Vos données,
en clair.
Cette traduction est fournie à titre indicatif ; seule la version anglaise fait foi.
Dernière mise à jour : 18 octobre 2026
1. Qui est responsable
Le responsable du traitement pour Candela (candela.mov) et le Candela Recorder est Dafin SA, route de Saconnex-d'Arve 131, 1228 Plan-les-Ouates (« nous »). Pour toute question sur vos données, écrivez à privacy@candela.mov.
Quand le client est responsable du traitement. Pour les films et le matériel produit qu'apporte une organisation cliente (briefs, sites web, écrans, enregistrements, captures du Recorder, notes de visionnage), le client est responsable du traitement et nous traitons les données pour son compte, comme sous-traitant, selon nos conditions et, sur demande, un contrat de sous-traitance. Les demandes portant sur ces données s'adressent de préférence au client ; nous lui transmettons celles que nous recevons.
Quel droit. Nous sommes établis en Suisse et appliquons la loi fédérale sur la protection des données (nLPD). Lorsque le règlement général européen sur la protection des données (RGPD) s'applique, par exemple aux personnes dans l'UE ou l'EEE, cette déclaration donne aussi les informations qu'il exige (art. 13 RGPD).
2. Ce que nous collectons
- Comptes : e-mail, nom affiché, une empreinte du mot de passe (Argon2id ; jamais le mot de passe), appartenances aux organisations et rôles, et la langue choisie pour l'application.
- Organisations : le nom de l'organisation, ses membres et leurs rôles, et les invitations (l'adresse invitée, qui l'a envoyée, quand elle a servi).
- Sessions : une empreinte du cookie de session, des dates et l'identifiant du navigateur (user agent).
- Films : titres, briefs, scripts, textes de voix off, notes de visionnage et leurs auteurs, validations, et les films rendus.
- Matériel produit : captures d'écran et instantanés de pages du produit du client, issus d'une capture de site web, d'un enregistrement d'écran importé ou du Candela Recorder. Ils peuvent montrer tout ce que le produit affiche, y compris des noms ou des données clients s'ils étaient à l'écran. Les sites web sont capturés depuis notre serveur en Suisse.
- Dépôts GitHub : lorsqu'un client connecte GitHub, Candela lit les dépôts qu'il choisit (notes de version, pull requests, documentation et les images qu'elles contiennent) pour réaliser ses films. Seul le matériel extrait est conservé, avec les sources du film, et il est supprimé avec elles. Aucun jeton d'accès GitHub n'est stocké.
- Facturation : le nom de l’entreprise, le pays de facturation, le numéro de TVA, l’e-mail du propriétaire qui achète, les packs de frames achetés, les frames utilisés et le réglage du rachat automatique. Les données de carte et de TWINT vont directement à Stripe ; nous ne les voyons jamais (un rachat utilise la référence Stripe de la carte enregistrée). Stripe émet et conserve les factures pour nous.
- Journaux : un journal d'audit de qui a fait quoi (identifiant utilisateur, adresse IP du client, sans secrets) ; des traces anonymes des visites de liens de partage externes (une empreinte de l'adresse, la famille du navigateur) ; et des journaux techniques de l'application (identifiants d'utilisateur, de film et de tâche, messages d'erreur). Notre serveur web ne tient pas de journal d'accès.
- Cookies : uniquement ceux qui sont strictement nécessaires ; voir la section 11.
- Vitrine : un film n'apparaît sur candela.mov que si un propriétaire de son organisation a activé « Montrer sur candela.mov », en sachant que tout le monde peut alors le regarder. Seuls son aperçu (un encodage allégé du film, jamais le fichier en pleine qualité) et son affiche deviennent publics, et le nom de l'organisation seulement si le propriétaire l'a choisi. Désactiver l'option retire le film immédiatement.
- Pouces levés : un vote enregistre le film, l'heure et soit votre compte (si vous êtes connecté), soit une empreinte irréversible d'un cookie de vote aléatoire (
candela_vote), posé seulement quand vous levez le pouce. Votre adresse IP n'est jamais enregistrée ; elle sert uniquement en mémoire, pour limiter les abus. Vous pouvez retirer un vote ; les votes sont supprimés après 90 jours. - Assistant d'aide et questions au support : l'assistant « Des questions ? » reconnaît des mots-clés dans votre navigateur ; ce n'est pas une IA. Une question qu'il ne reconnaît pas est conservée sous forme de texte seulement (300 caractères au plus) avec la page et la langue, sans votre adresse IP, votre session ni votre e-mail. Si vous envoyez une question à notre équipe de support, nous enregistrons votre adresse e-mail, le nom indiqué, votre message, la page et la langue, et les transmettons par e-mail à notre adresse de support pour vous répondre. Les questions au support ne font partie des données d'aucune organisation.
