Politique de Confidentialité

POLITIQUE DE CONFIDENTIALITÉ

BandStream (Phase Alpha Privée)

En vigueur au 14 avril 2026, mise à jour le 21 septembre 2026 (vidéos YouTube des pages de sortie ; le 19 septembre 2026 : destinataires, cookie de consentement, pixel Meta et comptage anonyme des clics)

Article 1 : Responsable du traitement

Le responsable du traitement des données personnelles est la société BandStream SAS, 60 rue François 1er, 75008 Paris, France. RCS Paris 939 221 438 ; SIRET 939 221 438 00012 ; TVA FR 81939221438. Contact : [email protected].

Article 2 : Référent données personnelles

Le référent données personnelles est joignable à l'adresse : [email protected]. Il est le point de contact pour toute question relative au traitement des données personnelles et pour l'exercice des droits des personnes concernées.

Article 3 : Contexte Alpha, information spécifique

La Plateforme est actuellement en phase Alpha privée. L'accès est réservé aux Utilisateurs Alpha ayant reçu une Invitation de BandStream. Cette phase implique les spécificités suivantes en matière de données personnelles :

(a) BandStream peut collecter des données spécifiques à la phase Alpha, telles que les Retours d'expérience, les signalements de bogues, les données d'utilisation détaillées et les réponses à des enquêtes de satisfaction, aux fins d'amélioration de la Plateforme.

(b) Les mesures techniques de sécurité peuvent être en cours de déploiement et ne pas atteindre le niveau d'une version commerciale définitive. BandStream met néanmoins en œuvre les mesures raisonnables pour protéger les données des Utilisateurs Alpha.

(c) En cas de fin de la phase Alpha, les données des Utilisateurs Alpha seront traitées conformément à l'article 8 (durées de conservation), sauf si l'Utilisateur Alpha poursuit son utilisation en version commerciale.

Article 4 : Données personnelles collectées

4.1 Données des Utilisateurs Alpha

Données d'identification : nom d'artiste ou pseudonyme, adresse électronique.

Données de connexion : adresse IP, type de navigateur, système d'exploitation, date et heure de connexion, journaux d'accès.

Données d'abonnement : type d'offre, dates de souscription et renouvellement, historique de facturation.

Données de contenu : images de profil, biographie, liens, informations relatives aux événements.

Données de paiement : collectées et traitées directement par Stripe, Inc. Non stockées par BandStream.

Données spécifiques Alpha : Retours d'expérience, signalements de bogues, données d'utilisation détaillées (parcours de navigation, actions effectuées, fonctionnalités utilisées), réponses aux enquêtes internes.

4.2 Données des Visiteurs

Données de navigation agrégées et anonymisées : pays, source de trafic, pages visitées, durée. Approche « privacy-first ».

4.3 Caractère obligatoire ou facultatif des données

Les données marquées d'un astérisque (*) dans les formulaires sont obligatoires pour la création du Compte et la fourniture des Services. En cas de non-fourniture de ces données obligatoires, BandStream ne sera pas en mesure de créer le Compte de l'Utilisateur ni de fournir les Services. Les autres données sont facultatives et leur non-fourniture n'empêche pas l'utilisation de la Plateforme, mais peut limiter certaines fonctionnalités (par exemple, l'absence de biographie ou d'image de profil sur la Page Artiste).

Article 5 : Finalités et bases légales

Note : La finalité « Gestion Ad Campaign » (Google Ads, Meta Pixel, TikTok) repose sur le consentement de l'Utilisateur et non sur l'exécution du contrat, conformément aux recommandations de la CNIL relatives au tracking publicitaire. Le dépôt de cookies et pixels publicitaires est subordonné au consentement préalable recueilli via le gestionnaire de consentement intégré.

Article 6 : Destinataires et sous-traitants

6.1 Sous-traitants de BandStream

Chaque sous-traitant est contractuellement tenu de respecter le RGPD. BandStream peut communiquer des données aux autorités compétentes sur réquisition légale.

