Politique de confidentialité

Version provisoire. Ce document est en cours de relecture juridique. Les passages marqués [ ] restent à compléter.

kooki.storyface.ai, KOOKI, Pocket-KOOKI, application mobile et boutique en ligne Dernière mise à jour : [date à compléter]

Projet destiné à relecture par un avocat. Les passages entre crochets [ ] sont à compléter ou à décider.

Table des matières

1. Qui sommes-nous
2. Deux rôles différents : responsable de traitement et sous-traitant
3. Les données que nous traitons
4. Détection de visage : ce que nous faisons et ne faisons pas
5. Pourquoi nous traitons vos données et sur quelle base légale
6. Combien de temps nous conservons vos données
7. Qui reçoit vos données
8. Transferts de données hors de l'Union européenne
9. Intelligence artificielle et transparence
10. Mineurs
11. Sécurité
12. Vos droits et comment les exercer
13. Réclamation auprès de la CNIL
14. Cookies et traceurs
15. Décisions automatisées
16. Informations destinées aux exploitants de kiosques et à leurs participants
17. Modifications de cette politique

1. Qui sommes-nous

Le responsable de traitement des données de votre compte et de vos commandes est :

NATASQUAD (écrit « NataSquad » au registre du commerce), société par actions simplifiée à associé unique, capital 20 000 euros, RCS Paris 914 744 024, siège social 10 rue de la Paix, 75002 Paris, qui exerce sous la marque StoryFace. Représentant : Emmanuel Ruiz, Président.

Contact pour toute question sur vos données : contact@storyface.ai ; emmanuel.ruiz@storyface.ai ; +33 6 02 09 09 09.

Délégué à la protection des données (DPO) : [non désigné à ce jour ; à indiquer si une désignation intervient. Dans l'attente, les demandes relatives aux données sont traitées par le Président à l'adresse ci-dessus.]

2. Deux rôles différents : responsable de traitement et sous-traitant

Selon la situation, nous n'avons pas le même rôle au sens du RGPD (règlement (UE) 2016/679).

a) Nous sommes responsable de traitement pour les données de nos clients et visiteurs du site : compte, commandes, paiement, livraison, support, application, données techniques et cookies. Nous décidons pourquoi et comment ces données sont utilisées.

b) Nous sommes sous-traitant pour les images et vidéos des participants, c'est-à-dire les personnes photographiées ou filmées au moyen d'un KOOKI ou d'un Pocket-KOOKI. Dans ce cas, le client qui exploite le kiosque (l'« exploitant », par exemple un restaurant, un hôtel, un commerce, un organisateur d'événement) décide de la finalité et des moyens ; il est le responsable de traitement et nous traitons les images pour son compte et selon ses instructions. Un accord de sous-traitance (DPA, article 28 du RGPD) est disponible sur demande à contact@storyface.ai.

Si vous avez été photographié devant un KOOKI et souhaitez exercer vos droits, adressez-vous d'abord à l'exploitant du kiosque. Nous l'aidons à répondre dans les délais. Vous pouvez aussi nous écrire : nous vous orienterons.

3. Les données que nous traitons

3.1. Données dont nous sommes responsable

3.2. Données dont nous sommes sous-traitant : images et vidéos des participants

Lorsqu'un participant utilise un KOOKI ou un Pocket-KOOKI, le produit capte une photo (ou une courte vidéo), l'envoie au service de traitement pour la transformer, puis affiche et imprime le résultat. Les données concernées sont : l'image brute, l'image transformée, la vidéo éventuelle, le choix de thème, et, si le participant les saisit pour recevoir son résultat, une adresse e-mail ou un numéro de téléphone [à adapter à la configuration réelle du produit].

Ces images peuvent révéler des informations sensibles par déduction (apparence physique, origine supposée, religion apparente). Nous n'en tirons aucune information de ce type, nous ne les analysons pas à ces fins et nous les supprimons automatiquement (section 6).

4. Détection de visage : ce que nous faisons et ne faisons pas

Le produit utilise une détection de visage uniquement pour la mise au point et le cadrage de la photo (trouver où se situe un visage dans l'image pour régler l'image).

• Aucune reconnaissance faciale d'identification n'est utilisée : le produit ne cherche pas à savoir qui vous êtes.
• Aucun gabarit biométrique (empreinte du visage) n'est créé, conservé ni comparé.
• Aucune donnée biométrique aux fins d'identification unique n'est traitée au sens de l'article 9 du RGPD.
• Aucun profilage et aucune base de personnes n'est constituée à partir des visages.

