StreamClipping AI Privacy Policy

1. Responsable du traitement

Le responsable du traitement des données personnelles collectées via le service StreamClipping AI (ci-après « le Service », « l'Application », ou « StreamClipping AI »), accessible sur app.streamclipping.ai, est :

• StreamClipping, société par actions simplifiée (SAS) au capital de 1 000 €, exploitant le service sous la marque « StreamClipping AI »
• Siège social : 5 rue des Wallons, 75013 Paris, France
• RCS Paris 107 353 054 — SIREN : 107 353 054
• TVA intracommunautaire : FR65 107 353 054
• Représentée par son Président, Monsieur Fadi Blottiaux
• Contact : fondateur@streamclipping.ai

Aucun délégué à la protection des données (DPO) n'a été désigné, l'entreprise étant en-dessous des seuils du RGPD imposant cette désignation. Toute demande relative aux données personnelles peut être adressée directement au responsable de traitement à l'adresse ci-dessus.

2. Données collectées et finalités

Conformément à l'article 5 du RGPD (minimisation), le Service ne collecte que les données strictement nécessaires aux finalités suivantes :

Important : les données bancaires complètes (numéro de carte, CVV) ne transitent jamais par nos serveurs. Elles sont collectées et stockées exclusivement par notre prestataire Stripe Inc. certifié PCI-DSS Level 1.

3. Hébergement et localisation des données

Vos données sont stockées chez les sous-traitants suivants :

• Supabase Inc. (PostgreSQL + authentification), région eu-west-3 (Paris, France)
• Cloudflare R2 (stockage des fichiers vidéo), région EU
• OVH SAS (serveur API, base Redis et files de traitement), datacenters situés en France (UE)
• Traitement vidéo sur infrastructure propre de l'éditeur : le transcodage, le rendu et le sous-titrage sont effectués sur un serveur OVH et des machines de calcul GPU auto-hébergées (« workers maison ») situées en France. Les fichiers y sont traités de façon temporaire puis supprimés à l'issue du traitement.
• Vercel Inc. (front-end), edge réseau mondial, mais aucune donnée personnelle n'y est stockée durablement (rendu uniquement)
• Stripe Inc. (paiements), données collectées et stockées par Stripe selon ses propres conditions

4. Transferts hors UE

Certains traitements impliquent des sous-traitants américains :

• OpenAI, L.L.C., transcription audio (Whisper) et analyse de viralité. Les contenus audio/textuels sont envoyés à OpenAI le temps du traitement, et OpenAI s'engage contractuellement à ne pas les utiliser pour entraîner ses modèles (politique « data not used for training » via API).
• Anthropic, PBC et Google LLC, analyse et génération de contenus (titres, hooks, sous-titres) via leurs modèles d'IA (Claude, Gemini). Les contenus textuels nécessaires sont envoyés le temps du traitement ; ces prestataires s'engagent par API à ne pas les utiliser pour entraîner leurs modèles.
• Stripe Inc., données de paiement.

Ces transferts sont encadrés par les Clauses Contractuelles Types (SCC) de la Commission européenne et, le cas échéant, par le Data Privacy Framework (DPF) UE-USA auquel ces sociétés ont adhéré. Les SCC et politiques de confidentialité de chaque prestataire sont disponibles sur leurs sites respectifs.

5. Sécurité des données

Nous mettons en œuvre les mesures de sécurité suivantes :

• Chiffrement TLS 1.3 pour toutes les communications (HTTPS via Caddy + Let's Encrypt)
• Chiffrement au repos des tokens OAuth des réseaux sociaux (AES-256-GCM)
• Mots de passe stockés sous forme de hash bcrypt (jamais en clair)
• Isolation logique multi-tenant par organizationId avec contrôles d'accès au niveau base de données
• Logs structurés sans données sensibles, rotation automatique
• Sauvegardes quotidiennes chiffrées de la base de données
• Pare-feu (UFW), protection bruteforce SSH (Fail2ban), accès SSH par clé uniquement
• Webhook Stripe avec signature HMAC vérifiée, idempotency au niveau du ledger pour empêcher tout double-traitement

