Version publiée le 9 novembre 2026. Les changements qui ne sont pas en votre faveur s’appliquent aux comptes existants à partir du 9 décembre 2026 ; ceux qui vous sont favorables ou que la loi impose s’appliquent dès la publication. vvault fournit un espace de travail pour mettre en ligne et gérer des fichiers audio, créer des packs et des séries, partager des liens, envoyer des campagnes, suivre l’engagement, vendre des licences et gérer la facturation. Cette politique explique quelles données nous collectons et comment nous les utilisons pour faire fonctionner et sécuriser le service.
Ce document existe en français et en anglais. Les deux versions ont la même valeur ; en cas de doute, l’interprétation la plus favorable au consommateur l’emporte.
1Qui nous sommes
vvault est exploité depuis la Belgique par Tom Nsengiyumva (entreprise individuelle), numéro d’entreprise BE 1022.549.155, siège Minderbroedersstraat 10, 8000 Brugge, Belgique (« vvault », « nous »). Pour les données personnelles décrites ici, vvault est le responsable du traitement au sens du règlement général sur la protection des données de l’UE (RGPD).
La présente politique couvre l’app web, l’app desktop, l’app iOS et l’app Android de vvault, les pages publiques que nous servons sur vvault.app et sur des domaines personnalisés, ainsi que nos e-mails et notre support.
Pour toute question relative à la protection des données, écrivez à contact@vvault.app ou utilisez la page Support de l’app. Nous ne sommes pas tenus de désigner un délégué à la protection des données au titre de l’article 37 du RGPD et n’en avons pas désigné ; cette adresse vous met directement en contact avec l’exploitant. Étant établis dans l’UE, nous n’avons pas besoin de représentant au titre de l’article 27.
2Ce que nous collectons
Ce que vous nous fournissez : données de compte (nom, e-mail, identifiant, avatar, langue), les contenus que vous mettez en ligne (audio, visuels, titres, notes et métadonnées comme le BPM et la tonalité), vos contacts et groupes, le contenu et les destinataires de vos campagnes, vos messages, vos annonces et conditions de licence, le nom que vous saisissez pour signer une licence, vos échanges avec le support et vos données de facturation. Si vous achetez sans compte, nous traitons l’adresse e-mail et le nom saisis au paiement, votre commande et votre licence.
Ce que nous collectons automatiquement : adresse IP, informations sur l’appareil et le navigateur, journaux serveur, cookies et identifiants similaires, région approximative (utilisée pour choisir votre devise et votre langue), et les événements d’utilisation nécessaires pour faire fonctionner, sécuriser et améliorer le service.
D’où vous venez : si vous arrivez depuis une publicité ou un lien marqué, nous enregistrons les paramètres de campagne et les identifiants de clic publicitaire présents dans l’adresse (par exemple utm_source, gclid, fbclid ou ttclid) avec votre compte et avec vos événements d’onboarding et de paiement, ainsi que vos réponses à l’onboarding (comme votre rôle et votre objectif), pour savoir quelles campagnes amènent des membres et améliorer l’onboarding.
Dans les apps mobiles : l’app iOS enregistre son utilisation (écrans ouverts, boutons touchés, achats) et les rapports de plantage, liés à votre identifiant vvault, via Amplitude, Google Firebase Analytics et Crashlytics, et mesure les installations et les campagnes qui les amènent via AppsFlyer, qui lit aussi l’identifiant publicitaire de votre appareil si vous autorisez le suivi dans iOS. La dictée dans les messages utilise la reconnaissance vocale d’Apple. L’app Android reçoit les notifications via Google Firebase Cloud Messaging.
Ce que nous collectons auprès de vos auditeurs : lorsqu’une personne ouvre un lien que vous avez partagé, écoute, télécharge, sauvegarde ou achète, nous enregistrons cet événement et les données techniques qui l’entourent, et nous vous les présentons sous forme de statistiques.
Ce que nous recevons de tiers : les informations d’identité et de profil de base transmises par un fournisseur de connexion si vous en utilisez un, le statut des paiements et des versements transmis par Stripe ou Apple, les fichiers que vous importez délibérément depuis un fournisseur cloud, et les signalements de contenus que nous adressent d’autres utilisateurs ou des titulaires de droits.
Merci de ne pas nous envoyer de données de catégorie particulière (santé, convictions, opinions politiques, données biométriques, etc.). Nous ne les demandons pas et n’en avons aucun usage.
