Politique de confidentialité

Ce texte explique comment vos données personnelles sont traitées lorsque vous utilisez le service Moonpix AI sur moonpixai.com. Il constitue une note d'information au sens de l'art. 10 de la loi turque n° 6698 relative à la protection des données personnelles (KVKK) et une information au sens de l'art. 13 du Règlement général sur la protection des données de l'UE (RGPD). Ce n'est pas un contrat : il ne vous demande pas votre consentement ; nous enregistrons seulement que vous l'avez lu. Le seul traitement fondé sur votre consentement explicite est la mesure publicitaire décrite ci-dessous.

Responsable du traitement

Le responsable du traitement est Umut Hasan Şahin (personne physique, à titre individuel). Si vous êtes connecté, vous pouvez le joindre depuis l'écran d'assistance du site ; si vous ne pouvez pas vous connecter, via le formulaire de demande. Aucun délégué à la protection des données n'a été désigné.

Avec le même compte, vous pouvez aussi vous connecter à nos autres applications et y utiliser vos jetons. Le responsable du traitement de ces applications est le même ; c'est pourquoi les données de votre compte et de vos jetons y sont également utilisées.

Quelles données nous traitons

Compte : votre adresse e-mail, une empreinte irréversible de votre mot de passe (argon2id ; nous ne conservons pas le mot de passe lui-même), votre année de naissance, votre langue préférée, votre identifiant de membre, les dates d'ouverture du compte et de dernière connexion, et vos réglages de sécurité de connexion.
Si vous vous connectez avec Google, de la part de Google : l'identifiant de votre compte Google, votre adresse e-mail et le fait qu'elle soit vérifiée ou non, votre nom et le lien vers votre photo de profil.
Codes de vérification : uniquement une empreinte (SHA-256) des codes à 6 chiffres que nous envoyons à votre adresse e-mail. Les codes sont valables 10 minutes.
Sessions : l'identifiant de session, une empreinte des informations de votre navigateur (user agent), le pays, les dates d'ouverture et de dernière utilisation de la session.
Les photos et vidéos que vous téléversez et vos prompts (le texte que vous rédigez pour générer).
Générations : les fichiers de résultat, le modèle et les réglages que vous choisissez, le coût en jetons, le statut de la génération et le pays.
Jetons et achats : votre solde ; les mouvements de jetons mis de côté, dépensés et rendus ; le statut de votre abonnement ; l'identifiant de transaction, le produit, le prix, la boutique et le pays transmis par la boutique. Vos données de carte ne nous parviennent jamais.
Confirmation d'âge : si vous avez confirmé votre âge pour accéder à certains contenus, le moment de la confirmation et votre identifiant de membre.
Preuve d'acceptation : la version et la langue que vous avez acceptées, l'empreinte SHA-256 de chaque document, le moment où vous avez fini de lire chaque document, les phrases d'acceptation affichées à l'écran (y compris votre déclaration selon laquelle vous avez indiqué correctement votre année de naissance et avez 18 ans ou plus), votre année de naissance, votre adresse IP, les informations de votre navigateur (user agent), l'empreinte SHA-256 de votre adresse e-mail et le moment de l'acceptation.
Assistance et demandes : ce que vous écrivez depuis l'écran d'assistance ; les nom et prénom, l'adresse e-mail et le message que vous indiquez dans le formulaire de demande ; le pays.
Mesure d'utilisation : le début d'une session, le chemin de la page que vous ouvrez, un signal « toujours là » envoyé toutes les 60 secondes tant que la page est ouverte, et la fin de la session. Si vous êtes connecté, ces données sont rattachées à votre identifiant de membre ; sinon, elles sont liées à un numéro aléatoire qui disparaît à la fermeture de l'onglet.
Journaux de sécurité : tentatives de connexion et événements de risque. Ils ne contiennent pas votre adresse IP elle-même, mais une empreinte irréversible (HMAC) calculée à partir de celle-ci avec une clé secrète. Lors de la connexion, de l'inscription et des opérations sur le mot de passe, ces journaux sont associés à un identifiant aléatoire attribué à votre navigateur (cookie __Host-iid) ; les comptes ouverts depuis le même navigateur peuvent ainsi être reliés entre eux.
Pays : le code pays que Cloudflare déduit de votre connexion. Il est inscrit dans les enregistrements de sessions, de mesure d'utilisation, de médias, de générations et d'assistance ; certains contenus peuvent être disponibles ou non selon le pays.
Données techniques : journaux système et métriques de performance. Les journaux peuvent contenir des données de connexion.
Données de mesure publicitaire : uniquement si vous l'autorisez ; voir la section dédiée ci-dessous.

