En vigueur au 26 août 2026
B&R DIGITAL accorde une importance particulière à la protection des données personnelles. La présente politique décrit les traitements mis en œuvre dans le cadre du service Bao, conformément au Règlement (UE) 2016/679 (RGPD) et à la loi n° 78-17 du 6 janvier 1978 modifiée.
1. Qui est responsable de vos données
Il faut distinguer deux situations, car elles n’emportent pas les mêmes responsabilités.
| Situation | Responsable de traitement | Rôle de B&R DIGITAL |
|---|---|---|
| Votre compte, votre abonnement, votre facturation, la sécurité du service | B&R DIGITAL | Responsable de traitement |
| Les données des membres d’un serveur Discord traitées selon la configuration décidée par ses administrateurs | L’administrateur du serveur | Sous-traitant, au sens de l’article 28 du RGPD |
Autrement dit : lorsqu’un administrateur active les journaux, les tickets ou un agent d’intelligence artificielle sur son serveur, c’est lui qui décide de la finalité du traitement. Bao exécute ses instructions.
Coordonnées du responsable de traitement :
| Responsable de traitement | |
|---|---|
| Raison sociale | B&R DIGITAL, société par actions simplifiée |
| Adresse | 60 rue François Ier, 75008 Paris, France |
| Contact données personnelles | contact@mybao.io |
Aucun délégué à la protection des données n’a été désigné, cette désignation n’étant pas obligatoire au regard de l’activité.
2. Données traitées
2.1. Données de compte
Collectées via l’authentification Discord (protocole OAuth) : identifiant Discord, nom d’utilisateur, avatar, adresse électronique associée au compte Discord, liste des serveurs administrés.
Aucun mot de passe n’est créé ni conservé.
2.2. Données de configuration
Les réglages saisis par les administrateurs : salons, rôles, messages, panneaux, règles de modération, paramètres des agents, et l’ensemble des options du tableau de bord.
2.3. Données relatives aux membres d’un serveur
Selon les fonctionnalités activées par l’administrateur :
- identifiants Discord et pseudonymes ;
- points d’expérience, niveaux et statistiques d’activité ;
- contenu des tickets de support et transcriptions associées ;
- conversations échangées avec un agent d’intelligence artificielle ;
- infractions, sanctions et évènements consignés dans les journaux ;
- participations aux giveaways et tâches accomplies ;
- messages analysés par l’auto-modération, traités en mémoire et non conservés lorsqu’aucune infraction n’est constatée.
2.4. Bases de connaissances
Les documents, pages web, salons et notes fournis par un administrateur pour alimenter un agent, ainsi que leur représentation indexée.
2.5. Données de monétisation
Lorsqu’un client utilise les rôles payants : adresse électronique de son propre acheteur, référence de commande ou d’abonnement, palier concerné, et journal des évènements reçus.
2.6. Données de facturation
Nom ou dénomination, adresse de facturation, pays, identifiant de client et historique des paiements.
Aucune donnée de carte bancaire n’est traitée ni stockée par B&R DIGITAL. Ces données sont collectées directement par Stripe.
2.7. Données techniques
Journaux de connexion et d’erreur, adresse IP, horodatages, identifiants de session, indicateurs de consommation des fonctionnalités d’intelligence artificielle.
3. Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Fournir le service et exécuter les fonctionnalités configurées | Exécution du contrat (art. 6.1.b) |
| Gérer les comptes, les abonnements et la facturation | Exécution du contrat et obligation légale (art. 6.1.b et 6.1.c) |
| Assurer la sécurité, prévenir la fraude et les abus | Intérêt légitime (art. 6.1.f) |
| Mesurer la consommation d’intelligence artificielle et appliquer les plafonds | Exécution du contrat (art. 6.1.b) |
| Répondre aux demandes d’assistance | Intérêt légitime (art. 6.1.f) |
| Améliorer le service par des statistiques agrégées | Intérêt légitime (art. 6.1.f) |
| Mesurer l’efficacité de nos campagnes publicitaires, au moyen de cookies | Consentement (art. 6.1.a) |
| Mesurer les achats issus de nos campagnes publicitaires, sans cookie | Intérêt légitime (art. 6.1.f) |
| Conserver les pièces comptables | Obligation légale (art. 6.1.c) |
Les contenus des utilisateurs ne sont jamais utilisés pour entraîner un modèle d’intelligence artificielle, ni par B&R DIGITAL, ni, sur la base de ses accords contractuels, par ses prestataires de modèles.