3Bases juridiques
Contrat (art. 6(1)(b)) : le fonctionnement de votre bibliothèque, le partage, la collaboration, les envois, la marketplace et votre abonnement.
Intérêts légitimes (art. 6(1)(f)) : sécurité, prévention des abus et de la fraude, mesure de l’engagement sur les contenus que vous avez partagés, amélioration du produit, défense de droits en justice. Vous pouvez vous opposer à tout moment aux traitements fondés sur l’intérêt légitime.
Consentement (art. 6(1)(a)) : cookies et pixels de mesure d’audience et de publicité (les nôtres et, sur leurs pages, ceux des créateurs qui les ont activés), et connexion d’un compte tiers. Les e-mails promotionnels concernant vvault sont envoyés aux membres sur la base de notre intérêt légitime à informer nos clients de services similaires (art. 6(1)(f) et règles e-privacy sur les clients existants) : vous pouvez les refuser à l’inscription et dans chacun de ces e-mails, gratuitement. Vous pouvez retirer votre consentement ou vous opposer à tout moment, sans effet sur ce qui précède.
Obligation légale (art. 6(1)(c)) : registres fiscaux et comptables, demandes légitimes, et nos obligations en tant qu’hébergeur.
Nous ne prenons à votre sujet aucune décision par des moyens automatisés produisant des effets juridiques ou des effets significatifs similaires, et nous ne vous profilons pas à cette fin.
4Suivi de l’engagement
Les ouvertures, clics, écoutes, durées d’écoute, téléchargements, sauvegardes et achats sur les contenus que vous partagez sont enregistrés afin de vous fournir des statistiques. Nous filtrons les scanners automatiques pour améliorer la précision ; les chiffres sont donc approximatifs.
Si vous ouvrez un e-mail envoyé avec vvault ou un lien partagé, la personne qui l’a envoyé peut voir ces événements. Si vous préférez ne pas être mesuré de cette façon, n’ouvrez pas le lien.
6Niveaux d’accès : ce qui devient visible, et pour qui
Vous décidez de ce qui est accessible. Privé signifie vous seul. Sur invitation signifie les personnes que vous désignez. Toute personne avec le lien signifie quiconque détient le lien. En vente signifie accessible et achetable. Le niveau propre d’un morceau s’applique au lien propre de ce morceau ; à l’intérieur d’un pack, c’est le niveau du pack qui s’applique.
Lorsqu’un élément est accessible, les personnes qui y accèdent peuvent voir ce qui figure sur la page : titre, visuel, durée, votre identifiant et votre photo de profil, et tout ce que vous mettez dans les notes ou la description. Les éléments publics peuvent aussi être indexés par les moteurs de recherche, et mis en cache ou copiés par des tiers, ce que nous ne pouvons pas annuler pour vous.
Un contenu partagé par lien reste accessible à toute personne qui détient ce lien jusqu’à ce que vous changiez le niveau ou réinitialisiez le lien. Nous ne pouvons pas reprendre un lien que quelqu’un possède déjà.
7Collaboration
Si vous rejoignez un pack partagé ou y êtes invité, le propriétaire du pack et les autres membres peuvent voir que vous en êtes membre, votre identifiant et votre photo de profil, ce que vous ajoutez, et l’activité qui vous est attribuée dans ce pack : mises en ligne, versions, et modifications lorsque l’édition est activée.
Si vous êtes propriétaire d’un pack, l’inverse est également vrai : ce que vous y faites est visible par vos collaborateurs. Retirer un membre met fin à son accès pour l’avenir ; cela ne récupère pas ce qu’il a déjà téléchargé.
8Achat et vente
Lorsqu’une vente a lieu, nous traitons ce qui est nécessaire pour la réaliser et en garder la preuve : qui a acheté quoi, quand, pour quel montant, sous quelle licence, et le statut du paiement. Un document de licence peut nommer l’acheteur et le vendeur, car c’est ce qui le rend utilisable comme preuve des droits concédés.
Les vendeurs voient les achats effectués auprès d’eux et les informations nécessaires pour honorer la licence. Les acheteurs voient auprès de qui ils ont acheté. vvault est le vendeur de chaque vente sur la marketplace (il émet la facture et acquitte la TVA) ; il conserve donc les relevés de commandes, de licences, de factures et de versements pendant dix ans (article 15), parce que le droit comptable et TVA belge l’exige et parce qu’ils prouvent les droits de l’autre partie.
