La présente politique décrit la manière dont SynthCamp traite les données personnelles lorsque vous visitez le site, créez un compte, écoutez de la musique ou vendez des sorties. Pour les informations relatives à l'éditeur et à l'hébergeur, consultez les Mentions légales.
Qui nous sommes
Ce service est exploité par Heymow Studio. La structure juridique derrière Heymow Studio est Khaled Chehab EI, entrepreneur individuel immatriculé au 173 rue de Courcelles, 75017 Paris, France, SIREN 999208556.
Heymow Studio est le responsable du traitement des données personnelles traitées sur cette plateforme. Le contact pour la protection des données est [email protected].
Dernière mise à jour : 21 octobre 2026.
Vos droits et comment les exercer
Au titre du Règlement général sur la protection des données (Règlement (UE) 2016/679, « RGPD ») et de la loi Informatique et Libertés, vous disposez :
Droit d'accès (art. 15) : obtenir une copie de chaque enregistrement de données personnelles vous concernant.
Droit de rectification (art. 16) : corriger des données inexactes depuis votre page de paramètres.
Droit à l'effacement (art. 17) : supprimer votre compte et vos identifiants personnels, sous réserve des exceptions de conservation légale décrites plus bas.
Droit à la portabilité (art. 20) : un export JSON lisible par machine.
Droit d'opposition / de limitation (art. 18 / 21): limiter un traitement spécifique ou s'y opposer.
Droit de retirer le consentement (art. 7.3): lorsqu'un traitement repose sur votre consentement (fonctionnalités optionnelles), vous pouvez le retirer à tout moment, sans affecter les traitements effectués avant ce retrait.
Le moyen le plus rapide d'exercer les droits d'accès et d'effacement est le panneau en libre-service sur /settings/profile (section Confidentialité & données). Pour tout le reste, écrivez à [email protected]. Nous répondons dans un délai d'un mois (extensible de deux mois supplémentaires avec notification, art. 12.3 du RGPD).
Vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr) ou de l'autorité de protection des données de votre État membre si la manière dont nous traitons vos données ne vous convient pas.
Ce que nous collectons et pourquoi
Identité du compte: adresse e-mail (connexion par lien magique ou OAuth Google), nom d'affichage, slug de profil, avatar et biographie facultatifs. Base légale : exécution du contrat (art. 6.1.b).
Uploads musicaux: fichiers audio, flux HLS encodés, empreintes audio, métadonnées de scan (ISRC, content credentials C2PA, outils d'IA déclarés). Base légale : exécution du contrat + intérêt légitime de lutte contre la fraude / les doublons (art. 6.1.f).
Contenus textuels publiés : paroles et notes de pochette que vous ajoutez à vos pistes. Ces champs en texte libre sont rédigés par vous et affichés publiquement sur votre page de sortie. Ils peuvent contenir des données personnelles vous concernant ou concernant des tiers que vous citez. Base légale : exécution du contrat (art. 6.1.b).
Achats et pourboires: montant, devise, identifiant d'intention de paiement Stripe, marqueur de remise de party, horodatage de renonciation au droit de rétractation au titre de l'article L. 221-28 13° du Code de la consommation. Base légale : exécution du contrat + obligation légale (conservation fiscale de 10 ans).
Ce que l'artiste voit quand vous achetez. Quand vous achetez ou recevez une sortie en cadeau, vous achetez directement à l'artiste via son propre compte Stripe. Parce que l'artiste est le vendeur, il reçoit les informations dont un vendeur a besoin pour honorer et comptabiliser la vente : le nom et l'adresse email saisis au paiement (c'est votre email de compte), le pays du paiement, la marque et les 4 derniers chiffres de votre carte, et, quand la vérification de votre carte l'exige, des éléments de votre adresse de facturation comme le code postal. L'artiste ne reçoit jamais votre numéro de carte complet, qui reste chez Stripe. Pour ces informations, l'artiste est responsable de traitement pour ses propres ventes, et nos conditions vendeur l'obligent à les garder confidentielles, à ne s'en servir que pour la vente et ses propres obligations légales, et à ne jamais vous contacter ni vous démarcher sans votre consentement. Stripe traite le paiement en tant que responsable distinct, selon ses propres conditions. SynthCamp conserve sa propre trace de la vente, comme le montant, la devise et la référence de paiement, pour faire fonctionner la marketplace et respecter ses obligations légales. Détourner les données d'un acheteur pour l'exposer, faire pression sur lui ou le démarcher entraîne un retrait définitif de SynthCamp au titre de nos Standards de la communauté.
