Politique de confidentialité – Bi-way/ChatApp

Dernière mise à jour : 4 octobre 2026

La présente politique décrit les traitements de données à caractère personnel mis en œuvre dans le cadre de l'application mobile Bi-way pour Android (identifiant com.pocketcom.biway.chatapp), éditée par la société POCKET COMMUNICATION.

Elle couvre également la connexion de comptes Facebook et Instagram à la plateforme Bi-way (v3.bi-way.fr), qui permet de publier sur ces réseaux et d'en relever les résultats (section 4.7). Les applications Bi-way enregistrées auprès de Meta renvoient à la présente page.

Elle complète la politique RGPD applicable aux destinataires des messages, qui concerne les personnes recevant les messages diffusés via Bi-way. La présente politique s'adresse, elle, aux utilisateurs professionnels de l'application.

1. Éditeur et responsable de traitement

• POCKET COMMUNICATION
• 494 rue Léon Blum — 34000 Montpellier, France
• Délégué à la protection des données (DPO) : dpo@pocketcommunication.com
• Courrier : POCKET COMMUNICATION, Délégué à la protection des données, 494 rue Léon Blum — 34000 Montpellier

2. À qui s'adressent l'application et la plateforme

L'application Bi-way est un outil professionnel. Elle est destinée aux collaborateurs des organisations clientes de POCKET COMMUNICATION, qui l'utilisent pour consulter et poursuivre, depuis leur mobile, les conversations engagées avec leurs propres contacts par RCS, SMS ou e-mail.

Les mêmes collaborateurs peuvent, depuis la plateforme web Bi-way, connecter les pages Facebook et les comptes Instagram professionnels de leur organisation pour y programmer des publications.

L'application et la plateforme ne sont pas destinées aux mineurs et ne sont pas conçues pour un usage grand public.

3. Rôles respectifs (responsable de traitement / sous-traitant)

Deux situations doivent être distinguées :

• POCKET COMMUNICATION agit en tant que responsable de traitement pour les données strictement nécessaires au fonctionnement de l'application elle-même : compte utilisateur, authentification, données techniques de l'appareil, notifications push, rapports d'incident et demandes d'assistance, ainsi que les jetons d'accès des comptes de réseaux sociaux connectés.
• POCKET COMMUNICATION agit en tant que sous-traitant pour le contenu des conversations, les données des contacts que l'organisation cliente traite via Bi-way, et les contenus qu'elle publie sur ses réseaux sociaux ainsi que leurs statistiques. L'organisation cliente en est le responsable de traitement : elle détermine les finalités, recueille les consentements nécessaires et répond aux demandes d'exercice de droits de ses propres contacts. Ces traitements sont encadrés par le contrat de sous-traitance conclu au titre de l'article 28 du RGPD.

4. Données traitées par l'application

4.1 Données de compte et d'authentification

• Identifiant de connexion et mot de passe, transmis de façon chiffrée (HTTPS) au service services.bi-way.fr lors de la connexion.
• Jetons de session (jeton d'accès et jeton de rafraîchissement), ainsi que l'identifiant de compte et de profil associés.

4.2 Contenu des conversations

• Messages émis et reçus (RCS, SMS, e-mail), pièces jointes et images associées.
• Coordonnées des contacts de l'organisation cliente consultées via la recherche de contacts.
• Statuts de remise et de lecture des messages.

4.3 Données techniques de l'appareil et notifications push

Lorsque l'utilisateur accepte de recevoir des notifications, les données suivantes sont transmises aux serveurs Bi-way :

• le jeton de notification Firebase Cloud Messaging (FCM) attribué à l'installation ;
• un identifiant d'installation de l'application, généré par le système et réinitialisé en cas de désinstallation ;
• la marque et le modèle de l'appareil, le système d'exploitation et sa version, la version de l'application.

4.4 Rapports d'incident et de stabilité

L'application utilise Firebase Crashlytics pour détecter les plantages et les erreurs techniques. Sont alors transmis : le type et le message de l'erreur, la trace technique associée, le modèle d'appareil, la version du système et de l'application, ainsi que l'identifiant du compte connecté, afin de pouvoir rattacher un incident à un signalement.

4.5 Demandes d'assistance

Lorsque l'utilisateur envoie une demande via l'écran d'assistance, sont transmis l'objet et le message saisis, accompagnés automatiquement du contexte technique (version de l'application et de sa compilation, marque et modèle de l'appareil, plateforme, système et version).

4.6 Déclaration d'un agent conversationnel (chatbot)

Si l'utilisateur crée une demande d'enregistrement de chatbot, les informations saisies sont transmises à Bi-way puis aux opérateurs concernés : nom et description de l'agent, couleur, logo, bannière et visuel de présentation, coordonnées de contact renseignées, adresses des pages de politique de confidentialité et de conditions d'utilisation.

