Politique de confidentialité

1. Informations générales

La présente politique de confidentialité décrit les règles de traitement des données à caractère personnel dans le service DropAi.ovh. Ce document met en œuvre l'obligation d'information prévue à l'article 13 du RGPD et, pour les données non collectées directement auprès de la personne concernée, également à l'article 14 du RGPD.

La politique couvre les données fournies lors de l'utilisation d'un compte utilisateur, des formulaires de contact, de l'achat de crédits, des fonctions de traitement de fichiers ainsi que de la publication de contenus via les pages de partage.

Ce document se réfère : au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ("RGPD"), et, pour les cookies et technologies similaires, à la loi polonaise du 12 juillet 2024 - Droit des communications électroniques (notamment les articles 399-400).

2. Responsable du traitement et contact

Responsable du traitement : SMOVE sp. z o.o.

Adresse du siège : ul. Przemysłowa 14, 44-190 Knurów, Polska

E-mail : Afficher l'adresse e-mail

Téléphone : non renseigné

Formulaire de contact : /contact

Contact pour la confidentialité et l'exercice des droits RGPD : Afficher l'adresse e-mail

3. Portée des données et sources

Catégories de données

• données d'identification et de compte (par ex. e-mail, identifiant utilisateur, paramètres du compte, préférences linguistiques),
• données liées à l'utilisation du service (par ex. prompts, paramètres de tâches, métadonnées de tâches, historique d'opérations, journaux d'exécution, paramètres des pages de partage et du branding),
• fichiers téléchargés pour traitement et résultats générés (y compris l'image, le visage ou d'autres données visibles sur une photo ou une vidéo),
• données techniques transmises dans le cadre de l'exécution des tâches IA (par ex. URL publiques des fichiers d'entrée, identifiant de prédiction, statuts, métriques et journaux du modèle),
• données de facturation et de transaction (par ex. historique d'achat de crédits, identifiants de paiement Stripe et frais terminaux failed/canceled actuellement fixés à 0,0100 crédit par traitement),
• données d'attribution partenaire/referral (par ex. code referral, identifiant partenaire, source d'attribution, % de bonus client et snapshot de commission partenaire enregistré),
• données de contact et contenu des échanges (formulaire de contact, e-mail),
• données techniques et de sécurité (par ex. IP, user-agent, identifiants de session, jetons anti-bot, journaux serveur).

Sources des données (article 14 RGPD)

• en principe, les données sont collectées directement auprès de vous lors de l'utilisation du service,
• pour les paiements, une partie des données est reçue du prestataire de paiement Stripe (par ex. statut de transaction, identifiant de paiement),
• pour l'exécution des tâches IA, nous recevons également des données de retour du fournisseur IA Replicate, Inc. (par ex. statut de prédiction, métadonnées temporelles, liens vers les fichiers de sortie et journaux techniques),
• dans les scénarios événementiels, d'agence ou B2B, certaines photos et données de participants peuvent être téléversées par le titulaire du compte, l'organisateur, l'opérateur de photobooth ou une autre entité agissant pour les participants ou le client,
• si les données proviennent d'un tiers, nous fournissons une information complémentaire dans les délais prévus par l'article 14 RGPD lorsque cela est requis.

4. Finalités et bases juridiques

• création et gestion du compte ainsi que fourniture du service : article 6, paragraphe 1, point b) du RGPD (exécution d'un contrat),
• exécution des tâches IA avec un sous-traitant externe (Replicate) : article 6, paragraphe 1, point b) du RGPD et, pour la sécurité et la fiabilité du service, également article 6, paragraphe 1, point f) du RGPD,
• paiements, règlements et obligations fiscales/comptables : article 6, paragraphe 1, points b) et c) du RGPD,
• gestion des demandes et de la correspondance : article 6, paragraphe 1, point b) ou f) du RGPD,
• sécurité du service (y compris prévention des abus et des bots) : article 6, paragraphe 1, point f) du RGPD,
• attribution partenaire/referral, règlements partenaires et audit des codes referral inconnus ou inactifs : article 6, paragraphe 1, point f) du RGPD,
• constatation, exercice ou défense de droits en justice : article 6, paragraphe 1, point f) du RGPD,
• publication et mise à disposition des fichiers de sortie via des pages de partage et galeries publiques à la demande de l'Utilisateur : article 6, paragraphe 1, point b) du RGPD et, si nécessaire, également article 6, paragraphe 1, point f) du RGPD,
• actions marketing nécessitant le consentement (si activées), y compris le cookie durable d'attribution referral après l'entrée via un lien partenaire : article 6, paragraphe 1, point a) du RGPD.

