Registre des activités de traitement

Document interne tenu au titre de l'article 30 du RGPD. Il recense les traitements de données personnelles mis en œuvre par Withcam sur la plateforme tools.withcam.fr. À présenter à la CNIL en cas de contrôle, et à tenir à jour à chaque nouveau traitement.

Responsable du traitement: WITHCAM, SARL au capital de 1 000 €
Siège social: 60 rue du Rhône, 01350 Culoz-Béon
Immatriculation: RCS Bourg-en-Bresse 982 537 938 — SIRET 982 537 938 00010
Représentant légal: Théo Di Paolo, gérant
Contact données personnelles: theodp@withcam.fr
Délégué à la protection des données: Non désigné — non obligatoire au regard de l'activité et de la taille de la structure
Hébergement: OVH SAS, datacenter de Strasbourg (France, Union européenne)
Dernière mise à jour: 17 octobre 2026

Écarts connus à la date de mise à jour. Les durées de conservation ci-dessous sont celles annoncées dans la politique de confidentialité, mais leur suppression automatique n'est pas encore implémentée (sauf pour les journaux et l'historique d'inventaire) : elle repose aujourd'hui sur une purge manuelle. Le traitement n° 7 (overlay de chat YouTube) ne dispose pas d'une base légale satisfaisante et doit être restreint ou abandonné.

Organisation des tournages et feuilles de service

Finalité: Convoquer les équipes, recueillir leurs disponibilités et confirmations de présence, diffuser les informations de tournage (lieu, horaires, accès, restauration, consignes d'urgence)
Base légale: Exécution du contrat ou mesures précontractuelles (art. 6.1.b) ; intérêt légitime pour les contacts d'urgence (art. 6.1.f)
Personnes concernées: Membres d'équipe : techniciens, intermittents, prestataires, collaborateurs occasionnels
Données: Nom, prénom, rôle/fonction, numéro de téléphone, adresse e-mail, contact d'urgence, réponses de disponibilité, messages libres adressés à la production
Destinataires: Gérant et personnes habilitées de Withcam ; Resend (acheminement des e-mails)
Transferts hors UE: Resend (États-Unis) — clauses contractuelles types 2021/914 et certification EU-U.S. Data Privacy Framework
Conservation: 3 ans à compter du dernier tournage avec la personne concernée
Information des personnes: Mention dans les e-mails de convocation et sur les pages de réponse, renvoyant à la politique de confidentialité
Sécurité: HTTPS, accès authentifié, jetons de réponse individuels non devinables, limitation du débit des requêtes

Relation client et livraison des prestations

Finalité: Gérer la relation commerciale, livrer les contenus produits (galeries photo, espaces de review vidéo), recueillir les retours et validations
Base légale: Exécution du contrat (art. 6.1.b)
Personnes concernées: Clients et leurs interlocuteurs désignés
Données: Nom du client ou de la structure, adresse e-mail, commentaires, annotations dessinées et demandes de modification déposés sur les espaces de review, adresse e-mail laissée volontairement par le client pour être prévenu des mises à jour d'une vidéo (supprimée à la désinscription, en un clic depuis chaque e-mail, ou avec la review), historique de téléchargement ; lors d'une validation de vidéo par le client : nom saisi, date et heure, version validée, adresse IP et type d'appareil (preuve de la validation en cas de contestation, jamais affichés sur le lien client)
Destinataires: Gérant et personnes habilitées de Withcam ; Google/YouTube lorsqu'un livrable est déposé en vidéo non répertoriée à la demande du client
Transferts hors UE: Google LLC (États-Unis) — EU-U.S. Data Privacy Framework
Conservation: 1 an à compter de la livraison, sauf prolongation demandée par le client ; 10 ans pour les pièces contractuelles et comptables (art. L123-22 Code de commerce)
Information des personnes: Politique de confidentialité liée depuis les pages de galerie et de review
Sécurité: Liens de partage à identifiants aléatoires, HTTPS, limitation du débit sur le dépôt de commentaires

Production audiovisuelle — images de personnes

Finalité: Réaliser, stocker et livrer les photographies et séquences vidéo commandées, incluant l'image de personnes identifiables
Base légale: Exécution du contrat (art. 6.1.b) ; consentement pour le droit à l'image, recueilli séparément au titre de l'article 9 du Code civil
Personnes concernées: Personnes filmées ou photographiées : participants, sportifs, artistes, public, intervenants
Données: Images fixes et animées, nom et prénom lorsqu'ils accompagnent l'image (rosters, habillage à l'antenne, combattants, line-ups), photographies de profil
Destinataires: Client commanditaire ; plateformes de diffusion choisies par le client lors d'un direct (YouTube, Twitch, Kick, Instagram)
Transferts hors UE: Selon les plateformes de diffusion retenues par le client pour la retransmission
Conservation: 1 an après livraison pour les fichiers de travail ; au-delà selon le contrat de prestation
Information des personnes: Par le biais de l'autorisation de droit à l'image — à formaliser systématiquement dans les contrats de prestation
Sécurité: Stockage sur serveur dédié en France, accès authentifié, partage par liens non devinables

