Politique de Confidentialité
Politique de Confidentialité
Préambule
La présente Politique de Confidentialité a pour objet d'informer les utilisateurs de la plateforme Attimo (ci-après « la Plateforme ») des conditions dans lesquelles leurs données personnelles sont collectées et traitées.
Attimo s'engage à respecter la vie privée de ses utilisateurs et à traiter leurs données personnelles conformément au Règlement (UE) 2016/679 du 27 avril 2016 (RGPD) et à la loi Informatique et Libertés n° 78-17 du 6 janvier 1978 modifiée.
Standards RGPD appliqués à tous les utilisateurs
Quel que soit le pays de résidence de l'utilisateur, Attimo applique les standards européens du RGPD comme référence la plus élevée en matière de protection des données personnelles. Les utilisateurs situés hors de l'Union Européenne en bénéficient par extension contractuelle, en complément des droits impératifs que leur accorde leur propre juridiction (tels que le CCPA en Californie, la LPRPDE au Canada ou le Privacy Act en Australie).
Article 1 — Responsable de traitement
Le responsable des données collectées dans le cadre de la Plateforme Attimo est :
- Dénomination : Frédéric Gras — nom commercial : Attimo
- Statut : Entrepreneur individuel (EI)
- Adresse : 38 avenue de Tournaisis, 78990 Élancourt, France
- SIRET : 453 606 253 00020
- Email général / RGPD : [email protected]
- Email support technique : [email protected]
- Téléphone : 06 51 39 30 80
Pour toute question relative à la présente politique ou à l'exercice des droits RGPD, vous pouvez contacter Attimo à l'adresse [email protected].
Article 2 — Le double rôle d'Attimo au regard du RGPD
2.1 Attimo responsable de traitement
Attimo agit en qualité de responsable de traitement pour les données suivantes :
- Les données des photographes abonnés à la Plateforme (inscription, facturation, usage du service).
- Les données des visiteurs du site attimo-gallery.com (formulaire de contact, newsletter, statistiques).
- Les données des personnes adressant une demande au support technique d'Attimo.
2.2 Attimo sous-traitant
Attimo agit en qualité de sous-traitant au sens de l'article 28 du RGPD pour les données collectées à travers les galeries photographiques des photographes abonnés. Dans ce cas, le responsable de traitement est le photographe lui-même, qui définit les finalités et les moyens du traitement.
Les relations entre Attimo et chaque photographe sont formalisées par un Accord de Traitement des Données (DPA) annexé aux Conditions Générales d'Utilisation et de Vente. Le tableau exhaustif des durées de conservation appliquées à ce titre figure à l'article 3.4 de cet accord.
Article 3 — Données collectées et finalités
3.1 Données des photographes abonnés
Lors de l'inscription et de l'usage de la Plateforme, Attimo collecte et traite les données suivantes :
| Catégorie de données | Finalité | Base légale | Durée de conservation |
|---|---|---|---|
| Identité et coordonnées (nom, prénom, email, téléphone, adresse) | Création de compte, gestion du contrat | Exécution du contrat | Durée du contrat + 3 ans |
| Données professionnelles (SIRET, numéro de TVA, dénomination) | Facturation, conformité fiscale | Obligation légale | 10 ans (obligation comptable) |
| Données de connexion (identifiants, mot de passe chiffré) | Authentification, sécurité | Exécution du contrat | Durée du contrat |
| Historique de connexion et journaux d'authentification | Sécurité, détection d'accès non autorisé | Intérêt légitime | 6 mois |
| Données de facturation (moyen de paiement, historique) | Facturation, comptabilité | Obligation légale | 10 ans |
| Journaux techniques d'utilisation | Amélioration du service, sécurité | Intérêt légitime | 6 mois |
| Preuves d'acceptation des documents légaux | Traçabilité contractuelle | Obligation légale | 5 ans après la fin du contrat |
| Données de support (tickets, échanges par email) | Assistance utilisateur | Exécution du contrat | Durée du contrat + 1 an |
3.2 Données des visiteurs du site Attimo
| Catégorie de données | Finalité | Base légale | Durée de conservation |
|---|---|---|---|
| Formulaire de contact (nom, email, message) | Réponse aux demandes | Consentement | 2 ans après le dernier échange |