Activité sociale : abonnements, présence aux parties, réactions, messages de chat. Base légale : exécution du contrat.
Enregistrements de modération : signalements déposés et reçus, décisions de modération (DSA art. 14, 17, 23). Base légale : obligation légale au titre du Digital Services Act.
Déclaration fiscale DAC7 (artistes uniquement): si vous vendez de la musique sur SynthCamp et que votre activité annuelle franchit le seuil DAC7 (30 transactions OU 2 000 EUR de revenu brut sur une année civile), la loi française (article 242 bis du Code général des impôts, transposant la directive (UE) 2021/514) impose à la plateforme de transmettre votre numéro d'identification fiscale, votre identité, votre adresse complète et votre revenu trimestriel à la DGFiP chaque janvier pour l'exercice précédent. La première déclaration SynthCamp couvre l'exercice 2026 et est due en janvier 2027. Une bannière apparaîtra sur /settings/profile?tab=payments dès que vous approchez du seuil, pour fournir votre TIN ou, à défaut, votre lieu de naissance (le repli légal en l'absence de TIN). Base légale : obligation légale. Les acheteurs ne sont jamais déclarés au titre de DAC7 ; seuls les vendeurs sont concernés.
Email du destinataire d'un cadeau : lorsque vous achetez une release pour l'offrir, nous traitons l'adresse email du destinataire dans le seul but de lui envoyer le lien de réclamation privé (et, sur demande, de le renvoyer). Base légale : notre intérêt légitime à vous permettre de remettre un cadeau que vous avez payé (art. 6.1.f). Nous n'utilisons pas cette adresse à des fins de marketing et nous n'en tirons aucun profil. Si le cadeau n'est jamais réclamé, nous supprimons l'adresse du destinataire conservée au bout de 12 mois.
Email d'invitation comp : si vous envoyez à quelqu'un une copie gratuite de votre propre release par email (une invitation comp), nous traitons l'adresse email du destinataire dans le seul but de lui envoyer le lien de réclamation privé. Base légale : notre intérêt légitime à vous permettre de partager gratuitement votre release avec quelqu'un (art. 6.1.f). Nous n'utilisons pas cette adresse à des fins de marketing et nous n'en tirons aucun profil. Réclamer l'invitation supprime l'adresse conservée immédiatement. Une invitation que personne ne réclame la conserve seulement jusqu'à son expiration, puis nous la supprimons lors de la prochaine purge mensuelle. Une invitation expire 30 jours après son envoi, ou 30 jours après la date de sortie si celle-ci est postérieure, afin que le lien survive à l'attente sur un disque pas encore paru, et jamais plus de 120 jours dans les deux cas. L'e-mail d'invitation indique la date exacte.
Mises à jour Backstage (in-app) : lorsque vous suivez un artiste, nous vous montrons sur SynthCamp les mises à jour qu'il publie au sujet de son propre travail, car le fait de le suivre indique clairement que vous attendez de ses nouvelles. Base légale : l'intérêt légitime de l'artiste et de SynthCamp à relier un créateur au public qui a choisi de le suivre (art. 6.1.f). Les artistes ne peuvent en envoyer que deux au plus tous les sept jours. Vous pouvez vous y opposer à tout moment : couper le Backstage d'un artiste en particulier, ou désactiver toutes les mises à jour Backstage in-app dans vos réglages. L'un et l'autre sont distincts du désabonnement : vous gardez l'abonnement tout en arrêtant les messages.
