Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données personnelles collectées via trykred.com est la société Kred Corp, société par actions simplifiée au capital de 1 000 €, immatriculée au RCS de Fort-de-France sous le numéro 107 539 876, dont le siège social est situé 7 rue Bethléem, Résidence Arc-en-ciel, 97233 Schœlcher (Martinique, France).

Contact : contact@trykred.com

2. Données collectées

Nous collectons les données suivantes :

• Adresse email (authentification par code à usage unique à 6 chiffres, et notifications)
• Nom d'affichage, bio et photo de profil que vous renseignez sur votre profil KRED — la photo est stockée sur notre infrastructure (Supabase Storage) et n'est jamais celle de TikTok, dont l'URL expire (voir article 3 ci-dessous)
• Identifiant TikTok (open_id) et nom d'affichage TikTok, fournis par TikTok lors de la connexion de votre compte
• Identifiant et nom d'utilisateur de votre compte Instagram, fournis par Instagram lors de la connexion de votre compte
• Identifiant et nom public de votre chaîne YouTube, fournis par l'API YouTube lors de la connexion de votre compte
• Tokens d'accès et de rafraîchissement OAuth TikTok, Instagram et YouTube (chiffrés en AES-256-GCM)
• URLs des vidéos que vous soumettez dans le cadre des campagnes (TikTok, Instagram, YouTube)
• Métriques publiques des vidéos TikTok soumises (vues, likes, commentaires, partages)
• Nombre de vues des vidéos Instagram soumises, fourni par Instagram
• Nombre de vues des vidéos YouTube soumises, fourni par l'API YouTube
• Adresse email PayPal, si vous en fournissez une pour vos retraits
• Identifiant de compte Stripe Connect, si vous activez les paiements via Stripe
• Nom légal, adresse postale, statut (particulier, auto-entrepreneur, société) et SIRET le cas échéant, lorsque le total de vos rémunérations auprès d'une même marque atteint le seuil indiqué dans votre espace (voir nos CGU, article 8)
• Prénom, nom, date de naissance, pays de résidence fiscale et numéro d'identification fiscale (chiffrés en AES-256-GCM pour le numéro fiscal), collectés lors de votre premier retrait, afin que KRED puisse remplir son obligation légale de déclaration à l'administration fiscale (voir nos CGU, article 20 — dispositif DAC7)
• Données de navigation et logs techniques (sécurité, prévention de la fraude)
• Données de mesure d'audience et de publicité, selon les choix que vous faites (voir article 10)
• Dates et heures d'ouverture et de clic sur les e-mails que nous vous envoyons, sans conservation de l'adresse IP ni du user-agent

3. Utilisation des API TikTok, Instagram et YouTube

KRED utilise l'API TikTok pour authentifier les créateurs et mesurer les performances de leurs vidéos. Deux produits TikTok sont utilisés, sous les autorisations que vous accordez explicitement lors de la connexion de votre compte :

• Login Kit (autorisation user.info.basic) : nous récupérons votre identifiant unique open_id, qui sert exclusivement à relier votre compte TikTok à votre compte KRED, ainsi que votre nom d'affichage TikTok, utilisé pour vous identifier dans nos interfaces. Nous ne conservons pas votre avatar TikTok — son URL, fournie par TikTok, expire et n'est jamais recopiée. Si vous ajoutez une photo de profil sur KRED, il s'agit d'un fichier distinct que vous choisissez d'uploader vous-même (voir ci-dessus, article 2).
• Video Query (autorisation video.list) : pour les seules vidéos dont vous soumettez l'URL, nous récupérons l'identifiant de la vidéo, son titre, sa date de publication, et ses compteurs publics de vues, likes, commentaires et partages.

Ces données servent à deux finalités, et à aucune autre : vérifier que vous êtes bien l'auteur des vidéos soumises, et calculer vos gains à partir du CPM (coût pour mille vues) de la campagne. Les compteurs de likes, commentaires et partages alimentent en outre nos contrôles internes de détection de fraude, destinés à repérer les engagements artificiels. Ils ne sont jamais communiqués aux marques.

