Politique de confidentialité
En vigueur au 11 septembre 2026. Version 1.0.
La présente politique décrit comment DUODUO (SASU, RCS Nantes 537 964 348, siège 11B rue Auguste Garnier, 44120 Vertou) traite les données personnelles des utilisateurs du service « Criativity » (le « Service »), en qualité de responsable de traitement, conformément au Règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés.
Contact pour toute question relative aux données : contact@criativity.io.
DUODUO n'a pas désigné de délégué à la protection des données (DPO), cette désignation n'étant pas obligatoire au regard de son activité.
1. Données que nous traitons
Données d'identification et de compte : adresse e-mail, nom affiché le cas échéant, organisation et espaces de travail auxquels le compte appartient, rôle dans l'organisation.
Données d'authentification : mot de passe, stocké de façon chiffrée par notre prestataire d'authentification et jamais en clair, ou jeton de connexion à usage unique envoyé par e-mail.
Contenus fournis : briefs et descriptions de scène, contraintes, images de référence chargées par l'utilisateur, directions artistiques et leurs paramètres, moodboards.
Contenus générés : visuels produits, leurs paramètres de génération (prompt de l'utilisateur, images d'entrée et leur rôle, modèle appelé), statut de validation, favoris.
Données d'usage et de facturation : consommation de crédits, journal des opérations, plan souscrit, identifiants de facturation créés chez notre prestataire de paiement.
Données de consentement : acceptation des CGU, avec sa date et la version acceptée.
Données techniques : données de connexion et de session, journaux techniques, journal de sécurité dans lequel les adresses IP sont conservées sous forme hachée.
Données d'invitation : adresse e-mail des personnes invitées à rejoindre un espace de travail, et état de l'invitation.
2. Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Créer et gérer le compte et les espaces de travail, fournir le Service | Exécution du contrat (CGU) |
| Générer les visuels demandés, y compris la transmission des prompts et images de référence au fournisseur de génération | Exécution du contrat |
| Envoyer les e-mails liés au fonctionnement (invitations, avertissements de conservation, sécurité) | Exécution du contrat |
| Décompter les crédits, facturer l'abonnement et les packs | Exécution du contrat |
| Respecter les obligations comptables et fiscales | Obligation légale |
| Assurer la sécurité du Service, prévenir la fraude et les abus | Intérêt légitime |
| Modérer les usages contraires aux CGU | Intérêt légitime |
| Améliorer le Service | Intérêt légitime |
| Recueillir et conserver la preuve de l'acceptation des CGU | Obligation légale et intérêt légitime |
3. Génération d'images et transmission aux fournisseurs
Le Service repose sur des fournisseurs tiers de génération d'images. Pour produire un visuel, **le prompt de l'utilisateur et les images de référence qu'il a fournies sont transmis à l'API du fournisseur**. Cette transmission est nécessaire à l'exécution du contrat : sans elle, aucun visuel ne peut être produit.
Le fournisseur de génération d'images utilisé par défaut est Google (modèles Gemini). Les conditions de ce fournisseur s'appliquent au traitement des contenus transmis.
Lorsque le client connecte sa propre clé d'accès à un fournisseur, les opérations correspondantes sont exécutées sous son compte chez ce fournisseur, et il devient responsable de sa relation avec celui-ci pour ces traitements. Sa clé est chiffrée avant stockage (AES-256-GCM), n'est jamais réaffichée en clair et n'apparaît dans aucun journal.
L'analyse des images de référence et la préparation des directions artistiques peuvent faire appel à un fournisseur de modèle de langage, sélectionné par DUODUO pour l'ensemble du Service. Le fournisseur retenu à ce jour est : [À COMPLÉTER].
4. Destinataires et sous-traitants
Les données sont accessibles au personnel habilité de DUODUO et à ses sous-traitants techniques, qui agissent sur instruction et présentent des garanties conformes au RGPD :
| Sous-traitant | Rôle | Localisation | Garantie de transfert |
|---|---|---|---|
| Supabase Pte. Ltd. | Base de données, authentification, stockage des visuels | [À COMPLÉTER] | Clauses contractuelles types |
| Vercel Inc. | Hébergement de l'application | États-Unis | EU-US Data Privacy Framework |
| Stripe | Paiement et facturation des abonnements | États-Unis / Irlande | EU-US Data Privacy Framework |
| Resend | Envoi des e-mails transactionnels | États-Unis | Clauses contractuelles types |
| Google LLC (Google Ireland Ltd pour l'Union européenne) | Génération des visuels (modèles Gemini) : les prompts et images de référence des utilisateurs lui sont transmis | États-Unis / Irlande | EU-US Data Privacy Framework |
Nous ne vendons pas les données personnelles et ne les utilisons pas à des fins publicitaires.
5. Transferts hors Union européenne
Certains sous-traitants sont situés en dehors de l'Union européenne, principalement aux États-Unis. Ces transferts sont encadrés par les garanties appropriées prévues par le RGPD, indiquées dans le tableau ci-dessus : décision d'adéquation au titre de l'EU-US Data Privacy Framework, ou clauses contractuelles types de la Commission européenne.
6. Personnes invitées
Lorsqu'un membre invite une personne à rejoindre un espace de travail, son adresse e-mail est traitée aux seules fins de lui adresser cette invitation et de lui donner accès à l'espace si elle l'accepte. L'e-mail d'invitation indique qui invite, au titre de quelle organisation, et rappelle comment demander la suppression de cette adresse.
Une invitation non acceptée expire ; l'adresse est alors supprimée avec l'invitation. La personne invitée peut à tout moment demander la suppression de ses données à contact@criativity.io.
7. Durées de conservation
- Compte et contenus : pendant la durée de vie du compte et de l'espace de travail.
- Visuels générés : illimitée pendant un abonnement actif ; trente (30) jours en période d'essai ; quatre-vingt-dix (90) jours après résiliation ou défaut de paiement. Aucune suppression n'intervient sans les avertissements par e-mail décrits dans les CGU.
- Données de facturation : dix (10) ans (obligation comptable).
- Journaux techniques et journal de sécurité : douze (12) mois.
- Consentements aux CGU : conservés le temps nécessaire à la preuve du consentement.
- Invitations non acceptées : supprimées à l'expiration de l'invitation.
8. Vos droits
Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition, de portabilité, et de définir des directives sur le sort de vos données après votre décès.
Deux de ces droits s'exercent directement depuis le Service :
- Export de vos données : depuis vos réglages, au format JSON.
- Suppression de votre compte : depuis vos réglages. Elle entraîne l'effacement de vos données et des visuels associés, sous réserve des obligations légales de conservation.
Pour les autres droits, ou pour toute question : contact@criativity.io. Nous pourrons vous demander de justifier de votre identité. Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr).
9. Sécurité
DUODUO met en œuvre des mesures techniques et organisationnelles adaptées, notamment :
- cloisonnement des données par organisation au moyen de règles de sécurité au niveau de la base de données ;
- chiffrement des clés fournisseur avant stockage (AES-256-GCM) ;
- chiffrement des échanges en transit (HTTPS) et chiffrement des données au repos par nos hébergeurs ;
- hachage des adresses IP dans le journal de sécurité ;
- exclusion des contenus sensibles des journaux applicatifs, et notamment des instructions de génération.
10. Modification
La présente politique peut être mise à jour. En cas de modification substantielle, les utilisateurs en sont informés.