Dernière mise à jour : 11 octobre 2026
1. Responsable du traitement
Le responsable du traitement est Spottd, dont le siège social est situé 32 rue des Volontaires, 75015 Paris.
Pour toute question relative à vos données ou pour exercer vos droits : ai.pausecom@gmail.com.
2. Le principe qui gouverne ce document
Nous ne collectons aucune donnée « au cas où ». Chaque information demandée sert une fonction identifiable du service, et ce qui n'a pas d'usage établi n'est pas collecté — la date de naissance et l'adresse personnelle d'un créateur, par exemple, ne sont pas demandées.
Les données personnelles à proprement parler (email, téléphone, nom légal) sont stockées à part du reste du profil et ne sont accessibles qu'à leur titulaire et aux administrateurs. Aucun autre utilisateur ne peut les lire, quelle que soit la requête qu'il formule.
3. Données traitées, finalités et bases légales
| Données | Finalité | Base légale |
|---|---|---|
| Email, mot de passe, téléphone (facultatif), nom légal | Créer et sécuriser le compte, vous contacter | Exécution du contrat |
| Nom affiché, photo, ville, langues, formats, biographie | Constituer la fiche visible des partenaires validés | Exécution du contrat |
| Compte Instagram ou TikTok connecté : pseudo, nombre d'abonnés, neuf dernières publications (vignette, lien, date) | Afficher votre audience et votre travail récent sur votre fiche (voir §4) | Consentement |
| Vidéos du portfolio, livrables de collaboration | Présenter votre travail, permettre la validation d'une collaboration | Exécution du contrat |
| Messages, candidatures, réservations, avis, journal d'activité | Faire fonctionner la mise en relation, traiter les litiges, prévenir les abus | Exécution du contrat, intérêt légitime |
| Indicateur de présence en ligne | Indiquer si votre interlocuteur est joignable | Intérêt légitime |
4. Données issues d'Instagram et de TikTok
Un créateur connecte son compte Instagram ou TikTok en autorisant Spottd directement sur le site de la plateforme concernée. Cette autorisation est le seul fondement de cette collecte : sans elle, nous ne lisons rien, et nous ne recherchons jamais un compte à partir d'un nom, d'une adresse email ou d'un autre réseau.
Ce que nous lisons, et rien d'autre :
- Instagram (via l'API Instagram avec connexion Instagram, autorisations
instagram_business_basicetinstagram_business_manage_insights) : votre nom d'utilisateur, votre identifiant de compte, votre nombre d'abonnés, vos neuf publications les plus récentes — pour chacune : sa vignette, son lien public, sa date, ses j'aime et commentaires —, les statistiques de votre compte sur les 28 derniers jours (comptes touchés, vues, interactions) et la répartition de vos abonnés par ville, tranche d'âge et genre. Ces répartitions sont des effectifs agrégés : elles ne désignent aucun abonné. - TikTok (via Login Kit et Display API, autorisations
user.info.basic,user.info.profile,user.info.stats,video.list) : votre nom d'utilisateur, votre identifiant de compte, votre nombre d'abonnés, votre total de j'aime, votre nombre de vidéos, et vos neuf vidéos publiques les plus récentes — pour chacune : sa vignette, son lien public, sa date, ses vues, j'aime, commentaires et partages.
Ce que nous ne lisons jamais :
- vos messages privés ;
- l'identité de vos abonnés, ou quoi que ce soit qui permette de les reconnaître ;
- le contenu intégral de vos publications, ni les fichiers vidéo eux-mêmes ;
- vos publications privées, ni celles d'un compte privé.
À quoi cela sert, précisément :
Ces informations composent votre fiche de créateur : votre nombre d'abonnés, les statistiques et la répartition de votre audience décrites ci-dessus, et une grille de vos dernières publications. Tout établissement partenaire validé peut les consulter pour décider de vous proposer une collaboration. Elles ne servent à rien d'autre : elles ne sont ni revendues, ni transmises à des tiers, ni utilisées pour du ciblage publicitaire.
