Politique de confidentialité

Cette politique de confidentialité vous informe, conformément à l’art. 13 du RGPD, sur la nature, l’étendue et la finalité du traitement des données personnelles au sein de notre offre en ligne et des sites web et fonctionnalités qui y sont liés.

1. Responsable du traitement

Daniel David Ovadia
CastLoop
Eugen-Richter-Str. 159
76187 Karlsruhe, Allemagne
E-mail : info@castloop.de

2. Définitions

Cette politique de confidentialité utilise les notions du Règlement général sur la protection des données (RGPD). Les « données personnelles » désignent toutes les informations se rapportant à une personne physique identifiée ou identifiable.

3. Finalités et bases juridiques du traitement

Nous traitons des données personnelles aux fins suivantes :

• Fourniture de l’offre en ligne et de ses fonctionnalités (art. 6 al. 1 lit. b RGPD)
• Exécution des obligations contractuelles (art. 6 al. 1 lit. b RGPD)
• Respect des obligations légales, en particulier des obligations fiscales et commerciales de conservation (art. 6 al. 1 lit. c RGPD)
• Sauvegarde d’intérêts légitimes — en particulier sécurité, prévention des abus, analyse et amélioration de notre offre (art. 6 al. 1 lit. f RGPD)
• Consentements, dans la mesure où ils ont été donnés (art. 6 al. 1 lit. a RGPD)

Aucune décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques vous concernant ou vous affectant de manière significative de façon similaire (art. 22 RGPD) n’est prise. La sélection assistée par l’IA des moments de clips évalue vos contenus, pas votre personne.

4. Fichiers journaux serveur & hébergement

Lors de la consultation de notre site web, des données d’accès sont automatiquement enregistrées dans des fichiers journaux serveur (adresse IP, date et heure, page consultée, agent utilisateur, référent). Ces données servent à la sécurité technique d’exploitation et sont supprimées ou anonymisées au plus tard après 14 jours.

Hébergement : IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Allemagne. Le traitement des données a lieu exclusivement sur des serveurs situés dans l’Union européenne (Allemagne). IONOS fournit également le relais SMTP pour l’envoi d’e-mails transactionnels ainsi que des sauvegardes par instantanés de VM de l’environnement de production. Un contrat de sous-traitance selon l’art. 28 du RGPD a été conclu avec le prestataire.

5. Inscription & compte client

Pour utiliser CastLoop, vous pouvez créer un compte. Les informations obligatoires sont l’adresse e-mail et le mot de passe ; sont facultatifs le nom de l’entreprise/de la chaîne, le prénom et le nom. Le mot de passe n’est jamais stocké en clair, mais sous forme de hachage au moyen du procédé moderne Argon2id (paramètres OWASP 2024).

Base juridique : art. 6 al. 1 lit. b RGPD (exécution du contrat). Les données sont supprimées dès qu’elles ne sont plus nécessaires aux fins de leur collecte et qu’aucune obligation légale de conservation ne s’y oppose.

L’indication d’une adresse e-mail et d’un mot de passe (ou la connexion par lien envoyé par e-mail ou via l’un des fournisseurs mentionnés à la section 7) ainsi que l’indication de votre qualité d’entrepreneur ou de consommateur sont nécessaires à la conclusion du contrat d’utilisation ; sans ces données, nous ne pouvons pas créer de compte. Pour un forfait payant, nous avons en outre besoin de votre adresse de facturation (voir section 10). Il n’existe aucune obligation légale de fournir ces données.

Si vous accédez à CastLoop via un lien publicitaire contenant un identifiant de campagne (paramètres utm, p. ex. source et campagne), nous enregistrons cet identifiant dans votre compte lors de l’inscription. Nous savons ainsi quelle publicité mène à des inscriptions. Aucun cookie n’est déposé et aucune donnée n’est transmise à des réseaux publicitaires. La base juridique est l’art. 6, par. 1, point f) RGPD ; notre intérêt légitime est la mesure de l’efficacité de notre publicité. Vous pouvez vous y opposer (voir section 16). Sur les pages de connexion et d’inscription de app.castloop.de, nous enregistrons en outre des événements d’utilisation pseudonymisés (par exemple affichage de la page, début et envoi du formulaire, clic sur un fournisseur de connexion et codes d’erreur) afin de voir à quel endroit les visiteurs abandonnent l’inscription ; pour cela, nous conservons une valeur de hachage de l’adresse IP et de la classe de navigateur, mais ni l’adresse IP elle-même ni adresses e-mail ni contenus du formulaire, nous ne déposons aucun cookie et nous supprimons ces événements au bout de 90 jours (base juridique également l’art. 6, par. 1, point f) RGPD, opposition voir section 16).

Connexion par lien envoyé par e-mail. Au lieu d’utiliser un mot de passe, vous pouvez vous connecter ou vous inscrire avec un lien que nous envoyons à votre adresse e-mail. Pour cela, nous traitons votre adresse e-mail, la langue choisie et, lors de l’inscription, vos indications sur votre rôle (professionnel ou consommateur), sur votre consentement aux nouveautés produit ainsi que l’identifiant de campagne du lien publicitaire. Nous ne conservons pas le lien lui-même ; notre serveur ne garde qu’une valeur de hachage irréversible avec ces indications pendant 15 minutes au maximum, puis elle est supprimée. Une mention supplémentaire sans contenu est conservée jusqu’à 24 heures afin que nous puissions reconnaître un lien expiré comme tel. Chaque lien n’est utilisable qu’une seule fois. Si vous demandez le lien sur la page d’inscription, nous enregistrons la date et l’heure, la version des CGU et de la politique de confidentialité ainsi qu’une valeur de hachage de votre adresse IP comme preuve de votre déclaration. Si vous demandez le lien sur la page de connexion pour une adresse qui n’a pas encore de compte, l’ouverture du lien ne crée aucun compte. Ce n’est que lorsque vous choisissez votre rôle sur la page suivante et cliquez sur « Créer le compte » que nous créons le compte et enregistrons ces indications au moment de ce clic. En ouvrant le lien, votre adresse e-mail est considérée comme confirmée. Le lien de connexion ne confirme en revanche pas votre consentement aux nouveautés produit. Si vous avez choisi de recevoir les nouveautés produit, nous vous envoyons après la création du compte un e-mail séparé contenant un lien de confirmation. Votre consentement ne prend effet que lorsque vous cliquez sur ce lien (double opt-in, voir la section 11). La base juridique est l’art. 6, paragraphe 1, point b du RGPD.

