Politique de confidentialité

Dernière mise à jour : 5 octobre 2026

1. Introduction et champ d'application

La présente politique de confidentialité décrit la manière dont NETILUM SARL, société éditrice de la plateforme Affilae, collecte, utilise, conserve et protège les données personnelles dans le cadre de ses activités.

Cette politique s'applique aux sites et services suivants :

https://affilae.com — site vitrine et marketing
https://app.affilae.com — plateforme de gestion d'affiliation

Elle concerne trois catégories de personnes :

Les visiteurs du site affilae.com
Les utilisateurs de la plateforme (annonceurs, affiliés, administrateurs)
Les internautes naviguant sur les sites des annonceurs utilisant la technologie de suivi Affilae

Le traitement des données personnelles est effectué conformément au Règlement Général sur la Protection des Données (RGPD — Règlement UE 2016/679), à la loi française Informatique et Libertés du 6 janvier 1978 modifiée, et à la directive ePrivacy (2002/58/CE).

En cas de divergence entre les versions linguistiques de cette politique, la version française fait foi.

2. Responsable de traitement

NETILUM SARL
9 Rue André Darbon, 33300 Bordeaux, France
SIREN : 750 845 208
SIRET : 750 845 208 00024
RCS Bordeaux

Délégué à la Protection des Données (DPO) :
Email : dpo@affilae.com

Pour le suivi d'affiliation sur les sites des annonceurs (voir section 3.3), NETILUM (Affilae) et l'annonceur concerné agissent en qualité de responsables conjoints du traitement au sens de l'article 26 du RGPD.

3. Données collectées et finalités

3.1 Visiteurs du site marketing (affilae.com)

Données collectées :

Données de navigation : adresse IP, type de navigateur, système d'exploitation, pages visitées, durée de visite, source de trafic (via Google Analytics 4)
Données de formulaires : nom, prénom, adresse email, nom de l'entreprise, message (formulaires de contact et de demande de démonstration)

Finalités :

Analyse statistique de la fréquentation du site
Réponse aux demandes de renseignements et de démonstration
Prospection commerciale (avec consentement)
Amélioration de l'expérience utilisateur

Gestion du consentement :
Le consentement aux cookies sur affilae.com est géré par Complianz, une solution de gestion du consentement (CMP) conforme au RGPD.

3.2 Utilisateurs de la plateforme (app.affilae.com)

Données collectées :

Données d'identification : nom, prénom, adresse email, numéro de téléphone
Données professionnelles : nom de l'entreprise, numéro de TVA intracommunautaire, adresse postale
Données bancaires : IBAN (pour les versements de commissions aux affiliés). Les données de carte bancaire sont traitées exclusivement par Stripe (certifié PCI DSS) ; Affilae ne stocke jamais les numéros de carte complets.
Données d'utilisation : journaux de connexion, actions effectuées sur la plateforme, préférences de paramétrage

Finalités :

Exécution du contrat de service (gestion de compte, suivi des campagnes d'affiliation)
Facturation et gestion des paiements
Calcul et versement des commissions
Communications transactionnelles (emails via MailJet, SMS via Sinch)
Assistance technique et support client
Fonctionnalités assistées par intelligence artificielle : analyse de KPIs de sites web et de données de réseaux sociaux pour faciliter l'intégration des utilisateurs et la configuration de profils et de programmes (pour les affiliés, voir aussi la section 3.4)
Prévention de la fraude et sécurité de la plateforme

Caractère obligatoire des données :
Affilae collecte uniquement les données strictement nécessaires à l'exécution du service, conformément au principe de minimisation des données (Art. 5(1)(c) RGPD). Les données d'identification et professionnelles sont obligatoires pour la création et la gestion du compte. Le non-renseignement de ces données empêche l'accès au service. Les données bancaires (IBAN) sont requises uniquement pour les affiliés souhaitant percevoir leurs commissions.