4.7 Connexion d'un compte Facebook ou Instagram

Lorsqu'un utilisateur connecte un compte Facebook ou Instagram à Bi-way, il est redirigé vers Facebook ou Instagram, qui lui demandent d'autoriser l'application Bi-way. Avec son accord, Meta transmet à Bi-way :

• un jeton d'accès, qui permet à Bi-way d'agir pour le compte de l'utilisateur dans la limite des autorisations accordées (section 6.2) ;
• l'identifiant et le nom du compte connecté (compte Facebook de l'utilisateur, ou compte Instagram professionnel) ;
• la liste des autorisations effectivement accordées.

Bi-way traite ensuite :

• la liste des pages Facebook gérées par l'utilisateur et des comptes Instagram professionnels qui leur sont liés (identifiant et nom), lue auprès de Meta à chaque fois qu'elle est nécessaire et non conservée ;
• les contenus publiés : texte, images et vidéos préparés dans Bi-way par l'organisation cliente ;
• l'identifiant et le lien de chaque publication, et, en cas d'échec, le motif renvoyé par le réseau ;
• les statistiques de chaque publication, sous forme de totaux : vues, portée, réactions ou « j'aime », nombre de commentaires, partages, enregistrements, clics, durée moyenne de visionnage d'une vidéo.

5. Ce que l'application ne fait pas

• Elle n'accède pas au répertoire de contacts du téléphone.
• Elle n'accède pas à la géolocalisation, à l'appareil photo, au microphone, ni aux SMS de l'appareil.
• Elle n'affiche aucune publicité et n'intègre aucune régie publicitaire.
• Elle n'effectue aucun suivi publicitaire ni profilage à des fins de marketing.
• Elle ne vend ni ne loue aucune donnée à des tiers.
• Elle ne met en œuvre aucune décision automatisée produisant des effets juridiques à l'égard des personnes.
• Bi-way ne collecte aucune donnée sur les personnes qui voient, aiment, partagent ou commentent les publications : seuls des totaux sont relevés, et le texte des commentaires n'est pas récupéré.
• Bi-way ne publie que ce que l'organisation cliente a préparé et programmé ; il ne publie rien de lui-même.

6. Autorisations demandées

6.1 Sur Android

• Accès à Internet — indispensable à la communication avec les serveurs Bi-way.
• Notifications — facultative, sollicitée uniquement pour signaler l'arrivée d'un nouveau message.

Aucune autre autorisation sensible n'est demandée par l'application.

6.2 Auprès de Facebook et Instagram

• Lister les pages et les comptes (pages_show_list, business_management, instagram_basic, instagram_business_basic) — proposer à l'utilisateur la page ou le compte sur lequel publier.
• Publier (pages_manage_posts, instagram_content_publish, instagram_business_content_publish) — mettre en ligne les publications programmées dans Bi-way.
• Lire les statistiques et les compteurs (pages_read_engagement, pages_read_user_content, read_insights, instagram_manage_insights, instagram_business_manage_insights) — restituer à l'organisation cliente les résultats de ses publications. pages_read_user_content sert uniquement à compter les commentaires d'une publication : leur texte et leurs auteurs ne sont pas récupérés.

L'utilisateur peut refuser une autorisation sur l'écran de Facebook ou d'Instagram : la fonction correspondante n'est alors pas disponible.

7. Destinataires et sous-traitants

L'accès aux données est limité aux personnels habilités de POCKET COMMUNICATION ainsi qu'aux prestataires dont le concours est nécessaire à la fourniture du service. La conformité au RGPD est précisée dans les relations contractuelles qui lient POCKET COMMUNICATION à ces prestataires.

• Google Ireland Ltd / Google LLC — Firebase Cloud Messaging (acheminement des notifications) et Firebase Crashlytics (rapports d'incident).
• Opérateurs et sous-opérateurs télécoms — diffusion des SMS et MMS.
• Jibe Mobile Inc. (filiale de Google) — acheminement des messages sur le canal RCS.
• Mailjet — routage des e-mails.
• GANDI — hébergement des pages de destination (landing pages).
• Meta Platforms Ireland Ltd — publication sur Facebook et Instagram, et relevé des statistiques, pour les comptes que l'utilisateur a connectés.

8. Transferts hors de l'Union européenne

Les données de l'application sont hébergées au sein de l'Union européenne. Les services Firebase (notifications et rapports d'incident) peuvent toutefois impliquer un transfert vers les États-Unis. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et par l'adhésion de Google au cadre de protection des données UE — États-Unis (EU-U.S. Data Privacy Framework).

Les contenus publiés sur Facebook et Instagram sont, par nature, transmis à Meta et soumis à ses propres conditions ; Meta Platforms Ireland Ltd peut les transférer vers les États-Unis dans le cadre de ce même dispositif.