6. Contenus traités

CastLoop traite les contenus que vous fournissez activement — en particulier des URL de vidéos YouTube ou d’épisodes de podcast, des enregistrements de chaînes Twitch ou Kick connectées et des fichiers que vous téléversez, ainsi que les transcriptions, fichiers de clips, suggestions de titres et de sous-titres qui en sont issus. Ces contenus sont utilisés exclusivement pour la fourniture du service commandé et supprimés à l’expiration des délais de conservation convenus contractuellement (en règle générale 7 jours pour les téléchargements bruts, jusqu’à 90 jours pour les clips créés dans le cadre de la fonction de recyclage). Les fichiers de clips sont stockés exclusivement sur des serveurs UE d’IONOS SE ; aucun transfert vers des fournisseurs de stockage cloud hors UE n’a lieu.

7. Connexion sociale / SSO

Pour simplifier la connexion, nous proposons un Single Sign-On (SSO) via différents fournisseurs d’identité. Si vous utilisez cette option, vous êtes redirigé vers le fournisseur concerné ; après authentification réussie, nous recevons un jeton d’identification signé (JWT), dont nous n’extrayons exclusivement qu’un identifiant utilisateur stable (sub) et votre adresse e-mail. Nous ne recevons aucun mot de passe et aucun accès illimité à votre compte chez ce fournisseur. Lors de la connexion avec Facebook ou Instagram, nous recevons un code d’autorisation au lieu d’un jeton d’identification ; les détails figurent aux sections 7.4 et 7.5.

7.1 Google Ireland Ltd. — connexion Google

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande. Authentification via compte Google (« Sign in with Google »). Sont traités sub (ID utilisateur Google stable), adresse e-mail, statut de confirmation de l’e-mail, facultativement nom et URL de la photo de profil. Détails : policies.google.com/privacy.

7.2 Microsoft Ireland Operations Limited — Sign in with Microsoft

Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irlande. Authentification via compte Microsoft (personnel ou professionnel/scolaire). Sont traités sub (ID utilisateur Microsoft stable, et non oid), adresse e-mail et facultativement nom d’affichage. Détails : privacy.microsoft.com.

7.3 Apple Distribution International Ltd. — Sign in with Apple

Apple Distribution International Limited, Hollyhill Industrial Estate, Hollyhill, Cork, Irlande. Authentification via identifiant Apple. Sont traités sub (ID utilisateur Apple stable) et adresse e-mail.

Remarque sur les adresses Private Relay : Apple propose l’option « Masquer mon adresse e-mail ». Dans ce cas, nous recevons exclusivement une adresse de redirection anonymisée de la forme <jeton_aleatoire>@privaterelay.appleid.com. Nous ne pouvons pas voir votre véritable adresse e-mail ; Apple transmet les messages de manière transparente à l’adresse que vous avez enregistrée. Détails : apple.com/legal/privacy.

7.4 Meta Platforms Ireland Ltd. — connexion avec Facebook

Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irlande. Vous pouvez vous connecter ou vous inscrire avec votre compte Facebook (« Continuer avec Facebook »). La seule finalité est la connexion à CastLoop ainsi que la création ou la reconnaissance de votre compte client. Nous ne demandons que les autorisations standard public_profile et email. Après votre consentement dans la fenêtre de Facebook, nous échangeons sur notre serveur le code d’autorisation contre un jeton d’accès et l’utilisons une seule fois pour récupérer votre identifiant utilisateur Facebook propre à l’application (id), votre nom (name) et votre adresse e-mail (email). Nous ne conservons pas le jeton d’accès ; il est supprimé après cette requête. Nous conservons l’identifiant utilisateur, afin de vous reconnaître lors des connexions suivantes, l’adresse e-mail en tant qu’adresse de votre compte client ainsi que le prénom et le nom issus de votre nom Facebook en tant que nom dans votre compte client. À partir du nom, nous créons en outre le nom par défaut de votre espace de travail, que vous pouvez modifier à tout moment. Pour un nouveau compte, nous vous envoyons un lien permettant de confirmer l’adresse e-mail. Si Facebook ne transmet aucune adresse e-mail, nous ne créons pas de compte. La connexion de pages Facebook et de comptes Instagram pour la publication est distincte et n’a lieu que si vous la choisissez expressément dans une fenêtre séparée (sections 8.2 et 8.6). Si vous demandez dans vos paramètres Facebook la suppression de vos données chez CastLoop, nous supprimons le lien avec votre compte Facebook. La base juridique est l’art. 6 al. 1 lit. b RGPD. Meta Platforms Ireland Ltd. peut transmettre des données à Meta Platforms, Inc. (USA) (voir section 14). Détails : facebook.com/privacy/policy.