6. Vos droits (articles 15 à 22 du RGPD)

Vous disposez à tout moment des droits suivants sur vos données :

• Droit d'accès, obtenir une copie des données qui vous concernent
• Droit de rectification, corriger des données inexactes
• Droit à l'effacement (« droit à l'oubli »), demander la suppression de vos données, sauf obligation légale contraire
• Droit à la limitation du traitement
• Droit à la portabilité, récupérer vos données dans un format structuré et lisible (JSON)
• Droit d'opposition au traitement fondé sur l'intérêt légitime
• Droit de retirer votre consentement à tout moment pour les traitements fondés sur celui-ci (déconnexion des comptes OAuth notamment)
• Droit de définir des directives post-mortem sur le sort de vos données après votre décès (art. 85 LIL)

Pour exercer ces droits, écrivez-nous à fondateur@streamclipping.ai en précisant votre demande. Nous répondons dans un délai maximum d'un mois.

Droit de réclamation : vous pouvez à tout moment introduire une réclamation auprès de la CNIL (Commission Nationale de l'Informatique et des Libertés) : www.cnil.fr.

7. Cookies

Le Service utilise uniquement des cookies strictement nécessaires à son fonctionnement (authentification, gestion de la session). Ces cookies ne requièrent pas de consentement préalable au sens de la directive ePrivacy.

Aucun cookie de tracking ou publicitaire n'est déposé sans votre consentement explicite. Si nous activons des outils d'analytics (par exemple Plausible Analytics, qui ne dépose pas de cookie tiers et ne collecte pas de données personnelles), cela sera explicitement mentionné dans une mise à jour de cette politique.

8. Mineurs

Le Service est strictement réservé aux personnes majeures (18 ans révolus). Aucune donnée n'est sciemment collectée auprès de mineurs. Si vous constatez qu'un mineur a créé un compte, contactez-nous : nous procéderons à la suppression immédiate.

9. Données Google / YouTube (Google API Services User Data Policy)

Le Service propose une intégration optionnelle avec YouTube qui permet à l'utilisateur de publier automatiquement les clips générés sur sa propre chaîne YouTube. Cette section décrit l'accès, l'usage, le stockage et la suppression des données utilisateur Google, conformément à la Google API Services User Data Policy et à la politique Limited Use.

9.1 Données Google accédées (Data Accessed)

Lorsque l'utilisateur connecte son compte YouTube via OAuth 2.0, le Service demande les scopes Google suivants :

• https://www.googleapis.com/auth/youtube.upload — pour uploader des vidéos (YouTube Shorts) sur la chaîne de l'utilisateur
• https://www.googleapis.com/auth/youtube.readonly — pour récupérer le nom et l'identifiant de la chaîne afin de l'afficher dans le dashboard de l'utilisateur

Concrètement, les données Google collectées sont :

• Identifiant unique de la chaîne YouTube (channel ID) et nom public de la chaîne
• Tokens OAuth (access token + refresh token) générés par Google pour autoriser les appels API ultérieurs
• Métadonnées des vidéos publiées par notre service (titre, description, ID vidéo retourné par YouTube après upload)

Ce que nous N'accédons PAS : nous ne lisons pas les vidéos existantes de la chaîne, nous ne lisons pas les commentaires, ni les statistiques d'audience, ni les playlists, ni les abonnés. Seul l'upload de nouvelles vidéos initiées par l'utilisateur est effectué.

9.2 Usage des données Google (Data Usage)

Les données Google sont utilisées exclusivement pour :

• Publier les clips vidéo générés par l'utilisateur sur sa propre chaîne YouTube, à sa demande explicite (clic sur « Publier » ou via un planning configuré par l'utilisateur)
• Afficher le nom de la chaîne connectée dans l'interface du dashboard pour que l'utilisateur puisse identifier le compte lié
• Rafraîchir le token d'accès via le refresh token lorsque celui-ci expire

Conformité Limited Use : conformément à la politique Limited Use de Google, nous nous engageons à :

