Privacy Policy

Effective 22 octobre 2026

This policy is generated from our register of processing activities, which is kept in French: the headings are translated, the entries below are shown in French, and the French version prevails. Read the French version.

1. Controller and roles

Le site soldum.fr, le logiciel app.soldum.fr, l'assistant WhatsApp, les pages publiques à lien (signature, feuille de service, heures, coffre-fort, dépôt de facture) et le formulaire /mes-droits.

•Controller: Soldum, contact@soldum.fr
•Data protection officer: Pas de délégué à la protection des données désigné : les demandes vont à contact@soldum.fr, lues par l'équipe dirigeante.
•Responsable de traitement: Pour les données de ses utilisateurs : comptes, abonnements, usage du service, relation commerciale, mesure d'audience, sécurité.
•Sous-traitant de la production: Pour les données qu'une production saisit ou fait saisir sur ses films : équipe, comédiens, contrats, fiches de renseignements, heures, paie, DPAE, coffre-fort, comptabilité, feuilles de service. La production est responsable de traitement ; Soldum ne traite ces données que pour lui rendre le service, sur ses instructions.

2. Where the data is

Item	Provider	Region	Details
Serveur de l'application (API)	Amazon Web Services, Lightsail	Paris, France (eu-west-3)	Instance Lightsail derrière Caddy (HTTPS), déployée depuis GitHub Actions.
Base de données PostgreSQL	Amazon Web Services, Lightsail Managed Database	Paris, France (eu-west-3)	Base managée ; le NIR, l'IBAN, les fiches de renseignements et les accusés de DPAE y sont chiffrés en colonne (AES-256-GCM), clés hors de la base.
Fichiers (pièces comptables, coffre-fort du salarié)	Amazon Web Services, S3	Paris, France (eu-west-3)	Bucket privé, chiffrement côté serveur (AES-256), versionnage, HTTPS obligatoire ; un fichier ne sort que par un lien signé de 5 minutes.
Site web et interface du logiciel	Vercel	Réseau mondial de Vercel (société établie aux États-Unis)	Sert les pages et relaie les appels du navigateur vers l'API ; ne stocke pas les données des projets.

3. Processing activities and retention periods

Comptes utilisateurs

•Purpose: Créer et gérer les comptes, authentifier, inviter dans un projet ou une organisation, notifier.
•Legal basis: Exécution du contrat (RGPD, art. 6.1.b)
•Soldum's role: Responsable de traitement
•Data: Nom, adresse e-mail, mot de passe (empreinte), téléphone ; Connexion Google si vous la choisissez ; Dates de connexion, sessions, préférences ; Provenance de l'inscription (campagne, appareil)
•Data subjects: Utilisateurs du logiciel ; Personnes invitées
•Processors: Amazon Web Services ; Vercel ; Google ; Resend ; Telegram

Data	Retention	Starting from	Legal text
Compte et profil	Tant que le compte est actif	l'ouverture du compte	Exécution du contrat
Avertissement avant suppression	À 22 mois sans connexion, 30 jours au moins avant la suppression	la dernière connexion
Compte sans connexion	2 ans, après un avertissement par e-mail	la dernière connexion	Recommandation de la CNIL sur les comptes inactifs
Compte supprimé	Anonymisé tout de suite ; effacé à l'échéance de ce que la loi oblige à garder	la demande de suppression

Préparation et suivi des films

•Purpose: Fournir le logiciel : scénario, dépouillement, découpage, devis, plan de travail, financement, documents, livrables.
•Legal basis: Exécution du contrat (RGPD, art. 6.1.b)
•Soldum's role: Sous-traitant de la production
•Data: Scénarios et documents déposés ; Noms des personnes citées dans le projet ; Décors et adresses de tournage ; Commentaires et historique des modifications
•Data subjects: Utilisateurs ; Personnes citées dans les projets
•Processors: Amazon Web Services ; Vercel ; Anthropic ; OpenRouteService et OpenStreetMap ; OpenWeather

