Politique de confidentialité
Traduction fournie pour information : en cas de différence, la version anglaise prévaut. Lire la version anglaise.
Klymb Studio (« Klymb », « nous »), un service de KLYMB SAS, exploite klymbstudio.com, une plateforme où les marques et les agences mènent des campagnes UGC (contenus créés par des utilisateurs) avec des créateurs indépendants. Cette politique explique quelles données personnelles nous collectons, pourquoi, et quels sont vos droits. Elle s’applique aux marques, aux agences et aux créateurs qui utilisent la plateforme, ainsi qu’aux visiteurs de ce site.
Le responsable du traitement décrit ici est KLYMB SAS, éditeur de Klymb Studio, dont le siège social est situé 15 rue François Bardot, 90000 Belfort, France (SIREN 104 161 187 — voir les mentions légales). Vous pouvez nous joindre à [email protected].
1. Les données que nous collectons
Compte et profil
- Nom, adresse e-mail et mot de passe (conservé sous forme de hachage salé : nous ne voyons ni ne stockons jamais votre mot de passe en clair).
- Les informations sur l’espace et l’organisation que vous fournissez (nom de la société, secteur, membres de l’équipe que vous invitez).
- Pour les créateurs : pseudo, informations de profil, éléments de portfolio, date de naissance, les comptes sociaux qu’ils déclarent ou vérifient, et les informations fiscales nécessaires aux contrats et aux factures (pays, statut, adresse, numéros d’immatriculation et de TVA).
- Si vous vous inscrivez ou vous connectez avec Google, Google nous transmet votre nom, votre adresse e-mail et votre photo de profil. Nous ne les utilisons que pour créer et sécuriser votre compte. Nous ne demandons accès à aucune autre donnée Google, nous ne les vendons pas, et elles ne servent pas à la publicité.
Contenus des campagnes
- Briefs, scripts, messages et commentaires échangés sur la plateforme.
- Vidéos soumises par les créateurs pour revue, hébergées sur Cloudflare Stream.
Paiements
- Les paiements sont traités par Stripe. Nous ne voyons ni ne stockons jamais les numéros de carte ou les coordonnées bancaires complètes. Nous conservons les références que Stripe nous donne (identifiants de client, d’abonnement et de versement, montants, statuts) pour gérer les abonnements, les paiements par carte et les versements aux créateurs. Les créateurs sont intégrés par Stripe Connect, qui collecte directement les données de vérification d’identité (KYC) selon la politique de confidentialité de Stripe.
Données des réseaux sociaux
- Depuis le lien public de chaque vidéo de campagne publiée, nous lisons ses chiffres de performance (vues, likes, commentaires) et son auteur. Depuis le profil public d’un compte déclaré par un créateur, nous lisons son nombre d’abonnés et, lorsque le créateur vérifie ce compte, sa bio. Nous nous en servons pour montrer les performances de la campagne au créateur et à la marque ou à l’agence avec laquelle il travaille, pour calculer les paiements qui dépendent des vues, et pour vérifier qu’une vidéo ou un compte appartient bien au créateur.
- Si un créateur connecte un compte social (TikTok, Instagram, YouTube), nous lisons les mêmes données par l’API officielle de la plateforme, avec son autorisation.
- Nous ne publions rien pour le compte de quiconque, et nous n’accédons ni aux messages privés, ni aux listes de contacts, ni aux données personnelles des abonnés.
Données techniques
- Journaux de serveur standard (adresse IP, type de navigateur, horodatages) conservés pour la sécurité et le débogage.
- Dans l’application mobile, un identifiant d’appareil utilisé pour détecter les abus du parrainage.
2. Pourquoi nous les traitons (bases légales)
| Finalité | Base légale (RGPD) |
|---|---|
| Fournir la plateforme : comptes, campagnes, revue des vidéos, messagerie | Exécution d’un contrat (art. 6(1)(b)) |
| Abonnements, cartes de paiement enregistrées et versements aux créateurs | Exécution d’un contrat ; obligations légales (comptabilité, lutte contre la fraude) |
| Lire les chiffres publics des vidéos de campagne et des comptes déclarés, et calculer les paiements qui en dépendent | Exécution d’un contrat ; intérêt légitime |
| Lire un compte social par son API officielle | Consentement du créateur qui connecte le compte (art. 6(1)(a)), révocable à tout moment |
| Examiner des vues inhabituelles et détecter la fraude | Intérêt légitime (art. 6(1)(f)) |
| E-mails transactionnels (réinitialisation de mot de passe, invitations, confirmations de versement, rappels d’essai) | Exécution d’un contrat ; intérêt légitime |
| Sécurité, prévention des abus, intégrité du service | Intérêt légitime (art. 6(1)(f)) |
Nous ne vendons pas de données personnelles, nous ne diffusons pas de publicité de tiers, et nous n’utilisons pas vos données pour entraîner des modèles d’IA.
3. Où vivent vos données
Notre base de données est hébergée par Supabase dans l’Union européenne (AWS eu-west-3, Paris). Les vidéos et le site sont servis par Cloudflare. Les e-mails sont envoyés par Resend depuis une infrastructure située dans l’UE. Lorsqu’un sous-traitant transfère des données hors de l’UE/EEE, ces transferts reposent sur les clauses contractuelles types de la Commission européenne ou sur une décision d’adéquation.
