Politique de confidentialité

1. Identité du responsable du traitement

Le responsable du traitement de vos données à caractère personnel au sens du règlement (UE) 2016/679 (règlement général sur la protection des données — « RGPD ») et de la législation nationale applicable en matière de protection des données est :

2. Catégories de données traitées et finalités

Nous ne traitons des données à caractère personnel que dans la mesure nécessaire à la fourniture d'un service de conformité sécurisé, fonctionnel et auditable :

2.1 Outils gratuits en navigateur, sans authentification

Lorsque vous utilisez nos outils web interactifs gratuits (comme l'outil de marquage d'image en navigateur ou le générateur de divulgation), le traitement des fichiers a lieu intégralement dans votre navigateur à l'aide de WebAssembly, du canvas HTML et de scripts locaux exécutés côté client. Les fichiers médias que vous chargez ne sont ni transmis à nos serveurs ni stockés sur ceux-ci.

2.2 Données de compte et d'authentification

Si vous créez un compte ou utilisez notre API / tableau de bord authentifié (`/app`), nous collectons votre adresse e-mail, l'empreinte de votre mot de passe, le rôle associé à votre compte et les clés d'API générées. Ces données sont nécessaires pour gérer votre compte, authentifier les requêtes et comptabiliser l'utilisation de votre abonnement (art. 6, § 1, point b), RGPD).

2.3 Téléversements de médias éphémères et journaux d'audit de conformité

Pour le traitement automatisé des médias via l'API (vidéo, audio, images haute résolution et artefacts textuels auditables) :

• Fichiers médias éphémères : Les fichiers médias téléversés sont stockés temporairement dans un espace de file d'attente isolé, uniquement pour procéder à l'insertion du filigrane, à la signature du manifeste C2PA et à l'extraction des métadonnées. Les fichiers médias sont automatiquement supprimés à l'issue de la tâche (ou dans un délai maximal de 24 heures).
• Enregistrements de preuve pour audit : Nous conservons des empreintes cryptographiques non sensibles (p. ex. SHA-256), les métadonnées de revendication C2PA, les identifiants de divulgation et les horodatages RFC 3161. Ces journaux de preuve ne contiennent aucun média brut et sont conservés afin de permettre aux clients de vérifier leur conformité à l'article 50 (art. 6, § 1, points b) et f), RGPD).

2.4 Données de facturation et de paiement

Les paiements sont traités de manière sécurisée par notre prestataire de services de paiement (p. ex. Stripe ou Paddle). Nous ne conservons pas les données complètes de carte bancaire sur notre infrastructure. Nous conservons les identifiants de transaction, le niveau d'abonnement, l'adresse de facturation, le numéro de TVA intracommunautaire et l'historique des factures, à des fins fiscales et de conformité comptable légale (art. 6, § 1, point c), RGPD).

2.5 Journaux techniques et ingénierie de la sécurité

Lorsque vous accédez à notre site web ou à notre API, les fichiers journaux du serveur enregistrent temporairement votre adresse IP, l'agent utilisateur de votre navigateur, l'horodatage de l'accès et les en-têtes des requêtes HTTP. Ces données sont traitées strictement à des fins de sécurité du réseau, de prévention des abus, de limitation du débit et de prévention des intrusions par fail2ban (art. 6, § 1, point f), RGPD). Les journaux sont automatiquement purgés au bout de 30 jours.

3. Bases légales du traitement

• Exécution du contrat (art. 6, § 1, point b), RGPD) : Traitement nécessaire à la fourniture des services SaaS, au traitement des appels d'API et à la délivrance des dossiers de preuve.
• Obligation légale (art. 6, § 1, point c), RGPD) : Respect des lois fiscales, des obligations comptables légales et des exigences réglementaires de tenue des livres.
• Intérêts légitimes (art. 6, § 1, point f), RGPD) : Maintien de la sécurité de l'infrastructure serveur, prévention de la fraude, application des limites d'utilisation de l'API et défense de nos droits en justice.

4. Sous-traitants ultérieurs et transferts de données

Nous faisons appel à des prestataires tiers de confiance (« sous-traitants ultérieurs ») pour exploiter notre infrastructure :

L'ensemble du stockage de données et des nœuds serveurs se situe au sein de l'Espace économique européen. Lorsque des sous-traitants ultérieurs traitent des données en dehors de l'EEE, les transferts sont encadrés par des clauses contractuelles types (CCT) ou par le cadre de protection des données UE–États-Unis (EU-U.S. Data Privacy Framework).

5. Cookies et stockage local

Nous privilégions la confidentialité des utilisateurs et limitons le stockage de données au strict minimum :

• Cookies de session essentiels : Utilisés exclusivement pour maintenir la session des utilisateurs authentifiés dans le tableau de bord (`/app`).
• Clés de stockage local (LocalStorage) : Utilisées dans votre navigateur pour mémoriser vos préférences d'interface (p. ex. la langue sélectionnée `ui_locale` et le basculement entre le mode clair et le mode sombre).
• Aucun cookie publicitaire ni de suivi : Nous n'utilisons ni cookies publicitaires comportementaux de tiers, ni scripts de suivi intersites.

6. Conservation et effacement des données

• Médias téléversés : Purgés immédiatement après le traitement (24 h au maximum).
• Données de compte : Conservées pendant toute la durée de l'abonnement actif de votre compte.
• Dossiers de preuve pour audit : Conservés tant que votre compte reste actif ou jusqu'à leur suppression par vos soins, afin de préserver un historique de conformité infalsifiable.
• Factures et documents comptables : Conservés de 6 à 10 ans conformément aux obligations fiscales légales de l'UE.

7. Vos droits en tant que personne concernée au titre du RGPD

En vertu des articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Droit d'accès (art. 15) : Obtenir la confirmation du traitement et une copie des données à caractère personnel traitées.
• Droit de rectification (art. 16) : Faire corriger des données à caractère personnel inexactes ou incomplètes.
• Droit à l'effacement (« droit à l'oubli », art. 17) : Demander la suppression de vos données à caractère personnel lorsque les motifs applicables sont réunis.
• Droit à la limitation du traitement (art. 18) : Limiter le traitement des données dans certaines conditions prévues par la loi.
• Droit à la portabilité des données (art. 20) : Recevoir vos données à caractère personnel dans un format structuré et lisible par machine.
• Droit d'opposition (art. 21) : Vous opposer à un traitement fondé sur des intérêts légitimes.
• Droit d'introduire une réclamation (art. 77) : Vous avez le droit d'introduire une réclamation auprès d'une autorité de contrôle de la protection des données (p. ex. l'autorité compétente de votre État membre de l'UE).

Pour exercer l'un de ces droits, veuillez nous écrire à l'adresse [email protected].