Data	Retention	Starting from	Legal text
Projets et leur contenu	Tant que le projet existe ; supprimés avec lui ou avec le compte	la création du projet

Engagements et contrats de travail

•Purpose: Engager l'équipe et les comédiens d'un film : carnet d'adresses, postes, contrats, société employeuse.
•Legal basis: Exécution du contrat (RGPD, art. 6.1.b) ; Obligation légale (RGPD, art. 6.1.c)
•Soldum's role: Sous-traitant de la production
•Data: Identité, coordonnées, fonction ; Rémunération et conditions d'engagement ; Société employeuse et signataire
•Data subjects: Techniciens ; Comédiens ; Contacts des productions
•Processors: Amazon Web Services ; Resend

Data	Retention	Starting from	Legal text
Contrats, avenants, engagements	5 ans après la fin du contrat	la fin du contrat	Code du travail, L3243-4 ; code civil, art. 2224

Signature électronique des contrats

•Purpose: Faire signer et contre-signer un contrat, et en garder la preuve.
•Legal basis: Exécution du contrat (RGPD, art. 6.1.b) ; Obligation légale (RGPD, art. 6.1.c)
•Soldum's role: Sous-traitant de la production
•Data: Nom saisi, adresse e-mail ; Adresse IP et navigateur du signataire ; Empreinte du document signé, certificat de preuve ; NIR et IBAN saisis au contrat (chiffrés)
•Data subjects: Salariés signataires ; Représentants de la production
•Processors: Amazon Web Services ; Resend

Data	Retention	Starting from	Legal text
Preuves de signature	Aussi longtemps que le contrat signé, 5 ans au moins après sa fin	la fin du contrat	Code civil, art. 1367

Fiche de renseignements du salarié

•Purpose: Recueillir ce que la DPAE, le registre unique du personnel et la paie demandent.
•Legal basis: Obligation légale (RGPD, art. 6.1.c)
•Soldum's role: Sous-traitant de la production
•Data: Identité, date et lieu de naissance, nationalité, adresse ; NIR, IBAN, numéro Congés Spectacles (chiffrés) ; Personne à prévenir ; Pièces : identité, carte Vitale, RIB, titre de travail, diplômes (chiffrées)
•Data subjects: Salariés : techniciens et comédiens
•Processors: Amazon Web Services

Data	Retention	Starting from	Legal text
Fiche de renseignements, sans accord de réutilisation	3 mois	la fin du dernier contrat avec la société, ou la dernière mise à jour	Référentiel de la CNIL sur la gestion du personnel
Fiche de renseignements, avec accord de réutilisation	2 ans	la fin du dernier contrat avec la société, ou la dernière mise à jour	Référentiel de la CNIL sur la gestion du personnel

Heures et paie

•Purpose: Saisir, valider et décompter les heures ; calculer les éléments de paie ; les exporter vers le prestataire de paie de la production.
•Legal basis: Obligation légale (RGPD, art. 6.1.c) ; Exécution du contrat (RGPD, art. 6.1.b)
•Soldum's role: Sous-traitant de la production
•Data: Journées de travail, pauses, trajets, pointages ; Éléments de paie, primes, bulletins importés, bulletins émis par Soldum
•Data subjects: Salariés : techniciens et comédiens
•Processors: Amazon Web Services ; Meta, API WhatsApp Business ; Resend

Data	Retention	Starting from	Legal text
Relevés d'heures	1 an au moins ; gardés avec le projet	la fin de la semaine	Code du travail, D3171-16
Double des bulletins de paie (production)	5 ans	la période de paie	Code du travail, L3243-4
Déclarations sociales (DSN)	Aucune DSN déposée par Soldum à ce jour	le dépôt

Coffre-fort du salarié

•Purpose: Remettre au salarié les documents de son emploi et les lui garder accessibles.
•Legal basis: Obligation légale (RGPD, art. 6.1.c)
•Soldum's role: Sous-traitant de la production
•Data: Adresse e-mail, nom, téléphone, date de naissance si connue ; Contrats, bulletins, relevés, attestations (fichiers chiffrés) ; Journal des téléchargements
•Data subjects: Salariés ; Agents des comédiens
•Processors: Amazon Web Services ; Resend ; Meta, API WhatsApp Business

