Politique de confidentialité

1. Responsable du traitement

La présente Politique de confidentialité décrit la manière dont le service Etsnipe collecte, utilise et protège les données personnelles, conformément au Règlement Général sur la Protection des Données (Règlement UE 2016/679, "RGPD") et à la loi Informatique et Libertés modifiée.

Le responsable du traitement est :

Compte tenu de la taille de la structure et des volumes traités, la désignation d'un Délégué à la Protection des Données (DPO) n'est pas obligatoire au sens de l'article 37 du RGPD. Toute demande relative aux données personnelles est traitée directement par l'éditeur à l'adresse email indiquée ci-dessus.

2. Données collectées

L'éditeur ne collecte que les données strictement nécessaires au fonctionnement du service. Les catégories de données collectées sont les suivantes :

• Données de compte : adresse email, prénom (optionnel), mot de passe (chiffré), date de création du compte, préférence de langue.
• Données de facturation : coordonnées de facturation (nom, adresse le cas échéant), historique des factures. Les coordonnées bancaires (numéro de carte) ne sont JAMAIS collectées ni stockées par l'éditeur ; elles sont traitées directement par Stripe.
• Données d'usage : nombre de listings générés, nombre d'images générées, solde de crédits, historique des actions dans le service, journaux d'erreurs.
• Données de connexion (dernière IP de connexion, date et user-agent) : à chaque authentification réussie, l'éditeur enregistre sur le profil de l'utilisateur l'adresse IP utilisée, la date/heure de la connexion et le user-agent (navigateur / système d'exploitation). Finalités : sécurité du compte, détection de fraude par comptes multiples, preuve d'accès en cas de litige. Base légale : intérêt légitime de l'éditeur à protéger le service contre les accès non autorisés et les abus (art. 6.1.f RGPD). Durée de conservation : 6 mois glissants (la valeur est écrasée à chaque nouvelle connexion — seule la dernière connaissance de connexion est conservée sur le profil au-delà de cette durée). Les logs d'action (historique des connexions) sont conservés au maximum 12 mois comme indiqué à l'article 4.
• Données de contenu : les données produit que vous importez via l'extension et les listings générés par l'IA. Ces données sont stockées sur votre compte afin que vous puissiez les retrouver et les réexporter.
• Données techniques : type de navigateur, système d'exploitation, résolution d'écran, langue. Collectées de manière anonyme pour le fonctionnement du service.
• Communications : emails échangés avec le support, messages envoyés via le formulaire de contact.

L'éditeur ne collecte PAS de données sensibles au sens de l'article 9 du RGPD (santé, orientation sexuelle, opinions politiques, croyances religieuses, etc.).

3. Finalités et bases légales

Les données sont traitées pour les finalités suivantes, chacune reposant sur une base légale spécifique au sens de l'article 6 du RGPD :

• Fourniture du service (compte, génération, historique) : exécution du contrat (art. 6.1.b RGPD).
• Gestion des commandes et facturation : exécution du contrat et obligation légale (art. 6.1.b et 6.1.c RGPD).
• Support et relation client : exécution du contrat et intérêt légitime (art. 6.1.b et 6.1.f RGPD).
• Sécurité du service (logs, prévention de la fraude) : intérêt légitime (art. 6.1.f RGPD).
• Communications commerciales (newsletters, annonces de nouvelles fonctionnalités) : consentement (art. 6.1.a RGPD), révocable à tout moment via un lien de désinscription.
• Statistiques anonymes d'usage : intérêt légitime (art. 6.1.f RGPD).

4. Durée de conservation

L'éditeur conserve les données personnelles pour des durées limitées, en fonction de leur nature et de leur finalité :

• Données de compte : pendant toute la durée du compte, puis supprimées dans un délai de 30 jours après la fermeture du compte, sauf obligation légale de conservation.
• Données de facturation : conservées 10 ans à compter de l'émission de la facture, conformément au Code de commerce (article L.123-22).
• Logs d'action et de connexion : 12 mois maximum.
• Logs d'erreur anonymisés : 90 jours.
• Contenus générés (listings, produits importés dans le compte) : pendant toute la durée du compte.
• Communications support : 3 ans à compter du dernier contact.
• Comptes inactifs : l'utilisateur est notifié par email après 24 mois d'inactivité. Sans réaction sous 30 jours, le compte est supprimé.