Acheteurs sans compte : si vous achetez sans compte, nous utilisons l’adresse e-mail et le nom saisis au paiement pour vous livrer vos fichiers et votre licence, vous envoyer le reçu et la facture, et rattacher l’achat à un compte que vous pourriez créer plus tard avec la même adresse (contrat, art. 6(1)(b), et obligation légale, art. 6(1)(c)). Nous n’envoyons aucune communication promotionnelle à un acheteur sans compte.
8 bisActivation des plugins (vvault Lock)
Lorsque vous activez un plugin vendu via vvault, vvault Lock enregistre la licence, un identifiant de l’ordinateur et une empreinte technique de l’installation, la version du plugin, l’adresse IP et la localisation approximative qui en découle (pays, ville, coordonnées approximatives), ainsi que l’heure de chaque vérification périodique. Finalité : fournir la licence achetée et en prévenir l’usage abusif (contrat, art. 6(1)(b), et intérêt légitime à lutter contre le piratage, art. 6(1)(f)). L’adresse IP, la ville et les coordonnées d’une activation sont effacées 12 mois après sa dernière vérification, et le nom d’un ordinateur 12 mois après sa dernière connexion ; le reste de l’enregistrement (licence, empreinte, version du plugin, pays, dates) est conservé tant que la licence existe. Les codes d’appairage utilisés pour connecter un ordinateur sont supprimés après 30 jours, et les alertes de sécurité (par exemple un fichier de licence altéré) après 90 jours. Le créateur du plugin voit, pour chaque activation de son plugin, la licence utilisée (clé, type et statut), l’empreinte technique, la version du plugin, le pays, le statut, les dates d’activation et de dernière vérification, et les alertes de sécurité émises par cette installation, afin de pouvoir gérer les licences et lutter contre le piratage. Le créateur ne voit ni votre adresse e-mail, ni le nom de l’ordinateur, ni l’adresse IP, ni la ville, ni les coordonnées.
Les plugins sont conçus par leurs créateurs, éditeurs tiers, et non par vvault. Le créateur ne reçoit que les données d’activation énumérées ci-dessus, ne peut les utiliser que pour gérer les licences et lutter contre le piratage, et s’engage dans les Conditions vendeurs (article 14) à les garder confidentielles et sécurisées et à les supprimer lorsqu’elles ne sont plus nécessaires. Ce que le plugin fait lui-même sur votre ordinateur au-delà de la vérification de licence (par exemple ses propres fonctions en ligne ou le partage de presets) relève de la responsabilité de l’éditeur, selon sa propre politique de confidentialité.
9Modération des contenus
Pour que vvault reste exempt de contenus illicites et interdits (voir les Conditions d’utilisation), nous examinons les contenus qui nous sont signalés. Nous ne contrôlons pas les contenus avant leur mise en ligne, leur publication, leur envoi ou leur partage, et nous ne sommes soumis à aucune obligation générale de surveillance. Vous pouvez contester toute décision, comme décrit dans les Conditions.
Lorsque nous examinons un signalement, nous traitons le contenu signalé, le signalement lui-même et les identifiants des personnes concernées. Bases juridiques : nos intérêts légitimes à maintenir une plateforme sûre et licite (art. 6(1)(f)) et le respect d’obligations légales (art. 6(1)(c)). Les signalements et la trace de nos décisions sont conservés tant que le compte est actif, et au-delà lorsqu’une affaire, un litige ou une obligation légale l’exige.
Les contenus révélant une infraction grave, en particulier du matériel d’abus sexuels sur enfants, sont conservés dans un état restreint, ne sont plus diffusés et sont signalés aux autorités compétentes comme la loi l’exige.
10Comptes connectés et imports
Envoi via Gmail : si vous connectez Gmail, nous conservons les jetons nécessaires pour envoyer des e-mails sur votre instruction, depuis votre adresse. Vous choisissez les destinataires et le message.
