Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles collectées via trykred.com est la société Kred Corp, société par actions simplifiée au capital de 1 000 €, immatriculée au RCS de Fort-de-France sous le numéro 107 539 876, dont le siège social est situé 7 rue Bethléem, Résidence Arc-en-ciel, 97233 Schœlcher (Martinique, France).

Contact : contact@trykred.com

2. Données collectées

Nous collectons les données suivantes :

• Adresse email (authentification par code à usage unique à 6 chiffres, et notifications)
• Nom d'affichage, bio et photo de profil que vous renseignez sur votre profil KRED — la photo est stockée sur notre infrastructure (Supabase Storage) et n'est jamais celle de TikTok, dont l'URL expire (voir article 3 ci-dessous)
• Identifiant TikTok (open_id) et nom d'affichage TikTok, fournis par TikTok lors de la connexion de votre compte
• Identifiant et nom d'utilisateur de votre compte Instagram, fournis par Instagram lors de la connexion de votre compte
• Identifiant et nom public de votre chaîne YouTube, fournis par l'API YouTube lors de la connexion de votre compte
• Tokens d'accès et de rafraîchissement OAuth TikTok, Instagram et YouTube (chiffrés en AES-256-GCM)
• URLs des vidéos que vous soumettez dans le cadre des campagnes (TikTok, Instagram, YouTube)
• Métriques publiques des vidéos TikTok soumises (vues, likes, commentaires, partages)
• Nombre de vues des vidéos Instagram soumises, fourni par Instagram
• Nombre de vues des vidéos YouTube soumises, fourni par l'API YouTube
• Adresse email PayPal, si vous en fournissez une pour vos retraits
• Identifiant de compte Stripe Connect, si vous activez les paiements via Stripe
• Nom légal, adresse postale, statut (particulier, auto-entrepreneur, société) et SIRET le cas échéant, lorsque le total de vos rémunérations auprès d'une même marque atteint le seuil indiqué dans votre espace (voir nos CGU, article 8)
• Prénom, nom, date de naissance, pays de résidence fiscale et numéro d'identification fiscale (chiffrés en AES-256-GCM pour le numéro fiscal), collectés lors de votre premier retrait, afin que KRED puisse remplir son obligation légale de déclaration à l'administration fiscale (voir nos CGU, article 20 — dispositif DAC7)
• Données de navigation et logs techniques (sécurité, prévention de la fraude)
• Données de mesure d'audience, uniquement si vous y consentez (voir article 10)
• Dates et heures d'ouverture et de clic sur les e-mails que nous vous envoyons, sans conservation de l'adresse IP ni du user-agent

3. Utilisation des API TikTok, Instagram et YouTube

KRED utilise l'API TikTok pour authentifier les créateurs et mesurer les performances de leurs vidéos. Deux produits TikTok sont utilisés, sous les autorisations que vous accordez explicitement lors de la connexion de votre compte :

• Login Kit (autorisation user.info.basic) : nous récupérons votre identifiant unique open_id, qui sert exclusivement à relier votre compte TikTok à votre compte KRED, ainsi que votre nom d'affichage TikTok, utilisé pour vous identifier dans nos interfaces. Nous ne conservons pas votre avatar TikTok — son URL, fournie par TikTok, expire et n'est jamais recopiée. Si vous ajoutez une photo de profil sur KRED, il s'agit d'un fichier distinct que vous choisissez d'uploader vous-même (voir ci-dessus, article 2).
• Video Query (autorisation video.list) : pour les seules vidéos dont vous soumettez l'URL, nous récupérons l'identifiant de la vidéo, son titre, sa date de publication, et ses compteurs publics de vues, likes, commentaires et partages.

Ces données servent à deux finalités, et à aucune autre : vérifier que vous êtes bien l'auteur des vidéos soumises, et calculer vos gains à partir du CPM (coût pour mille vues) de la campagne. Les compteurs de likes, commentaires et partages alimentent en outre nos contrôles internes de détection de fraude, destinés à repérer les engagements artificiels. Ils ne sont jamais communiqués aux marques.

Si vous connectez un compte Instagram professionnel ou créateur, KRED utilise l'API Instagram avec connexion Instagram, sous les autorisations que vous accordez explicitement :

• Informations de base (autorisation instagram_business_basic) : nous récupérons l'identifiant et le nom d'utilisateur de votre compte Instagram, qui servent à le relier à votre compte KRED et à vous montrer quel compte est connecté, ainsi que la liste de vos publications récentes (identifiant, type de média, lien permanent, date) à seule fin de vérifier que la vidéo dont vous soumettez l'URL vous appartient.
• Statistiques (autorisation instagram_business_manage_insights) : pour les seules vidéos dont vous soumettez l'URL, nous récupérons le nombre de vues, qui sert à calculer vos gains.