Gestion des comptes et des accès

Finalité: Authentifier les utilisateurs, attribuer des droits d'accès différenciés, gérer les comptes invités et leurs quotas de stockage
Base légale: Exécution du contrat (art. 6.1.b) ; intérêt légitime tenant à la sécurité (art. 6.1.f)
Personnes concernées: Gérant, collaborateurs, clients et partenaires disposant d'un accès invité
Données: Identifiant, libellé du compte, empreinte du mot de passe, jeton de session, date d'expiration, pages autorisées, quota de stockage
Destinataires: Gérant uniquement
Transferts hors UE: Aucun
Conservation: Jusqu'à l'expiration du compte, ou au plus tard 3 ans après la dernière connexion
Information des personnes: Politique de confidentialité accessible depuis toutes les pages
Sécurité: Mots de passe jamais stockés en clair (empreinte HMAC-SHA256 — migration vers argon2id recommandée), blocage automatique après 10 échecs, jetons de session aléatoires pour les comptes invités

Sécurité du système d'information

Finalité: Détecter et prévenir les accès non autorisés et les abus, diagnostiquer les incidents, tracer les connexions
Base légale: Intérêt légitime — sécurité du système d'information (art. 6.1.f)
Personnes concernées: Toute personne se connectant à la plateforme ou visitant une page publique
Données: Adresse IP, horodatage, page demandée ; pour les connexions et tentatives de connexion : identifiant saisi, libellé du compte, système d'exploitation et navigateur
Destinataires: Gérant uniquement
Transferts hors UE: Aucun — journaux conservés sur le serveur, en France
Conservation: 6 mois, par purge automatique quotidienne (journaux nginx et journal applicatif journal.jsonl)
Information des personnes: Politique de confidentialité, section « Données collectées »
Sécurité: Consultation réservée au compte admin, jetons d'authentification masqués dans les journaux, purge automatisée

Gestion du matériel et espace École

Finalité: Suivre les sorties et retours de matériel, gérer les listes de tournage et les réservations, mettre à disposition des ressources pédagogiques
Base légale: Intérêt légitime — gestion des actifs de l'entreprise (art. 6.1.f) ; exécution du contrat pour les comptes École
Personnes concernées: Collaborateurs et emprunteurs de matériel, utilisateurs de l'espace École
Données: Libellé du compte emprunteur, historique des emprunts et restitutions, listes de matériel associées à un tournage et à une date
Destinataires: Gérant, administrateur de l'espace École
Transferts hors UE: Aucun
Conservation: 12 mois pour l'historique d'utilisation, par purge automatique
Information des personnes: Politique de confidentialité accessible depuis toutes les pages
Sécurité: Accès authentifié, écriture sur le matériel réservée à l'administrateur

Overlay de chat YouTube — à restreindre

Finalité: Afficher à l'antenne les réactions du chat d'un direct YouTube sous forme d'overlay
Base légale: Aucune base légale satisfaisante : les auteurs des messages ne sont pas informés et n'ont aucun lien contractuel avec Withcam. La collecte s'effectue en outre par extraction automatisée, contraire aux conditions d'utilisation de YouTube.
Personnes concernées: Spectateurs participant au chat d'un direct
Données: Pseudonyme, contenu des messages, emojis
Destinataires: Affichage public à l'antenne pendant la diffusion
Transferts hors UE: Sans objet — lecture depuis YouTube
Conservation: En mémoire pendant la diffusion uniquement, aucun stockage durable
Information des personnes: Absente
Mesure corrective: Limiter l'overlay au décompte agrégé des emojis, sans pseudonyme ni contenu de message — ce qui fait sortir ce traitement du champ des données personnelles

Liens courts, pages bio et mesure d'audience

Finalité: Rediriger les liens courts et afficher les pages bio, mesurer l'audience de façon agrégée, recevoir les messages du formulaire de contact
Base légale: Intérêt légitime — mesure d'audience non intrusive (art. 6.1.f) ; mesures précontractuelles pour le formulaire de contact (art. 6.1.b)
Personnes concernées: Visiteurs des pages publiques et auteurs de messages de contact
Données: Statistiques : système d'exploitation, navigateur, type d'appareil — sans adresse IP. Formulaire : nom, adresse e-mail, message
Destinataires: Gérant uniquement
Transferts hors UE: Aucun
Conservation: Statistiques agrégées : durée de vie du lien. Messages de contact : 3 ans
Information des personnes: Mention affichée sous le formulaire de contact ; liens légaux en pied de chaque page bio
Sécurité: HTTPS, limitation du débit, protection anti-robots sur le formulaire

