Politique de Confidentialité

1. Présentation de l'entreprise et notre objectif

La présente Politique de Confidentialité décrit les modalités de collecte et de traitement des données personnelles par LENSIA, dont le siège est situé à DIJON.

Nous nous engageons à protéger la vie privée et les données personnelles de nos utilisateurs, dans le respect des règlementations en vigueur, et notamment du Règlement Général sur la Protection des Données (RGPD). Cette politique de confidentialité explique quelles données nous collectons, pourquoi nous les collectons, comment nous les utilisons et quels sont vos droits.

2. Coordonnées des référents

Pour toute question relative à la protection de vos données, vous pouvez contacter nos collaborateurs aux adresses suivantes :

• Responsable de traitement : Cédric MOLARD - [email protected]
• DPO : Emilie MAILLARD – [email protected]

3. Collecte des données

Nous collectons vos données personnelles de manière transparente et uniquement dans la mesure nécessaire pour vous offrir une expérience optimale sur notre plateforme. Cette collecte intervient lors de votre inscription, de l’utilisation de nos services ou de votre navigation sur le site, et repose sur des bases légales clairement identifiées. Les informations recueillies sont utilisées pour assurer la gestion de votre compte, la fourniture des services proposés et l’amélioration continue de notre plateforme, tout en garantissant la sécurité et la confidentialité de vos données.

Lorsque vous utilisez LENSIA, nous pouvons être amenés à collecter les catégories de données suivantes :

1. Données d’identification : nom, prénom, adresse email, mot de passe, photo de profil.
   Les données d’identification sont collectées afin de pouvoir vous inscrire et gérer votre compte utilisateur afin de vous offrir des services personnalisés.
2. Données d’authentification : adresse email (comme identifiant de connexion), mot de passe.
   Les données d’authentification sont collectées dans le but que vous puissiez vous connecter sur notre plateforme.
3. Données biométriques :
   • Reconnaissance faciale : Pour faire en sorte que la recherche par reconnaissance faciale fonctionne, nous transformons temporairement votre visage en vecteurs numériques afin de permettre l’identification. Nous stockons l’image brute de votre visage, mais également le vecteur mathématique.
     Pour cette fonctionnalité, la collecte des données ne se fait qu’avec le consentement explicite de l’utilisateur, et est enregistrée afin qu’il n’ait pas besoin de scanner de nouveau son visage à chaque fois qu’il voudra utiliser la fonctionnalité. À tout moment, ce dernier pourra exercer son droit à l’oubli, mais de toute évidence, la fonctionnalité de reconnaissance faciale ne fonctionnera plus.
4. Données liées aux galeries :
   • Gestion des galeries : Tout utilisateur de la plateforme peut créer une galerie, il deviendra alors « Propriétaire » de la galerie. Seul l’identifiant de l’utilisateur sera stocké pour la création et la modification d’une galerie.
   • Recherche par reconnaissance faciale : Lors de la recherche par reconnaissance faciale, nous collectons les photos sur lesquels le visage de l’utilisateur apparait ainsi que les données biométriques de l’utilisateur.
   • Photos chargées sur la plateforme : Les utilisateurs ayant le rôle « Propriétaire » ou « Contributeur » peuvent publier des photos d’événements dans une galerie. Ces photos peuvent contenir des personnes identifiables.
     La publication de photos est soumise à l’autorisation des propriétaires de chaque galerie. Lorsqu’un propriétaire intègre un contributeur à la galerie, il l’autorise automatiquement à y publier des photographies.
     Toutefois, vous pouvez exercer vos droits si vous apparaissez sur l’une d’entre elles en envoyant un email au responsable de traitement.
   • Galeries favorites : Lorsque vous ajoutez une galerie de la liste de vos galeries favorites, nous stockons votre identifiant utilisateur afin de faire la liaison avec la galerie que vous avez ajoutée.
5. Système de paiement pour l'achat de crédits :
   • L’identifiant de votre compte utilisateur dans notre base de données pour que les transactions effectuées soient bien reliées directement à votre compte
   • Lors de votre paiement, nous utilisons le service Stripe pour traiter la transaction de manière sécurisée. Nous ne transmettons à Stripe que votre adresse email et un identifiant unique interne. Il nous sert à associer votre paiement à votre compte dans notre système, et ne permet pas de vous identifier en dehors de notre plateforme.
   • Certaines données comme : Identifiant de session, Identifiant du client (de l’utilisateur chez Stripe), Montant sont stockés dans notre base de données pour effectuer au mieux ce service pour des raisons d’obligations légales.