Nous ne conservons pas votre adresse IP en clair dans notre base de données ; la seule exception est la preuve d'acceptation. Votre adresse IP est en outre transmise à Cloudflare pour la protection anti-robots et, si vous l'avez autorisé, à Meta.

Nous ne traitons pas vos photos à des fins de reconnaissance faciale ni pour vous identifier.

Comment nous collectons les données

Vos données sont collectées par voie électronique : à partir de ce que vous saisissez dans les formulaires et de ce que vous téléversez ; automatiquement, au moyen de cookies, du stockage du navigateur et des journaux système lorsque vous utilisez le site ; auprès de Google si vous vous connectez avec Google ; auprès de la boutique lors d'un achat ; et, pour le pays, auprès de Cloudflare.

Pourquoi nous les traitons et sur quelles bases juridiques

Ouvrir votre compte, vous permettre de vous connecter et fournir le service (génération, jetons, abonnements, affichage de vos résultats, préparation d'une copie de vos données) : conclusion et exécution du contrat. Art. 5/2-c KVKK ; art. 6/1-b RGPD.
Envoyer vos données d'entrée aux fournisseurs d'IA pour la génération : exécution du contrat (art. 5/2-c KVKK ; art. 6/1-b RGPD). À cette fin, il vous est en outre demandé d'accepter expressément l'Accord de traitement par IA.
Appliquer la limite d'âge (année de naissance, limite de 18 ans et déclaration d'âge, confirmation d'âge) : nos obligations légales de protection des enfants et notre intérêt légitime. Art. 5/2-ç et 5/2-f KVKK ; art. 6/1-c et 6/1-f RGPD.
Sécurité et prévention des abus (protection anti-robots, sécurité du compte, multiplication des avantages gratuits au moyen de plusieurs comptes, contenus interdits, fraude) : notre intérêt légitime. Art. 5/2-f KVKK ; art. 6/1-f RGPD.
Conserver la preuve d'acceptation (pour pouvoir prouver ce que vous avez accepté et quand) : la constatation, l'exercice ou la protection d'un droit. Art. 5/2-e KVKK ; art. 6/1-f RGPD.
Achats et registres financiers : obligation légale découlant de la réglementation fiscale et comptable. Art. 5/2-ç KVKK ; art. 6/1-c RGPD.
Répondre aux demandes d'assistance et aux requêtes : exécution du contrat, notre obligation de répondre aux demandes et notre intérêt légitime. Art. 5/2-c, 5/2-ç et 5/2-f KVKK ; art. 6/1-b, 6/1-c et 6/1-f RGPD.
Notre propre mesure d'utilisation (voir quelles pages sont utilisées et améliorer le site) : notre intérêt légitime. Art. 5/2-f KVKK ; art. 6/1-f RGPD. Vous pouvez la désactiver à tout moment.
Mesure publicitaire (Meta) : uniquement votre consentement explicite. Art. 5/1 KVKK et, pour le transfert à l'étranger, art. 9 KVKK ; art. 6/1-a RGPD. Ne pas donner votre autorisation n'a aucune incidence, et vous pouvez la retirer à tout moment.
Répondre aux demandes licites des autorités compétentes : obligation légale. Art. 5/2-ç KVKK ; art. 6/1-c RGPD.

