politique de confidentialité

Lors de l'inscription — nom, e-mail, numéro de téléphone, mot de passe (stocké sous forme de hachage bcrypt, jamais en texte brut), type de compte (TALENT/ENTREPRISE/MEMBRE) et pour les talents et les entreprises : discipline, sous-catégorie, emplacement, services offerts et champs de profil de base.

Documents KYC — passeport / carte d'identité Emirates / licence commerciale d'entreprise / selfies, téléchargés pour vérification d'identité. Les documents KYC sont cryptés au repos, accessibles uniquement par le niveau d'administration SUPPORT / COMPLET pour un examen par correspondance, et ne sont jamais envoyés aux réponses de profil public.

Données opérationnelles — réservations, offres, emplois que vous publiez ou auxquels vous postulez, transactions (identifiants Stripe uniquement — nous ne stockons pas les numéros de carte complets), messages entre utilisateurs de la plateforme, notifications, avis, rapports, liste de souhaits + recherches enregistrées et contenu du panier (enregistré sur votre compte afin qu'ils vous suivent entre les appareils).

Données de notification push — si vous activez les notifications push, nous stockons le point de terminaison problématique de votre navigateur et ses clés de cryptage sur votre compte, uniquement pour envoyer la notification. La désactivation des notifications le supprime.

Données d'audit et de sécurité – IP de connexion/agent utilisateur, nombre d'échecs de connexion, version du jeton, horodatages de verrouillage du compte, compteurs de limite de débit et une piste d'audit de l'administrateur enregistrant quel administrateur a ouvert quel enregistrement et quand.

Pour faire fonctionner la plateforme : authentifiez-vous, acheminez les réservations + les paiements, envoyez des notifications + des reçus par e-mail (via Resend), traduisez le contenu public (via Google Translate) et prévenez la fraude. Les données KYC sont utilisées uniquement pour la vérification de l'identité + la modération administrative ; nous n'utilisons pas l'OCR de documents à des fins de marketing.

Nos bases juridiques pour le traitement sont : exécution d'un contrat (gestion de votre compte, réservations, paiements), obligation légale (KYC / lutte contre le blanchiment d'argent, tenue des registres fiscaux et comptables), intérêts légitimes (prévention de la fraude, sécurité de la plateforme, analyses anonymisées) et consentement (cookies non essentiels et communications marketing facultatives, que vous pouvez retirer à tout moment).

Les coordonnées des talents (e-mail, téléphone, nom complet) sont scellées aux entreprises jusqu'à la signature d'un contrat de travail. L'identité de l'entreprise est scellée aux talents sur le fil d'emploi public (les publications sont affichées sous la forme de « Hashtags publiés pour un emploi » ou anonymisées par sous-type d'entreprise). Les notes d'administration, les indicateurs internes, les coordonnées des parents (pour les talents de moins de 18 ans), les IBAN/coordonnées bancaires de paiement et les soldes créditeurs de base n'apparaissent jamais sur les surfaces publiques.

Les administrateurs de plateforme peuvent ouvrir des enregistrements qui ne sont pas publics, et cela mérite d’être clairement indiqué plutôt que de laisser à des déductions :

• Messages privés : un administrateur du niveau requis peut lire le fil de messages entre deux utilisateurs lors d'une enquête sur un litige, un rapport ou un problème de sécurité. Chacune de ces vues est écrite dans la piste d'audit de l'administrateur avec l'identité et l'heure de l'administrateur.
• Messages supprimés (« rétractés ») — un message que vous supprimez disparaît pour l'autre participant mais est conservé et reste visible pour les administrateurs, de sorte qu'un litige ou un cas de harcèlement ne puisse pas être effacé par la partie qui l'a provoqué. Ne considérez pas la suppression d’un message comme son effacement.
• Documents KYC — Niveau SUPPORT/COMPLET uniquement, pour un examen par correspondance.
• Détails des transactions et des paiements — pour les remboursements, les litiges et la comptabilité.

Les administrateurs sont liés par une politique interne et leurs accès sont enregistrés. Si vous pensez qu'un administrateur a abusé de l'accès, écrivez à Privacy@hashtagsstudios.com.

Un tuteur confirmé d'un talent de moins de 18 ans peut accéder au compte de cet enfant pour le gérer. Lors du changement, le tuteur voit et peut agir sur les données de l'enfant : profil, réservations, offres et messages. Le changement est enregistré et un compte enfant géré n’a pas de connexion distincte. Les coordonnées des parents collectées lors du processus d'approbation parentale ne sont jamais affichées sur les surfaces publiques.

• Stripe — paiements (Checkout, transferts Connect), vérification d'identité, remboursements. La politique de confidentialité de Stripe s'applique aux données qu'ils traitent en notre nom.
• Renvoyer – envoi d'e-mails transactionnels.
• Google Translate (google-translate-api-x) : traduction automatique de contenu public dans nos paramètres régionaux pris en charge.
• Hostinger — hébergement + base de données MySQL.
• Cloudflare / image CDN — livraison d'images publiques.

Nous ne vendons pas les données des utilisateurs à des tiers à des fins publicitaires ou à toute autre fin.

