Politique de confidentialité

Responsable du traitement

AUROCHS Ventures, société par actions simplifiée au capital de 50 000 €, immatriculée au RCS de Nanterre sous le numéro 912 058 104, dont le siège social est situé 144 avenue Charles de Gaulle, 92200 Neuilly-sur-Seine, France (ci-après « kstr »), exploitante de la plateforme kstr, est responsable des traitements décrits dans la présente politique, qu'elle met en œuvre conformément au règlement (UE) 2016/679 (RGPD) et à la loi n° 78-17 du 6 janvier 1978. Contact : hi@joinkstr.com. Chaque Marque et chaque Créateur est responsable des traitements qu'il réalise lui-même sur les données obtenues à l'occasion d'une collaboration.

Données collectées

Données de compte (e-mail, mot de passe sous forme hachée), données de profil (nom, photo, bio, ville, réseaux sociaux et statistiques, tarifs), adresses de livraison des giftings, données d'entreprise des Marques (SIRET), messages échangés, historique des collaborations et paiements, données fiscales et d'identification des Créateurs et des Apporteurs (identité, date de naissance, adresse, numéro d'identification fiscale, numéro de TVA), données relatives aux programmes d'affiliation et Apporteur (codes promo, ventes relevées, commissions), dossiers de preuve de signature électronique, signalements, données de connexion et données techniques (cookies décrits ci-dessous). Le service n'est pas destiné aux mineurs : kstr ne collecte pas sciemment leurs données et supprime le compte ouvert par un mineur dans les conditions de l'article 2.2 des CGU. Les déclarations et justificatifs relatifs aux enfants apparaissant dans les contenus (article 2.3 des CGU) ne sont traités que pour vérifier le respect de la loi n° 2020-1266 du 19 octobre 2020.

Finalités et bases légales

Fourniture du service de mise en relation et exécution du contrat entre l’utilisateur et kstr (les « CGU ») ; paiement et facturation (obligation légale) ; prévention de la fraude, du contournement de la plateforme et sécurité, y compris le masquage automatisé des coordonnées dans la messagerie et l'examen des conversations en cas de signalement ou de soupçon sérieux de contournement ou de fraude (intérêt légitime ; s'agissant des correspondances, dans les conditions de l'article 14.2 des CGU, ou au vu des messages qu'un correspondant a lui-même transmis à kstr à l'appui d'un signalement) ; envoi d'e-mails de service (exécution des CGU) ; respect des obligations fiscales de kstr, notamment l'information des Créateurs et des Apporteurs ainsi que la collecte, la vérification et la déclaration de leurs informations (articles 242 bis et 1649 ter A et suivants du Code général des impôts ; obligation légale) ; conservation des données d'identification des utilisateurs (article 6 , V, A de la loi n° 2004-575 du 21 juin 2004 et décret n° 2021-1362 du 20 octobre 2021 ; obligation légale) ; traitement des signalements, modération des contenus et notification des décisions (règlement (UE) 2022/2065 ; obligation légale) ; preuve des contrats et des signatures électroniques, application du non-contournement (article 6 des CGU), gestion des désaccords et des conciliations (article 7 des CGU), constatation, exercice et défense des droits de kstr en justice (intérêt légitime).

Destinataires

Les informations de profil public sont visibles par les utilisateurs du site. Les paiements sont traités par le prestataire de paiement agréé (Stripe) de kstr, qui agit comme responsable de traitement distinct pour les données de carte bancaire. Les données peuvent également être communiquées, dans la stricte mesure nécessaire : à la Marque ou au Créateur partie à une collaboration ; aux sous-traitants de kstr (hébergement, envoi d'e-mails, détermination du pays, et fournisseur d'intelligence artificielle Anthropic, utilisé par l'équipe de kstr pour l'aide à la vérification des profils et à la rédaction de messages, sans décision automatisée ni entraînement de modèles sur ces données) ; aux plateformes que l'utilisateur choisit de connecter (Meta, TikTok, Shopify, WooCommerce…) ; aux autorités administratives et judiciaires lorsque la loi l'exige, notamment à l'administration fiscale ; aux conseils de kstr soumis au secret professionnel ; à un acquéreur ou investisseur potentiel tenu à une obligation de confidentialité, ou au cessionnaire de la plateforme (articles 12.5 et 18.3 des CGU). Certains de ces destinataires (notamment Stripe, Meta, TikTok, Shopify, Anthropic et ipinfo.io) peuvent traiter des données hors de l'Union européenne ; ces transferts sont encadrés par une décision d'adéquation de la Commission européenne ou, à défaut, par les clauses contractuelles types adoptées par celle-ci (articles 45 et 46 du RGPD). Une copie des garanties peut être obtenue en écrivant à hi@joinkstr.com. Aucune donnée n'est vendue à des tiers.