6.2 Plateformes publicitaires activées par les Utilisateurs (Offre Pro)

Lorsqu'un Utilisateur titulaire de l'Offre Pro configure un pixel sur sa Page Artiste, la plateforme correspondante reçoit les événements de navigation des Visiteurs de cette page, uniquement après leur consentement « marketing » recueilli via le gestionnaire intégré. Pour Meta, TikTok et Snapchat, lorsque l'Utilisateur a renseigné une clé d'API de conversions, les clics vers les plateformes de streaming et les points de vente de billetterie sont également transmis depuis les serveurs de BandStream, sous la même condition de consentement. Deux exceptions, qui ne concernent que Meta, sont décrites aux articles 10.4 (chargement du script du pixel avant toute réponse du Visiteur, sans cookie ni évènement) et 11.5 (comptage anonyme des clics après un refus). Ces plateformes agissent en qualité de responsables de traitement indépendants (voir article 11.4).

Lorsqu'une page de sortie présente un clip vidéo, Google LLC (YouTube) reçoit l'adresse IP et les informations techniques du navigateur du Visiteur au chargement du lecteur, qui n'intervient qu'après un clic du Visiteur sur la vidéo et son accord à la catégorie « Vidéos YouTube » (voir article 10.1). Avant cet accord, aucune donnée n'est transmise à Google. YouTube agit en qualité de responsable de traitement indépendant.

6.3 Balises du conteneur de mesure du Site

Le conteneur Google Tag Manager du Site (GTM-N9SS822J) n'est chargé que lorsque le Visiteur a accordé à la fois la catégorie « analytique » et la catégorie « marketing ». Outre la mesure d'audience (Google Analytics), il contient des balises publicitaires servant à mesurer les campagnes de BandStream : Google Ads et TikTok. Lorsque le Visiteur n'accorde que la catégorie « analytique », ce conteneur n'est pas chargé : Google Analytics est alors chargé seul, signaux publicitaires refusés, et aucune balise Google Ads ni TikTok n'entre dans la page.

Une balise ne transmet de données que lorsqu'elle est effectivement déclenchée ; l'article 6.1 décrit le contenu du conteneur et les envois constatés sur le Site, pas un envoi systématique à chaque visite. Lorsque le Visiteur retire un accord alors que ces outils sont déjà actifs dans la page, celle-ci est rechargée une fois, afin qu'ils cessent réellement d'émettre. Google LLC et TikTok agissent en qualité de responsables de traitement indépendants pour les données qu'ils collectent par ces balises.

Article 7 : Transferts hors UE

Données hébergées principalement en France et dans l'UE. Transferts hors EEE encadrés par des clauses contractuelles types ou le EU-U.S. Data Privacy Framework.

Conformément aux recommandations du Comité européen de la protection des données (CEPD) et à la jurisprudence Schrems II (CJUE, arrêt C-311/18), BandStream a réalisé une évaluation de l'impact des transferts (Transfer Impact Assessment, TIA) pour chaque sous-traitant situé en dehors de l'EEE. Ces évaluations sont disponibles sur demande auprès du référent données personnelles à l'adresse [email protected].

Des mesures supplémentaires (chiffrement de bout en bout, pseudonymisation, ségrégation des accès) sont mises en œuvre lorsque le TIA identifie un risque résiduel pour les droits des personnes concernées.

Informations complémentaires : [email protected].

Article 8 : Durées de conservation

À expiration, les données sont supprimées ou anonymisées de manière irréversible.

Article 9 : Droits des personnes concernées

Droit d'accès (art. 15 RGPD) : obtenir confirmation du traitement et une copie des données.

Droit de rectification (art. 16) : correction de données inexactes ou incomplètes.

Droit à l'effacement (art. 17) : suppression des données, sous réserve des obligations légales.

Droit à la limitation (art. 18) : suspension temporaire du traitement.

Droit à la portabilité (art. 20) : récupération des données dans un format structuré et lisible.

