Politique de confidentialité

Dernière mise à jour : 3 novembre 2026

La présente politique décrit comment NOVSTR collecte, utilise et protège les données personnelles, conformément au Règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés. Elle concerne les utilisateurs de NOVSTR (créateurs et professionnels), les personnes qui nous contactent, et les créateurs analysés par un professionnel sans disposer eux-mêmes d'un compte.

1. Responsable du traitement

Le responsable du traitement est NOVSTR, société par actions simplifiée unipersonnelle (SASU) au capital de 1 000 €, dont le siège social est situé 7 avenue Victor Hugo, 64200 Biarritz, immatriculée au RCS de Bayonne sous le numéro 130 572 340. Contact pour toute question relative aux données : contact@novstr.com. NOVSTR n'a pas désigné de délégué à la protection des données (DPO), cette désignation n'étant pas obligatoire au regard de son activité.

2. Données que nous traitons

a) Données de compte

Adresse email et, si vous le renseignez, votre nom
Mot de passe, stocké sous forme hachée (jamais en clair)
Type de compte (créateur ou professionnel), organisation et rôle au sein de celle-ci
Date d'acceptation des conditions d'utilisation et déclaration d'âge (18 ans ou plus)
Si vous vous connectez avec Google : l'adresse email et le nom transmis par Google

b) Données issues d'un compte Instagram connecté (créateurs)

La connexion s'effectue en lecture seule via notre partenaire InsightIQ / Phyllo, avec votre accord explicite donné dans la fenêtre de connexion : aucune publication ni modification n'est possible. Nous récupérons :

l'identité publique du compte (nom d'utilisateur, nom affiché) ;
des données de performance des publications des 90 derniers jours environ (abonnés, likes, commentaires, partages, enregistrements, reach, vues) ;
des données d'audience agrégées (répartition par pays, villes, genre et tranche d'âge), qui ne permettent pas d'identifier vos abonnés.

Vous pouvez retirer cet accès à tout moment depuis « Mes réseaux » (bouton « Déconnecter ») ou depuis les paramètres de votre compte Instagram (« Apps et sites web »).

c) Données saisies dans le service

Paramètres d'une collaboration (formats, exclusivité, droits d'utilisation, durée, secteur, cible)
Prix demandé et prix négocié que vous saisissez (ces prix sont privés : un créateur ne voit jamais ceux du professionnel, et inversement)
Campagnes, budgets, codes et invitations d'équipe (adresse email de la personne invitée)

d) Données de créateurs analysés sans compte (Analyse Flash)

Un professionnel peut estimer le prix d'une collaboration avec un créateur qui n'utilise pas NOVSTR, à partir de chiffres publics ou qu'il déclare (nom de compte, abonnés, engagement, reach). Voir l'article 6.

e) Paiements

Les paiements sont traités par Stripe. NOVSTR ne reçoit ni ne stocke vos numéros de carte bancaire ; nous conservons l'historique de vos achats (montant, date, nombre de crédits ou d'analyses) pour la facturation.

f) Données techniques

Adresse IP, utilisée uniquement pour limiter les abus (nombre de tentatives) et conservée de quelques minutes à 24 heures au plus
Journal des actions sur votre compte (connexion, invitation…), sans adresse IP
Mesure d'audience anonyme (pages consultées, étapes du parcours), sans cookie, sans identifiant de compte et sans enregistrement de session
Rapports d'erreurs techniques, sans donnée personnelle

g) Demandes de contact et de démonstration

Nom, adresse email, organisation et message que vous nous envoyez via les formulaires « Nous contacter » ou « Demander une démo ». Ils nous sont transmis par email et ne sont pas enregistrés dans notre base.

3. Finalités et bases légales

Créer et gérer votre compte, générer vos analyses, gérer les équipes et les campagnes : exécution du contrat
Connecter votre compte Instagram et traiter les données correspondantes : votre consentement, que vous pouvez retirer à tout moment
Envoyer les emails nécessaires au service (vérification, réinitialisation du mot de passe, invitation, reçus) : exécution du contrat
Sécuriser la plateforme (limitation des abus, prévention de la fraude, attribution unique des analyses offertes par entreprise via le domaine de l'adresse email) : intérêt légitime
Mesurer l'audience de façon anonyme et corriger les erreurs : intérêt légitime
Améliorer notre modèle et produire des statistiques de marché à partir de données anonymisées (article 4) : intérêt légitime
Répondre aux demandes de contact et de démonstration : mesures précontractuelles ou intérêt légitime
Facturer et respecter nos obligations comptables : obligation légale

4. Statistiques de marché

Pour améliorer son modèle de prix, NOVSTR conserve les caractéristiques de chaque analyse (secteur, formats, conditions, prix recommandé, prix demandé et négocié). Ces caractéristiques sont anonymisées dès leur enregistrement : elles ne comportent ni nom, ni adresse email, ni nom de compte, ni lien vers votre compte ou votre organisation, et les valeurs qui pourraient désigner un compte précis sont arrondies (nombre d'abonnés et reach à environ 5 % près, engagement au dixième de point, date au mois).

Le seul lien conservé est celui vers le rapport dont elles sont issues, tant que ce rapport existe ; il est supprimé avec le rapport ou à la suppression de votre compte. Vous pouvez vous opposer à ce traitement en écrivant à contact@novstr.com. Les indicateurs que nous en tirons sont agrégés. Aucune donnée personnelle n'est vendue.