Si vous connectez un compte YouTube, KRED utilise les YouTube API Services (YouTube Data API v3), sous l'unique autorisation en lecture seule que vous accordez explicitement lors de la connexion (scope https://www.googleapis.com/auth/youtube.readonly) :

• Identification de la chaîne : lors de la connexion, nous récupérons l'identifiant et le nom public (titre) de votre chaîne YouTube, qui servent exclusivement à relier votre compte YouTube à votre compte KRED.
• Vérification des vidéos soumises : pour les seules vidéos dont vous soumettez l'URL, nous vérifions qu'elles appartiennent à votre chaîne, et nous consultons leur date de publication, leur durée et leur statut de visibilité, afin de confirmer qu'il s'agit d'un Short que vous avez publié et qui n'est pas passé en privé.
• Mesure des vues : pour ces mêmes vidéos, nous récupérons leur nombre de vues, qui sert à calculer vos gains.

Le scope demandé est exclusivement en lecture : KRED n'effectue aucune écriture sur votre compte YouTube (aucune publication, aucune modification, aucune suppression).

L'utilisation des YouTube API Services par KRED est soumise aux Conditions d'utilisation de YouTube et à la Politique de confidentialité de Google. Vous pouvez révoquer à tout moment l'accès de KRED à votre compte Google depuis la page des accès tiers de votre compte Google.

En dehors des vidéos dont vous soumettez vous-même l'URL, nous n'accédons à aucun de vos contenus : ni à vos autres vidéos, ni à vos messages, ni à votre liste d'abonnés. Pour les seules vidéos que vous soumettez, nous consultons leur statut de visibilité afin d'écarter celles qui sont devenues privées ou qui ont été supprimées. Nous ne publions rien sur vos comptes TikTok, Instagram ou YouTube. Aucune donnée TikTok, Instagram ou YouTube n'est vendue, louée ou transmise à des fins publicitaires.

4. Finalités du traitement

Vos données sont utilisées pour :

• Vous authentifier et gérer votre compte
• Vérifier que vous êtes l'auteur des vidéos soumises
• Mesurer les vues chaque jour, pendant une durée maximale de 30 jours après publication, et calculer vos gains
• Créditer votre portefeuille et traiter vos demandes de retrait
• Détecter les comportements frauduleux et protéger les budgets des marques
• Vous envoyer des notifications par email (gains, reconnexion de vos comptes sociaux)
• Mesurer l'audience du site, sous réserve de votre consentement
• Vérifier que les e-mails transactionnels vous parviennent bien et mesurer la qualité de la délivrabilité de nos envois (par exemple pour diagnostiquer un e-mail de connexion non reçu)

5. Base légale

Le traitement est fondé sur l'exécution du contrat (article 6.1.b du RGPD) pour tout ce qui est nécessaire au fonctionnement des campagnes, au calcul et au versement de vos gains ; sur votre consentement (article 6.1.a) pour la connexion de vos comptes TikTok, Instagram ou YouTube et pour la mesure d'audience ; et sur notre intérêt légitime (article 6.1.f) pour la prévention de la fraude, la sécurité du Service et le suivi d'ouverture et de clic de nos e-mails transactionnels.

Pour votre nom légal, votre adresse postale, votre date de naissance, votre pays de résidence fiscale et votre numéro d'identification fiscale, le traitement est fondé sur le respect d'une obligation légale (article 6.1.c du RGPD) : KRED est tenu, en tant qu'opérateur de plateforme, de collecter et de déclarer ces informations à l'administration fiscale (dispositif DAC7, voir article 6 ci-dessous et nos CGU, article 20).

6. Destinataires

Vos données peuvent être transmises aux marques partenaires dans le seul cadre des campagnes auxquelles vous participez : nom d'affichage, photo de profil (si vous en avez ajouté une), URL des vidéos soumises, nombre de vues et montant des gains. Les indicateurs internes de détection de fraude ne leur sont jamais communiqués. Vos données ne sont ni vendues ni louées à aucun tiers.

Votre identité (nom, prénom, adresse, date de naissance), votre numéro d'identification fiscale et les sommes qui vous ont été versées, trimestre par trimestre, sont transmis chaque année à l'administration fiscale française (DGFiP), en exécution de l'obligation légale de déclaration qui pèse sur KRED en tant qu'opérateur de plateforme (dispositif DAC7, voir nos CGU, article 20). Cette transmission n'est ni une vente ni une location de données : c'est une obligation légale à laquelle KRED ne peut pas se soustraire.

