Politique de confidentialité

1. Qui nous sommes

Candid Cam (« nous », « notre », « nos ») exploite candidcam.app, une plateforme qui permet aux hôtes d’événements de collecter et de sélectionner les photos de leurs invités au moyen d’un code QR. Vous pouvez nous joindre à hello@candidcam.app.

2. Ce que nous collectons

Hôtes : adresse e-mail, nom et identifiants de compte lors de votre inscription. Les données de paiement sont gérées par Stripe ; nous ne stockons jamais les numéros de carte.
Comptes établissement et Event Pro : coordonnées professionnelles et de contact, invitations et rôles des membres de l’équipe, liens de configuration des clients, associations aux événements, relevés de commissions et de versements, ainsi que l’état de l’intégration à Stripe Connect. Stripe conserve les informations du compte de versement ; nous ne conservons pas les numéros de compte bancaire.
Invités : nom et adresse e-mail facultatifs saisis au moment de l’ajout, ainsi que les photos ou vidéos que vous choisissez d’importer.
Données de prévention des abus : lorsqu’un invité ajoute un fichier, nous enregistrons une version hachée (pseudonymisée) de son adresse IP ainsi qu’une empreinte de son appareil. Nous ne conservons jamais l’adresse IP brute. Ces données servent uniquement à limiter le nombre de requêtes, à prévenir le spam et les abus et à modérer les contenus — jamais à faire de la publicité ni à suivre les invités sur d’autres sites.
Données d’utilisation : vues agrégées des pages marketing publiques et interactions par catégorie lorsque les statistiques facultatives sont configurées, ainsi que des décomptes opérationnels, comme le nombre de téléversements, qui nous aident à exploiter et à améliorer le produit.

3. Statistiques du site marketing public et acquisition

Sur les pages marketing publiques et les pages de configuration d’événement, nous pouvons utiliser Plausible pour comptabiliser des pages vues agrégées et des actions au niveau des catégories, comme la sélection d’un lien de création d’événement ou l’achèvement d’une étape de configuration, lorsque ce service d’analyse facultatif est configuré. Après la création d’un brouillon privé, un petit ensemble d’événements fixes du cycle de vie peut également être envoyé depuis l’écran privé de l’événement, au moyen d’une URL virtuelle de démarrage d’événement. Les propriétés des événements utilisent des catégories fixes pour le type de page, la position de l’action, la version du texte, le type de campagne, la catégorie d’appareil et l’état de la configuration. Elles ne contiennent ni texte brut de lien, ni destinations, ni URL de pages privées, ni identifiants d’événement ou d’utilisateur, ni noms d’événements, ni adresses e-mail, ni noms de fichiers, ni jetons d’invité. Les pages vues n’envoient qu’un chemin d’accès de page publique nettoyé et, lorsqu’elles sont présentes et valides, des valeurs normalisées de source, de support et de campagne. Nous ne suivons ni la chaîne de requête brute, ni les fragments d’URL, ni aucun paramètre de requête sans rapport.

Nous utilisons également un cookie d’acquisition de première partie, nommé cc_attribution, jusqu’à 30 jours. Lorsqu’un visiteur arrive avec des catégories de campagne valides ou depuis un site externe, le cookie peut contenir des catégories normalisées de source et de support, des catégories facultatives de campagne et de contenu publicitaire, le nom d’hôte du site référent externe, un chemin d’accès d’arrivée nettoyé et l’heure de collecte. Il ne contient ni chaîne de requête brute, ni URL complète du site référent, ni nom, ni adresse e-mail, ni identifiant d’utilisateur ou d’événement, ni jeton d’invité. Nous l’utilisons pour déterminer quelle source marketing a initialement dirigé un nouvel hôte vers nous et pour conserver la même attribution au niveau des catégories jusqu’au paiement.

L’outil d’analyse Plausible fonctionne sans cookies : il ne dépose ni cookie ni autre identifiant dans votre navigateur et ne vous suit pas d’un site à l’autre.

Certaines de ces actions (enregistrer un brouillon dans votre compte, créer un brouillon, publier un événement, et démarrer ou finaliser un paiement) sont envoyées à Plausible depuis notre serveur, afin d’être comptées de façon fiable. Pour cela, nous conservons votre adresse IP, l’agent utilisateur de votre navigateur et l’adresse de la page de configuration avec l’action pendant 7 jours au maximum, puis nous les supprimons. Nous les utilisons uniquement pour envoyer cette action à Plausible, sous la même forme que le script de Plausible les enverrait depuis votre navigateur. Nous ne les envoyons jamais à Meta, sauf si vous autorisez la mesure publicitaire.