7.5 Meta Platforms Ireland Ltd. — connexion avec Instagram

Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irlande. Vous pouvez vous connecter ou vous inscrire avec votre compte professionnel Instagram (compte entreprise ou créateur) (« Continuer avec Instagram », API Instagram avec connexion Instagram). Après votre accord dans la fenêtre Instagram, nous échangeons sur notre serveur le code d’autorisation contre un jeton d’accès, puis celui-ci contre un jeton d’accès de longue durée. Avec ce jeton, nous récupérons votre identifiant utilisateur Instagram propre à l’application, l’identifiant de votre compte Instagram, votre nom d’utilisateur, le nom affiché, le type de compte et l’adresse de la photo de profil. Instagram ne nous transmet aucune adresse e-mail. Si nous ne connaissons pas encore votre compte Instagram, nous ne créons d’abord aucun compte client. Nous conservons les données récupérées pendant 15 minutes au maximum dans une procédure de connexion à usage unique, le jeton d’accès uniquement sous forme chiffrée. Le compte client n’est créé que lorsque, à l’étape « Compléter le compte », vous saisissez votre adresse e-mail, choisissez votre statut et touchez « C'est parti ». Nous envoyons à l’adresse saisie un lien permettant de la confirmer. Nous conservons l’identifiant utilisateur Instagram pour vous reconnaître lors des connexions suivantes, l’adresse e-mail que vous avez saisie comme adresse de votre compte client et le nom d’utilisateur comme nom par défaut de votre espace de travail, que vous pouvez modifier à tout moment. Avec le jeton d’accès de longue durée, nous connectons dans la même étape votre compte Instagram comme destination de publication. Nous conservons le jeton sous forme chiffrée comme décrit à la section 8.2, avec l’identifiant, le nom d’utilisateur, le nom affiché et la photo de profil du compte ; vous pouvez le déconnecter à tout moment. Si vous supprimez CastLoop dans vos paramètres Instagram ou y demandez la suppression de vos données, nous supprimons le lien avec votre compte Instagram. Votre compte client est conservé et vous vous connectez ensuite avec un lien envoyé par e-mail. L’étape « Compléter le compte » s’applique également à la connexion avec Facebook (section 7.4), sans saisie de l’adresse e-mail. La base juridique est l’art. 6 al. 1 lit. b RGPD. Meta Platforms Ireland Ltd. peut transmettre des données à Meta Platforms, Inc. (USA) (voir section 14). Détails : privacycenter.instagram.com/policy.

Base juridique pour le SSO : art. 6 al. 1 lit. b RGPD (exécution du contrat / mesures précontractuelles).

8. Publication multi-plateformes (jetons OAuth & publications)

La prestation centrale de CastLoop est la publication automatisée des clips créés sur les plateformes de réseaux sociaux que vous avez connectées. Pour cela, vous nous mettez à disposition des jetons d’accès OAuth de la plateforme concernée. Vos mots de passe des plateformes ne sont à aucun moment vus ni stockés par nous.

Chiffrement des jetons : les jetons d’accès et de rafraîchissement OAuth sont stockés dans notre base de données exclusivement de manière chiffrée avec AES-256-GCM (« Envelope Encryption »), liés à un contexte de données authentifiées supplémentaires (AAD) propre à chaque ligne (Tenant-ID, Social-Account-ID, plateforme). Une fuite de la base de données sans accès au matériel de clé conservé séparément reste ainsi inutilisable.

8.1 Google Ireland Ltd. — YouTube / YouTube Shorts

Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande. CastLoop utilise la YouTube Data API v3 exclusivement sur la chaîne YouTube que vous avez connectée, au moyen des scopes OAuth suivants :

• https://www.googleapis.com/auth/youtube.readonly — lecture de vos propres métadonnées de chaîne et de vidéos (ID de chaîne, titre, vignette, liste de vidéos avec titre, description, durée, date de publication). Utilisé pour vous permettre, dans le tableau de bord, de choisir à partir de quelles vidéos longues CastLoop doit extraire des clips courts. Seuls les points de terminaison channels.list, playlistItems.list et videos.list sont appelés ; via videos.list ou videos.batchGetStats, nous récupérons en outre le nombre de vues, de mentions J’aime et de commentaires des Shorts mis en ligne via CastLoop afin de vous les afficher dans le tableau de bord.
• https://www.googleapis.com/auth/youtube.upload — téléversement des clips courts que vous avez validés (jusqu’à 3 minutes, format vertical) en tant que YouTube Shorts sur votre propre chaîne. Seul le point de terminaison videos.insert est appelé. Aucun téléversement automatique n’a lieu sans votre validation et votre planification préalables.

Lors de la connexion de la chaîne, nous demandons en outre les autorisations standard openid, email et profile. Elles servent exclusivement à rattacher la chaîne YouTube connectée au bon compte Google ; elles ne servent pas à se connecter à CastLoop.

Sont transmis, au moment du téléversement, le fichier de clip (MP4), le titre que vous avez attribué, la description, les tags et le moment de publication. Les vidéos longues originales ne quittent à aucun moment nos serveurs.

Limited Use — engagement d’utilisation conformément à la Google API Services User Data Policy (y compris Limited Use Requirements) :

• Nous utilisons les données reçues via l’API YouTube exclusivement pour vous fournir la fonction présentée dans le tableau de bord (sélection de clips, téléversement de Shorts).
• Nous ne vendons aucune donnée reçue via l’API YouTube à des tiers.
• Nous n’utilisons aucune donnée reçue via l’API YouTube pour afficher de la publicité ou pour personnaliser de la publicité.
• Nous n’entraînons aucun modèle d’IA/ML avec les contenus reçus via l’API YouTube.
• L’accès humain (employés / sous-traitants) aux données a lieu exclusivement (a) avec votre consentement explicite, (b) à des fins de sécurité (p. ex. enquête sur un incident d’abus ou de sécurité), (c) pour le respect d’obligations légales ou (d) lorsque les données sont anonymisées/agrégées pour des opérations internes.

