Politique de confidentialité

Emilien HENAULT, entrepreneur individuel (EI) (voir les mentions légales), éditeur de La Belle Toile, est responsable du traitement au sens du règlement général sur la protection des données (RGPD) pour les données décrites ci-dessous. Contact pour toute question ou demande : contact@labelletoile.fr. Aucun délégué à la protection des données n’est désigné, il n’y est pas tenu.

En bref. Vos photos sont hébergées en France, ne servent qu’à la galerie, et sont supprimées à la fin de la durée choisie. Le tri des photos par visage est la fonction principale du service : notre serveur repère seulement où se trouvent les visages sur les photos, et c’est le téléphone de chaque invité qui les reconnaît et les regroupe. Nous ne calculons, ne recevons et ne conservons aucune empreinte de visage. Aucune publicité, aucun traceur, aucune revente.

• Commande et compte des mariés — nom des mariés, date de l’événement, adresse e-mail, mot de passe (haché), référence de paiement (jamais la carte). Fondement : exécution du contrat ; obligation légale pour la facturation. Durée : la vie du compte ; facturation 10 ans.
• Photos, couverture, mots et messages vocaux du livre d’or — déposés par les mariés et leurs invités, et qui montrent souvent d’autres personnes. Fondement : exécution du contrat conclu avec les mariés et, pour les invités et les personnes photographiées, intérêt légitime des mariés et de leurs invités à partager les photos de leur fête dans un cercle privé, protégé par un code (chacun peut s’y opposer, section 6). Durée : la durée d’hébergement du forfait, puis suppression ; les copies de sauvegarde sont effacées dans les 30 jours qui suivent.
• Tri par visage — position des visages sur les photos et petites images de ces visages, voir la section 3. Aucune empreinte de visage.
• Sécurité et lutte contre les abus — adresse IP transformée en identifiant non réversible (hachée avec une clé secrète) pour limiter les essais de code et les envois abusifs ; jamais l’adresse en clair. Fondement : intérêt légitime à protéger le service. Durée : de quelques minutes à une heure pour les compteurs ; journaux techniques tournants de quelques jours.
• Fréquentation du site — les pages de la vitrine vues (jamais une galerie) et le site d’où vient le visiteur, comptés sans cookie, voir la section 4. Fondement : intérêt légitime à connaître la fréquentation de notre site. Durée : des totaux par jour, sans aucune donnée sur vous ; l’empreinte qui évite de compter deux fois un visiteur dans la journée est effacée au bout de deux jours.
• E-mails du service — accès, confirmation de commande, avis avant la fin de l’hébergement, changement de mot de passe. Fondement : exécution du contrat. Aucune prospection.
• Demandes et support — vos messages et notre réponse. Fondement : intérêt légitime à répondre. Durée : 3 ans après le dernier échange.
• Rétractation et signalements — nom, e-mail, contrat ou contenu visé, date et heure de la déclaration. Fondement : obligation légale (Code de la consommation ; règlement européen sur les services numériques). Durée : 5 ans, le temps de pouvoir prouver ce qui a été reçu et fait.

Ce que fait notre serveur. Quand une photo est envoyée, un programme qui tourne sur notre serveur en France (aucune photo n’est envoyée à un service extérieur) repère où se trouvent les visages. Pour chacun, nous rangeons avec la photo sa position et deux petites images : un portrait et une image redressée de 112 pixels. Ce ne sont que des images : le serveur ne sait pas qui est sur la photo, ne compare pas les visages entre eux et ne calcule aucune empreinte de visage.

Ce que fait votre téléphone. Quand vous ouvrez la galerie, votre téléphone télécharge ces petites images, calcule lui-même l’empreinte de chaque visage avec un modèle chargé depuis notre site, puis regroupe les photos d’une même personne. Ces calculs ne quittent pas votre téléphone, qui les garde en mémoire pour ne pas les refaire (« Oublier mes données » les efface). Pour « Me trouver », votre selfie est analysé dans votre téléphone : il n’est ni envoyé, ni conservé. C’est le traitement d’un invité qui parcourt, pour son usage personnel, les photos d’une fête à laquelle il a participé.

Qui décide. Les mariés coupent le tri à tout moment depuis leur tableau de bord : les petites images de visages sont alors effacées et les invités ne voient plus ni les personnes ni « Me trouver ». Les prénoms que vous donnez aux personnes restent sur votre téléphone.

Ne pas figurer dans le tri. Si vous ne voulez pas que votre visage figure dans le tri d’une galerie, écrivez-nous en indiquant l’adresse de la galerie et la photo concernée : nous supprimons la photo ou désactivons le tri de la galerie, sous un mois au plus. Les mariés peuvent aussi supprimer la photo depuis leur tableau de bord. Vous pouvez le demander même si vous n’avez jamais ouvert la galerie.