YouTube : si vous connectez une chaîne YouTube, vvault utilise les services d’API YouTube pour mettre en ligne et programmer les vidéos que vous préparez, mettre à jour leurs informations et lire leurs statistiques. En la connectant, vous acceptez aussi les Conditions d’utilisation de YouTube (https://www.youtube.com/t/terms) ; les Règles de confidentialité de Google (https://policies.google.com/privacy) s’appliquent aux traitements de Google. Vous pouvez révoquer l’accès de vvault à tout moment depuis les Paramètres ou depuis les paramètres de sécurité de votre compte Google (https://myaccount.google.com/permissions) ; nous supprimons alors les jetons conservés, et les données obtenues via l’API sont supprimées dans les 30 jours, sauf si vous continuez à les utiliser dans vvault.
Instagram : si vous connectez un compte Instagram, nous y accédons via l’API de Meta uniquement pour la fonctionnalité utilisée, et conservons les jetons nécessaires. Si vous activez une automatisation Instagram, nous recevons les commentaires qu’elle surveille sur vos publications (identifiant Instagram, nom d’utilisateur et texte du commentaire), envoyons la réponse que vous avez rédigée et gardons une trace de chacun.
TikTok : si vous connectez un compte TikTok, vvault publie les vidéos que vous préparez et lit les statistiques de votre profil et de vos vidéos via l’API de TikTok, et conserve les jetons nécessaires.
Import depuis Google Drive et Dropbox : vous choisissez les fichiers dans le sélecteur du fournisseur et ils sont transférés dans votre bibliothèque. Nous n’accédons qu’aux fichiers sélectionnés (pour Google Drive, avec le périmètre drive.file). L’utilisation et le transfert par vvault des informations reçues des API Google respectent la Google API Services User Data Policy, y compris ses exigences de « Limited Use ».
Synchronisation de dossiers (app desktop) : les fichiers des dossiers choisis sont envoyés depuis votre appareil et tenus à jour.
WaveMatch : lorsque vous lancez WaveMatch, un extrait audio du morceau est envoyé à ACRCloud, un service de reconnaissance, pour trouver des enregistrements similaires ; ACRCloud ne le conserve pas pour ses propres fins.
Vous pouvez déconnecter chacun de ces services à tout moment dans les Paramètres. La déconnexion arrête les accès futurs ; elle n’annule pas les transferts déjà effectués sur votre instruction.
10 bisAssistants IA que vous connectez
Vous pouvez connecter un assistant IA que vous utilisez déjà, comme Claude, ChatGPT ou Cursor, à votre compte vvault grâce à notre connecteur à l’adresse www.vvault.app/mcp. Vous lancez la connexion dans votre app d’IA, puis vous vous connectez à vvault et l’approuvez sur un écran qui indique quelle app la demande et où l’accès est envoyé. Les apps que nous ne pouvons pas identifier sont signalées comme non vérifiées.
Une fois connecté, l’assistant peut lire et modifier votre compte lorsque vous le lui demandez : titres et informations de vos morceaux et projets, dossiers, niveaux d’accès, prix, codes de réduction, votre profil public, vos contacts et campagnes e-mail, vos statistiques et l’activité de vos auditeurs, et les éléments supprimés récemment. Il peut envoyer des e-mails à vos contacts depuis votre Gmail connecté lorsque vous le lui demandez.
Il n’obtient jamais vos fichiers audio. Il peut importer de l’audio à partir d’un lien que vous lui donnez, modifier ou supprimer des morceaux (les morceaux supprimés restent 24 heures dans Supprimés récemment), vous donner le lien de la page d’un élément, inviter des personnes, programmer des mises en ligne YouTube et consulter votre solde et vos versements. Il ne peut pas supprimer votre compte, modifier ou résilier votre abonnement, ni effectuer, rembourser ou rediriger un paiement.
Ce que l’assistant lit dans vvault est envoyé à l’entreprise qui le fait fonctionner (par exemple Anthropic pour Claude ou OpenAI pour ChatGPT), parce que vous l’avez demandé. Cette entreprise le traite selon ses propres conditions et sa propre politique de confidentialité. Elle n’est pas notre sous-traitant, et nous ne contrôlons pas ce qu’elle fait de ces données. Cela peut inclure des données personnelles d’autres personnes présentes dans votre compte, comme les noms et adresses e-mail de vos contacts, et les personnes qui ont écouté votre musique. Ne connectez qu’un assistant en qui vous avez confiance, et uniquement pour des données que vous avez le droit de lui communiquer.
Bases juridiques : le contrat (art. 6, par. 1, b) pour fournir le connecteur que vous avez demandé, et l’intérêt légitime (art. 6, par. 1, f), le vôtre et le nôtre, lorsque les données partagées concernent d’autres personnes, comme vos contacts et vos auditeurs. Elles peuvent s’y opposer, et exercer leurs autres droits, en nous écrivant.