Vous pouvez à tout moment désautoriser la chaîne YouTube via Tableau de bord → Chaînes → Déconnecter ou révoquer la connexion directement dans votre compte Google sous « Applications tierces avec accès au compte ». Après déconnexion, les jetons OAuth associés sont immédiatement supprimés ; les YouTube Shorts déjà téléversés restent sur votre chaîne et peuvent être gérés par vous comme d’habitude.

Conservation des données : les métadonnées vidéo reçues via l’API YouTube (p. ex. titre, miniature) sont conservées pendant 30 jours au maximum ; ensuite, elles sont automatiquement soit actualisées selon l’état actuel sur YouTube, soit supprimées. Si une vidéo source est supprimée sur YouTube, nous retirons les métadonnées associées lors de la synchronisation suivante. Si vous déconnectez la chaîne dans le tableau de bord, ces données sont supprimées sous 7 jours ; si vous révoquez l’autorisation depuis les paramètres de votre compte Google, sous 30 jours.

Mentions générales de confidentialité de Google : policies.google.com/privacy.

En utilisant les fonctionnalités YouTube de CastLoop, vous acceptez d’être lié par les Conditions d’utilisation de YouTube (https://www.youtube.com/t/terms).

8.2 Meta Platforms Ireland Ltd. — Instagram

Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irlande. Publication de Reels et Stories via l’Instagram Graph API. Détails : facebook.com/privacy/policy.

Vous pouvez aussi connecter Instagram sans page Facebook en vous connectant directement avec votre compte Instagram professionnel (API Instagram avec connexion Instagram). Le destinataire est alors également Meta Platforms Ireland Ltd. Dans les deux cas, le clip et le texte de la publication sont transmis ; nous conservons le jeton OAuth (chiffré, voir section 8 ci-dessus) ainsi que l’identifiant et le nom d’utilisateur du compte Instagram. Nous récupérons en outre les statistiques des publications (p. ex. vues, mentions J’aime, commentaires) afin de vous les afficher dans le tableau de bord.

8.3 TikTok Technology Ltd. — TikTok

TikTok Technology Limited (groupe ByteDance), 10 Earlsfort Terrace, Dublin 2, Irlande. Publication via la TikTok Content Posting API. Détails : tiktok.com/legal/privacy-policy.

8.4 LinkedIn Ireland Unlimited Company — LinkedIn

LinkedIn Ireland Unlimited Company, Wilton Place, Dublin 2, Irlande. Publication de posts vidéo via la LinkedIn Marketing Developer Platform. Détails : linkedin.com/legal/privacy-policy.

8.5 X Corp. — X (anciennement Twitter)

X Corp., 1355 Market Street, Suite 900, San Francisco, CA 94103, USA. Publication via la X API v2. X Corp. a son siège aux États-Unis ; les transferts de données vers les États-Unis sont inévitables pour l’utilisation de la plateforme X. La protection est assurée sur la base des clauses contractuelles types de l’UE (CCT 2021/914). Détails : x.com/privacy.

8.6 Meta Platforms Ireland Ltd. — Facebook

Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irlande. Publication de posts vidéo de pages Facebook via la Facebook Graph API. Mentions de confidentialité : facebook.com/privacy/policy.

8.7 Meta Platforms Ireland Ltd. — Threads

Meta Platforms Ireland Limited, Merrion Road, Dublin 4, Irlande. Publication de posts Threads via la Threads Graph API. Threads étant un produit Meta, la même politique de confidentialité s’applique que pour Instagram : facebook.com/privacy/policy.

8.8 Bluesky Social, PBC — Bluesky

Bluesky Social, PBC, Seattle, Washington, États-Unis. Publication de vidéos via l’AT Protocol (OAuth). Bluesky a son siège aux États-Unis ; le transfert est encadré par les clauses contractuelles types de l’UE (SCC 2021/914). Détails : bsky.social/about/support/privacy-policy.

8.9 Mastodon — opérateur de l’instance choisie

Mastodon est un réseau décentralisé. Le destinataire des données est l’opérateur de l’instance que l’utilisateur choisit lors de la connexion (pour mastodon.social : Mastodon gGmbH, Allemagne). La publication s’effectue via l’API Mastodon avec une autorisation OAuth de l’instance concernée ; le siège et les mentions de confidentialité dépendent de l’instance choisie.

8.10 Tumblr, Inc. — Tumblr

Tumblr, Inc. (groupe Automattic), 60 29th Street #343, San Francisco, CA 94110, États-Unis. Publication via l’API Tumblr. Tumblr a son siège aux États-Unis ; le transfert est encadré par les clauses contractuelles types de l’UE (SCC 2021/914). Détails : tumblr.com/privacy/en_eu.

8.11 Telegram FZ-LLC — Telegram

Telegram FZ-LLC, Dubaï, Émirats arabes unis (représentant UE pour la protection des données : Telegram UK Holdings Ltd, Londres). La publication s’effectue via la Bot API de Telegram dans le canal connecté par l’utilisateur ; sont transmis la clip, le texte d’accompagnement et l’identifiant du canal. Telegram traite des données hors UE ; le transfert est encadré par les clauses contractuelles types de l’UE (SCC 2021/914). Détails : telegram.org/privacy.

8.12 Twitch Interactive, Inc. — Twitch (source)

Twitch Interactive, Inc. (société du groupe Amazon), 350 Bush Street, 2nd Floor, San Francisco, CA 94104, États-Unis. CastLoop utilise l’API Twitch exclusivement en lecture pour récupérer, depuis la chaîne Twitch connectée par l’utilisateur, ses enregistrements à la demande (VOD) comme matériau source pour la création de clips. L’autorisation OAuth nous accorde uniquement un accès en lecture à l’identité de la chaîne ; aucun accès en écriture à votre compte Twitch n’a lieu. Les enregistrements eux-mêmes sont chargés via l’infrastructure publique de Twitch. Sont transmis ou stockés : le jeton OAuth (chiffré, voir la section 8 ci-dessus), l’identifiant et le nom de la chaîne, ainsi que les métadonnées des enregistrements (titre, durée, date de publication). Twitch Interactive, Inc. a son siège aux États-Unis ; le traitement a également lieu aux États-Unis. Le transfert est encadré par les clauses contractuelles types de l’UE (SCC 2021/914). Détails : twitch.tv/p/fr-fr/legal/privacy-notice.

