Politique de confidentialité

1. Responsable du traitement et contact

Le service Iconise est exploité sous le nom commercial Twenty Soft par Vincent DESBROSSES. Les éléments d’immatriculation et l’adresse professionnelle actuellement associés à l’activité doivent encore être réconciliés avec les registres : ils ne sont pas présentés ici comme vérifiés. L’adresse de contact pour les questions relatives aux données et les demandes de droits est support@iconise.fyi.

Aucun délégué à la protection des données (DPO) n’est déclaré à la date de mise à jour de cette page.

2. Données concernées

Selon les fonctions que vous utilisez, Iconise traite les données de compte et de connexion (nom, adresse e-mail, langue, identifiant de compte Google si vous choisissez cette connexion, vérification d’adresse, sessions, adresse IP et navigateur), ainsi que les informations nécessaires à la sécurité du compte.

Les projets peuvent contenir leurs titres, descriptions, préférences, contraintes créatives, prompts et réponses, historique d’itérations, images de référence importées, images générées et métadonnées techniques. Les prompts compilés et les réponses nécessaires au suivi du projet sont conservés dans l’application.

Pour les abonnements, les références client et abonnement Stripe, le plan, les crédits, les événements de facturation et les informations de facturation nécessaires sont traités. Les paiements par carte sont réalisés par Stripe : Iconise ne reçoit pas le numéro complet de carte.

Si vous utilisez le programme de parrainage, Iconise traite les identifiants des comptes concernés, le code sous forme de référence interne, la source du rattachement, son état de vérification, les preuves minimales de paiement et les récompenses associées. L’historique présenté au parrain ne révèle pas le nom ni l’adresse e-mail du filleul.

Les échanges de support, demandes de rétractation, preuves de consentement et e-mails transactionnels peuvent contenir les informations que vous fournissez et les références nécessaires au traitement de votre demande.

3. Sources et finalités

Les données viennent de vous (formulaires, projets, images et préférences), de Google si vous choisissez Google OAuth, de Stripe pour la facturation et les paiements, et des systèmes techniques qui servent l’application et sa sécurité.

• Créer et sécuriser votre compte, vous authentifier et fournir les fonctions demandées : exécution du contrat ou mesures prises avant contrat.
• Enregistrer vos projets, prompts, images et résultats, et exécuter une génération intégrée lorsque vous la déclenchez : exécution du contrat.
• Gérer les abonnements, paiements, crédits, factures et demandes associées : exécution du contrat et, pour les obligations comptables applicables, obligation légale.
• Rattacher les parrainages, attribuer les crédits bonus prévus et prévenir les doublons ou abus : conditions du programme et intérêt à protéger le service, à confirmer dans le cadre de la revue juridique.
• Conserver les preuves contractuelles, répondre aux demandes et gérer les litiges : obligations légales lorsqu’elles s’appliquent et intérêts légitimes de défense des droits, à documenter selon chaque cas.
• Protéger, diagnostiquer et maintenir le service : intérêt légitime à assurer sa sécurité et son fonctionnement.
• Mesurer l’audience de la page publique uniquement après votre choix d’acceptation : consentement, révocable à tout moment.

3 bis. Notification unique d’ouverture d’Iconise

Si vous demandez cette notification, Iconise traite votre adresse e-mail, votre langue, la version de l’information affichée, les dates de demande et de confirmation ainsi que l’état de votre demande. La finalité est de vous envoyer un seul e-mail lorsque les inscriptions ouvrent. La confirmation par lien est nécessaire pour valider l’adresse ; elle ne crée pas de compte. Vous pouvez utiliser le lien de désinscription inclus dans l’annonce.

Les jetons d’action sont conservés sous forme d’empreinte et, tant qu’un e-mail doit être envoyé, sous forme chiffrée dans la file technique. Le lien de confirmation expire après 48 heures. Un lien de retrait expire après 12 mois. Une demande non confirmée est supprimée au plus tard 30 jours après la dernière demande de confirmation. Après la campagne d’annonce d’ouverture, une inscription confirmée est supprimée au plus tard 12 mois après son démarrage. Un retrait enlève immédiatement l’adresse de la liste active ; les données minimales de suppression nécessaires pour éviter un nouvel envoi restent conservées sans échéance de purge configurée, leur durée doit encore être définie. Aucun message publicitaire ou de relance n’est prévu.

La limitation anti-abus utilise des empreintes HMAC temporaires de l’adresse et, lorsque l’adresse réseau est fournie par une plateforme de confiance, de l’adresse IP. L’adresse IP brute n’est pas enregistrée par cette fonction. Amazon SES transporte les e-mails ; l’application et la base PostgreSQL utilisent les environnements Iconise de Vercel et du VPS Oracle/IONOS. Les régions, contrats, transferts internationaux et durées des journaux fournisseurs doivent être vérifiés avant publication.