Mesure d'utilisation et amélioration de Match AI

Lorsque vous utilisez Match AI, Affilae traite des informations relatives à votre utilisation de cette fonctionnalité afin d'en mesurer l'adoption, de comprendre les difficultés rencontrées dans les parcours, d'améliorer la pertinence des recommandations et de surveiller la fiabilité de ses composants techniques et d'intelligence artificielle.

Les données traitées peuvent comprendre des identifiants pseudonymisés d'utilisateur, de compte, de programme ou de profil affilié, votre rôle dans le service, l'utilisation éventuelle d'une prise en main par une personne habilitée d'Affilae, les pages et étapes Match AI consultées, les recherches et catégories de filtres utilisées, les recommandations affichées ou ouvertes, leur rang, les actions engagées et leur statut de réussite ou d'échec, ainsi que des mesures de durée et de performance technique.

Affilae n'envoie pas à son outil de mesure le contenu de vos messages, candidatures ou formulaires, vos prompts ou les réponses générées par l'intelligence artificielle, vos emails, noms ou numéros de téléphone. La première version de cette mesure n'utilise ni rejeu de session, ni heatmap, ni cookie analytique PostHog dans votre navigateur.

Ce traitement est fondé sur l'intérêt légitime d'Affilae à comprendre et améliorer son service, à détecter les points de friction et à assurer la qualité de Match AI. Affilae veille à limiter les données aux informations nécessaires, à pseudonymiser les identifiants transmis et à restreindre l'accès aux personnes habilitées.

Les données sont accessibles aux équipes Affilae habilitées et à PostHog, agissant en qualité de sous-traitant pour la mesure d'utilisation. Le projet PostHog utilisé par Affilae est configuré dans la région européenne. Les données détaillées restent rattachables à un utilisateur ou à un compte pendant une durée maximale de 13 mois. À l'issue de cette durée, la clé de pseudonymisation de la période concernée est définitivement détruite : les données correspondantes deviennent impossibles à relier à un utilisateur ou à un compte, par Affilae comme par son sous-traitant, et Affilae ne les exploite plus que sous forme de statistiques agrégées.

Vous pouvez exercer vos droits d'accès, de rectification, d'effacement, de limitation et d'opposition à ce traitement en contactant dpo@affilae.com. Votre opposition n'affecte pas l'accès aux fonctions essentielles du service, sous réserve des traitements strictement nécessaires à sa sécurité et à son fonctionnement.

3.3 Internautes sur les sites annonceurs (suivi d'affiliation)

Dans le cadre du suivi des conversions d'affiliation, Affilae et l'annonceur agissent en qualité de responsables conjoints du traitement (co-responsables, au sens de l'article 26 du RGPD) des données des internautes visitant le site de l'annonceur. Affilae détermine et opère les moyens techniques du suivi (cookies, empreinte de navigateur, algorithme d'attribution, détection de la fraude) ; l'annonceur détermine la finalité commerciale du programme d'affiliation et recueille le consentement des internautes sur son site.

Conformément à l'article 26(2) du RGPD, les grandes lignes de la répartition des responsabilités sont les suivantes :

L'annonceur informe les internautes (articles 13 et 14 du RGPD) et recueille le consentement au dépôt des cookies de suivi via son bandeau de consentement ;
Affilae conçoit et sécurise le dispositif technique de suivi (protection des données dès la conception, durées de conservation, anonymisation) ;
Les internautes peuvent exercer leurs droits auprès de chacune des deux parties (voir section 10).

Cette répartition est formalisée dans l'accord de co-responsabilité (DPA) conclu entre Affilae et chaque annonceur.

Cookies déposés sur les sites annonceurs :

Cookie	Finalité	Durée	Attributs
`_affilae{PID}`	Stockage des identifiants de clic pour l'attribution des conversions	90 jours	Secure, SameSite=Lax, first-party
`AeFirst{PID}`	Horodatage de la première visite via un lien affilié	90 jours	Secure, SameSite=Lax, first-party

Stockage local (LocalStorage) sur les sites annonceurs :

Clé	Finalité	Durée
`aeEvents{PID}`	Sauvegarde des identifiants de clic (secours si cookies bloqués)	90 jours
`aeSessionTime{PID}`	Horodatage de la session en cours	30 minutes
`aeSessionStart{PID}`	Heure de début de session	30 minutes

{PID} désigne l'identifiant unique du programme d'affiliation de l'annonceur.

