Ce que l'agent peut ou non faire sur vos comptes pub

Les outils de création Google Ads, et la plupart des autres outils de création, sont en dry_run par défaut. Le premier passage renvoie ce qui serait créé, avec le compte et les chiffres, et ne touche à rien.

Le passage réel est un second appel, explicite. Certains outils Google Analytics, Google Tag Manager et d'envoi de créations n'ont pas de simulation et s'appliquent dès le premier appel.

Avant toute écriture, les arguments sont vérifiés selon les règles de la plateforme. Une règle marquée block arrête l'appel et renvoie la raison.

Une règle marquée warn laisse passer l'appel et joint l'avertissement au résultat. Passer outre un blocage exige un indicateur explicite, et chaque dérogation est consignée.

Cette confirmation dépend du nom de l'outil.

Un appel réel à un outil dont le nom commence par delete_, remove_, pause_, disable_, revert_ ou archive_, à un outil update_ dont le nom contient budget, comme update_campaign_budget, ou à l'appel brut Google mutate est refusé s'il ne porte pas confirm_destructive ou confirm défini sur true.

Une simulation n'a pas besoin de confirmation. Un budget modifié via un outil de mise à jour générique, comme une mise à jour d'ensemble de publicités Meta ou de campagne LinkedIn, n'est pas couvert par la règle de nom.

Par ailleurs, quand ils peuvent lire le budget actuel, les outils Google Ads update_campaign_budget et Meta update_fb_campaign refusent une modification de budget réelle de plus de 50 pour cent si l'appel ne porte pas confirm_large_change.

La forme groupée d'une action est contrôlée de la même façon que la forme unitaire.

Dans une exécution de code ou un workflow enregistré, l'exécution est rattachée à un compte par plateforme.

Si une modification vise un autre compte, l'environnement d'exécution la refuse avant l'appel de l'API. L'erreur nomme les deux comptes pour que la personne puisse se rattacher volontairement à un autre.

Dans l'espace de travail, un budget quotidien au-dessus du plafond dérivé de votre Brand Brief est mis en file pour approbation au lieu d'être appliqué. Les plafonds sont décrits plus bas.

Dans l'espace de travail, l'interrupteur de la marque et la barrière de la plateforme sont lus sur le même chemin. Si l'un des deux dit stop, le changement devient une carte.

Les modifications en direct sont écrites, au mieux, dans un journal des modifications avec l'utilisateur, le compte, l'outil, un résumé des arguments et l'acteur.

Pour une plateforme autre que Google Ads, Meta, LinkedIn, Microsoft ou TikTok, le compte enregistré est celui qui est actif dans la session, et un changement n'est pas enregistré quand aucun compte n'est défini pour sa plateforme.

Les simulations ne sont pas consignées, car rien n'a changé. Vous pouvez le lire dans le produit ou interroger l'agent via get_operator_change_log, qui renvoie jusqu'à 100 lignes avec un résultat avant et après sur chacune.

Les cartes vivent sur le tableau des propositions de l'espace de travail.

Quand une carte est appliquée, le chemin du retour est enregistré sur la carte au même moment : pour un budget, une pause ou une reprise sur Google Ads ou Meta, c'est la valeur antérieure exacte, et cette annulation ne s'exécute que tant que le compte conserve la valeur définie par PaidSync.

L'annulation s'exécute comme sa propre carte, par les mêmes contrôles qu'une application, et laisse sa propre ligne d'audit.

L'exécuter deux fois n'a aucun effet supplémentaire. L'annulation d'une campagne créée expire après 7 jours. Quand une plateforme n'a pas d'inverse sûr, la carte le dit plutôt que de deviner.

Un changement qu'un agent applique seul dans l'espace de travail n'a ni carte ni bouton Annuler ; son inverse est conservé avec le contrôle de résultat, de sorte qu'une carte de retour arrière peut être créée si le changement dégrade les résultats.

Les changements faits depuis votre propre assistant via MCP sont consignés dans le journal des modifications mais n'ont pas d'annulation enregistrée.

Une carte passe de en attente à en cours d'exécution en une seule étape atomique. Deux personnes qui appuient en même temps produisent une seule écriture.

Une tâche quotidienne mesure chaque changement appliqué dans l'espace de travail à une campagne Google Ads sur les chiffres propres à cette campagne : dépense, conversions, CPA et ROAS des 7 jours précédant le changement comparés aux 7 jours suivants, chacun lu une fois les conversions tardives stabilisées, donc au plus tôt 11 jours après le changement.

Une installation de suivi des conversions est vérifiée 2 jours plus tard, la seule question étant de savoir si les conversions ont commencé à remonter.

Un changement sur une autre plateforme, ou qui ne nomme aucune campagne, est enregistré comme non mesuré.

Si le résultat s'est dégradé de $50 ou de 20 pour cent, le contrôle écrit une carte de retour arrière qu'une personne doit approuver.

Le retour arrière automatique n'a lieu que si la marque l'a explicitement activé, a activé l'auto-revert et a réglé le mode de coexistence sur auto, et seulement pour les changements que PaidSync a lui-même faits.

Un retour arrière ne déclenche jamais en cascade un retour arrière d'un retour arrière.

Votre Brand Brief fixe un plafond mensuel au total et par canal. PaidSync divise ce plafond par 30.4 pour obtenir un plafond quotidien.

Une écriture de budget au-dessus est mise en file pour votre approbation. Une écriture à 85 pour cent du plafond ou plus s'accompagne d'une alerte.

Le contrôle se base sur la présence d'un montant de budget dans les arguments, pas sur le nom de l'outil, donc un outil de réglage de budget Meta est repéré comme un outil Google.