Ce que nous conservons : la connexion elle-même (quelle app, quand elle a été connectée, quand elle a été utilisée pour la dernière fois), un journal de chaque action de l’assistant, visible sur la page IA de vvault, conservé 90 jours, et les jetons de connexion, stockés uniquement sous une forme qui ne permet pas de reconstituer un jeton valide et supprimés dans les jours qui suivent leur expiration. Nous ne recevons jamais vos conversations avec l’assistant.
Vous voyez ce que fait un assistant connecté pendant qu’il travaille, et vous pouvez le déconnecter à tout moment avec le bouton Arrêter ou depuis la page IA. L’accès prend fin immédiatement. La déconnexion ne supprime pas ce que l’entreprise d’IA a déjà reçu : adressez-vous à elle pour cela.
10 terProgramme d’affiliation
Si vous rejoignez le programme d’affiliation, nous traitons votre code d’affilié, les clics sur votre lien (date, site d’où vient le clic et pays), les comptes que vous avez parrainés, les paiements effectués par ces comptes et la commission que nous calculons dessus, les coordonnées de versement que vous nous donnez (une adresse e-mail PayPal, ou le nom du titulaire et l’IBAN d’un compte) et l’historique des versements. Bases juridiques : le contrat (art. 6, par. 1, b), et l’obligation légale (art. 6, par. 1, c) pour les pièces comptables.
Si vous suivez le lien vvault d’un affilié, nous déposons un cookie nommé vv_ref contenant un identifiant de clic aléatoire, et un indicateur associé vv_ref_pending, pendant 30 jours, afin que l’affilié puisse être crédité si vous créez un compte. Un lien du programme Créateurs dépose à la place le cookie vv_partner, dans le même but et pour la même durée. Si vous payez avec le code promo d’un affilié, nous enregistrons ce code. Nous ne conservons ni votre adresse IP ni d’empreinte de votre appareil pour cela. Si vous créez ensuite un compte, nous enregistrons que vous avez été parrainé par cet affilié et, plus tard, les paiements que vous effectuez, pour calculer sa commission.
L’affilié ne voit jamais votre nom, votre adresse e-mail ni votre identifiant. Son tableau de bord montre chaque client qu’il a amené uniquement sous forme de numéro, avec la date d’inscription, l’offre et la commission gagnée.
Les relevés de commissions et de versements sont conservés aussi longtemps que l’exige le droit comptable belge, jusqu’à dix ans. L’indication que vous avez été parrainé est conservée tant que votre compte existe.
11Paiements
Les abonnements, achats, versements et remboursements sont traités par Stripe, et par Apple pour les achats intégrés sur iOS. Sur Android, lorsque Google l’exige, nous déclarons à Google Play chaque achat et renouvellement effectué via Stripe (un jeton de transaction, le montant et la date). Nous recevons le statut des paiements, les montants et les métadonnées associées. Nous ne voyons ni ne conservons jamais les numéros de carte complets. La devise affichée dépend de votre région approximative.
12Les e-mails que nous vous envoyons
Les e-mails de service (codes de vérification, réinitialisations de mot de passe, reçus, factures, notifications contractuelles comme un rappel de renouvellement ou une modification de ces documents, alertes de sécurité) sont nécessaires au fonctionnement de votre compte et ne comportent pas de lien de désinscription. Les conseils, nouveautés produit et offres comportent toujours un lien de désinscription, et vous pouvez les refuser à l’inscription. Nos e-mails contiennent une petite image de suivi et des liens suivis qui nous indiquent si un e-mail a été ouvert et quel lien a été cliqué ; un clic peut déposer un cookie de 7 jours (vv_email_src) pour savoir quel e-mail a mené à un abonnement. Chaque e-mail indique l’exploitant de vvault.