Droit d'opposition (art. 21) : opposition au traitement fondé sur l'intérêt légitime, et opposition à la prospection commerciale à tout moment.

Droit relatif à la décision automatisée et au profilage (art. 22 RGPD) : l'Utilisateur a le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé, y compris le profilage, produisant des effets juridiques ou l'affectant de manière significative. À la date de la présente politique, BandStream ne procède à aucune décision exclusivement automatisée ni à aucun profilage produisant des effets juridiques à l'égard des Utilisateurs. En cas d'évolution, la présente politique sera mise à jour pour en informer les Utilisateurs.

Retrait du consentement : possible à tout moment, sans effet rétroactif.

Directives post-mortem (art. 85 loi Informatique et Libertés) : directives relatives au sort des données après décès.

Demandes adressées à [email protected] avec justificatif d'identité. Réponse sous un (1) mois, prolongeable de deux (2) mois. Réclamation possible auprès de la CNIL (3 Place de Fontenoy, 75334 Paris Cedex 07 ; www.cnil.fr).

Article 10 : Cookies

10.1 Types de cookies

Cookies strictement nécessaires : fonctionnement technique (session, authentification, sécurité). Pas de consentement requis.

Cookies analytiques (Google Analytics) : mesure d'audience. Consentement requis.

Mesure d'audience sans cookie (Umami, auto-hébergé) : statistiques de visite des Pages Artistes (pages vues, clics vers les plateformes de streaming, pays, type d'appareil). Umami est un outil d'analyse respectueux de la vie privée : il ne dépose aucun cookie, ne réalise pas de pistage inter-sites et les adresses IP ne sont pas conservées. Les données sont hébergées sur les serveurs de BandStream dans l'Union européenne et ne sont transmises à aucun tiers. Par cohérence avec la gestion des autres outils de mesure, son activation est néanmoins soumise au consentement « analytique » recueilli via le gestionnaire intégré.

Cookies publicitaires du Site : Google Ads et TikTok, chargés par le conteneur Tag Manager de BandStream, et pixel Meta du Site (voir article 6.1). Consentement requis via le gestionnaire intégré.

Cookies publicitaires (Offre Pro) : pixels Meta, Google Ads, TikTok, Snapchat et X configurés par l'Utilisateur sur sa Page Artiste (voir article 6.2). Consentement requis via le gestionnaire intégré.

Vidéos YouTube : sur une page de sortie qui présente un clip, le lecteur de YouTube (Google LLC, domaine youtube-nocookie.com) n'est chargé qu'après un clic du Visiteur sur la vidéo et son accord à la catégorie « Vidéos YouTube », demandé dans le cadre de la vidéo ou via le gestionnaire intégré. Avant cet accord, aucune requête n'est adressée à Google : l'image affichée est une copie hébergée par BandStream. Une fois le lecteur chargé, YouTube peut déposer des cookies et recevoir l'adresse IP et les informations techniques du navigateur, en qualité de responsable de traitement indépendant. Le choix est mémorisé dans le cookie privacy:consent et peut être retiré à tout moment.

10.2 Liste détaillée des cookies

Cette liste est donnée à titre indicatif et sera mise à jour en fonction de l'évolution des outils intégrés à la Plateforme. La version à jour est consultable dans le gestionnaire de consentement intégré.

10.3 Gestion du consentement

Bandeau de consentement affiché lors de la première visite. Modification des préférences possible à tout moment. Consentement conservé 12 mois, dans la limite de 13 mois recommandée par la CNIL.

10.4 Chargement du script publicitaire Meta avant consentement

Le script du pixel Meta (fbevents.js, fourni par Meta Platforms, Inc.) est chargé dès l'ouverture de la page, sur le Site comme sur les Pages Artistes qui en sont équipées, dans le mode dit « consentement révoqué » prévu par Meta. Dans ce mode, le script est présent mais inerte : il ne dépose aucun cookie sur le terminal du Visiteur et n'envoie à Meta aucun évènement de navigation. Ce chargement anticipé a un seul objet : permettre aux outils de vérification de Meta de constater que le pixel est correctement installé, ce qui est impossible lorsque le script n'apparaît qu'après le consentement.