5. Destinataires et sous-traitants

Vos données ne sont accessibles qu'à l'éditeur et à un nombre limité de sous-traitants strictement nécessaires au fonctionnement du service, liés par un contrat de traitement conforme à l'article 28 du RGPD. Les catégories de sous-traitants et leur rôle sont les suivants :

• Hébergement cloud et base de données (Union européenne) : héberge l'application, la base de données utilisateur et les contenus générés. Opère sous serveurs européens.
• Plateforme d'hébergement applicatif (mondiale, siège aux États-Unis) : sert l'interface web du service et l'API.
• Prestataire de paiement (Stripe Payments Europe Ltd., Irlande et États-Unis) : traite les paiements, gère les abonnements et la facturation récurrente. Les données bancaires sont traitées exclusivement par ce prestataire, certifié PCI DSS niveau 1.
• Prestataires d'IA générative (texte et image, établis hors Union européenne, notamment aux États-Unis) : utilisés pour générer les listings et les images à la demande de l'utilisateur. Ils ne reçoivent que les données nécessaires à la génération (description produit, paramètres de génération) et n'ont aucun accès direct au compte utilisateur.
• Prestataire d'envoi d'emails transactionnels : envoie les confirmations de commande, réinitialisations de mot de passe et notifications importantes.
• Outil d'analyse d'audience anonyme : mesure la fréquentation du service sans identification individuelle.

La liste nominative des sous-traitants utilisés à un instant donné est disponible sur simple demande en écrivant à contact@etsnipe.app. L'éditeur ne vend, ne loue, ni ne partage les données personnelles à des tiers à des fins publicitaires.

6. Transferts hors UE

Certains sous-traitants (notamment la plateforme d'hébergement applicatif, le prestataire de paiement et les prestataires d'IA générative) sont établis hors de l'Union européenne, notamment aux États-Unis. Ces transferts sont encadrés conformément aux articles 44 et suivants du RGPD par les garanties appropriées suivantes :

• Data Privacy Framework UE-États-Unis (DPF) pour les prestataires certifiés sous ce cadre adopté par la Commission européenne le 10 juillet 2023.
• Clauses Contractuelles Types (CCT) adoptées par la décision d'exécution (UE) 2021/914 du 4 juin 2021, pour les prestataires non certifiés DPF.
• Mesures techniques et organisationnelles complémentaires (chiffrement en transit et au repos, journalisation des accès, gestion stricte des accès).

Vous pouvez demander plus de détails sur les garanties appliquées à un transfert donné en contactant le support.

7. Intelligence artificielle et profilage

Le service utilise des modèles d'intelligence artificielle pour générer du texte et des images. Vous êtes informé que :

• Les générations sont produites à partir des données produit que vous fournissez. Elles ne constituent pas une décision automatisée produisant des effets juridiques au sens de l'article 22 du RGPD, dans la mesure où vous restez maître de l'usage final des contenus générés.
• L'éditeur n'utilise PAS vos données personnelles, vos données de compte ou les contenus générés à votre profit pour entraîner des modèles d'IA. Les contrats conclus avec les prestataires d'IA leur interdisent expressément d'utiliser les données qui leur sont transmises aux fins d'entraînement de leurs modèles, sous réserve du respect par eux de leurs engagements.
• Les données transmises aux prestataires d'IA (description produit, paramètres de génération) ne comportent pas votre adresse email, votre nom ni vos coordonnées de facturation. Seules les données strictement nécessaires à la génération sont transmises.
• L'éditeur ne met PAS en œuvre de profilage à des fins publicitaires ou de scoring individuel.

8. Cookies et traceurs

Le service utilise uniquement des cookies et données de stockage local (localStorage) strictement nécessaires à son fonctionnement :

• Cookies de session et d'authentification (vous maintenir connecté entre les pages).
• Cookies de sécurité (protection contre les requêtes frauduleuses).
• Stockage local de vos préférences d'utilisation (langue, paramètres de génération, choix d'affichage).