[Note juriste : confirmer techniquement avec l'équipe que la détection de visage est locale à l'appareil et ne produit aucune empreinte conservée.]

5. Pourquoi nous traitons vos données et sur quelle base légale

Chaque traitement repose sur l'une des bases de l'article 6 du RGPD.

Vous avez le droit de retirer votre consentement à tout moment, sans remettre en cause la légalité du traitement effectué avant ce retrait.

6. Combien de temps nous conservons vos données

À l'issue de ces durées, les données sont supprimées ou anonymisées. Une conservation plus longue peut être imposée par la loi ou nécessaire à la défense de nos droits en cas de litige (archivage intermédiaire à accès restreint).

7. Qui reçoit vos données

Nous ne vendons pas vos données. Elles sont accessibles à nos équipes habilitées et à des prestataires qui agissent en notre nom, tenus par un contrat de sous-traitance :

• Hébergeurs : OVH SAS (Roubaix, France) et o2Switch (France), hébergement en Union européenne ;
• Prestataire de paiement : Stripe, et, selon le mode choisi, les établissements de paiement en plusieurs fois proposés via Stripe (par exemple Klarna, Alma, Billie, Scalapay) qui sont responsables de traitement de leurs propres traitements ;
• Organismes de financement (professionnels) : lorsque vous demandez un financement, vos données sont transmises à l'organisme que vous choisissez, qui est responsable de traitement et dont la politique s'applique ;
• Transporteurs et prestataires logistiques (par exemple Sendcloud et les transporteurs retenus) ;
• Messagerie et outils de relation client : fournisseurs d'e-mail, de support et d'assistance (dont WhatsApp si vous choisissez ce canal) ;
• Prestataires de traitement d'images par intelligence artificielle : fournisseurs de modèles utilisés sous licence commerciale, qui traitent l'image pour la transformer, sans conserver l'image au-delà du traitement ni l'utiliser pour entraîner leurs modèles [à vérifier dans les conditions contractuelles de chaque fournisseur] ;
• Experts-comptables, avocats, assureurs, autorités lorsque la loi l'exige ou pour la défense de nos droits.

La liste détaillée des sous-traitants est disponible sur demande.

8. Transferts de données hors de l'Union européenne

Vos données sont hébergées dans l'Union européenne (OVH, o2Switch) et nous ne transférons pas vos données en dehors de l'Espace économique européen.

Si l'évolution de nos services devait nécessiter un transfert hors de l'EEE, nous l'encadrerions par les garanties prévues par le chapitre V du RGPD (décision d'adéquation, clauses contractuelles types de la Commission européenne, mesures complémentaires) et nous vous en informerions.

9. Intelligence artificielle et transparence

• Les images sont transformées par des modèles d'intelligence artificielle de tiers, utilisés sous licence commerciale.
• Aucune image de participant n'est utilisée pour entraîner un modèle.
• Chaque image ou vidéo générée intègre un marquage de provenance lisible par machine (métadonnées XMP/IPTC et norme C2PA), afin d'identifier son origine artificielle, conformément à l'article 50 du règlement (UE) 2024/1689 sur l'intelligence artificielle (« AI Act »).
• Le résultat est une création générée : il peut ne pas ressembler exactement à la personne photographiée.
• Nous demandons aux exploitants d'informer les participants que l'image est transformée par IA et de ne pas retirer le marquage.

10. Mineurs

Notre site et nos achats s'adressent aux personnes majeures. Les mineurs ne doivent pas créer de compte ni passer de commande.

Un kiosque peut toutefois être utilisé par des enfants dans un lieu public. L'exploitant est responsable de recueillir l'autorisation du ou des titulaires de l'autorité parentale avant toute utilisation par un mineur, notamment un mineur de moins de 15 ans (âge du consentement numérique en France, article 45 de la loi Informatique et Libertés, à vérifier). Nous le rappelons dans nos conditions générales et nous mettons à disposition des modèles d'information. Les images de mineurs sont soumises à la même suppression automatique sous 48 heures. Si vous pensez qu'un mineur nous a communiqué des données sans autorisation, contactez-nous : nous les supprimons.

11. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles proportionnées aux risques (article 32 du RGPD) :

• chiffrement des échanges (HTTPS/TLS) et des mots de passe ;
• hébergement en Union européenne ;
• suppression automatique des images sous 48 heures ;
• accès limité aux personnes habilitées, principe du moindre privilège, journalisation ;
• sauvegardes et mises à jour de sécurité du logiciel ;
• contrats de sous-traitance avec chaque prestataire (article 28 du RGPD) ;
• procédure de gestion des incidents : en cas de violation de données susceptible d'engendrer un risque, nous notifions la CNIL dans les 72 heures et vous informons lorsque le risque est élevé (articles 33 et 34 du RGPD).