Ni collectés ni stockés : mots de passe ou jetons en clair, données de carte ou TWINT, échantillons de voix (pas de clonage de voix), données de suivi ou de publicité.
3. Le Candela Recorder
- Il n'enregistre que l'onglet où l'utilisateur appuie sur Record, uniquement jusqu'à Stop, jamais en pause.
- Les champs de mot de passe sont toujours masqués ; tous les autres champs le sont par défaut ; l'utilisateur peut masquer n'importe quel élément à l'écran, et les zones masquées sont couvertes sur les captures.
- Rien n'est envoyé avant que l'utilisateur ait passé les étapes en revue et appuyé sur Send to Candela. D'ici là, l'enregistrement reste dans le navigateur et peut être supprimé.
- Les envois passent en HTTPS vers candela.mov uniquement, pour le seul film que désigne le lien de capture. Le serveur masque à nouveau à l'arrivée toute valeur ressemblant à un mot de passe et supprime l'envoi brut dès que le kit produit est prêt.
- L'extension ne contacte aucun autre serveur et ne charge aucun code distant. Elle ne lit ni l'historique, ni les cookies, ni les autres onglets. Pour les services informatiques : candela.mov/recorder/it.
4. Pourquoi nous les utilisons, et sur quelle base légale
- Fournir le service (comptes, connexion, production, conservation et livraison des films, support) : exécution de notre contrat avec l'organisation cliente, et notre intérêt légitime à faire fonctionner le service pour les personnes qu'elle invite (art. 6, par. 1, let. b et f RGPD).
- Le matériel du client : traité uniquement sur les instructions du client, pour produire ses films (art. 28 RGPD ; art. 9 nLPD).
- Facturation et comptabilité : le contrat et nos obligations légales, dont la tenue des pièces comptables (art. 6, par. 1, let. b et c RGPD ; art. 958f du Code des obligations).
- Sécurité, prévention des abus et journal d'audit : notre intérêt légitime à protéger le service, les données des clients et nos droits (art. 6, par. 1, let. f RGPD).
- La vitrine et ses pouces levés : un film n'apparaît sur candela.mov que parce qu'un propriétaire de son organisation a choisi de l'y montrer (instruction du client) ; les votes sont comptés, et limités contre les abus, dans notre intérêt légitime à montrer équitablement les films qui plaisent (art. 6, par. 1, let. f RGPD).
- Répondre aux questions au support et améliorer l'assistant : mesures prises à votre demande (art. 6, par. 1, let. b RGPD) et notre intérêt légitime à répondre aux questions et à améliorer les réponses de l'assistant (art. 6, par. 1, let. f RGPD). Nous utilisons votre adresse e-mail uniquement pour répondre à cette demande.
Nous ne vendons pas de données personnelles, ne les utilisons pas pour la publicité et ne profilons personne ; nous ne prenons aucune décision automatisée ayant des effets juridiques, et nous n'utilisons pas le matériel des clients pour entraîner des modèles d'IA.
5. Où c'est stocké
Sur Infomaniak Public Cloud à Genève, en Suisse : l'application, sa base de données, le stockage des fichiers et les sauvegardes chiffrées. Certaines données sont transmises aux prestataires ci-dessous, une requête à la fois, pour la part du travail qui leur revient.
6. Qui les traite pour nous
Une courte liste de prestataires, chacun tenu par contrat de ne traiter les données que pour nous. La liste complète, avec ce que chacun reçoit et les garanties, figure sur la page des sous-traitants.
| Infomaniak Network SA | Suisse. Hébergement : serveurs, disques, stockage objet, sauvegardes. Toutes les données ci-dessus. |
|---|---|
| Anthropic PBC | États-Unis. L'IA qui écrit, retouche et traduit les films : le brief, les captures et textes du produit, des images des enregistrements importés, les notes envoyées pour une retouche. Pas utilisé pour l'entraînement, et conservé par Anthropic seulement pour une durée limitée selon son contrat de sous-traitance. |
| ElevenLabs | États-Unis. Le texte de voix off d'un film, pour synthétiser la voix, quand une voix est utilisée. |
| Stripe | Irlande et États-Unis. Paiements, achats de packs et renouvellements automatiques, factures et taxes : les données de facturation ci-dessus. Stripe collecte lui-même les données de carte et TWINT, comme responsable indépendant. |
| Microsoft (Microsoft 365) | L'emplacement des données du tenant (Suisse ou UE). E-mail, par Microsoft 365 (Exchange Online) dans notre tenant : les e-mails que nous envoyons (questions au support vers notre équipe ; e-mails d'inscription, d'invitation et de partage ; avis de film prêt et de facturation), avec leurs destinataires et leur contenu, depuis notre boîte action@candela.mov, qui en garde une copie. |
| Google Fonts | États-Unis. Les polices de ces pages, que votre navigateur charge depuis les serveurs de Google ; Google voit votre adresse IP et votre navigateur. Aucun cookie. |
| Google (Gemini API, Veo) | États-Unis, éventuellement d'autres pays. Uniquement si votre organisation utilise les plans IA (désactivés par défaut) : la description de chaque plan, pour le générer avec Veo via l'API Gemini (offre payante : pas utilisée pour entraîner les modèles de Google). Aucun écran, aucun enregistrement, aucune donnée de compte. |
7. Transferts à l'étranger
Anthropic, ElevenLabs, Stripe et Google peuvent traiter des données aux États-Unis, et Microsoft peut accéder depuis là-bas, pour le support, aux e-mails qu'il traite. Ni la Suisse ni l'UE ne considèrent que les États-Unis offrent de manière générale une protection adéquate. Nous n'y transférons des données qu'avec des garanties appropriées, telles que les clauses contractuelles types de la Commission européenne (avec l'avenant suisse) ou le Data Privacy Framework Suisse–États-Unis et UE–États-Unis lorsque le prestataire est certifié. Vous pouvez nous demander une copie de ces garanties.