Données collectées lors du suivi :

Adresse IP
Agent utilisateur (user agent) et langue du navigateur
URL de la page d'atterrissage et URL de provenance (referrer)
Identifiants de clic et données de conversion (identifiant de transaction, montant, devise, code promotionnel)
Pays déduit de l'adresse IP au moyen d'un service de géolocalisation IP

Empreinte numérique du navigateur (fingerprint) :

Affilae génère une empreinte statistique du navigateur à partir de caractéristiques techniques générales (telles que le type de navigateur, la résolution d'écran ou le fuseau horaire). Cette empreinte est un identifiant statistique qui ne permet pas, à elle seule, d'identifier un individu. Elle est utilisée exclusivement à des fins d'attribution des conversions et de détection de la fraude.

Transmission des données :
Toutes les transmissions s'effectuent exclusivement en HTTPS vers lb.affilae.com, via des requêtes XMLHttpRequest, des pixels images, des iframes ou l'API Beacon.

Consentement :
Conformément à la répartition des responsabilités prévue par l'accord de co-responsabilité, le recueil du consentement pour le dépôt de cookies de suivi d'affiliation relève de l'annonceur, qui met en place un bandeau de consentement conforme sur son propre site.

3.4 Affiliés : Match AI (recommandation de partenaires)

Match AI recommande aux annonceurs des affiliés pertinents pour leurs programmes et, réciproquement, des programmes aux affiliés. Pour cela, Affilae analyse les supports (réseaux sociaux, sites web) que l'affilié déclare dans son profil.

Sources des données : en plus des informations saisies par l'affilié, Affilae collecte des données publiquement accessibles sur les comptes et sites qu'il a déclarés, auprès de prestataires de collecte de données publiques (voir section 7). Lorsque l'affilié connecte volontairement son compte Instagram ou TikTok, Affilae reçoit de ces plateformes les informations autorisées lors de la connexion (notamment identifiant, nom d'utilisateur, photo, biographie, nombre d'abonnés et, pour Instagram, publications récentes et leurs statistiques).

Données collectées : nom et identifiant du compte, biographie, photo de profil, nombre d'abonnés, d'abonnements et de publications, publications récentes (texte, hashtags, images, nombre de mentions « J'aime », de commentaires et de vues), transcriptions de vidéos, page d'accueil du site web, trafic estimé du site.

Données déduites par intelligence artificielle : à partir de ces données, un modèle d'intelligence artificielle produit une description du profil, son positionnement éditorial, le profil de son audience (tranches d'âge, centres d'intérêt), les formats de contenu, le pays principal, un taux d'engagement et le genre présumé de la personne derrière le compte, déduit des informations de son profil. L'affilié peut modifier ces informations depuis son profil.

Finalités : contrôle de la qualité et de l'authenticité des profils avant leur mise en visibilité, recommandation d'affiliés aux annonceurs et de programmes aux affiliés, explication des recommandations, suivi de l'évolution de l'audience.

Destinataires : les annonceurs utilisant Match AI voient notamment le nom du profil, sa description, son audience, ses liens publics, son nombre d'abonnés, son taux d'engagement, son genre présumé, son trafic et l'historique de ces indicateurs sur 12 mois. Match AI ne leur communique pas les coordonnées personnelles de l'affilié (email, téléphone, adresse).

Absence de décision automatisée : les scores et classements produits par Match AI sont des recommandations. Aucune décision produisant des effets juridiques ou affectant l'affilié de manière significative n'est prise sur leur seul fondement : l'annonceur reste libre de proposer ou non un partenariat, et l'affilié de l'accepter (art. 22 RGPD).

Base juridique et opposition : ce traitement est fondé sur l'intérêt légitime d'Affilae et de ses annonceurs à mettre en relation les annonceurs et les affiliés de la plateforme (art. 6(1)(f) RGPD). L'affilié peut à tout moment s'opposer à l'apparition de ses profils dans Match AI en écrivant à dpo@affilae.com ; ses profils sont alors retirés des recommandations.