Data	Retention	Starting from	Legal text
Bulletin de paie	50 ans, ou jusqu'aux 75 ans du salarié si c'est plus tard	la fin de la période de paie	Code du travail, D3243-8
Contrat, avenant, attestation employeur, attestation fiscale, certificat Congés Spectacles	5 ans	la fin de la période couverte, sinon le dépôt	Code du travail, L3243-4
Relevé d'heures	3 ans	la fin de la semaine	Code du travail, D3171-16 et L3245-1
Autre document	2 ans	le dépôt

Déclaration préalable à l'embauche (DPAE)

•Purpose: Préparer la DPAE de chaque embauche et garder ce qui a été déclaré.
•Legal basis: Obligation légale (RGPD, art. 6.1.c)
•Soldum's role: Sous-traitant de la production
•Data: Identité, NIR, date et lieu de naissance ; Date et heure d'embauche, nature du contrat ; Accusé de réception de l'Urssaf (chiffré)
•Data subjects: Salariés
•Processors: Amazon Web Services

Data	Retention	Starting from	Legal text
DPAE et son accusé de réception	5 ans ; gardés avec le projet	l'embauche	Code du travail, R1221-1 et suivants ; prescription de 5 ans

Candidatures, casting et annuaire

•Purpose: Proposer et choisir des comédiens et des techniciens ; tenir l'annuaire des techniciens.
•Legal basis: Intérêt légitime (RGPD, art. 6.1.f) ; Consentement (RGPD, art. 6.1.a) pour les coordonnées visibles dans l'annuaire
•Soldum's role: Sous-traitant de la production ; Responsable de traitement pour l'annuaire
•Data: Nom, âge, caractéristiques artistiques, photo ; Coordonnées et agent ; Sources publiques : TMDB, Wikidata, IMDb, casting.fr, sites des agences ; Profil technicien : poste, expérience, formation, photo
•Data subjects: Comédiens ; Techniciens ; Agents
•Processors: Amazon Web Services ; TMDB ; Apify ; Tavily, Brave Search et DuckDuckGo ; Anthropic

Data	Retention	Starting from	Legal text
Comédiens et techniciens proposés, non retenus	2 ans	la proposition	Recommandation de la CNIL sur les candidats non retenus
Profil de l'annuaire des techniciens	Tant que le compte existe ; retiré à tout moment par son titulaire	la création du profil

Feuilles de service et planning

•Purpose: Convoquer l'équipe, diffuser la feuille du jour et ses mises à jour.
•Legal basis: Exécution du contrat (RGPD, art. 6.1.b)
•Soldum's role: Sous-traitant de la production
•Data: Nom, téléphone, adresse e-mail, rôle ; Horaires de convocation ; Liens d'accès personnels
•Data subjects: Équipe et comédiens du film
•Processors: Amazon Web Services ; Resend ; Meta, API WhatsApp Business ; OpenRouteService et OpenStreetMap

Data	Retention	Starting from	Legal text
Feuilles de service, destinataires, liens	Tant que le projet existe	la création du projet

Messagerie, e-mails et WhatsApp

•Purpose: Faire échanger l'équipe, envoyer les e-mails du service, recevoir et traiter les messages WhatsApp.
•Legal basis: Exécution du contrat (RGPD, art. 6.1.b) ; Consentement (RGPD, art. 6.1.a) pour WhatsApp
•Soldum's role: Responsable de traitement
•Data: Messages, vocaux et pièces jointes ; Numéro WhatsApp ; Adresse e-mail, envois et désinscriptions
•Data subjects: Utilisateurs ; Destinataires des e-mails
•Processors: Amazon Web Services ; Meta, API WhatsApp Business ; Resend ; Groq