Si vous connectez un compte Instagram professionnel ou créateur, KRED utilise l'API Instagram avec connexion Instagram, sous les autorisations que vous accordez explicitement :

• Informations de base (autorisation instagram_business_basic) : nous récupérons l'identifiant et le nom d'utilisateur de votre compte Instagram, qui servent à le relier à votre compte KRED et à vous montrer quel compte est connecté, ainsi que la liste de vos publications récentes (identifiant, type de média, lien permanent, date) à seule fin de vérifier que la vidéo dont vous soumettez l'URL vous appartient.
• Statistiques (autorisation instagram_business_manage_insights) : pour les seules vidéos dont vous soumettez l'URL, nous récupérons le nombre de vues, qui sert à calculer vos gains.

Si vous connectez un compte YouTube, KRED utilise les YouTube API Services (YouTube Data API v3), sous l'unique autorisation en lecture seule que vous accordez explicitement lors de la connexion (scope https://www.googleapis.com/auth/youtube.readonly) :

• Identification de la chaîne : lors de la connexion, nous récupérons l'identifiant et le nom public (titre) de votre chaîne YouTube, qui servent exclusivement à relier votre compte YouTube à votre compte KRED.
• Vérification des vidéos soumises : pour les seules vidéos dont vous soumettez l'URL, nous vérifions qu'elles appartiennent à votre chaîne, et nous consultons leur date de publication, leur durée et leur statut de visibilité, afin de confirmer qu'il s'agit d'un Short que vous avez publié et qui n'est pas passé en privé.
• Mesure des vues : pour ces mêmes vidéos, nous récupérons leur nombre de vues, qui sert à calculer vos gains.

Le scope demandé est exclusivement en lecture : KRED n'effectue aucune écriture sur votre compte YouTube (aucune publication, aucune modification, aucune suppression).

L'utilisation des YouTube API Services par KRED est soumise aux Conditions d'utilisation de YouTube et à la Politique de confidentialité de Google. Vous pouvez révoquer à tout moment l'accès de KRED à votre compte Google depuis la page des accès tiers de votre compte Google.

En dehors des vidéos dont vous soumettez vous-même l'URL, nous n'accédons à aucun de vos contenus : ni à vos autres vidéos, ni à vos messages, ni à votre liste d'abonnés. Pour les seules vidéos que vous soumettez, nous consultons leur statut de visibilité afin d'écarter celles qui sont devenues privées ou qui ont été supprimées. Nous ne publions rien sur vos comptes TikTok, Instagram ou YouTube. Aucune donnée TikTok, Instagram ou YouTube n'est vendue ni louée. Une de vos vidéos n'est diffusée en publicité que si vous avez vous-même accepté de céder à une marque les droits publicitaires sur cette vidéo, dans les conditions décrites à l'article 3 bis.

3 bis. Diffusion publicitaire des vidéos (whitelisting) : API Meta Marketing et TikTok

Lorsque cette fonctionnalité vous est proposée, une marque peut vous demander le droit de diffuser en publicité l'une des vidéos que vous avez soumises à sa campagne, pour une durée et un forfait fixés à l'avance. Rien ne se passe sans votre acceptation de l'avenant de cession dans KRED.

Si vous êtes une marque, vous reliez vous-même votre compte publicitaire depuis vos réglages, via la connexion Facebook Login for Business (Meta) ou TikTok, en choisissant les comptes que vous partagez avec KRED. Sous les autorisations que vous accordez explicitement, KRED :

• lit les comptes publicitaires, Pages Facebook et comptes Instagram professionnels que vous avez partagés, ainsi que la devise et le statut du compte publicitaire choisi (autorisations business_management, pages_show_list, pages_read_engagement, instagram_basic), pour vous laisser choisir l'annonceur et le compte sponsor ;
• envoie en votre nom au créateur, une fois qu'il a accepté la cession dans KRED, la demande d'autorisation de publicité en partenariat, en suit la réponse, vérifie que sa publication peut être promue avant votre paiement et retire l'autorisation à la fin de la cession (autorisation instagram_branded_content_ads_brand) ;
• crée, met en pause et relance, dans votre propre compte publicitaire, les seules publicités que vous lancez depuis KRED (autorisation ads_management) ;
• lit chaque heure les performances de ces seules publicités (dépense, impressions, vues, clics) pour vous en rendre compte (autorisation ads_read).

