Politique de confidentialité de Sponsolab

1. Responsable du traitement

Sponsolab est édité par Waile El Mekkaoui (nom commercial « La Vague Verte »), entrepreneur individuel, SIRET 884 517 459 00035, dont le siège est situé Bâtiment E, Appartement 104, 199 avenue Pasteur, 33600 Pessac.

2. Données collectées

• Compte : adresse email, mot de passe (chiffré par Supabase Auth), rôle (marque ou créateur).
• Profil créateur : nom, pseudo, bio, ville, pays, tarifs indicatifs, catégories, photo de profil, bannière, vidéos de démonstration.
• Profil marque : nom, secteur, description, préférences de recherche, créateurs mis en favoris, campagnes et offres ouvertes.
• Connexion Instagram/TikTok (optionnelle, à l'initiative du créateur) : identifiant du compte, nombre d'abonnés, taux d'engagement, photo de profil. Le jeton d'accès est chiffré (AES-256-GCM) avant stockage ; aucun mot de passe de réseau social n'est jamais collecté.
• Synchronisation YouTube/Twitch (optionnelle) : à partir de la chaîne indiquée par le créateur, nous lisons uniquement des statistiques publiques (abonnés, vues, profil public).
• Paiement : les coordonnées bancaires et de carte, ainsi que les justificatifs d'identité demandés aux créateurs pour recevoir leurs virements, sont saisis et traités directement par Stripe — la Plateforme n'y a jamais accès et ne les stocke pas. Elle conserve uniquement les identifiants Stripe, les montants, les statuts et les factures des contrats. Pour les Marques qui bénéficient du premier mois offert, elle conserve en outre l'empreinte du moyen de paiement (identifiant technique fourni par Stripe, qui ne permet pas de retrouver le numéro de carte).
• Messagerie, contrats et tickets support : contenu des messages échangés sur la Plateforme, termes des contrats, livrables UGC.
• Données techniques : adresse IP, type de navigateur et journaux d'erreurs (hébergement, suivi d'erreurs, limitation du nombre de tentatives de connexion et d'inscription).

3. Finalités et base légale

• Exécution du contrat : fourniture du service, mise en relation, messagerie, contrats, paiements, abonnements, support, notifications par email liées à votre activité.
• Intérêt légitime : sécurité, prévention de la fraude et des abus (notamment des essais répétés de l'offre du premier mois offert, via l'empreinte du moyen de paiement), suivi des erreurs, amélioration du service.
• Consentement : connexion d'un compte Instagram ou TikTok et synchronisation YouTube/Twitch, que le créateur déclenche volontairement et peut interrompre à tout moment.
• Obligation légale : conservation des pièces comptables et des justificatifs de paiement.

4. Sous-traitants et destinataires

Sponsolab fait appel aux prestataires suivants, qui traitent des données pour son compte ou à votre demande. Aucune donnée n'est vendue ni partagée à des fins publicitaires.

• Supabase : base de données, authentification et stockage des fichiers (photos, bannières, livrables, contrats PDF) ;
• Vercel : hébergement et exécution de l'application (requêtes, adresses IP, journaux), ainsi que la mesure d'audience Vercel Web Analytics (pages vues et clics sur les boutons d'inscription, voir article 8) ;
• Stripe : paiements, abonnements des marques et virements aux créateurs (Stripe Connect) ;
• Resend : envoi des emails transactionnels (adresse email du destinataire et contenu de la notification) ;
• Sentry : suivi des erreurs et des performances (message d'erreur, page concernée, navigateur, adresse IP) ;
• Anthropic (modèle Claude) : fonctions de matching par intelligence artificielle réservées aux marques. Sont transmis : le besoin saisi par la marque (brief en texte libre, critères et préférences de recherche, description de sa marque) et, pour chaque créateur publié présélectionné, son nom, sa bio, sa ville, son pays, ses tarifs indicatifs et ses statistiques d'audience. Aucune adresse email ni donnée de paiement n'est envoyée. Le résultat (un score et une courte justification) aide la marque à choisir ; il ne produit aucune décision automatisée à effet juridique. Ces données ne servent pas à entraîner les modèles d'Anthropic, conformément à ses conditions commerciales d'utilisation de l'API ;
• Meta (Instagram), TikTok, Google (YouTube) et Twitch : uniquement dans le cadre de la connexion ou de la synchronisation initiée volontairement par le créateur (échange de jetons, lecture des statistiques et du profil).