Durées de conservation

Données de compte : durée d'utilisation du service ; un compte inactif pendant 3 ans est supprimé après information préalable de son titulaire. Après la fermeture du compte, les données d'identité civile sont conservées 5 ans et les autres données fournies lors de la création du compte 1 an (article 6, V, A de la loi n° 2004-575 du 21 juin 2004 et articles 2 et 3 du décret n° 2021-1362 du 20 octobre 2021). Pièces et données comptables : 10 ans (article L. 123-22 du Code de commerce). Registre des informations collectées au titre des obligations déclaratives des plateformes : 10 ans (article 1649 ter D du Code général des impôts). Messages, contrats, dossiers de preuve de signature et historiques de paiement : durée du compte, puis archivage à accès restreint pendant 5 ans à compter de la fin de la relation, pour la preuve des contrats et la défense des droits de kstr (article 2224 du Code civil et article L. 110-4 du Code de commerce). Les durées propres à certains traitements sont précisées ci-dessous.

Cookies

Le site n'utilise que des cookies techniques, qui ne requièrent pas de consentement : un cookie de session, nécessaire à la connexion, un cookie mémorisant la langue d'affichage et le code du pays déterminé lors de la première visite et, pour les comptes Marques, un cookie de sécurité qui reconnaît un appareil déjà vérifié par un code envoyé par e-mail (12 mois). Aucun cookie publicitaire ou de mesure d'audience tierce n'est déposé. Lors d'un paiement, le module de paiement de Stripe peut déposer des cookies nécessaires à la sécurité de la transaction et à la prévention de la fraude, exemptés de consentement (article 82 de la loi n° 78-17 du 6 janvier 1978).

Mesure d'audience

Pour connaître la fréquentation du site (nombre de visiteurs, de visites et de pages vues, pages consultées, site d'origine), kstr utilise un outil interne, sans cookie et sans service extérieur, configuré pour respecter les conditions d'exemption de consentement définies par la CNIL pour la mesure d'audience (article 82 de la loi n° 78-17 du 6 janvier 1978 et délibération n° 2020-091 du 17 septembre 2020) ; base légale : intérêt légitime de kstr à mesurer la fréquentation de son site. L’adresse IP de l’utilisateur n'est jamais enregistrée : son navigateur est reconnu par une empreinte chiffrée et non réversible. Seules des statistiques globales sont consultées par kstr. Ces données sont effacées au bout de 13 mois. Si le navigateur de l’utilisateur envoie le signal « Do Not Track » ou « Global Privacy Control », l’utilisateur n'est pas compté.

Tracker : statistiques des contenus des collaborations

Pour chaque contenu publié dans le cadre d'une collaboration, kstr enregistre son lien et, à intervalles réguliers pendant 90 jours, ses statistiques publiques ou issues du compte connecté du Créateur (vues, portée, mentions j'aime, commentaires, partages, enregistrements), ainsi que les chiffres et captures d'écran déclarés par le Créateur. Ces données sont visibles par la Marque concernée et par kstr, et par le Créateur si la Marque partage son analyse (exécution des CGU acceptées par la Marque et le Créateur, article 3.4 de celles-ci). Elles sont conservées tant que le compte de la Marque existe ; la Marque ou le Créateur qui l'a ajouté peut retirer un contenu à tout moment, ce qui supprime ses relevés. kstr peut exploiter ces statistiques sous une forme agrégée et anonymisée, ne permettant d'identifier ni le Créateur ni la Marque, pour améliorer ses services et réaliser des études.

