Politique de confidentialité

1. Qui est responsable de vos données

FanCRM est un service exploité par Carl Wozny sous le nom commercial Delsmer. La société Delsmer SAS, en cours de constitution, reprendra le service : ses informations légales complètes (forme, capital, immatriculation, siège) seront publiées dans les mentions légales dès son immatriculation.

Dans ce document, « FanCRM », « nous » et « notre » désignent cet exploitant. Pour toute question sur vos données ou pour exercer vos droits, écrivez à contact@fancrm.fr. Cette adresse est lue par le responsable du service, Carl Wozny.

FanCRM n'a pas désigné de délégué à la protection des données. L'adresse ci-dessus est le point de contact unique pour toutes les questions de protection des données.

2. Les deux rôles de FanCRM

FanCRM est un logiciel en ligne destiné aux professionnels (managers, agences et créateurs qui exercent à titre professionnel). Selon les données concernées, nous n'avons pas le même rôle au sens du RGPD.

• Responsable de traitement : nous décidons pourquoi et comment les données sont traitées. C'est le cas pour les comptes de nos clients, la facturation, le parrainage et la lutte contre la fraude, la sécurité et les journaux de connexion, les statistiques de visite de notre site, la newsletter, les demandes de contact et de devis, le support, l'espace communautaire entre clients, l'assistant de discussion de notre site et le traitement des signalements de contenu. Cette politique décrit ces traitements en détail.
• Sous-traitant : nous traitons des données pour le compte de nos clients et selon leurs instructions. C'est le cas des fans qui écrivent aux comptes connectés par nos clients, des prospects et modèles suivis dans l'outil de recrutement, des visiteurs et acheteurs des pages publiques créées par nos clients (liens payants, bio-links, pages coaching), ainsi que des contrats, fiches de paie et factures générés dans l'outil. Le client (l'agence ou le créateur) est alors le responsable de traitement. Nos engagements envers lui figurent dans l'accord de sous-traitance (DPA).

Vous êtes un fan, un acheteur d'un lien payant, un visiteur d'une page de créateur ou un modèle suivi par une agence ? Vos données sont traitées pour le compte de l'agence ou du créateur avec qui vous êtes en relation. C'est à lui qu'il faut vous adresser en priorité pour connaître sa propre politique et exercer vos droits. Si vous ne parvenez pas à l'identifier ou à le joindre, écrivez-nous : nous transmettrons votre demande au client concerné et l'aiderons à y répondre (voir la section 7).

3. Ce que nous traitons en tant que responsable

Le tableau ci-dessous présente, pour chaque finalité, les données utilisées, la base légale prévue par l'article 6 du RGPD et la durée de conservation. Lorsque la base légale est notre intérêt légitime, cet intérêt est précisé.

Purges automatiques. Les durées indiquées pour les comptes gratuits inactifs, les journaux de sécurité, les clics et les contrôles anti-fraude du parrainage, les statistiques de visite internes, la liste d'opposition de la newsletter, les demandes de contact et les signalements sont appliquées automatiquement : une tâche planifiée supprime chaque nuit les données arrivées à échéance. Pour les tables les plus volumineuses, la suppression peut s'étaler sur quelques nuits. Les copies de sauvegarde techniques de l'hébergeur disparaissent ensuite selon leur cycle normal de renouvellement.

Données obligatoires. Le nom, l'adresse email et le mot de passe sont nécessaires pour créer un compte, et les informations de paiement pour souscrire une formule payante : sans elles, nous ne pouvons pas fournir le service. Les autres informations (photo, biographie, questionnaire, newsletter, code parrain) sont facultatives.

Origine des données. La plupart des données vous concernant viennent de vous. Certaines viennent de tiers : Stripe (statut des paiements, empreinte de carte), les plateformes que vous connectez (identifiants et informations de vos comptes Instagram, Facebook, WhatsApp, Threads, TikTok ou Telegram), et votre parrain lorsque vous utilisez son code.

Pas de revente, pas de publicité. Nous ne vendons ni ne louons aucune donnée, et nous n'utilisons aucun outil de publicité ciblée. Les données traitées pour le compte d'un client ne servent qu'à ce client : nous ne les utilisons pas pour nos propres besoins ni pour les autres clients.