Aucune transmission ni stockage n'est infaillible. Protégez vos identifiants.

12. Vos droits et comment les exercer

Selon les cas, vous disposez des droits suivants :

• accès : savoir si nous traitons vos données et en obtenir une copie (art. 15) ;
• rectification : corriger des données inexactes (art. 16) ;
• effacement : demander la suppression de vos données dans les cas prévus (art. 17) ;
• limitation du traitement (art. 18) ;
• opposition à un traitement fondé sur l'intérêt légitime, et opposition à tout moment à la prospection (art. 21) ;
• portabilité des données que vous nous avez fournies, traitées par voie automatisée sur la base du contrat ou du consentement (art. 20) ;
• retrait du consentement à tout moment ;
• directives relatives au sort de vos données après votre décès (article 85 de la loi du 6 janvier 1978 modifiée, à vérifier) ;
• droit de ne pas faire l'objet d'une décision entièrement automatisée (art. 22, section 15).

Comment faire : écrivez à contact@storyface.ai (objet « Données personnelles ») ou par courrier à NATASQUAD, 10 rue de la Paix, 75002 Paris. Nous pouvons vous demander un justificatif d'identité en cas de doute raisonnable. Nous répondons dans un délai d'un mois, prolongeable de deux mois pour les demandes complexes ou nombreuses, avec information de la raison du report (article 12 du RGPD). L'exercice des droits est gratuit, sauf demande manifestement infondée ou excessive.

Pour les images de participants, adressez-vous d'abord à l'exploitant du kiosque (responsable de traitement). Nous l'assistons pour y répondre. Rappelons que les images sont supprimées sous 48 heures.

13. Réclamation auprès de la CNIL

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr. Si vous résidez dans un autre État membre, vous pouvez saisir l'autorité de contrôle de votre pays.

14. Cookies et traceurs

Nous utilisons des cookies et traceurs conformément à l'article 82 de la loi Informatique et Libertés et aux lignes directrices de la CNIL (délibération n° 2020-091 du 17 septembre 2020, à vérifier).

• Cookies strictement nécessaires (panier, session, sécurité, paiement, préférences de langue) : déposés sans consentement car indispensables au service demandé.
• Cookies de mesure d'audience non exemptés, de personnalisation ou publicitaires : déposés uniquement avec votre consentement, recueilli par un bandeau qui propose aussi « Tout refuser » aussi simplement que « Tout accepter ».
• Durée : 13 mois maximum pour les cookies. Votre choix est conservé pendant 6 mois [à confirmer].
• Vous pouvez modifier vos choix à tout moment via le lien « Gérer mes cookies » en bas de page, ou dans les réglages de votre navigateur.

[À compléter à partir d'un audit technique du Site : liste des cookies, finalités, durées, fournisseurs.]

15. Décisions automatisées

Nous ne prenons aucune décision produisant des effets juridiques à votre égard ou vous affectant de manière significative sur le seul fondement d'un traitement automatisé, y compris du profilage (article 22 du RGPD). La transformation d'images par IA est un service créatif et n'a pas cet effet. Les contrôles anti-fraude du paiement, opérés par notre prestataire, sont soumis à une possibilité de révision humaine : contactez-nous si un paiement est refusé à tort.

16. Informations destinées aux exploitants de kiosques et à leurs participants

Pour les exploitants, en tant que responsables de traitement pour les images de leurs participants, nous recommandons : - d'informer les participants avant la prise de vue (panneau ou écran) : identité de l'exploitant, finalité, durée de 48 heures, transformation par IA, droits et contact ; - de recueillir leur consentement libre, spécifique et éclairé ; - d'obtenir l'autorisation parentale pour les mineurs ; - de ne pas diffuser un résultat sans l'accord de la personne.

Nous mettons à disposition sur demande un modèle de panneau d'information et un accord de sous-traitance.

Pour les participants : la photo prise est transformée, imprimée ou envoyée, puis supprimée sous 48 heures. Elle n'entraîne aucun modèle d'IA. Aucune reconnaissance faciale d'identification n'est utilisée.

17. Modifications de cette politique

Nous pouvons mettre à jour cette politique, par exemple à la suite d'une évolution de nos services ou de la loi. La version en vigueur est datée en tête de document. En cas de changement important, nous vous en informons par e-mail ou par un avis sur le Site.