KRED ne lit aucune autre publicité, campagne ou audience de votre compte, ne modifie ni ses réglages, ni ses moyens de paiement, ni ses utilisateurs, et ne publie rien sur vos Pages ou votre compte Instagram. Le budget est dépensé chez Meta ou TikTok, sur votre compte, jamais par KRED. Nous conservons l'identifiant, le nom, la devise et le statut du compte publicitaire, les identifiants de la Page et du compte Instagram choisis, le nom d'utilisateur Instagram affiché comme sponsor, un jeton d'accès chiffré (AES-256-GCM), les identifiants des publicités créées et leurs statistiques quotidiennes.

Si vous êtes un créateur et que vous acceptez une cession, votre nom d'utilisateur Instagram est transmis à Meta pour la demande d'autorisation, que vous acceptez ou refusez directement dans Instagram, et la publication concernée est promue depuis le compte publicitaire de la marque pendant la durée convenue. KRED vous indique la période de diffusion et le nombre de personnes qui ont commencé à regarder la publicité ; il ne vous communique jamais la dépense de la marque, et ces chiffres ne modifient pas le forfait convenu. Vous pouvez retirer l'autorisation à tout moment depuis Instagram : la publicité est alors arrêtée.

4. Finalités du traitement

Vos données sont utilisées pour :

• Vous authentifier et gérer votre compte
• Vérifier que vous êtes l'auteur des vidéos soumises
• Mesurer les vues chaque jour, pendant une durée maximale de 30 jours après publication, et calculer vos gains
• Créditer votre portefeuille et traiter vos demandes de retrait
• Détecter les comportements frauduleux et protéger les budgets des marques
• Vous envoyer des notifications par email (gains, reconnexion de vos comptes sociaux)
• Mesurer l'audience du site et, avec votre accord distinct, les conversions des publicités KRED
• Vérifier que les e-mails transactionnels vous parviennent bien et mesurer la qualité de la délivrabilité de nos envois (par exemple pour diagnostiquer un e-mail de connexion non reçu)

5. Base légale

Le traitement est fondé sur l'exécution du contrat (article 6.1.b du RGPD) pour tout ce qui est nécessaire au fonctionnement des campagnes, au calcul et au versement de vos gains ; sur votre consentement (article 6.1.a) pour la connexion de vos comptes TikTok, Instagram ou YouTube et pour la mesure d'audience ; et sur notre intérêt légitime (article 6.1.f) pour la prévention de la fraude, la sécurité du Service et le suivi d'ouverture et de clic de nos e-mails transactionnels.

Pour votre nom légal, votre adresse postale, votre date de naissance, votre pays de résidence fiscale et votre numéro d'identification fiscale, le traitement est fondé sur le respect d'une obligation légale (article 6.1.c du RGPD) : KRED est tenu, en tant qu'opérateur de plateforme, de collecter et de déclarer ces informations à l'administration fiscale (dispositif DAC7, voir article 6 ci-dessous et nos CGU, article 20).

Pour le fichier source d'une vidéo que vous avez vendue à une marque, le traitement est fondé sur l'exécution du contrat (article 6.1.b du RGPD) : sa conservation et sa remise à la marque exécutent l'avenant de cession de droits que vous avez conclu avec elle (voir nos CGU, article 21).

6. Destinataires

Vos données peuvent être transmises aux marques partenaires dans le seul cadre des campagnes auxquelles vous participez : nom d'affichage, photo de profil (si vous en avez ajouté une), URL des vidéos soumises, nombre de vues et montant des gains. Les indicateurs internes de détection de fraude ne leur sont jamais communiqués. Vos données ne sont ni vendues ni louées à aucun tiers.