Sans les données nécessaires au compte et à la génération, nous ne pouvons pas fournir le service. Autoriser la mesure publicitaire est en revanche entièrement facultatif.

À qui nous transmettons les données

Nous ne transmettons vos données qu'aux prestataires avec lesquels nous travaillons pour fournir le service, et seulement dans la mesure nécessaire à chaque tâche :

netcup GmbH (Allemagne) : nos serveurs. La base de données et le service lui-même fonctionnent dans le centre de données de Nuremberg, en Allemagne.
Cloudflare, Inc. (États-Unis) : le réseau par lequel passe le trafic et la diffusion de contenus ; le code pays ; la protection anti-robots (Turnstile, qui fonctionne avec votre adresse IP et les informations de votre navigateur dans les formulaires de connexion, d'inscription, de réinitialisation du mot de passe et de demande) ; le stockage des fichiers médias et des sauvegardes chiffrées (R2).
Brevo (Sendinblue SAS, France) : envoi d'e-mails (codes de vérification et notifications liées au compte). Brevo indique héberger les données dans l'UE.
Fournisseurs d'IA : fal (Features & Labels Inc., États-Unis), Atlas Cloud (Atlas Cloud AI LLC, États-Unis) et Siray (RUNEX AI PTE. LTD., Singapour). Votre prompt, la photo ou la vidéo que vous téléversez et les réglages que vous choisissez ne sont envoyés que pour réaliser la génération que vous demandez. Les détails figurent dans l'Accord de traitement par IA.
Google (dans l'UE, Google Ireland Limited, Irlande ; dans les autres pays, Google LLC, États-Unis) : uniquement si vous vous connectez avec Google, pour vérifier la connexion. Lorsque la connexion avec Apple sera ouverte, si vous l'utilisez, c'est Apple (hors de Turquie) qui vérifiera la connexion.
App Store (Apple) et Google Play (Google), tous deux hors de Turquie : lorsque vous achetez dans la boutique, ce sont eux qui encaissent le paiement ; seules les informations de transaction nous parviennent.
Meta (dans l'UE, Meta Platforms Ireland Limited, Irlande ; également Meta Platforms, Inc., États-Unis) : uniquement si vous autorisez la mesure publicitaire ; voir la section dédiée ci-dessous.
Telegram (hors de Turquie) : pour nos propres notifications internes de ventes, l'identifiant de membre, le pays, le produit, le prix, la boutique et l'identifiant de transaction. Votre adresse e-mail n'est pas envoyée.
Autorités et organismes publics compétents, et tribunaux : uniquement lorsque la loi l'impose.

Nous ne vendons ni ne louons vos données personnelles.

Transferts à l'étranger

Nos serveurs se trouvent en Allemagne ; une partie de nos prestataires se trouvent aux États-Unis, à Singapour et dans d'autres pays. Vos données sont donc transférées hors de Turquie et de l'Espace économique européen. Ces transferts sont nécessaires pour que nous puissions effectuer les tâches décrites ci-dessus, et chacun est limité aux données que requiert la tâche concernée.