4. Parrainage : comment fonctionne l'attribution

Aucun cookie n'est utilisé pour le parrainage. Le lien d'un parrain (fancrm.fr/r/CODE) redirige vers notre site en gardant le code dans l'adresse de la page, et le code peut aussi être saisi dans le champ « Code parrain » du formulaire d'inscription. Chaque clic sur un lien de parrainage est enregistré sur nos serveurs (code, adresse IP, navigateur, date) afin de lutter contre la fraude.

Les contrôles anti-fraude comparent la carte de paiement, l'adresse email et les adresses IP du parrain et du filleul. Une carte commune ou une adresse email identique bloque automatiquement la commission concernée. Une adresse IP commune ou une adresse email proche la place « à vérifier », et c'est alors un administrateur qui décide de la verser ou de la refuser. Ces contrôles ne portent que sur la commission et ne coupent jamais l'accès du filleul au service. Vous pouvez demander l'explication d'une décision, présenter vos observations et obtenir le réexamen de votre cas par une personne en écrivant à contact@fancrm.fr.

Les commissions sont versées chaque mois par virement, à partir de 50 € cumulés, sur facture du parrain. Les règles complètes figurent dans les conditions du programme de parrainage.

5. Qui reçoit les données

Au sein de FanCRM, seules les personnes chargées de l'exploitation, du support et de l'administration du service accèdent aux données, dans la limite de ce dont elles ont besoin. Les autres clients voient, dans l'espace communautaire, votre nom affiché, votre photo, votre biographie, votre formule, votre date d'inscription et le fait que vous êtes en ligne. Ils ne voient jamais votre adresse email. Si vous vous êtes inscrit par le paiement sur notre site, votre nom affiché est provisoirement le début de votre adresse email (la partie avant « @ ») : vous pouvez le modifier dans votre profil. Si vous vendez des liens payants, l'adresse email de contact que vous indiquez pour chaque lien est affichée publiquement sur la page de vente et reprise dans l'email de confirmation envoyé à l'acheteur, qui peut vous écrire en y répondant. Choisissez donc une adresse que vous acceptez de rendre publique.

Nous faisons appel à des prestataires techniques. La plupart agissent comme sous-traitants, uniquement sur nos instructions ; certains (Stripe pour la lutte contre la fraude, services dont les ressources sont chargées par votre navigateur) traitent aussi des données pour leur propre compte. La liste à jour, avec le rôle, le pays et la garantie de transfert de chacun, figure sur la page des sous-traitants. Les catégories sont les suivantes :

• Hébergement du site et des fonctions serveur : Vercel Inc. (région d'exécution : Dublin, en Irlande, dans l'Union européenne), qui fournit aussi la mesure d'audience Vercel Web Analytics.
• Base de données et stockage des fichiers : Supabase (région d'hébergement : Irlande, dans l'Union européenne).
• Paiement : Stripe (Stripe Payments Europe Ltd, Irlande, et ses sociétés affiliées), pour les abonnements, les liens payants et les virements aux créateurs. Pour la lutte contre la fraude au paiement et la vérification d'identité des créateurs, Stripe agit comme responsable de traitement distinct, selon sa propre politique.
• Envoi d'emails : Resend (emails de service, alertes, newsletter) ; réception des emails adressés à nos adresses @fancrm.fr : ImprovMX.
• Protection anti-robot de la connexion et de l'inscription : Cloudflare (Turnstile).
• Génération de texte par intelligence artificielle pour les fonctions de nos clients : un prestataire situé en Chine, qui produit les réponses automatiques et les suggestions de réponse, les relances, la mémoire des fans, les réponses aux prospects du recrutement et le choix des vocaux, pour les fonctions activées par nos clients (identité communiquée sur simple demande à contact@fancrm.fr).
• Assistant de discussion de notre site : un prestataire d'intelligence artificielle situé aux États-Unis (identité communiquée sur simple demande à contact@fancrm.fr). Le prestataire situé en Chine n'est jamais utilisé pour l'assistant du site.
• Analyse d'images, génération de texte de secours et transcription des messages vocaux par intelligence artificielle : des prestataires situés aux États-Unis (identité communiquée sur simple demande à contact@fancrm.fr). La transcription est effectuée automatiquement dès qu'un message vocal est reçu sur un compte connecté.
• Ressources techniques chargées par votre navigateur : polices de caractères servies par Google Fonts et bibliothèques servies par jsDelivr (votre adresse IP leur est transmise lors du chargement) ; sur certaines pages coaching créées par nos clients, vidéos YouTube ou Vimeo et images Unsplash.
• Déclenchement de certaines tâches planifiées : cron-job.org, qui peut appeler certaines adresses techniques du site à intervalles réguliers, sans recevoir de données personnelles.