Votre identité (nom, prénom, adresse, date de naissance), votre numéro d'identification fiscale et les sommes qui vous ont été versées, trimestre par trimestre, sont transmis chaque année à l'administration fiscale française (DGFiP), en exécution de l'obligation légale de déclaration qui pèse sur KRED en tant qu'opérateur de plateforme (dispositif DAC7, voir nos CGU, article 20). Cette transmission n'est ni une vente ni une location de données : c'est une obligation légale à laquelle KRED ne peut pas se soustraire.

Sous-traitants techniques :

• Supabase — hébergement de la base de données et authentification (UE)
• Vercel — hébergement du site web
• Render — hébergement de l'API
• Resend — envoi des emails transactionnels
• Upstash — cache et limitation de débit (UE)
• Stripe — traitement des paiements et versements aux créateurs
• PostHog — analyse produit et enregistrement de session, hébergement UE ; mesure sans stockage sur votre appareil avant consentement, stockage durable et enregistrement de session après acceptation (voir article 10)
• Sentry — supervision technique et journalisation des erreurs

Certains acteurs déterminent eux-mêmes les finalités et les moyens du traitement des données qu'ils reçoivent : ils agissent pour leur propre compte, non pour celui de KRED. Il ne s'agit donc pas de sous-traitants, mais de responsables de traitement autonomes :

• Google — API YouTube (authentification et lecture des vidéos et statistiques que vous soumettez)
• Google — Google Tag Manager et Google Analytics, pour la mesure d'audience, sous réserve de consentement
• Meta — API Instagram et API Marketing (connexion des comptes, demandes d'autorisation de publicité en partenariat, création et suivi des publicités dans le compte de la marque)
• Meta — Pixel publicitaire de KRED, uniquement avec votre accord distinct, pour mesurer les visites et les inscriptions liées à nos publicités
• TikTok — API TikTok et API TikTok for Business (connexion des comptes, publicités Spark Ads dans le compte de la marque)

Certains des sous-traitants et responsables de traitement mentionnés ci-dessus peuvent traiter des données hors de l'Union européenne. Ces transferts sont encadrés par des garanties appropriées : clauses contractuelles types de la Commission européenne ou décision d'adéquation.

7. Durée de conservation

• Jetons OAuth TikTok, Instagram et YouTube : effacés immédiatement lorsque vous déconnectez le compte concerné depuis votre profil, ou lors de la suppression de votre compte KRED
• Jeton d'accès au compte publicitaire d'une marque : effacé dès que la marque retire le compte depuis ses réglages ou en relie un autre (les publicités lancées depuis KRED sont alors mises en pause), ou retire l'accès de KRED depuis Meta
• Statistiques des publicités lancées depuis KRED : conservées avec l'historique de la cession concernée, dont elles justifient le compte rendu
• Identifiants TikTok (open_id), Instagram et YouTube (identifiant et nom de chaîne) : conservés tant que le compte correspondant est relié ; après déconnexion, ils ne sont plus associés à aucun identifiant d'accès et sont supprimés avec votre compte
• Métriques des vidéos déjà soumises : conservées avec l'historique de la campagne concernée, car elles justifient les gains qui vous ont été versés
• Données de campagne (vidéos soumises, métriques, gains) : conservées pendant votre participation active, puis supprimées avec votre compte. Font seules exception les pièces justifiant des sommes qui vous ont été versées (vues mesurées, montants et earnings correspondants), archivées 3 ans à compter de leur émission au titre de nos obligations comptables et légales
• Fichier source d'une vidéo vendue à une marque : conservé au titre de l'avenant de cession, y compris après la suppression de votre compte créateur, tant que la cession produit ses effets. Il n'est effacé que si la vente est annulée à la suite d'un litige tranché en faveur de la marque
• Adresse email et profil : supprimés dans les 30 jours suivant une demande de suppression
• Logs techniques : 12 mois
• Dates et heures d'ouverture et de clic sur les e-mails : 12 mois
• Cookies de mesure d'audience et enregistrements de session : voir les durées de conservation spécifiques à l'article 10 ci-dessous

8. Vos droits

Conformément au RGPD, vous disposez des droits suivants : accès, rectification, effacement, opposition, limitation du traitement et portabilité. Pour les exercer, contactez-nous à contact@trykred.com.

