Politique de confidentialité

FLAGMEDIA SARL, société à responsabilité limitée de droit marocain, dont le siège est établi 45 rue Abdelkader Mouftakar, étage 2, appartement 4, à Casablanca, immatriculée au registre du commerce de Casablanca sous le numéro 736331, ICE 003991615000088.

Pour toute question ou demande sur les données personnelles : privacy@flag-influence.com.

Les données diffèrent selon que le compte est celui d'un créateur ou d'un établissement.

Communes aux deux

• Compte : adresse e-mail, rôle (créateur ou établissement), date d'inscription. Le mot de passe n'est jamais conservé en clair et personne chez Flag ne peut le lire : seule son empreinte irréversible est gardée, par le service d'authentification de notre hébergeur de base de données.
• Appareils de confiance : quand un code de vérification est validé, Flag enregistre l'empreinte d'un identifiant tiré au sort par l'application, un libellé lisible (« iPhone », « Chrome sur Mac ») et la date. Ce n'est pas une empreinte matérielle, et cet identifiant ne permet aucun recoupement en dehors de Flag. Ni adresse IP, ni géolocalisation.
• Messagerie : le texte des messages échangés sur la plateforme, et les photos qui y sont envoyées.
• Notifications : si elles sont acceptées, un jeton d'appareil fourni par le système de notification, avec la mention « ios » ou « android ».
• Support : le nom, l'adresse e-mail et le message envoyés par le formulaire de contact ou par e-mail.

Créateurs

• Profil : nom affiché, pseudo Instagram, photo de profil, présentation, ville, univers d'influence choisis à l'inscription, et numéro de téléphone s'il est renseigné.
• Compte Instagram relié : identifiant du compte, pseudo, nombre d'abonnés et de publications, moyennes de mentions J'aime, de commentaires, de vues et de portée, taux d'engagement. Voir l'article 5 pour les autorisations exactes.
• Pseudo TikTok : un simple texte, facultatif, tapé à la main. Aucun compte TikTok n'est relié à Flag et aucune donnée n'est récupérée chez TikTok.
• Activité : demandes envoyées, créneaux, nombre d'invités, présence constatée par l'établissement, contenus déposés (lien de la publication, identifiant du média Instagram, vues et portée), notes reçues.
• Suivi des engagements : score de fiabilité, nombre d'absences constatées, nombre de publications manquées, suspensions en cours et leur motif. Ces compteurs servent aux règles décrites dans les conditions d'utilisation.

Établissements

• Compte et fiche : nom de la société, e-mail et téléphone de contact, nom de l'adresse, description, catégorie, adresse postale et position sur la carte, horaires, photos, prestation offerte.
• Facturation : identité de facturation (raison sociale, ICE, adresse, ville, e-mail), abonnements souscrits, paiements et factures émises.
• Vie du compte : mouvements de jetons de collaboration, tickets de service après-vente et leurs échanges, remarques laissées sur une collaboration, retour donné en fin d'abonnement.
• Coordonnées bancaires : aucune. Le numéro de carte est saisi directement chez le prestataire de paiement et ne passe jamais par Flag.

Mesure d'usage

• Des événements de parcours, écrits un par un dans notre code, rattachés à un identifiant de compte opaque. Ni nom, ni adresse e-mail. Pas de capture automatique des clics, pas d'enregistrement d'écran, pas de relevé de page, et l'adresse IP est désactivée dans l'outil.
• La fréquentation et les temps de chargement des pages du site, mesurés par notre hébergeur.

Adresse IP

L'adresse IP est lue à chaque envoi de code, connexion ou message de contact, pour compter les tentatives et bloquer les abus. Elle sert de clé de comptage pendant quelques minutes, puis disparaît. Elle n'est écrite dans aucune table de la base.

Position

L'application mobile peut demander la position pour classer les établissements du plus proche au plus lointain. Le calcul se fait sur le téléphone. La position n'est envoyée à aucun serveur et n'est enregistrée nulle part. Refuser la permission ne bloque rien : la carte s'ouvre alors sur Casablanca.