Data	Retention	Starting from
Conversations, messages d'équipe, notifications	Tant que le compte ou le projet existe	le message
Messages WhatsApp reçus (file de traitement)	1 mois	la réception
Historique des e-mails envoyés et désinscriptions	Tant que le compte existe ; supprimés avec lui	l'envoi

Assistant et intelligence artificielle

•Purpose: Dépouiller, chiffrer, planifier, répondre aux questions et agir dans le projet à la demande de l'utilisateur ; lire les pièces comptables.
•Legal basis: Exécution du contrat (RGPD, art. 6.1.b)
•Soldum's role: Sous-traitant de la production
•Data: Messages à l'assistant, extraits de scénario, contexte du projet ; Documents et photos joints ; Corrections apportées aux réponses
•Data subjects: Utilisateurs ; Personnes citées dans les projets
•Processors: Amazon Web Services ; Anthropic ; Groq ; Tavily, Brave Search et DuckDuckGo

Data	Retention	Starting from	Legal text
Conversations avec l'assistant et corrections	Tant que le compte ou le projet existe	la conversation

Comptabilité de production

•Purpose: Tenir la comptabilité du film : pièces, notes de frais, avances, paiements, banque, clôtures ; suivre les frais de structure de la société.
•Legal basis: Obligation légale (RGPD, art. 6.1.c)
•Soldum's role: Sous-traitant de la production
•Data: Fournisseurs et salariés payés : nom, adresse, IBAN (chiffré) ; Notes de frais et justificatifs ; Indemnités kilométriques : trajets (adresses chiffrées), véhicules (immatriculation chiffrée), kilomètres ; Mouvements bancaires ; Frais de structure de la société : libellé (un salarié permanent peut y être nommé), montant mensuel
•Data subjects: Fournisseurs ; Salariés ; Membres de la production
•Processors: Amazon Web Services ; Qonto ; Resend ; Anthropic ; OpenRouteService et OpenStreetMap

Data	Retention	Starting from	Legal text
Pièces et écritures comptables	10 ans	la clôture de l'exercice	Code de commerce, L123-22

Fournisseurs et logistique

•Purpose: Trouver des fournisseurs, leur demander des devis, organiser l'hébergement de l'équipe.
•Legal basis: Exécution du contrat (RGPD, art. 6.1.b)
•Soldum's role: Sous-traitant de la production
•Data: Contacts des fournisseurs ; Demandes et devis échangés
•Data subjects: Fournisseurs
•Processors: Amazon Web Services ; Resend ; Tavily, Brave Search et DuckDuckGo ; LiteAPI et RapidAPI ; OpenRouteService et OpenStreetMap

Data	Retention	Starting from	Legal text
Projets et leur contenu	Tant que le projet existe ; supprimés avec lui ou avec le compte	la création du projet

Abonnement et facturation

•Purpose: Vendre et facturer les abonnements, accorder la remise étudiante et les licences.
•Legal basis: Exécution du contrat (RGPD, art. 6.1.b) ; Obligation légale (RGPD, art. 6.1.c) pour les factures
•Soldum's role: Responsable de traitement
•Data: Offre, statut de l'abonnement, identifiants Stripe ; Statut étudiant et établissement
•Data subjects: Clients
•Processors: Stripe ; Studid ; Telegram

Data	Retention	Starting from	Legal text
Compte et profil	Tant que le compte est actif	l'ouverture du compte	Exécution du contrat
Factures d'abonnement	10 ans, chez Stripe	la facture	Code de commerce, L123-22

Mesure d'audience et publicité

•Purpose: Mesurer l'usage du site et du logiciel pour l'améliorer ; mesurer nos publicités, avec votre accord.
•Legal basis: Intérêt légitime (RGPD, art. 6.1.f) pour la mesure d'usage ; Consentement (RGPD, art. 6.1.a) pour la publicité
•Soldum's role: Responsable de traitement
•Data: Identifiant de compte, nom, offre, actions réalisées ; Provenance de la visite (campagne, site d'origine) ; Cookies Meta et données hachées, avec votre accord
•Data subjects: Visiteurs du site ; Utilisateurs
•Processors: PostHog ; Vercel ; Meta, pixel et API Conversions ; Sentry