Le nombre maximal d'actions par exécution est de 10 par défaut et plafonné à 100. Le budget maximal par action correspond par défaut à un jour de dépense d'un canal quand vous le laissez vide, si bien qu'un agent qui agit ne tourne jamais sans aucun plafond.

Une marque peut limiter les changements automatiques à 20 par exécution et 50 par jour au maximum. Le chemin automatique du garde-fou anti-gaspillage respecte aussi une liste d'outils autorisés par marque de 10 outils au plus, qui par défaut ne contient que la pause.

Les campagnes protégées ne sont jamais touchées, et le plafond de budget s'applique dans toutes les bandes qui agissent, y compris en automatique complet. Agir librement veut dire dans un cadre, pas sans cadre.

Les agents planifiés, les exécutions de croissance et le contrôle de résultat passent tous par le même exécuteur et la même barrière qu'une demande de chat, donc dans l'espace de travail il n'existe pas de second chemin avec moins de contrôles.

Les appels de votre propre assistant via MCP forment un chemin séparé, décrit dans le modèle d'approbation ci-dessus.

Vous connectez chaque plateforme publicitaire vous-même via l'écran OAuth propre à cette plateforme, sauf OpenAI Ads, que vous connectez avec une clé API, et l'accès agence Meta, qui utilise un jeton d'utilisateur système ; vous saisissez l'un ou l'autre dans PaidSync.

PaidSync ne demande jamais de mot de passe de plateforme. Déconnecter une plateforme depuis le tableau de bord supprime ses jetons.

Des clients comme Claude et ChatGPT se connectent à PaidSync avec OAuth 2.0 (enregistrement dynamique de client, PKCE) sur https://mcp.paidsync.ai/mcp.

Une clé API ne peut pas appliquer de changements à Google Ads, où seules les lectures et les simulations sont autorisées ; sur les autres plateformes, une clé API peut appliquer des changements, soumis aux mêmes contrôles qu'une session OAuth.

Les jetons et clés des plateformes publicitaires que vous connectez sont chiffrés au repos avec AES-256-GCM. Si vous apportez votre propre clé de modèle, elle est chiffrée avec AES-256-GCM sous une clé de chiffrement de clés distincte.

Chaque session est liée à un compte actif par plateforme.

Un outil appelé directement agit sur le compte qu'il nomme ou, s'il n'en nomme aucun, sur le compte actif, et dans une exécution de code le contrôle financier ci-dessus refuse une modification qui vise un autre compte.

Lecteur, éditeur, administrateur et propriétaire. Les lecteurs ne peuvent que lire. Les éditeurs et au-dessus peuvent approuver et annuler une carte, et la carte enregistre quel utilisateur l'a exécutée.

Les administrateurs et le propriétaire définissent les bandes d'autonomie qui exécutent seules. Une seule approbation d'un éditeur ou au-dessus exécute une carte ; il n'existe pas de chaîne d'approbation en plusieurs étapes à ce jour.

Un résumé quotidien par compte connecté : la date, l'identifiant du compte, la devise, et pour la journée la dépense, les impressions, les clics, les conversions et la valeur de conversion, conservés avec le nom du compte et, pour ses annonces récentes, leur nom, leur statut, leurs métriques et un lien vers la miniature.

Les listes de mots-clés, les textes d'annonces, les listes d'audiences et les données de customer match ne sont pas copiés dans ce stockage.

Quand vous utilisez le chat ou l'Operator, l'historique de conversation conserve vos instructions, les réponses et jusqu'à 4,000 caractères de chaque résultat utilisé pour répondre.

Quand du code s'exécute via PaidSync, depuis votre propre assistant ou un workflow enregistré, un enregistrement d'exécution conserve le code, les outils appelés et les 1,024 premiers caractères de son résultat.

Le journal des modifications conserve jusqu'à 600 caractères des arguments de chaque changement, ce qui, pour l'envoi d'une liste de clients, peut inclure les adresses e-mail, numéros de téléphone, noms, dates de naissance et codes postaux que vous avez fournis, et les envois de formulaires de leads ne sont lus depuis Meta que lorsque vous les demandez.

La liste complète figure à l'Annexe 1 de l'accord de traitement des données, et les autorisations sont sur la page de confidentialité.

Vous supprimez votre compte depuis Paramètres, sous Sécurité.

Vous êtes déconnecté aussitôt, les e-mails marketing s'arrêtent le jour même, et vous avez 30 jours pour changer d'avis en vous reconnectant et en choisissant Annuler la suppression.

Après 30 jours, la suppression automatique retire votre profil, vos marques avec leur profil et leur brief, jusqu'à 200 cartes d'approbation par marque, les jetons de plateformes connectées et l'enregistrement d'authentification, et l'abonnement est résilié.

Elle n'efface pas à elle seule l'historique de vos conversations de chat, le journal des modifications, les résumés quotidiens de vos comptes publicitaires, les rapports en cache, les enregistrements d'exécution de code, une clé de fournisseur de modèle que vous avez fournie ni les autres enregistrements conservés pour vos marques.

PaidSync les efface à la main dans les 30 jours suivant le moment où la suppression devient définitive, ou dans les 30 jours suivant une demande antérieure à support@paidsync.ai, qui peut aussi viser une seule marque.

Supprimer une marque dans l'espace de travail ne fait que l'archiver, et un lien de rapport partagé reste ouvert jusqu'à son expiration, jusqu'à ce que vous le révoquiez ou que PaidSync l' efface.

Les enregistrements des appels d'outils individuels sont conservés 7 ans après retrait de votre identifiant utilisateur, de votre adresse e-mail et de votre nom, le texte d'erreur qu'un appel échoué peut contenir est effacé avec les enregistrements ci-dessus, et Stripe conserve vos factures.

Les données supprimées peuvent subsister dans les sauvegardes et les copies archivées après cela.