Vous avez également le droit d'introduire une réclamation auprès de la CNIL (cnil.fr).

9. Suppression des données

Vous pouvez demander la suppression de toutes vos données à tout moment en envoyant un email à contact@trykred.com. Vous pouvez également déconnecter votre compte TikTok, Instagram ou YouTube à tout moment depuis votre profil, ce qui entraîne la suppression des données associées. Pour un compte YouTube, vous pouvez aussi révoquer directement l'accès de KRED depuis la page des accès tiers de votre compte Google. Consultez notre page de suppression des données pour plus de détails.

La suppression de votre compte ne remet en cause ni la remise à une marque du fichier source d'une vidéo que vous lui avez vendue, ni la conservation de ce fichier : l'une et l'autre exécutent l'avenant de cession de droits conclu entre vous et cette marque, auquel KRED n'est pas partie (voir nos CGU, article 21). Il en va de même des pièces justifiant des sommes qui vous ont été versées, mentionnées à l'article 7.

10. Cookies, mesure d'audience et publicité

Le Service utilise des cookies techniques nécessaires à son fonctionnement (session, authentification). Les cookies publicitaires Meta sont utilisés uniquement si vous acceptez séparément la mesure publicitaire dans le bandeau. Vos données ne sont pas vendues.

Nous mesurons l'audience du Service avec PostHog (hébergé dans l'Union européenne) et Google Analytics 4. Avant tout consentement, cette mesure fonctionne sans aucun dépôt de cookie ni stockage sur votre appareil : les statistiques sont agrégées et l'identifiant technique associé à votre visite est éphémère, il disparaît au rechargement de la page.

Si vous acceptez via le bandeau, des cookies de mesure d'audience sont déposés afin de reconnaître votre navigateur d'une visite à l'autre et d'obtenir des statistiques plus fiables. Ces données sont conservées 12 mois.

Si vous acceptez, nous activons également l'enregistrement de session avec PostHog : votre navigation sur le Service (déplacements, clics, pages visitées) est enregistrée pour comprendre où les utilisateurs rencontrent des difficultés. Le texte affiché à l'écran et ce que vous saisissez dans les champs ordinaires restent lisibles dans ces enregistrements, afin de comprendre ce qui vous a bloqué. En revanche, les adresses email, numéros de téléphone et coordonnées bancaires sont toujours masqués, où qu'ils apparaissent, tout comme les champs sensibles (email, téléphone, mot de passe, code de connexion) et l'intégralité des pages de facturation, de paiement et de retrait. Cet enregistrement de session ne démarre qu'après votre acceptation du bandeau ; si vous refusez, votre navigation n'est jamais filmée. Ces enregistrements sont conservés 30 jours, une durée distincte des 12 mois de conservation des cookies de mesure d'audience mentionnés ci-dessus.

Avec votre accord publicitaire distinct, le Pixel Meta mesure les pages visitées et les demandes de démo ou inscriptions réussies afin d'évaluer les publicités de KRED. Nous ne lui envoyons pas votre adresse email, vos réponses aux formulaires ou vos données financières. Meta peut déposer ses cookies publicitaires et traite les données reçues selon ses propres règles. Le Pixel reste inactif sans cet accord.

Vous pouvez refuser sans conséquence sur le Service et modifier ou retirer vos choix à tout moment avec le bouton « Gérer les cookies » présent sur le site. Le retrait arrête les envois à Meta et supprime les cookies Meta déposés sur ce domaine.

Gérer les cookies

11. Contact

Pour toute question relative à la protection de vos données personnelles, écrivez-nous à contact@trykred.com.