• Fournir le service : créer le profil, présenter l'audience d'un créateur à l'établissement qu'il sollicite, gérer les demandes, la messagerie, les publications et le service après-vente. Fondement : l'exécution du contrat conclu en acceptant les conditions d'utilisation.
• Sécuriser les comptes : vérifier un nouvel appareil, limiter les tentatives de connexion, repérer les usages frauduleux. Fondement : l'intérêt légitime de FLAGMEDIA SARL à protéger les comptes de ses utilisateurs.
• Facturer les abonnements et tenir la comptabilité. Fondement : le respect d'obligations légales.
• Améliorer le service à partir de statistiques d'usage. Fondement : l'intérêt légitime.

Les données ne sont ni vendues, ni louées, ni utilisées pour faire de la publicité au profit de tiers.

L'établissement sollicité

Tant qu'une demande n'est pas acceptée, il voit l'audience du créateur, son taux d'engagement, la conversion estimée, sa ville, sa photo de profil, le créneau demandé et le nombre d'invités. Le nom, le pseudo Instagram et le message libre restent masqués. Ils n'apparaissent qu'au moment où il accepte.

Il voit aussi la note moyenne du créateur, quand des établissements l'ont déjà noté. Une fois la demande acceptée, il voit en plus la présentation écrite par le créateur et les commentaires laissés par les établissements qui l'ont reçu avant lui, sans savoir lesquels : un commentaire s'affiche seul, sans le nom de celui qui l'a écrit, sans date, et sans rien qui permette de savoir où le créateur est allé.

Il ne reçoit jamais l'adresse e-mail, le numéro de téléphone ni le score de fiabilité. Il ne reçoit pas non plus le détail des collaborations menées ailleurs : ni où, ni quand, ni avec qui.

L'équipe Flag

Elle accède aux comptes pour la validation des profils, la modération, le support et la facturation. Chaque action faite depuis le back-office est enregistrée dans un journal interne : qui a fait quoi, sur quel compte, à quelle date.

Les prestataires

• Vercel Inc. : hébergement du site et de l'interface, mesure de fréquentation.
• Supabase Inc. : base de données, authentification, et stockage des fichiers (photos de profil, photos des fiches, photos envoyées dans la messagerie).
• Meta Platforms (Instagram) : uniquement pour les comptes reliés, dans les limites de l'article 5.
• Centre Monétique Interbancaire (CMI) : paiement par carte. C'est chez lui que la carte est saisie, jamais chez nous.
• ImprovMX et Resend : acheminement des e-mails que Flag envoie (codes de vérification, rappels, reçus).
• Expo : acheminement des notifications sur les téléphones.
• PostHog : mesure d'usage, dans les limites de l'article 2.
• Upstash : comptage des tentatives pour la limitation des abus, avec les adresses IP décrites à l'article 2.
• CARTO : fonds de carte affichés quand une adresse est placée sur un plan.

Chacun est tenu par contrat à la confidentialité et n'agit que sur nos instructions. Aucun d'eux n'a le droit d'utiliser ces données pour son propre compte.

Relier un compte Instagram demande exactement deux autorisations, et pas une de plus :

• la lecture de base du compte professionnel : pseudo, nombre d'abonnés, liste des publications ;
• la lecture des statistiques : vues et portée des publications faites dans le cadre d'une collaboration.

Ces autorisations produisent une clé d'accès technique délivrée par Instagram. Elle est conservée sur nos serveurs, jamais affichée dans l'application, jamais transmise à un autre utilisateur. Elle sert à trois choses : tenir l'audience du profil à jour, retrouver la publication liée à une collaboration pour en mesurer les vues, et, pendant les six jours qui suivent une visite, repérer la story publiée après cette visite. Pour cette dernière, Flag lit l'identifiant et l'heure des stories en cours, pas leur image ni leur texte.

