Politique de confidentialité

1. Qui sommes-nous et comment nous contacter

Tribushare est exploité par SYLOE GROUP, SAS, immatriculée en France (SIREN 898 633 409), dont le siège social est situé 1 rue Albert Camus, 95130 Le Plessis-Bouchard, France. SYLOE GROUP, SAS est le responsable du traitement des données personnelles traitées dans le cadre de l’exploitation du Service Tribushare.

2. Champ d’application

La présente Politique de confidentialité s’applique aux données personnelles collectées et traitées par SYLOE GROUP, SAS au moyen de la plateforme Tribushare, y compris le site web (tribushare.com), les pages des films, les pages société et les sites des Créateurs (y compris les sites accessibles sur le propre domaine d’un Créateur), les API et l’ensemble des services associés. Elle s’applique à tous les Utilisateurs : Spectateurs, Créateurs et participants aux films.

Tribushare est le responsable du traitement des données personnelles des Spectateurs traitées dans le cadre d’un achat, en tant que vendeur officiel (seller of record) de cet achat. Les Créateurs ne sont responsables du traitement que pour les données personnelles que Tribushare leur transmet et qu’ils utilisent ensuite à leurs propres fins ; lorsque Tribushare traite des données personnelles uniquement sur instructions documentées d’un Créateur, elle agit en qualité de sous-traitant, dans le cadre de l’Avenant relatif au traitement des données.

Tribushare exerce son activité principalement au sein de l’Union européenne et est soumise au RGPD (règlement (UE) 2016/679). Lorsque Tribushare traite des données de personnes situées dans d’autres juridictions, Tribushare se conforme à la législation locale applicable en matière de protection des données dans la mesure requise.

La présente Politique de confidentialité est disponible en anglais, en français et en espagnol. Chaque version linguistique fait également foi.

3. Données personnelles que nous collectons

3.1 Données que vous fournissez directement

• Création du Compte : nom et adresse e-mail, ainsi qu’un mot de passe (haché) si vous en choisissez un ; vous pouvez également vous connecter avec un code à usage unique envoyé par e-mail ou avec Google
• Données complémentaires du Compte Créateur : nom de l’organisation, informations de la page société, coordonnées de facturation de la formule film ; les données d’identité, fiscales et bancaires nécessaires aux versements sont collectées par Stripe lors de l’inscription aux versements
• Participants aux films : nom de la société et adresse e-mail communiqués par le Créateur ; les données d’identité, fiscales et bancaires du participant sont collectées par Stripe lors de l’inscription aux versements
• Données de paiement : données de carte de crédit/débit et données des instruments de paiement traitées par Stripe (Tribushare ne conserve pas les numéros de carte ; Stripe agit en qualité de responsable du traitement indépendant pour les données de paiement)
• Communications : contenu des messages envoyés au support Tribushare (y compris au moyen du formulaire de contact Tribushare, dont les messages sont également envoyés sur le Discord de l’équipe sous forme de notification), legal@tribushare.com, ou privacy@tribushare.com
• UGC : messages envoyés au moyen des formulaires de contact des pages des films et des sites des Créateurs
• Abonnements et préférences d’actualités : les films et les Créateurs que vous suivez, votre consentement à recevoir leurs actualités et vos préférences en matière d’e-mails
• Assistant du tableau de bord : pour les Créateurs, les messages, documents et images qu’ils confient à l’assistant
• Métadonnées du Contenu : pour les Créateurs, les titres des films, descriptions, informations sur la distribution et l’équipe technique, ainsi que les paramètres de disponibilité territoriale téléversés sur le Service

3.2 Données collectées automatiquement

• Données d’utilisation : pages visitées, fonctionnalités utilisées, contenus consultés, recherches effectuées, source de provenance, durée de session
• Données techniques et relatives à l’appareil : adresse IP, type et version du navigateur, système d’exploitation, identifiants de l’appareil, résolution d’écran
• Données de streaming : événements de lecture (démarrage, pause, fin), événements de mise en mémoire tampon, durée de visionnage et indicateurs de qualité, utilisés pour l’optimisation du service et les statistiques des Créateurs
• Données de Transaction : achats, locations et cadeaux, crédit Share & Earn et achats effectués au moyen de vos liens
• Mesure d’audience : pages consultées, site référent, appareil, ainsi que le pays et la ville déduits de votre adresse IP, enregistrés sans cookie sous une empreinte (hash) de votre adresse IP et de votre navigateur renouvelée chaque jour, et conservés pendant 365 jours
• Diagnostic des erreurs : les détails techniques des erreurs (page, navigateur, identifiant de compte) sont envoyés à Sentry pour aider à les corriger ; si vous acceptez les cookies analytiques, un enregistrement des derniers instants de la page est également envoyé lorsqu’une erreur survient, le texte et les médias de la page étant masqués
• Interactions avec les e-mails : Brevo enregistre si les e-mails envoyés par Tribushare sont remis, ouverts et cliqués ; ces événements sont également comptabilisés par campagne dans PostHog, sans votre adresse e-mail
• Données de journalisation : journaux d’accès au serveur, journaux d’erreurs, journaux d’événements de sécurité, conservés pendant 6 mois au maximum
• Cookies et données de suivi : comme décrit à la section 6