Data	Retention	Starting from	Legal text
Événements d'usage	Tant que le compte existe ; anonymisés à sa suppression	l'événement

Relation commerciale et réseaux sociaux

•Purpose: Répondre aux demandes, suivre les prospects et les clients, organiser les rendez-vous, répondre sur nos réseaux sociaux.
•Legal basis: Intérêt légitime (RGPD, art. 6.1.f) ; mesures précontractuelles prises à votre demande (art. 6.1.b)
•Soldum's role: Responsable de traitement
•Data: Nom, société, adresse e-mail, téléphone ; Échanges, notes, rendez-vous et transcriptions des appels ; Nom public et commentaires laissés sur nos réseaux
•Data subjects: Prospects ; Clients ; Personnes qui interagissent avec nos comptes
•Processors: Anthropic ; Groq ; Cal.com ; OVHcloud ; ClickUp ; Telegram ; Meta, Instagram et Facebook ; ManyChat ; Google ; TikTok

Data	Retention	Starting from	Legal text
Fiches de suivi commercial et transcriptions d'appels, rendez-vous, échanges sur nos réseaux	Tant que la relation est active ; effacées sur demande	le dernier échange
Liens demandés en commentaire sur Instagram	12 mois après le dernier échange, dans ManyChat	le dernier échange

Journaux de sécurité et d'audit

•Purpose: Tracer les actions sensibles et les ouvertures des liens publics ; prévenir les abus.
•Legal basis: Intérêt légitime (RGPD, art. 6.1.f) ; Obligation légale (RGPD, art. 6.1.c)
•Soldum's role: Responsable de traitement
•Data: Auteur, action et date ; Adresse IP et navigateur à l'ouverture d'un lien public
•Data subjects: Utilisateurs ; Personnes qui ouvrent un lien public
•Processors: Amazon Web Services

Data	Retention	Starting from	Legal text
Journal des ouvertures des liens publics (IP, navigateur)	12 mois	l'ouverture	Recommandation de la CNIL sur la journalisation
Journal d'audit des actions sensibles	5 ans	l'action	Prescription de droit commun

Exercice des droits

•Purpose: Recevoir et traiter les demandes d'accès, de rectification, d'effacement, d'opposition, de limitation et de portabilité ; garder la trace de ce qu'une suppression a dû conserver.
•Legal basis: Obligation légale (RGPD, art. 6.1.c)
•Soldum's role: Responsable de traitement
•Data: Nom, adresse e-mail, demande et réponse
•Data subjects: Toute personne qui exerce ses droits
•Processors: Amazon Web Services ; Resend

Data	Retention	Starting from	Legal text
Demandes d'exercice des droits et leur réponse	5 ans après la réponse	la réponse	Preuve du traitement de la demande, prescription de droit commun
Trace de ce qu'une suppression a dû garder	Jusqu'à l'échéance de la donnée gardée, puis avec le journal d'audit	la suppression du compte