Le téléchargement de ce script depuis les serveurs de Meta implique néanmoins, comme tout appel à un serveur tiers, la transmission à Meta Platforms, Inc. de l'adresse IP du Visiteur et des en-têtes techniques de son navigateur, dont le nom de domaine de la page consultée. Le fichier de configuration propre au pixel, qui porte son identifiant, n'est demandé à Meta qu'après le consentement. Aucune autre donnée n'est communiquée à ce stade : aucun identifiant publicitaire n'est créé, aucune page vue ni aucun clic n'est mesuré tant que le Visiteur n'a pas accordé son consentement à la catégorie publicitaire via le gestionnaire intégré. Le consentement accordé déclenche alors, et alors seulement, le dépôt des cookies Meta et l'envoi des évènements. Un refus, comme une révocation ultérieure, laisse le script en place et muet.

Article 11 : Redirection vers les plateformes tierces et traitement des données de navigation

11.1 Sortie du périmètre de BandStream

La Plateforme permet aux Utilisateurs de créer des Pages Artistes contenant des liens hypertextes redirigeant les Visiteurs vers des plateformes de streaming musical tierces (notamment Spotify, Apple Music, Deezer, YouTube Music, Tidal, Qobuz) ainsi que vers des plateformes de billetterie ou des réseaux sociaux.

Lorsqu'un Visiteur clique sur l'un de ces liens, il quitte l'environnement de BandStream et accède à un site ou à une application exploité(e) par un tiers indépendant. À compter de cette redirection, les données personnelles du Visiteur sont collectées et traitées par la plateforme de destination, agissant en qualité de responsable de traitement indépendant, conformément à sa propre politique de confidentialité. BandStream n'exerce aucun contrôle sur les traitements de données réalisés par ces plateformes tierces et décline toute responsabilité à cet égard.

BandStream invite les Visiteurs à prendre connaissance des politiques de confidentialité des plateformes tierces avant d'y accéder.

11.2 Données collectées par BandStream lors du clic

Préalablement à la redirection, BandStream peut collecter des données de navigation liées au clic effectué par le Visiteur sur la Page Artiste. Ces données comprennent : le pays d'origine du Visiteur (géolocalisation approximative déduite de l'adresse IP), la source de trafic (référent), la plateforme de streaming sélectionnée par le Visiteur, le type d'appareil et de navigateur utilisé, ainsi que la date et l'heure du clic.

Ces données sont traitées de manière agrégée et anonymisée, dans le cadre des statistiques de fréquentation proposées aux Utilisateurs titulaires de l'Offre Pro, conformément à l'approche « privacy-first » de BandStream. La base légale de ce traitement est l'intérêt légitime de BandStream et de ses Utilisateurs (article 6.1.f du RGPD), consistant à mesurer l'audience et la performance des Pages Artistes.

11.3 Absence de transmission de données personnelles aux plateformes de streaming

BandStream ne transmet aucune donnée personnelle des Visiteurs aux plateformes de streaming ou à tout autre tiers accessible via les liens figurant sur les Pages Artistes. La redirection s'effectue par simple lien hypertexte : le navigateur du Visiteur est redirigé vers l'URL de la plateforme de destination sans qu'aucune donnée personnelle ne soit communiquée par BandStream à ladite plateforme.

Les plateformes de streaming ne sont pas des sous-traitants de BandStream au sens de l'article 28 du RGPD. Elles agissent en qualité de responsables de traitement indépendants pour les données qu'elles collectent directement auprès des Visiteurs après la redirection.