3.3 Données provenant de tiers

• Confirmation de paiement et signaux de fraude provenant de Stripe
• Données de connexion lorsque vous choisissez de vous authentifier avec Google, limitées aux données dont vous autorisez le partage par Google (nom, adresse e-mail, photo de profil)
• Attribution Share & Earn : le lien personnel par lequel un visiteur est arrivé, utilisé pour créditer les récompenses Share & Earn

4. Comment nous utilisons vos données personnelles : bases légales

Tribushare ne traite des données personnelles que lorsqu’une base légale valable au sens de l’article 6 du RGPD s’applique. Chaque activité de traitement repose sur une base légale unique et désignée.

Les intérêts légitimes poursuivis par Tribushare comprennent : l’exploitation d’un service sécurisé et fonctionnel ; la prévention de la fraude et des abus ; l’amélioration de la plateforme sur la base des usages constatés ; et le fait de faire respecter nos Conditions d’utilisation. Lorsqu’elle se fonde sur des intérêts légitimes, Tribushare a procédé à une mise en balance confirmant que les droits et libertés des personnes concernées ne prévalent pas sur ces intérêts.

5. Avec qui nous partageons vos données

5.1 Sous-traitants ultérieurs (prestataires)

Tribushare fait appel aux prestataires tiers suivants, qui traitent des données personnelles pour le compte de Tribushare. Un accord de traitement des données (DPA) est en place ou en cours de conclusion avec chaque prestataire. Les adresses URL de référence des DPA sont fournies par souci de transparence et peuvent être vérifiées de manière indépendante.

DPF = EU-US Data Privacy Framework. CCT = clauses contractuelles types de l’UE (décision 2021/914 de la Commission). SOC 2 = audit de sécurité annuel indépendant. Tribushare informe les utilisateurs de tout changement de sous-traitant ultérieur dans un délai de 30 jours. Liste complète : privacy@tribushare.com.

5.2 Créateurs, accès aux données des Spectateurs

Les Créateurs ont accès aux statistiques d’audience de leur Contenu au moyen du tableau de bord Créateur (par exemple ventes, visiteurs, répartition géographique, indicateurs d’engagement). Ils n’ont pas accès aux données de paiement.

Tribushare communique au Créateur concerné le nom et l’adresse e-mail des Spectateurs qui suivent ses films ou sa page société, y compris au moyen de l’option d’inscription proposée lors du paiement, ainsi que le fait qu’ils ont ou non effectué un achat. Sur les sites des Créateurs, le Créateur peut également consulter et exporter le nom et l’adresse e-mail des Spectateurs qui achètent ou louent ses films ou qui reçoivent un accès à ceux-ci. Le Créateur peut exporter ces listes et synchroniser ses abonnés avec son propre outil d’envoi d’e-mails (tel que Brevo ou Mailchimp). Dès sa réception de ces données, le Créateur est responsable du traitement indépendant pour sa propre copie et est seul responsable de leur utilisation conformément à la législation applicable en matière de protection des données, de vie privée dans les communications électroniques et de lutte contre le spam (y compris les exigences de l’UE en matière de consentement préalable à la prospection).

Les actualités qu’un Créateur envoie à ses abonnés par l’intermédiaire de Tribushare sont envoyées par Tribushare, depuis son propre service d’e-mail, et chacun de ces e-mails vous permet de vous désinscrire en un clic.

Un Créateur peut également ajouter un Meta Pixel ou un Google tag à son site. Ces balises ne se chargent que si vous acceptez les cookies publicitaires dans le bandeau cookies, et uniquement sur les pages de compte, d’achat, de cadeau, de bibliothèque, juridiques et de visionnage de ce site ; elles transmettent alors à Meta ou à Google les pages vues ainsi que les événements de paiement et d’achat de ce site, lesquels les traitent selon leurs propres conditions.