Emails Backstage (facultatif) : si vous l'activez, nous vous envoyons un email lorsqu'un artiste que vous suivez publie une mise à jour Backstage au sujet de son propre travail. Nous les envoyons pour l'artiste, côté serveur : l'artiste ne voit jamais votre adresse email. L'artiste peut voir lesquels de ses abonnés figurent sur sa liste email, à travers le nom public et l'avatar uniquement, le même nom et le même avatar déjà visibles partout sur SynthCamp. De la même manière, lorsque vous indiquez que vous attendez l'une des prochaines launch parties d'un artiste, ce même nom public et cet avatar apparaissent sur la liste d'attente de cette party, afin qu'il puisse voir qui l'attend (base légale : l'intérêt légitime de l'artiste et de SynthCamp à relier un créateur au public qui a choisi de le suivre, art. 6.1.f). Base légale pour les emails : votre consentement (art. 6.1.a) et les règles ePrivacy applicables à la prospection électronique. Ils dépendent aussi de votre réglage général de notifications par email : si celui-ci est désactivé, aucun email Backstage n'est envoyé même si ceci reste activé. Vous pouvez le retirer à tout moment, soit en coupant un artiste depuis n'importe quel email, soit en désactivant tout depuis vos réglages, et vous disparaissez alors de la liste.
Lien de compte Discord. Si vous reliez votre compte Discord, nous conservons votre identifiant Discord et les jetons qui gardent vos rôles du serveur synchronisés, et nous utilisons ce lien pour vérifier si vous avez le rôle testeur alpha. Vous pouvez le dissocier à tout moment depuis vos paramètres, ce qui supprime ce que nous conservons.
Annonces des soirées sur les réseaux sociaux de SynthCamp (facultatif, artistes). Si vous dites oui sur votre page de soirées, dans le formulaire de programmation ou depuis notre email, SynthCamp annonce vos launch parties publiques sur son Instagram, son X et sa page Facebook : la veille, et avec une Story Instagram le jour même. Les publications utilisent la pochette de votre sortie, recadrée dans un visuel SynthCamp avec les détails de la soirée, et votre nom d'artiste. La Story du jour peut aussi faire entendre quelques secondes de l'extrait de votre sortie. Base légale : votre consentement (art. 6.1.a). Destinataires : Meta (Instagram, Facebook) et X, qui publient selon leurs propres conditions, et Buffer, qui les programme pour nous en tant que sous-traitant. Nous conservons chaque réponse (oui ou non, le texte que vous avez vu, où et quand vous avez répondu) comme preuve du consentement. Vous pouvez retirer votre consentement à tout moment depuis votre page de soirées. Les annonces déjà publiées sont alors supprimées sous 7 jours.
Traitement automatisé
Lors de l'upload, SynthCamp effectue des contrôles automatisés : une empreinte audio perceptuelle pour la détection des doublons et un scan des métadonnées à la recherche d'indices d'outils d'IA et de « content credentials » C2PA. Une correspondance place la sortie en revue humaine plutôt que de la retirer automatiquement (les contenus manifestement illicites font exception : ils sont retirés sans délai avec un exposé des motifs).
Vous avez le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou vous affectant de manière significative (art. 22 du RGPD). Vous pouvez demander une intervention humaine et contester la décision via la procédure interne de réclamation décrite dans les Conditions Générales d'Utilisation (sections 4.8 à 4.10).
Conservation
Les données personnelles ne sont conservées que le temps nécessaire à la finalité pour laquelle elles ont été collectées. Les principaux déterminants :
Compte actif: conservées tant que le compte existe. Nous n'effaçons pas les comptes sur une échéance fixe ; vous pouvez supprimer le vôtre à tout moment depuis vos paramètres, ce qui déclenche le pipeline d'effacement décrit ci-dessous.
Empreintes audio: conservées tant que la sortie figure au catalogue, afin que les uploads ultérieurs puissent y être dédoublonnés (intérêt légitime de lutte contre les doublons). Elles sont supprimées du processeur de reconnaissance lors de l'effacement de votre compte, et non sur une échéance fixe.
Achats / pourboires / pièces fiscales: 10 ans à compter de la clôture de l'exercice de la transaction (article L. 123-22 du Code de commerce). Les identifiants personnels sont anonymisés à l'effacement, mais l'enregistrement de la transaction est conservé.
Enregistrements de modération (signalements, bannissements, décisions) : les décisions actionnées (sanctions, exposés des motifs, recours) sont conservées pour la durée de vie du compte plus dix ans après sa clôture (registre des traitements / responsabilité DSA). Les signalements non actionnés sont conservés trois ans. Voir la Politique de modération section 9 et les Règles communautaires section 11.