Les intérêts légitimes du responsable incluent notamment : la continuité du service, la sécurité de l'infrastructure, la prévention des abus, l'assistance aux utilisateurs et la défense des droits.

5. Destinataires des données

Les données peuvent être communiquées aux catégories de destinataires suivantes :

• prestataire d'hébergement et d'infrastructure serveur : dhosting.pl (Pologne),
• prestataire d'e-mail et d'outils de communication (SMTP),
• prestataire de paiement : Stripe,
• fournisseur de technologie IA et sous-traitant : Replicate, Inc. (USA) - exécution des prédictions, traitement des prompts, paramètres et URL des fichiers d'entrée, puis retour des fichiers de sortie, journaux et métriques,
• infrastructure de diffusion des fichiers de sortie liée à Replicate (replicate.delivery et sous-domaines),
• sous-traitants ultérieurs du fournisseur IA figurant dans la liste à jour des sous-traitants de Replicate,
• prestataire de sécurité anti-bot (Google reCAPTCHA v3),
• fournisseurs de ressources front-end chargées depuis des CDN externes (par ex. jsDelivr, Google Fonts),
• partenaires referral actifs, mais uniquement via des statistiques anonymisées et agrégées du portail partenaire, sans e-mails clients, IDs publics, données de facturation, données de facture, identifiants Stripe ni autres données personnelles des clients,
• destinataires des liens de pages de partage publiques et, après diffusion publique de ces liens, moteurs de recherche, messageries et réseaux sociaux générant des aperçus ou indexant les pages publiques,
• destinataires autorisés par la loi (par ex. autorités publiques).

6. Transferts en dehors de l'EEE

En principe, les données sont traitées dans l'Espace économique européen. Toutefois, lors de l'exécution des tâches IA, des données (notamment le texte du prompt, les URL des fichiers d'entrée et les métadonnées de prédiction) sont transférées à Replicate, Inc. établie aux États-Unis, ce qui constitue un transfert hors de l'EEE.

Dans ce cas, nous appliquons des mécanismes conformes au chapitre V du RGPD, notamment une décision d'adéquation (par ex. pour les entités couvertes par le EU-US Data Privacy Framework) ou des clauses contractuelles types (SCC), complétées si nécessaire par des garanties supplémentaires. Les informations sur le mécanisme actuellement appliqué pour un destinataire donné peuvent être obtenues en contactant le responsable.

