Informations juridiques

Déclaration de confidentialité

Version 2026-10-29 (v19) · Français

Pas encore relue par un avocat : en attente de la validation définitive par un avocat belge en protection des données avant le lancement.

La présente déclaration décrit comment nous traitons vos données aujourd’hui. Questions : dpo@fotofee.be.

1. Qui sommes-nous

Responsable du traitement (art. 4(7) RGPD) :

Dénomination sociale: GS Software BV
Nom commercial: Fotofee
Siège social: Da Vincilaan 1, 1930 Zaventem, Belgique
Numéro d’entreprise (BCE): 0801.407.862
Numéro de TVA: BE 0801.407.862
Registre des personnes morales: RPM Bruxelles
E-mail: hello@fotofee.be
Contact vie privée: dpo@fotofee.be

Autorité de contrôle : Autorité de protection des données (APD), rue de la Presse 35, 1000 Bruxelles — autoriteprotectiondonnees.be.

Vous avez le droit d’introduire une plainte auprès de l’APD, auprès de l’autorité de contrôle de votre résidence habituelle, ou devant un tribunal (art. 77–79 RGPD).

2. Quelles données et pourquoi

Finalité	Catégories de données	Base légale	Conservation
Création et gestion du compte	E-mail, nom d’affichage, identifiant OAuth, préférence de langue, IP à l’inscription	Art. 6(1)(b) exécution du contrat	Jusqu’à la suppression de votre compte ; la ligne utilisateur est anonymisée à la suppression ; données comptables 7 ans (art. 60 §4 Code de la TVA)
Téléversement et stockage des photos	Fichiers photo, métadonnées EXIF (date, GPS, appareil), nom de fichier, taille	Art. 6(1)(b) ; art. 6(1)(f) pour les tiers identifiables représentés (cf. §3)	Conservées jusqu’à ce que vous supprimiez ces photos, le livre ou votre compte. Un livre non commandé est supprimé, avec ses photos, 30 jours après sa création ; nous vous écrivons 14 et 3 jours avant. Dès qu’une commande est chez l’imprimeur, les photos non imprimées sont supprimées ; les photos imprimées, le fichier d’impression et la mise en page du livre sont conservés jusqu’à 2 ans après la livraison (livraison = expédition + 7 jours), pour traiter une réclamation au titre de la garantie légale (art. 1649quater de l’ancien Code civil ; art. 6(1)(f) et (c) : constatation, exercice ou défense de droits en justice). Après l’une ou l’autre date, seuls une petite image de couverture (512 px) et le titre subsistent, et le livre apparaît comme expiré dans votre profil. Les photos qui ne figurent dans aucun livre sont supprimées 30 jours après le téléversement (suppression définitive et purge du stockage 7 jours plus tard). Les sauvegardes et l’historique des versions sont purgés sous 30 jours après chaque suppression.
Clustering de visages pour la mise en page	Empreintes de visages (en mémoire uniquement — jamais conservées), identifiants de cluster entiers par album, votre liste des personnes à inclure dans le livre	Art. 9(2)(a) consentement explicite	Les empreintes ne sont pas conservées. Les identifiants de cluster sont supprimés dans les 72 heures suivant le retrait du consentement ; à la suppression du compte.
Génération du livre	Votre livre généré et ses images d’aperçu, ainsi que ce que vous saisissez lors de la création du livre : titre, sous-titre, description, dédicace et, selon le thème, des noms (p. ex. des mariés, des voyageurs ou du ménage) et des dates (p. ex. la date de naissance d’un enfant, utilisée uniquement pour imprimer son âge)	Art. 6(1)(b) ; art. 6(1)(f) pour les autres personnes que vous nommez (voir §3)	Le livre généré : conservé jusqu’à ce que vous le supprimiez ou qu’il expire, puis retiré sous 30 jours. Données de mise en page : tant que le livre existe. Ce que vous avez saisi lors de la création disparaît avec le livre, et aussi à son expiration (seul le titre subsiste).
Modération de contenu	Étiquettes de modération (NSFW / haine / violence) par téléversement	Art. 6(1)(c) obligation légale + art. 6(1)(f)	Liée à l’élément ; supprimée avec lui.
Signalements d’un lien de partage	sur le propriétaire du livre : le lien de partage signalé, le motif indiqué (vie privée, droit d’auteur, autre contenu illicite ou violation de nos conditions), les doubles pages concernées, et notre décision avec sa motivation ; sur l’auteur du signalement : nom, adresse e-mail, langue et explication	Art. 6(1)(c) obligation légale (règlement sur les services numériques, art. 16 et 17 : traiter les notifications et motiver la décision) pour les signalements de contenu illicite ; Art. 6(1)(f) intérêt légitime pour les signalements d’une violation de nos conditions	Supprimé avec le lien de partage, qui suit les dates du livre ci-dessus.
Exécution de la commande	Adresse de facturation, adresse de livraison, métadonnées de commande, facture	Art. 6(1)(b) + art. 6(1)(c) obligations TVA	7 ans à compter de la fin de l’exercice comptable
Vérification de l’adresse au paiement	Adresse de livraison saisie (rue, numéro, code postal, ville, pays) ; aucune donnée de compte	Art. 6(1)(b) exécution du contrat (livraison correcte)	Nous conservons le résultat (verdict, adresse normalisée) avec la commande, 7 ans (voir Exécution de la commande).
