Les documents qui engagent Qydalia et ses utilisateurs.

Responsable du traitement

Qydalia SAS, 173 rue de Courcelles, 75017 Paris, est responsable des traitements décrits ci-après. Toute question relative aux données peut être adressée à contact@qydalia.fr. Qydalia n’a pas désigné de délégué à la protection des données.

Données collectées

• Identité et compte : prénom et nom, ou nom du commerce, adresse électronique, mot de passe chiffré, rôle, ville, version et date d’acceptation des conditions générales ; pour un créateur, sa date de naissance et son genre ; le numéro de mobile, s’il est donné.
• Profil public : ce que l’utilisateur montre aux autres utilisateurs, photo, présentation, ville, tarifs, réalisations, site d’une marque. Le genre d’un créateur n’y figure que s’il choisit de l’afficher.
• Données professionnelles : numéro SIREN ou SIRET, raison sociale, forme juridique, adresse du siège, numéro de TVA, représentant légal, régime fiscal.
• Données bancaires : coordonnées de virement et de paiement, collectées et conservées par Stripe. Qydalia n’a accès qu’aux derniers caractères et au statut du compte.
• Vérification d’identité : pièce d’identité et résultat du contrôle, demandés au créateur avant la signature de son premier contrat et traités par notre prestataire de paiement.
• Données d’audience : identifiants publics des comptes connectés, nombre d’abonnés, vues, taux d’engagement, dates de publication.
• Compte TikTok connecté par TikTok : lorsque le créateur se connecte avec TikTok ou y connecte son compte, et avec son accord donné chez TikTok, l’identifiant de son compte TikTok, son nom d’utilisateur, son nom affiché, sa photo, sa présentation, son nombre d’abonnés et de vidéos, et ses vidéos publiques (vues, mentions « j’aime », date, durée, miniature), ainsi que les jetons d’accès délivrés par TikTok.
• Chaîne YouTube connectée par Google : lorsque le créateur se connecte avec Google et y relie sa chaîne, ou la connecte depuis Mes réseaux, et avec son accord donné chez Google, l’identifiant de sa chaîne, son @, son nom, sa photo, sa description, son nombre d’abonnés et de vidéos, et ses vidéos publiques (vues, mentions « j’aime », date, durée, miniature), ainsi que les jetons d’accès délivrés par Google. Ses statistiques privées (âge, sexe et pays de son audience, temps de visionnage, provenance des vues) sont lues à sa demande, pour lui seul, et ne sont pas conservées.
• Compte Instagram connecté par Instagram : lorsque le créateur se connecte avec Instagram ou y connecte son compte professionnel, et avec son accord donné chez Instagram, l’identifiant de son compte Instagram, son nom d’utilisateur, son nom, sa photo, sa présentation, son type de compte, son nombre d’abonnés et de publications, et ses Reels (vues, mentions « j’aime », date, miniature), ainsi que le jeton d’accès délivré par Instagram.
• Données d’exécution : campagnes, candidatures, contrats et versions, messages échangés, pièces jointes, livrables, litiges et pièces produites, signalements adressés à l’équipe.
• Données techniques : journaux de connexion, adresse IP, horodatage des signatures.
• Liste d’attente d’avant l’ouverture : l’adresse électronique laissée sur la page d’attente, le camp choisi, le nom de commerce et le site ou le prénom et la ville, avec la preuve du consentement (date, adresse IP, texte affiché). Cette inscription ne crée aucun compte.

Finalités et bases légales

• Créer et gérer le compte, fournir la plateforme — exécution du contrat.
• Vérifier qu’un créateur est majeur, condition pour signer un contrat, à partir de sa date de naissance — exécution du contrat.
• Afficher le profil public de chaque utilisateur — exécution du contrat. Le genre d’un créateur n’y figure qu’avec son accord, qu’il retire à tout moment dans « Mon profil » — consentement.
• Traiter les signalements de discussions, de campagnes et de profils adressés à l’équipe — intérêt légitime de sécurité de la plateforme.
• Vérifier l’immatriculation au répertoire Sirene — obligation légale et intérêt légitime de prévention de la fraude.
• Calculer le prix et vérifier l’exécution des contrats — exécution du contrat.
• Permettre au créateur de se connecter avec TikTok, et lire les statistiques et les vidéos de son compte TikTok par l’interface officielle de TikTok — exécution du contrat, à la demande du créateur, qui retire cet accès à tout moment depuis Qydalia ou depuis TikTok.
• Permettre au créateur de relier sa chaîne YouTube en se connectant avec Google, lire les chiffres et les vidéos de sa chaîne par les interfaces officielles de YouTube, et lui montrer ses statistiques privées — exécution du contrat, à la demande du créateur, qui retire cet accès à tout moment depuis Qydalia ou depuis son compte Google.
• Permettre au créateur de se connecter avec Instagram, et lire le profil, les Reels et leurs statistiques de son compte Instagram professionnel par l’interface officielle d’Instagram — exécution du contrat, à la demande du créateur, qui retire cet accès à tout moment depuis Qydalia ou depuis Instagram.
• Émettre les factures et conserver les pièces comptables — obligation légale.
• Instruire les litiges — exécution du contrat et intérêt légitime.
• Envoyer les notifications de service — exécution du contrat. Les messages qui conditionnent un paiement ne peuvent pas être désactivés.
• Mesurer l’usage de la plateforme et l’améliorer — intérêt légitime, sur données agrégées ; avec Microsoft Clarity et Vercel Web Analytics, consentement du visiteur (voir « Cookies »).
• Liste d’attente : confirmer l’inscription, puis envoyer un seul message, le jour de l’ouverture — consentement, retirable à tout moment par une demande à contact@qydalia.fr.