• Ne pas utiliser les données Google pour entraîner ou améliorer des modèles d'intelligence artificielle, des modèles génériques ou des modèles spécialisés
• Ne pas utiliser les données Google pour de la publicité ciblée ou du remarketing
• Ne pas vendre les données Google à des tiers
• Ne pas transférer les données Google à des tiers, sauf aux sous-traitants techniques strictement nécessaires à la fourniture du Service (cf. section 9.3)
• Ne pas autoriser de personnes humaines à lire les données Google, sauf : (a) avec le consentement explicite et préalable de l'utilisateur, (b) pour des raisons de sécurité (ex : enquête sur un abus), (c) pour respecter une obligation légale, (d) pour des opérations internes (debug, support) avec des données agrégées et anonymisées

9.3 Partage des données Google (Data Sharing)

Les données Google ne sont partagées avec aucun tiers au sens commercial du terme. Elles transitent uniquement par les sous-traitants techniques indispensables au fonctionnement du Service :

• Supabase Inc. (Paris, France) — stockage chiffré des tokens OAuth et métadonnées de chaîne dans notre base PostgreSQL
• OVH SAS (France) — serveurs d'application qui orchestrent les appels API YouTube
• Cloudflare R2 (UE) — stockage temporaire du fichier vidéo le temps de l'upload vers YouTube (suppression automatique après publication ou expiration de la rétention selon plan)

Aucune donnée Google n'est partagée avec OpenAI, Stripe, ni aucun autre prestataire au-delà de ceux listés ci-dessus.

9.4 Stockage et protection (Data Storage & Protection)

• Les tokens OAuth (access + refresh) sont chiffrés au repos avec AES-256-GCM, une clé symétrique stockée dans un secret manager isolé du code applicatif. Ils ne sont jamais loggés ni exposés en réponse API
• Toutes les communications avec les APIs Google passent par HTTPS / TLS 1.3 avec certificats Let's Encrypt
• La base de données est isolée logiquement par organizationId : un utilisateur ne peut techniquement pas accéder aux tokens d'un autre
• Sauvegardes quotidiennes chiffrées avec rotation automatique
• Accès au serveur de production restreint au responsable de traitement par clé SSH (jamais par mot de passe), avec protection Fail2ban
• Surveillance continue des logs pour détecter les tentatives d'accès non autorisé

9.5 Rétention et suppression (Data Retention & Deletion)

Les tokens et données Google sont conservés tant que l'utilisateur conserve la connexion active. Ils sont supprimés immédiatement et définitivement dans les cas suivants :

• Déconnexion par l'utilisateur via la section Comptes connectés du dashboard (1 clic) — les tokens sont supprimés de notre base et l'autorisation est révoquée côté Google via un appel à https://oauth2.googleapis.com/revoke
• Suppression du compte StreamClipping AI par l'utilisateur — toutes les données liées (tokens, chaînes connectées, clips, métadonnées) sont supprimées dans un délai maximum de 30 jours
• Révocation côté Google par l'utilisateur depuis myaccount.google.com/permissions — au prochain appel API échouant, nos tokens sont automatiquement purgés de notre base

Pour toute demande spécifique de suppression de données Google, écrivez à fondateur@streamclipping.ai — traitement sous un mois maximum (généralement sous 48h).

9.6 Section in English (for Google Verification reviewers)

10. Données fiscales des clippeurs et obligations déclaratives (DAC7)

Cette section ne concerne que les utilisateurs rémunérés dans le cadre du programme de clipping(les « Clippeurs »). Elle est sans objet pour les utilisateurs qui se contentent d'utiliser le service SaaS.

10.1 Pourquoi nous collectons ces données

En tant qu'opérateur de plateforme de mise en relation, nous sommes soumis à une obligation légale de déclaration annuelleà l'administration fiscale, prévue par la directive (UE) 2021/514 dite « DAC7 », transposée aux articles 1649 ter A à 1649 ter E du Code général des impôts.

Les prestations de clipping constituent des « services personnels » au sens de ces textes. À la différence de la vente de biens, cette catégorie ne comporte aucun seuil d'exonération : tout Clippeur rémunéré via la Plateforme est déclarable dès le premier euro perçu, quel que soit le nombre de versements.