Combien de temps nous les conservons

Photos et vidéos que vous téléversez : supprimées à la fin de la génération (au plus tard au bout de 2 heures) ; celles qui ne servent à aucune génération, au bout de 15 minutes.
Images et vidéos générées : retirées dans un délai de 30 jours.
Prompts : conservés chiffrés, supprimés au bout de 30 jours avec les résultats.
Copies chez les fournisseurs d'IA : nous demandons à fal de supprimer les fichiers qu'il génère au bout de 24 heures ; les copies chez Atlas Cloud et Siray sont soumises à leurs propres conditions.
Conversations d'assistance : supprimées 2 ans après la clôture de la conversation ; si vous supprimez votre compte, elles sont supprimées immédiatement.
Enregistrements du formulaire de demande : conservés pour répondre à votre demande et pouvoir prouver que nous y avons répondu.
Mesure d'utilisation : 90 jours.
Journaux de sécurité : événements de risque, 90 jours ; dossiers d'examen clôturés, 2 ans.
Journaux techniques : 14 jours ; métriques de performance, 15 jours.
Sauvegardes : les sauvegardes sur le serveur sont supprimées au bout de 14 jours, les sauvegardes chiffrées hors serveur au bout de 30 jours.
Sessions : la clé de connexion est valable 15 minutes et la clé de renouvellement 30 jours ; votre session sur le site se ferme si elle n'est pas utilisée pendant 30 jours et, dans tous les cas, au plus tard au bout de 90 jours.
Copie de vos données : téléchargeable pendant 7 jours après sa préparation.
Données du compte : tant que le compte est ouvert.

Si vous supprimez votre compte, la suppression a lieu 7 jours plus tard. Vos données d'identité, ce que vous avez téléversé, vos générations et vos prompts sont supprimés ; votre adhésion et vos enregistrements de mesure d'utilisation sont pseudonymisés. Sont conservés :

Registres financiers (achats et mouvements de jetons) : pendant la durée prévue par la réglementation fiscale et comptable.
Enregistrements de génération : sans fichiers ni prompts, sous forme pseudonymisée.
Enregistrements de confirmation d'âge : sous forme pseudonymisée, pour pouvoir démontrer qu'un contenu a été généré pour un membre ayant confirmé son âge.
Preuve d'acceptation : 10 ans à compter de la date d'acceptation, y compris votre adresse IP, les informations de votre navigateur, votre année de naissance et l'empreinte de votre adresse e-mail. Elle est nécessaire comme preuve en cas de litige sur ce que vous avez accepté.
Les journaux de sécurité et les sauvegardes sont supprimés automatiquement à l'expiration des durées indiquées ci-dessus.

Cookies et stockage du navigateur

Les cookies nécessaires sont indispensables au fonctionnement du site et ne requièrent pas d'autorisation. Vous pouvez désactiver la mesure d'utilisation ; les cookies publicitaires ne sont utilisés que si vous les autorisez. Vous pouvez modifier vos préférences en bas de cette page ou via « Gérer les préférences » dans le bandeau des cookies.

__Host-sid (nécessaire) : maintient votre session ouverte ; les scripts du navigateur ne peuvent pas le lire. Expire s'il n'est pas utilisé pendant 30 jours.
__Host-signed-in (nécessaire) : indicateur qui permet aux pages de savoir que vous êtes connecté ; 7 jours.
__Host-iid (nécessaire) : identifiant aléatoire attribué à ce navigateur pour la sécurité du compte et la prévention des abus ; les scripts du navigateur ne peuvent pas le lire. Écrit lors de la connexion, de l'inscription et des opérations sur le mot de passe ; 1 an.
moonpix_oauth_google, moonpix_oauth_apple (nécessaires) : finaliser en toute sécurité la connexion avec Google ou Apple ; 4 minutes.
moonpix_consent (nécessaire) : mémorise votre choix concernant les cookies et la mesure ; 180 jours.
NEXT_LOCALE (nécessaire) : mémorise la langue que vous avez choisie ; 1 an.
moonpix.analytics.sid (stockage de l'onglet, mesure d'utilisation) : le numéro aléatoire de la session ; supprimé à la fermeture de l'onglet.
moonpix.analytics.consent (stockage du navigateur, mesure d'utilisation) : une copie de votre choix concernant la mesure ; jusqu'à ce que vous l'effaciez.
moonpix.favorites, moonpix.jobs.blur (stockage du navigateur) : vos favoris et votre préférence pour l'affichage flouté des résultats. Ils restent uniquement dans votre navigateur et ne nous sont pas envoyés ; jusqu'à ce que vous les effaciez.
moonpix.adVisit, moonpix.fbclid (stockage de l'onglet) : le fait que vous soyez arrivé depuis une publicité Meta et l'identifiant de ce clic publicitaire. Supprimés si vous refusez la mesure publicitaire ou fermez l'onglet.
_fbc (publicité, uniquement avec autorisation) : si vous avez cliqué sur une publicité Meta, l'identifiant de ce clic ; 90 jours.
_fbp (publicité, uniquement avec autorisation) : l'identifiant que Meta Pixel attribue à ce navigateur ; sa durée est fixée par Meta.