Destinataires

Les données sont accessibles aux équipes de Qydalia habilitées, ainsi qu’aux sous-traitants suivants : Stripe Payments Europe, Limited pour la réception, la conservation et le transfert des fonds ainsi que la vérification d’identité des créateurs ; DocuSign pour la signature électronique, le certificat de signature et le dossier de preuve ; Vercel Inc. pour l’hébergement du site et, avec l’accord du visiteur, la mesure d’audience (Vercel Web Analytics) ; Supabase pour le stockage des données, à Paris ; Resend pour l’envoi des courriels ; OVH SAS (OVHcloud), en France, pour l’hébergement des boîtes de courrier @qydalia.fr, où arrivent les messages adressés à Qydalia ; Apify pour la lecture des statistiques publiques des comptes Snapchat connectés, et des comptes TikTok et Instagram et des chaînes YouTube connectés sans passer par le réseau ; Microsoft (Clarity), avec l’accord du visiteur, pour la mesure d’audience. Google intervient lorsque l’utilisateur choisit de se connecter avec son compte Google. TikTok intervient lorsque le créateur choisit de se connecter avec TikTok ou d’y connecter son compte : Qydalia lit alors, avec son accord, son profil, ses statistiques et ses vidéos publiques par l’interface officielle de TikTok. Google, pour YouTube, intervient de même lorsque le créateur relie sa chaîne YouTube (voir « Services d’API YouTube »). Meta Platforms Ireland Limited, pour Instagram, intervient de même lorsque le créateur se connecte avec Instagram ou y connecte son compte : Qydalia lit alors, avec son accord, son profil, ses Reels et leurs statistiques par l’interface officielle d’Instagram (voir « Instagram »). Le répertoire Sirene de l’INSEE, le registre national des entreprises de l’INPI, le système VIES de la Commission européenne pour les numéros de TVA, la Géoplateforme de l’IGN pour les adresses et les interfaces des réseaux sociaux sont interrogés en lecture.

La vérification d’identité exigée d’un créateur avant sa première signature est conduite par le prestataire de paiement. Qydalia ne conserve aucune copie de la pièce transmise : elle conserve le résultat du contrôle et son horodatage.

Les données ne sont ni vendues, ni louées, ni transmises à des fins publicitaires. Entre utilisateurs, seules sont visibles les informations nécessaires : l’identité légale d’une partie n’est communiquée à l’autre qu’au moment de la contractualisation.

Services d’API YouTube

Qydalia utilise les services d’API de YouTube (YouTube API Services) pour relier la chaîne d’un créateur, avec son accord, et lire ses chiffres. En reliant sa chaîne, le créateur accepte les conditions d’utilisation de YouTube. Les données obtenues de Google sont aussi régies par les règles de confidentialité de Google.

L’utilisation et le transfert à toute autre application des informations que Qydalia reçoit des API de Google respectent les règles relatives aux données utilisateur des services d’API Google, y compris les exigences d’utilisation limitée.

Les statistiques privées d’une chaîne ne sont montrées qu’au créateur. Elles ne sont ni partagées, ni vendues, ni utilisées à des fins publicitaires.

Le créateur retire cet accès à tout moment : en déconnectant sa chaîne dans Mes réseaux, ou depuis la page des autorisations de son compte Google, security.google.com. Déconnectée depuis Qydalia, la chaîne perd aussitôt l’accès chez Google et ce qui a été lu est effacé ; retiré depuis Google, l’accès est constaté la nuit suivante, et ce qui a été lu est effacé à ce moment. Toute question sur ces données s’adresse à contact@qydalia.fr.