Plateformes connectées. Lorsque vous connectez un compte Instagram, Facebook (Messenger), WhatsApp, Threads, TikTok ou Telegram, les échanges passent par ces plateformes, qui traitent les données selon leurs propres conditions et politiques en tant que responsables de traitement distincts (Meta pour WhatsApp Cloud API agit comme sous-traitant de l'entreprise qui l'utilise). Lorsque vous connectez votre propre compte Telegram (et non un bot), FanCRM synchronise les conversations privées de ce compte, y compris celles avec des personnes qui ne sont pas des fans : il vous appartient de ne connecter qu'un compte réservé à votre activité.

Demandes reçues de Meta. Si vous retirez FanCRM depuis les paramètres de Facebook, d'Instagram ou de Threads, Meta nous en informe et le compte connecté correspondant est déconnecté : les réponses automatiques s'arrêtent et les jetons d'accès sont effacés. Si vous demandez aussi à Meta la suppression de vos données, nous supprimons en plus les données conservées pour ce compte connecté (messages, mémoire des fans, réponses programmées, historique des vocaux envoyés, publications et statistiques enregistrées), puis le compte connecté lui-même. Meta vous remet alors un code de confirmation qui permet de suivre la demande sur la page Suivi de suppression des données. Cette procédure ne ferme pas votre compte FanCRM et n'efface pas vos réglages d'intelligence artificielle ni vos scripts.

Autorités. Nous pouvons communiquer des données aux autorités administratives ou judiciaires lorsque la loi l'impose.

6. Transferts hors de l'Union européenne

Plusieurs prestataires sont situés hors de l'Union européenne ou y accèdent aux données. Nous vous les présentons sans les embellir.

• États-Unis. La Commission européenne a adopté le 10 juillet 2023 une décision d'adéquation pour les entreprises américaines certifiées au Data Privacy Framework (DPF). Selon le prestataire, le transfert repose sur cette certification ou sur les clauses contractuelles types adoptées par la Commission européenne et prévues dans le contrat de traitement des données du prestataire. Sont inscrits sur la liste officielle du Data Privacy Framework : Vercel, Stripe (Stripe, LLC), Resend, Cloudflare, Google, Meta et Vimeo. Les prestataires d'intelligence artificielle américains (secours, analyse d'images, transcription des vocaux, secours de l'assistant du site) n'y sont pas inscrits : le transfert repose sur les clauses contractuelles types prévues par leur contrat de traitement des données. Pour la réception de nos emails (ImprovMX), aucune de ces garanties n'a pu être confirmée à ce jour. Le détail figure sur la page des sous-traitants.
• Chine. Le prestataire de génération de texte par intelligence artificielle est situé en Chine. La Chine ne bénéficie d'aucune décision d'adéquation de la Commission européenne, et nous n'avons pas, à ce jour, conclu de clauses contractuelles types avec ce prestataire. Ce transfert ne bénéficie donc pas des garanties prévues à l'article 46 du RGPD. Il concerne le texte des conversations traitées par l'IA (messages des fans et de leurs interlocuteurs, messages des prospects du recrutement, éléments de mémoire, informations du profil IA configuré par le client). Les messages tapés dans l'assistant de notre site ne sont jamais envoyés à ce prestataire. Nos clients en sont informés dans l'accord de sous-traitance et décident d'activer ou non les fonctions d'IA pour leurs comptes. L'identité du prestataire est identité communiquée sur simple demande à contact@fancrm.fr.
• Région d'hébergement. La base de données est hébergée dans la région Irlande, dans l'Union européenne, et les fonctions serveur s'exécutent dans la région Dublin, en Irlande, dans l'Union européenne. Le support des prestataires d'hébergement peut accéder aux données depuis d'autres pays, dans le cadre de leurs propres garanties.

Vous pouvez obtenir des informations complémentaires sur ces transferts, et une copie des garanties existantes, en écrivant à contact@fancrm.fr.

