En bref
- Les données sont hébergées dans l'Union européenne, à Francfort.
- Aucune donnée n'est vendue, louée ou utilisée pour de la publicité.
- Le site ne pose aucun cookie publicitaire ni de mesure d'audience.
- Pour les données des Modèles, c'est l'Agence qui décide : TECH APP STUDIO les traite pour son compte.
- Vous pouvez exercer vos droits à tout moment en écrivant à support@velora-hq.com.
1. Qui est responsable de vos données
TECH APP STUDIO, SAS, 19 Avenue des Diables Bleus, 06300 Nice, France (« nous »), édite Velora. Selon les données, notre rôle change :
- Responsable de traitement pour les comptes des Agences, la facturation, la sécurité de la plateforme, le support et le site. C'est cette politique qui s'applique.
- Sous-traitant pour les données que chaque Agence met dans Velora sur ses Modèles et son équipe (ventes, contenus, messages, tournages, contrats, activité dans l'app). L'Agence est alors responsable de traitement. Nous agissons sur ses instructions, selon l'accord de traitement des données.
Vous êtes une Modèle ? Votre Agence est votre premier interlocuteur pour vos données. Sa propre politique est consultable dans l'app (Paramètres, Confidentialité). Vous pouvez aussi nous écrire : nous transmettrons votre demande à votre Agence.
Nous n'avons pas désigné de délégué à la protection des données. Pour toute question : support@velora-hq.com.
2. Données que nous traitons comme responsable
| Pourquoi | Quelles données | Base légale | Durée |
|---|---|---|---|
| Créer et gérer le compte de l'Agence et de son équipe | Nom, e-mail, mot de passe (haché, jamais lisible), nom de l'Agence, rôle, langue | Exécution du contrat | Durée du contrat, puis 30 jours pour l'export |
| Facturer l'abonnement | Raison sociale, adresse, numéro de TVA, e-mail de facturation, historique des paiements (la carte et l'IBAN restent chez Stripe) | Exécution du contrat et obligation légale | 10 ans pour les factures (Code de commerce) |
| Sécuriser le service et prévenir la fraude | Adresse IP, navigateur, appareils, sessions, échecs de connexion, journal des actions sensibles, vérification anti-robot | Intérêt légitime (sécurité du service) | Sessions : jusqu'à leur expiration. Journal d'audit : 3 ans |
| Envoyer les e-mails du service | E-mail, nom, contenu du message (vérification, invitation, facture, alerte de sécurité) | Exécution du contrat | Journaux d'envoi : 30 jours au plus |
| Répondre au support | Échanges par e-mail et informations utiles à la demande | Intérêt légitime | 3 ans après le dernier échange |
| Faire valoir nos droits | Données utiles à la preuve (contrat, factures, journaux) | Intérêt légitime | Durée de prescription applicable |
Nous n'envoyons pas d'e-mails publicitaires. Si cela change, votre accord sera demandé quand la loi l'exige, et chaque message aura un lien de désinscription.
3. Données traitées pour le compte des Agences
Pour fournir le service, nous traitons pour chaque Agence, sur ses instructions :
- Modèles : nom de scène et nom, e-mail, téléphone, photo, langue, fuseau horaire, plateformes branchées (sessions et clés chiffrées), ventes, contenus de travail, réponses aux formulaires, tournages, contrats, échantillons de voix si l'Agence utilise la fonction voix, activité dans l'app.
- Équipe de l'Agence : nom, e-mail, rôle, périmètre, activité dans la console.
- Données de l'appareil de la Modèle (voir la section 4).
L'Agence fixe la durée de conservation de ces données. Elles sont supprimées au plus tard 30 jours après la fin de son abonnement, ou plus tôt sur sa demande.
4. App iPhone : appareil, notifications, App Attest
- Appareil : modèle d'iPhone, version d'iOS et de l'app, dates de première et de dernière connexion. Sert à afficher vos appareils connectés et à les déconnecter à distance.
- Notifications : si vous les acceptez, un jeton de notification Apple est enregistré pour vous envoyer les alertes de ventes et les messages de votre Agence. Vous pouvez les couper dans les réglages de l'iPhone.
- App Attest : l'app prouve auprès d'Apple qu'elle est l'app officielle, non modifiée. Nous gardons la clé publique et le reçu fournis par Apple, et un compteur contre le rejeu des requêtes. Base légale : intérêt légitime (sécurité des comptes).
- Appareil modifié : l'app peut signaler des indices de jailbreak. C'est un signal de sécurité, il ne bloque pas l'accès.
- Face ID : la vérification se fait sur l'iPhone. Aucune donnée biométrique ne nous est transmise.
- Trousseau (Keychain) : une copie chiffrée de la session reste sur cet iPhone seulement, jamais dans iCloud ni dans une sauvegarde.