5.3 Communication imposée par la loi

Tribushare peut communiquer des données personnelles aux autorités répressives, aux organismes de réglementation ou aux juridictions lorsque la loi applicable, une décision de justice ou une injonction réglementaire l’exige. Tribushare s’efforcera d’en informer préalablement l’Utilisateur concerné lorsque la loi le permet. Tribushare ne communiquera pas de données personnelles en réponse à des demandes informelles des autorités répressives en l’absence de mandat légal formel.

5.4 Transferts d’activité

En cas de fusion, d’acquisition ou de cession de la totalité ou de la quasi-totalité des actifs de Tribushare, les données personnelles détenues par Tribushare peuvent être transférées à l’entité acquéreuse dans le cadre de l’opération, sous réserve de garanties équivalentes en matière de protection des données et d’une information des Utilisateurs concernés.

5.5 Aucune vente de données personnelles

Tribushare ne vend, ne loue ni n’échange de données personnelles avec des tiers à des fins de marketing ou à des fins commerciales propres à ces tiers. Tribushare ne permet pas à des annonceurs tiers de cibler les Utilisateurs sur la base de leur activité sur Tribushare.

6. Cookies et technologies de suivi

6.1 Ce que nous utilisons

Tribushare utilise des cookies, le stockage local et des technologies de suivi similaires pour faire fonctionner le Service et, lorsque vous y avez consenti, pour analyser l’utilisation et améliorer la plateforme.

6.2 Gérer vos préférences

Lors de votre première visite, un bandeau de gestion du consentement vous permet d’accepter ou de refuser les cookies non essentiels. Le bandeau propose des options « Tout accepter » et « Tout refuser » présentées de manière également visible, conformément aux recommandations de la CNIL (2020, mises à jour en 2022). Vous pouvez modifier vos préférences à tout moment via le lien « Préférences cookies » situé en pied de page du Service. Votre choix est conservé pendant 12 mois, après quoi vos préférences vous seront de nouveau demandées. Pour des informations détaillées sur les cookies utilisés sur le Service, y compris leurs noms, leurs fournisseurs et leurs durées, veuillez consulter notre Politique relative aux cookies.

7. Vos droits

Si vous vous trouvez dans l’Union européenne ou dans l’Espace économique européen, vous bénéficiez des droits suivants en vertu du RGPD. Tribushare répondra à toute demande valable dans un délai de 30 jours à compter de sa réception. Lorsqu’une demande est complexe ou que les demandes sont nombreuses, le délai de réponse peut être prolongé de 60 jours supplémentaires, après vous en avoir informé. Toutes les demandes courantes sont gratuites.

7.1 Supprimer votre Compte

Vous pouvez supprimer vous-même votre Compte dans les paramètres de votre compte, sauf si vous êtes propriétaire d’une organisation, disposez d’un solde de gains ou êtes un participant actif à un film ; dans ces cas, contactez privacy@tribushare.com. Lorsque vous supprimez votre Compte, Tribushare efface ou anonymise les données suivantes : vos nom, adresse e-mail et photo ; vos sessions de connexion et les méthodes de connexion associées ; vos conversations avec l’assistant du tableau de bord et les instructions qu’elles contiennent ; vos commentaires et l’adresse IP enregistrée avec eux ; vos positions de lecture et vos paramètres Share & Earn ; l’adresse e-mail figurant sur vos tentatives de paiement, envois de formulaires, messages du formulaire de contact, signalements, notifications et commandes de cadeaux reçues ; les événements d’e-mail et les invitations envoyés à votre adresse ; les films et les Créateurs que vous suivez et vos inscriptions aux newsletters ; et les fiches de contact que les Créateurs détiennent à votre sujet sur Tribushare. Tout crédit Share & Earn est perdu. Vos pages vues et vos événements analytiques sont dissociés de votre Compte et supprimés au bout de 365 jours. Dans une organisation dont vous n’êtes pas propriétaire, vous apparaissez alors comme « Utilisateur supprimé ».