4. Destinataires et sous-traitants
Les données ne sont ni vendues, ni louées, ni cédées à des fins commerciales.
Elles sont accessibles au personnel habilité de B&R DIGITAL et aux prestataires suivants, agissant en qualité de sous-traitants ultérieurs :
| Prestataire | Rôle | Localisation des traitements |
|---|---|---|
| Discord Inc. | Plateforme sur laquelle le service s’exécute | États-Unis |
| Hostinger International Ltd. | Hébergement du site vitrine mybao.io | Union européenne |
| Railway Corporation | Hébergement de l’application et du bot | Région européenne |
| Supabase, Inc. | Hébergement des bases de données et des fichiers | Union européenne |
| Stripe Payments Europe, Ltd | Paiements et facturation | Union européenne |
| OpenRouter, Inc. | Accès aux modèles de langage | États-Unis |
| OpenAI | Indexation sémantique des connaissances | États-Unis |
| Resend | Envoi des courriers électroniques transactionnels | États-Unis |
| Meta Platforms Ireland Ltd. | Mesure des campagnes publicitaires | Irlande, avec transferts vers les États-Unis |
| TikTok Technology Limited | Mesure des campagnes publicitaires | Irlande, avec transferts vers les États-Unis et Singapour |
Transferts hors Union européenne
Certains prestataires sont établis aux États-Unis. Ces transferts sont encadrés par les garanties appropriées prévues au chapitre V du RGPD : décision d’adéquation au titre du cadre de protection des données UE, États-Unis lorsque le prestataire y est certifié, et à défaut clauses contractuelles types de la Commission européenne, complétées de mesures techniques et organisationnelles.
5. Durées de conservation
| Donnée | Durée |
|---|---|
| Compte utilisateur | Durée d’utilisation, puis 3 ans à compter du dernier accès |
| Configuration d’un serveur | Tant que le bot est installé, puis 90 jours après son retrait |
| Niveaux et expérience des membres | Tant que le bot est installé, puis 90 jours |
| Tickets et transcriptions | 12 mois à compter de la fermeture du ticket |
| Conversations avec un agent d’intelligence artificielle | 12 mois |
| Bases de connaissances | Jusqu’à suppression par l’administrateur, puis 30 jours |
| Journaux de modération et d’audit | 12 mois |
| Journaux d’envoi de messages | 12 mois |
| Droits liés aux rôles payants | Durée du droit, puis 3 ans à des fins de preuve |
| Journaux techniques et de sécurité | 12 mois maximum |
| Choix en matière de cookies | 6 mois |
| Provenance publicitaire rattachée à un compte | 13 mois |
| Pièces comptables et factures | 10 ans, conformément à l’article L.123-22 du Code de commerce |
À l’expiration de ces durées, les données sont supprimées ou anonymisées de manière irréversible.
La profondeur d’historique consultable dans le tableau de bord dépend de l’offre souscrite. Il s’agit d’une restriction d’affichage, distincte de la durée de conservation ci-dessus, qui seule détermine la suppression effective.
6. Sécurité
B&R DIGITAL met en œuvre des mesures techniques et organisationnelles appropriées, notamment :
- chiffrement des échanges par TLS ;
- chiffrement des secrets sensibles au repos, et stockage sous forme d’empreinte non réversible des secrets d’authentification ;
- cloisonnement strict des données par serveur ;
- accès aux données de production restreint aux personnes habilitées ;
- journalisation des accès et des actions d’administration ;
- sauvegardes régulières des bases de données.
En cas de violation de données susceptible d’engendrer un risque élevé, les personnes concernées et la CNIL sont informées dans les conditions des articles 33 et 34 du RGPD.
7. Vos droits
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :
- droit d’accès à vos données ;
- droit de rectification des données inexactes ;
- droit à l’effacement, dans les limites des obligations légales de conservation ;
- droit à la limitation du traitement ;
- droit à la portabilité des données que vous avez fournies ;
- droit d’opposition aux traitements fondés sur l’intérêt légitime ;
- droit de définir des directives relatives au sort de vos données après votre décès.
Ces droits s’exercent à l’adresse contact@mybao.io. Une réponse est apportée dans un délai d’un mois, prorogeable de deux mois en cas de complexité. Une preuve d’identité peut être demandée en cas de doute raisonnable.
Si votre demande porte sur des données traitées pour le compte d’un serveur (tickets, niveaux, journaux, conversations avec un agent), la décision appartient à l’administrateur de ce serveur. Adressez-vous à lui en priorité ; nous transmettrons votre demande et l’assisterons si nécessaire.
En cas de désaccord persistant, vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.
