Politique de confidentialité

Nous collectons uniquement ce qui est nécessaire pour fournir le service :

• Données de compte — nom, adresse e-mail et photo de profil issus de votre compte Google (collectés via Google OAuth à la connexion).
• Photos d'entraînement — les selfies que vous téléversez pour entraîner votre modèle facial IA personnel (images JPEG, PNG ou WebP).
• Portraits générés — les images produites par votre modèle personnel, stockées pour que vous puissiez y accéder et les télécharger.
• Données d'usage— pages visitées, fonctionnalités utilisées, journaux d'erreurs et métriques de performance (collectés de façon agrégée ; aucun suivi inter-sites).
• Données de facturation— les informations de paiement sont traitées exclusivement par Stripe. Nous ne stockons qu'un identifiant client Stripe et un statut d'abonnement — jamais de numéros de carte complets.

• Les photos d'entraînementservent uniquement à entraîner votre modèle facial IA personnel. Elles ne sont pas partagées avec d'autres utilisateurs, jamais utilisées pour entraîner un modèle partagé ou tiers, et jamais utilisées à des fins publicitaires.
• Les portraits générés sont stockés pour que vous puissiez les retélécharger à tout moment. Nous ne les utilisons pour aucun autre usage que de vous les restituer.
• Les données de compte servent à vous authentifier et à envoyer des e-mails transactionnels (confirmations de commande, notifications de modèle prêt, réinitialisations de mot de passe).
• Les données d'usage sont utilisées de façon agrégée pour améliorer le service et diagnostiquer les incidents.

Nous ne vendons, ne louons ni ne partageons vos données personnelles avec des tiers à des fins marketing.

• Exécution du contrat(art. 6(1)(b) RGPD) — le traitement de vos données de compte, photos d'entraînement et portraits générés pour fournir le service auquel vous avez souscrit.
• Intérêts légitimes(art. 6(1)(f) RGPD) — les statistiques d'usage agrégées servant à maintenir et améliorer le service.
• Obligation légale(art. 6(1)(c) RGPD) — la conservation des pièces de facturation exigée par le droit comptable français.

Les selfies et portraits générés peuvent être qualifiés de données biométriques au sens de l'art. 9 RGPD. Nous les traitons sur la base de votre consentement explicite, donné à l'inscription et confirmé avant votre première session d'entraînement. Vous pouvez retirer votre consentement à tout moment en supprimant votre modèle et votre compte.

• Photos d'entraînement— conservées tant que vous disposez d'un compte et d'un modèle actifs. Supprimées dans les 30 jours suivant la suppression du modèle ou la clôture du compte.
• Portraits générés — conservés tant que votre compte est actif. Supprimés dans les 30 jours suivant la clôture du compte.
• Données de compte — conservées pendant la durée de vie de votre compte, plus 12 mois après sa clôture (pour gérer les litiges ou obligations légales).
• Pièces de facturation — conservées 10 ans conformément au droit commercial français (Code de commerce, art. L123-22).

En vertu du RGPD et du droit français, vous disposez du droit :

• D'accès — demander une copie de toutes les données personnelles que nous détenons à votre sujet.
• De rectification — nous demander de corriger des données inexactes.
• D'effacement — demander la suppression de vos données (« droit à l'oubli »).
• À la portabilité — recevoir vos données dans un format structuré et lisible par machine.
• À la limitation — nous demander de restreindre le traitement de vos données dans certaines circonstances.
• D'opposition — vous opposer aux traitements fondés sur l'intérêt légitime.
• De retrait du consentement — révoquer à tout moment votre consentement au traitement biométrique.

Pour exercer l'un de ces droits, écrivez à hello@ohmyunicorn.com. Nous répondons sous 30 jours. Vous pouvez également déposer une réclamation auprès de l'autorité française de protection des données : CNIL (cnil.fr).

Nous faisons appel à un petit nombre de sous-traitants pour opérer le service. Tous sont liés par des accords de traitement des données (DPA) et ne traitent vos données que sur nos instructions documentées :

• Stripe — traitement des paiements (États-Unis ; clauses contractuelles types de l'UE applicables).
• Google — authentification via Google OAuth.
• Fournisseur d'infrastructure cloud — hébergement des serveurs au sein de l'UE.

Nous n'utilisons pas de régies publicitaires tierces et ne vendons pas de données à des courtiers en données.