4. Avec qui nous partageons des données
Seulement les sous-traitants nécessaires au fonctionnement du service :
| Sous-traitant | Rôle |
|---|---|
| Supabase | Base de données, authentification (UE, Paris) |
| Cloudflare | Hébergement, CDN, stockage et diffusion des vidéos (Stream) |
| Stripe | Abonnements, cartes de paiement enregistrées, paiements et versements aux créateurs (Connect) |
| Resend | E-mails transactionnels |
| Annuaire des entreprises (api.gouv.fr) | Vérifie un SIRET français saisi par un créateur dans le registre public des entreprises |
| ScrapeCreators | Lit les vues publiques, les profils publics et l’auteur d’un post |
| Supadata | Lit les vues publiques quand ScrapeCreators ne le peut pas, et le transcript des vidéos publiques enregistrées comme inspiration |
| Google (API Gemini) | Lit le texte affiché sur les vidéos publiques enregistrées comme inspiration |
| Pennylane | Reçoit les écritures comptables d’un espace, seulement quand cet espace le connecte |
Au sein de la plateforme, les données ne sont partagées qu’au besoin : une marque voit les créateurs qui travaillent sur ses campagnes et les chiffres de leurs vidéos de campagne ; une agence voit les espaces qu’elle gère ; un créateur voit ses propres campagnes, briefs et gains. L’isolation entre clients est assurée au niveau de la base de données (sécurité par ligne).
5. Réseaux sociaux (TikTok, Instagram, YouTube)
Lorsqu’un créateur connecte un compte, Klymb utilise les API officielles de TikTok, de Meta (Instagram Graph API) et de Google (YouTube Data API) pour lire les performances des vidéos de campagne qu’il publie.
- L’utilisation par Klymb des services API de YouTube est soumise aux règles de confidentialité de Google. Vous pouvez révoquer l’accès de Klymb à tout moment dans les paramètres de sécurité de Google.
- Vous pouvez révoquer l’accès à TikTok dans les réglages de votre application TikTok, et l’accès à Instagram dans les paramètres de votre compte Facebook/Instagram, ou simplement déconnecter l’intégration dans Klymb.
- Lorsque l’accès est révoqué, nous cessons immédiatement de collecter de nouvelles données ; les chiffres de campagne déjà collectés peuvent être conservés dans l’historique de la campagne.
6. Conservation
Tant que votre compte est ouvert, nous gardons ce qu’il vous montre. Lorsqu’un compte est fermé, nous effaçons ou remplaçons aussitôt ce qui vous y identifie : nom, adresse e-mail, mot de passe, profil, pseudo, photo, comptes sociaux, date de naissance, références bancaires, appareils et accès de connexion. L’espace d’une marque qui ferme est mis en pause et renommé.
Les données ci-dessous restent ensuite, pour la durée indiquée, parce que la loi l’impose ou parce que les droits d’une autre personne en dépendent :
| Données | Durée | Pourquoi |
|---|---|---|
| Factures, relevés de prestations, données de paiement et écritures comptables, avec l’identité légale qui y figure | 10 ans à compter de la clôture de l’exercice | Obligations comptables et fiscales (Code de commerce, art. L123-22) |
| Contrats signés et leur preuve de signature | 10 ans après la fin de la collaboration | Pièces justificatives de ces écritures |
| Messages, briefs, revues, vidéos et chiffres d’une campagne | Jusqu’à 5 ans après la fin de la collaboration | Dossier commun de la marque et du créateur, et preuve en cas de litige (prescription, Code civil, art. 2224) |
| La trace de la fermeture d’un compte (nom de l’espace, date) | 5 ans | Preuve de la fermeture |
| Journaux de serveur | Jusqu’à 12 mois | Sécurité |
Un identifiant technique reste attaché à ces données : elles sont donc pseudonymisées, et non anonymes. Les messages gardent ce que leurs auteurs ont écrit. Nous n’utilisons ces données que pour les finalités ci-dessus.
Stripe conserve ses propres données (clients, cartes enregistrées, vérification d’identité) selon sa propre politique. Fermer votre compte supprime notre lien vers elles, pas ces données.
7. Vos droits
En vertu du RGPD, vous pouvez demander l’accès, la rectification, l’effacement, la limitation et la portabilité de vos données, et vous opposer à un traitement fondé sur l’intérêt légitime. Lorsqu’un traitement repose sur le consentement (intégrations sociales), vous pouvez le retirer à tout moment, sans effet sur les traitements passés.
L’effacement n’atteint pas les données listées à la section 6 tant qu’elles doivent être conservées. Écrivez à [email protected] : nous répondons sous 30 jours. Vous pouvez aussi saisir votre autorité de contrôle (en France, la CNIL).
8. Cookies et stockage local
Klymb ne dépose aucun cookie publicitaire, de mesure d’audience ou de suivi intersites. Nous utilisons le stockage local du navigateur strictement pour la session qui vous garde connecté et pour vos préférences d’interface. Le seul cookie que Klymb dépose est un cookie de connexion strictement nécessaire à la console interne de l’équipe Klymb, conservé 8 heures.
Stripe dépose ses propres cookies sur ses pages de paiement, selon sa propre politique. Dans Script Studio, un lecteur TikTok ou YouTube ne se charge que lorsque vous appuyez sur lecture ; ces services peuvent alors déposer leurs propres cookies, selon leurs propres politiques.
9. Sécurité
Tout le trafic est chiffré en transit (TLS). L’accès aux données est limité à chaque client par la sécurité par ligne de la base de données. Les paiements et la vérification d’identité sont gérés par Stripe, prestataire certifié PCI-DSS niveau 1. Les mots de passe sont hachés avec bcrypt.
10. Âge
Klymb est un outil professionnel destiné aux utilisateurs de 18 ans ou plus. Nous ne collectons pas sciemment de données de mineurs.
11. Modifications
Si nous modifions cette politique de façon significative, nous en informons les titulaires de compte par e-mail ou dans l’application avant que le changement ne prenne effet. La date de « dernière mise à jour » ci-dessus indique toujours la version en vigueur.
Contact
KLYMB SAS (Klymb Studio), 15 rue François Bardot, 90000 Belfort, France — [email protected]