7. Données traitées pour le compte de nos clients

Pour ces données, le client (agence ou créateur) est responsable de traitement et FanCRM est son sous-traitant. Nous les traitons uniquement pour fournir le service au client, selon ses instructions et selon l'accord de sous-traitance (DPA). Les catégories concernées sont :

• Fans et interlocuteurs des comptes connectés : identifiant et pseudonyme sur la plateforme, nom affiché, numéro de téléphone pour WhatsApp, photo de profil Telegram, messages reçus et envoyés, photos et vidéos, transcription des messages vocaux (effectuée automatiquement dès réception), commentaires publics sous les publications, et mémoire du fan (notes, préférences et résumé de la conversation, renseignés par le client ou extraits automatiquement des messages lorsque le client active l'IA).
• Prospects et modèles suivis dans l'outil de recrutement : nom, âge, ville, liens vers les réseaux sociaux, nombre d'abonnés, revenus estimés, étape, notes et échanges ; voix enregistrées, persona et exemples de conversation fournis par le client pour configurer ses comptes.
• Acheteurs des liens payants : adresse email saisie avant le paiement, référence de la vente, montant, date, état de l'accès et date d'envoi de la confirmation. Après le paiement, FanCRM envoie à l'acheteur, pour le compte du vendeur, un email de confirmation de l'achat (contenu acheté, vendeur et son adresse de contact, prix, date, référence) ; une réponse à cet email est adressée au vendeur. L'adresse email sert à cette confirmation et à retrouver un paiement en cas de réclamation, jamais à de la publicité. Le paiement est traité par Stripe, à qui l'adresse email est aussi transmise avec le paiement, et un cookie permet à l'acheteur de rouvrir le contenu acheté sur le même navigateur.
• Visiteurs des pages publiques créées par nos clients : réservations des pages coaching (nom, email, fuseau horaire, créneau, message) et compteurs de clics des bio-links par pays, sans identification individuelle.
• Contrats, fiches de paie et factures générés dans l'outil : identité et coordonnées des parties. Ces documents sont produits à la demande et ne sont pas enregistrés dans notre base.

Durée. Ces données sont conservées pour le compte du client tant que son compte existe. Elles sont supprimées avec le compte du client, ou plus tôt sur son instruction (par exemple en supprimant une conversation).

Vos droits si vous êtes concerné. Adressez-vous d'abord au client concerné (l'agence ou le créateur). Si vous nous écrivez à contact@fancrm.fr, nous transmettons votre demande au client dans les meilleurs délais et l'aidons à y répondre, conformément à nos engagements de sous-traitant.

Relances automatiques. Si vous êtes un fan et que votre dernier message à un compte connecté est une courte demande d'arrêt (par exemple « STOP », « arrête », « ne m'écris plus » ou « unsubscribe »), les relances automatiques programmées par le client ne vous sont plus envoyées. Elles peuvent reprendre si vous écrivez ensuite un autre message. Ce filtre ne reconnaît pas toutes les formulations et ne concerne que les relances : le client reste responsable de respecter toute autre demande d'arrêt.

8. Vos droits

Vous disposez, dans les conditions prévues par le RGPD, des droits suivants sur vos données :

• Accès : savoir si nous traitons vos données et en obtenir une copie.
• Rectification : corriger des données inexactes ou incomplètes. Une partie de votre profil se modifie directement dans votre espace.
• Effacement : demander la suppression de vos données, sauf lorsque la loi nous impose de les garder (par exemple les pièces comptables). Vous pouvez aussi supprimer vous-même votre compte depuis vos paramètres (voir ci-dessous).
• Limitation : demander le gel temporaire d'un traitement, par exemple le temps de vérifier une contestation.
• Opposition : vous opposer à un traitement fondé sur notre intérêt légitime, pour des raisons tenant à votre situation, et à tout moment à la prospection.
• Portabilité : recevoir les données que vous nous avez fournies dans un format structuré et couramment utilisé, lorsque le traitement repose sur votre consentement ou sur le contrat.
• Retrait du consentement à tout moment, par exemple pour la newsletter, sans remettre en cause les traitements déjà effectués.
• Directives post-mortem : définir des directives sur le sort de vos données après votre décès.

Comment faire. Écrivez à contact@fancrm.fr depuis l'adresse liée à votre compte, en précisant votre demande. Nous répondons dans un délai d'un mois à compter de la réception. Ce délai peut être prolongé de deux mois pour une demande complexe ou en cas de demandes nombreuses : nous vous en informons alors dans le premier mois. Si nous avons un doute raisonnable sur votre identité, nous pouvons vous demander une information complémentaire. La suppression d'un compte demandée par email est effectuée dans un délai d'un mois.