Cette section et la politique restent en revue. Les durées décrites sont le comportement prévu dans l’application; elles ne valent pas validation juridique. Le formulaire peut recueillir les demandes lorsque Iconise est en mode waitlist. Cette activation ne confirme pas les éléments encore à vérifier : identité du responsable, base juridique, destinataires, transferts et durée de conservation des données minimales de suppression.

4. Générations assistées par IA

Lorsque vous déclenchez une génération d’image intégrée, le prompt préparé à partir de votre projet, les paramètres de génération et les images de référence que vous avez sélectionnées sont envoyés à l’API Gemini de Google. Lorsque vous demandez des directions créatives intégrées, le prompt textuel compilé est envoyé à l’API Responses d’OpenAI. Le contenu généré revient dans Iconise et peut être enregistré dans votre projet.

Le mode où vous copiez un prompt pour l’utiliser vous-même ne transmet pas ce prompt à ces fournisseurs par Iconise. N’ajoutez pas de données sensibles ou concernant d’autres personnes si elles ne sont pas nécessaires à votre projet.

Les conditions Google consultées indiquent que l’usage de l’API Gemini pour une application proposée dans l’EEE doit relever des services payants. Pour ces services, Google indique ne pas utiliser les prompts, fichiers et réponses pour améliorer ses produits, mais conserver des journaux de contenu pour la prévention des abus, pouvant être conservés 55 jours et examinés par du personnel autorisé lorsqu’un contenu est signalé. L’état de facturation et la configuration du compte Iconise ne sont pas prouvés dans le dépôt.

OpenAI indique que les données de l’API ne servent pas à entraîner ses modèles par défaut et que les journaux de prévention des abus peuvent contenir prompts et réponses jusqu’à 30 jours. Le code Iconise transmet store:false à l’API Responses, ce qui désactive la conservation d’état de réponse demandée par l’application ; cela ne prouve pas une exclusion des journaux d’abus. Aucune activation Zero Data Retention n’est établie.

Les rôles contractuels exacts, projets et comptes utilisés, régions de traitement, paramètres de conservation et garanties de transfert doivent être confirmés avant l’ouverture des ventes. Les fournisseurs peuvent traiter des données techniques de requête et de sécurité en plus du contenu décrit ci-dessus.

5. Destinataires et hébergement

Les données sont accessibles, dans la mesure nécessaire, aux personnes autorisées qui exploitent Iconise et aux prestataires suivants : Vercel pour la plateforme applicative observée dans le dépôt ; le VPS Oracle/IONOS utilisé pour PostgreSQL, dont l’emplacement et l’entité contractante doivent encore être confirmés ; Stripe pour les abonnements et documents de facturation ; AWS SES, configuré en région eu-west-1 (Irlande), pour les e-mails ; Google Gemini et OpenAI pour les générations intégrées ; Umami auto-hébergé à l’adresse stats.twentysoft.fyi pour l’audience de la page publique après acceptation.

Les données de parrainage sont accessibles aux composants applicatifs et aux opérateurs habilités chargés des revues ou de l’exploitation. Aucun code de parrainage, identifiant de filleul ou détail de relation Referral n’est envoyé à Umami.

Cloudflare est observé comme fournisseur des serveurs DNS. Le dépôt ne démontre pas que le trafic applicatif passe par son proxy. L’identité juridique et les lieux de stockage du VPS, les configurations réelles de rétention des journaux Vercel et Umami, ainsi que les réglages des comptes fournisseurs ne sont pas établis dans le code.

6. Transferts hors de l’Espace économique européen

Vercel est une société américaine et les services Google, OpenAI et Stripe peuvent traiter ou rendre accessibles des données depuis des pays hors EEE. Pour Gemini, les conditions de l’API payante indiquent que les prompts peuvent être stockés temporairement dans tout pays où Google ou ses agents disposent d’installations. Les régions effectives des projets Iconise et les clauses contractuelles et garanties de transfert effectivement activées ne sont pas vérifiées ici.

Avant la mise en vente, l’éditeur doit vérifier pour chaque prestataire l’entité contractante, les lieux de traitement, le mécanisme de transfert applicable (décision d’adéquation ou clauses contractuelles et mesures complémentaires si nécessaires) et les documents contractuels associés. Aucune garantie de résidence exclusive dans l’EEE n’est annoncée.

7. Conservation

Les projets et leurs images restent dans votre compte jusqu’à leur suppression depuis les fonctions disponibles ; le dépôt ne prévoit pas de suppression automatique des projets après une durée d’inactivité. Les données de session et de vérification comportent une date d’expiration technique. Les valeurs de durée déployées doivent être vérifiées dans la configuration de production.

