Document légal
Politique de confidentialité
Dernière mise à jour : 26 juillet 2026
1.Responsable de traitement
Pour les données liées aux comptes, à la facturation et au fonctionnement du site, le responsable de traitement est Martin MALLEIN, entrepreneur individuel (SIREN 883 708 943), joignable à malleinmartin@gmail.com.
Un délégué à la protection des données n’a pas été désigné, cette désignation n’étant pas obligatoire au regard de l’activité. Les demandes relatives aux données sont traitées à l’adresse ci-dessus.
2.Double rôle : responsable et sous-traitant
Le rôle de l’Éditeur diffère selon la nature des données :
| Données | Rôle de l’Éditeur | Rôle du Client |
|---|---|---|
| Compte, facturation, support, mesure d’audience | Responsable de traitement | Personne concernée ou point de contact |
| Photographies téléversées et rendus, lorsqu’ils comportent des données personnelles de tiers (occupants, voisinage, plaques, éléments identifiants) | Sous-traitant au sens de l’article 28 du RGPD | Responsable de traitement |
Lorsqu’il téléverse des images, le Client garantit disposer d’une base légale et avoir informé, le cas échéant, les personnes concernées. Il lui appartient d’éviter de téléverser des photographies comportant des personnes identifiables ou des données sensibles, celles-ci n’étant pas nécessaires à la finalité du Service.
3.Données traitées et finalités
| Catégorie | Finalité | Base légale |
|---|---|---|
| Identité et contact (nom, e-mail, organisation) | Création et gestion du compte, support | Exécution du contrat (art. 6.1.b RGPD) |
| Données d’authentification (identifiant, jetons de session) | Sécurisation de l’accès | Exécution du contrat et intérêt légitime à la sécurité |
| Photographies téléversées et rendus générés | Fourniture du service de home staging virtuel | Exécution du contrat ; pour les tiers figurant sur les images, base définie par le Client |
| Métadonnées techniques des images (dimensions, poids, empreinte SHA-256) | Déduplication, contrôle qualité, traçabilité et preuve d’intégrité | Exécution du contrat et intérêt légitime à la traçabilité |
| Journal d’audit (opérations horodatées, actions, identifiants d’acteurs) | Conformité des visuels, preuve en cas de contestation, sécurité | Intérêt légitime et obligation de loyauté commerciale |
| Registre de crédits (débits, remboursements) | Décompte de la consommation et facturation | Exécution du contrat |
| Données de facturation (montants, historique de paiement) | Facturation et comptabilité | Obligation légale (art. L. 123-22 code de commerce) |
| Journaux techniques (adresse IP, agent utilisateur, erreurs) | Sécurité, diagnostic et prévention des abus | Intérêt légitime |
Aucune décision entièrement automatisée produisant des effets juridiques au sens de l’article 22 du RGPD n’est prise à l’égard des personnes concernées.
4.Traitement des métadonnées d’images
Les photographies téléversées peuvent contenir des métadonnées EXIF, dont des coordonnées GPS. Le Service applique le traitement suivant :
- les fichiers dérivés (versions de travail, rendus, exports) sont ré-encodés, ce qui supprime les métadonnées EXIF et GPS d’origine ;
- le fichier original est conservé tel quel, afin de préserver sa valeur probatoire ; il peut donc encore contenir ses métadonnées, et n’est accessible qu’aux membres autorisés de l’organisation ;
- une empreinte SHA-256 est calculée pour chaque original, afin de détecter les doublons et d’attester l’intégrité du fichier.
5.Traitement par intelligence artificielle
Les images sont transmises à Google (API Gemini) pour analyse et génération des rendus. Ce traitement est nécessaire à l’exécution du Service.
- Les images transmises sont les versions dérivées, dépourvues de métadonnées EXIF et GPS.
- Le prestataire s’engage, pour les usages via son interface payante, à ne pas utiliser les contenus soumis pour entraîner ses modèles.
- Les contenus peuvent être conservés temporairement par le prestataire à des fins de sécurité et de prévention des abus, selon ses propres conditions.
- Aucun traitement d’IA n’est appliqué aux images à d’autres fins que la production du rendu demandé.