10.2 Données concernées

• Identité : nom ou raison sociale, statut fiscal déclaré ;
• Numéro d'identification fiscale (NIF/TIN)et son pays d'émission ;
• Date de naissance, pour les personnes physiques ;
• Adresse de facturation et pays de résidence ;
• Numéro d'enregistrement (SIRET) et numéro de TVA intracommunautaire, lorsqu'ils existent ;
• Montants versés et commissions ou frais retenus, ventilés par trimestre ;
• Identifiant du compte de paiement utilisé pour le versement (fourni par Stripe).

10.3 Base légale et destinataires

La base légale de ce traitement est le respect d'une obligation légaleà laquelle nous sommes soumis (article 6.1.c du RGPD). Votre consentement n'est donc ni demandé ni requis, et ces données ne peuvent pas être supprimées à la demande tant que l'obligation de conservation court.

Le destinataire est la Direction générale des finances publiques (DGFiP). Si votre résidence fiscale se situe dans un autre État membre de l'Union européenne, ces informations lui sont ensuite retransmises par la DGFiP dans le cadre de l'échange automatique d'informations entre administrations.

Ces données ne sont jamais communiquées aux annonceurs, aux autres Clippeurs, ni à aucun tiers commercial. Elles sont utilisées exclusivement pour la déclaration fiscale et l'émission de vos factures.

10.4 Conservation, information et conséquences

Ces données sont conservées pendant la durée requise par la réglementation applicable, et au minimum pendant la durée légale de conservation des factures (10 ans), y compris après la suppression de votre compte.

Conformément à l'article 1649 ter D du Code général des impôts, une copie des informations vous concernant qui ont été déclarées vous est communiquée. Vous conservez à tout moment un droit de rectificationsur vos données d'identification, depuis votre profil fiscal.

À défaut de communication de ces informations, nous sommes dans l'impossibilité de satisfaire à notre obligation déclarative : vos versements sont alors suspenduset conservés en attente jusqu'à régularisation. Cette suspension est une conséquence de l'obligation légale, non une sanction contractuelle.

11. Journal d'acceptation des documents contractuels

Lorsque vous acceptez nos conditions — à l'inscription, au lancement d'une campagne, à la validation d'un profil fiscal ou depuis le bandeau du tableau de bord — nous enregistrons la preuve de cette acceptation.

Données enregistrées :l'identifiant de votre compte, le document concerné et sa version, la date et l'heure, votre adresse IP et votre agent utilisateur (navigateur et système d'exploitation).

Pourquoi.Nos conditions stipulent que la version applicable est celle en vigueur au moment où vous vous engagez. En cas de litige, il nous revient de prouver quelle version vous a été présentée et que vous l'avez acceptée. L'adresse IP et l'agent utilisateur sont les éléments usuels de preuve d'un consentement en ligne : sans eux, l'horodatage seul se conteste facilement.

Base légale : l'intérêt légitime (article 6.1.f du RGPD) à pouvoir établir la preuve de nos relations contractuelles.

Durée de conservation :pendant toute la durée de la relation contractuelle, puis jusqu'à l'expiration des délais de prescription applicables. Ces enregistrements sont supprimés avec votre compte. Ils ne relèvent pas de la durée de 90 jours annoncée à la section 2 pour les logs techniques, dont la finalité (sécurité et anti-fraude) est distincte.

Ces données ne sont communiquées à aucun tiers. Vous pouvez en obtenir copie au titre de votre droit d'accès (section 6). Vous pouvez vous opposer à ce traitement, mais l'opposition ne peut pas porter atteinte à la constitution de la preuve d'un engagement déjà pris.

12. Modifications

Cette politique peut évoluer. Les modifications substantielles vous seront notifiées par email au moins 30 jours avant leur entrée en vigueur. La version en vigueur fait foi à compter de la date indiquée en haut de cette page.

13. Contact

Pour toute question relative à vos données personnelles ou à cette politique :

• Email : fondateur@streamclipping.ai
• Voie postale : StreamClipping SAS, 5 rue des Wallons, 75013 Paris, France