Paiement	Jeton de moyen de paiement (aucun numéro de carte), identifiant de transaction	Art. 6(1)(b)	Lié à la commande ; soumis à la conservation propre au prestataire de paiement.
Codes promo	Le code que vous utilisez et la réduction, liés à votre commande ; pour un code personnel, l’adresse e-mail pour laquelle il a été créé	Art. 6(1)(b) contrat ; art. 6(1)(f) intérêt légitime pour un code personnel	Avec la commande ; l’adresse e-mail d’un code personnel jamais utilisé : 12 mois après la fin du code, ou immédiatement si vous vous y opposez
Service client	Contenu des e-mails que vous nous envoyez	Art. 6(1)(b) + art. 6(1)(f)	24 mois à compter du dernier contact
Notifications dans l’app (uniquement si vous les autorisez)	Le jeton push de votre appareil (un code qu’Apple ou Google donne à l’app pour atteindre votre téléphone), le type d’appareil (iOS ou Android), la date d’enregistrement et de dernière utilisation ; pour chaque notification : l’identifiant du livre et de la génération du livre, son statut de remise et l’identifiant de l’accusé de remise d’Expo. Le message lui-même est générique (« Ton livre est prêt ») et ne contient jamais le titre ni les photos de votre livre. Vous pouvez désactiver les notifications à tout moment dans les réglages de votre téléphone.	Art. 6(1)(b) exécution du contrat : vous prévenir que le livre que vous avez demandé est prêt ; envoyées uniquement après que vous avez autorisé les notifications sur votre téléphone	Utilisé tant que vous êtes connecté à l’app sur cet appareil ; plus utilisé dès que vous vous déconnectez, qu’Apple ou Google signalent que l’app n’y est plus, ou que vous vous connectez sur plus de 10 appareils, et supprimé 30 jours plus tard. Les données de chaque notification envoyée sont supprimées 30 jours après leur envoi. Tout est supprimé immédiatement lorsque vous supprimez votre compte.
Preuve de la commande (droit de la consommation)	Empreinte du PDF validé, la version de l’information sur l’absence de droit de rétractation affichée au paiement, version des conditions, IP, agent utilisateur (navigateur)	Art. 6(1)(c) + art. 6(1)(f) — preuve d’un contrat conclu	5 ans à compter de la livraison
Sécurité / prévention de la fraude	événements d’audit d’authentification et juridiques (identifiant de compte, HMAC de l’adresse e-mail, adresse IP, identifiants de l’événement tels que l’identifiant de commande, de livre ou de lien de partage), métadonnées de session, événements CSRF / rate-limit	Art. 6(1)(f) intérêt légitime : la sécurité du service (cons. 49) et la constatation, l’exercice ou la défense de droits en justice	7 jours en entier dans les journaux de notre hébergeur (Fly.io), et une copie abrégée (adresse IP réduite à sa partie réseau ; ni adresse e-mail, ni navigateur, ni texte libre) pendant 24 mois dans une archive protégée en écriture chez Cloudflare R2 (UE) ; elle est ensuite supprimée.
Fonctionnement et correction du service	journaux techniques : identifiant de compte, identifiant de la génération du livre, identifiant de commande, identifiant de requête et, dans le journal d’accès, votre adresse IP et votre navigateur (agent utilisateur) ; rapports d’erreur, journaux applicatifs (chez Sentry) et traces de performance : les mêmes identifiants, sans identifiant de compte, adresse IP ni navigateur ; journaux de génération du livre (chez notre fournisseur de stockage, Cloudflare R2) : identifiant de compte, identifiant de la génération du livre et étapes, nombres, durées et messages d’erreur de la génération, les photos n’étant désignées que par un code de contenu ; jamais de photos, de noms de fichiers ni votre adresse e-mail	Art. 6(1)(f) intérêt légitime (un service sûr et fiable, art. 32 RGPD)	Journaux 7 jours (Fly.io) ; journaux de génération du livre 30 jours (Cloudflare R2), supprimés immédiatement si vous supprimez votre compte ; rapports d’erreur, journaux applicatifs et traces 30 jours (Sentry). Ils expirent d’eux-mêmes : si vous supprimez votre compte, ce qui y reste de vous disparaît dans les 30 jours.
Statistiques et vitesse du site (uniquement si vous activez « Statistiques »)	adresse de la page sans termes de recherche, page de provenance, type de navigateur, pays, temps de chargement ; pour les mesures de vitesse, aussi la durée de nos pages et appels, avec les identifiants de génération du livre, de commande et de requête (sans identifiant de compte, adresse IP ni chaîne du navigateur)	Art. 6(1)(a) consentement ; art. 10/2 de la loi du 30 juillet 2018 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel	Cloudflare : mesures individuelles 7 jours, ensuite uniquement des statistiques agrégées ; Sentry : 30 jours
Marketing (uniquement si vous y consentez)	E-mail + nom + signal d’interaction	Art. 6(1)(a) consentement	Jusqu’au retrait ou 24 mois d’inactivité ; l’enregistrement du consentement est conservé 24 mois après le retrait aux fins de l’art. 7(1)