Voir la politique Cookies dédiée. Nous utilisons des cookies de session pour l'authentification, un cookie local pour la préférence de langue, un cookie de pays pour l'endroit où vous effectuez vos achats et, uniquement avec votre consentement, une boutique fonctionnelle « récemment consultée » et des analyses de première partie. Les analyses sont anonymes, écrites dans notre propre base de données et jamais partagées avec des tiers ; aucun cookie tiers de suivi ou publicitaire n’est chargé par la plateforme.

Les mots de passe sont stockés sous forme de hachages bcrypt et vérifiés par rapport à la liste des violations Have I Been Pwned lors de l'enregistrement et de la modification. L'authentification facultative à deux facteurs (TOTP) est disponible sur chaque type de compte. Les documents KYC sont chiffrés au repos. Les actions du serveur sont protégées par CSRF et chaque réponse comporte une politique de sécurité de contenu stricte. La connexion, la soumission KYC, l'envoi de messages et la soumission de rapports sont limités en débit, et dix connexions échouées verrouillent un compte pendant trente minutes.

Si une violation de données personnelles se produit et est susceptible d'entraîner un risque pour vos droits, nous en informerons le bureau des données des Émirats arabes unis et, le cas échéant, les utilisateurs concernés, sans retard injustifié.

Comptes actifs : données conservées pendant que le compte est actif. Après la clôture du compte : les informations personnelles sont anonymisées dans les 90 jours, sauf si elles sont conservées pour des raisons juridiques, fiscales ou de prévention de la fraude (les documents financiers sont conservés pendant 7 ans selon les normes comptables des Émirats arabes unis). Les journaux d'audit de l'administrateur sont conservés selon les paramètres de la plateforme (12 mois par défaut).

• Accès — demandez une copie de vos données via /contacts.
• Correction : modifiez votre profil dans votre tableau de bord ou demandez une correction pour les champs que vous ne pouvez pas modifier vous-même.
• Suppression — demandez la suppression du compte via /contacts. Nous honorons les demandes dans un délai de 30 jours, sous réserve des obligations légales de conservation.
• Portabilité — les exportations de profil de talent + historique de réservation sont disponibles sur demande.
• Retrait du consentement — désactivez les notifications facultatives dans vos paramètres ou désactivez les cookies analytiques/fonctionnels/marketing sur la bannière ou dans le panneau Gérer les cookies de la page Cookies.
• Objection + restriction — vous opposer au traitement ou nous demander de le restreindre en fonction d'intérêts légitimes.
• Plainte — vous pouvez déposer une plainte auprès du bureau des données des Émirats arabes unis (ou, si vous résidez dans l'UE/EEE/Royaume-Uni, auprès de votre autorité de contrôle locale) si vous pensez que vos données ont été mal traitées.

Nous ne prenons pas de décisions uniquement automatisées qui produisent des effets juridiques ou tout aussi importants à votre sujet, sans examen humain.

Les talents de moins de 18 ans nécessitent l'approbation parentale. Les membres doivent avoir au moins 13 ans. Nous ne collectons pas sciemment de données auprès de personnes de moins de 13 ans.

L'application Hashtags Studio pour iOS et Android affiche cette même plate-forme dans un shell natif. Tout dans cette politique s'applique également dans l'application. De plus : (a) Notifications push : si vous les autorisez, nous stockons un jeton d'appareil pour votre compte afin que nous puissions vous envoyer des alertes de réservation, de message, de compétition et d'événement. La livraison passe par Firebase Cloud Messaging (Google) et le service Apple Push Notification. Vous pouvez désactiver les notifications dans l'onglet Moi de l'application ou dans les paramètres de votre téléphone, et le jeton est supprimé lorsque vous vous déconnectez. (b) Appareil photo et photothèque – utilisés uniquement lorsque vous choisissez d'ajouter une photo à votre portfolio, à votre comp card ou à votre vérification d’identité ; les images sont téléchargées de la même manière que sur le site Web et rien n'est lu autrement dans votre bibliothèque. (c) Face ID, Touch ID et empreinte digitale : le verrouillage de l'application est vérifié par votre téléphone ; nous ne recevons jamais vos données biométriques. Le code PIN de votre application est stocké uniquement sur votre appareil. (d) Rapports de crash : des diagnostics de crash anonymes sont envoyés à Firebase Crashlytics afin que nous puissions résoudre les problèmes ; ils ne contiennent aucun contenu de message ni détails de paiement. (e) Analytics — l'application n'exécute pas de suivi marketing ou analytique, et le choix de cookies que vous voyez sur le site Web est défini sur essentiel uniquement dans l'application.

Les données peuvent être traitées par nos sous-traitants tiers (Stripe, Resend, Google Translate) dans l'UE, aux États-Unis et dans d'autres régions où ils opèrent. Nous nous appuyons sur les garanties contractuelles des sous-traitants (DPA, clauses contractuelles types) pour ces transferts.

Modifications matérielles annoncées dans l'application + par e-mail au moins 14 jours avant leur entrée en vigueur. Questions : Privacy@hashtagsstudios.com (ou via /contacts).

Ce contenu peut être mis à jour en direct par un administrateur depuis /admin/settings (clé : legal.privacy).