Comptes Instagram et TikTok connectés

Si le Créateur connecte son compte Instagram ou TikTok, kstr recevra, via les API officielles de Meta et de TikTok et avec l’autorisation du Créateur, son identifiant, son pseudo, son nombre d'abonnés et les statistiques de ses publications récentes (mentions j'aime, commentaires, vues) afin de calculer son taux d'engagement (exécution des CGU, à la demande du Créateur). Les jetons d'accès sont chiffrés. kstr ne publie jamais rien au nom du Créateur. Le Créateur peut déconnecter un compte à tout moment depuis son profil : les jetons sont alors supprimés.

Si le Créateur ajoute des captures de ses statistiques à son profil, elles sont réenregistrées par les serveurs de kstr (les métadonnées de l'image, dont la localisation, sont retirées) et ne sont visibles que par le Créateur, par kstr et par les Marques validées par l’équipe de kstr. Elles sont conservées jusqu'à ce que le Créateur les supprime depuis son profil, ou jusqu'à la suppression de son compte.

Prospection des Créateurs et des Marques

Pour inviter des Créateurs à rejoindre la plateforme kstr, l’équipe de kstr peut enregistrer, à partir de profils publics professionnels, le pseudo, le nom affiché, le nombre d'abonnés, la thématique et l'adresse e-mail professionnelle publiée par le Créateur (intérêt légitime : prospection B2B, dans le respect de l'article L. 34-5 du Code des postes et des communications électroniques, le message portant sur l'activité professionnelle du destinataire). Pour les Marques, kstr peut enregistrer le nom de l'entreprise, son site web, son secteur, ainsi que le nom et l'adresse e-mail professionnelle d'un interlocuteur, obtenus auprès de sources publiques (site de l'entreprise, LinkedIn). Ces informations ne sont jamais affichées sur le site. Chaque message d'invitation contient un lien permettant de s'opposer à tout nouveau contact. Pour un Créateur, les coordonnées sont alors effacées. Pour une Marque, l'opposition ne concerne que la personne qui l'exprime : kstr conserve uniquement son nom et son adresse e-mail dans une liste d'opposition, afin de ne plus jamais lui écrire, et l'entreprise peut rester en contact avec kstr par d'autres interlocuteurs. Lorsque l’utilisateur ouvre son lien d'invitation personnel, kstr enregistre la date de cette ouverture et les pages du site consultées pendant la visite, afin de savoir si l'invitation intéresse l’utilisateur (intérêt légitime ; lorsque ce suivi suppose de lire ou d'inscrire des informations sur le terminal de l'utilisateur, il n'est mis en œuvre qu'avec son consentement, conformément à l'article 82 de la loi n° 78-17 du 6 janvier 1978) ; ces informations sont supprimées en même temps que la fiche utilisateur ou dès que l’utilisateur s’oppose au contact. Les données des personnes non inscrites sont supprimées au plus tard 3 ans après le dernier contact. Lorsqu'une Marque est invitée par un Apporteur (article 11 des CGU), kstr reçoit de celui-ci le nom et l'adresse e-mail professionnelle de l'interlocuteur invité, qui sont traités dans les mêmes conditions ; l'Apporteur garantit les avoir obtenus loyalement et respecter les règles applicables à la prospection commerciale (article 11.5 des CGU).

kstr solidaire : liens de don

Lorsque l'utilisateur clique sur le lien de don d'un Créateur, kstr enregistre la date de la visite, la campagne et le Créateur concernés, ainsi qu'une empreinte chiffrée et non réversible de son navigateur, qui sert uniquement à ne pas compter deux fois la même visite dans l'heure (intérêt légitime : mesure des visites générées au profit de l'association) ; cette empreinte est effacée au bout de 48 heures. Son adresse IP n'est pas enregistrée. L'utilisateur est ensuite redirigé vers la page de dons de l'association, qui est seule responsable des données que l'utilisateur lui communique pour faire un don.

