Politique de confidentialité
Krystal. · Version du 31 octobre 2026
Quelles données l'agence traite, pourquoi, combien de temps, et comment exercer vos droits. Elle vaut pour les clients, les prospects, les collaborateurs indépendants, les business developers, les partenaires, les compositeurs, les stagiaires et les personnes filmées ou dont le lieu est filmé.
1. Responsable du traitement
Krystal., SAS à associé unique au capital de 1 500 €, siège social 8 rue Charles Nodier, 75018 Paris, RCS Paris 999 280 969. Contact pour toute question sur vos données : [email protected].
2. Données et finalités
| Pour qui | Données | Pourquoi | Base légale |
|---|---|---|---|
| Clients et contacts des entreprises clientes | Identité, coordonnées, échanges, brief, devis, factures | Exécuter les prestations, facturer, suivre la relation | Contrat ; obligation légale (comptabilité) |
| Prospects professionnels | Nom de l'entreprise, nom et fonction du contact, coordonnées professionnelles, échanges | Présenter l'offre de l'agence | Intérêt légitime, avec opposition possible à tout moment |
| Collaborateurs indépendants, candidats au Vivier et partenaires | Identité, coordonnées, SIRET, portfolio, documents légaux, missions, paiements | Étudier une candidature, confier et payer des missions, respecter les obligations de vigilance | Mesures précontractuelles et contrat ; obligation légale |
| Business developers (agents commerciaux) | Identité, coordonnées, affaires suivies, prospects réservés, commissions | Gérer le contrat d'agent, calculer et verser les commissions | Contrat ; obligation légale (comptabilité) |
| Personnes filmées ou photographiées | Image, voix, coordonnées | Produire et diffuser les contenus | Consentement (autorisation de droit à l'image) |
| Propriétaires et exploitants des lieux de tournage | Nom, qualité, coordonnées, autorisation signée | Obtenir et prouver l'autorisation de filmer le lieu | Contrat |
| Compositeurs sous mandat, artistes et coauteurs d'un titre | Identité, nom d'artiste, coordonnées, numéro SACEM ou IPI, licences, sommes encaissées et reversées, parts sur le titre | Accorder les licences, reverser les sommes, répartir et déclarer les droits du titre | Contrat ; obligation légale (comptabilité) |
| Stagiaires et étudiants des écoles partenaires | Identité, coordonnées, cursus, convention de stage, travaux | Accueillir les stagiaires, confier des projets aux étudiants | Contrat ; obligation légale pour les stagiaires |
| Personnes qui écrivent à l'agence depuis le site (formulaires, rendez-vous, bulle de discussion) | Nom, e-mail, téléphone, message, description du projet, lien vers les fichiers, créneau choisi, échanges de la bulle | Répondre, établir un devis, organiser le rendez-vous | Consentement ; mesures précontractuelles |
| Visiteurs du site | Données techniques du navigateur et adresse IP, traitées par Cloudflare Turnstile ; empreinte de l'adresse IP, sans l'adresse elle-même, pour plafonner les envois | Protéger les formulaires et la bulle contre les robots et les abus | Intérêt légitime |
| Utilisateurs de Radar | Identifiant, journal de connexion, cookie de session | Sécuriser l'accès à l'outil | Intérêt légitime ; cookie strictement nécessaire |
3. Durées de conservation
- Demandes reçues par le site : celles restées sans suite suivent la durée des prospects. Conversations de la bulle : un an après le dernier message. L'empreinte servant à plafonner les envois suit la durée du journal d'activité. Statistiques d'audience du site, anonymes : vingt-cinq mois.
- Clients : trois ans après la fin de la relation ; factures et pièces comptables, dix ans.
- Prospects : trois ans après le dernier contact. Après une opposition, seul le nom de l'entreprise est gardé, pour ne plus la contacter.
- Collaborateurs, business developers et partenaires : la durée de la relation, puis cinq ans ; commissions et pièces comptables, dix ans.
- Autorisations de droit à l'image : leur durée, puis cinq ans à titre de preuve.
- Autorisations de lieu : tant que les images sont exploitées, puis cinq ans à titre de preuve.
- Compositeurs sous mandat, stagiaires et étudiants : la durée du mandat, du partenariat ou du stage, puis cinq ans ; pièces comptables, dix ans. Répartition des droits d'un titre : tant que le titre est exploité.
- Journal d'activité de Radar : un an pour les connexions et la sécurité des comptes, trois ans pour les autres actions ; à l'effacement d'un compte, l'identifiant de la personne y est remplacé par une mention anonyme.