Supprimer votre compte vous-même. Dans votre tableau de bord, ouvrez les paramètres, rubrique Sécurité, puis « Supprimer mon compte ». Pour confirmer, vous saisissez votre mot de passe actuel et tapez le mot SUPPRIMER. La suppression est immédiate et définitive : votre compte, vos comptes connectés, vos conversations, vos liens et pages, vos fichiers et les données traitées pour votre compte sont effacés, et votre adresse est retirée de la newsletter. Votre abonnement payant éventuel est arrêté immédiatement, sans remboursement de la période en cours, et les commissions de parrainage pas encore versées sont perdues. Un email confirme la suppression. Si vous souhaitez une copie de vos données, demandez-la à contact@fancrm.fr avant de supprimer le compte. Restent conservées uniquement les données que la loi nous impose de garder (pièces comptables, données d'identification des auteurs de contenus) et la trace de la suppression dans le journal de sécurité (12 mois). Les comptes administrateurs ne peuvent pas être supprimés de cette façon.

Réclamation. Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur www.cnil.fr. Vous pouvez aussi vous adresser à l'autorité de protection des données de votre pays de résidence dans l'Union européenne.

9. Âge minimum

FanCRM est réservé aux professionnels majeurs : il faut avoir au moins 18 ans et agir à titre professionnel pour créer un compte. Nous ne collectons pas sciemment de données concernant des mineurs pour nos propres traitements. Nos clients s'engagent à ne pas utiliser le service pour traiter des données de mineurs dans le cadre de contenus réservés aux adultes, les créateurs déclarent, avant de créer leur premier lien payant, que toutes les personnes représentées sont majeures et consentantes et qu'ils en conservent la preuve, et l'acheteur d'un lien payant doit confirmer qu'il a au moins 18 ans. Si vous pensez qu'un mineur nous a transmis des données ou est concerné par un contenu publié avec FanCRM, signalez-le à contact@fancrm.fr ou depuis la page Signaler un contenu.

10. Sécurité

Nous appliquons les mesures suivantes :

• toutes les communications avec le site sont chiffrées (HTTPS) ;
• les mots de passe ne sont jamais conservés en clair, mais uniquement sous forme d'empreinte irréversible ; les nouveaux mots de passe utilisent l'algorithme bcrypt, et les plus anciens y sont convertis automatiquement à la connexion suivante ;
• la session de connexion repose sur un cookie inaccessible aux scripts de la page (HttpOnly) ;
• les tentatives de connexion répétées sont limitées par adresse email et par adresse IP, et une vérification anti-robot protège la connexion et l'inscription ;
• les tables de la base de données ne sont lues et modifiées que par nos serveurs ; les fichiers que vous déposez sont envoyés directement par votre navigateur vers notre espace de stockage, au moyen d'adresses d'envoi temporaires ;
• l'accès aux fonctions d'administration est réservé aux comptes administrateurs ;
• la session des comptes Telegram personnels connectés est chiffrée dans notre base ;
• les données de carte bancaire sont traitées uniquement par Stripe.

Par transparence, voici aussi les limites actuelles : les jetons d'accès des autres plateformes connectées (Instagram, Facebook, WhatsApp, Threads, TikTok, bots Telegram) sont stockés dans la base protégée décrite ci-dessus, mais sans chiffrement supplémentaire ; certains fichiers (aperçus des liens payants, médias et fichiers partagés, photos de profil, pièces jointes) sont stockés à une adresse publique difficile à deviner, accessible à toute personne qui la connaît. Aucune mesure ne garantit une sécurité absolue. En cas de violation de données présentant un risque, nous prévenons la CNIL et, si nécessaire, les personnes concernées dans les conditions prévues par le RGPD, et nous informons sans tarder les clients dont les données traitées pour leur compte sont touchées.

11. Cookies et traceurs

Nous utilisons uniquement les cookies et stockages locaux nécessaires au fonctionnement du site (session de connexion, sécurité, langue, thème, accès aux contenus achetés, paiement). La mesure d'audience fonctionne sans cookie et le parrainage n'utilise pas de cookie. Certaines pages créées par nos clients peuvent intégrer des vidéos de tiers. Le détail de chaque traceur, sa durée et vos possibilités de choix figurent dans la politique cookies.

12. Modifications de cette politique

Nous pouvons faire évoluer cette politique, notamment lorsque nos prestataires ou nos fonctionnalités changent. La date de mise à jour figure en haut de la page et la version en vigueur est la version 2026-10-21-2. En cas de changement important, nous vous en informons par email ou dans votre espace avant son entrée en application.

Pour toute question : contact@fancrm.fr.