Sous-traitants techniques :

• Supabase — hébergement de la base de données et authentification (UE)
• Vercel — hébergement du site web
• Render — hébergement de l'API
• Resend — envoi des emails transactionnels
• Upstash — cache et limitation de débit (UE)
• Stripe — traitement des paiements et versements aux créateurs
• PostHog — analyse produit et enregistrement de session, hébergement UE ; mesure sans stockage sur votre appareil avant consentement, stockage durable et enregistrement de session après acceptation (voir article 10)
• Sentry — supervision technique et journalisation des erreurs

Certains acteurs déterminent eux-mêmes les finalités et les moyens du traitement des données qu'ils reçoivent : ils agissent pour leur propre compte, non pour celui de KRED. Il ne s'agit donc pas de sous-traitants, mais de responsables de traitement autonomes :

• Google — API YouTube (authentification et lecture des vidéos et statistiques que vous soumettez)
• Google — Google Tag Manager et Google Analytics, pour la mesure d'audience, sous réserve de consentement

Certains des sous-traitants et responsables de traitement mentionnés ci-dessus peuvent traiter des données hors de l'Union européenne. Ces transferts sont encadrés par des garanties appropriées : clauses contractuelles types de la Commission européenne ou décision d'adéquation.

7. Durée de conservation

• Jetons OAuth TikTok, Instagram et YouTube : effacés immédiatement lorsque vous déconnectez le compte concerné depuis votre profil, ou lors de la suppression de votre compte KRED
• Identifiants TikTok (open_id), Instagram et YouTube (identifiant et nom de chaîne) : conservés tant que le compte correspondant est relié ; après déconnexion, ils ne sont plus associés à aucun identifiant d'accès et sont supprimés avec votre compte
• Métriques des vidéos déjà soumises : conservées avec l'historique de la campagne concernée, car elles justifient les gains qui vous ont été versés
• Données de campagne (vidéos soumises, métriques, gains) : conservées pendant votre participation active, puis supprimées avec votre compte. Font seules exception les pièces justifiant des sommes qui vous ont été versées (vues mesurées, montants et earnings correspondants), archivées 3 ans à compter de leur émission au titre de nos obligations comptables et légales
• Adresse email et profil : supprimés dans les 30 jours suivant une demande de suppression
• Logs techniques : 12 mois
• Dates et heures d'ouverture et de clic sur les e-mails : 12 mois
• Cookies de mesure d'audience et enregistrements de session : voir les durées de conservation spécifiques à l'article 10 ci-dessous

8. Vos droits

Conformément au RGPD, vous disposez des droits suivants : accès, rectification, effacement, opposition, limitation du traitement et portabilité. Pour les exercer, contactez-nous à contact@trykred.com.

Vous avez également le droit d'introduire une réclamation auprès de la CNIL (cnil.fr).

9. Suppression des données

Vous pouvez demander la suppression de toutes vos données à tout moment en envoyant un email à contact@trykred.com. Vous pouvez également déconnecter votre compte TikTok, Instagram ou YouTube à tout moment depuis votre profil, ce qui entraîne la suppression des données associées. Pour un compte YouTube, vous pouvez aussi révoquer directement l'accès de KRED depuis la page des accès tiers de votre compte Google. Consultez notre page de suppression des données pour plus de détails.

10. Cookies et mesure d'audience

Le Service utilise des cookies techniques nécessaires à son fonctionnement (session, authentification). Aucun cookie publicitaire n'est utilisé et vos données ne sont ni vendues ni transmises à des régies publicitaires.

Nous mesurons l'audience du Service avec PostHog (hébergé dans l'Union européenne) et Google Analytics 4. Avant tout consentement, cette mesure fonctionne sans aucun dépôt de cookie ni stockage sur votre appareil : les statistiques sont agrégées et l'identifiant technique associé à votre visite est éphémère, il disparaît au rechargement de la page.

Si vous acceptez via le bandeau, des cookies de mesure d'audience sont déposés afin de reconnaître votre navigateur d'une visite à l'autre et d'obtenir des statistiques plus fiables. Ces données sont conservées 12 mois.

Si vous acceptez, nous activons également l'enregistrement de session avec PostHog : votre navigation sur le Service (déplacements, clics, pages visitées) est enregistrée pour comprendre où les utilisateurs rencontrent des difficultés. Le contenu affiché à l'écran (budgets, soldes de portefeuille, adresses email, tout texte visible) est systématiquement masqué dans ces enregistrements, tout comme les champs de saisie. Cet enregistrement de session ne démarre qu'après votre acceptation du bandeau ; si vous refusez, votre navigation n'est jamais filmée. Ces enregistrements sont conservés 30 jours, une durée distincte des 12 mois de conservation des cookies de mesure d'audience mentionnés ci-dessus.

Vous pouvez refuser sans aucune conséquence sur votre utilisation du Service, et revenir sur votre choix à tout moment en effaçant les données de site de votre navigateur.

11. Contact

Pour toute question relative à la protection de vos données personnelles, écrivez-nous à contact@trykred.com.