Politique de confidentialité — Card Feed for WordPress
Dernière mise à jour : 22 septembre 2026
1. Objet
Cette politique explique quelles données traitent l’extension WordPress Card Feed for WordPress et l’application Meta qui lui est associée, pourquoi, pendant combien de temps, et comment les faire supprimer.
Elle concerne deux publics :
- les titulaires de comptes Instagram professionnels (Business ou Créateur) qui connectent leur compte à un site équipé de l’extension ;
- les visiteurs des sites qui affichent ces publications.
2. Éditeur
L’extension et l’application Meta « Card Feed for WordPress » sont éditées par :
DIGEEK
SAS / 750 379 133 R.C.S. Toulouse
SIRET : 75037913300036
16 RUE DU LAC BLEU, 31240 L’UNION
Contact : dpo@digeek.fr — site : digeek.fr
3. L’essentiel en quelques lignes
- L’extension est installée sur le site WordPress du titulaire du compte. C’est ce site qui interroge directement l’API Instagram.
- Aucune donnée ne transite par les serveurs de Digeek. Digeek ne reçoit ni le jeton d’accès, ni les publications, ni aucune information sur les visiteurs.
- L’extension demande une seule autorisation, en lecture seule : afficher le profil et les publications du compte connecté.
- Elle ne dépose aucun cookie et n’exécute aucun script de suivi sur le site public.
- Les données ne sont ni vendues, ni partagées, ni utilisées à des fins publicitaires, de profilage ou d’entraînement de modèles.
4. Qui est responsable de quoi
- Le titulaire du site qui installe l’extension et y connecte son compte Instagram décide d’afficher ses publications sur son site. Il est responsable de traitement au sens du Règlement général sur la protection des données (RGPD).
- Digeek édite le logiciel et l’application Meta. Dans le fonctionnement normal de l’extension, Digeek n’a accès à aucune donnée. Lorsque Digeek assure en plus l’installation, la maintenance ou l’hébergement du site pour le compte d’un client, il agit comme sous-traitant de ce client, dans le cadre d’un contrat conforme à l’article 28 du RGPD.
- Meta Platforms Ireland Limited reste responsable des traitements réalisés sur Instagram, régis par sa propre politique de confidentialité.
5. Données traitées
5.1 Données du compte Instagram connecté
Lors de la connexion, le titulaire autorise lui-même l’accès depuis Instagram. L’extension demande uniquement l’autorisation instagram_business_basic et récupère :
| Donnée | Utilisation |
|---|---|
| Identifiant et nom d’utilisateur du compte | Indiquer dans l’administration du site quel compte est connecté |
| Jeton d’accès (valable 60 jours) | Autoriser le site à lire les publications, sans jamais connaître le mot de passe du compte |
| Publications récentes : identifiant, légende, type de média, image ou miniature, lien vers la publication, date | Afficher les publications sous forme de cartes sur le site |
L’extension n’accède pas aux messages privés, aux commentaires, aux statistiques, à la liste des abonnés, et ne peut rien publier au nom du compte.
Les publications affichées peuvent contenir des données concernant des tiers (personnes visibles sur une photo, noms cités dans une légende). Il s’agit de contenus que le titulaire a lui-même rendus publics sur Instagram ; il reste responsable de leur contenu.
5.2 Données techniques
- L’identifiant de l’utilisateur WordPress qui lance la connexion, conservé 15 minutes, pour vérifier que le retour d’Instagram correspond bien à sa demande (protection contre la falsification de requête).
- Le dernier message d’erreur renvoyé par l’API Instagram, pour le diagnostic. Il ne contient pas de données personnelles.
5.3 Visiteurs du site
L’extension ne collecte aucune donnée sur les visiteurs : pas de cookie, pas de traceur, pas de script exécuté dans le navigateur.
Par défaut, les images des publications sont copiées sur le serveur du site et servies depuis celui-ci : le navigateur du visiteur ne contacte alors pas les serveurs de Meta. Si le titulaire désactive cette option, ou pendant les quelques minutes nécessaires à la copie d’une nouvelle publication, les images sont chargées depuis les serveurs d’Instagram. L’adresse IP du visiteur et les informations techniques de son navigateur sont alors transmises à Meta, comme pour toute image hébergée par un tiers.
Un clic sur une publication ouvre Instagram : la politique de confidentialité de Meta s’applique dès lors.
6. Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Afficher les publications récentes du compte sur le site de son titulaire | Exécution du service demandé par le titulaire, qui autorise lui-même l’accès depuis Instagram (art. 6.1.b RGPD) |
| Sécuriser la connexion et diagnostiquer les erreurs | Intérêt légitime à assurer la sécurité et le bon fonctionnement du service (art. 6.1.f RGPD) |
7. Lieu de stockage et durées de conservation
Toutes les données sont stockées sur le serveur du site qui utilise l’extension, jamais chez Digeek.
| Donnée | Emplacement | Durée de conservation |
|---|---|---|
| Jeton d’accès, identifiant et nom du compte | Base de données WordPress | Jusqu’à la déconnexion du compte ou la désinstallation. Le jeton expire au bout de 60 jours ; il est renouvelé automatiquement tant que le compte reste connecté. |
| Publications mises en cache | Base de données WordPress | Durée réglable par le titulaire, de 5 minutes à 24 heures (60 minutes par défaut) |
| Copie de secours des dernières publications | Base de données WordPress | Tant que le compte est connecté, mise à jour régulièrement avec les dernières publications. Elle permet de conserver l’affichage si l’API Instagram est momentanément indisponible. |
| Images copiées | Dossier wp-content/uploads/instagram-cards/ | Supprimées après 90 jours sans affichage, et immédiatement en cas de déconnexion, de vidage du cache ou de désinstallation |
| Identifiant de l’utilisateur WordPress lors de la connexion | Base de données WordPress | 15 minutes |
La désinstallation de l’extension supprime l’ensemble de ces données.
8. Destinataires
- Les administrateurs du site, seuls à avoir accès aux réglages de l’extension.
- L’hébergeur du site, en tant que prestataire technique de son titulaire.
- Meta, uniquement en tant que source des données : le site lui adresse des requêtes pour lire les publications.
Digeek n’est destinataire d’aucune donnée, sauf s’il assure la maintenance du site (voir section 4). En tant qu’éditeur de l’application, Digeek peut toutefois voir dans son espace développeur Meta des informations limitées fournies par Meta, comme la liste des comptes invités à tester l’application ou des statistiques d’utilisation agrégées.
9. Transferts hors de l’Union européenne
L’extension n’effectue elle-même aucun transfert : les données restent sur le serveur choisi par le titulaire du site. Les échanges avec l’API Instagram se font avec Meta, qui peut transférer des données hors de l’Union européenne selon les garanties décrites dans sa propre politique de confidentialité.
10. Sécurité
- Tous les échanges avec Instagram se font en HTTPS.
- Le jeton d’accès et les identifiants de l’application sont conservés côté serveur. Ils n’apparaissent jamais dans les pages publiques ni dans leur code source, et seuls les administrateurs du site peuvent accéder aux réglages.
- La clé secrète de l’application n’est jamais réaffichée dans l’administration une fois enregistrée.
- La connexion à Instagram est protégée par un jeton de sécurité à usage unique.
La sécurité générale du site (mises à jour de WordPress, des thèmes et des extensions, gestion des comptes administrateurs) relève de son titulaire.
11. Supprimer vos données
Vous pouvez faire supprimer vos données de trois façons, cumulables.
Depuis le site WordPress
Dans Réglages → Instagram Cards, le bouton « Déconnecter » supprime immédiatement le jeton d’accès, les publications en cache, la copie de secours et les images copiées. La désinstallation de l’extension supprime l’ensemble des données.
Depuis Instagram
Dans les paramètres d’Instagram, ouvrez la section « Applications et sites web » (sur le web : instagram.com/accounts/manage_access), sélectionnez l’application « [À COMPLÉTER : nom de l’application Meta] » et retirez-lui l’accès. Le jeton devient aussitôt inutilisable et le site ne peut plus lire de nouvelles publications.
Attention : les publications déjà affichées restent visibles sur le site tant que son titulaire n’a pas cliqué sur « Déconnecter » ou désinstallé l’extension. Pour les retirer, utilisez aussi la méthode précédente.
En contactant Digeek
Écrivez à dpo@digeek.fr en précisant le nom de votre compte Instagram et, si vous le connaissez, le site concerné. Digeek ne détenant pas vos données, nous vous indiquerons comment joindre le titulaire du site. Lorsque nous assurons la maintenance de ce site, nous procéderons nous-mêmes à la suppression. Nous répondons dans un délai d’un mois.
12. Vos droits
Conformément au RGPD et à la loi Informatique et Libertés, vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité sur vos données.
Ces droits s’exercent auprès du titulaire du site, responsable de traitement. Vous pouvez aussi écrire à Digeek, qui transmettra votre demande. Si vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL.
13. Modifications
Cette politique peut évoluer, notamment si l’extension ou les conditions de Meta changent. La date de dernière mise à jour figure en haut de la page. En cas de modification importante, les titulaires de comptes connectés en seront informés.
14. Contact
Pour toute question sur cette politique : contact@digeek.fr