Ce que Tribushare conserve, et pourquoi :

• Parce que la loi l’exige : les achats, les commandes de cadeaux, le registre des gains et les participations aux films (pièces comptables et fiscales) ; vos acceptations des Conditions, du Contrat Créateur et des Conditions de versement aux participants, ainsi que l’adresse IP et le navigateur enregistrés avec votre consentement lors du paiement (preuve du consentement et du contrat)
• Au titre des intérêts légitimes : les journaux d’audit de sécurité ; une entrée de liste d’exclusion afin que vos désinscriptions continuent d’être respectées ; les signalements que vous avez soumis, sans votre adresse e-mail ; et les preuves de consentement liées aux abonnements passés, comme preuve du consentement pour les e-mails déjà envoyés
• Les données qui ne vous identifient plus : le nombre d’utilisations de l’IA par organisation, le nombre de vues des vidéos utilisé pour la déclaration des revenus et le code de votre lien Share & Earn
• Chez Stripe : votre fiche client Stripe, selon les règles de conservation propres à Stripe

Les contacts qu’un Créateur a déjà synchronisés avec son propre outil d’envoi d’e-mails (tel que Brevo ou Mailchimp) sont détenus par ce Créateur en qualité de responsable du traitement indépendant : demandez au Créateur de les supprimer.

8. Transferts internationaux de données

Tribushare est établie en France et traite les données principalement au sein de l’Union européenne. Certains sous-traitants ultérieurs opèrent à l’échelle mondiale ou aux États-Unis. Lorsque des données personnelles sont transférées en dehors de l’Espace économique européen (EEE), Tribushare s’assure que des garanties appropriées sont en place :

• EU-US Data Privacy Framework (DPF) : pour les sous-traitants établis aux États-Unis certifiés au titre du DPF (y compris Stripe et Google)
• Clauses contractuelles types (CCT) de l’UE : les CCT adoptées par la Commission en 2021, intégrées aux DPA conclus avec les sous-traitants établis dans des pays ne bénéficiant pas d’une décision d’adéquation
• Décisions d’adéquation : lorsque la Commission européenne a constaté que le pays de destination assure un niveau de protection adéquat

Tribushare ne transfère pas de données personnelles vers des pays ne disposant d’aucun mécanisme de transfert applicable. La liste des sous-traitants ultérieurs figurant à la section 5.1 indique le mécanisme de transfert applicable à chaque prestataire. Vous pouvez demander une copie des CCT pertinentes en contactant privacy@tribushare.com.

9. Sécurité des données

Tribushare met en œuvre des mesures techniques et organisationnelles appropriées afin de protéger les données personnelles contre la destruction accidentelle ou illicite, la perte, l’altération, la divulgation ou l’accès non autorisés. Ces mesures comprennent :

• Le chiffrement des données personnelles en transit (TLS 1.2+) et au repos (AES-256 ou équivalent)
• Les contrôles d’accès : accès fondé sur les rôles, principe du moindre privilège, authentification multifacteur pour les accès d’administration
• Des sauvegardes automatisées régulières conservées 90 jours
• La surveillance de la sécurité : détection des intrusions, alertes en cas d’anomalie et analyses régulières des vulnérabilités
• Des pratiques de développement logiciel sécurisé, notamment la revue de code et l’audit des dépendances
• Le chiffrement des fichiers vidéo lors de leur encodage ; la clé de déchiffrement et les liens vidéo, qui expirent, ne sont remis qu’aux Spectateurs connectés qui disposent d’un accès

Aucun système ne peut garantir une sécurité absolue. En cas de violation de données personnelles susceptible d’engendrer un risque pour vos droits et libertés, Tribushare notifiera la CNIL dans un délai de 72 heures après en avoir pris connaissance et informera les Utilisateurs concernés dans les meilleurs délais lorsque le risque pour leurs droits est élevé.

10. Mineurs

Le Service est destiné aux personnes âgées de 18 ans et plus. Tribushare ne collecte pas sciemment de données personnelles concernant des personnes âgées de moins de 18 ans. Si Tribushare apprend que des données personnelles ont été collectées auprès d’un mineur sans le consentement parental approprié, Tribushare supprimera ces données sans délai. Si vous pensez que des données d’un mineur ont été collectées, veuillez contacter immédiatement privacy@tribushare.com.

11. Modifications de la présente Politique de confidentialité

Tribushare peut mettre à jour la présente Politique de confidentialité de temps à autre afin de refléter l’évolution de la loi, de nos activités de traitement de données ou de nos services. Les modifications substantielles seront notifiées par e-mail et par un avis bien visible sur le Service au moins 30 jours avant leur entrée en vigueur. La date d’entrée en vigueur est indiquée en haut du présent document.