Les données de facturation sont conservées dans Stripe et les références nécessaires au fonctionnement dans Iconise. Les preuves de consentement et de contrat, demandes de rétractation, notifications et journaux associés sont append-only dans le schéma examiné ; aucune règle d’effacement automatique ni durée opérationnelle validée n’est documentée. Les factures et pièces comptables doivent être conservées selon les obligations applicables.

Les intentions de parrainage expirent techniquement après la durée configurée (2 heures par défaut), mais cette expiration ne supprime pas automatiquement leur empreinte en base. Les relations, preuves de paiement, décisions de revue, récompenses et écritures comptables n’ont pas encore de durée de conservation ou de procédure de pseudonymisation approuvée. L’effacement complet d’un compte ne peut pas être réalisé en libre-service dans la version examinée et des références restrictives imposent une analyse avant toute suppression.

Les sauvegardes documentées sont chiffrées et suivent des cycles quotidien, hebdomadaire et mensuel. Aucune politique de purge automatique des sauvegardes ni propagation immédiate d’une suppression vers toutes les sauvegardes n’est prouvée. Les durées propres aux fournisseurs IA et aux journaux techniques dépendent également de leurs conditions et des réglages des comptes.

Ces durées et critères de suppression doivent être fixés et contrôlés avant l’ouverture des ventes. Les informations manquantes ne sont pas remplacées par une durée arbitraire.

8. Mesure d’audience et choix des traceurs

Umami ne se charge pas avant votre acceptation. Si vous acceptez, Iconise mémorise votre choix dans le cookie de première partie iconise_analytics_consent pendant six mois et charge le script d’audience sur les pages publiques de présentation uniquement. Le refus empêche le chargement ; vous pouvez modifier ou retirer votre choix avec le bouton de préférences ci-dessous.

Le code limite les données envoyées aux pages publiques de présentation, supprime les paramètres et ancres d’URL, et réduit le référent à son origine. L’absence de cookie Umami ne suffit pas à démontrer l’exemption de consentement : la configuration réelle de l’instance, l’anonymisation, les accès, les durées et les éventuels transferts restent à vérifier.

9. Sécurité

Les mots de passe, jetons et secrets ne doivent pas être écrits dans les journaux applicatifs. Le logger observé masque les contenus de prompts, images, jetons, mots de passe et e-mails ; les identifiants utilisateurs utilisés pour corréler certains événements sont hachés. Les sauvegardes décrites dans le runbook sont chiffrées. Ces constats de code et de documentation ne constituent pas une vérification de la configuration de production, des accès opérateurs, des journaux des hébergeurs ni de la réponse aux incidents.

10. Vos droits et demandes

Selon les conditions applicables, vous pouvez demander l’accès, la rectification, l’effacement, la limitation, la portabilité, vous opposer à certains traitements et retirer votre consentement pour l’audience. Écrivez à support@iconise.fyi en indiquant l’adresse liée au compte, l’objet de la demande et les références utiles. Ne transmettez pas de numéro de carte bancaire. Une vérification proportionnée de votre identité peut être nécessaire avant de communiquer ou supprimer des données.

Iconise ne propose actuellement ni export complet automatisé de compte ni suppression complète en libre-service. Les demandes doivent être traitées manuellement, avec examen des données conservées par les prestataires, des sauvegardes et des obligations légales ou de preuve. Une conservation légalement nécessaire peut empêcher un effacement immédiat de certaines pièces ; les données concernées doivent alors être limitées à cette finalité.

Une réponse est apportée dans un délai d’un mois après réception. Ce délai peut être prolongé de deux mois lorsque la demande est complexe ou nombreuse ; vous en êtes informé dans le premier mois avec les raisons du délai supplémentaire.

Vous pouvez adresser une réclamation à la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou via cnil.fr. Cette possibilité n’empêche pas de nous contacter d’abord.

11. Fermeture du compte et suppression

Vous pouvez supprimer un projet depuis les fonctions prévues dans l’application. La suppression du compte complet n’est pas encore disponible en libre-service. Pour la demander, écrivez à support@iconise.fyi. Nous examinerons séparément les données applicatives, les données détenues par les prestataires, les pièces de facturation et les preuves qui doivent éventuellement être conservées. Le dépôt ne définit pas encore un calendrier de purge des sauvegardes après suppression.

12. Évolution de cette politique

La version de référence est rédigée en français. Les autres versions localisées de l’adresse peuvent afficher ce texte français tant qu’aucune traduction juridique n’a été validée. Une modification est identifiée par sa version et sa date de mise à jour. La date d’entrée en vigueur reste en attente de validation ; la présente page ne vaut pas preuve que les vérifications externes de traitement sont terminées.

Mesure d’audience

Iconise utilise des statistiques Umami facultatives sur les seules pages publiques de présentation. Le script Umami ne se charge qu’après votre acceptation. Votre choix est conservé six mois dans un cookie de première partie. Le refus est respecté et vous pouvez modifier votre choix ici.