Cette clé n'a aucun rapport avec les jetons de collaboration, qui sont les crédits compris dans l'abonnement d'un établissement et ne sont pas une donnée personnelle.

L'autorisation de lire les messages privés a été retirée le 24 août 2026 : elle n'est plus demandée à personne. Si un compte relié avant cette date l'avait accordée, Instagram peut encore nous transmettre ses messages privés, qui sont alors enregistrés. Écrivez à privacy@flag-influence.com pour les faire effacer.

L'autorisation peut être retirée à tout moment, depuis le profil Flag ou depuis les réglages du compte Instagram. Le retrait arrête aussitôt toute lecture des statistiques.

TikTok n'est pas relié à Flag. Le pseudo TikTok que vous pouvez indiquer est un simple texte, que personne ne vérifie et qui ne donne accès à rien.

Le site, la base de données et les fichiers sont hébergés dans l'Union européenne, en Irlande. Les données personnelles traitées par Flag font donc l'objet d'un transfert hors du Maroc.

Plusieurs des prestataires nommés à l'article 4 sont établis hors de l'Union européenne, pour l'essentiel aux États-Unis : Instagram pour les comptes reliés, le service qui achemine les notifications sur les téléphones, ceux qui acheminent nos e-mails, celui qui mesure l'usage et celui qui compte les tentatives de connexion. Chacun reçoit le strict nécessaire à son rôle, décrit à l'article 4, et rien de plus.

Ces transferts sont encadrés par nos contrats avec ces prestataires, qui leur imposent la confidentialité et interdisent tout usage pour leur propre compte.

Les données d'un compte vivent aussi longtemps que le compte. Il n'existe aujourd'hui aucun effacement automatique au bout d'un délai : c'est la suppression du compte, décrite à l'article 8, qui efface les données. Deux exceptions, plus courtes :

• Appareils de confiance : la confiance dure 90 jours à partir de la vérification. Passé ce délai, un nouveau code est demandé à la connexion suivante.
• Adresse IP : quelques minutes, le temps de compter les tentatives (article 2).

Les factures et les pièces comptables sont conservées dix ans, comme la loi marocaine l'impose aux commerçants.

Un compte peut être supprimé depuis l'application, dans les réglages, ou depuis la page flag-influence.com/suppression-compte. La suppression demande un code envoyé sur l'adresse e-mail du compte : un téléphone laissé déverrouillé une minute ne doit pas suffire à effacer le travail de quelqu'un.

Elle est immédiate et définitive. Elle emporte le compte, le profil, les comptes sociaux reliés et leurs clés d'accès, les photos, les messages, les collaborations et les jetons de notification. Rien n'est mis de côté pour être restauré plus tard.

Toute personne dispose d'un droit d'accès, de rectification, d'opposition et de suppression de ses données, ainsi que du droit d'en obtenir une copie exploitable. Ces droits s'exercent auprès de privacy@flag-influence.com, avec une réponse sous trente jours.

En cas de désaccord persistant, une réclamation peut être adressée à la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP).

Les accès à la base sont cloisonnés par compte au niveau du serveur : chacun n'atteint que ses propres données. Les mots de passe sont gardés sous forme d'empreinte, les échanges sont chiffrés en transit, et une connexion depuis un appareil inconnu exige un code en plus du mot de passe. Les actions de l'équipe au back-office sont enregistrées dans un journal interne.

Aucune mesure ne rend un système inviolable. En cas de violation de données susceptible de créer un risque pour les personnes concernées, celles-ci et la CNDP en sont informées.

Flag est réservé aux personnes majeures, comme le prévoient les conditions d'utilisation. Un compte identifié comme appartenant à un mineur est fermé et ses données sont effacées.

Ce document peut évoluer avec le service. La date de dernière mise à jour figure en tête de page, et toute modification importante est annoncée par e-mail avant son entrée en vigueur.