Identifiants fiscaux Stripe (DAC7): conservés jusqu'à l'export fiscal annuel vers la DGFiP au titre de l'article 242 bis du CGI, puis archivés.
Messages et choix Backstage: les messages qu'un artiste envoie via Backstage sont conservés tant que le compte reste ouvert, afin que l'artiste et ses abonnés en gardent l'historique. Vos coupures Backstage et votre choix d'opt-in email sont conservés tant que votre compte est ouvert, et les horodatages d'opt-in et d'opt-out sont conservés comme preuve du consentement. Le tout est supprimé lorsque vous effacez votre compte.
Réponses sur les annonces des soirées: conservées tant que le compte est ouvert comme preuve du consentement, supprimées à l'effacement.
Projets de mastering.Le fichier audio et les réglages d'un projet de mastering enregistré sont conservés tant que le projet existe. Ils sont supprimés lorsque vous supprimez le projet et effacés avec votre compte. Ils ne sont jamais accessibles publiquement.
Party Replay.Le chat des parties, les réactions et les pass replay sont supprimés environ 54 heures après la fin d'une party.
Paroles synchronisées.Le fichier de paroles synchronisées est conservé tant que le morceau est publié, et supprimé dès que vous désactivez la fonction pour ce morceau ou que vous supprimez le morceau. La copie mono de l'audio et les paroles saisies que nous envoyons à Google pour le produire voyagent à l'intérieur de la requête et ne sont jamais stockées chez Google. Rien du fichier ne survit à l'effacement de votre compte.
Identifiants de connexion (adresse IP, horodatages de session, user-agent): conservés au plus 1 an conformément à l'article L. 34-1 du Code des postes et des communications électroniques (obligation de mise à disposition des identifiants techniques aux autorités judiciaires sur réquisition). Lorsque SynthCamp stocke des IP hachées en ligne sur une ligne de base de données (scoring d'historique de fraude sur les signalements et demandes de remboursement), l'identifiant de connexion est retiré de la ligne à 12 mois, la ligne elle-même subsistant pour l'audit sous-jacent. Lorsqu'un visiteur suit un lien vers un partenaire communautaire, SynthCamp conserve une forme hachée de son adresse IP jusqu'à la fin de la journée seulement, pour compter chaque visiteur une fois, puis supprime ce hachage. Le décompte lui-même (partenaire, page, jour) ne contient aucune donnée personnelle. Lorsque SynthCamp capture ces identifiants dans des fichiers de journaux (logs d'accès Caddy sur le VPS), le cycle de rotation est fixé à moins de 12 mois. La conservation s'applique indépendamment de l'état du compte ; l'exercice du droit à l'effacement ne raccourcit pas cette fenêtre, car il s'agit d'une obligation réglementaire, et non d'un choix de SynthCamp.
Ce qui subsiste après l'effacement du compte
Lorsque vous exercez votre droit à l'effacement (art. 17), nous exécutons un pipeline structuré qui supprime votre activité sociale (notifications, abonnements, engagement aux parties, playlists, messages de party) et anonymise les données que nous sommes légalement tenus de conserver.
Les enregistrements anonymisés conservent leur ligne en base à des fins de responsabilité légale (achats, pourboires, signalements, journaux de modération), mais la ligne ne porte plus vos identifiants personnels : votre nom d'affichage devient « Utilisateur supprimé », votre e-mail est remplacé par un alias neutralisé sur le TLD .invalid, votre lien Stripe Connect est rompu, et les signalements que vous avez déposés voient votre nom et votre e-mail écrasés.
Une note sur les identifiants : pour préserver l'intégrité référentielle de la base, nous conservons l'identifiant interne de compte (UUID) sur les enregistrements anonymisés. Cet identifiant n'est pas personnellement identifiant en soi, mais une personne ayant un accès en lecture au back-office de modération pourrait en principe corréler deux enregistrements anonymisés partageant le même UUID. L'accès en lecture à ce back-office est restreint à l'équipe de modération de SynthCamp. Cet identifiant de personne concernée est le même que celui figurant dans les registres commerciaux conservés au titre d'une obligation légale (achats, exports fiscaux) : le conserver ne constitue donc pas une régression de la posture de confidentialité.
