La présente politique décrit la manière dont Vizora (« le Service »), édité par Aaron DUBRECQ — Entrepreneur Individuel (EI), exerçant sous le nom commercial « ARYS AGENCY », traite les données personnelles qui lui sont confiées, dans le respect du Règlement (UE) 2016/679 (« RGPD ») et de la loi n° 78-17 du 6 janvier 1978 modifiée.
1. Responsable de traitement
- Responsable de traitement : Aaron DUBRECQ — Entrepreneur Individuel (EI), exerçant sous le nom commercial « ARYS AGENCY », 33 B rue Léon Gambetta, 59188 Saint-Aubert, France.
- Contact « données personnelles » : contact@arysagency.com.
- Délégué à la protection des données (DPO) : aucun DPO n'a été désigné, la structure n'y étant pas soumise. Toute demande relative aux données personnelles peut être adressée à contact@arysagency.com.
2. Données traitées
Le Service traite les catégories de données suivantes :
- Données de compte : adresse email, nom de l'agence, mot de passe (haché, jamais stocké en clair), logo, préférences.
- Données de facturation : raison sociale, adresse, numéro de TVA, historique de facturation, moyens de paiement (traités par le prestataire de paiement, jamais stockés par l'Éditeur).
- Données d'usage et journaux techniques : logs de connexion, adresse IP, actions réalisées dans le Service, consommation de crédits, identifiants techniques.
- Contenus importés : photos de biens immobiliers importées par le client. Ces contenus peuvent incidemment comporter des données personnelles (personnes visibles, plaques d'immatriculation, courrier, éléments identifiants, filigranes contenant un nom). Le client s'engage à limiter ces occurrences (voir CGU).
3. Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Fourniture et exécution du Service (compte, génération vidéo, stockage) | Exécution du contrat (art. 6.1.b RGPD) |
| Sécurité, prévention de la fraude, amélioration du Service | Intérêt légitime (art. 6.1.f RGPD) |
| Facturation, obligations comptables | Obligation légale (art. 6.1.c RGPD) |
| Cookies non essentiels, communications marketing | Consentement (art. 6.1.a RGPD) |
4. Sous-traitants et destinataires
Pour fournir le Service, l'Éditeur recourt aux sous-traitants suivants, chacun encadré par un accord de sous-traitance conforme à l'article 28 RGPD :
| Sous-traitant | Finalité | Localisation |
|---|---|---|
| Supabase | Hébergement de la base de données et des fichiers (photos, vidéos) | [À COMPLÉTER : région Supabase] |
| Cloudflare | Hébergement applicatif, CDN, protection | États-Unis / réseau mondial |
| Google (Gemini / Nano Banana Pro) | Analyse et retouche des images par IA | États-Unis |
| Kling AI (Kuaishou) | Génération de clips vidéo à partir des images | Singapour / Chine |
| Shotstack | Montage vidéo | Australie / États-Unis |
| Stripe (si activé) | Traitement des paiements | États-Unis / Irlande |
5. Transferts hors Union européenne
Certaines opérations impliquent nécessairement des transferts de données en dehors de l'Union européenne, notamment vers les États-Unis (Google, Cloudflare, Shotstack, Stripe selon les cas) et vers Singapour et la Chine (Kling AI — société Kuaishou). Ces transferts sont encadrés par les Clauses Contractuelles Types adoptées par la Commission européenne (décision 2021/914) et, le cas échéant, par les mécanismes complémentaires applicables (Data Privacy Framework pour certains destinataires établis aux États-Unis).
Le client est expressément informé de ces transferts et doit en tenir compte avant d'importer des photos comportant des données personnelles. Il est fortement recommandé de ne pas importer de photos sur lesquelles des personnes sont identifiables et de flouter, le cas échéant, les éléments sensibles (plaques d'immatriculation, courrier, photos personnelles) avant tout import.
6. Durées de conservation
- Compte utilisateur : pendant toute la durée de la relation contractuelle, puis archivage limité pour la gestion des obligations légales.
- Photos importées et vidéos générées : [À COMPLÉTER : durée de conservation des médias], puis suppression automatique (le client peut supprimer un bien à tout moment).
- Journaux techniques : 12 mois maximum.
- Données de facturation : 10 ans (obligations comptables et fiscales).
7. Droits des personnes concernées
Toute personne concernée dispose des droits d'accès, de rectification, d'effacement, de limitation, d'opposition, de portabilité, ainsi que du droit de définir des directives post-mortem relatives au sort de ses données. Ces droits peuvent être exercés en écrivant à : contact@arysagency.com.
Toute personne concernée dispose également du droit d'introduire une réclamation auprès de la CNIL : Commission Nationale de l'Informatique et des Libertés, 3 place de Fontenoy — TSA 80715 — 75334 PARIS CEDEX 07, www.cnil.fr.
8. Sécurité
L'Éditeur met en œuvre des mesures techniques et organisationnelles appropriées pour garantir la sécurité des données : chiffrement en transit (TLS), stockage sur des espaces privés avec contrôle d'accès par utilisateur, URLs signées à durée de vie limitée pour l'accès aux médias, cloisonnement strict des données par compte, journalisation des accès et politique de mots de passe.
9. Rôles RGPD — sous-traitance vis-à-vis du client
Pour les contenus importés par le client (photos, vidéos générées et données personnelles qu'ils peuvent contenir), l'Éditeur agit en qualité de sous-traitant au sens de l'article 28 RGPD ; le client est alors responsable de traitement. Pour les données de compte et de facturation, l'Éditeur agit en qualité de responsable de traitement.
À ce titre, en sa qualité de sous-traitant, l'Éditeur s'engage envers le client à :
- ne traiter les données que sur instructions documentées du client, dans le cadre du Service ;
- garantir la confidentialité des données et n'y donner accès qu'aux personnes habilitées et tenues au secret ;
- mettre en œuvre les mesures de sécurité décrites à l'article 8 ;
- n'engager de sous-traitant ultérieur (voir article 4) qu'avec l'autorisation générale du client, en imposant à ce sous-traitant les mêmes obligations ;
- assister le client dans l'exercice des droits des personnes et dans la réalisation des analyses d'impact ;
- notifier au client, dans les meilleurs délais, toute violation de données affectant les contenus du client ;
- supprimer ou restituer les contenus à la fin de la relation, au choix du client, sauf obligation légale de conservation.
10. Décisions automatisées
Le Service ne prend aucune décision produisant des effets juridiques ou affectant significativement les personnes concernées de manière automatisée au sens de l'article 22 RGPD. Les traitements par IA (retouche photo, désencombrement, génération vidéo) sont des opérations créatives déclenchées par le client, et ne procèdent à aucun profilage.