Métadonnées des photos. De chaque photo, nous conservons l’heure de prise de vue, la position GPS et les informations sur l’appareil lorsqu’elles figurent dans le fichier d’origine, ainsi que le nom de fichier d’origine. Nous les utilisons uniquement pour ordonner et regrouper vos photos par date et par lieu lors de la création de votre livre. Vos photos restent privées, sauf que les personnes que vous invitez à modifier le livre peuvent ouvrir les fichiers photo d’origine, avec ces métadonnées ; toute personne disposant d’un lien de partage peut voir la couverture et lire les pages du livre, créées à partir de copies réduites de vos photos, jamais de vos fichiers photo d’origine (voir « Partager votre livre » ci-dessous). Les métadonnées sont supprimées avec la photo, le livre ou le compte : à la suppression d’une photo, nous les effaçons immédiatement, et les lignes de base de données et les fichiers sont définitivement supprimés dans les 7 jours, aux dates de la ligne ci-dessus.

Données que nous recevons de tiers : signalements de votre lien de partage. Toute personne qui ouvre un livre via un lien de partage peut nous le signaler comme contenu illicite ou comme violation de nos conditions (règlement sur les services numériques, art. 16). Un tel signalement est une source de données à caractère personnel vous concernant en tant que propriétaire du livre (RGPD art. 14(2)(f)) : le lien, le motif, les doubles pages concernées et, ensuite, notre décision. Nous vous écrivons lorsqu’un signalement masque votre lien et lorsque nous décidons, avec notre motivation (art. 17 du règlement sur les services numériques). Les signalements de vos liens figurent dans votre export de données sur fotofee.be/account, sans le nom, l’adresse e-mail, la langue ni les propres mots de l’auteur du signalement : nous ne vous disons pas qui a signalé votre livre, sauf si la loi l’exige (RGPD art. 15(4), DSA art. 17(3)(b)). Vous pouvez demander les mots de l’auteur du signalement à dpo@fotofee.be ; nous vous les transmettons sans ce qui permettrait de l’identifier. Lorsque la loi ou la protection d’autrui nous impose de retenir un signalement, celui-ci ne figure pas dans l’export. Si vous signalez vous-même un livre, nous utilisons vos nom, adresse e-mail, langue et explication uniquement pour traiter le signalement et vous répondre, et nous ne communiquons ni votre nom ni votre adresse e-mail au propriétaire du livre.