4. Finalités et bases légales

Dans le cadre du traitement des données personnelles sur notre application web, nous nous appuyons sur différentes bases légales prévues par le RGPD (Règlement Général sur la Protection des Données). Chaque traitement est justifié par l’une de ces bases légales, ce qui nous permet de garantir la licéité de la collecte, du stockage et de l’utilisation des informations. Nous identifions précisément la finalité de chaque traitement pour déterminer la base légale correspondante et assurer ainsi une transparence totale vis-à-vis de nos utilisateurs.

Nous utilisons vos données dans les buts suivants :

• Gestion du compte utilisateur :
  • La création de votre compte utilisateur (Exécution du contrat)
  • L’authentification de votre compte utilisateur (Exécution du contrat)
  • La consultation ou la modification de votre compte utilisateur (Exécution du contrat)
• Gestion du scan facial :
  • La gestion des données biométriques de l’utilisateur (Consentement explicite)
• Gestion des galeries :
  • La création/consultation/modification de galeries de photos (Exécution du contrat)
  • Le stockage des photos dans une galerie où vous pouvez apparaitre (Exécution du contrat)
  • La recherche de photos par reconnaissance faciale (Consentement)
  • L’ajout d’une galerie dans la liste des favoris (Exécution du contrat)
  • L’Ajout/invitation d’autres utilisateurs dans une galerie (Exécution du contrat)
• Système de paiement des crédits :
  • L’utilisation des données le temps de la transaction bancaire effectuée (Exécution d’un contrat)
  • La gestion et la mise à disposition des factures liées aux achats (Obligation légale)

Définition des bases légales utilisées sur notre plateforme :

• Exécution du contrat : le traitement est nécessaire à l’exécution ou à la préparation d’un contrat avec la personne concernée
• Consentement : la personne a consenti au traitement de ses données
• Consentement explicite : la personne a consenti au traitement de ses données sensibles.
  Remarque : Nous mettons tout en œuvre pour que vous soyez informé au mieux et que le consentement soit clair, détaillé et non ambigu.
• Obligation légale : le traitement est imposé par des textes légaux

5. Destinataires

Nous nous engageons à limiter l’accès à vos données personnelles aux seules personnes ou entités pour lesquelles ce traitement est indispensable à la réalisation des finalités définies. Ainsi, vos informations sont partagées uniquement avec des destinataires sélectionnés qui agissent en qualité de sous-traitants ou d'intervenants de confiance, et qui respectent les mêmes exigences en matière de sécurité et de confidentialité. Ce partage se fait dans le strict respect du cadre légal, et vous êtes informé de la nature des destinataires ainsi que de la finalité de chaque transmission de données.

Personnel interne / Équipe de la plateforme

Ce type de destinataire concerne nos administrateurs, l’équipe technique ou encore le service support.

Finalités

Il est nécessaire pour nous d’avoir accès à vos données pour plusieurs raisons :

• Gestion des comptes utilisateurs et de vos profils
• Gestion du scan facial
• Gestion des galeries
• Gestion des photos
• Gestion des transactions de paiement
• Gestion des factures

Azure OpenAI

Azure OpenAI est une plateforme d’IA hébergée sur Microsoft Azure, fournissant les mêmes API de génération et d’analyse de langage naturel qu’OpenAI, mais gérée par Microsoft.

Données collectées et traitées

• Contenus soumis au modèle : prompts, images
• Contenus générés : mots-clés

Lieu de traitement

• Les données sont stockées dans les centres de données Microsoft Azure (Cloud externe) en Union Européenne, mais avec un possible accès depuis les États-Unis.
• Les données transitent et sont traitées dans le tenant Azure que nous avons configuré.