Demandes de démo

Lorsqu'un utilisateur demande une démo, kstr enregistre le nom de la Marque ou du Créateur, ses coordonnées (nom, e-mail, téléphone) et les informations qu'il indique, afin de le rappeler et de lui présenter la plateforme (mesures précontractuelles prises à sa demande, article 6, paragraphe 1, b) du RGPD). Ces données sont conservées au plus 3 ans après le dernier échange avec kstr si l'utilisateur ne crée pas de compte sur la plateforme kstr.

Chat du site

Les visiteurs peuvent écrire à kstr via le chat du site. kstr conserve le prénom (facultatif), l'adresse e-mail et les messages échangés, uniquement pour leur répondre (y compris par e-mail s'ils ont quitté le site) ; base légale : intérêt légitime de kstr à répondre aux demandes qui lui sont adressées. Les conversations sont supprimées au plus tard 12 mois après le dernier message.

Coordonnées et documents de vérification

Lors de l'inscription, kstr recueille le prénom, le nom, la fonction (Marques) et le numéro de téléphone de l'interlocuteur : ils ne sont visibles que par l'équipe de la plateforme kstr et servent à valider les comptes et à contacter l'utilisateur (exécution des CGU). L'équipe de kstr peut conserver des justificatifs professionnels transmis par les Créateurs (extrait SIREN ou Kbis, attestations URSSAF et de régularité fiscale, pièce d'identité, RIB), notamment pour permettre aux Marques de satisfaire, le cas échéant, à l'obligation de vigilance qui leur incombe en qualité de donneur d'ordre (articles L. 8222-1 et et D. 8222-5 du Code du travail), et pour l'exécution des obligations déclaratives de kstr (articles 1649 ter A et suivants du Code général des impôts). Ces documents sont stockés dans un espace privé accessible aux seuls administrateurs et supprimés à la fermeture du compte, sous réserve des durées de conservation légales indiquées ci-dessus et du délai de prescription applicable. Les pièces remises par le signataire d'un contrat d'affiliation (pièce d'identité, extrait Kbis, RIB, pouvoir) sont conservées pendant la durée du contrat et le délai de prescription applicable (article 9 des conditions particulières d'affiliation). Lors de la signature électronique d'un contrat sur la plateforme, kstr enregistre dans un dossier de preuve le nom saisi, les dates et heures d'envoi, de consultation et de signature, l'adresse IP, le navigateur et l'empreinte numérique du document (intérêt légitime : preuve du consentement et de l'intégrité du contrat) ; ce dossier est conservé 5 ans à compter de la fin du contrat.

Propositions de campagnes aux Créateurs

Les Créateurs inscrits peuvent recevoir par e-mail des campagnes correspondant à leur thématique ou à leur zone géographique (intérêt légitime : service proposé par la plateforme). Chaque e-mail contient un lien de désinscription, et cette option peut être désactivée à tout moment dans « Paramètres du compte ».

Adresses de livraison des giftings

Lorsqu'un gifting est confirmé, le Créateur indique l'adresse à laquelle il souhaite recevoir le produit : nom, adresse postale, téléphone (facultatif, pour le transporteur) et, s'il le souhaite, des précisions comme la taille. Cette adresse n'est transmise qu'à la Marque de la collaboration concernée, avec l'accord exprès du Créateur, donné pour chaque gifting au moment où il la saisit. Si besoin, la Marque la communique à l'usine ou au logisticien chargé de l'envoi, pour cette seule fin ; elle agit alors sous sa propre responsabilité. Base légale : l'exécution des CGU et du service de gifting demandé par le Créateur, qui accepte la transmission de son adresse à la Marque. La Marque, destinataire de l'adresse, en est responsable de traitement distinct pour l'envoi du produit (article 14.1 des CGU). L'adresse est conservée avec la collaboration pendant la durée du compte. Le Créateur peut l'enregistrer pour ses prochains giftings ; il peut la modifier tant que le produit n'est pas parti et en demander la suppression en écrivant à kstr. Lorsque le gifting passe par un code personnel dans la boutique de la Marque (article 3.7 des CGU), le Créateur saisit son adresse directement dans cette boutique, sous la responsabilité de la Marque : kstr ne la reçoit pas. Les coordonnées bancaires servant aux versements des Créateurs sont recueillies et conservées directement par Stripe, prestataire de paiement de kstr ; kstr n'en reçoit que les informations nécessaires à ses obligations déclaratives (articles 1649 ter A et suivants du Code général des impôts).