Instagram

Qydalia utilise l’interface officielle d’Instagram (Meta Platforms Ireland Limited) pour relier le compte Instagram professionnel d’un créateur, avec son accord donné chez Instagram, et lire son profil, ses Reels et leurs statistiques. Seuls les comptes professionnels (Créateur ou Entreprise) se relient ainsi. Les vues lues sont les vues naturelles : la publicité depuis le compte n’y est pas comptée.

Ces données servent à prouver que le compte appartient au créateur, à lui montrer ses chiffres, à les montrer sur la fiche qu’il publie auprès des marques inscrites (abonnés, vues médianes de ses Reels) et à mesurer les vues des Reels publiés dans le cadre d’un contrat. Qydalia ne publie rien sur le compte, n’en lit pas les messages, et ne vend ni ne cède ces données.

Les statistiques détaillées du compte (âge, sexe, pays et villes de l’audience ; portée, vues et interactions des 28 derniers jours) ne sont montrées qu’au créateur, et à une marque en contact avec lui seulement s’il accepte expressément sa demande. Ce partage vaut 30 jours, pour que la marque évalue une collaboration avec lui ; le créateur le retire quand il veut, et Qydalia garde la date de son accord. Ces statistiques sont lues chez Instagram à chaque consultation et ne sont pas conservées.

Le créateur retire cet accès à tout moment : en déconnectant son compte dans Mes réseaux, ou depuis Instagram, dans Paramètres › Applications et sites web. Retiré depuis Instagram, l’accès est constaté dès qu’Instagram nous en avertit, et ce qui a été lu est effacé à ce moment. Les données obtenues d’Instagram sont aussi régies par la politique de confidentialité de Meta.

Supprimer vos données Instagram

Trois façons de faire effacer ce que Qydalia a lu de votre compte Instagram :

• Dans Qydalia : Mes réseaux, puis « Déconnecter » sur votre compte Instagram, et Paramètres › Mon compte, puis « Retirer » sur Instagram si vous vous connectez avec. L’effacement est immédiat.
• Depuis Instagram : Paramètres › Applications et sites web, retirez Qydalia, puis demandez la suppression de vos données. Instagram nous transmet la demande, l’effacement se fait à sa réception, et Instagram vous donne un code de confirmation, à suivre sur la page de suivi.
• Par e-mail : écrivez à contact@qydalia.fr depuis l’adresse de votre compte. Il est répondu dans un délai d’un mois.

Sont effacés : le jeton d’accès, le nom et la photo du compte, ses Reels et leurs vues relevées, l’historique de ses abonnés et l’identifiant qui servait à vous connecter. Restent seulement, rattachés aux contrats que vous avez signés, le nom d’utilisateur du compte et les relevés de vues de ces contrats : ils prouvent ce qui a été payé, et se conservent avec eux. Si un contrat en cours publie sur ce compte, il reste dans Mes réseaux jusqu’à la fin du comptage, et les vues du Reel prévu se relèvent sur sa page publique.

Durées de conservation

• Compte actif : pendant toute la durée de la relation, puis trois ans à compter du dernier contact.
• Contrats, factures, mandats et dossiers de preuve de signature : dix ans, conformément au code de commerce. Conservés par Qydalia, avec copie chez le prestataire de signature.
• Pièces d’un litige : cinq ans à compter de la décision.
• Journaux de connexion : douze mois.
• Liste d’attente d’avant l’ouverture : jusqu’au message d’ouverture, douze mois au plus ; trois mois si l’inscription n’a jamais été confirmée.
• Données d’audience : pendant la durée de la connexion du compte, puis supprimées ; les valeurs figées dans un contrat sont conservées avec lui.
• Compte TikTok connecté par TikTok : tant que le compte est connecté. À la déconnexion, l’accès est retiré chez TikTok et ses jetons, ses vidéos relevées, l’historique de ses abonnés et ses images sont effacés ; restent son nom d’utilisateur et son identifiant, rattachés aux contrats qu’il a servis, et les relevés de vues de ces contrats, conservés avec eux.
• Connexion avec TikTok : l’identifiant TikTok est conservé tant que ce moyen de connexion est actif, et effacé quand il est retiré.
• Compte Instagram connecté par Instagram : tant que le compte est connecté ; le jeton d’accès est renouvelé chaque nuit avant son échéance. À la déconnexion, ou quand Instagram nous avertit que l’accès est retiré ou que la suppression est demandée, son jeton, ses Reels relevés, l’historique de ses abonnés et ses images sont effacés ; restent son nom d’utilisateur et son identifiant, rattachés aux contrats qu’il a servis, et les relevés de vues de ces contrats, conservés avec eux.
• Connexion avec Instagram : l’identifiant Instagram est conservé tant que ce moyen de connexion est actif, et effacé quand il est retiré ou que la suppression est demandée.
• Chaîne YouTube connectée par Google : tant que la chaîne est connectée, l’accès est vérifié chaque nuit et une vidéo qui n’est plus relue depuis trente jours est effacée. À la déconnexion, ou si l’accès est retiré chez Google, ses jetons, ses vidéos relevées, l’historique de ses abonnés et ses images sont effacés ; restent son @ et son identifiant, rattachés aux contrats qu’elle a servis, et les relevés de vues de ces contrats, conservés avec eux. Les statistiques privées ne sont jamais conservées.