Partager votre livre. Lorsque vous partagez un livre, toute personne disposant du lien de partage peut voir sa couverture et lire le livre en ligne, avec votre prénom ; le lien cesse de fonctionner dès que vous le révoquez ou après un an. Les applications et sites où vous collez le lien (comme WhatsApp, Facebook ou iMessage) récupèrent le titre, le sous-titre et la couverture chez nous pour afficher un aperçu, et en gardent leur propre copie selon leurs propres règles de confidentialité ; révoquer le lien ne la supprime pas chez eux. L’image de story (pour Instagram, Facebook ou une autre application de votre choix) est créée sur notre serveur à partir de votre couverture, porte votre lien de partage et est remise à votre appareil ; ce que vous publiez relève de votre choix, et la plateforme sur laquelle vous publiez la traite en tant que responsable du traitement distinct. Toute personne qui voit votre publication peut ouvrir le lien jusqu’à ce que vous le révoquiez ou qu’il expire. Nous le faisons à votre demande (RGPD art. 6, par. 1, b), pour vos données ; art. 6, par. 1, f), pour les personnes figurant dans le livre, voir §3).

Nous n’utilisons jamais vos photos pour entraîner un modèle d’IA. Nous n’utilisons jamais vos photos pour du marketing, des témoignages ou des livres de démonstration.

3. Catégories particulières — clustering biométrique de visages

Si vous activez le clustering de visages, notre pipeline extrait des empreintes de visages (vecteurs numériques représentant des caractéristiques faciales) des photos de l’album sur lequel vous travaillez, les regroupe en mémoire et n’écrit qu’un « identifiant de cluster » entier et opaque sur chaque élément. Les empreintes elles-mêmes ne sont pas conservées. Aucune base de données de visages inter-utilisateurs ou inter-albums n’est constituée.

Base légale : art. 9(2)(a) RGPD — consentement explicite (recommandation APD 01/2021 §§3–5). Le consentement est demandé au moment où vous générez un livre pour la première fois, photos en main — et non enfoui dans l’inscription.

Vous pouvez retirer votre consentement à tout moment depuis les paramètres de votre compte. En cas de retrait : (1) nous cessons immédiatement le clustering de visages pour les nouvelles exécutions du pipeline ; (2) nous effaçons dans les 72 heures les identifiants de cluster inscrits sur vos éléments existants ainsi que votre liste des personnes à inclure dans le livre.

Des images d’enfants peuvent figurer dans les albums de famille. Nous ne distinguons pas les visages d’adultes de ceux d’enfants ; les identifiants de cluster sont opaques et aucune inférence démographique, d’âge, de genre ou d’émotion n’est réalisée.

Pour vos propres enfants, vous agissez en qualité de titulaire de l’autorité parentale et pouvez consentir en leur nom. Pour les enfants représentés qui ne sont pas les vôtres (une nièce, l’enfant d’un ami, des camarades de classe), vous confirmez avoir des motifs raisonnables de croire que le titulaire de l’autorité parentale ne s’opposerait pas à leur présence dans votre livre photo personnel, et vous vous engagez à retirer toute photo à la demande de ce titulaire.

4. L’IA dans le pipeline

Nous utilisons l’IA pour la sélection, le classement, le recadrage et la mise en page de vos propres photos. L’IA propose aussi les textes courts de votre livre, comme les titres de chapitre, les introductions et les légendes, à partir de ce que montrent vos photos, de leur date et de leur lieu, ainsi que du titre et de la description que vous saisissez lors de la création du livre. Nous n’utilisons pas l’IA pour créer de nouvelles images ni pour modifier ce que montrent vos photos. Vous voyez chaque texte de votre livre avant de commander, et vous pouvez modifier les titres dans l’éditeur.

Cette IA fonctionne dans l’UE : Google Gemini sur Vertex AI dans une région de l’UE et, en secours, Mistral AI sur ses serveurs dans l’UE. Ces prestataires ne traitent vos photos que pour répondre à notre demande et ne peuvent pas les utiliser pour entraîner leurs modèles ; nous n’utilisons jamais vos photos pour entraîner un modèle non plus. La modération de contenu utilise les mêmes outils : un contrôle de sécurité sur nos propres serveurs et le service d’IA de l’UE ci-dessus. La liste complète des sous-traitants figure au §5.