En dehors du Royaume-Uni, de l’Union européenne, de l’Espace économique européen et de la Suisse, nous chargeons par défaut le pixel Meta sur les pages publiques de marketing et de configuration d’événements. Vous pouvez le désactiver, puis le réactiver, à tout moment via « Choix de mesure publicitaire » en bas de page ou ci-dessous. Nous respectons le signal Global Privacy Control : lorsque votre navigateur l’envoie, le pixel n’est pas chargé. Le signal Do Not Track a le même effet, sauf si vous autorisez ensuite la mesure publicitaire ici. Au Royaume-Uni, dans l’UE, dans l’EEE et en Suisse, le pixel n’est chargé qu’après que vous avez sélectionné « Accepter » dans notre bandeau de consentement, et vous pouvez modifier ce choix de la même manière. Nous déterminons la règle applicable à partir du pays de votre adresse IP, que nous conservons pendant un jour dans un cookie propriétaire nommé cc_region. Si nous ne pouvons pas déterminer le pays, nous appliquons la règle du consentement.

Le pixel enregistre les pages vues et définit les identifiants de navigateur de première partie de Meta. Après la création réussie d’un brouillon d’événement privé, le pixel peut envoyer à Meta un événement de mesure de création de brouillon. Son identifiant d’événement est un hachage à sens unique avec clé d’un identifiant interne : il permet à Meta de ne compter chaque brouillon qu’une seule fois et de rapprocher la copie envoyée par le navigateur de celle envoyée par notre serveur, et il ne peut pas être reconverti en identifiant de votre compte ou de votre événement. Nous n’utilisons pas la correspondance avancée automatique de Meta : le pixel ne lit donc pas les champs de formulaire, comme votre adresse e-mail.

Selon les mêmes règles, notre serveur envoie à Meta les événements suivants : création d’un brouillon, inscription d’un compte, publication d’un événement, début du paiement et achat (y compris les passages à une formule supérieure). Les événements de paiement et d’achat comprennent le montant et la devise de la commande. Avec chaque événement, nous envoyons un hachage à sens unique de l’adresse e-mail de votre compte, un hachage à sens unique de l’identifiant de votre compte, votre adresse IP, la chaîne user-agent de votre navigateur et tout identifiant de clic ou de navigateur Meta déjà défini. Ces identifiants de mesure sont conservés dans nos données de facturation privées et ne sont pas placés dans les métadonnées Stripe. Nous n’envoyons à Meta ni les ajouts des invités, ni le nom des événements, ni les données de carte, ni les adresses e-mail saisies par le payeur, ni les adresses e-mail brutes des comptes, ni les identifiants internes des événements. Nous utilisons ces données pour mesurer et améliorer nos publicités payantes.

Vous pouvez supprimer le cookie d’acquisition via les paramètres de données de site de votre navigateur. Les outils de confidentialité des navigateurs peuvent également bloquer les statistiques agrégées facultatives. Si vous avez des questions sur cette utilisation des données, contactez-nous à l’adresse hello@candidcam.app.

4. Comment nous utilisons vos données

Pour faire fonctionner le service : stocker les téléversements, envoyer les e-mails d’album et gérer les événements.
Pour communiquer avec vous au sujet de votre compte ou de votre événement.
Pour vous envoyer des actualités facultatives sur le produit si vous y avez consenti (vous pouvez vous désabonner à tout moment).
Pour détecter et prévenir les abus ou les utilisations détournées de la plateforme.

5. Stockage de photos et de médias

Les médias téléversés sont stockés de manière sécurisée. Selon la configuration de l’événement, ils peuvent être consultés par l’hôte de l’événement, les propriétaires, gestionnaires ou membres du personnel autorisés de l’établissement, un responsable Event Pro désigné et les invités qui reçoivent un lien d’album. L’accès est limité selon chaque rôle. Les hôtes contrôlent les médias de leur événement et peuvent supprimer à tout moment des photos ou vidéos individuelles, ou l’événement entier. Pour les nouveaux événements Free, la première publication fixe la date d’expiration à 30 jours après la fin prévue de l’événement. Nous envoyons un e-mail à l’hôte 7 jours et 1 jour avant cette échéance, et l’hôte peut télécharger les médias depuis le tableau de bord tant qu’ils restent disponibles. Par ailleurs, les médias des événements payants restent stockés jusqu’à ce que l’hôte les supprime. Les enregistrements existants des événements en brouillon et des événements offerts conservent leurs conditions actuelles. Nous n’utilisons pas les photos des invités pour l’entraînement de modèles, la publicité ou toute autre fin que la fourniture du service.

