Politique de confidentialité
Dernière mise à jour : septembre 2026 — Conforme au Règlement Général sur la Protection des Données (RGPD, UE 2016/679) et à la Loi Informatique et Libertés modifiée (LIL).
1. Responsable du traitement
Le responsable du traitement de tes données personnelles est l'éditeur du site Scalai (voir la page Mentions légales).
Pour toute question relative au traitement de tes données ou à l'exercice de tes droits : contact@scalai.io.
Aucun délégué à la protection des données (DPO) n'est désigné (effectif inférieur au seuil de l'article 37 RGPD).
2. Données collectées
- Données de compte : nom, adresse email, mot de passe (haché en bcrypt, jamais lisible), avatar.
- Données de paiement : traitées exclusivement par Stripe — nous ne stockons jamais de coordonnées bancaires.
- Contenus générés : prompts, images, scripts, voix, vidéos, photos produit.
- Données biométriques (catégorie sensible RGPD art. 9) : photos de visage uploadées pour le faceswap, échantillons vocaux pour le clone de voix. Traitement uniquement sur consentement explicite (au moment de l'upload).
- Données techniques : adresse IP, type de navigateur, dates et heures de connexion, journaux applicatifs.
- Données de facturation : factures émises, transactions de crédits.
3. Finalités et bases légales (art. 6 RGPD)
| Finalité | Base légale |
|---|---|
| Création et gestion du compte | Exécution du contrat (art. 6.1.b) |
| Génération de contenus IA | Exécution du contrat (art. 6.1.b) |
| Faceswap / clone de voix (biométrique) | Consentement explicite (art. 9.2.a) |
| Facturation / obligation comptable | Obligation légale (art. 6.1.c) |
| Sécurité, prévention de la fraude, logs | Intérêt légitime (art. 6.1.f) |
| Suivi des erreurs techniques (stabilité du service) | Intérêt légitime (art. 6.1.f) |
| Programme d'affiliation (attribution des inscriptions aux partenaires) | Intérêt légitime (art. 6.1.f) |
| Newsletter, communications marketing | Consentement (art. 6.1.a) — opt-in désactivé par défaut |
4. Sous-traitants et destinataires (art. 28, art. 44+ RGPD)
Pour fonctionner, la plateforme transmet certaines données à des sous-traitants. Plusieurs sont situés hors Union européenne ; les transferts sont encadrés selon les bases ci-dessous.
| Sous-traitant | Pays | Données | Base du transfert |
|---|---|---|---|
| Infomaniak Network SA (hébergement, SMTP) | Suisse | Toutes | Décision d'adéquation UE 2000/518/CE |
| Stripe (paiements) | Irlande / États-Unis | Email, IP, transactions | DPF (Data Privacy Framework UE-USA) + CCT |
| fal.ai (Flux, modèles IA images/vidéo) | États-Unis | Prompts, photos uploadées | Clauses contractuelles types (CCT) |
| ElevenLabs (synthèse vocale, clone) | États-Unis | Texte, échantillons vocaux (biométrique) | Clauses contractuelles types (CCT) |
| Google (Gemini, OAuth) | États-Unis / Irlande | Prompts, email/profil OAuth | DPF + CCT |
| Anthropic (Claude) | États-Unis | Prompts | Clauses contractuelles types (CCT) |
| Runway (génération vidéo) | États-Unis | Prompts, images | Clauses contractuelles types (CCT) |
| Kling (génération vidéo, ByteDance) | Chine | Prompts, images | Clauses contractuelles types (CCT) — usage opt-in |
| Sentry — Functional Software Inc. (suivi des erreurs techniques) | États-Unis | Rapports d'erreur : page, navigateur, adresse IP, identifiant et email du compte ; en cas d'erreur, relecture de la session (textes, saisies et médias masqués) | DPF (Data Privacy Framework UE-USA) + CCT |
| Sync.so (lip-sync) | États-Unis | Audio + vidéo | Clauses contractuelles types (CCT) |
Attention : les transferts vers la Chine (Kling) ne bénéficient pas de décision d'adéquation. Si tu souhaites éviter ces transferts, n'utilise pas le moteur Kling — d'autres moteurs (Veo, Seedance via Fal, Runway) sont disponibles.
5. Durées de conservation
- Compte utilisateur : pendant toute la durée de l'utilisation, puis 3 ans après la dernière connexion (preuve en cas de litige) avant suppression définitive.
- Contenus générés : conservés tant que le compte est actif. Supprimés dans les 30 jours suivant la suppression du compte.
- Photos biométriques uploadées (faceswap) : 30 jours maximum après le dernier traitement, puis suppression automatique sauf demande explicite de conservation.
- Logs d'accès et IP : 12 mois (recommandation CNIL).
- Factures : 10 ans (obligation comptable et fiscale française).
- Cookies d'authentification : 7 jours maximum (cookie refresh), 2 heures (cookie access).
7. Tes droits (RGPD art. 15 à 22)
- Droit d'accès (art. 15) : obtenir une copie de toutes tes données.
- Droit de rectification (art. 16) : corriger une donnée inexacte (depuis ton profil).
- Droit à l'effacement (art. 17) : supprimer ton compte et toutes les données associées (depuis tes paramètres → Sécurité).
- Droit à la portabilité (art. 20) : exporter tes données dans un format structuré (JSON) — bouton dans Paramètres → Sécurité.
- Droit d'opposition (art. 21) : t'opposer au traitement (notamment marketing — désactive la newsletter dans tes préférences).
- Droit à la limitation du traitement (art. 18).
- Droit de retirer ton consentement à tout moment (art. 7.3).
Pour exercer ces droits : contact@scalai.io. Réponse sous 1 mois maximum (RGPD art. 12.3).
Tu disposes également du droit d'introduire une réclamation auprès de la CNIL (cnil.fr/plaintes).
8. Sécurité
- Hébergement en Europe (Suisse, adéquation UE).
- Mots de passe stockés hachés (bcrypt, coût 12).
- Tokens d'authentification en cookies
httpOnly+Secure+SameSite=Lax. - Communications chiffrées HTTPS/TLS 1.2+ avec HSTS.
- Sauvegardes chiffrées et limitation des accès (principe du moindre privilège).
En cas de violation de données affectant tes droits et libertés, tu seras notifié dans les meilleurs délais (RGPD art. 34) et la CNIL sera saisie sous 72 heures (art. 33).
9. Mineurs
L'inscription est réservée aux personnes âgées d'au moins 15 ans(LIL art. 7-1). En dessous, le consentement parental est requis. Si tu estimes qu'un compte mineur a été créé sans autorisation, contacte-nous : nous procéderons à sa suppression immédiate.
10. Modifications
Nous pouvons mettre à jour cette politique. Les modifications substantielles seront notifiées par email aux utilisateurs et signalées sur cette page.