Les empreintes audio téléversées vers notre processeur de détection de doublons (ACRCloud, eu-west-1 / Frankfurt) sont supprimées de ce processeur dans le cadre du pipeline d'effacement. Lorsqu'une empreinte ne peut pas être ciblée automatiquement (téléversements historiques), elle est supprimée par une passe manuelle de rattrapage. Le résidu est consigné dans la file de modération.
Sous-traitants
Nous nous appuyons sur les sous-traitants suivants. Chacun opère sous un accord de traitement des données et se limite aux catégories de données indiquées.
Stripe (paiements + reversements) : Stripe Payments Europe Ltd, Irlande, UE (avec traitement aval par Stripe, Inc. aux États-Unis au titre du Data Privacy Framework UE-États-Unis).
Brevo (e-mail transactionnel) : Brevo SAS, France, UE.
ACRCloud(mise en correspondance d'empreintes audio, eu-west-1 / Frankfurt) : ACRCloud Co. Ltd, traitement en région UE.
Railway(hébergement de l'application) : Railway Corporation, États-Unis (avec Clauses Contractuelles Types).
Google(deux usages, tous deux nommés ici) : la connexion OAuth Google facultative, utilisée uniquement si vous la choisissez, et l'API Gemini, à laquelle nous envoyons une copie mono du master audio d'un morceau et ses paroles saisies pour produire un fichier de paroles minutées destiné aux salles d'écoute en direct. L'audio voyage à l'intérieur de la requête et n'est jamais stocké chez Google, il n'y reste donc rien à supprimer. Google LLC, États-Unis (Data Privacy Framework UE-États-Unis).
Umami (statistiques web agrégées et sans cookies ; ne dépose aucun cookie et ne stocke aucun identifiant individuel de visiteur) : Umami Software, Inc., États-Unis (avec Clauses Contractuelles Types).
Buffer (programmation des publications de SynthCamp sur ses propres réseaux sociaux, uniquement pour les artistes qui ont accepté les annonces de soirées) : Buffer, Inc., États-Unis (Data Privacy Framework UE-États-Unis, avec les Clauses Contractuelles Types comme mécanisme complémentaire).
Mastering côté serveur
Quand vous utilisez Auto dans l'atelier de mastering, votre piste est traitée par notre service de mastering sur nos propres serveurs. Nous conservons les rendus Auto tant que le projet de mastering existe et nous les supprimons quand vous supprimez le projet ou votre compte. Une piste de référence que vous téléversez pour un match est analysée uniquement, aucune partie de celle-ci n'apparaît dans votre master, elle n'est jamais publiée et elle est supprimée avec la tâche.
Étude des publications publiques sur la musique IA
En dehors de la plateforme, nous étudions ce que les gens écrivent en public sur la musique IA, pour orienter SynthCamp et la façon dont nous en parlons. Nous lisons les publications et commentaires publics qui parlent de musique IA sur Bluesky, X, Reddit, Hacker News, Lemmy, TikTok et YouTube.
Un modèle étiquette chaque message, par exemple sa position sur la musique IA ou le besoin qu'il décrit, et nous comptons ces étiquettes semaine après semaine. Seul notre fondateur lit les résultats. Nous ne nous servons jamais de cette étude pour écrire à quelqu'un en privé, profiler qui que ce soit ou prendre une décision sur une personne.
Notre base légale est notre intérêt légitime à comprendre ce marché naissant sans payer un panel (art. 6.1.f).
Ce que nous gardons :
X, Reddit, TikTok et YouTube: les étiquettes, la date, quelques compteurs comme les mentions j'aime et les réponses, et un lien vers le message. Ses mots sont jetés une fois l'étiquette posée, hormis de petits échantillons que nous vérifions à la main puis effaçons.
Bluesky, Hacker News et Lemmy : les mots aussi, pendant 12 semaines. Ensuite, il ne reste que les étiquettes, la date, les compteurs et le lien.