Mesure publicitaire (Meta)

Pour mesurer l'efficacité de nos publicités et permettre à Meta de vous montrer des publicités plus pertinentes, nous utilisons Meta Pixel et l'API Conversions de Meta. Cette mesure :

ne vous est proposée que si vous êtes arrivé sur le site depuis une publicité Meta (Facebook ou Instagram) ; si vous n'êtes pas arrivé depuis une publicité, Meta n'est pas chargé du tout ;
n'est activée que si vous choisissez Autoriser ; « Autoriser », « Refuser » et « Gérer les préférences » sont des options équivalentes ;
reste désactivée, sans que la question vous soit posée, si votre navigateur envoie le signal « ne pas suivre » (Global Privacy Control) ;
n'est jamais effectuée pour les comptes dont l'âge d'après l'année de naissance (cette année moins l'année de naissance) est inférieur à 18 ans, même si l'autorisation a été donnée ; pour un compte dont l'âge ainsi calculé est de 18 ans, elle n'est effectuée que si vous avez confirmé à l'étape des accords que vous avez 18 ans ou plus, car nous ne connaissons pas votre date d'anniversaire et une telle personne pourrait encore avoir 17 ans.

Ce qui est envoyé à Meta : les pages que vous consultez et leur type (tarifs, modèles ou studio, par exemple) ; le fait que vous vous êtes inscrit ; l'empreinte SHA-256 de votre adresse e-mail et de votre identifiant de membre ; votre adresse IP ; les informations de votre navigateur ; les identifiants contenus dans les cookies _fbc et _fbp. Ce que vous générez, vos prompts et vos photos ne sont jamais envoyés.

Meta traite ces données selon sa propre politique de confidentialité, y compris pour ses propres finalités. Vous pouvez retirer votre autorisation à tout moment dans les préférences en bas de cette page ; ce retrait ne remet pas en cause le traitement effectué auparavant. Ne pas donner votre autorisation n'a aucune incidence sur le site, l'inscription ou les achats.

Résidents des États-Unis et de Californie

Nous ne vendons pas vos informations personnelles. La mesure publicitaire Meta peut être considérée, au regard du droit californien (CCPA/CPRA), comme un « partage » (sharing) d'informations à des fins de publicité personnalisée. Nous ne le faisons qu'avec votre autorisation, et nous considérons le signal Global Privacy Control de votre navigateur comme une demande de refus de ce partage. Pour vous y opposer, désactivez la mesure publicitaire dans les préférences en bas de cette page ou activez GPC dans votre navigateur. Vous disposez également des droits de connaître, de rectifier et de supprimer vos informations ; vous pouvez les exercer via le formulaire de demande. Nous ne vous traiterons pas différemment parce que vous exercez vos droits.

Vos droits

En vertu de l'art. 11 de la KVKK, vous avez le droit de savoir si vos données personnelles sont traitées ; si elles l'ont été, d'obtenir des informations à ce sujet ; de connaître la finalité du traitement et de savoir si elles sont utilisées conformément à celle-ci ; de connaître les tiers, en Turquie ou à l'étranger, auxquels elles sont transférées ; de demander leur rectification si elles ont été traitées de manière incomplète ou inexacte ; de demander leur effacement ou leur destruction dans le cadre des conditions de l'art. 7 de la KVKK ; de demander que ces opérations soient notifiées aux tiers auxquels elles ont été transférées ; de vous opposer à un résultat qui vous est défavorable découlant exclusivement d'une analyse par des systèmes automatisés ; et de demander réparation si vous subissez un dommage du fait d'un traitement illicite.

