1. Who we are

FoReLLISTS is an internal application for managing and publishing content on social networks (LinkedIn, Bluesky) and for running a calendar of scientific events, developed for a research team at the University of Poitiers (Université de Poitiers, France). The application is available at https://forellists.vercel.app.

Data controller: the FoReLLISTS team, University of Poitiers.
Contact: hugo.semilly@univ-poitiers.fr

2. Data we collect

Authenticated users (team members)

• Email address and username (via Supabase Auth)
• Role in the application (editor, validator, administrator)
• Accessibility preferences (theme, reading mode)
• LinkedIn and Bluesky OAuth access tokens (stored encrypted in the application vault)
• Content of posts (text, images) created or approved by the member
• Technical error logs (via Sentry, pseudonymised)

Visitors of the public calendar and event suggestions

• No data is collected for simply viewing the calendar
• When suggesting an event: name and email address of the organiser, and the title, date and description of the event (voluntary form)

3. Purposes and legal bases

4. Storage and hosting

Data is stored with:

• Supabase (database, authentication, image storage) — servers in the European Union.
• Vercel (application hosting) — CDG1 region, Paris, France.
• Sentry (error logs) — pseudonymised data, SOC 2 compliant.

OAuth tokens (LinkedIn, Bluesky) are stored encrypted in the Supabase database and are only used for the API calls required to publish.

5. Sharing with third parties

We do not sell or rent your data. Data is shared only with the processors required to run the application:

• LinkedIn — to publish content through the Community Management API
• Bluesky / AT Protocol — to publish content
• Supabase — database and authentication
• Vercel — hosting and CDN
• Sentry — error monitoring

No personal data is passed on to third parties for advertising or commercial purposes.

6. Retention periods

• Member accounts: until the account is deleted or the tool is no longer used
• Posts and events: kept indefinitely as an internal archive
• Event suggestions: kept after they have been processed (accepted or rejected), including the name and email address of the person who suggested them, for internal follow-up; erased on request (see section 7)
• Sentry logs: rolling 90 days
• OAuth tokens: until revoked or expired

7. Your rights (GDPR)

Under the General Data Protection Regulation (GDPR), you have the following rights:

• Right of access: obtain a copy of the data concerning you
• Right to rectification: correct inaccurate data
• Right to erasure: request the deletion of your account and your data
• Right to object: object to certain processing
• Right to data portability: receive your data in a structured format
• Withdrawal of consent: revoke your LinkedIn or Bluesky OAuth access at any time

To exercise these rights, contact us at: hugo.semilly@univ-poitiers.fr. We will reply within 30 days at the latest.

You may also lodge a complaint with the CNIL (Commission Nationale de l’Informatique et des Libertés), the French data protection authority.

8. Cookies and trackers

The application only uses cookies that are strictly necessary for the authentication session (Supabase Auth). No advertising or third-party tracking cookies are used.

9. Security

Access to the application requires authentication. Two-factor authentication (MFA) is available to all members; an account that has enabled it must enter a code at every login. Communications are encrypted over HTTPS. Sensitive tokens are stored encrypted. The application applies the recommended HTTP security headers (HSTS, CSP, X-Frame-Options).

1. Qui sommes-nous ?

FoReLLISTS est une application interne de gestion et de publication de contenus sur les réseaux sociaux (LinkedIn, Bluesky) et d’animation de calendrier d’événements scientifiques, développée pour une équipe de recherche de l’Université de Poitiers. L’application est accessible à l’adresse https://forellists.vercel.app.

Responsable du traitement : équipe FoReLLISTS, Université de Poitiers.
Contact : hugo.semilly@univ-poitiers.fr

2. Données collectées

Utilisateurs authentifiés (membres de l’équipe)

• Adresse e-mail et identifiant (via Supabase Auth)
• Rôle dans l’application (rédacteur, validateur, administrateur)
• Préférences d’accessibilité (thème, mode lecture)
• Jetons d’accès OAuth LinkedIn et Bluesky (stockés chiffrés dans le coffre-fort applicatif)
• Contenu des publications (texte, images) créées ou validées par le membre
• Journaux d’erreurs techniques (via Sentry, pseudonymisés)

Visiteurs du calendrier public et suggestions d’événements

• Aucune donnée collectée pour la simple consultation du calendrier
• En cas de suggestion d’événement : nom, adresse e-mail de l’organisateur, titre, date et description de l’événement (formulaire volontaire)

3. Finalités et bases légales

4. Stockage et hébergement

Les données sont stockées :

• Supabase (base de données, authentification, stockage d’images) — serveurs dans l’Union européenne.
• Vercel (hébergement de l’application) — région CDG1, Paris, France.
• Sentry (journaux d’erreurs) — données pseudonymisées, conformité SOC 2.

Les jetons OAuth (LinkedIn, Bluesky) sont stockés chiffrés dans la base Supabase et ne transitent que lors des appels API nécessaires à la publication.

5. Partage avec des tiers

Nous ne vendons ni ne louons vos données. Les données sont partagées uniquement avec les sous-traitants nécessaires au fonctionnement de l’application :

• LinkedIn — pour la publication de contenus via l’API Community Management
• Bluesky / AT Protocol — pour la publication de contenus
• Supabase — base de données et authentification
• Vercel — hébergement et CDN
• Sentry — monitoring d’erreurs

Aucune donnée personnelle n’est transmise à des tiers à des fins publicitaires ou commerciales.

6. Durée de conservation

• Comptes membres : jusqu’à la suppression du compte ou la fin de l’usage de l’outil
• Publications et événements : conservation indéfinie à des fins d’archive interne
• Suggestions d’événements : conservées après leur traitement (acceptation ou refus), avec le nom et l’adresse e-mail de la personne qui propose, pour le suivi interne ; effacement sur demande (voir la section 7)
• Journaux Sentry : 90 jours glissants
• Jetons OAuth : jusqu’à révocation ou expiration

7. Vos droits (RGPD)

Conformément au Règlement Général sur la Protection des Données (RGPD), vous disposez des droits suivants :

• Droit d’accès : obtenir une copie des données vous concernant
• Droit de rectification : corriger des données inexactes
• Droit à l’effacement : demander la suppression de votre compte et de vos données
• Droit d’opposition : vous opposer à certains traitements
• Droit à la portabilité : recevoir vos données dans un format structuré
• Retrait du consentement : révoquer à tout moment vos accès OAuth LinkedIn ou Bluesky

Pour exercer ces droits, contactez-nous à : hugo.semilly@univ-poitiers.fr. Nous répondrons dans un délai maximum de 30 jours.

Vous pouvez également introduire une réclamation auprès de la CNIL (Commission Nationale de l’Informatique et des Libertés).

8. Cookies et traceurs

L’application utilise uniquement des cookies strictement nécessaires à la session d’authentification (Supabase Auth). Aucun cookie publicitaire ou de tracking tiers n’est utilisé.

9. Sécurité

L’accès à l’application nécessite une authentification. La double authentification (MFA) est proposée à tous les membres ; un compte qui l’a activée doit présenter un code à chaque connexion. Les communications sont chiffrées via HTTPS. Les jetons sensibles sont stockés chiffrés. L’application applique les en-têtes de sécurité HTTP recommandés (HSTS, CSP, X-Frame-Options).