Ambiance et expressions. Nos outils attribuent à chaque photo une étiquette d’ambiance (par exemple « joyeuse » ou « sereine ») à partir de l’image entière, pour rythmer le livre ; le service d’IA européen mentionné ci-dessus peut fixer cette étiquette d’après ce qu’il voit sur la photo. Nos outils repèrent aussi les yeux fermés ou une bouche ouverte, afin qu’aucun visage qui cligne des yeux ne soit choisi pour la couverture. Rien de tout cela ne nomme ni n’étiquette les émotions, l’âge, le genre ou l’origine d’une personne, et rien n’est conservé par personne. Il ne s’agit pas d’un « système de reconnaissance des émotions » au sens de l’article 3, point 39, du règlement sur l’IA (voir son considérant 18 sur les expressions facilement perceptibles).

Au sens du règlement sur l’IA (règlement (UE) 2024/1689), nos outils photo ne sont pas un système d’IA à haut risque : ils choisissent, recadrent et disposent vos propres photos et ne produisent aucun effet juridique à votre égard.

Livre de l’année. Un livre de l’année est fait à partir de 2 000 photos au plus. Dans l’application Fotofee, vous choisissez une année civile et l’application vous propose les photos de cette année ; elle écarte les captures d’écran sur votre téléphone avant tout envoi : elles n’atteignent donc jamais notre stockage ni le service d’IA. Sur le site, vous choisissez vous-même les photos. Les photos sont contrôlées comme pour tout autre livre : nos propres outils, sur nos serveurs, écartent d’abord les photos plus faibles et les doublons, puis les photos restantes sont évaluées par le service d’IA de l’UE ci-dessus (Gemini sur Vertex AI dans l’UE, ou Mistral AI dans l’UE en secours).

5. Sous-traitants

Nous partageons vos données avec les prestataires ci-dessous. Ceux qui traitent vos données pour notre compte le font uniquement sur nos instructions et dans le cadre d’un contrat de sous-traitance (art. 28 RGPD) ; nous concluons ce contrat avant que vos données ne leur soient transmises. Mollie n’en fait pas partie : pour vos données de paiement, Mollie est un responsable du traitement distinct, qui a sa propre déclaration de confidentialité. Les transferts hors de l’EEE sont traités au §6.

Prestataire	Finalité	Localisation
Fly.io, Inc.	Hébergement du site, de l’API et de la génération des livres	UE (Francfort ; Paris en secours) ; société américaine : Data Privacy Framework, clauses contractuelles types en repli
Databricks, Inc. (Neon)	Base de données	UE (Francfort) ; société américaine : DPF, clauses contractuelles types en repli
Upstash, Inc.	Sessions et files de travail de courte durée (Redis)	Région UE
Google Cloud (Vertex AI, Gemini)	Sélection des photos, mise en page, les textes de votre livre, modération du contenu	région UE ; société mère américaine : DPF, clauses contractuelles types en repli
Mistral AI SAS	Secours pour les mêmes tâches	UE (France), aucune conservation
Print API B.V.	Impression et expédition de votre livre (nom, adresse de livraison, téléphone, fichiers d’impression)	UE (Pays-Bas). Si nous changeons d’imprimeur : Prodigi Ltd (Royaume-Uni, décision d’adéquation)
Resend (Plus Five Five, Inc.)	E-mails de service (confirmation de commande, livre prêt, expédition, compte)	Envoi depuis l’UE (Irlande) ; données de compte et journaux aux États-Unis : DPF, clauses contractuelles types en repli
650 Industries, Inc. (Expo)	Notifications dans l’app (« ton livre est prêt ») : jeton push, un message générique, identifiant du livre ; transmis à Apple Push Notification service ou à Google Firebase Cloud Messaging pour atteindre votre téléphone ; Expo efface le message une fois transmis	États-Unis : clauses contractuelles types dans les conditions d’Expo ; Expo déclare en outre être certifiée au titre du Data Privacy Framework
Mollie B.V.	Paiement (responsable distinct pour vos données de paiement)	UE (Pays-Bas)
Google Maps Platform (Address Validation et Places)	Recherche et vérifie votre adresse de livraison au paiement : texte de l’adresse uniquement, aucune donnée de compte, appel depuis notre serveur	États-Unis / mondial — garanties de transfert : Cloud Data Processing Addendum + Data Privacy Framework + clauses contractuelles types
Recommand (recommand.eu)	Envoie les factures électroniques aux acheteurs professionnels belges via le réseau Peppol (nom, numéro de TVA, adresse, montants de la facture)	UE (Belgique)
Functional Software Inc. (Sentry)	Rapports d’erreur, journaux applicatifs et traces de performance	Stockage dans l’UE (Francfort) ; accès de support depuis les États-Unis possible ; EU-US Data Privacy Framework, CCT en repli.
Cloudflare, Inc.	Stockage objet (y compris l’archive protégée en écriture des événements d’audit), CDN, protection DDoS et, uniquement avec votre consentement, statistiques du site (Cloudflare Web Analytics)	Stockage (R2) dans l’UE ; CDN sur le réseau mondial ; lieu des statistiques non publié ; société américaine : DPF, clauses contractuelles types en repli