Finalités

• Analyse des photographies
• Génération des mots-clés

Stripe

Stripe est une plateforme de paiement en ligne tierce pour les actions d’achats de crédits.

Données collectées et traitées

• Données de paiement : numéro de carte bancaire, date d’expiration, cryptogramme visuel
• Coordonnées : Identifiant, nom complet, adresse email, pays ou région
• Transactions : identifiant de transaction, date de création, date de confirmation de la transaction, montant, statut de la transaction, devise, identifiant de l’intention de paiement, identifiant du jeton de carte, url du reçu.

Remarque : De notre côté, nous transmettons votre identifiant utilisateur et votre email à Stripe afin de pouvoir lier votre compte et vos transactions.

Lieu de traitement

Les données sont stockées sur les serveurs sécurisés de Stripe (Cloud externe).

Finalités

• Traitement et suivi de vos paiements
• Gestion des factures

6. Durée de conservation

Nous nous engageons à conserver vos données personnelles uniquement pour la durée nécessaire à la réalisation des finalités pour lesquelles elles ont été collectées. Chaque type de données est soumis à une durée de conservation spécifique, en fonction des obligations légales, contractuelles et des besoins opérationnels de notre plateforme. A l’issue de cette période, les données sont supprimées ou anonymisées de manière sécurisée, garantissant ainsi la protection de votre vie privée.

Informations complémentaires :

• Compte utilisateur : Si le compte utilisateur est supprimé, le profil et toutes les informations relatives au compte seront également supprimés sous 2 ans ou à compter de la demande de clôture du compte.
• Informations liées à une transaction bancaire Les informations stockées sont l’identifiant unique de l’utilisateur et l’email. Cette donnée est transmise à Stripe pour lier ce compte utilisateur à une transaction bancaire.

7. Transferts de données hors UE

La plupart des informations restent hébergées sur nos serveurs situés dans l'UE, garantissant ainsi que vos données bénéficient du même niveau de protection que celui requis par le RGPD. Nous tenons à vous informer que certaines de vos données peuvent être amenée à être collectées via notre plateforme par des sous-traitants en dehors de l’UE :

• Microsoft Azure OpenAI : Les données sont stockées au sein de l’Union Européenne. Toutefois, il est possible que ces données soient ponctuellement accessibles depuis les États-Unis. Ces éventuels accès sont encadrés par des Clauses Contractuelles Types (SCC), consultables à l’adresse suivante : SCC Microsoft
• Stripe : La plateforme de paiement stocke vos données sur des serveurs sécurisés situés aux États-Unis. Ce stockage est encadré par des Clauses Contractuelles Types (SCC), dont vous pouvez prendre connaissance à l’adresse suivante : SCC Stripe

8. Exercice de vos droits

Conformément à la réglementation en vigueur sur la protection des données personnelles, notamment le Règlement Général sur la Protection des Données (RGPD), les utilisateurs disposent de plusieurs droits concernant leurs données personnelles :

• Droit d'accès : Demander une copie de vos données personnelles
• Droit de rectification : Correction des informations inexactes ou incorrectes
• Droit d’effacement (droit à l’oubli) : Demander la suppression des données, dans les limites permises par la loi
• Droit de limitation du traitement : Demander la suspension temporaire de l’utilisation de vos données
• Droit d'opposition : Opposition à certains traitements
• Droit de portabilité des données : CDemander à recevoir vos données dans un format structuré

Pour exercer ces droits, les utilisateurs peuvent suivre la procédure suivante :

EMAIL

Les utilisateurs peuvent adresser leur demande par email à l’adresse suivante : [email protected] (vous pouvez également mettre en interlocuteur secondaire ou en copie le DPO [email protected])

L’email devra contenir toutes les informations nécessaires à l’identification de l’utilisateur et à la compréhension de la demande.

