de motivation, compétences, expériences, portfolio, SIRET, régime fiscal (si tu utilises Profil-Ops ou Finance-Ops).
Données financières : factures, clients, déclarations URSSAF, impôts, positions bourse/crypto (Finance-Ops).
Contenu social : tokens d'accès OAuth des plateformes tierces que tu connectes (TikTok, Instagram, LinkedIn, Facebook, Twitter/X, YouTube), brouillons de publications, planification (Social-Ops).
Boîte mail : paramètres IMAP/SMTP que tu ajoutes dans Profil-Ops, messages lus à ta demande, brouillons ou messages envoyés via Hermes-Ops.

2.2 Données des plateformes tierces (OAuth)

Quand tu connectes un compte TikTok, Instagram ou autre via OAuth, nous recevons et stockons uniquement :

TikTok open ID, nom d'affichage, avatar, pseudo, bio, lien du profil et statut vérifié, statistiques du compte (abonnés, abonnements, likes, nombre de vidéos), liste de tes propres vidéos publiques (titre, miniature, lien, vues, likes, commentaires, partages), scopes autorisés (user.info.basic, user.info.profile, user.info.stats, video.list, video.upload, video.publish et, seulement si tu demandes un export, portability.postsandprofile.single), statut des vidéos que tu envoies à TikTok, access_token et refresh_token chiffrés au repos.
Instagram ID utilisateur Business/Creator, nom d'affichage, scopes (instagram_business_basic, instagram_business_content_publish, instagram_business_manage_comments, instagram_business_manage_messages, instagram_business_manage_insights), access_token chiffré. Connexion directe via le compte Instagram (Business Login).
Facebook ID utilisateur, nom et photo de profil public, adresse email (si tu l'autorises), liste de tes Pages et leur identifiant, scopes (public_profile, email, pages_show_list, pages_read_engagement, pages_manage_posts, business_management), access_token et token de Page chiffrés au repos.
Threads ID utilisateur Threads, nom d'affichage, scopes (threads_basic, threads_content_publish, threads_manage_insights, threads_manage_replies), access_token chiffré.
Autres Même principe : identifiant, nom, avatar, scopes, tokens chiffrés.

Nous ne lisons jamais tes messages privés, DMs, ni commentaires privés. Nous ne collectons que ce qui est strictement nécessaire aux fonctionnalités que tu actives.

2.3 Données techniques

Logs serveur (IP, user-agent, timestamps) conservés 30 jours pour la sécurité.
Cookies d'authentification (hub_token, transmis aux services comme auth_token) HttpOnly, Secure, SameSite=Strict.
Pas de tracking publicitaire, pas d'Analytics Google. Google Sign-In n'est chargé qu'après consentement depuis l'écran de connexion.

3. Pourquoi nous utilisons tes données (finalités)

Finalité	Base légale RGPD	Durée
Fournir l'accès au service et à tes espaces (hub, career, finance, social, etc.)	Exécution du contrat	Jusqu'à suppression du compte
Publier/planifier du contenu sur TikTok/Instagram/etc. à ta demande explicite	Consentement (via OAuth)	Jusqu'à déconnexion du compte tiers
Lire ou envoyer des emails depuis la boîte configurée par l'utilisateur connecté	Exécution du contrat / consentement par configuration	Jusqu'à suppression ou retrait de la configuration
Afficher les statistiques publiques de tes comptes connectés	Consentement	Idem
Sécurité (détection abus, logs)	Intérêt légitime	30 jours
Facturation (si abonnement payant)	Obligation légale	10 ans (Code de commerce FR)

4. Utilisation spécifique des données TikTok et Instagram

En nous accordant l'accès à ton compte TikTok ou Instagram, tu autorises MagAscii à :

Lire les informations publiques de base de ton compte (nom, avatar, ID, lien du profil) pour te permettre de l'identifier dans l'interface.
Publier des vidéos/posts en ton nom uniquement quand tu cliques explicitement sur « Publier » dans Social-Ops. Aucune publication automatique sans action de ta part.
Lire la liste et les statistiques publiques de tes propres publications (vues, likes, commentaires) pour les afficher dans ton dashboard Social-Ops.

Données TikTok reçues et pourquoi

MagAscii utilise Login Kit, la Content Posting API, Share Kit (dans l'app Android MagAscii), les Webhooks et la Data Portability API de TikTok, conformément aux Terms of Service TikTok for Developers.