13À qui nous communiquons des données
Sous-traitants, sous contrat et uniquement pour nous fournir leur service : Supabase (base de données, authentification, images et documents ; région UE), Cloudflare (stockage R2 des fichiers audio), Vercel (hébergement, journaux de requêtes et, avec votre consentement, Vercel Analytics et Speed Insights), Resend (envoi des e-mails), Stripe (paiements, versements, facturation), ACRCloud (reconnaissance audio pour WaveMatch), GIPHY (recherche de GIF dans les messages : vos termes de recherche et votre adresse IP), RevenueCat (statistiques d’abonnement de l’app iOS : données de transaction App Store et votre identifiant vvault), Amplitude, Google Firebase Analytics et Crashlytics (statistiques d’utilisation et rapports de plantage de l’app iOS), AppsFlyer (mesure des installations et des campagnes pour l’app iOS), Apple (achats intégrés, notifications push et dictée), Google (connexion, envoi via Gmail, fonctionnalités YouTube et Drive que vous connectez, et Firebase Cloud Messaging pour les notifications Android), TikTok (le compte que vous connectez), Adobe Fonts (les polices du site), Pexels (les photos que vous choisissez) et Calendly (appels avec les candidats au programme Créateurs). La liste, avec les lieux de traitement et les mécanismes de transfert, figure sur la page Sous-traitants (vvault.app/homepage/subprocessors).
Responsables de traitement indépendants : Stripe pour la prévention de la fraude et ses propres obligations légales ; Apple pour les achats dans l’app iOS ; Google Play pour les déclarations d’achats Android qu’il exige ; Google, Meta, TikTok et Dropbox pour les comptes que vous connectez, selon leurs propres politiques ; PayPal ou votre banque pour les coordonnées de versement d’affilié que vous nous donnez.
Les autres utilisateurs, lorsque vous l’avez choisi : les personnes avec qui vous partagez, que vous invitez, à qui vous vendez ou auprès de qui vous achetez. Lorsque vous achetez, le producteur de l’article voit votre commande et le nom figurant sur la licence.
Autorités et conseils : lorsque nous devons respecter une obligation légale ou une demande légitime, et pour constater, exercer ou défendre des droits en justice. Lorsque la loi nous le permet, nous vous en informons d’abord.
Un repreneur : si l’activité est cédée, les données peuvent être transmises au repreneur, qui reste lié par la présente politique ou une politique au moins aussi protectrice. Nous vous en informerons.
Publicité et mesure, uniquement avec votre consentement : si vous acceptez les cookies publicitaires, nous envoyons à Meta des événements sur vos actions sur vvault, depuis votre navigateur (pixel Meta) et depuis nos serveurs (API Conversions) : pages vues, inscription, début d’un essai ou d’un abonnement, achat. Ils sont accompagnés d’une version hachée de votre adresse e-mail, d’un identifiant utilisateur haché, de votre adresse IP et de votre user agent. Le hachage masque votre adresse, mais il s’agit toujours de données personnelles communiquées à une plateforme publicitaire. Si vous acceptez les cookies de mesure d’audience, Google Analytics 4 mesure l’utilisation de vvault et, si vous êtes connecté, reçoit votre identifiant vvault. Retirez votre consentement dans les paramètres cookies et les deux s’arrêtent.
Nous ne vendons pas vos données personnelles.
13 bisPixels des créateurs
Certains créateurs connectent leur propre pixel Meta ou balise Google à leurs pages vvault et à leur boutique (une fonctionnalité du plan Ultra). Si vous avez accepté les cookies publicitaires, vvault le charge uniquement sur les pages de ce créateur et lui transmet les pages que vous y consultez et vos actions de boutique (consultation d’un article, ajout au panier, paiement, achat), sans les paramètres de l’URL et sans votre adresse e-mail. Pour cette collecte et cette transmission, vvault et le créateur sont responsables conjoints du traitement : vvault gère le consentement et répond à vos demandes à ce sujet à contact@vvault.app ; le créateur, puis Meta ou Google, décident de ce qu’il advient des données dans leurs comptes. Refuser ou retirer votre consentement y met fin.
L’essentiel de notre accord avec les créateurs (art. 26(2) du RGPD) figure à l’article 13 des Conditions vendeurs (vvault.app/homepage/seller-terms) : vvault est responsable de la bannière de consentement, des informations que vous recevez ici et des demandes concernant la collecte ; le créateur est responsable de ce qu’il fait des données dans son propre compte Meta ou Google et des demandes concernant cet usage.
14Transferts hors de l’EEE
Vos contenus et données de compte sont hébergés dans l’UE (Supabase, région AWS UE). Les fichiers audio sont stockés chez Cloudflare R2, société américaine ; certains prestataires traitent des données limitées aux États-Unis (envoi d’e-mails, paiements, mesure d’audience, support).