7. Durée de conservation

• données du compte : pendant la durée du contrat/compte puis jusqu'à l'expiration des délais de prescription,
• données de facturation et comptables : pendant la durée requise par la législation fiscale et comptable,
• données du formulaire de contact et correspondance : jusqu'à 24 mois après clôture du dossier, ou plus longtemps si nécessaire pour des réclamations,
• données techniques et de sécurité (logs) : pendant la durée nécessaire à la sécurité et à l'analyse d'incidents,
• données envoyées à Replicate via l'API Predictions (input/output/logs) : supprimées côté Replicate par défaut environ 1 heure après la fin de la prédiction (selon la documentation API du fournisseur),
• métadonnées de tâches stockées chez nous (par ex. statuts, identifiants de prédiction, paramètres et payloads techniques) : conservées pendant la durée nécessaire aux règlements, au traitement des réclamations et à la défense des droits,
• paramètres de consentement cookies (CMP) : dans le navigateur jusqu'à 180 jours ou jusqu'à modification/suppression ; dans le compte utilisateur jusqu'à modification ou suppression du compte,
• cookie d'attribution referral (dropai_referral) : dans le navigateur jusqu'à 30 jours après consentement marketing ou jusqu'à suppression ; le Service peut aussi le supprimer plus tôt après une connexion réussie lorsqu'il n'est plus nécessaire à l'attribution d'une nouvelle inscription ; la continuité referral limitée à la session sans ce consentement dure seulement jusqu'à la fin de la session du navigateur,
• cookie limitant les nouvelles demandes d'activation des prix HT (dropai_net_pricing_request) : dans le navigateur jusqu'à 48 heures ou jusqu'à suppression,
• entrées d'audit créées à l'inscription pour des codes referral inconnus ou inactifs : pendant la durée nécessaire aux règlements, au support, à l'analyse des abus et à la défense des droits,
• paramètres des pages de partage et fichiers de branding : jusqu'à leur modification, la suppression du compte ou leur suppression par l'Utilisateur, sauf si une conservation plus longue est nécessaire pour des réclamations ou la sécurité,
• fichiers utilisateur stockés sur disque : 90 jours ; après ce délai, les fichiers sont supprimés de manière irréversible du disque et ne peuvent pas être récupérés ; les enregistrements de base de données peuvent rester plus longtemps.

8. Rôles du responsable, de l'Utilisateur et des galeries publiques

Pour les données du compte, la facturation, la sécurité, les demandes d'assistance et le fonctionnement courant du Service, nous agissons en tant que responsable du traitement.

Dans les scénarios événementiels, d'agence, B2B ou de photobooth, l'Utilisateur, l'organisateur ou l'opérateur peut décider de manière autonome si et quelles données de participants sont collectées, téléversées dans le Service, traitées par IA ou publiées. Dans ce cadre, l'Utilisateur peut agir comme responsable distinct des données des participants, et nous pouvons traiter ces données comme prestataire technique agissant sur ses instructions, indépendamment de notre rôle de responsable pour les données de compte, de facturation et de sécurité.

Les pages de partage et galeries publiques sont conçues pour un accès via un lien. Si l'Utilisateur partage un tel lien, les contenus et métadonnées d'aperçu peuvent devenir accessibles aux destinataires du lien ainsi qu'à des services externes générant des aperçus ou indexant les contenus publics. La suppression d'un fichier de notre Service ne garantit pas sa suppression immédiate des caches ou index externes.

9. Photos, visages, catégories particulières de données et mineurs

Le Service traite les visages et autres éléments visibles sur une image uniquement comme partie de l'image nécessaire à l'exécution du traitement IA et à la fourniture du résultat. Dans nos propres systèmes, nous ne fournissons pas de fonctionnalité destinée à la reconnaissance faciale, à la vérification d'identité ou à la constitution de gabarits biométriques permanents.

Dans nos propres systèmes, nous n'utilisons pas de manière autonome les fichiers téléversés pour entraîner nos propres modèles IA. Le traitement IA est réalisé avec des fournisseurs externes et des modèles sélectionnés, dont les propres conditions et règles de confidentialité peuvent influencer la manière dont les données sont traitées de leur côté.

Le Service n'est pas destiné à une utilisation directe par des enfants comme titulaires de compte. Si vous téléversez des photos de mineurs ou des catégories particulières de données, vous devez disposer d'une base légale appropriée et, lorsque cela est requis, du consentement d'un parent, d'un représentant légal ou d'une autre base légale valable.

10. Droits des utilisateurs et réclamation auprès de l'UODO

Vous disposez des droits suivants :

• accès à vos données,
• rectification de vos données,
• effacement de vos données ("droit à l'oubli"),
• limitation du traitement,
• portabilité des données,
• opposition au traitement fondé sur l'article 6, paragraphe 1, point f) du RGPD,
• retrait du consentement à tout moment (lorsque le consentement constitue la base juridique), sans effet sur la licéité du traitement antérieur.

Droit d'accès à toutes les données enregistrées : vous pouvez demander des informations sur toutes les données personnelles que le système a enregistrées à votre sujet, y compris une copie des données (article 15 RGPD). Envoyez votre demande à Afficher l'adresse e-mail.