Vos droits

Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Ces droits s’exercent à contact@qydalia.fr ; il est répondu dans un délai d’un mois.

L’effacement ne peut porter sur les documents dont la conservation est légalement obligatoire. Un créateur supprime son compte depuis ses paramètres ; une marque en fait la demande au support. Dans les deux cas, sous réserve de l’achèvement des contrats en cours.

Vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés, 3 place de Fontenoy, 75007 Paris.

Transferts hors de l’Union européenne

Les données de la plateforme sont stockées dans l’Union européenne, à Paris. Certains prestataires sont établis hors de l’Union européenne, ou peuvent accéder aux données depuis l’étranger pour faire fonctionner leur service. Chaque transfert est encadré :

• Stripe, pour les paiements et la vérification d’identité : vers les États-Unis, dans le cadre du Data Privacy Framework, à défaut par les clauses contractuelles types de la Commission européenne ;
• DocuSign, pour la signature électronique : par ses règles d’entreprise contraignantes, approuvées par les autorités européennes de protection des données ;
• Vercel, pour l’hébergement du site et la mesure d’audience Vercel Web Analytics : vers les États-Unis, dans le cadre du Data Privacy Framework et des clauses contractuelles types ;
• Resend, pour l’envoi des courriels : vers les États-Unis, où les courriels sont conservés, par les clauses contractuelles types et le Data Privacy Framework ;
• Supabase, pour le stockage des données : un accès possible depuis les États-Unis et Singapour, encadré par les clauses contractuelles types ;
• Google, lorsque l’utilisateur se connecte avec son compte Google : vers les États-Unis, dans le cadre du Data Privacy Framework ;
• Apify, établie en République tchèque, pour la lecture des statistiques publiques des comptes connectés : vers les États-Unis et les pays de ses sous-traitants, par les clauses contractuelles types ;
• Microsoft, pour la mesure d’audience Clarity, avec l’accord du visiteur : vers les États-Unis, dans le cadre du Data Privacy Framework.

Sécurité

Les mots de passe sont conservés sous forme chiffrée, les jetons d’accès délivrés par TikTok, par Google et par Instagram aussi, avec une clé conservée à part de la base, les échanges sont chiffrés en transit, l’accès aux données est journalisé et restreint aux personnes habilitées. Toute violation de données susceptible d’engendrer un risque est notifiée à la CNIL dans les soixante-douze heures et, le cas échéant, aux personnes concernées.

Cookies

Le site dépose des cookies strictement nécessaires à son fonctionnement, qui ne requièrent pas de consentement : la session de connexion, la connexion avec Google, avec TikTok ou avec Instagram lorsqu’elle est choisie (et la chaîne YouTube qu’elle relie, le temps de l’inscription) et, pour l’équipe de Qydalia, la session de l’espace d’administration.

Avec votre accord seulement, demandé par un bandeau à votre première visite, le site mesure son audience avec Microsoft Clarity (Microsoft Corporation) : pages vues, clics, défilement et enregistrement anonymisé des visites, pour comprendre ce qui gêne et améliorer le site. Clarity dépose alors ses cookies (« _clck », un an ; « _clsk », un jour). Avec le même accord, Vercel Web Analytics (Vercel Inc.) compte les pages vues en statistiques anonymes et agrégées (page, site de provenance, pays, type d’appareil, navigateur), sans cookie. Sans votre accord, rien n’est chargé. Votre choix est gardé six mois ; vous le changez à tout moment par le lien « Gérer les cookies » en bas des pages du site, ou ci-dessous.

Sur l’écran de paiement par carte, les cookies de prévention de la fraude de Stripe ne sont déposés qu’avec votre accord, demandé avant le paiement et gardé six mois. Sans lui, le paiement reste possible : Stripe se charge alors sans ses signaux anti-fraude.

Sur l’écran des coordonnées bancaires d’un créateur, les composants de Stripe déposent les cookies nécessaires à la vérification d’identité que la réglementation impose. Aucun cookie de publicité n’est déposé.

Changer mon choix sur la mesure d’audience