Application Shopify ou autres boutiques équivalentes

Lorsqu'une Marque relie sa boutique Shopify à kstr (application Shopify « kstr »), kstr lit les produits et variantes (nom, variante, prix, référence) pour que la Marque les choisisse dans une campagne de gifting ; pour chaque gifting, il crée dans la boutique un code de réduction personnel, à usage unique, limité aux produits offerts et à leur prix, avec lequel le Créateur passe lui-même sa commande dans la boutique (paiement Shopify) ; il retrouve ensuite cette commande, par ce code ou par l'étiquette KSTR-<numéro de collaboration> si la Marque l'a créée elle-même, pour en connaître le statut d'expédition et le numéro de suivi ; pour l'affiliation, il relève les commandes passées avec les codes de réduction des Créateurs (numéro et date de la commande, montants, taxes, frais de port, remboursements, codes utilisés et statut de paiement), afin de calculer les commissions. kstr ne crée, ne modifie et ne finalise aucune commande, et aucun paiement ne passe par l'application. kstr ne lit ni les clients de la boutique ni leurs données personnelles (nom, adresse, e-mail, téléphone). Le Créateur saisit son adresse de livraison directement dans la boutique de la Marque, au moment de sa commande ; kstr ne la lit pas dans Shopify. kstr conserve l'adresse de la boutique, un jeton d'accès chiffré, les réglages de la Marque, les codes de gifting créés, les identifiants des commandes de gifting retrouvées et les ventes d'affiliation nécessaires au calcul et à la justification des commissions. Quand l'application est désinstallée, ou quand Shopify demande à kstr d'effacer les données de la boutique, le jeton d'accès et la liaison sont supprimés ; les ventes d'affiliation déjà validées sont conservées pendant la durée nécessaire aux obligations comptables. Base légale : l'exécution du service demandé par la Marque.

Certaines Marques sont reliées par une application dédiée à leur seule boutique (hors App Store de Shopify). Dans ce cas, et seulement si la Marque l'a autorisé, kstr peut préparer dans la boutique une commande brouillon de gifting avec le nom et l'adresse de livraison du Créateur, que la Marque valide elle-même dans Shopify.

Dans le cadre du programme d'affiliation, la Marque relie sa boutique (notamment WooCommerce) par une clé d'accès en lecture seule ; kstr ne lit que les informations nécessaires au relevé des ventes réalisées avec les codes promo des Créateurs (numéro, date, statut, montants, codes utilisés et remboursements). Si des données personnelles des clients de la Marque lui sont transmises par cette connexion, kstr les traite en qualité de sous-traitant de la Marque, pour la seule exécution du contrat d'affiliation (article 28 du RGPD). kstr peut également évaluer la solidité financière de la Marque à partir de sources publiques et d'agences spécialisées (article 8 des conditions particulières d'affiliation), ce qui peut porter sur des données relatives à ses dirigeants (intérêt légitime : prévention des impayés).

Journal des connexions

Pour la sécurité des comptes et l'assistance, kstr enregistre la date de chaque connexion et de chaque retour sur le site (une fois par jour), le type d'appareil et de navigateur, le pays estimé et une adresse IP tronquée (sans son dernier bloc). Base légale : intérêt légitime de kstr à assurer la sécurité des comptes et l'assistance. Seule l'équipe kstr y a accès. Ces informations sont conservées 12 mois, puis effacées, et supprimées avec le compte. L'équipe peut aussi, pour aider l'utilisateur, afficher son espace tel qu'il le voit, en lecture seule, sans pouvoir rien modifier ni envoyer ; chaque consultation est tracée.