8. Combien de temps c'est conservé
| Comptes | Jusqu'à la suppression du compte. Les notes écrites par la personne restent, signées « ancien membre ». |
|---|---|
| Films | 180 jours après la dernière activité sur le film, sauf suppression plus tôt ou autre durée convenue pour l'organisation. |
| Kits produit | 90 jours sans utilisation. |
| Enregistrements bruts | Supprimés dès que leur kit produit est prêt ; le journal nettoyé du Recorder et les captures au nettoyage quotidien suivant. |
| Sessions et invitations | Une session prend fin 30 jours après sa dernière utilisation, ou à la déconnexion ; les sessions et invitations expirées sont supprimées au nettoyage quotidien suivant. |
| Journal d'audit | 365 jours. |
| Pouces levés | 90 jours après le vote, au nettoyage quotidien suivant. |
| Questions au support | Un an après leur réception, une fois transmises à notre adresse de support ou clôturées ; plus tôt sur demande. |
| Questions non reconnues par l'assistant | 90 jours. |
| Journaux de l'application | Renouvelés selon leur taille, pas selon la date : les lignes les plus anciennes partent en premier, en général après quelques jours à quelques semaines. |
| Données de facturation | Dix ans, comme l'exige le droit comptable suisse (art. 958f du Code des obligations), y compris après la suppression d'une organisation, sans le nom de l'entreprise. Les messages d'événements de Stripe, qui nomment le client, sont vidés après 90 jours. |
| Sauvegardes | Copies quotidiennes chiffrées : 14 jours sur le serveur ; hors du serveur, en Suisse, une copie pour chacun des 14 derniers jours, des 8 dernières semaines et des 12 derniers mois. Les données supprimées quittent donc toutes les sauvegardes en 12 mois au plus. |
9. Vos droits
Vous pouvez demander l'accès à vos données et une copie dans un format courant, leur rectification ou leur effacement, la limitation de leur traitement, et vous opposer à un traitement fondé sur nos intérêts légitimes. Lorsqu'un traitement repose sur votre consentement, vous pouvez le retirer à tout moment.
- Vos propres données : une fois connecté,
candela.mov/auth/me/exporttélécharge tout ce qui est stocké à votre sujet (compte, appartenances, sessions, notes écrites, vos propres actions dans le journal d'audit) en un seul fichier. - Le propriétaire d'une organisation peut en exporter toutes les données en un fichier zip : membres, films et leurs fichiers, kits produit, facturation, coûts et journal d'audit.
- Un membre peut supprimer un film ; tout ce qui en découle est supprimé (fichiers, kits, enregistrements) et quitte les sauvegardes en 12 mois au plus.
- Les comptes et les organisations entières sont supprimés sur demande ; les données de facturation restent le temps exigé par la loi.
Pour exercer ces droits, écrivez à privacy@candela.mov. Nous répondons dans les 30 jours et pouvons vous demander de confirmer votre identité. Pour les données dont un client est responsable, nous transmettons votre demande à ce client.
Vous pouvez aussi saisir une autorité de contrôle : en Suisse, le Préposé fédéral à la protection des données et à la transparence (PFPDT, edoeb.admin.ch) ; dans l'UE ou l'EEE, l'autorité du pays où vous vivez ou travaillez.
10. Sécurité
Connexions chiffrées (HTTPS) partout ; mots de passe conservés uniquement sous forme d'empreintes Argon2id, jetons de session et de lien uniquement sous forme d'empreintes ; sauvegardes chiffrées hors du serveur ; accès limité par organisation et par rôle ; et un journal d'audit des actions sensibles. Les liens de partage externes expirent, peuvent exiger un code d'accès, peuvent être révoqués, et chaque visite est journalisée.
12. Modifications de cette déclaration
Nous publions chaque modification sur cette page avec sa date, et prévenons les propriétaires des organisations avant qu'une modification importante prenne effet.