9. Durées de conservation

• Données de compte — pendant toute la durée de la relation contractuelle, puis 3 ans à compter de son terme.
• Jetons de session — jusqu'à la déconnexion, la désinstallation de l'application ou leur expiration.
• Jeton de notification et données d'appareil — jusqu'à la désactivation des notifications, la déconnexion ou la désinstallation.
• Rapports d'incident — 90 jours (durée de conservation appliquée par Firebase Crashlytics).
• Demandes d'assistance — 3 ans à compter du dernier échange.
• Contenu des conversations — selon les durées définies par l'organisation cliente responsable de traitement, dans la limite de celles prévues au contrat.
• Jeton d'accès d'un réseau social, identifiant et nom du compte connecté — jusqu'à la déconnexion du compte dans Bi-way ; ils sont alors supprimés de nos serveurs.
• Identifiants, liens et statistiques des publications — avec la campagne à laquelle ils se rattachent, selon les durées prévues au contrat. Les statistiques cessent d'être relevées 28 jours après la publication.

10. Sécurité

POCKET COMMUNICATION protège vos informations à l'aide de mesures de sécurité physiques, électroniques et administratives. Les échanges entre l'application et les serveurs Bi-way sont systématiquement chiffrés (HTTPS/TLS). L'accès à l'application requiert une authentification, et les jetons de session sont conservés dans l'espace de stockage privé de l'application, inaccessible aux autres applications installées sur l'appareil.

11. Vos droits

Conformément au Règlement (UE) 2016/679 (RGPD) et à la loi « Informatique et Libertés », vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation du traitement, ainsi que d'un droit à la portabilité de vos données et d'un droit d'opposition pour les traitements fondés sur l'intérêt légitime.

Comment les exercer

Adressez votre demande au Délégué à la protection des données de POCKET COMMUNICATION :

• par e-mail : dpo@pocketcommunication.com
• par courrier : POCKET COMMUNICATION, Délégué à la protection des données, 494 rue Léon Blum — 34000 Montpellier

Il sera répondu dans un délai maximum d'un mois. Un justificatif d'identité pourra être demandé en cas de doute raisonnable sur l'identité du demandeur.

Suppression du compte et des données associées

Pour demander la suppression de votre compte utilisateur de l'application Bi-way et des données personnelles qui s'y rattachent, adressez une demande par e-mail à dpo@pocketcommunication.com en précisant votre identifiant de connexion et le nom de votre organisation. La suppression est effectuée dans un délai de 30 jours, sous réserve des données que POCKET COMMUNICATION est légalement tenue de conserver (obligations comptables et de preuve notamment) et de l'accord de l'organisation cliente titulaire du contrat.

La désinstallation de l'application efface immédiatement les données conservées sur l'appareil (jetons de session, préférences), mais n'entraîne pas à elle seule la suppression du compte côté serveur.

S'agissant des données de vos propres contacts et du contenu des conversations, les demandes doivent être adressées à l'organisation cliente responsable de traitement.

Suppression des données d'un compte Facebook ou Instagram

Pour retirer à Bi-way l'accès à un compte Facebook ou Instagram et supprimer les données correspondantes :

• Dans Bi-way : Réglages → Réseaux sociaux → Déconnecter sur le compte concerné. Le jeton d'accès, l'identifiant et le nom du compte sont aussitôt supprimés de nos serveurs ; pour un compte connecté via Facebook, l'autorisation est en outre retirée auprès de Facebook. Les publications programmées vers ce compte ne sont plus diffusées.
• Depuis Facebook : Paramètres et confidentialité → Paramètres → Intégrations professionnelles, puis retirer Bi-way.
• Depuis Instagram : Paramètres → Applications et sites web, puis supprimer Bi-way.

Un retrait depuis Facebook ou Instagram a le même effet qu'une déconnexion dans Bi-way : Meta nous en avertit, et le jeton, l'identifiant et le nom du compte sont aussitôt supprimés de nos serveurs. Pour obtenir en outre la suppression des identifiants et des statistiques des publications déjà faites, adressez une demande à dpo@pocketcommunication.com en précisant le nom de la page ou du compte et celui de votre organisation : elle est traitée dans un délai de 30 jours. Les publications elles-mêmes restent en ligne sur Facebook ou Instagram tant que vous ne les supprimez pas depuis ces réseaux.

12. Réclamation

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

13. Modification de la présente politique

La présente politique peut être mise à jour pour tenir compte de l'évolution de l'application, de la plateforme ou de la réglementation. La date de dernière mise à jour figure en tête de page. En cas de modification substantielle, les utilisateurs en seront informés au sein de l'application ou de la plateforme.

14. Contact

Pour toute question relative à la présente politique : dpo@pocketcommunication.com.