Politique de confidentialité

1. Responsable du traitement

Gaad Héchem EI, 163 avenue Daumesnil, 75012 Paris (SIRET 106 333 396 00013). Contact : hechemgaad@gmail.com.

2. Données collectées

• Compte : adresse email, mot de passe (stocké chiffré, jamais en clair), date d'acceptation des conditions, langue.
• Contenus : images envoyées, textes de description (prompts), vidéos générées.
• Paiement : géré par Stripe. Aucune donnée de carte bancaire n'est stockée chez nous ; nous conservons la référence de la commande, le montant et les crédits achetés.
• Journaux techniques : historique des crédits et des générations, empreintes d'adresse IP (hachées) utilisées pour limiter les abus.

3. Finalités, bases légales et durées de conservation

• Fournir le compte et le service (exécution du contrat) : le compte est conservé pendant toute la relation, puis supprimé après 3 ans sans connexion.
• Images envoyées et vidéos générées : conservées jusqu'à leur suppression par l'utilisateur ou la suppression du compte.
• Paiement et facturation (obligation légale) : factures et preuves de paiement conservées 10 ans (art. L123-22 du Code de commerce).
• Preuves d'acceptation des CGV et de renoncement au droit de rétractation (intérêt légitime : prouver les consentements donnés) : durée de la relation + 5 ans.
• Journaux techniques (historique des crédits et des générations, sécurité) : 12 mois. Les empreintes d'adresse IP utilisées pour limiter le nombre de tentatives (intérêt légitime : sécurité et prévention des abus) sont conservées au plus 24 heures.
• Données de suivi des erreurs techniques : 90 jours.
• Envoi d'emails de service : vérification d'adresse, mot de passe, confirmation de commande (exécution du contrat).
• Prévention de la fraude au bonus d'inscription (intérêt légitime : prévention de la fraude) : un identifiant technique aléatoire stocké dans votre navigateur et une empreinte chiffrée (hachée avec un sel secret) de votre adresse IP, conservés 30 jours puis supprimés. Ils servent uniquement à ne verser qu'un bonus d'inscription par navigateur et par adresse IP ; ils ne permettent pas de retrouver votre adresse IP.
• Mesure d'audience anonyme sans cookie (hébergeur du site) : pages vues, provenance, type d'appareil et pays, sans identification des visiteurs. Base légale : intérêt légitime.

4. Destinataires (par catégories)

• Hébergement du site : Vercel Inc. (États-Unis, hors Union européenne).
• Base de données : Neon (base de données PostgreSQL ; société américaine, hors Union européenne).
• Stockage des fichiers (images envoyées, vidéos générées) : Vercel Blob (États-Unis, hors Union européenne).
• Paiement : Stripe (Stripe Payments Europe, Irlande, Union européenne ; certaines opérations peuvent être traitées aux États-Unis).
• Envoi d'emails : Resend (États-Unis, hors Union européenne).
• Suivi des erreurs techniques : Sentry, organisation en région Union européenne ; il reçoit les erreurs techniques de l'application, après suppression des emails, des jetons et des en-têtes ; aucun enregistrement de session, aucune publicité ; conservation 90 jours.
• Prestataire technique de génération vidéo par intelligence artificielle (hors Union européenne, États-Unis) : il reçoit les images et le texte nécessaires à la génération, uniquement pour produire la vidéo demandée ; il ne reçoit ni votre adresse email ni vos informations de paiement.

5. Transferts hors Union européenne

Certains destinataires sont situés aux États-Unis, hors Union européenne. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne (et, lorsque le destinataire y adhère, par le cadre de protection des données UE–États-Unis).

6. Vos droits

Accès, rectification, effacement, limitation, opposition, portabilité. Depuis votre compte, vous pouvez exporter vos données (JSON) et supprimer votre compte. Pour tout autre exercice : hechemgaad@gmail.com. En cas de désaccord, vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr). Les traces de paiement et les factures sont conservées après suppression du compte, comme la loi l'impose.

7. Cookies et stockage local

Le site dépose uniquement des cookies techniques, nécessaires à son fonctionnement ; aucun cookie de mesure d'audience ou de publicité n'est déposé, c'est pourquoi aucun bandeau de consentement n'est affiché.

• Cookies de session (Auth.js) : maintien de la connexion, protection CSRF et redirection après connexion ; session de 24 heures ou 30 jours selon votre choix à la connexion.
• NEXT_LOCALE : mémorise la langue, 1 an.
• referral_code : mémorise un code de parrainage si vous arrivez par un lien de parrainage, 30 jours.
• Stockage local du navigateur : mémorise la fermeture du bandeau promotionnel.
• Lors du paiement, Stripe dépose ses propres cookies sur sa page de paiement.

8. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées pour protéger vos données, notamment : le chiffrement des échanges (HTTPS) ; le stockage des mots de passe sous forme hachée ; le traitement des paiements par notre prestataire de paiement, sans qu'aucune donnée de carte bancaire ne soit stockée par Studio Manga ; la limitation des tentatives de connexion ; la suppression des métadonnées (dont la géolocalisation) des images envoyées ; et un suivi des erreurs techniques configuré pour retirer les adresses email, jetons et en-têtes sensibles.