5. Prix recommandé : une estimation automatisée

Le prix recommandé et la zone de négociation sont calculés automatiquement à partir de l'audience, de l'engagement, du reach, des formats et des conditions de la collaboration. Il s'agit d'une estimation indicative destinée à éclairer une négociation entre personnes : elle ne constitue pas une décision produisant des effets juridiques à votre égard au sens de l'article 22 du RGPD.

6. Rapports partagés et créateurs analysés par un professionnel

Analyse Certifiée. Un professionnel (annonceur ou agence) génère un lien d'invitation (qui contient un code) qu'il transmet à un créateur. Lorsque le créateur utilise ce code et connecte son compte, le rapport est partagé avec ce professionnel (données de performance et d'audience, prix recommandé), mais jamais les prix privés du créateur. En utilisant un code, le créateur accepte ce partage.

Rôle des professionnels. Pour les analyses, campagnes et rapports créés dans son espace, le professionnel agit en qualité de responsable de traitement et NOVSTR de sous-traitant, selon les clauses figurant en annexe des conditions d'utilisation. Les demandes portant sur ces enregistrements (accès, effacement, opposition) peuvent être adressées au professionnel concerné ou à NOVSTR, qui les lui transmettra.

Votre compte a été analysé sans que vous utilisiez NOVSTR ? Un professionnel a pu estimer le prix d'une collaboration avec vous à partir de chiffres publics ou qu'il a déclarés (nom de compte, abonnés, engagement, reach). Ces données sont conservées dans l'espace de ce professionnel pour la durée de son utilisation du service, et contribuent, une fois anonymisées, aux statistiques de l'article 4. Vous pouvez vous y opposer ou en demander l'effacement en écrivant à contact@novstr.com en indiquant votre nom de compte.

7. Destinataires et sous-traitants

Vos données sont accessibles aux seules personnes habilitées de NOVSTR et, pour les rapports partagés, au professionnel concerné. Nous faisons appel aux prestataires suivants, liés par des engagements de confidentialité et de sécurité :

Vercel : hébergement de l'application et mesure anonyme de l'audience et de la vitesse, sans cookie (États-Unis)
Neon : hébergement de la base de données (Union européenne, Francfort)
InsightIQ / Phyllo : connexion en lecture seule aux comptes Instagram (États-Unis)
Stripe : paiements (Stripe agit aussi comme responsable de traitement pour ses propres obligations de lutte contre la fraude et le blanchiment)
Resend : envoi des emails (États-Unis)
PostHog : mesure d'audience anonyme (Union européenne)
Sentry : détection des erreurs techniques (Union européenne)
Upstash : limitation des abus (adresse IP, conservée au plus 24 heures)
Google : connexion avec un compte Google, si vous l'utilisez

8. Transferts hors de l'Union européenne

Certains prestataires sont situés hors de l'Union européenne (notamment aux États-Unis). Ces transferts sont encadrés par le cadre de protection des données UE-États-Unis (Data Privacy Framework) pour les prestataires certifiés, et à défaut par les clauses contractuelles types de la Commission européenne.

9. Durées de conservation

Compte et rapports personnels : tant que le compte est actif. À la suppression du compte, ils sont effacés immédiatement ; l'accès Instagram est révoqué auprès de notre partenaire.
Données Instagram : jusqu'à la déconnexion du compte Instagram ou la suppression de votre compte.
Rapports et campagnes d'un professionnel : tant que l'organisation utilise le service ; supprimés à la suppression du dernier compte de l'organisation.
Historique d'achats : 10 ans (obligation comptable), sans autre donnée personnelle après la suppression du compte.
Liens de vérification et de réinitialisation : 7 jours après leur expiration ; invitations : 30 jours après leur expiration.
Journal des actions du compte : 12 mois.
Adresses IP de limitation des abus : 24 heures au plus.
Demandes de contact et de démonstration : 3 ans après le dernier échange.
Statistiques de marché : anonymes, conservées sans limitation de durée.

10. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées : chiffrement des communications (HTTPS), mots de passe hachés, sessions révocables, cloisonnement des accès par organisation et par rôle, limitation des abus, hébergement européen de la base de données, sauvegardes, et connexion aux réseaux tiers en lecture seule.

11. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, d'opposition, de limitation et de portabilité, ainsi que du droit de retirer votre consentement à tout moment et de définir des directives relatives au sort de vos données après votre décès.

Depuis votre espace : exporter vos données (« Exporter mes données »), modifier votre nom, déconnecter Instagram, supprimer votre compte.
Par email, pour toute autre demande : contact@novstr.com. Nous répondons dans un délai d'un mois.

Vous pouvez également introduire une réclamation auprès de la CNIL : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou sur www.cnil.fr.

12. Cookies et traceurs

NOVSTR n'utilise que des cookies strictement nécessaires au fonctionnement du service, qui ne nécessitent pas votre consentement :

session : maintien de votre connexion ;
novstr_locale : langue d'affichage choisie ;
novstr_2fa_device_… : option « se souvenir de cet appareil » de la double authentification, si vous la cochez (30 jours) ;
cookies temporaires de connexion avec Google (sécurité de la connexion, 10 minutes).

La mesure d'audience est réalisée sans cookie ni identifiant persistant (les données restent en mémoire le temps de la visite). Aucun cookie publicitaire ou de réseau social n'est déposé.

13. Âge minimum

NOVSTR est réservé aux personnes âgées de 18 ans ou plus, ce que chaque utilisateur certifie à l'inscription.

14. Modifications

La présente politique peut être mise à jour, notamment en cas de nouveau prestataire ou de nouvelle fonctionnalité. La date de dernière mise à jour figure en haut de page ; en cas de changement important, les utilisateurs en sont informés.