Garanties. Galerie protégée par un code ; petites images effacées avec la photo, avec le tri s’il est coupé, et à la fin de l’hébergement ; aucune utilisation en dehors de la galerie (pas de revente, de croisement entre événements, de publicité ni d’entraînement d’IA) ; aucune décision automatique produisant des effets sur vous. Une analyse d’impact (AIPD) a été menée.

Le Site n’utilise aucun cookie publicitaire et aucun traceur de tiers. Il enregistre seulement, dans le stockage local de votre navigateur, ce qui est nécessaire à ce que vous demandez : le jeton d’accès à la galerie ouverte, un identifiant anonyme d’envoi, la personne que vous avez choisie comme « moi » et la preuve qui permet de la retirer, votre prénom pour le livre d’or, le fait d’avoir lu le bandeau d’information, et, pour les mariés, la session du tableau de bord (fermée avec l’onglet). Ces éléments ne sont jamais utilisés pour vous suivre et ne demandent pas de consentement ; vous pouvez les effacer depuis les réglages de votre navigateur. La page de paiement appartient à Stripe, qui y applique ses propres règles.

Mesure d’audience, sans cookie. Pour savoir combien de personnes visitent la vitrine et d’où elles viennent (un moteur de recherche, un réseau social…), nous comptons nous-mêmes les pages vues, sans rien enregistrer ni lire sur votre appareil : votre navigateur nous indique la page et le site d’où vous venez. Pour compter une seule fois un visiteur dans la journée sans pouvoir le reconnaître ensuite, une empreinte de son adresse IP (déjà brouillée) et de son navigateur est mêlée à une clé tirée au sort chaque jour, puis effacée avec cette clé au bout de deux jours. Seuls des totaux sont gardés ; aucune adresse IP n’est conservée et rien n’est confié à un tiers. Les galeries, le tableau de bord et la console ne sont jamais comptés. Si votre navigateur envoie le signal « ne pas suivre » (Global Privacy Control ou Do Not Track), rien n’est envoyé.

• OVH SAS (France) : hébergement du serveur, des photos (Gravelines) et des sauvegardes (Strasbourg).
• Stripe : paiement. Les données de carte sont saisies chez Stripe, société américaine (Stripe Payments Europe, Irlande, pour l’Union européenne) ; elles ne nous parviennent pas.
• Resend : envoi des e-mails du service (votre adresse et le contenu du message). Société américaine.

Ces prestataires agissent sur nos instructions ou pour leur propre obligation légale. Lorsqu’un transfert hors de l’Union européenne a lieu (Stripe, Resend), il repose sur les garanties prévues au chapitre V du RGPD (décision d’adéquation ou clauses contractuelles types). Vos photos et les petites images de visages ne quittent jamais la France. Nous ne vendons aucune donnée.

Vous pouvez demander l’accès à vos données, leur rectification, leur effacement, la limitation du traitement, vous y opposer, et recevoir celles que vous nous avez fournies dans un format lisible (portabilité). Lorsque le traitement repose sur votre consentement, vous pouvez le retirer à tout moment, sans effet sur ce qui a précédé. Écrivez à contact@labelletoile.fr : nous répondons sous un mois au plus ; nous pouvons vous demander de prouver votre identité, ou l’adresse de la galerie concernée. Pour une photo de vous que vous voulez voir retirée, indiquez l’adresse de la galerie : nous la retirons ou la faisons retirer.

Vous pouvez aussi définir des directives sur le sort de vos données après votre décès (article 85 de la loi Informatique et Libertés) : écrivez-nous.

Vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr), 3 place de Fontenoy, 75007 Paris.

Les photos d’enfants sont déposées sous la responsabilité des mariés et de leurs invités. Un mineur de moins de 15 ans ne doit pas utiliser la recherche par selfie sans l’accord d’un parent, qui peut aussi demander que son visage ne figure plus dans le tri.

Les photos sont dans un stockage privé, jamais public : chaque affichage passe par un lien signé valable une heure. Les galeries sont isolées les unes des autres au niveau de la base de données. Les mots de passe sont hachés ; les codes d’accès des galeries sont chiffrés en base ; la double authentification est disponible pour les mariés et obligatoire pour l’administration du service. Les sauvegardes (copies de la base et archives des galeries) sont chiffrées (AES-256) avant de quitter notre serveur, avec une clé que nous seuls détenons, puis déposées dans un stockage privé distinct. En cas de violation de données présentant un risque pour vous, nous prévenons la CNIL dans les 72 heures et, si le risque est élevé, les personnes concernées.

Cette politique est mise à jour quand le service ou la loi change ; la date en tête de page indique la dernière version. Un changement important vous est signalé par e-mail (mariés) ou dans la galerie.