4. Processors and countries

Provider	Service	Data shared	Country	Safeguards
Amazon Web Services Amazon Web Services EMEA SARL	Hébergement du serveur, de la base et des fichiers ; modèles d'IA Claude par Amazon Bedrock	Toutes les données du service. Pour l'IA : extraits de scénario, contexte du projet, messages, documents et photos joints, pièces comptables.	France (Paris, eu-west-3) ; Bedrock en profils d'inférence de l'Union européenne	Données traitées dans l'Union européenne
Vercel Vercel Inc.	Hébergement du site et de l'interface ; statistiques de visite agrégées (Vercel Analytics, Speed Insights)	Adresse IP et navigateur des visiteurs, requêtes relayées vers l'API.	États-Unis (réseau mondial)	Clauses contractuelles types de la Commission européenne, ou certification au Data Privacy Framework UE-États-Unis, selon le prestataire
Anthropic Anthropic PBC	Modèles d'IA Claude par l'API directe, selon notre configuration ; assistant du suivi commercial de l'équipe Soldum	Mêmes contenus que pour Amazon Bedrock quand la configuration l'utilise ; notes, vocaux et appels transcrits du suivi commercial, commentaires publics sous nos vidéos.	États-Unis (inférence non garantie dans l'Union européenne)	Clauses contractuelles types de la Commission européenne, ou certification au Data Privacy Framework UE-États-Unis, selon le prestataire
Groq Groq Inc.	Transcription des messages vocaux (Whisper)	Enregistrements audio : vocaux de l'assistant, de WhatsApp et de la messagerie d'équipe.	États-Unis	Clauses contractuelles types de la Commission européenne, ou certification au Data Privacy Framework UE-États-Unis, selon le prestataire
Resend Resend	Envoi et réception des e-mails (invitations, liens de signature, avis du coffre, demandes de devis, factures reçues)	Adresse e-mail, nom et contenu des messages ; factures reçues par e-mail.	États-Unis	Clauses contractuelles types de la Commission européenne, ou certification au Data Privacy Framework UE-États-Unis, selon le prestataire
Meta, API WhatsApp Business Meta Platforms Ireland Ltd	Assistant WhatsApp, récapitulatifs, feuilles de service, relances d'heures, avis du coffre-fort	Numéro de téléphone, contenu des messages, vocaux.	Irlande et États-Unis	Clauses contractuelles types de la Commission européenne, ou certification au Data Privacy Framework UE-États-Unis, selon le prestataire
Meta, pixel et API Conversions Meta Platforms Ireland Ltd	Mesure des publicités, seulement avec votre accord	Pages vues et inscription ; adresse e-mail, téléphone et identifiant de compte hachés, cookies _fbp et _fbc, navigateur. Pas d'adresse IP depuis nos serveurs.	Irlande et États-Unis	Clauses contractuelles types de la Commission européenne, ou certification au Data Privacy Framework UE-États-Unis, selon le prestataire
Meta, Instagram et Facebook Meta Platforms Ireland Ltd	Statistiques et commentaires des comptes Soldum, messages privés Instagram	Nom public et commentaires des personnes qui interagissent avec nos comptes.	Irlande et États-Unis	Clauses contractuelles types de la Commission européenne, ou certification au Data Privacy Framework UE-États-Unis, selon le prestataire
ManyChat Manychat Inc.	Réponse automatique aux mots-clés commentés sous nos publications Instagram	Nom et identifiant Instagram, photo de profil publique, commentaire, messages échangés.	États-Unis	Certification au Data Privacy Framework UE-États-Unis, à défaut clauses contractuelles types
Google Google Ireland Ltd	Connexion avec un compte Google ; statistiques et commentaires de nos vidéos YouTube	Jeton d'identité (adresse e-mail, identifiant) si vous choisissez la connexion Google ; nom public et texte des commentaires sous nos vidéos.	Irlande et États-Unis	Clauses contractuelles types de la Commission européenne, ou certification au Data Privacy Framework UE-États-Unis, selon le prestataire
TikTok TikTok Technology Ltd	Statistiques et commentaires du compte TikTok de Soldum	Nom public et commentaires des personnes qui interagissent avec notre compte.	Irlande et hors Union européenne	Clauses contractuelles types de la Commission européenne, ou certification au Data Privacy Framework UE-États-Unis, selon le prestataire