Questionnaires de satisfaction et témoignages clients

Finalité: Recueillir l'avis des clients après une livraison pour améliorer les prestations ; publier, avec l'accord exprès du client, son témoignage sur le site de Withcam
Base légale: Intérêt légitime — amélioration du service auprès de clients existants (art. 6.1.f) pour l'envoi du questionnaire ; consentement (art. 6.1.a) pour la publication du témoignage, recueilli par une case à cocher distincte et non pré-cochée
Personnes concernées: Clients et interlocuteurs désignés ayant reçu une livraison
Données: Nom, adresse e-mail, intitulé du projet livré, note (1 à 5), probabilité de recommandation (0 à 10), commentaire libre, accord de publication et signature choisie par le client
Destinataires: Gérant de Withcam ; Resend (acheminement de l'e-mail) ; public du site de Withcam pour les seuls témoignages dont la publication a été acceptée (commentaire, note et signature, jamais l'adresse e-mail)
Transferts hors UE: Resend (États-Unis) — clauses contractuelles types 2021/914 et certification EU-U.S. Data Privacy Framework
Conservation: 3 ans à compter de l'envoi du questionnaire, par purge automatique ; un témoignage publié est retiré dès que le client en fait la demande
Information des personnes: Mention dans l'e-mail et sur la page du questionnaire, renvoyant à la politique de confidentialité ; retrait de l'accord possible à tout moment par simple e-mail
Sécurité: Lien personnel à jeton aléatoire de 128 bits, HTTPS, liste des réponses réservée au compte admin

Journal des modifications de la plateforme

Finalité: Tracer les ajouts, modifications et suppressions effectués dans les outils, et permettre d'annuler une erreur de manipulation
Base légale: Intérêt légitime — intégrité et disponibilité des données de l'entreprise (art. 6.1.f)
Personnes concernées: Utilisateurs de la plateforme (auteurs des modifications) ; personnes dont les données figurent dans les éléments modifiés (traitements n° 1, 2, 3 et 6)
Données: Libellé du compte et type d'appareil de l'auteur, horodatage, nature de la modification, copie de l'élément tel qu'il était avant le changement. Exclus par conception : mots de passe, jetons, secrets de double authentification, clés de diffusion
Destinataires: Gérant uniquement
Transferts hors UE: Aucun — conservé sur le serveur, en France
Conservation: 30 jours, par purge automatique quotidienne
Information des personnes: Politique de confidentialité accessible depuis toutes les pages
Sécurité: Consultation et annulation réservées au compte admin

Statistiques de visionnage des reviews vidéo

Finalité: Savoir si le client a ouvert et regardé la vidéo à valider, pour relancer au bon moment
Base légale: Intérêt légitime — suivi de la relation client et des validations (art. 6.1.f)
Personnes concernées: Personnes qui ouvrent un lien de review client
Données: Identifiant aléatoire de visite (sans cookie, régénéré à chaque ouverture), type d'appareil (ordinateur, tablette, téléphone), heures de début et de fin, durée regardée, position atteinte dans la vidéo. Aucune adresse IP, aucun nom
Destinataires: Gérant ; le propriétaire de la review s'il s'agit d'un compte invité
Transferts hors UE: Aucun — conservé sur le serveur, en France
Conservation: 1 an, par purge automatique quotidienne ; supprimées avec la review
Information des personnes: Politique de confidentialité (section 2)
Sécurité: Consultation réservée aux comptes connectés ; les ouvertures internes (lien d'équipe, compte connecté) ne sont pas comptées

Liens de dépôt de fichiers

Finalité: Recevoir les fichiers des clients (logos, musiques, photos, rushes) nécessaires à une production
Base légale: Exécution du contrat ou mesures précontractuelles (art. 6.1.b)
Personnes concernées: Clients qui déposent des fichiers ; personnes éventuellement visibles ou audibles dans ces fichiers
Données: Fichiers déposés, leur nom, leur taille et leur date de réception. Aucun compte ni coordonnée demandés au déposant
Destinataires: Gérant et équipe de production concernée
Transferts hors UE: Aucun — stocké sur le serveur, en France
Conservation: Lien fermé à sa date d'expiration ; envois interrompus effacés après 7 jours. Les fichiers reçus sont supprimés à la main une fois intégrés au projet : penser à vider les dépôts terminés
Information des personnes: Mention et lien vers la politique de confidentialité sur la page de dépôt
Sécurité: Lien à jeton aléatoire de 128 bits, date d'expiration et taille maximale par lien, téléchargement réservé au compte admin