6. Partage de données

Nous ne vendons pas vos données. Nous utilisons un petit nombre de services tiers de confiance pour faire fonctionner la plateforme, notamment Supabase (base de données et stockage), Stripe (paiements), Resend (envoi d’e-mails) et Meta (mesure publicitaire, selon les règles de la section 3). Chaque prestataire est soumis à sa propre politique de confidentialité et aux lois applicables en matière de protection des données.

7. Consentement des invités

Avant d’ajouter des photos ou des vidéos, chaque invité voit sur l’écran d’ajout un court avis expliquant que ses contributions seront vérifiées par l’hôte de l’événement ou par une équipe autorisée de l’événement et pourront apparaître dans un album partagé. L’avis explique aussi que nous enregistrons des données techniques limitées (une adresse IP approximative et hachée ainsi qu’une empreinte numérique de l’appareil) afin de prévenir les abus, et contient des liens vers la présente Politique de confidentialité et nos Conditions d’utilisation. En procédant à l’ajout de photos ou de vidéos, l’invité reconnaît avoir pris connaissance de cet avis. Si un invité fournit une adresse e-mail, elle sert à lui envoyer l’album et deux rappels d’ajout pour cet événement ; les communications marketing nécessitent un consentement distinct. Les invités peuvent demander la suppression de leurs ajouts en contactant l’hôte ou en nous écrivant à hello@candidcam.app.

8. Conservation des données

Les comptes hôtes et les données associées sont conservés tant que le compte est actif. Pour les événements Free nouvellement inscrits, la première publication fixe la date d’expiration à 30 jours après la fin prévue de l’événement. Nous avertissons l’hôte au moins 7 jours et 1 jour avant cette date. Si l’un des avertissements est absent ou envoyé en retard, nous reportons la suppression jusqu’à ce que le délai de préavis complet ait été respecté. Les médias des événements payants sont conservés jusqu’à ce que l’hôte les supprime. Lorsqu’un invité fournit une adresse e-mail pour recevoir les actualités de l’événement, celle-ci est conservée uniquement afin d’envoyer l’album et les deux rappels d’ajout de l’événement. Les données d’adresse IP hachée et d’empreinte de l’appareil recueillies pour prévenir les abus ne sont conservées que pendant la durée nécessaire à cette fin et ne sont pas reliées à l’identité de l’invité. Les hôtes peuvent télécharger les médias de l’événement depuis le tableau de bord pendant leur conservation. Les invités peuvent contacter l’assistance pour demander la suppression de leurs contributions ; les hôtes contrôlent la suppression des médias de leur événement. Vous pouvez nous contacter à l’adresse hello@candidcam.app.

9. Vos droits

Selon l’endroit où vous vous trouvez, vous pouvez avoir le droit d’accéder à vos données personnelles, de les corriger ou de les supprimer. Pour exercer l’un de ces droits, contactez-nous à l’adresse hello@candidcam.app.

10. Stockage des profils invités

Pour éviter aux invités de ressaisir leurs coordonnées à chaque événement, Candid Cam conserve dans le localStorage de leur propre navigateur le nom et l’adresse e-mail qu’ils ont saisis. Ces données ne quittent jamais l’appareil, sauf si l’invité choisit d’effectuer un ajout ; nous ne les lisons pas sur nos serveurs. Pour les effacer, ouvrez les paramètres de votre navigateur et supprimez les données du site candidcam.app, ou utilisez le mode privé ou navigation privée de votre navigateur.

11. Signaler un problème de sécurité

Si vous pensez avoir trouvé une vulnérabilité de sécurité dans Candid Cam, veuillez la signaler à hello@candidcam.app. Nous accusons réception des signalements dans un délai de 2 jours ouvrables et vous tiendrons informé pendant notre enquête. Merci de ne pas rendre le problème public tant que nous n’aurons pas eu l’occasion de le traiter.

12. Modifications de cette politique

Nous pourrions mettre à jour cette politique de temps à autre. Les modifications importantes seront communiquées par e-mail ou par avis sur le site. L’utilisation continue de Candid Cam après des modifications constitue l’acceptation de la politique mise à jour.