Stripe Stripe Payments Europe Ltd	Paiement des abonnements et factures	Adresse e-mail, nom, identifiant de compte ; les données de carte sont saisies chez Stripe, Soldum n'y a jamais accès.	Irlande et États-Unis	Clauses contractuelles types de la Commission européenne, ou certification au Data Privacy Framework UE-États-Unis, selon le prestataire
Qonto Olinda SAS	Lecture des factures fournisseurs de la plateforme agréée, quand la production connecte son compte	Factures et pièces jointes des fournisseurs de la production.	France	Données traitées dans l'Union européenne
PostHog PostHog Inc.	Mesure d'usage du logiciel, depuis nos serveurs, sans cookie	Identifiant de compte, nom de l'utilisateur, offre souscrite, actions réalisées ; jamais l'adresse e-mail.	Union européenne (région UE)	Données traitées dans l'Union européenne
Sentry Functional Software Inc.	Suivi des erreurs techniques	Rapports d'erreur : adresse de la page, navigateur ; données personnelles masquées côté serveur.	États-Unis ou Allemagne, selon le projet Sentry	Clauses contractuelles types de la Commission européenne, ou certification au Data Privacy Framework UE-États-Unis, selon le prestataire
Telegram Telegram	Alertes internes de l'équipe Soldum (nouveau compte, abonnement, support)	Nom, adresse e-mail et téléphone des nouveaux comptes et abonnés.	Hors Union européenne	Clauses contractuelles types de la Commission européenne, ou certification au Data Privacy Framework UE-États-Unis, selon le prestataire
ClickUp Mango Technologies Inc. (ClickUp)	Suivi des demandes de support et des idées envoyées depuis le logiciel	Message, nom, adresse e-mail, identifiant de compte, navigateur, pièces jointes.	États-Unis	Clauses contractuelles types de la Commission européenne, ou certification au Data Privacy Framework UE-États-Unis, selon le prestataire
OVHcloud OVH SAS	Boîte e-mail contact@soldum.fr	Messages reçus et envoyés par l'équipe Soldum.	France	Données traitées dans l'Union européenne
Cal.com Cal.com Inc.	Prise de rendez-vous avec l'équipe Soldum	Nom et adresse e-mail (préremplis par nos liens), réponses au formulaire de réservation.	États-Unis	Clauses contractuelles types de la Commission européenne, ou certification au Data Privacy Framework UE-États-Unis, selon le prestataire
Studid Studid (fédération eduGAIN)	Vérification du statut étudiant par la connexion de l'établissement	Statut étudiant et établissement ; aucun justificatif ni mot de passe ne nous parvient.	Non communiqué par le prestataire	Soldum ne lui transmet qu'un identifiant de session ; l'authentification a lieu chez l'établissement
TMDB TMDB Inc.	Complément des fiches de comédiens (photo, page personnelle)	Nom des comédiens recherchés.	États-Unis	Clauses contractuelles types de la Commission européenne, ou certification au Data Privacy Framework UE-États-Unis, selon le prestataire
Apify Apify Technologies s.r.o.	Lecture de la présentation publique Instagram d'un comédien	Identifiant Instagram du comédien.	République tchèque	Données traitées dans l'Union européenne
Tavily, Brave Search et DuckDuckGo Tavily ; Brave Software Inc. ; Duck Duck Go Inc.	Recherche web de fournisseurs et de lieux pour la logistique et le casting	Requêtes de recherche (catégorie, ville du tournage, critères de casting) ; aucune donnée nominative.	États-Unis	Clauses contractuelles types de la Commission européenne, ou certification au Data Privacy Framework UE-États-Unis, selon le prestataire
OpenRouteService et OpenStreetMap HeiGIT gGmbH ; OpenStreetMap Foundation	Distances, itinéraires, géocodage des adresses et fonds de carte	Adresses et coordonnées des décors et lieux de tournage ; adresses de départ et d'arrivée d'une indemnité kilométrique, géocodées sans être gardées dans le cache (l'itinéraire ne reçoit que des coordonnées) ; adresse IP du navigateur qui affiche la carte.	Allemagne ; Royaume-Uni	Union européenne ; décision d'adéquation de la Commission pour le Royaume-Uni
LiteAPI et RapidAPI Nuitee (LiteAPI) ; RapidAPI	Recherche d'hébergements pour l'équipe	Ville, dates et nombre de chambres ; aucun nom.	États-Unis	Clauses contractuelles types de la Commission européenne, ou certification au Data Privacy Framework UE-États-Unis, selon le prestataire
OpenWeather OpenWeather Ltd	Météo des jours de tournage	Ville du tournage ; aucune donnée personnelle.	Royaume-Uni	Décision d'adéquation de la Commission pour le Royaume-Uni