- Sauvegardes de Radar : le serveur garde une sauvegarde par jour sur les quatorze derniers jours, puis une par semaine jusqu'à huit semaines ; un document supprimé dans Radar y reste huit semaines au plus. La copie chiffrée faite chaque nuit, gardée sur le serveur et recopiée sur un disque dur de l'agence, garde trente copies quotidiennes et douze copies mensuelles. Une donnée effacée dans Radar peut donc subsister dans ces copies jusqu'à leur remplacement, au plus un an ; elles ne servent qu'à restaurer Radar après un incident.
4. Destinataires et hébergement
Origine des données des prospects. Bases publiques (répertoire SIRENE de l'INSEE, BODACC, données de la commande publique BOAMP, DECP et TED, OpenStreetMap), sites internet des entreprises et recommandations. Chaque prospect peut s'opposer à tout moment à leur utilisation.
Les données ne sont ni vendues ni louées. Elles sont accessibles à l'équipe de l'agence et, pour ce qui les concerne, aux collaborateurs affectés à un projet ainsi qu'aux business developers indépendants de l'agence pour les prospects et clients qu'ils suivent. Messages WhatsApp aux créatifs qui l'ont accepté : Meta Platforms Ireland. Notifications sur téléphone et navigateur : services de notification de Google, Apple, Mozilla ou Microsoft, selon l'appareil et le navigateur. Paiements : Qonto, la banque de l'agence.
Hébergement et prestataires techniques. Le site agencekrystal.com est hébergé par Cloudflare, Inc. (Cloudflare Pages), société établie aux États-Unis, qui fournit aussi la vérification anti-robot Turnstile ; les demandes reçues par le site sont enregistrées dans Radar. La mesure d'audience du site ne produit que des totaux anonymes par jour et par page, sans adresse IP ni identifiant. Les lecteurs Spotify et YouTube ne se chargent qu'à votre demande, voir la politique de cookies. Radar est hébergé par OVH SAS (Roubaix), sur un serveur situé à Francfort (Allemagne), dans l'Union européenne. Les connexions à Radar depuis Internet transitent par Cloudflare, Inc. (tunnel d'accès), société établie aux États-Unis. Une copie de sauvegarde chiffrée est recopiée sur un disque dur que l'agence conserve dans ses locaux. Les e-mails envoyés par Radar partent par Brevo, société française dont les serveurs sont situés dans l'Union européenne. Messagerie de l'agence : OVH SAS (Roubaix), serveurs situés dans l'Union européenne, avec une redirection des messages reçus vers une messagerie de Google (Google Ireland Limited, Dublin). Le passage par Cloudflare, Inc. et par Google est un transfert hors de l'Union européenne, encadré par le cadre de protection des données UE et États-Unis (Data Privacy Framework), auquel Cloudflare et Google sont certifiées. Toute autre donnée transférée hors de l'Union européenne l'est avec les garanties prévues par le RGPD.
5. Vos droits
Vous pouvez accéder à vos données, les faire rectifier ou effacer, en limiter le traitement, vous opposer à un traitement fondé sur l'intérêt légitime (dont la prospection), retirer votre consentement, et recevoir vos données dans un format courant. Écrivez à [email protected] ; une réponse vous est apportée sous un mois, délai qui peut être prolongé de deux mois pour une demande complexe, auquel cas vous en êtes prévenu dans le premier mois. Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL (cnil.fr). Vous pouvez aussi nous indiquer ce que nous devons faire de vos données après votre décès.
Les informations demandées pour un devis, un contrat ou une facture sont nécessaires : sans elles, l'agence ne peut pas conclure ni exécuter la prestation. Les autres sont facultatives. Aucune décision vous concernant n'est prise de façon entièrement automatisée.
6. Sécurité
Un cookie technique de sécurité, conservé six mois, reconnaît un appareil déjà utilisé, pour qu’un tiers ne puisse pas bloquer un compte par de mauvais essais.
Accès par compte personnel et mot de passe stocké sous forme irréversible (hachage), double authentification obligatoire pour l'équipe, les business developers et les partenaires, proposée aux autres comptes, droits limités à ce que chaque profil doit voir, connexions chiffrées, sauvegardes quotidiennes dont une copie chiffrée gardée par l'agence hors du serveur, sur un disque dur débranché entre deux copies. Mise à jour de cette politique : 23 octobre 2026.