Scope / produit	Donnée reçue	Pourquoi (finalité)
`user.info.basic`	Open ID, nom d'affichage, avatar	Identifier le compte TikTok connecté dans ton dashboard
`user.info.profile`	Pseudo, bio, lien du profil, statut vérifié	Afficher ton profil connecté et y renvoyer
`user.info.stats`	Nombre d'abonnés, d'abonnements, de likes et de vidéos	Afficher les statistiques de ton compte dans ton dashboard
`video.list`	Tes propres vidéos publiques (titre, miniature, lien, vues, likes, commentaires, partages)	Afficher tes vidéos TikTok et leurs performances dans ton dashboard
`video.upload`	Envoi d'une vidéo en brouillon dans ta boîte de réception TikTok	« Envoyer dans l'inbox TikTok », uniquement quand tu cliques
`video.publish`	Tes réglages de publication (creator info) et la publication d'une vidéo sur ton profil	« Publier sur TikTok », uniquement quand tu cliques, avec la visibilité et les interactions que tu choisis
`portability.postsandprofile.single`	Un export ponctuel de tes publications et de ton profil TikTok	« Exporter mes données TikTok », uniquement à ta demande, après un consentement TikTok séparé. Le fichier t'est transmis directement et n'est pas conservé par MagAscii
Share Kit	Le résultat du partage (identifiant, succès ou erreur)	« Partager dans l'app TikTok » depuis l'app Android MagAscii : ta vidéo est confiée à l'app TikTok de ton téléphone, où tu la finalises et la publies
Webhooks	Notifications de TikTok (autorisation retirée, résultat d'un partage, export prêt)	Effacer tes données quand tu retires MagAscii côté TikTok ; mettre à jour le statut de tes partages et exports

Quand tu cliques sur Déconnecter, MagAscii révoque son accès auprès de TikTok (révocation du token) et efface tes tokens et données TikTok. Si tu retires MagAscii depuis les réglages TikTok, TikTok nous prévient (authorization.removed) et nous effaçons les mêmes données.

Nous n'utilisons jamais tes données TikTok/Instagram pour :

Entraîner des modèles d'IA.
Vendre ou partager avec des annonceurs / data brokers.
Publier du contenu sans ton consentement explicite.
Accéder à tes DMs, contacts, ou contenu privé.

Conformément aux Terms of Service TikTok for Developers, nous supprimons les données TikTok dès que tu révoques l'accès ou supprimes ton compte MagAscii.

4 bis. Plateformes Meta — Facebook Login, Instagram et Threads

MagAscii utilise les plateformes Meta (Facebook Login, Instagram Graph API et Threads API) afin de te permettre, depuis le module Social-Ops, de connecter tes propres comptes professionnels et d'y publier ton contenu. Notre utilisation de ces API respecte les Conditions de la plateforme Meta (Meta Platform Terms) et les Politiques de développement Meta (Developer Policies).

Données que nous recevons de Meta et pourquoi

Permission / scope	Donnée reçue	Pourquoi (finalité)
`public_profile`, `email`	Nom, photo de profil, ID Facebook, email	Créer/identifier ta session et afficher ton compte connecté dans l'interface
`pages_show_list`	Liste de tes Pages Facebook et leur ID	Te laisser choisir la Page sur laquelle publier
`pages_read_engagement`	Statistiques publiques de tes Pages/publications	Afficher tes statistiques dans le dashboard Social-Ops
`pages_manage_posts`	Capacité de publier sur ta Page	Publier un post uniquement quand tu cliques sur « Publier »
`instagram_business_basic`	ID, nom et avatar de ton compte Instagram Business/Creator	Identifier le compte Instagram connecté dans l'interface
`instagram_business_content_publish`	Capacité de publier média/reels/stories	Publier sur Instagram à ta demande explicite
`instagram_business_manage_comments`	Commentaires publics sur tes publications	Module engagement humain-dans-la-boucle : tu valides chaque réponse, rien n'est automatique
`instagram_business_manage_messages`	Messages directs (DM) de ton compte professionnel	Gestion des messages depuis le dashboard, réponses validées par toi — jamais d'envoi automatique
`instagram_business_manage_insights`	Statistiques de tes publications	Afficher vues / portée / interactions dans ton dashboard
`threads_basic`	ID et nom de ton compte Threads	Identifier le compte Threads connecté
`threads_content_publish`	Capacité de publier un Thread	Publier sur Threads à ta demande explicite
`threads_manage_replies`, `threads_manage_insights`	Réponses et statistiques publiques	Afficher les statistiques et préparer des réponses que tu valides