5. Soldum, futur concentrateur de DSN

Soldum construit la paie complète des tournages, bulletins et déclaration sociale nominative (DSN) compris. Quand elle sera ouverte, Soldum déposera la DSN pour le compte de la production, comme concentrateur sur net-entreprises : il signera la charte des concentrateurs et passera le test de bout en bout du GIP-MDS avant tout dépôt réel. La production reste l'employeur : elle valide chaque paie avant envoi, garde son compte net-entreprises et répond de ses déclarations. La responsabilité de Soldum comme concentrateur sera écrite dans ses conditions générales avant le premier dépôt. Aujourd'hui, aucune DSN n'est déposée par Soldum : la paie passe par le prestataire de la production, à qui Soldum exporte les éléments.

6. Cookies and browser storage

Name	Purpose	Duration	Consent
`soldum_consent`	Retenir votre choix sur les cookies	6 mois	Nécessaire, sans consentement
`soldum_lang`	Retenir la langue choisie	1 an	Nécessaire, sans consentement
`Jeton de session (stockage du navigateur)`	Vous garder connecté au logiciel	7 jours sans activité	Nécessaire, sans consentement
`soldum_acq`	Retenir la publicité ou le site qui vous a amené (paramètres UTM, identifiant de clic, site d'origine, page d'arrivée) ; lu par Soldum seul, enregistré dans votre compte si vous en créez un	30 jours	Mesure interne, transmise à aucun tiers
`soldum_acq_ft`	Retenir votre toute première visite	90 jours	Mesure interne, transmise à aucun tiers
`_fbp, _fbc`	Pixel Meta : mesurer et optimiser nos publicités ; jamais dans le logiciel	90 jours	Seulement avec votre accord, retiré par le lien « Cookies » en bas de page

7. Your rights

Accès

Obtenir une copie de vos données

Rectification

Corriger des données inexactes

Effacement

Supprimer vos données, dans la limite de ce que la loi oblige à garder

Portabilité

Recevoir vos données dans un format ouvert (ZIP de fichiers JSON)

Opposition

Vous opposer à un traitement fondé sur l'intérêt légitime, ou à la prospection

Limitation

Geler un traitement le temps d'une vérification

Retrait du consentement

À tout moment, pour l'avenir

Directives après le décès

Organiser le sort de vos données

How to exercise them

•Avec un compte : Réglages, « Données et conservation », pour télécharger toutes vos données (ZIP) ou supprimer votre compte.
•Sans compte (salarié d'un tournage, titulaire d'un coffre-fort, contact d'une production) : le formulaire /mes-droits, qui vous envoie un lien de suivi.
•Par e-mail, à contact@soldum.fr.
•Pour les données d'un tournage, Soldum agit pour la production : il transmet votre demande à la production concernée et l'aide à y répondre.

Response time: un mois

Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la CNIL (www.cnil.fr).

8. Security

•Communications chiffrées (HTTPS) ; en-têtes de sécurité stricts.
•Mots de passe, jetons de session et liens publics des pages sensibles (signature, heures, coffre-fort, feuille de service, dépôt de facture) conservés sous forme d'empreinte.
•NIR, IBAN, fiches de renseignements et accusés de DPAE chiffrés en colonne (AES-256-GCM), clés hors de la base.
•Fichiers dans un bucket S3 privé à Paris, chiffré ; liens de téléchargement de 5 minutes.
•Accès limité par projet et par rôle ; lectures sensibles et ouvertures de liens publics journalisées.
•Purges automatiques selon les durées de ce registre.

9. Contact

contact@soldum.fr · Soldum, contact@soldum.fr (par écrit, de préférence par e-mail)