Politique de confidentialité

Neoma Poster — SIREN 989 885 975 — 37 rue Marius Aufan, 92300 Levallois-Perret, France — est responsable des traitements de données personnelles décrits ci-dessous, réalisés via le site neoma-ai.fr.

[À COMPLÉTER PAR ALEXANDRE : forme juridique et raison sociale exactes, numéro SIRET, numéro de TVA intracommunautaire, nom du responsable de la publication.]

Aucun délégué à la protection des données n’a été désigné à ce jour. Toute demande relative à vos données se fait à l’adresse indiquée à la dernière section.

Nous ne collectons que ce que le service exige. Selon votre usage du site, cela recouvre :

• Compte : votre adresse e-mail, votre mot de passe (jamais conservé en clair — l’authentification est assurée par Supabase Auth, qui n’en garde qu’une empreinte), le nom et l’adresse de livraison que vous renseignez, votre nombre de générations restantes, votre statut d’abonné, votre identifiant client Stripe.
• Création de posters : le texte que vous saisissez (description, titre, sous-titre, date), la photo que vous importez le cas échéant, le style choisi, les images produites et l’identifiant de navigateur auquel elles sont rattachées.
• Commandes : votre e-mail, votre nom, votre adresse postale complète, le format et la qualité commandés, l’identifiant de la session de paiement. Aucune donnée de carte bancaire ne transite par nos serveurs ni n’est conservée par nous : le paiement est traité de bout en bout par Stripe.
• Achat d’un forfait ou de crédits : votre compte est créé avant le paiement, directement auprès de notre service d’authentification. Aucun mot de passe, même chiffré, n’est conservé ailleurs que dans ce service.
• Panier : le contenu de votre panier, rattaché à votre compte pour le retrouver d’un appareil à l’autre.
• Prévention des abus : l’horodatage de vos générations, l’identifiant de navigateur et une empreinte SHA-256 salée de votre adresse IP. L’adresse IP elle-même n’est pas conservée en base.
• Mesure publicitaire, uniquement si vous y consentez : les identifiants publicitaires Meta (_fbp, _fbc), votre adresse IP, votre agent utilisateur, la page consultée et, lors d’un achat, le montant ainsi que votre e-mail sous forme hachée (SHA-256).
• Mesure d’usage du site, uniquement si vous y consentez : les étapes que vous franchissez (génération lancée, poster choisi, mise au panier, paiement lancé, achat), le format et la qualité retenus, le montant en centimes, ainsi qu’un enregistrement de votre session (défilement, clics, navigation). Ni votre e-mail, ni vos textes de génération, ni votre adresse ne sont transmis, et les champs de saisie comme les zones affichant vos coordonnées sont masqués dans l’enregistrement.

• Créer et gérer votre compte, générer vos posters, gérer votre panier et vos commandes, vous répondre : exécution du contrat ou de mesures précontractuelles (art. 6.1.b du RGPD).
• Conserver les pièces liées aux paiements et à la facturation : respect d’obligations légales, notamment comptables et fiscales (art. 6.1.c du RGPD).
• Empêcher le contournement du quota de générations gratuites et modérer automatiquement les demandes soumises aux modèles d’IA : intérêt légitime à protéger le service contre l’usage abusif et les contenus illicites (art. 6.1.f du RGPD).
• Mesurer l’audience publicitaire et l’efficacité de nos campagnes (Meta Pixel et Conversions API) : votre consentement (art. 6.1.a du RGPD et art. 82 de la loi Informatique et Libertés).
• Comprendre comment le site est utilisé et où vous rencontrez des difficultés (PostHog, hébergé dans l’Union européenne) : votre consentement (art. 6.1.a du RGPD et art. 82 de la loi Informatique et Libertés).
• Calculer une empreinte de navigateur à des fins anti-fraude (FingerprintJS) : votre consentement. En cas de refus, elle n’est jamais calculée.

La description que vous écrivez, les titres que vous ajoutez et, le cas échéant, la photo que vous importez sont transmis depuis nos serveurs à OpenAI (analyse de l’image, préparation du prompt, génération) et à Runware (génération d’images). Ils ne partent jamais directement de votre navigateur vers ces services.

Avant toute génération, votre demande est soumise au service de modération d’OpenAI : une demande signalée est refusée automatiquement, sans conséquence juridique autre que le refus de générer. Vous pouvez contester ce refus en nous écrivant.

Évitez d’y faire figurer des données sensibles (santé, opinions, données concernant des tiers) : ce que vous écrivez et importez est transmis à ces prestataires et conservé avec le poster obtenu, pour vous permettre de le retrouver.

Le stockage strictement nécessaire au service que vous demandez est utilisé sans consentement : session de connexion, contenu du panier, mémorisation de votre navigation dans la librairie, enregistrement de votre choix en matière de traceurs, et un identifiant local qui rattache à votre navigateur les posters que vous générez. Ce dernier est un identifiant aléatoire de première partie : il n’identifie pas votre appareil et n’est jamais croisé à des fins publicitaires.

Deux finalités requièrent votre consentement, et rien ne se déclenche avant votre acceptation. La première — mesure d’audience, publicité et analyse produit — réunit Meta et PostHog sous une seule case : ces deux outils s’acceptent et se refusent ensemble, vous ne pouvez pas en autoriser un et pas l’autre. Meta Pixel et Conversions API : aucun script Meta n’est chargé et aucun événement n’est envoyé tant que vous n’avez pas accepté ; en cas d’achat, l’événement transmis à Meta contient votre e-mail haché, votre adresse IP et votre agent utilisateur. PostHog, pour la mesure d’usage et l’enregistrement de session : aucun script PostHog n’est chargé et aucun événement n’est envoyé tant que vous n’avez pas accepté ; les données sont envoyées à un serveur situé dans l’Union européenne, les champs de saisie et les zones affichant vos coordonnées sont masqués dans l’enregistrement, et si vous retirez votre consentement l’enregistrement s’arrête aussitôt.

