Politique de confidentialité

Dernière mise à jour : avril 2026 — Conforme au Règlement Général sur la Protection des Données (RGPD, UE 2016/679) et à la Loi Informatique et Libertés modifiée (LIL).

1. Responsable du traitement

Le responsable du traitement de vos données personnelles est l'éditeur du site Scalai (voir la page Mentions légales).

Pour toute question relative au traitement de vos données ou l'exercice de vos droits : contact@iai24.com.

Aucun délégué à la protection des données (DPO) n'est désigné (effectif inférieur au seuil de l'article 37 RGPD).

2. Données collectées

Données de compte : nom, adresse email, mot de passe (haché en bcrypt, jamais lisible), avatar.
Données de paiement : traitées exclusivement par Stripe — nous ne stockons jamais de coordonnées bancaires.
Contenus générés : prompts, images, scripts, voix, vidéos, photos produit.
Données biométriques (catégorie sensible RGPD art. 9) : photos de visage uploadées pour le faceswap, échantillons vocaux pour le clone de voix. Traitement uniquement sur consentement explicite (au moment de l'upload).
Données techniques : adresse IP, type de navigateur, dates et heures de connexion, journaux applicatifs.
Données de facturation : factures émises, transactions de crédits.

3. Finalités et bases légales (art. 6 RGPD)

Finalité	Base légale
Création et gestion du compte	Exécution du contrat (art. 6.1.b)
Génération de contenus IA	Exécution du contrat (art. 6.1.b)
Faceswap / clone de voix (biométrique)	Consentement explicite (art. 9.2.a)
Facturation / obligation comptable	Obligation légale (art. 6.1.c)
Sécurité, prévention de la fraude, logs	Intérêt légitime (art. 6.1.f)
Newsletter, communications marketing	Consentement (art. 6.1.a) — opt-in désactivé par défaut

4. Sous-traitants et destinataires (art. 28, art. 44+ RGPD)

Pour fonctionner, la plateforme transmet certaines données à des sous-traitants. Plusieurs sont situés hors Union européenne ; les transferts sont encadrés selon les bases ci-dessous.

Sous-traitant	Pays	Données	Base du transfert
Infomaniak Network SA (hébergement, SMTP)	🇨🇭 Suisse	Toutes	Décision d'adéquation UE 2000/518/CE
Stripe (paiements)	🇮🇪 Irlande / 🇺🇸 USA	Email, IP, transactions	DPF (Data Privacy Framework UE-USA) + CCT
fal.ai (Flux, modèles IA images/vidéo)	🇺🇸 USA	Prompts, photos uploadées	Clauses contractuelles types (CCT)
ElevenLabs (synthèse vocale, clone)	🇺🇸 USA	Texte, échantillons vocaux (biométrique)	Clauses contractuelles types (CCT)
Google (Gemini, OAuth)	🇺🇸 USA / 🇮🇪 Irlande	Prompts, email/profil OAuth	DPF + CCT
Anthropic (Claude)	🇺🇸 USA	Prompts	Clauses contractuelles types (CCT)
Runway (génération vidéo)	🇺🇸 USA	Prompts, images	Clauses contractuelles types (CCT)
Kling (génération vidéo, ByteDance)	🇨🇳 Chine ⚠️	Prompts, images	Clauses contractuelles types (CCT) — usage opt-in
Sync.so (lip-sync)	🇺🇸 USA	Audio + vidéo	Clauses contractuelles types (CCT)

⚠️ Les transferts vers la Chine (Kling) ne bénéficient pas de décision d'adéquation. Si vous souhaitez éviter ces transferts, n'utilisez pas l'engine Kling — d'autres engines (Veo, Seedance via Fal, Runway) sont disponibles.

5. Durées de conservation

Compte utilisateur : pendant toute la durée de l'utilisation, puis 3 ans après la dernière connexion (preuve en cas de litige) avant suppression définitive.
Contenus générés : conservés tant que le compte est actif. Supprimés dans les 30 jours suivant la suppression du compte.
Photos biométriques uploadées (faceswap) : 30 jours maximum après le dernier traitement, puis suppression automatique sauf demande explicite de conservation.
Logs d'accès et IP : 12 mois (recommandation CNIL).
Factures : 10 ans (obligation comptable et fiscale française).
Cookies d'authentification : 7 jours maximum (cookie refresh), 2 heures (cookie access).

6. Cookies et traceurs

Scalai n'utilise aucun cookie publicitaire ni traceur tiers. Seuls des cookies strictement nécessaires au fonctionnement du service sont déposés (exemptés de consentement selon la délibération CNIL 2020-091) :

Cookie	Finalité	Durée
`ugc_access`	Authentification (token JWT, httpOnly)	2 heures
`ugc_refresh`	Rafraîchissement de session (httpOnly)	7 jours
`connect.sid`	Anti-CSRF du flow OAuth Google (uniquement pendant /api/auth/google)	10 minutes

7. Vos droits (RGPD art. 15 à 22)

Droit d'accès (art. 15) : obtenir une copie de toutes vos données.
Droit de rectification (art. 16) : corriger une donnée inexacte (depuis votre profil).
Droit à l'effacement (art. 17) : supprimer votre compte et toutes les données associées (depuis vos paramètres → Sécurité).
Droit à la portabilité (art. 20) : exporter vos données dans un format structuré (JSON) — bouton dans Paramètres → Confidentialité.
Droit d'opposition (art. 21) : vous opposer au traitement (notamment marketing — désactivez la newsletter dans vos préférences).
Droit à la limitation du traitement (art. 18).
Droit de retirer votre consentement à tout moment (art. 7.3).

Pour exercer ces droits : contact@iai24.com. Réponse sous 1 mois maximum (RGPD art. 12.3).

Vous disposez également du droit d'introduire une réclamation auprès de la CNIL (cnil.fr/plaintes).

8. Sécurité

Hébergement en Europe (Suisse, adéquation UE).
Mots de passe stockés hachés (bcrypt, coût 12).
Tokens d'authentification en cookies httpOnly + Secure + SameSite=Lax.
Communications chiffrées HTTPS/TLS 1.2+ avec HSTS.
Sauvegardes chiffrées et limitation des accès (principe du moindre privilège).

En cas de violation de données affectant vos droits et libertés, vous serez notifié dans les meilleurs délais (RGPD art. 34) et la CNIL sera saisie sous 72 heures (art. 33).

9. Mineurs

L'inscription est réservée aux personnes âgées d'au moins 15 ans(LIL art. 7-1). En dessous, le consentement parental est requis. Si vous estimez qu'un compte mineur a été créé sans autorisation, contactez-nous : nous procéderons à sa suppression immédiate.

10. Modifications

Nous pouvons mettre à jour cette politique. Les modifications substantielles seront notifiées par email aux utilisateurs et signalées sur cette page.

Mentions légales Conditions générales