Droit à l'effacement : vous pouvez demander la suppression irréversible de votre compte et des contenus créés dans le service (article 17 RGPD). Envoyez votre demande à Afficher l'adresse e-mail. Nous traitons ces demandes sans délai injustifié, sous réserve des données devant être conservées en vertu de la loi (par ex. documents comptables) ou nécessaires à la défense en justice.

L'exercice des droits ci-dessus couvre également les données traitées par nos sous-traitants (y compris Replicate), dans la mesure où nous avons accès à ces données et pouvons exécuter efficacement la demande.

Nous répondons aux demandes d'exercice des droits des personnes concernées sans retard injustifié et, en principe, dans un délai d'1 mois à compter de leur réception, avec possibilité de prolongation dans les cas prévus par le RGPD.

Vous avez également le droit d'introduire une réclamation auprès de l'autorité de contrôle : Président de l'Office de protection des données personnelles (UODO), ul. Stawki 2, 00-193 Varsovie, uodo.gov.pl.

11. Caractère facultatif de la fourniture des données

La fourniture des données est facultative, mais dans de nombreux cas nécessaire à la conclusion et à l'exécution du contrat (par ex. création de compte, exécution des tâches, paiement). L'absence de fourniture des données requises pour une action donnée peut empêcher l'utilisation du service ou d'une partie de celui-ci.

L'étendue des contenus téléversés doit être limitée aux données nécessaires à l'exécution de l'effet, à la réalisation du traitement ou à la publication des contenus. Lorsqu'il existe une méthode moins intrusive pour atteindre le même objectif, celle-ci devrait être privilégiée.

12. Profilage et décisions automatisées

Le responsable ne prend pas, à l'égard des utilisateurs, de décisions produisant des effets juridiques ou les affectant de manière similaire de façon significative, uniquement sur la base d'un traitement automatisé, y compris le profilage.

13. Cookies et outils analytiques/marketing

Le service utilise des cookies et technologies similaires (y compris localStorage) à des fins nécessaires, fonctionnelles et de sécurité. À ce jour, nous n'utilisons pas de pixels marketing tiers tels que Google Analytics, Meta Pixel, Hotjar ou Microsoft Clarity, mais nous pouvons enregistrer notre propre état d'attribution referral lorsque vous arrivez via un lien partenaire.

Les règles relatives au stockage d'informations sur l'équipement terminal de l'utilisateur et à l'accès à ces informations sont appliquées conformément au Droit des communications électroniques (articles 399-400). Le consentement est requis pour les technologies autres que celles strictement nécessaires à la fourniture du service.

Les cookies strictement nécessaires au fonctionnement du service sont utilisés sans consentement distinct. Si vous arrivez via un lien partenaire/referral, nous pouvons conserver cette attribution dans la session courante du navigateur afin de préserver le parcours d'inscription en cours ; l'écriture dans le cookie durable dropai_referral n'a lieu qu'après consentement marketing, et après une connexion réussie nous pouvons supprimer plus tôt cette attribution lorsqu'elle n'est plus nécessaire pour une nouvelle inscription.

Vous pouvez gérer les paramètres cookies dans votre navigateur, via le lien permanent "Paramètres des cookies" dans le pied de page et (après connexion) dans les paramètres de votre compte. La modification du consentement est possible à tout moment.

14. Sécurité et modifications de la politique

Nous appliquons des mesures organisationnelles et techniques adaptées au risque, notamment le chiffrement des transmissions (SSL/TLS), le contrôle d'accès, les mécanismes d'autorisation, la protection contre les abus, la séparation logique des ressources utilisateurs et la surveillance de la sécurité des services.

L'infrastructure d'hébergement est située en Pologne (dhosting.pl), dans un environnement déclaré par le fournisseur comme conforme aux exigences de la classe Tier-3 (ANSI/TIA-942), avec redondance d'alimentation, systèmes de surveillance et protections physiques.

Cette politique peut être mise à jour en fonction de changements juridiques, organisationnels ou technologiques. La version en vigueur s'applique à compter de la date indiquée au début du document.