4. Cookies et technologies de suivi

4.1 Cookies sur affilae.com

Cookie	Émetteur	Finalité	Durée	Type
`_ga`	Google Analytics 4	Distinction des utilisateurs	14 mois	Analytics
`_ga_*`	Google Analytics 4	Maintien de l'état de session	14 mois	Analytics
Cookies Complianz	Complianz	Enregistrement des choix de consentement	12 mois	Fonctionnel

4.2 Cookies sur les sites annonceurs

Voir le détail en section 3.3 ci-dessus.

4.3 Gestion des cookies

Sur affilae.com : vous pouvez gérer vos préférences de cookies à tout moment via le bandeau de consentement Complianz ou les paramètres de votre navigateur.

Sur les sites annonceurs : la gestion du consentement relève de l'annonceur concerné. Vous pouvez également configurer votre navigateur pour refuser ou supprimer les cookies.

5. Bases juridiques des traitements

Traitement	Base juridique	Article RGPD
Cookies analytiques (affilae.com)	Consentement	Art. 6(1)(a)
Cookies de suivi sur sites annonceurs	Consentement (géré par l'annonceur)	Art. 6(1)(a)
Gestion des comptes utilisateurs	Exécution du contrat	Art. 6(1)(b)
Facturation et paiements	Exécution du contrat + Obligation légale	Art. 6(1)(b) + (c)
Communications transactionnelles	Exécution du contrat	Art. 6(1)(b)
Prospection commerciale	Consentement	Art. 6(1)(a)
Sécurité et prévention de la fraude	Intérêt légitime (protection de la plateforme et des utilisateurs contre les activités frauduleuses)	Art. 6(1)(f)
Conservation des données fiscales	Obligation légale	Art. 6(1)(c)
Fonctionnalités d'intelligence artificielle d'aide à l'intégration et à la configuration	Exécution du contrat	Art. 6(1)(b)
Match AI : analyse des profils affiliés et recommandation aux annonceurs	Intérêt légitime (mise en relation des annonceurs et des affiliés de la plateforme), avec droit d'opposition	Art. 6(1)(f)
Mesure d'utilisation de Match AI	Intérêt légitime (comprendre et améliorer la fonctionnalité, détecter les points de friction, fiabiliser ses composants IA)	Art. 6(1)(f)

6. Durées de conservation

Type de données	Durée de conservation	Justification
Données de suivi (clics, conversions)	25 mois, puis anonymisation	DPA / politique interne
Données de compte (utilisateurs actifs)	Durée du contrat	Nécessité contractuelle
Données de compte (affiliés inactifs)	6 mois d'inactivité + préavis de 30 jours avant suppression	Politique interne
Données de compte (annonceurs inactifs)	6 ans après résiliation	Politique interne
Données de facturation	10 ans	Code de commerce français
Données analytiques (GA4)	14 mois	Configuration GA4
Cookies de suivi	90 jours	Conforme à la recommandation CNIL (≤ 13 mois)
Données Match AI du profil affilié (données publiques collectées, données reçues d'Instagram ou de TikTok, informations déduites)	Pendant l'utilisation de la plateforme par l'affilié ; retirées de Match AI à la clôture du compte ou du profil, ou sur opposition ; suppression sur demande à dpo@affilae.com	Intérêt légitime / autorisation de l'affilié
Réponses brutes du prestataire de collecte de données publiques de réseaux sociaux (ScrapeCreators)	31 jours maximum chez le prestataire	Accord de sous-traitance
Explications de recommandation générées par IA	7 jours	Nécessité technique
Données d'utilisation Match AI (pseudonymisées, PostHog)	13 mois, puis destruction de la clé de pseudonymisation (données définitivement non rattachables, exploitation en agrégats uniquement)	Repère CNIL mesure d'audience

Processus d'anonymisation

À l'expiration de la durée de conservation des données de suivi, les données permettant d'identifier une personne (adresses IP, URLs visitées et referrers, agents utilisateurs, identifiants de transaction et de client) sont anonymisées afin de ne plus pouvoir être rattachées à une personne. Seules des informations génériques, comme le domaine d'origine ou le type d'appareil, sont conservées.