La seconde finalité — empreinte de navigateur anti-fraude (FingerprintJS) — se refuse indépendamment de la première. Elle sert uniquement à faire respecter le quota de générations gratuites ; en cas de refus, la bibliothèque n’est même pas téléchargée et la limitation s’applique côté serveur, à partir d’une empreinte salée de l’adresse IP.

Refuser est aussi simple qu’accepter, et l’absence de choix vaut refus. Votre choix est conservé six mois avec sa date, puis vous est redemandé ; vous pouvez le modifier ou le retirer à tout moment via le lien « Gérer mes cookies » en pied de page.

Vos données ne sont ni vendues, ni louées, ni cédées à des tiers à des fins commerciales. Elles sont accessibles à l’éditeur du site et aux prestataires techniques suivants, chacun pour la seule finalité indiquée :

• Supabase — base de données, stockage des images, authentification et exécution des fonctions serveur. [À COMPLÉTER PAR ALEXANDRE : région d’hébergement du projet Supabase et entité contractante.]
• Stripe — traitement des paiements et gestion des sessions de commande.
• OpenAI — analyse de l’image importée, préparation du prompt, génération d’images et modération des demandes.
• Runware — génération d’images. [À COMPLÉTER PAR ALEXANDRE : entité juridique et pays d’établissement de Runware.]
• Meta — mesure publicitaire (Pixel et Conversions API), uniquement si vous y avez consenti.
• PostHog — mesure d’usage du site et enregistrement de session, uniquement si vous y avez consenti. Les données sont envoyées à son infrastructure européenne : ce traitement n’implique pas de transfert hors de l’Union européenne.
• Netlify — hébergement et diffusion du site (hébergeur retenu sous réserve de confirmation, voir les mentions légales).
• [À COMPLÉTER PAR ALEXANDRE : imprimeur et transporteur destinataires de votre nom et de votre adresse pour la fabrication et la livraison des affiches.]

Plusieurs de ces prestataires appartiennent à des groupes établis aux États-Unis (OpenAI, Meta, Stripe) : le recours à leurs services implique un transfert de données hors de l’Union européenne. Ces transferts doivent être encadrés par les garanties prévues au chapitre V du RGPD (art. 44 à 49) : clauses contractuelles types de la Commission européenne ou, pour les organismes concernés, certification au titre du cadre de protection des données UE–États-Unis.

[À COMPLÉTER PAR ALEXANDRE : vérifier et documenter, pour chaque sous-traitant, le mécanisme de transfert effectivement en vigueur (clauses contractuelles types signées, certification), et le citer ici.]

Nous préférons décrire ce qui est réellement appliqué plutôt qu’annoncer des durées que le service ne tient pas.

• Choix relatif aux traceurs : six mois, après quoi la question vous est reposée.
• Liens de téléchargement d’un poster acheté : cinq minutes, le temps du téléchargement.
• Compte, posters générés, paniers et commandes : conservés tant que votre compte existe. Aucune suppression automatique n’est appliquée aujourd’hui ; vos données sont supprimées à votre demande, sous réserve des pièces que la loi nous impose de conserver (comptabilité, facturation).
• [À COMPLÉTER PAR ALEXANDRE : durées de conservation à arrêter puis à appliquer réellement — compte inactif, posters générés, journal anti-abus, et durée légale de conservation des pièces comptables.]

Les échanges avec le site sont chiffrés (HTTPS). Les clés d’accès aux services externes (OpenAI, Runware, Stripe, Meta) restent côté serveur et ne sont jamais exposées au navigateur. Les mots de passe ne sont jamais conservés en clair, les adresses IP sont hachées avec un sel avant d’être journalisées, et l’accès aux tables de la base est restreint par des politiques d’autorisation.

Conformément aux articles 15 à 22 du RGPD, vous disposez d’un droit d’accès à vos données, de rectification, d’effacement, de limitation du traitement, d’opposition (notamment au traitement fondé sur notre intérêt légitime) et de portabilité. Vous pouvez retirer à tout moment un consentement donné, sans que cela remette en cause la licéité du traitement effectué avant ce retrait. Vous pouvez également définir des directives relatives au sort de vos données après votre décès.

Ces droits s’exercent à l’adresse de contact indiquée ci-dessous. Nous répondons dans un délai d’un mois ; une preuve d’identité peut vous être demandée en cas de doute raisonnable sur l’origine de la demande.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur www.cnil.fr.

Aucune décision produisant des effets juridiques à votre égard n’est prise de façon entièrement automatisée. Seule la modération automatique des demandes peut refuser une génération ; ce refus est contestable auprès d’une personne, à l’adresse de contact ci-dessous.

Le service n’est pas destiné aux personnes de moins de quinze ans, qui ne doivent pas créer de compte sans l’accord du titulaire de l’autorité parentale.

Cette politique peut évoluer avec le service. La version en vigueur est celle publiée sur cette page, avec sa date de mise à jour.

Pour toute question ou demande relative à vos données personnelles, écrivez à neoma.posters@gmail.com.