Ce que nous faisons — et ne faisons jamais — avec les données Meta

✅ Nous publions sur Facebook, Instagram ou Threads uniquement après une action explicite de ta part (clic sur « Publier »). Aucune publication, aucun like, aucun follow automatique.
✅ Nous affichons les statistiques publiques de tes comptes et publications.
✅ Nous stockons les tokens d'accès chiffrés au repos (AES-256-GCM) et les transmettons exclusivement aux API officielles de Meta, via HTTPS.
⛔ Nous n'entraînons aucun modèle d'IA avec tes données Meta.
⛔ Nous ne vendons ni ne partageons tes données Meta avec des annonceurs ou des data brokers.
⛔ Nous n'accédons pas à tes messages privés (DM/Messenger) ni à du contenu privé, et nous ne stockons aucun contenu de tes abonnés au-delà de ce qui est strictement nécessaire à une action que tu déclenches.

Suppression et révocation des données Meta

Tu gardes le contrôle total à tout moment :

Déconnecter dans MagAscii : Social-Ops → Comptes → « Déconnecter ». La révocation est propagée à Meta et le token chiffré est immédiatement détruit chez nous.
Retirer l'application côté Meta : Paramètres → Sécurité → Apps et sites web sur Facebook/Instagram. Meta nous notifie alors via notre callback de suppression de données, et nous effaçons toutes les données associées.
Demande dédiée : voir notre page Instructions de suppression des données ou écris à david.giraudeau@yahoo.fr.

Dans tous les cas, les données issues des plateformes Meta sont supprimées de nos systèmes sous 30 jours maximum.

5. Partage avec des tiers

Tes données ne sont pas vendues. Elles peuvent être partagées uniquement avec :

Sous-traitants techniques : hébergeur (OVH / Scaleway, UE), Stripe (si tu paies un abonnement), Anthropic/Nous Research/OpenAI (uniquement les textes que tu envoies explicitement à Hermès, notre assistant IA).
Plateformes tierces que tu connectes (TikTok, Facebook, Instagram, Threads, LinkedIn…) via leurs API officielles, uniquement quand tu les utilises.
Autorités légales sur réquisition judiciaire valide.

6. Durée de conservation

Nous conservons tes données aussi longtemps que ton compte est actif. À la suppression :

Les données personnelles, tokens OAuth, contenus et positions sont effacés sous 30 jours.
Les logs de sécurité sont purgés sous 30 jours maximum.
Les factures et pièces comptables sont conservées 10 ans (obligation légale française).

7. Sécurité

Transport chiffré TLS 1.3 partout (HTTPS via Caddy).
Gateway applicatif et bridge navigateur chiffrés de bout en bout pour les flux sensibles concernés.
Tokens OAuth chiffrés au repos (AES-256-GCM).
Mots de passe hashés avec scrypt et sel dédié.
Bridge extension ↔ serveur en chiffrement de bout en bout (ECDH P-256 + AES-GCM).
Serveurs hébergés dans l'Union Européenne.

8. Tes droits (RGPD)

Tu peux à tout moment :

Accéder à toutes tes données via l'interface (dashboard → Profil → Export).
Rectifier ou mettre à jour ces données.
Supprimer ton compte et toutes les données associées (dashboard → Profil → Supprimer le compte). Voir aussi la page dédiée Suppression des données.
Révoquer l'accès OAuth d'une plateforme tierce à tout moment dans Social-Ops → Comptes → Déconnecter. La révocation est propagée à la plateforme tierce (TikTok, Instagram…).
Porter tes données (export JSON complet).
Retirer ton consentement sans que cela affecte la licéité du traitement passé.
Introduire une réclamation auprès de la CNIL (cnil.fr).

Demande par email : david.giraudeau@ecole2600.com (réponse sous 30 jours max).

9. Cookies

Nous utilisons des cookies strictement nécessaires à l'authentification (hub_token, transmis aux services comme auth_token). Les services tiers optionnels, notamment Google Sign-In, sont bloqués jusqu'au consentement. Si l'utilisateur refuse, la connexion par identifiant et mot de passe reste disponible.

10. Mineurs

MagAscii n'est pas destiné aux moins de 15 ans. Nous ne collectons pas sciemment de données de mineurs. Si tu penses qu'un mineur a créé un compte, contacte-nous pour suppression immédiate.

11. Modifications

Cette politique peut évoluer. Les modifications importantes sont notifiées par email 30 jours avant application.

12. Contact

Pour toute question : david.giraudeau@ecole2600.com

Conditions d'utilisation · Suppression des données · Mentions légales · Accueil