8. Mineurs
Le service est réservé aux personnes âgées d’au moins 13 ans, conformément aux conditions d’utilisation de Discord. Aucune donnée n’est collectée sciemment auprès d’une personne plus jeune. Toute donnée identifiée comme telle est supprimée sans délai sur signalement à contact@mybao.io.
9. Cookies et traceurs
9.1 Cookies strictement nécessaires
Le site et l’application utilisent des cookies strictement nécessaires à leur fonctionnement : maintien de la session d’authentification, sécurisation des échanges, mémorisation de la langue et conservation de votre choix en matière de cookies. Ces cookies sont exemptés de consentement en application de l’article 82 de la loi Informatique et Libertés.
L’application conserve également, dans un cookie bao_attr, le nom de la campagne par laquelle vous êtes arrivé et la page sur laquelle vous avez atterri, pendant 13 mois. Cela nous sert uniquement à établir des statistiques internes de fréquentation — savoir par où les gens découvrent Bao. Ces informations désignent une campagne, pas une personne, ne sont jamais recoupées avec d’autres sites et ne sont transmises à aucun tiers. À ce titre, ce cookie relève de la mesure d’audience exemptée de consentement au sens des recommandations de la CNIL, et il est conservé même si vous refusez les cookies publicitaires.
En revanche, si vous refusez, les identifiants de clic publicitaire y sont supprimés : ceux-là désignent bien une personne.
9.2 Cookies publicitaires
Nous diffusons des publicités et souhaitons savoir lesquelles amènent réellement des utilisateurs jusqu’à Bao. Cette mesure repose sur des cookies déposés par Meta Platforms Ireland Limited et par TikTok Technology Limited.
Ces cookies ne sont déposés qu’avec votre consentement, recueilli par une bannière affichée à votre première visite. Aucun n’est déposé avant votre choix. Refuser est aussi simple qu’accepter, et le refus est conservé aussi longtemps que l’acceptation.
| Cookie | Déposé par | Finalité | Durée |
|---|---|---|---|
bao_consent | Bao | Conserve votre choix, pour ne plus vous solliciter | 6 mois |
_fbp | Meta | Identifie votre navigateur pour rattacher une visite à une publicité | 3 mois |
_fbc | Meta | Conserve l’identifiant du clic publicitaire qui vous a amené | 3 mois |
_ttp | TikTok | Identifie votre navigateur pour rattacher une visite à une publicité | 3 mois |
ttclid | TikTok | Conserve l’identifiant du clic publicitaire qui vous a amené | 1 jour |
_tt_enable_cookie | TikTok | Retient si le pixel TikTok a le droit d’écrire des cookies chez vous. Il ne contient aucun identifiant, et vaut 0 si vous refusez | 3 mois |
Le site vitrine (mybao.io) et l’application (app.mybao.io) sont deux adresses du même domaine : votre choix vaut pour les deux, et il ne vous est donc demandé qu’une fois. Vous pouvez en changer à tout moment par le lien « Cookies » en pied de page.
Aucun cookie de Meta ni de TikTok n’est déposé tant que vous n’avez pas répondu à la bannière, et aucun ne l’est si vous refusez. Deux exceptions, et ce sont celles qui font respecter votre choix plutôt que de l’enfreindre : bao_consent, qui garde votre réponse pour ne pas vous la redemander, et — seulement si vous aviez d’abord accepté puis changé d’avis — _tt_enable_cookie remis à 0, qui interdit au pixel TikTok de recommencer à écrire.
9.3 Mesure des achats
Lorsqu’un abonnement est souscrit, nous transmettons à Meta et à TikTok la confirmation de cet achat depuis nos serveurs, afin de mesurer l’efficacité de nos campagnes publicitaires. Sont transmis : le montant, la devise, ainsi que votre adresse e-mail et votre identifiant Discord sous forme hachée — jamais en clair. Cette transmission ne dépose aucun cookie ni aucun traceur sur votre appareil, et aucune donnée relative à votre serveur, à vos membres ou à vos messages n’est concernée.
Ce traitement repose sur notre intérêt légitime à mesurer nos dépenses publicitaires (article 6.1.f du RGPD). Vous pouvez vous y opposer à tout moment, sans justification, en écrivant à contact@mybao.io : votre opposition est appliquée sans délai et n’a aucune conséquence sur votre abonnement.
10. Modification de la présente politique
La présente politique peut être modifiée pour tenir compte de l’évolution du service ou de la réglementation. Toute modification substantielle est portée à la connaissance des utilisateurs concernés.