Visites des profils Créateurs

Lorsqu'une Marque ou un membre de l'équipe kstr consulte le profil d'un Créateur, kstr enregistre la date de la visite, le compte visiteur et son type (Marque ou équipe), afin d'indiquer au Créateur le nombre de visites reçues et de lui envoyer au plus une notification par jour (intérêt légitime : aider le Créateur à améliorer son profil), ainsi que, le cas échéant, de prouver une mise en relation intervenue grâce à kstr (article 6.1 des CGU ; intérêt légitime). Le Créateur ne voit pas quelle Marque l'a consulté, sauf si celle-ci engage un échange avec lui (article 12.4 des CGU). Le cas échéant, les consultations de campagnes par les Créateurs sont enregistrées dans les mêmes conditions. Ces informations sont affichées pendant 12 mois, puis conservées en archive à accès restreint pendant 12 mois supplémentaires, aux seules fins de la preuve du respect de l'article 6 des CGU.

Motifs de suppression de compte

Lorsqu'un membre supprime son compte, il peut indiquer un motif et laisser un commentaire, de façon facultative. kstr conserve seulement ce motif, ce commentaire, le type de compte (Marque ou Créateur) et la date, sans aucun lien avec la personne, pour améliorer le service.

Choix de la langue

Lors de la première visite de l'utilisateur, le pays associé à son adresse IP est déterminé pour afficher le site en français ou en anglais. Cette information peut être obtenue auprès de l'hébergeur de kstr, de son réseau de diffusion (CDN) ou du service ipinfo.io. Base légale : intérêt légitime de kstr à afficher le site dans une langue adaptée. Seul le code du pays est conservé, dans un cookie ; l'utilisateur peut changer de langue à tout moment en bas de chaque page.

Droits des utilisateurs

Chaque utilisateur dispose d'un droit d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition, du droit de retirer à tout moment son consentement lorsque le traitement est fondé sur celui-ci, et du droit de définir des directives relatives au sort de ses données après son décès (article 85 de la loi n° 78-17 du 6 janvier 1978). kstr répond dans un délai d'un mois, qui peut être prolongé dans les conditions de l'article 12 du RGPD, et peut lui demander de justifier de son identité en cas de doute raisonnable. L’utilisateur peut supprimer son compte à tout moment depuis « Paramètres du compte » ou écrire à hi@joinkstr.com ; la fermeture prend effet après l'achèvement ou l'annulation des collaborations en cours et le règlement des sommes dues (article 16.1 des CGU), certaines données étant conservées pour les durées indiquées ci-dessus. L’utilisateur peut également introduire une réclamation auprès de la CNIL (www.cnil.fr).

Droit d'opposition. Lorsqu'un traitement est fondé sur l'intérêt légitime de kstr, l'utilisateur peut s'y opposer à tout moment pour des raisons tenant à sa situation particulière ; kstr cesse alors le traitement, sauf motifs légitimes et impérieux ou constatation, exercice ou défense de droits en justice. L'utilisateur peut en outre s'opposer à tout moment, sans avoir à se justifier, à la prospection (article 21 du RGPD).

Caractère obligatoire des données et décisions automatisées. Sauf mention contraire lors de leur collecte, les données demandées sont nécessaires à la fourniture du service ou au respect des obligations légales de kstr ; à défaut, le compte ne peut être ouvert ou maintenu. kstr ne prend aucune décision produisant des effets juridiques à l'égard de l'utilisateur ou l'affectant de manière significative de façon similaire sur le seul fondement d'un traitement automatisé (article 22 du RGPD).

Décès de l'utilisateur. En l'absence de directives, les héritiers peuvent exercer les droits de l'utilisateur dans les conditions de l'article 85 de la loi n° 78-17 du 6 janvier 1978. L'utilisateur peut indiquer à kstr, en écrivant à hi@joinkstr.com, s'il souhaite que ses données soient communiquées ou non, après son décès, à un tiers qu'il désigne.