8.13 Vimeo.com, Inc. — Vimeo (destination)

Vimeo.com, Inc., 330 West 34th Street, 5th Floor, New York, NY 10001, États-Unis. CastLoop télécharge les clips validés par l’utilisateur vers le compte Vimeo connecté via l’API Vimeo. L’autorisation OAuth couvre les scopes public, private, upload et edit. Sont transmis au moment du téléchargement le fichier vidéo, le titre et la description fournis par l’utilisateur, ainsi que son identifiant utilisateur/lien de profil Vimeo ; nous récupérons en outre les vues, mentions « j’aime » et commentaires des vidéos publiées pour les afficher dans le tableau de bord comme indicateurs de performance. Vimeo.com, Inc. a son siège aux États-Unis ; le traitement a également lieu aux États-Unis. Le transfert est encadré par les clauses contractuelles types de l’UE (SCC 2021/914). Détails : vimeo.com/privacy.

8.14 Kick Streaming Pty Ltd — Kick (source)

Kick Streaming Pty Ltd, 2/287 Collins Street, Melbourne VIC 3000, Australie. CastLoop utilise l’API Kick exclusivement en lecture (autorisations user:read et channel:read) pour vérifier l’identité de votre chaîne Kick lors de la connexion. Le jeton d’accès accordé à cette fin est révoqué auprès de Kick immédiatement après cette vérification et n’est pas conservé ; aucun accès en écriture à votre compte Kick n’a lieu. Les enregistrements de vos diffusions terminées (VOD) sont ensuite chargés via l’infrastructure publique de Kick ; seuls les enregistrements de la chaîne que vous avez connectée sont traités. Sont conservés : l’identifiant et le nom de la chaîne (slug) ainsi que les métadonnées des enregistrements (titre, durée, date de publication). Kick Streaming Pty Ltd a son siège en Australie ; selon sa propre politique, Kick traite également des données aux États-Unis. L’encadrement repose sur les clauses contractuelles types de l’UE (CCT 2021/914). Détails : kick.com/privacy-policy.

Base juridique pour la publication : art. 6 al. 1 lit. b RGPD (exécution du contrat). La plateforme concernée est responsable du traitement de manière autonome au regard du droit de la protection des données pour le traitement sur ses propres systèmes.

8.15 Pinterest Europe Ltd. — Pinterest (destination)

Pinterest Europe Limited, Palmerston House, 2nd Floor, Fenian Street, Dublin 2, Irlande. Si vous connectez un compte Pinterest, CastLoop publie les clips que vous avez validés sous forme d’épingles vidéo via l’API Pinterest sur un tableau de votre choix. L’autorisation OAuth comprend les autorisations pins:read, pins:write, boards:read, boards:write et user_accounts:read. Sont transmis le fichier vidéo, le titre, la description et le tableau choisi ; nous conservons le jeton OAuth (chiffré, voir section 8 ci-dessus) ainsi que l’identifiant et le nom de votre compte Pinterest. Pinterest Europe Ltd. peut transmettre des données à Pinterest, Inc. (États-Unis) ; ce transfert est encadré par les clauses contractuelles types de l’UE (SCC 2021/914). La base juridique est l’art. 6, par. 1, point b) RGPD. Détails : policy.pinterest.com/privacy-policy.

8.16 Flux RSS de podcast — Podcast (source)

Si vous connectez un podcast via l’adresse de son flux RSS, notre serveur récupère le flux public et les fichiers audio ou vidéo qui y sont liés auprès de l’hébergeur du podcast concerné ; l’hébergeur reçoit l’adresse IP de notre serveur, pas la vôtre. Aucun jeton d’accès n’intervient. Pour garantir que seules vos propres émissions sont traitées, nous comparons l’adresse e-mail du propriétaire indiquée dans le flux avec celle de votre compte ou vérifions un code de confirmation que vous saisissez dans la description de l’émission. Nous conservons l’adresse du flux, le titre de l’émission et les métadonnées des épisodes (titre, durée, date de publication). La base juridique est l’art. 6, par. 1, point b) RGPD.

9. Traitement assisté par IA (transcription & analyse de clips)

Pour la création automatique de transcriptions, la détection de moments marquants et la génération de variantes d’accroches/de titres, nous utilisons des procédés assistés par IA. Sont transmis des transcriptions audio/texte ainsi que des métadonnées pertinentes de la vidéo concernée. Le traitement a lieu au sein de l’UE ou – lorsque des sous-traitants situés dans un pays tiers sont impliqués – sur la base de clauses contractuelles types de l’UE (art. 46 RGPD). Les contenus sont traités exclusivement pour la fourniture de la fonction et non pour l’entraînement de modèles d’IA.

Base juridique : art. 6 al. 1 lit. b RGPD (exécution du contrat).

10. Traitement des paiements

Le traitement des paiements s’effectue via Mollie B.V. (Keizersgracht 126, 1015 CW Amsterdam, Pays-Bas). Les données nécessaires au traitement du paiement (montant, méthode de paiement, e-mail, adresse de facturation) sont transmises à Mollie. Mollie est lui-même responsable du traitement au sens du RGPD pour le traitement des données de paiement. Vous trouverez plus d’informations dans la politique de confidentialité de Mollie.