5. Mon cycle : données de santé
Le suivi « Mon cycle » concerne des données de santé, protégées par l'article 9 du RGPD. Il est facultatif et ne s'active qu'avec le consentement explicite de la Modèle, recueilli dans l'app.
Ces données sont chiffrées et ne sont pas montrées à l'Agence. La Modèle peut retirer son consentement à tout moment en désactivant la fonction : toutes ses données de cycle sont alors effacées.
6. Qui reçoit les données
- Les personnes habilitées de TECH APP STUDIO, seulement quand c'est nécessaire (support, sécurité, maintenance), et tenues à la confidentialité.
- Les membres de l'Agence, selon leur rôle et leur périmètre dans la console.
- Nos sous-traitants techniques, listés ci-dessous, dans la limite de leur mission.
- Les services tiers que l'Agence branche elle-même (plateformes de vente, messageries, signature électronique, réseaux sociaux, fournisseurs d'IA). Ils reçoivent les données que l'Agence choisit de leur envoyer, sous sa responsabilité et selon leurs propres conditions.
- Les autorités, uniquement sur demande légale.
Dans l'écran « Personnaliser » de la console, l'aperçu des polices charge la police choisie depuis Google Fonts : l'adresse IP de la personne connectée est alors transmise à Google.
7. Nos sous-traitants
| Prestataire | Service | Rôle | Lieu des données | Garanties en cas de transfert |
|---|---|---|---|---|
| Vercel Inc. | Vercel | Hébergement et exécution de l'application | Francfort (Allemagne, UE) | Data Privacy Framework UE-États-Unis, Clauses contractuelles types |
| Supabase Pte. Ltd. | Supabase | Base de données | Francfort (Allemagne, UE) | Clauses contractuelles types |
| Upstash, Inc. | Upstash Redis | Cache, files d'attente, limites de requêtes | Francfort (Allemagne, UE) | Clauses contractuelles types |
| Cloudflare, Inc. | Cloudflare R2, Turnstile | Stockage des médias, protection anti-robot | Union européenne | Data Privacy Framework UE-États-Unis, Clauses contractuelles types |
| Stripe Payments Europe, Limited | Stripe | Paiement et facturation | Irlande (UE) | Data Privacy Framework UE-États-Unis, Clauses contractuelles types |
| Plus Five Five, Inc. | Resend | Envoi des e-mails du service | États-Unis | Clauses contractuelles types |
| Apple Inc. | Apple Push Notification service | Notifications sur iPhone | États-Unis | Data Privacy Framework UE-États-Unis, Clauses contractuelles types |
Toute modification de cette liste est annoncée aux Agences au moins 30 jours à l'avance, comme prévu par le DPA.
8. Transferts hors de l'Union européenne
Les bases de données, le cache et les fichiers sont hébergés dans l'Union européenne. Certains prestataires sont des sociétés établies hors de l'UE, principalement aux États-Unis : leurs équipes peuvent accéder à des données pour le support ou l'exploitation, et l'envoi des e-mails et des notifications passe par leurs serveurs.
Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, quand le prestataire y est certifié, par le Data Privacy Framework UE-États-Unis (décision d'adéquation du 10 juillet 2023). Une copie des garanties peut être demandée à support@velora-hq.com.
9. Sécurité
Les mesures principales : isolement des agences en base de données, chiffrement des secrets avec une clé par agence, mots de passe hachés (Argon2id), double authentification, médias privés aux liens limités à 5 minutes, journal d'audit, sauvegardes chiffrées, limites de requêtes contre l'aspiration. Le détail est sur la page Sécurité.
En cas de violation de données présentant un risque, nous prévenons la CNIL dans les 72 heures et, quand la loi l'exige, les personnes concernées.
10. Vos droits
Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition, ainsi que du droit de retirer votre consentement à tout moment. Vous pouvez aussi définir des directives sur le sort de vos données après votre décès.
Pour les exercer, écrivez à support@velora-hq.com depuis l'adresse liée à votre compte. Nous répondons dans un délai d'un mois, prolongeable de deux mois pour une demande complexe. Une preuve d'identité n'est demandée qu'en cas de doute raisonnable.
Beaucoup d'actions se font directement : modifier son profil, exporter les données de l'Agence (Réglages, Données), demander la suppression du compte depuis la console ou l'app.
11. Réclamation
Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur cnil.fr. Vous pouvez aussi vous adresser à l'autorité de protection des données du pays de l'UE où vous résidez.
13. Mineurs
Le service est réservé aux personnes majeures. Les Agences s'engagent à n'inviter aucune personne mineure. Un compte dont nous apprenons qu'il appartient à une personne mineure est fermé et ses données sont supprimées.
14. Modifications
Cette politique peut évoluer. La date de mise à jour figure en haut de la page. En cas de changement important, les Agences sont prévenues par e-mail.