Les informations suivantes vous seront demandées :

• Votre nom
• Votre prénom
• Votre adresse email utilisée pour votre compte
• Le type de droit que vous souhaitez exercer
• Une description précise des données concernées
• Date(s) ou période(s) des traitements visés (si applicable)
• Toute information ou document permettant de faciliter l’identification des enregistrements (par exemple : référence de transaction, nom de photos…)
• Une simple signature électronique (votre nom complet et la date)

Une réponse accusant réception de la demande sera envoyée sous 48 heures.

9. Suppression de compte

Vous pouvez, à tout moment, demander la suppression définitive de votre compte :

1. Connectez-vous à votre espace personnel.
2. Rendez-vous dans votre Profil.
3. Cliquez sur « Supprimer mon compte » et confirmez votre choix.

Attention : cette opération est irréversible et entraîne la suppression définitive de la plupart de vos données, qui ne pourra plus être restaurée.

Données concernées

Lorsque vous supprimez votre compte, nous procédons à l’effacement permanent des éléments suivants :

• Vos données personnelles
• Votre scan facial stocké dans nos serveurs
• Vos informations d’authentification (identifiants, jetons d’accès…)

Effet sur vos galeries

Les galeries que vous possédez ne sont pas supprimées automatiquement.

Chaque galerie dont vous étiez propriétaire sera transférée à :

• L’un de nos administrateurs, jusqu’à ce que la galerie soit supprimée

Les contributeurs d’une galerie conservent leur accès, sauf suppression spécifique de leur compte.

Délai et propagation de la suppression

La plupart des données sont effacées immédiatement de notre base de production.

Votre compte est également supprimé auprès de notre fournisseur d’identité externe (Zitadel) dans les 24 heures.

Conséquences et recommandations

Attention : votre profil, vos préférences et vos contributions seront définitivement perdus.

Pensez à télécharger toute donnée ou contenu que vous souhaitez conserver avant suppression.

Si vous souhaitez revenir sur votre décision, la suppression étant irréversible, vous devrez créer un nouveau compte.

Si vous souhaitez uniquement faire supprimer certaines catégories de données, vous pouvez exercer votre droit à l’effacement en adressant un email à [email protected]

Nous traiterons votre demande sous 30 jours calendaires, conformément au RGPD.

Pour toute question complémentaire, notre Délégué à la Protection des Données (DPO) reste à votre disposition à l’adresse : [email protected]

10. Cookies

Nous utilisons un cookie fonctionnel pour enregistrer votre préférence d’affichage lorsque vous utilisez notre application. Par exemple, quand vous choisissez votre thème clair ou sombre).

Ce cookie :

• Ne contient aucune donnée personnelle
• Ne permet pas de vous identifier
• N’est pas utilisé à des fins publicitaires ou statistiques
• Est également utilisé pour améliorer votre confort de navigation

Ce cookie est exempté de consentement, car il est strictement nécessaire au bon fonctionnement du service et ne présente aucun risque pour votre vie privée.

11. Contact et réclamations

Pour toute question liée à la protection de vos données, vous pouvez contacter notre référent DPO à l’adresse suivante : [email protected].

En outre, vous avez la possibilité de déposer une plainte auprès de l’autorité de contrôle compétente, la CNIL, si vous jugez nécessaire d’exercer ce recours. Nous nous engageons à examiner attentivement chaque demande et à vous répondre dans les meilleurs délais pour garantir la protection de vos données personnelles.

12. Mise à jour de la politique de confidentialité

Nous nous réservons le droit de modifier et de mettre à jour notre Politique de confidentialité en fonction de l’évolution de notre service, des avancées technologiques et des modifications de la réglementation applicable.

En cas de changements significatifs affectant la collecte ou le traitement de vos données personnelles, nous vous en informerons par le biais d’une notification sur la plateforme et, le cas échéant, par email.

Nous vous recommandons de consulter régulièrement cette politique afin de rester informé des dernières mises à jour.

La poursuite de l’utilisation de notre service après la mise en ligne de ces modifications constitue votre acceptation implicite des nouvelles conditions.

Notre engagement est de toujours garantir la transparence et la sécurité de vos informations, tout en respectant vos droits conformément au RGPD.