Base juridique : art. 6 al. 1 lit. b RGPD (exécution du contrat), art. 6 al. 1 lit. c RGPD (obligations légales de conservation selon l’art. 257 HGB, l’art. 147 AO).

Nous établissons les factures nous-mêmes sur nos serveurs ; à cet effet, nous traitons le nom ou la raison sociale, l’adresse de facturation, le cas échéant votre numéro de TVA ainsi que les données du paiement concerné. Si vous indiquez un numéro de TVA, nous en vérifions la validité via le système d’échange d’informations en matière de TVA (VIES) de la Commission européenne ; seuls le code pays et le numéro de TVA sont transmis. La base juridique est l’art. 6, par. 1, points b) et c) RGPD (exécution du contrat, obligations en matière de TVA).

11. Envoi d’e-mails

Pour l’envoi d’e-mails transactionnels (confirmation d’inscription, réinitialisation de mot de passe, factures, notifications de clips), nous utilisons le relais SMTP d’IONOS SE (voir section 4). Aucun prestataire d’envoi distinct hors UE n’est employé. L’envoi s’effectue exclusivement via des connexions chiffrées TLS (TLS 1.2 ou supérieur).

Si vous avez consenti lors de l’inscription à recevoir des nouveautés produit par e-mail (nouvelles fonctionnalités, conseils pour bien démarrer et rappels, par exemple si vous n’avez encore ajouté aucune vidéo quelques jours après l’inscription), le consentement ne prend effet qu’après un clic sur le lien de confirmation (double opt-in) ; nous conservons ce moment comme preuve. La base juridique est votre consentement (art. 6, par. 1, point a) RGPD), que vous pouvez retirer à tout moment avec effet pour l’avenir, par exemple via le lien de désinscription présent dans chaque e-mail ou dans les paramètres.

12. Cookies & technologies comparables

Notre site marketing castloop.de ne dépose aucun cookie et n’intègre aucun service d’analyse ou de publicité ; il enregistre uniquement votre choix de langue et, le cas échéant, vos paramètres de cookies dans le stockage local de votre navigateur. L’application app.castloop.de utilise exclusivement des cookies et des entrées de stockage local techniquement nécessaires (en particulier un cookie HttpOnly pour le jeton de rafraîchissement, un cookie de courte durée sécurisant les connexions et les liaisons de comptes, ainsi que votre choix de langue et d’affichage). Un consentement n’est ici pas requis conformément au § 25 al. 2 nº 2 TDDDG. Vous trouverez plus de détails dans notre politique relative aux cookies.

13. Destinataires des données / sous-traitants

Les prestataires suivants traitent des données personnelles pour notre compte ou en tant que responsables autonomes (pour les plateformes de réseaux sociaux et Mollie) :

• IONOS SE (Montabaur, DE) — infrastructure d’hébergement, relais SMTP, sauvegardes par instantanés de VM
• Mollie B.V. (Amsterdam, NL) — traitement des paiements & gestion des factures
• Google Ireland Ltd. (Dublin, IE) — YouTube Data API, connexion Google
• Microsoft Ireland Operations Ltd. (Dublin, IE) — authentification via compte Microsoft
• Apple Distribution International Ltd. (Cork, IE) — authentification via identifiant Apple
• Meta Platforms Ireland Ltd. (Dublin, IE) — connexion avec Facebook et Instagram (Facebook Login, Instagram Login), publications Instagram, Facebook et Threads
• TikTok Technology Ltd. (Dublin, IE) — publications TikTok
• LinkedIn Ireland Unlimited Company (Dublin, IE) — publications LinkedIn
• X Corp. (San Francisco, USA) — publications X/Twitter (traitement des données également aux États-Unis, sécurisé par les CCT 2021/914)
• Bluesky Social, PBC (Seattle, États-Unis) — publications Bluesky (traitement des données également aux États-Unis)
• Opérateur de l’instance Mastodon choisie par l’utilisateur (décentralisé ; pour mastodon.social : Mastodon gGmbH, DE) — publications Mastodon
• Tumblr, Inc. (groupe Automattic, San Francisco, États-Unis) — publications Tumblr (traitement des données également aux États-Unis)
• Telegram FZ-LLC (Dubaï, ÉAU) — publications Telegram (traitement des données également hors UE)
• Twitch Interactive, Inc. (San Francisco, États-Unis) — accès en lecture à votre chaîne Twitch comme source (traitement des données également aux États-Unis, sécurisé par les CCT 2021/914)
• Kick Streaming Pty Ltd (Melbourne, Australie) — accès en lecture à votre chaîne Kick comme source (traitement des données en Australie et aux États-Unis, sécurisé par les CCT 2021/914)
• Vimeo.com, Inc. (New York, États-Unis) — publications Vimeo (traitement des données également aux États-Unis, sécurisé par les CCT 2021/914)
• Pinterest Europe Ltd. (Dublin, IE) — publications sur Pinterest, si vous connectez un compte Pinterest
• Commission européenne (Bruxelles, BE) — vérification du numéro de TVA via le système d’échange d’informations en matière de TVA (VIES), uniquement si vous indiquez un numéro de TVA

Nous concluons avec tous les sous-traitants un contrat de sous-traitance (DPA) selon l’art. 28 du RGPD ; les clients professionnels peuvent de leur côté conclure un DPA avec nous (voir modèle de DPA).