5. Transferts hors Union européenne

Certains de ces prestataires (notamment Stripe, Vercel, Resend, Sentry, Anthropic, Meta, TikTok, Google et Twitch) sont établis ou traitent des données hors de l'Union européenne, en particulier aux États-Unis, et il peut en aller de même pour Supabase selon la région d'hébergement. Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne (décision d'exécution (UE) 2021/914), et, lorsque le prestataire y est certifié, par le cadre de protection des données UE–États-Unis (Data Privacy Framework).

6. Durée de conservation

• Compte, profil, messages, favoris, préférences, tickets support : pendant toute la durée d'activité du compte, puis supprimés immédiatement lors de la suppression du compte.
• Jetons de connexion Instagram/TikTok : tant que la connexion est active, supprimés à la suppression du compte.
• Photos de profil et bannières : supprimées de notre stockage à la suppression du compte.
• Contrats, paiements et factures : 10 ans à compter de la clôture de l'exercice comptable, conformément à l'article L. 123-22 du Code de commerce. Si votre compte a déjà donné lieu à un contrat, il est anonymisé (nom, email, fiche et connexions effacés) et seules ces pièces sont conservées.
• Empreinte du moyen de paiement d'un essai : 730 jours à compter de l'essai, y compris après la suppression du compte, afin d'éviter les essais répétés ; elle est ensuite supprimée automatiquement.
• Journaux techniques (hébergement, suivi d'erreurs, emails envoyés) : 90 jours maximum.

7. Vos droits

Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur vos données, ainsi que du droit de retirer à tout moment votre consentement (par exemple en supprimant la connexion à un réseau social).

• Accès et portabilité : téléchargez vos données au format JSON depuis la page « Supprimer mon compte » de votre espace.
• Rectification : modifiez votre profil à tout moment depuis votre espace.
• Effacement : supprimez votre compte depuis votre espace (voir durées de conservation ci-dessus pour les pièces comptables et l'empreinte du moyen de paiement d'un essai, conservée pour prévenir les abus).
• Opposition, limitation, toute autre demande : écrivez à contact@sponsolab.fr ; nous répondons dans un délai d'un mois.

Sponsolab n'a pas désigné de délégué à la protection des données (DPO), cette désignation n'étant pas obligatoire pour son activité ; contact@sponsolab.fr est l'interlocuteur pour toute question. Vous pouvez également introduire une réclamation auprès de la CNIL (cnil.fr).

8. Cookies et stockage local

La Plateforme utilise uniquement des cookies strictement nécessaires à son fonctionnement : maintien de la session de connexion et protection anti-CSRF pendant la connexion Instagram/TikTok. Vos préférences d'affichage (thème clair/sombre, menu replié) sont mémorisées dans le stockage local de votre navigateur. Aucun cookie publicitaire n'est déposé. La mesure d'audience (Vercel Web Analytics) ne dépose aucun cookie ni ne stocke d'information sur votre appareil : elle compte les pages vues et quelques clics (boutons d'inscription) de façon agrégée, sans vous identifier ; elle ne nécessite donc pas de bandeau de consentement.

9. Sécurité

Les connexions au service sont chiffrées (HTTPS). Les jetons d'accès aux réseaux sociaux connectés sont chiffrés en base (AES-256-GCM). L'accès aux données sensibles (paiements, informations personnelles) est restreint par des règles de sécurité appliquées au niveau de la base de données.

10. Contact et mises à jour

Pour toute question relative à cette politique : contact@sponsolab.fr. Dernière mise à jour : 10 octobre 2026.