6.Destinataires et sous-traitants
Les données ne sont ni vendues, ni louées, ni cédées à des fins publicitaires. Elles sont accessibles à l’Éditeur et aux sous-traitants suivants, engagés par contrat conforme à l’article 28 du RGPD :
| Sous-traitant | Traitement | Localisation |
|---|---|---|
| Supabase Inc. | Base de données, authentification, stockage des images | Données hébergées dans l’Union européenne (région eu-west-1, Irlande) ; société établie hors UE, susceptible d’un accès support depuis les États-Unis |
| Vercel Inc. | Hébergement applicatif, exécution des fonctions serveur, journaux | États-Unis / réseau de diffusion mondial |
| Google Ireland Ltd. / Google LLC | Analyse et génération d’images (API Gemini) | Irlande et États-Unis |
| Stripe Payments Europe Ltd. | Traitement des paiements et facturation | Irlande, avec transferts vers les États-Unis |
| Resend (Plus Five Five, Inc.) | E-mails transactionnels (lien de connexion, notifications) | États-Unis, avec option de région d’envoi européenne |
Les données peuvent également être communiquées aux autorités administratives ou judiciaires lorsque la loi l’exige.
7.Transferts hors Union européenne
Les données stockées de manière durable — base de données, comptes, photographies originales, rendus et exports — sont hébergées dans l’Union européenne. Des transferts hors UE subsistent néanmoins pour le traitement des images par le modèle d’IA, l’envoi des e-mails transactionnels, l’exécution applicative et le paiement. Ces transferts sont encadrés par :
- les clauses contractuelles types adoptées par la Commission européenne (décision d’exécution (UE) 2021/914) ;
- le cas échéant, la certification du destinataire au titre du Data Privacy Framework UE–États-Unis ;
- des mesures techniques complémentaires : chiffrement en transit et au repos, cloisonnement par organisation, accès restreint.
Une copie des garanties applicables peut être demandée à malleinmartin@gmail.com.
8.Durées de conservation
| Données | Durée |
|---|---|
| Compte et données de profil | Pendant la durée du contrat, puis suppression dans un délai de quatre-vingt-dix jours après clôture |
| Photographies originales, rendus et exports | Jusqu’à suppression par le Client, ou quatre-vingt-dix jours après la clôture du compte ; la suppression demandée depuis l’application est immédiate |
| Empreintes SHA-256 des images supprimées | Conservées dans le journal d’audit sans le fichier associé, à des fins de preuve, pendant cinq ans |
| Journal d’audit | Cinq ans à compter de l’opération, en cohérence avec le délai de prescription commerciale |
| Registre de crédits | Pendant la durée du contrat, puis dix ans au titre des obligations comptables |
| Factures et pièces comptables | Dix ans (art. L. 123-22 du code de commerce) |
| Journaux techniques et de sécurité | Six mois à un an |
| Prospects sans souscription | Trois ans à compter du dernier contact |
Le journal d’audit est conçu comme un registre non modifiable : ses entrées ne peuvent être ni altérées ni effacées avant leur échéance, ce qui constitue une limitation assumée du droit d’effacement, justifiée par la constatation et l’exercice de droits en justice (art. 17.3.e du RGPD). Les entrées ne contiennent pas les images elles-mêmes.
9.Sécurité
- Chiffrement des échanges en HTTPS et chiffrement des données au repos chez les hébergeurs.
- Cloisonnement strict des données par organisation, appliqué directement au niveau de la base de données.
- Stockage des fichiers dans des espaces privés, accessibles uniquement via des liens signés à durée limitée.
- Journalisation des opérations sensibles et registre de crédits non modifiable.
- Contrôle des accès administrateurs et principe du moindre privilège.
En cas de violation de données susceptible d’engendrer un risque pour les droits et libertés des personnes, la CNIL est notifiée dans les soixante-douze heures et les personnes concernées informées lorsque le risque est élevé.
10.Cookies et traceurs
Le Service utilise des cookies strictement nécessaires à son fonctionnement : maintien de la session authentifiée, sécurité et préférence de thème. Ces cookies sont exemptés de consentement au sens de l’article 82 de la loi Informatique et Libertés.
11.Vos droits
Toute personne concernée dispose des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, ainsi que du droit de définir des directives relatives au sort de ses données après son décès.
- Ces droits s’exercent auprès de malleinmartin@gmail.com , avec une réponse dans un délai d’un mois, prolongeable de deux mois en cas de complexité.
- Une pièce justificative d’identité peut être demandée en cas de doute raisonnable sur l’identité du demandeur.
- Lorsque la demande porte sur des personnes figurant sur des photographies téléversées, elle est transmise au Client concerné, responsable de ce traitement, que l’Éditeur assiste conformément à l’article 28 du RGPD.
Une réclamation peut être adressée à la CNIL — 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr.
12.Modification de la politique
Cette politique peut évoluer avec le Service. Toute modification substantielle est notifiée par e-mail ou dans l’application au moins trente jours avant son entrée en vigueur. La date de dernière mise à jour figure en tête de page.