Dans ce cas, nous nous appuyons sur un mécanisme de transfert reconnu par le RGPD : une décision d’adéquation (y compris le cadre de protection des données UE-États-Unis lorsque le prestataire est certifié), ou les clauses contractuelles types de la Commission européenne, avec les mesures supplémentaires que les circonstances exigent. Écrivez-nous si vous souhaitez savoir lequel s’applique à un prestataire donné.
15Durées de conservation
Compte et contenus : tant que votre compte est actif. Les morceaux et packs supprimés restent récupérables 24 heures (Supprimés récemment), puis sont effacés. Après la suppression de votre compte, vos données personnelles sont supprimées ou anonymisées dans les 30 jours, et les sauvegardes expirent dans les 30 jours suivants.
Événements de campagne et d’onboarding (d’où vous venez, vos réponses à l’onboarding, les étapes franchies) : conservés pour mesurer nos campagnes ; lorsque vous supprimez votre compte, ils en sont détachés. Les données d’utilisation et de plantage détenues par Amplitude, Firebase et AppsFlyer sont supprimées selon les durées de conservation propres à ces prestataires.
Commandes, factures, licences et relevés de versements : dix ans à compter du 1er janvier de l’année qui suit l’opération (droit comptable et TVA belge), car ils prouvent aussi les droits de l’autre partie. Le nom et l’e-mail qui y figurent sont conservés avec eux.
Journaux serveur et de sécurité : jusqu’à 90 jours. Adresse IP et user agent du navigateur enregistrés avec les écoutes, ouvertures, clics et téléchargements : conservés en entier 30 jours (dédoublonnage, lutte contre les abus et les robots) ; ensuite le user agent est supprimé et l’adresse IP est réduite à son réseau (le dernier bloc est retiré), ce qui indique encore le pays ; l’adresse réduite est supprimée après 12 mois. Événements d’engagement sur les contenus partagés : tant que le compte qui les a partagés existe, puis sous forme agrégée. Preuves de consentement aux cookies : tant que votre compte existe et 5 ans après le dernier changement, pour prouver votre choix. Données d’activation Lock : voir l’article 8 bis. Dossiers de modération : tant que le compte est actif et aussi longtemps qu’un litige ou une obligation légale l’exige. Liste d’opposition aux e-mails promotionnels : conservée pour ne plus jamais vous écrire.
16Sécurité
Les fichiers audio sont conservés dans un stockage privé et servis via des liens signés qui expirent. Le trafic est chiffré en transit, les données sont chiffrées au repos, et les messages privés bénéficient de protections supplémentaires. Nous appliquons des mesures techniques et organisationnelles adaptées au risque.
Aucun système n’est parfaitement sûr. Lorsque le RGPD l’exige, nous informons l’autorité compétente et, lorsque le risque pour vous est élevé, vous-même.
17Vos droits
Vous pouvez nous demander d’accéder à vos données, de les rectifier, de les supprimer, de vous en fournir une copie portable, de limiter la façon dont nous les traitons, ou vous opposer aux traitements fondés sur l’intérêt légitime, y compris un droit simple de vous opposer à tout moment à la prospection directe. Lorsque le traitement repose sur le consentement, vous pouvez le retirer à tout moment, sans effet sur ce qui précède.
Écrivez à contact@vvault.app. Nous répondons dans un délai d’un mois, et vous indiquons s’il nous faut plus de temps ou si nous ne pouvons pas donner suite à une demande, et pourquoi. Nous pouvons vous demander des informations pour confirmer qu’il s’agit bien de vous.
Vous pouvez aussi introduire une réclamation auprès de l’Autorité de protection des données belge (Gegevensbeschermingsautoriteit / Autorité de protection des données, rue de la Presse 35, 1000 Bruxelles, www.dataprotectionauthority.be), ou auprès de l’autorité de contrôle du pays où vous vivez ou travaillez.
18Enfants
vvault ne s’adresse pas aux enfants de moins de 16 ans, et nous ne traitons pas sciemment leurs données. Si vous pensez qu’un enfant nous a fourni des données personnelles, contactez-nous et nous les supprimerons.
19Modifications et contact
Nous publions les modifications ici et mettons à jour la date ci-dessus. Pour les modifications importantes, nous vous prévenons dans l’app ou par e-mail. Questions : contact@vvault.app, ou Minderbroedersstraat 10, 8000 Brugge, Belgique.