7. Sous-traitants et services tiers

7.1 Sous-traitants basés dans l'Union européenne

Sous-traitant	Service	Localisation
Google Cloud Platform (GCP)	Hébergement, calcul, stockage	Belgique, France
Amazon Web Services (AWS S3)	Stockage de fichiers	Irlande
MongoDB Cloud Manager	Gestion de base de données	UE
OVH	DNS, hébergement	France
MailJet	Emails transactionnels	France
VATLayer	Validation de numéros de TVA	UE
Sinch	Communications SMS	Suède
MongoDB Atlas	Base de données hébergée	UE
PostHog (Cloud EU)	Mesure d'utilisation produit	Allemagne (Francfort)
Pennylane	Comptabilité (clients, fournisseurs, factures)	Irlande
Trustfull	Prévention de la fraude à l'inscription (vérification d'email et de téléphone)	UE

7.2 Sous-traitants hors Union européenne

Sous-traitant	Service	Localisation	Mécanisme de transfert
Stripe	Traitement des paiements	États-Unis	Clauses Contractuelles Types (CCT)
Sentry	Surveillance des erreurs	États-Unis	CCT
ipdata.co	Géolocalisation IP	États-Unis	CCT
Abstract API	Validation IBAN et TVA	États-Unis	CCT
OpenAI	Traitement par intelligence artificielle	États-Unis	CCT
Anthropic	Traitement par intelligence artificielle	États-Unis	CCT
Google Workspace	Communications internes	États-Unis	CCT
Google Analytics 4	Analyse web	États-Unis	CCT
ClickUp	Gestion de projet	États-Unis	CCT
HubSpot	CRM et marketing	États-Unis	CCT
Cerebras	Traitement par intelligence artificielle (analyse des profils et des sites web, y compris les images ; explications Match AI)	États-Unis	CCT
ScrapeCreators (Web Scraping Guy LLC)	Collecte de données publiques de réseaux sociaux (Match AI)	États-Unis	CCT
MongoDB, Inc. (Voyage AI)	Représentations vectorielles et classement des recommandations (Match AI)	États-Unis	CCT
Freshworks (Freshdesk)	Support client (tickets)	États-Unis	Data Privacy Framework UE-États-Unis, CCT
Expo (650 Industries)	Notifications mobiles	États-Unis	Data Privacy Framework UE-États-Unis, CCT
Tax ID Pro (Balancer Services LLC)	Vérification des numéros d'identification fiscale	États-Unis	CCT
SimilarWeb	Analyse de trafic web	Israël	Décision d'adéquation UE
BrightData	Services de données (collecte de pages web et de données publiques de réseaux sociaux)	Israël	Décision d'adéquation UE

7.3 Destinataires agissant en qualité de responsables de traitement

Ces prestataires reçoivent des données personnelles pour les besoins du service, mais les traitent pour leur propre compte, en qualité de responsables de traitement (ou de co-responsables) au titre de leurs propres obligations. Leurs politiques de confidentialité s'appliquent.

Destinataire	Service	Localisation	Mécanisme de transfert
Wise Europe SA	Versement des commissions aux affiliés	Belgique ; traitements possibles hors UE	Décision d'adéquation UE, CCT
Universign (Cryptolog International)	Signature électronique des contrats	UE	CCT (envoi des codes de vérification par SMS)
Google Maps Platform (Google Ireland Limited)	Vérification des adresses postales	Irlande ; traitements possibles aux États-Unis	Data Privacy Framework UE-États-Unis, CCT

Meta (Instagram) et TikTok ne sont pas des sous-traitants d'Affilae : ce sont des sources de données, utilisées lorsque l'affilié connecte son compte (voir section 3.4).

