Politique de confidentialité.

1. Responsable du traitement

Le responsable du traitement est Deniz Sonu, micro-entrepreneur, dont le siège de l'activité est situé 173 rue de Courcelles, 75017 Paris, France (SIRET 103 349 155 00012).

Pour toute question relative à la présente politique ou à l'exercice de vos droits, vous pouvez contacter : [email protected]. Parure n'a pas désigné de Délégué à la protection des données (DPO) à titre obligatoire au sens de l'article 37 du RGPD.

2. Portée

La présente politique s'applique aux données personnelles traitées dans le cadre de l'accès et de l'utilisation du site parure.ai et du Service. Elle complète les Conditions Générales d'Utilisation et les Conditions Générales de Vente.

3. Catégories de données traitées

• Identification du compte : adresse e-mail, mot de passe chiffré, nom d'affichage, date d'inscription.
• Données de facturation : raison sociale, numéro de TVA ou SIRET, adresse de facturation, historique des paiements. Les numéros de carte bancaire ne sont jamais stockés par Parure : ils sont traités exclusivement par Stripe.
• Contenus Utilisateur : images téléversées (mannequins, vêtements, scènes) et instructions textuelles (« prompts »). Ces contenus peuvent comporter des données personnelles dont le Client est responsable.
• Contenus Générés : visuels produits par les modèles d'IA et métadonnées associées (paramètres, horodatage).
• Données techniques et d'usage : adresse IP, user-agent, langue, type d'appareil, pages consultées, journaux applicatifs, identifiants techniques de session.
• Données de support : correspondance échangée avec Parure ([email protected], [email protected]).

4. Finalités et bases légales

• Création et gestion du compte, authentification, exécution des générations. Base légale : exécution du contrat (art. 6-1-b RGPD).
• Facturation, tenue de la comptabilité et obligations fiscales. Base légale : obligation légale (art. 6-1-c RGPD), notamment articles L.123-22 du Code de commerce et 286 du CGI.
• Sécurité du Service, prévention de la fraude et des abus, modération des contenus interdits. Base légale : intérêt légitime de Parure à préserver l'intégrité du Service (art. 6-1-f RGPD).
• Amélioration du Service et statistiques internes agrégées. Base légale : intérêt légitime, après anonymisation ou pseudonymisation.
• Communications commerciales ciblées (le cas échéant, envoi d'informations sur de nouvelles fonctionnalités). Base légale : consentement (art. 6-1-a RGPD), révocable à tout moment via un lien de désinscription.
• Cookies et traceurs non strictement nécessaires. Base légale : consentement (art. 82 de la loi Informatique et Libertés).

Parure ne procède à aucune décision entièrement automatisée produisant des effets juridiques à l'égard des personnes concernées au sens de l'article 22 du RGPD.

5. Destinataires et sous-traitants

L'accès aux données est limité aux personnes habilitées. Parure fait appel aux sous-traitants suivants, soumis à des engagements contractuels conformes à l'article 28 du RGPD :

• OVH SAS (France, UE). Hébergement web et VPS. Traitement : hébergement du site et des bases de données applicatives.
• Supabase, Inc. (États-Unis). Authentification, base de données PostgreSQL managée et stockage objet des Contenus Utilisateur et Générés. Transfert hors UE encadré par les Clauses Contractuelles Types de la Commission européenne (décision 2021/914).
• Stripe Payments Europe, Ltd. (Irlande) et Stripe, Inc. (États-Unis). Traitement des paiements, émission des factures, gestion des abonnements. Transferts encadrés par les Clauses Contractuelles Types.
• Fournisseur d'inférence IA n°1 (génération de portraits studio). Prestataire soumis à un Data Processing Agreement et à un engagement contractuel de non-réutilisation des contenus pour l'entraînement des modèles. L'inférence peut être réalisée hors UE via le routage global du prestataire ; ces transferts sont encadrés par les Clauses Contractuelles Types de la Commission européenne et, le cas échéant, le EU-US Data Privacy Framework.
• Fournisseur d'inférence IA n°2 (essayage virtuel, génération de poses, post-traitement image et vidéo). Inférence sur modèles d'intelligence artificielle ; les Contenus Utilisateur transitent pour exécution. Aucun usage d'entraînement n'est autorisé sur vos contenus. Transferts hors UE encadrés par les Clauses Contractuelles Types.
• Sentry (États-Unis). Supervision technique et collecte d'erreurs applicatives. Transferts encadrés par les Clauses Contractuelles Types.

La liste nominative et à jourde l'ensemble des sous-traitants (raison sociale, pays d'établissement, pays d'hébergement, finalité) est tenue dans notre registre des traitements et communiquée : (i) aux clients professionnels dans le cadre de l'accord de traitement des données (DPA), et (ii) à toute personne concernée qui en fait la demande écrite à [email protected].