14. Transferts vers des pays tiers

Dans la mesure du possible, nous traitons les données personnelles au sein de l’Union européenne ou de l’Espace économique européen. Dans les cas suivants, un transfert vers des pays tiers (notamment vers les États-Unis) est inévitable :

• X Corp. (USA) — lors de la publication de clips sur X
• Meta Platforms, Inc. (USA) — lors de la connexion avec Facebook et de la publication sur Instagram, Facebook ou Threads, dans la mesure où Meta Ireland transmet des données à sa société mère américaine
• TikTok Inc. / ByteDance Ltd. (USA / Singapour) — lors des publications TikTok, dans la mesure où des données sont transmises à des sociétés du groupe
• Apple Inc. (USA) — lors du Sign in with Apple, dans la mesure où Apple Distribution International Ltd. transmet des données à sa société mère américaine
• Google LLC (USA) — dans la mesure où Google Ireland Ltd. transmet des données à sa société mère américaine
• Microsoft Corporation (USA) — dans la mesure où Microsoft Ireland Operations Ltd. transmet des données à sa société mère américaine
• Bluesky Social, PBC (États-Unis) — lors de la publication de clips sur Bluesky
• Tumblr, Inc. / Automattic Inc. (États-Unis) — pour les publications Tumblr
• Telegram FZ-LLC (Dubaï, ÉAU) — pour les publications Telegram
• Twitch Interactive, Inc. (États-Unis) — lors de l’accès en lecture à la chaîne Twitch connectée comme source
• Kick Streaming Pty Ltd (Australie) — lors de l’accès en lecture à la chaîne Kick connectée comme source
• Vimeo.com, Inc. (États-Unis) — pour les publications Vimeo
• Opérateur de l’instance Mastodon choisie — uniquement si l’utilisateur connecte une instance exploitée hors UE
• Pinterest, Inc. (États-Unis) — pour les publications sur Pinterest, dans la mesure où Pinterest Europe Ltd. transmet des données à sa maison mère américaine

Pour ces transferts vers des pays tiers, la protection est assurée sur la base des clauses contractuelles types de l’UE (CCT) conformément à la décision d’exécution (UE) 2021/914 de la Commission européenne. Google, Microsoft, Meta et Apple sont en outre certifiés au titre du cadre de protection des données UE-États-Unis (DPF) et offrent les engagements de transfert correspondants. Sur demande, nous vous fournissons des copies des CCT conclues.

Base juridique : art. 46 al. 2 lit. c RGPD.

15. Durée de conservation

Nous traitons et stockons les données personnelles uniquement aussi longtemps que cela est nécessaire à la réalisation de la finalité du traitement ou que des obligations légales de conservation (notamment art. 257 HGB : 10 ans pour les justificatifs comptables / factures, art. 147 AO : 6 ou 10 ans pour les documents fiscalement pertinents) existent.

En particulier : les fichiers journaux du serveur sont supprimés ou anonymisés au plus tard après 14 jours (section 4). Après la suppression d’un compte, celui-ci est immédiatement bloqué ; les données sont supprimées de la base de données de production au plus tard après 30 jours. Les données supprimées peuvent encore figurer dans nos sauvegardes chiffrées (les sauvegardes quotidiennes sont conservées 14 jours, les hebdomadaires 8 semaines et les mensuelles 12 mois) jusqu’à la suppression par rotation de la sauvegarde concernée, au plus tard 13 mois après leur suppression de la base de données de production. Les sauvegardes ne servent qu’à rétablir le service après une panne. Plus de détails sur la page Suppression des données.

Les déclarations de résiliation reçues via le bouton de résiliation (section 19) sont conservées comme lettres commerciales reçues pendant six ans (§ 257 al. 1 n° 2, al. 4 et 5 HGB ; § 147 al. 1 n° 2, al. 3 et 4 AO). Le délai court à partir de la fin de l’année civile au cours de laquelle le contrat résilié prend fin ; si nous ne pouvons rattacher une déclaration à aucun contrat, à partir de la fin de l’année civile de sa réception. Ensuite, nous supprimons la déclaration automatiquement. Nous supprimons la valeur de hachage de l’adresse IP dès 30 jours.

16. Vos droits

Vous disposez, en vertu du RGPD, des droits suivants :

• Droit d’accès (art. 15 RGPD)
• Droit de rectification (art. 16 RGPD)
• Droit à l’effacement (art. 17 RGPD)
• Droit à la limitation du traitement (art. 18 RGPD)
• Droit à la portabilité des données (art. 20 RGPD)
• Droit d’opposition (art. 21 RGPD)
• Retrait des consentements donnés avec effet pour l’avenir (art. 7 al. 3 RGPD)
• Droit d’introduire une réclamation auprès d’une autorité de contrôle (art. 77 RGPD)

Libre-service dans le tableau de bord : vous pouvez à tout moment gérer vos données vous-même via le tableau de bord :

• Exportation des données (art. 15 RGPD) — sous Paramètres → Exporter les données, vous pouvez télécharger une copie lisible par machine de vos données personnelles (JSON).
• Suppression du compte (art. 17 RGPD) — sous Paramètres → Supprimer le compte, vous pouvez supprimer votre compte de manière permanente. Le compte est immédiatement bloqué et supprimé de la base de données de production au plus tard après 30 jours ; les données disparaissent des sauvegardes lors de leur suppression par rotation (voir section 15).

Sinon, un simple message informel à info@castloop.de suffit.

Droit d’opposition selon l’art. 21 RGPD. Dans la mesure où nous traitons vos données sur la base d’intérêts légitimes (art. 6, par. 1, point f) RGPD, par exemple pour la sécurité et la prévention des abus, pour mesurer l’efficacité de notre publicité ou sur la page publique de vérification), vous pouvez vous opposer à tout moment à ce traitement pour des raisons tenant à votre situation particulière. Nous ne traiterons alors plus les données, à moins de démontrer des motifs légitimes et impérieux qui prévalent sur vos intérêts ou que le traitement serve à la constatation, à l’exercice ou à la défense de droits en justice. Une opposition informelle à info@castloop.de suffit.