Autres destinataires (pas nos sous-traitants).

Applications et sites où vous partagez votre lien (aperçus de lien) : titre, sous-titre et couverture ; responsables du traitement distincts, pas nos sous-traitants.

Nous revérifions trimestriellement les certifications au titre du Data Privacy Framework. La liste détaillée des sous-traitants et les analyses d’impact des transferts (TIA) sont disponibles sur demande pour l’APD.

6. Transferts internationaux

L’EEE est notre cadre par défaut. Lorsque nous transférons des données hors de l’EEE, nous nous appuyons sur une décision d’adéquation, sur le Data Privacy Framework UE–États-Unis (DPF), ou sur les clauses contractuelles types (CCT) accompagnées des mesures supplémentaires identifiées dans la TIA concernée. Le texte de l’adresse envoyé pour la vérification au paiement va à Google Maps Platform (États-Unis / mondial), et nos e-mails de service sont envoyés par Resend (États-Unis), tous deux au titre du DPF, avec les clauses contractuelles types en repli. Les notifications dans l’app passent par Expo (650 Industries, États-Unis), au titre des clauses contractuelles types de ses conditions, puis d’Expo à Apple ou Google (États-Unis) pour atteindre votre téléphone.

7. Vos droits

Vous avez le droit :

d’accéder aux données que nous détenons sur vous (art. 15) ;
de rectifier des données inexactes (art. 16) ;
d’effacer vos données (art. 17), sous réserve des obligations de conservation prévues par le droit belge ;
de limiter le traitement (art. 18) ;
à la portabilité dans un format lisible par machine (art. 20) ;
de vous opposer à un traitement fondé sur l’intérêt légitime (art. 21), y compris si une photo de vous apparaît dans le téléversement d’un autre client ;
de retirer votre consentement à tout moment, avec effet pour l’avenir (art. 7(3)) ;
de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou vous affectant de manière significative de façon similaire (art. 22). Nos choix automatisés de mise en page (quelle photo figure en couverture, ce qui est recadré) n’ont pas de tels effets : ce sont des propositions que vous vérifiez et validez.

Vous exercez vos droits via les outils intégrés dans les paramètres de votre compte (export de données, suppression du compte, réglages de consentement) ou en écrivant à dpo@fotofee.be. Nous répondons dans un délai d’un mois. Si une demande est complexe ou si les demandes sont nombreuses, nous pouvons prendre deux mois de plus, et nous vous en informons dans le premier mois (art. 12(3)).

8. Durées de conservation — résumé

Données de compte : jusqu’à la suppression du compte.
Photos : conservées jusqu’à ce que vous supprimiez ces photos, le livre ou votre compte. Un livre non commandé est supprimé, avec ses photos, 30 jours après sa création (nous vous écrivons 14 et 3 jours avant). Dès qu’une commande est chez l’imprimeur, les photos non imprimées sont supprimées ; les photos imprimées, le fichier d’impression et la mise en page du livre sont conservés jusqu’à 2 ans après la livraison (expédition + 7 jours). Ensuite, seuls une image de couverture de 512 px et le titre subsistent. Sauvegardes et historique des versions : purgés sous 30 jours après chaque suppression.
Photos téléversées dans aucun livre : supprimées 30 jours après le téléversement, purgées 7 jours plus tard.
Empreintes de visages : en mémoire uniquement ; jamais conservées.
Identifiants de cluster de visages : dans les 72 heures suivant le retrait du consentement ; à la suppression du compte.
Le livre généré : conservé jusqu’à ce que vous le supprimiez ou qu’il expire ; retiré sous 30 jours après suppression.
Commandes / factures : 7 ans à compter de la fin de l’exercice comptable (art. 60 §4 Code de la TVA).
Preuve de la commande (empreinte du PDF validé, version des conditions, la version de cette information affichée) : 5 ans à compter de la livraison.
Journaux techniques : 7 jours. Événements d’audit d’authentification et juridiques : 7 jours en entier (Fly.io), une copie abrégée 24 mois dans une archive protégée en écriture (Cloudflare R2, UE), ensuite supprimée. Journaux de génération du livre : 30 jours, supprimés immédiatement si vous supprimez votre compte. Rapports d’erreur, journaux applicatifs et traces : 30 jours. Statistiques du site (avec consentement) : mesures individuelles 7 jours chez Cloudflare, 30 jours chez Sentry.
Notifications dans l’app : le jeton push tant que vous êtes connecté à l’app sur cet appareil ; après votre déconnexion, il n’est plus utilisé et il est supprimé 30 jours plus tard. Les données de chaque notification envoyée : 30 jours. Tout est supprimé immédiatement avec votre compte.
Enregistrements de consentement aux cookies : 24 mois.
Enregistrements de consentement marketing : jusqu’au retrait, + 24 mois ensuite aux fins de l’art. 7(1).