Conformément à la directive ePrivacy et aux recommandations de la CNIL, ces cookies et données de stockage ne nécessitent pas de consentement préalable car ils sont indispensables à la fourniture du service que vous avez demandé. Vous pouvez les supprimer à tout moment via les paramètres de votre navigateur, mais leur suppression peut rendre le service inutilisable.

Le service n'utilise aucun cookie publicitaire, aucun cookie d'analyse d'audience tiers, aucun pixel de réseau social et aucun traceur soumis à consentement.

9. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès (art. 15 RGPD) : obtenir la confirmation que vos données sont traitées et en recevoir une copie.
• Droit de rectification (art. 16 RGPD) : corriger les données inexactes ou incomplètes.
• Droit à l'effacement (art. 17 RGPD), dit "droit à l'oubli" : obtenir la suppression de vos données, sous réserve des obligations légales de conservation.
• Droit à la limitation du traitement (art. 18 RGPD).
• Droit à la portabilité (art. 20 RGPD) : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine.
• Droit d'opposition (art. 21 RGPD) au traitement basé sur l'intérêt légitime.
• Droit de retirer votre consentement à tout moment, sans remettre en cause la licéité des traitements effectués antérieurement (art. 7.3 RGPD).
• Droit d'introduire une réclamation auprès d'une autorité de contrôle (voir article 14).
• Droit de définir des directives sur le sort de vos données après votre décès (article 85 loi Informatique et Libertés).

Pour exercer vos droits, adressez votre demande par email à contact@etsnipe.app, en joignant le cas échéant une copie d'une pièce d'identité permettant de vérifier votre identité. Une réponse vous sera apportée dans un délai d'un (1) mois, pouvant être prolongé de deux (2) mois supplémentaires en cas de demande complexe, avec information intermédiaire.

10. Sécurité des données

L'éditeur met en œuvre des mesures techniques et organisationnelles pour protéger les données personnelles contre toute perte, altération, accès non autorisé ou divulgation illicite :

• Chiffrement des communications en transit (HTTPS/TLS 1.3).
• Chiffrement des données sensibles au repos.
• Mots de passe stockés exclusivement sous forme de hash (bcrypt ou équivalent).
• Gestion stricte des accès à l'infrastructure interne (principe du moindre privilège).
• Journalisation des connexions et actions afin de détecter d'éventuels comportements suspects.
• Mises à jour régulières des composants logiciels utilisés.
• Sauvegardes de la base de données, conservées 30 jours maximum.

Malgré ces mesures, aucune transmission de données via internet ne peut être garantie à 100% sécurisée. L'utilisateur est invité à utiliser un mot de passe fort et à garder ses identifiants confidentiels.

11. Violation de données

En cas de violation de données personnelles susceptible d'engendrer un risque pour les droits et libertés des utilisateurs, l'éditeur s'engage à :

• Notifier la CNIL dans un délai maximum de 72 heures après en avoir pris connaissance (art. 33 RGPD).
• Informer sans délai les utilisateurs concernés si le risque est élevé (art. 34 RGPD), via l'adresse email de leur compte.
• Documenter la violation, ses impacts et les mesures correctives prises, dans un registre tenu à cet effet.

12. Données des mineurs

Le service n'est pas destiné aux mineurs de moins de 16 ans, conformément à l'article 8 du RGPD et aux Conditions Générales d'Utilisation. Si l'éditeur prenait connaissance que des données personnelles d'un mineur de moins de 16 ans ont été collectées, le compte correspondant serait supprimé immédiatement et les données détruites.

13. Modification de la politique

La présente Politique de confidentialité peut être modifiée pour refléter les évolutions du service ou les exigences légales. En cas de modification substantielle, les utilisateurs seront informés par email au moins 15 jours avant l'entrée en vigueur. La version en vigueur est celle publiée à la présente adresse, dont la date de dernière mise à jour figure en tête du document.

14. Contact et réclamation

Pour toute question relative à la présente Politique de confidentialité ou à l'exercice de vos droits, vous pouvez contacter l'éditeur à contact@etsnipe.app.

Si vous estimez, après avoir contacté l'éditeur, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de l'autorité de contrôle de votre pays de résidence dans l'Union européenne. En France, cette autorité est :