Si vous résidez dans l'UE, vous disposez également, en vertu des articles 15 à 22 du RGPD, des droits d'accès, de rectification, d'effacement, de limitation du traitement, de portabilité des données et d'opposition, ainsi que du droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé. Pour le traitement fondé sur le consentement (mesure publicitaire), vous pouvez retirer votre consentement à tout moment.

Pour exercer ces droits :

Depuis la page Compte, vous pouvez télécharger une copie de vos données et supprimer votre compte.
Pour les autres demandes, écrivez-nous depuis l'écran d'assistance si vous êtes connecté, sinon via le formulaire de demande. Il se peut que nous devions vérifier votre identité. Nous répondons gratuitement à votre demande dans un délai de 30 jours au plus.

Si notre réponse ne vous satisfait pas, vous pouvez déposer une plainte auprès du Kişisel Verileri Koruma Kurulu (Conseil turc de protection des données personnelles). Si vous résidez dans l'UE, vous avez également le droit d'introduire une réclamation auprès de l'autorité de protection des données du pays où vous résidez ou travaillez.

Décisions automatisées : si, d'après l'année de naissance, le titulaire d'un compte a moins de 18 ans, il ne peut pas continuer vers le service et sa session est fermée ; s'il a moins de 13 ans, la suppression du compte est en outre lancée automatiquement. La confirmation d'âge et la mesure publicitaire sont également maintenues désactivées en fonction de l'année de naissance. Si vous pensez qu'il y a une erreur, écrivez-nous via le formulaire de demande ; votre demande sera examinée par une personne.

Enfants

Le service n'est pas destiné aux moins de 18 ans et nous ne traitons pas sciemment de données personnelles de personnes de moins de 18 ans pour ce service. L'année de naissance est demandée à l'étape des accords et il vous est demandé de confirmer que vous avez 18 ans ou plus. S'il apparaît d'après l'année de naissance qu'une personne a moins de 18 ans, elle ne peut pas continuer : aucune preuve d'acceptation n'est créée et nous fermons sa session ; si elle a moins de 13 ans, nous lançons en outre la suppression du compte. Si vous pensez qu'une personne de moins de 18 ans utilise le service, signalez-le via le formulaire de demande ; nous fermerons l'accès de ce compte au service.

Sécurité

Les mots de passe sont conservés de manière irréversible avec argon2id.
Les codes envoyés par e-mail sont valables 10 minutes et seules leurs empreintes sont conservées.
Si vous le souhaitez, vous pouvez ajouter une seconde étape de vérification à la connexion.
Les prompts sont conservés chiffrés.
Les journaux de sécurité contiennent une empreinte à clé (HMAC) au lieu de l'adresse IP.
Le cookie de session ne peut pas être lu par les scripts du navigateur (httpOnly) et n'est envoyé que par une connexion sécurisée ; le site ne fonctionne qu'avec une connexion chiffrée (HTTPS).
Les fichiers médias se trouvent dans un espace de stockage non public.
Les sauvegardes hors serveur sont chiffrées avant de quitter le serveur.
Les formulaires de connexion, d'inscription et de demande sont protégés contre les attaques automatisées par une protection anti-robots.

Aucun système n'est infaillible. En cas de violation de données, nous la notifierons au Kişisel Verileri Koruma Kurulu et aux personnes concernées, de la manière prévue par la loi.

Modifications

Ce texte est versionné. Nous annonçons toute modification importante sur le site avant son entrée en vigueur, et le nouveau texte vous est présenté à nouveau sur l'écran des accords. Nous conservons les versions précédentes.

Traductions

Ce texte est une traduction de l'original turc ; en cas de divergence, le texte turc prévaut.