17. Autorité de contrôle compétente

L’autorité de contrôle en matière de protection des données compétente pour nous est le Commissaire à la protection des données et à la liberté d’information du Bade-Wurtemberg, Lautenschlagerstraße 20, 70173 Stuttgart, baden-wuerttemberg.datenschutz.de. Vous trouverez une liste complète des commissaires régionaux à la protection des données auprès du Commissaire fédéral à la protection des données et à la liberté d’information (BfDI).

18. Page publique de vérification du marquage IA

Sur la page castloop.de/ki-pruefung, vous pouvez téléverser un fichier vidéo sans compte et sans vous connecter afin de vérifier s’il porte un marquage signé des contenus générés par l’IA (C2PA) apposé par CastLoop. La vérification est ouverte à tous, car l’art. 50, paragraphe 2, du règlement (UE) 2024/1689 exige que le marquage soit vérifiable.

Le fichier téléversé (50 Mo au maximum) est traité exclusivement pour cette vérification. Il est déposé sous un nom attribué au hasard, temporairement, dans la mémoire de travail et dans un répertoire temporaire de notre serveur, lu pour y rechercher le marquage, puis supprimé immédiatement après la vérification, même si celle-ci échoue. Le nom d’origine du fichier n’est pas conservé. Le fichier n’est pas stocké durablement, son contenu n’est pas analysé, il n’est pas transmis à des tiers et il n’est pas utilisé pour entraîner des modèles d’IA.

Vous recevez le résultat dans votre navigateur. Dans le journal applicatif de notre interface, il ne reste pour une vérification que le résultat sous forme résumée (marquage trouvé, non trouvé ou non vérifiable) ainsi que la méthode, le chemin, le statut de la réponse et la durée de la requête, mais ni contenu de fichier, ni nom de fichier, ni adresse IP. Comme pour tout accès à nos serveurs, votre adresse IP est consignée dans les fichiers journaux du serveur (voir la section 4). Pour prévenir les abus, nous comptons en outre le nombre de vérifications par adresse IP (par préfixe réseau pour l’IPv6) dans une mémoire temporaire ; ce compteur expire automatiquement lorsqu’aucune autre vérification n’a lieu pendant 15 minutes.

La base juridique est l’art. 6, paragraphe 1, point f), du RGPD. Notre intérêt légitime consiste à rendre accessible à tous la vérifiabilité du marquage exigée par la loi et à protéger la page de vérification contre les abus et la surcharge. Si vous utilisez la vérification en tant que client dans le cadre de votre contrat avec nous, la base juridique est l’art. 6, paragraphe 1, point b), du RGPD. Le téléversement du fichier est facultatif ; sans lui, la vérification ne peut pas être effectuée. Vous avez le droit de vous opposer au traitement conformément à l’art. 21 du RGPD (voir la section 16).

19. Résiliation via le bouton de résiliation

Avec le bouton « Résilier les contrats ici » de la page castloop.de/kuendigen, vous pouvez résilier votre contrat sans vous connecter (§ 312k du Code civil allemand, BGB). Nous traitons les informations du formulaire : votre nom, l’adresse e-mail de votre compte CastLoop, le type de résiliation et, pour une résiliation pour motif grave, le motif, le contrat ou l’offre, la date souhaitée et, si vous les indiquez, votre espace de travail ou votre référence client. S’y ajoutent la date et l’heure de réception ainsi que la langue de la page.

Nous traitons ces données pour rattacher la résiliation à votre contrat, l’exécuter et vous en confirmer immédiatement la réception par e-mail. Pour cela, nous comparons l’adresse e-mail avec nos comptes clients. Si votre abonnement passe par Mollie, nous informons Mollie de sa fin (voir la section 10) ; nous envoyons la confirmation comme décrit à la section 11. Si la résiliation ne peut pas être rattachée automatiquement, nous l’examinons manuellement. Pour prévenir les abus, la confirmation contient un lien par lequel le titulaire du compte autorise l’exécution ; ce n’est qu’alors, ou après vérification de votre identité, que nous mettons fin à l’abonnement. La date à laquelle la résiliation prend effet ne change pas.

La base juridique est l’art. 6 al. 1 lit. b RGPD (exécution et fin du contrat) ainsi que l’art. 6 al. 1 lit. c RGPD en lien avec le § 312k BGB (obligation légale de mettre à disposition le bouton de résiliation et d’en confirmer la réception).

Pour prévenir les abus, nous enregistrons pour chaque déclaration une empreinte (hash) de votre adresse IP formée avec une valeur secrète, et non l’adresse IP elle-même, et la supprimons au bout de 30 jours. Nous comptons en outre les envois par adresse IP dans une mémoire tampon qui expire au bout d’une heure. La base juridique est l’art. 6 al. 1 lit. f RGPD ; notre intérêt légitime est de protéger la page et les boîtes aux lettres de tiers contre les envois massifs.

Nous conservons la déclaration comme lettre commerciale reçue pendant six ans, à compter de la fin de l’année civile au cours de laquelle le contrat résilié prend fin (§ 257 al. 1 n° 2, al. 4 et 5 HGB ; § 147 al. 1 n° 2, al. 3 et 4 AO ; voir la section 15). Si nous ne pouvons la rattacher à aucun contrat, le délai court à partir de la fin de l’année civile de sa réception. Ensuite, nous la supprimons automatiquement. La base juridique de la conservation est l’art. 6 al. 1 lit. c RGPD. La fourniture des informations est facultative ; sans nom ni adresse e-mail, nous ne pouvons toutefois ni rattacher ni confirmer la résiliation. Vous pouvez aussi résilier de manière informelle par e-mail à info@castloop.de.

20. Actualité

Cette politique de confidentialité est continuellement adaptée aux évolutions juridiques et techniques.

Mise à jour : 27 octobre 2026 · Version 2.2 (contenu des nouveautés produit précisé à la section 11)