8. Transferts internationaux de données

L'infrastructure principale d'Affilae est hébergée au sein de l'Union européenne :

Google Cloud Platform : centres de données en Belgique et en France
OVH : centres de données en France
Amazon Web Services : centre de données en Irlande

Pour les sous-traitants et destinataires situés aux États-Unis, les transferts de données sont encadrés par les Clauses Contractuelles Types (CCT) adoptées par la Commission européenne et, pour les sociétés certifiées, par le Data Privacy Framework UE-États-Unis (décision d'adéquation du 10 juillet 2023), conformément aux exigences post-Schrems II. Des mesures supplémentaires sont mises en œuvre lorsque nécessaire (chiffrement, pseudonymisation).

Pour Israël, les transferts sont couverts par la décision d'adéquation de la Commission européenne (Décision 2011/61/UE).

9. Sécurité des données

Affilae met en œuvre des mesures techniques et organisationnelles appropriées au regard des risques pour protéger les données personnelles contre la perte, l'accès non autorisé, la divulgation ou l'altération, notamment :

Chiffrement : des communications (TLS) et des données stockées
Contrôle d'accès : accès aux données limité au personnel habilité
Authentification : authentification multi-facteurs (MFA) disponible sur la plateforme ; les mots de passe ne sont jamais stockés en clair
Sauvegardes : sauvegardes régulières et automatisées
Surveillance : détection des erreurs et des anomalies
Sensibilisation : le personnel est sensibilisé aux obligations en matière de protection des données

Pour des raisons de sécurité, le détail de ces mesures n'est pas publié. Il peut être communiqué à nos clients dans le cadre de l'accord de traitement des données (DPA).

10. Droits des personnes

Conformément au RGPD, vous disposez des droits suivants :

Droit	Description	Article RGPD
Accès	Obtenir la confirmation et une copie de vos données personnelles	Art. 15
Rectification	Corriger vos données inexactes ou incomplètes	Art. 16
Effacement	Demander la suppression de vos données	Art. 17
Limitation	Limiter le traitement de vos données	Art. 18
Portabilité	Recevoir vos données dans un format structuré et lisible	Art. 20
Opposition	Vous opposer au traitement de vos données	Art. 21
Retrait du consentement	Retirer votre consentement à tout moment	Art. 7(3)

Comment exercer vos droits

Adressez votre demande par email à dpo@affilae.com, en joignant un justificatif d'identité. Nous nous engageons à répondre dans un délai d'un mois. Ce délai peut être prolongé de deux mois en cas de demande complexe ou de nombre élevé de demandes, auquel cas vous en serez informé.

Match AI

L'affilié peut corriger à tout moment, depuis son profil, les informations déduites par intelligence artificielle, y compris son genre présumé. Il peut s'opposer à l'apparition de ses profils dans Match AI en écrivant à dpo@affilae.com.

Cas particulier : internautes suivis sur les sites annonceurs

Pour les données collectées via le suivi d'affiliation sur les sites annonceurs, Affilae et l'annonceur agissent en qualité de responsables conjoints du traitement. Conformément à l'article 26(3) du RGPD, vous pouvez exercer vos droits auprès de chacun d'eux : directement auprès d'Affilae (dpo@affilae.com) ou auprès de l'annonceur concerné. Les deux parties coopèrent pour traiter votre demande, conformément à l'accord de co-responsabilité qui les lie.

Réclamation auprès de la CNIL

Vous avez le droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :

Site web : www.cnil.fr
Adresse : 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07

11. Protection des mineurs

Les services d'Affilae ne sont pas destinés aux personnes âgées de moins de 16 ans. Nous ne collectons pas sciemment de données personnelles concernant des mineurs. Si nous découvrons qu'un mineur nous a communiqué des données personnelles, nous prendrons les mesures nécessaires pour les supprimer dans les meilleurs délais.

12. Modifications de la politique

Affilae se réserve le droit de modifier la présente politique de confidentialité à tout moment. En cas de modification substantielle, les utilisateurs de la plateforme seront informés par email ou par notification sur la plateforme.

La date de dernière mise à jour est indiquée en haut du présent document. L'utilisation continue de nos services après modification vaut acceptation de la politique révisée.