À la suppression d’un compte, la ligne utilisateur est anonymisée — e-mail remplacé par une valeur neutre de remplacement, nom effacé, identité OAuth effacée — de sorte que les enregistrements comptables restent intacts sans continuer à vous identifier.

Un relevé abrégé de sécurité et juridique des événements de votre compte (sans nom ni adresse e-mail) est conservé jusqu’à 24 mois dans une archive protégée en écriture, pour protéger le service et défendre des droits en justice ; il est ensuite supprimé.

9. Enfants

Les titulaires d’un compte ont 18 ans ou plus. Vous devez avoir 18 ans ou plus pour créer un compte et passer commande (conditions générales, §3) ; si nous apprenons qu’un compte appartient à une personne de moins de 18 ans, nous le fermons. Des enfants peuvent bien entendu figurer sur les photos que vous téléversez ; le §3 explique comment nous traitons les visages sur ces photos.

Nous n’identifions, ne classons ni n’inférons aucun attribut des mineurs représentés sur les photographies — aucune inférence d’âge, de genre ou d’émotion. Le pipeline traite tous les visages détectés de manière uniforme.

10. Cookies

Nous utilisons un petit nombre de cookies. Voir notre Politique relative aux cookies pour la liste complète. Les cookies strictement nécessaires (identifiant de session, jeton CSRF, préférence de langue, enregistrement du consentement) sont exemptés de consentement en vertu de l’art. 10/2 §2 de la loi du 30 juillet 2018. Tout le reste attend votre choix dans la bannière cookies ; vous pouvez le modifier à tout moment via Paramètres des cookies en bas de chaque page.

11. Sécurité

Photos stockées dans des régions de l’UE avec chiffrement AES-256 au repos et TLS 1.2+ en transit.
L’authentification utilise des cookies de session opaques (HttpOnly + Secure + SameSite=Lax) — votre navigateur ne détient jamais de jeton d’accès.
Les événements d’authentification sont journalisés dans un stockage inviolable (pseudonymisé par HMAC) avec alerte sur anomalie.
L’accès interne aux données de cluster biométriques est restreint et journalisé conformément à la loi du 30 juillet 2018.

Nous vous notifions, ainsi que l’APD, toute violation de données à caractère personnel conformément aux art. 33–34 RGPD (à l’APD dans les 72 heures ; à vous sans retard injustifié lorsque la violation présente un risque élevé pour vos droits).

12. Modifications

Nous actualisons la présente déclaration dès que nos traitements évoluent. Les modifications substantielles sont notifiées par e-mail au moins 30 jours avant leur entrée en vigueur. La date de version ci-dessus correspond à la version en cours.

13. Réclamations

Vous avez le droit d’introduire une plainte auprès de :

l’Autorité de protection des données belge — autoriteprotectiondonnees.be — en vertu de l’art. 77 RGPD ;
l’autorité de contrôle de votre résidence habituelle (par ex. l’Autoriteit Persoonsgegevens néerlandaise pour les résidents néerlandais) en vertu de l’art. 77 RGPD ;
les tribunaux belges en vertu des art. 78–79 RGPD.

Vous pouvez également exercer votre droit d’opposition au titre de l’art. 21 en écrivant à dpo@fotofee.be.