Qui l'a écrit: nous ne gardons ni nom d'utilisateur ni nom affiché à côté d'un message. Les @, les adresses électroniques et les numéros de téléphone écrits dans un message sont masqués avant que nous le gardions. Malgré cela, un lien mène à son auteur une fois ouvert, et chaque lien Bluesky que nous gardons porte l'identifiant du compte qui a publié, si bien que les messages Bluesky d'un même compte peuvent être reliés entre eux. Nous ne les rapprochons jamais pour en tirer quoi que ce soit sur cette personne.
Des fils où nous pouvons intervenir: nous nous servons aussi de ces étiquettes pour dresser une liste d'au plus 30 fils ouverts ces deux dernières semaines sur Reddit, X, Hacker News et Lemmy qui touchent à ce que fait SynthCamp, comme le mastering, la distribution ou l'étiquetage de la musique IA. Notre fondateur en lit certains et peut y répondre en public, sous son propre nom, en tant que fondateur de SynthCamp. La liste garde le lien de chaque fil, sa date, le nombre de ses messages que nous avons lus et ses thèmes, ainsi que son titre sur Hacker News et Lemmy. Elle ne garde jamais de nom d'utilisateur ni aucun mot venu de Reddit ou de X, et nous la refaisons chaque jour. Pour la même raison, nous lisons chaque semaine les fils populaires de quelques communautés Reddit, et nous effaçons cette liste sous une semaine.
Des prestataires techniques établis aux États-Unis récupèrent ces messages publics pour nous. Pour étiqueter chaque message, nous envoyons ses mots, pseudonymes et coordonnées masqués, sans son lien ni son auteur, à OpenRouter, Inc., à New York, qui les transmet au modèle d'étiquetage de TypeSafe AI, Inc., à San Francisco. Aucune des deux sociétés n'est certifiée au titre du Data Privacy Framework UE-États-Unis. Ce transfert repose donc sur les clauses contractuelles types de la Commission européenne, dans l'accord de traitement des données qui nous lie à OpenRouter et dans celui qui lie TypeSafe à OpenRouter, et vous pouvez nous en demander une copie à [email protected]. Aucune des deux ne garde les mots une fois l'étiquette rendue, ni ne s'en sert pour entraîner un modèle.
Si l'une de vos publications figure dans cette étude et que vous préférez qu'elle n'y soit pas, envoyez son lien à [email protected]. Nous répondons sous un mois. La publication sort de nos données, vos mots sortent de tout autre message gardé qui les cite, et nous ne la collectons plus jamais.
Vous pouvez aussi vous opposer pour tout votre compte en nous envoyant le lien de votre profil. Sur Bluesky, nous retirons tous vos messages que nous détenons. Sur les autres plateformes, nous ne gardons jamais qui a écrit quoi, donc votre compte seul ne nous mène pas à vos anciens messages : envoyez aussi leurs liens si vous voulez qu'ils disparaissent. À partir de là, nous laissons de côté tout ce que vous publiez.
Pour savoir ce que nous détenons sur l'une de vos publications, écrivez-nous aussi. Nous vérifions d'abord qu'elle est bien de vous, car ce que nous avons noté sur un message dit quelque chose de son auteur. Les copies dans nos sauvegardes disparaissent sous 30 jours.
Cookies
Nous utilisons uniquement des cookies strictement nécessaires (jeton de session, marqueur de vérification d'âge) qui ne requièrent pas de consentement au titre de l'article 5(3) de la directive ePrivacy. Nous n'utilisons aucun cookie de suivi ou publicitaire.
Mineurs
Le service n'est pas destiné aux utilisateurs de moins de 15 ans, l'âge du consentement numérique en France (loi 78-17, art. 7-1). Nous ne collectons pas sciemment de données auprès de mineurs en deçà de cet âge et supprimerons tout compte de ce type dès sa découverte.
Modifications
Les modifications substantielles de la présente politique sont annoncées par e-mail et via une bannière dans l'application au moins 30 jours avant leur entrée en vigueur. La poursuite de l'utilisation du service au-delà de ce délai vaut acceptation.
Contact
Pour toute question relative à la confidentialité, écrivez à [email protected]. Adresse postale : Heymow Studio, 173 rue de Courcelles, 75017 Paris, France.