Parure ne vend, ne loue et ne partage vos données personnelles à aucun tiers à des fins commerciales. Les données peuvent être communiquées sur demande d'une autorité habilitée (judiciaire, administrative) dans les conditions prévues par la loi.

6. Transferts hors Union européenne

Certains traitements impliquent un transfert de données vers des pays situés en dehors de l'Espace économique européen, principalement aux États-Unis. Ces transferts sont encadrés par les Clauses Contractuelles Typesadoptées par la Commission européenne (décision d'exécution 2021/914 du 4 juin 2021) et, lorsque le sous-traitant y est éligible, par sa certification au EU-U.S. Data Privacy Framework. Pour obtenir une copie de ces garanties, adressez votre demande à [email protected].

7. Durées de conservation

• Données de compte : conservées pendant toute la durée d'utilisation du Service, puis supprimées dans un délai maximum de trente (30) jours à compter de la clôture du compte.
• Contenus Utilisateur et Contenus Générés : conservés jusqu'à suppression par l'utilisateur ou clôture du compte.
• Données de facturation : conservées dix (10) ans, conformément à l'article L.123-22 du Code de commerce.
• Journaux techniques et logs de sécurité : conservés douze (12) mois maximum.
• Données de leads (liste d'attente) : conservées trois (3) ans à compter du dernier contact.
• Correspondance de support : conservée trois (3) ans à compter du dernier échange.

8. Sécurité

Parure met en œuvre des mesures techniques et organisationnelles raisonnables pour protéger les données : chiffrement des communications (TLS), hachage des mots de passe, cloisonnement des environnements, contrôles d'accès fondés sur le moindre privilège, politiques de type Row Level Securitydans Supabase, supervision applicative, et sauvegardes régulières. En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, Parure procédera aux notifications prévues par les articles 33 et 34 du RGPD.

9. Vos droits

Conformément au RGPD, vous disposez des droits suivants :

• droit d'accès à vos données (art. 15) ;
• droit de rectification (art. 16) ;
• droit à l'effacement ou « droit à l'oubli » (art. 17) ;
• droit à la limitation du traitement (art. 18) ;
• droit à la portabilité de vos données (art. 20) ;
• droit d'opposition au traitement fondé sur l'intérêt légitime (art. 21) ;
• droit de retirer à tout moment votre consentement, lorsque le traitement y est soumis ;
• droit de définir des directives relatives au sort de vos données après votre décès (art. 85 de la loi Informatique et Libertés).

Ces droits s'exercent par courriel à [email protected] ou par courrier à l'adresse du siège. Parure répond dans un délai d'un (1) mois, susceptible d'être prolongé de deux mois en cas de complexité ou de demandes nombreuses. Un justificatif d'identité pourra être demandé en cas de doute raisonnable sur l'identité du demandeur.

Vous disposez également du droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 · www.cnil.fr.

10. Traitement des contenus comportant des personnes

Lorsque le Client téléverse des images représentant des personnes physiques identifiables (mannequins, collaborateurs, clients finaux), il agit en qualité de responsable de traitement et garantit avoir recueilli l'ensemble des consentements éclairés requis au titre de l'article 9 du RGPD et du droit à l'image. Parure intervient alors en qualité de sous-traitant au sens de l'article 28 du RGPD ; un accord de sous-traitance (« DPA ») peut être conclu sur demande.

11. Cookies et traceurs

Le détail des cookies déposés, leurs finalités et leurs durées figure dans la Politique cookies.

12. Mineurs

Le Service n'est pas destiné aux personnes de moins de quinze (15) ans et ne collecte pas sciemment de données auprès d'elles. En cas de collecte involontaire, les données seront supprimées sur signalement à [email protected].

13. Intelligence artificielle et contenus synthétiques

Parure repose sur des modèles d'intelligence artificielle générative, au sens du Règlement (UE) 2024/1689 (« AI Act »). Les visuels et vidéos produits par le Service constituent du contenu synthétique.

Parure ne procède pas à une décision entièrement automatisée produisant des effets juridiques au sens de l'article 22 du RGPD. Les Contenus Utilisateur et les Contenus Générés ne sont pas utilisés pour entraîner, ré-entraîner, affiner ou améliorer des modèles d'intelligence artificielle, ni par Parure ni par ses sous-traitants d'inférence.

En application de l'article 50 §4 de l'AI Act, il incombe à l'Utilisateur, lorsqu'il diffuse ou publie des Contenus Générés auprès du public, d'indiquer de manière claire et visible qu'il s'agit de contenus produits ou manipulés par une intelligence artificielle. Lorsque la technologie le permet, les Contenus Générés peuvent embarquer un marquage technique (filigrane ou métadonnées) destiné à faciliter leur identification.

14. Modifications de la politique

La présente politique peut être mise à jour pour tenir compte des évolutions du Service et de la réglementation. La date figurant en pied de page indique la dernière version en vigueur. Les modifications substantielles feront l'objet d'une notification dans l'application ou par courriel.