Un créateur qui ouvre une page de liens confie à un service ses propres données, mais aussi celles de son public : les visites, les adresses laissées par les acheteurs, la liste des membres. La question de savoir où ces informations sont stockées, et qui peut y accéder, se pose rarement au moment de l’inscription. Elle revient pourtant vite, dès qu’un abonné demande la suppression de ses données ou qu’un partenaire interroge sur le respect du RGPD.
Où vont concrètement les données
La politique de confidentialité de Linktrib, dans sa version du 9 septembre 2026, liste ses sous-traitants et leur localisation. La base de données et l’authentification sont confiées à Supabase, dans la région européenne eu-west-1, en Irlande. L’application tourne chez Vercel, avec des fonctions configurées dans la région de Francfort. Les paiements passent par Stripe Payments Europe, établi en Irlande. Les outils internes sont hébergés chez OVHcloud, dans l’Union.
Le document ne s’arrête pas là, et c’est ce qui le rend crédible. Il précise que certains prestataires sont établis hors de l’Union ou font appel à des sous-traitants internationaux : l’envoi des courriels (Resend), la mesure d’audience Google Analytics, et le stockage de fichiers, dont l’emplacement dépend de la configuration du service. Ces transferts sont encadrés par les clauses contractuelles types et, lorsqu’il s’applique, par le cadre de protection des données entre l’Union et les États-Unis.
Des statistiques sans cookie
Le point le plus concret concerne la mesure des visites. Les vues et les clics d’une page Linktrib sont comptés côté serveur, sans cookie. L’identifiant utilisé est une empreinte calculée à partir de l’adresse IP, du navigateur, de la date du jour et d’une clé secrète ; l’adresse IP elle-même n’est jamais enregistrée et l’empreinte change chaque jour, ce qui empêche de suivre une personne dans la durée. Google Analytics, lui, ne mesure l’audience globale du site linktrib.com qu’après accord explicite du visiteur.
Pour le créateur, cela signifie des statistiques de page qui ne dépendent pas d’un bandeau de consentement, et un public qui n’est pas pisté d’un site à l’autre.
Qui est responsable de quoi
La politique distingue deux rôles. Pour le compte du créateur et les visiteurs du site, Dyonysos est responsable de traitement. Pour les données qu’un créateur collecte via sa propre page (contacts, membres, acheteurs), c’est le créateur qui est responsable, Linktrib agissant comme sous-traitant au sens de l’article 28 du RGPD. Cette répartition est classique, mais elle est rarement écrite aussi clairement.
Côté droits, l’export et la suppression se déclenchent depuis les réglages du compte. La demande est confirmée par un lien envoyé par courriel, puis exécutée dans un délai maximal d’un mois. Les fichiers vendus sont servis par des liens signés à durée limitée, jamais par une adresse publique, et les sauvegardes sont chiffrées.
Ce que l’hébergement ne règle pas
Héberger en Europe ne rend pas un service conforme par magie. Le RGPD s’applique à toute organisation qui traite les données de personnes situées dans l’Union, où qu’elle soit installée, et la CNIL rappelle que les transferts hors de l’Union restent possibles s’ils sont encadrés. L’intérêt d’un hébergement européen est ailleurs : il réduit le nombre de transferts à justifier et place l’essentiel des données sous le même droit que celui du créateur.
Deux limites doivent aussi être dites. La gestion de la TVA n’est pas présentée comme opérationnelle : selon la FAQ, elle dépendra de la configuration de Stripe et du statut du vendeur. Et la vente s’active une fois le compte de paiement Stripe connecté et validé. Les pages tarifaires de Linktree, Beacons et Stan que nous avons consultées le 29 septembre 2026 ne mentionnent pas, elles, le lieu d’hébergement des données.
Dernier élément, plus prosaïque : les formules de Linktrib sont affichées en euros, de 0 € à 22,80 € par mois en facturation annuelle. Un créateur européen sait donc ce qu’il paiera, sans dépendre du cours du dollar.