11.4 Cookies et pixels tiers sur les Pages Artistes

Lorsqu'un Utilisateur active les fonctionnalités Google Tag Manager ou Meta Pixel sur sa Page Artiste (fonctionnalités pouvant être proposées gratuitement pendant la phase Alpha ou incluses dans une offre payante ultérieure), des cookies et pixels tiers peuvent être déposés sur le terminal des Visiteurs qui consultent ladite Page Artiste. Ces cookies et pixels sont exploités par Google LLC et Meta Platforms, Inc., agissant en qualité de responsables de traitement indépendants pour les données qu'ils collectent via ces technologies.

Le dépôt de ces cookies et pixels tiers est subordonné au consentement préalable du Visiteur, recueilli via le gestionnaire de consentement intégré à la Plateforme, conformément aux recommandations de la CNIL et à la directive ePrivacy. En l'absence de consentement, aucun cookie ni pixel tiers n'est déposé. Le script du pixel Meta peut toutefois être chargé de manière inerte avant toute réponse du Visiteur, dans les conditions et avec les conséquences décrites à l'article 10.4.

11.5 Comptage anonyme des clics en cas de refus

Lorsqu'un Visiteur refuse les cookies publicitaires sur une Page Artiste dont le titulaire a configuré une interface de conversion côté serveur (API de conversions de Meta), le clic vers une plateforme de destination ou vers un point de vente de billetterie est néanmoins transmis à cette interface depuis les serveurs de BandStream, sous une forme strictement anonyme : sans adresse IP, sans identifiant de navigateur (user-agent), sans cookie et sans aucun identifiant publicitaire, y compris ceux que le terminal du Visiteur pourrait encore porter d'une visite antérieure. Ne sont transmis que la destination du clic et sa nature (plateforme ou billetterie), l'identifiant de la sortie concernée, l'adresse de la Page Artiste privée de tout paramètre (les identifiants de clic publicitaire tels que fbclid en sont retirés), un identifiant technique d'évènement à usage unique et l'horodatage.

Ce traitement ne permet ni d'identifier le Visiteur, ni de le rattacher à un profil ou à une campagne publicitaire : il produit une statistique agrégée, un comptage de clics, et rien d'autre. Sa base légale est l'intérêt légitime de BandStream et de ses Utilisateurs (article 6.1.f du RGPD), consistant à mesurer la performance des Pages Artistes. Aucune donnée n'est transmise dans ce cas aux autres outils publicitaires (TikTok, Snapchat), dont les interfaces exigent un identifiant du Visiteur, ni au conteneur de balises de l'Utilisateur, qui ne fonctionne que dans le navigateur du Visiteur.

Article 12 : Sécurité

Mesures techniques et organisationnelles conformément à l'article 32 du RGPD : chiffrement HTTPS/TLS, authentification, limitation des accès, sauvegardes, surveillance. Pendant la phase Alpha, ces mesures sont en cours de déploiement progressif ; BandStream met en œuvre les mesures raisonnables proportionnées au stade de développement de la Plateforme.

En cas de violation de données personnelles susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées, BandStream notifiera la violation à la CNIL dans les soixante-douze (72) heures suivant sa découverte, conformément à l'article 33 du RGPD. En cas d'impossibilité de respecter ce délai, la notification sera accompagnée des motifs du retard. BandStream informera également les personnes concernées dans les meilleurs délais, conformément à l'article 34 du RGPD, en leur indiquant la nature de la violation et les mesures prises ou recommandées pour en atténuer les effets.

Article 13 : Mineurs

Plateforme réservée aux personnes de 16 ans et plus (art. 8 RGPD, art. 7-1 loi Informatique et Libertés). Suppression des données de mineurs de moins de 16 ans collectées sans consentement parental.

Article 14 : Modification de la Politique

Modification possible à tout moment. Notification par e-mail au moins trente (30) jours à l'avance pour toute modification substantielle. Version mise à jour publiée sur le Site.

Article 15 : Contact

Référent données personnelles : [email protected]

Service client : [email protected]

Courrier : BandStream SAS, 60 rue François 1er, 75008 Paris, France