Comment cette collecte fonctionne :
Elle est planifiée, jamais déclenchée par la consultation d'une fiche : un traitement quotidien rafraîchit les comptes connectés, et les pages du site lisent notre propre base. La date de la dernière mise à jour réussie est affichée, de sorte qu'une interruption se voie plutôt que de laisser croire à jour un chiffre figé. Les vignettes de vos publications sont recopiées sur notre stockage pour pouvoir être affichées ; une publication que vous supprimez disparaît de votre fiche au passage suivant.
Retirer votre autorisation :
À tout moment, et de deux façons équivalentes : depuis votre profil sur Spottd, bouton « Déconnecter » ; ou depuis les réglages de votre compte Instagram ou TikTok. Dans les deux cas, le retrait est immédiat et entraîne la suppression du compte connecté, des vignettes recopiées et du jeton d'accès. Aucune copie n'est conservée. Le retrait ne supprime pas votre compte Spottd : votre profil, vos échanges et vos collaborations subsistent.
Les utilisateurs d'Instagram peuvent également demander la suppression de leurs données depuis les réglages de leur compte Meta ; l'état de ces demandes est consultable sur notre page dédiée.
5. Sécurité des autorisations d'accès
L'autorisation que vous accordez prend la forme d'un jeton d'accès. Ce jeton est chiffré au repos dans un coffre dédié, distinct de la base applicative : aucune consultation ordinaire de nos données ne le rend lisible. Il n'est jamais inscrit dans nos journaux techniques.
Il est renouvelé automatiquement avant son expiration, tant que votre autorisation est active, et détruit dès qu'elle est retirée.
6. Qui accède à vos données
- Vous, à tout moment, depuis votre profil.
- Les partenaires validés : un établissement voit la fiche publique d'un créateur (nom affiché, ville, formats, abonnés, publications récentes, portfolio — avec, pour une vidéo issue d'une collaboration, le nom de l'établissement —, réputation). Il ne voit ni votre email, ni votre téléphone, ni votre nom légal.
- Les administrateurs de la plateforme, pour la validation des comptes, l'assistance et le traitement des litiges. Toute intervention d'un administrateur sur un profil est journalisée et l'intéressé en est informé.
- Nos sous-traitants techniques : Supabase (base de données et authentification, hébergement dans l'Union européenne), Vercel (hébergement du site), Cloudflare R2 (stockage des vidéos), Resend (envoi des emails). Chacun agit sur nos instructions et pour les seules finalités décrites ici.
Vos données ne sont ni vendues, ni louées, ni échangées.
7. Durées de conservation
| Donnée | Durée |
|---|---|
| Compte et profil | Durée de vie du compte |
| Compte social connecté, vignettes, jeton d'accès | Jusqu'au retrait de l'autorisation |
| Fichiers des livrables validés | Tant qu'ils comptent parmi les six dernières vidéos validées du créateur ou figurent dans son portfolio ; sinon 14 jours après validation, et au moins jusqu'à la fin du lendemain du jour où ils cessent d'être conservés |
| Versions non validées des livrables | 14 jours après la validation finale |
| Vidéos importées dans le portfolio | Jusqu'à leur remplacement, ou la durée de vie du compte |
| Journal d'activité | 36 mois |
| Indicateur de présence | Aucun historique : seule la dernière valeur existe, elle est écrasée |
8. Vos droits
Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de retirer votre consentement à tout moment lorsque le traitement repose sur celui-ci — ce qui est le cas de la connexion de vos comptes sociaux (§4).
Pour les exercer : ai.pausecom@gmail.com. Vous pouvez également introduire une réclamation auprès de la CNIL.
Ce que la suppression de votre compte entraîne :
- vos données personnelles sont effacées ;
- votre nom affiché devient « Utilisateur supprimé », votre photo et les vidéos que vous avez importées dans votre portfolio sont supprimées ;
- vos messages sont conservés dans les conversations où ils figurent, mais dissociés de votre identité ;
- les réservations passées subsistent sans donnée personnelle, pour la traçabilité des engagements pris entre les parties.
Une empreinte cryptographique irréversible de votre adresse email est conservée après la suppression, accompagnée du rôle et de la date. Elle ne permet pas de retrouver votre adresse et sert uniquement à empêcher qu'un compte fermé soit rouvert pour contourner une décision de modération. Cette conservation repose sur notre intérêt légitime à prévenir la fraude.