| Inscription à la newsletter (email) | Envoi d'informations | Consentement | Jusqu'à désinscription |
| Correspondance adressée au support technique | Traitement de la demande | Intérêt légitime | Durée du traitement + 1 an |
| Données de navigation (cookies) | Statistiques, fonctionnement du site | Consentement / Intérêt légitime | Voir la Politique Cookies |
3.3 Données des clients finaux des galeries
Pour les clients finaux accédant aux galeries des photographes, Attimo traite les données suivantes pour le compte du photographe, en qualité de sous-traitant :
| Catégorie de données | Finalité | Base légale | Durée de conservation |
|---|---|---|---|
| Identité et coordonnées (nom, email, téléphone, adresse de livraison) | Traitement de la commande | Exécution du contrat | Définie par le photographe |
| Données de commande (articles, paiement) | Historique d'achat, facturation | Obligation légale | 10 ans (obligation comptable) |
| Signature électronique du bon de commande (module Studio) | Preuve de l'engagement | Intérêt légitime | 10 ans, rattachée à la commande |
| Données de connexion aux galeries (code d'accès) | Sécurisation de l'accès | Exécution du contrat | Durée de vie de la galerie |
| Favoris, sélections, coups de cœur | Fonctionnalités de la galerie et des séances | Exécution du contrat | Durée de vie de la galerie ou de la séance |
| Journaux d'accès aux galeries (adresse IP, agent utilisateur, email éventuel) | Statistiques de consultation, sécurité | Intérêt légitime | Anonymisation irréversible à 6 mois, suppression à 24 mois |
| Photographies anciennes confiées au module Restauration | Traitement automatisé de réparation | Exécution du contrat | 30 jours après validation par le photographe |
3.4 Données traitées dans le cadre du programme de parrainage
Dans le cadre du programme de parrainage défini à l'article 14 des Conditions Générales d'Utilisation et de Vente, Attimo traite des données spécifiques destinées à la gestion des parrainages et à la prévention de la fraude.
| Catégorie de données | Finalité | Base légale | Durée de conservation |
|---|---|---|---|
| Code de parrainage personnel, statistiques de parrainage (nombre de filleuls, badges acquis) | Fonctionnement du programme, attribution des avantages | Exécution du contrat | Durée du contrat |
| Adresse email du Filleul lors de l'inscription via le code du Parrain | Création du lien parrain-filleul, vérification d'éligibilité | Exécution du contrat | Durée du contrat + 3 ans |
| Adresse IP, agent utilisateur, identifiants techniques lors d'une inscription par code de parrainage | Prévention de la fraude (auto-parrainage, comptes fictifs, abus) | Intérêt légitime (art. 6.1.f RGPD) | 3 ans à compter de la collecte |
| SIRET du Filleul | Vérification anti-fraude par recoupement avec les SIRET déjà enregistrés | Intérêt légitime (art. 6.1.f RGPD) | 3 ans à compter de la collecte |
| Journaux des fraudes détectées (type, niveau de gravité, résolution administrative) | Audit, traçabilité, défense en cas de litige | Intérêt légitime (art. 6.1.f RGPD) | 3 ans à compter de la résolution |
| Données de bannissement du programme (motif, date, administrateur décisionnaire) | Empêcher la recréation d'un compte par une personne bannie pour fraude | Intérêt légitime (art. 6.1.f RGPD) | Durée du contrat + 5 ans |
Mise en balance des intérêts — Attimo considère que le traitement des données ci-dessus, fondé sur son intérêt légitime, ne porte pas une atteinte disproportionnée aux droits et libertés des personnes concernées. Les données collectées sont strictement nécessaires à la prévention d'une fraude susceptible de causer un préjudice financier à Attimo, leur durée de conservation est proportionnée, et les personnes concernées peuvent à tout moment exercer leurs droits RGPD, y compris leur droit d'opposition au titre de l'article 21 du RGPD.
Article 4 — Destinataires des données
4.1 Destinataires internes
Les données collectées sont exclusivement accessibles à Frédéric Gras (Attimo) et, le cas échéant, aux prestataires techniques soumis à une obligation contractuelle de confidentialité.
4.2 Sous-traitants
Attimo recourt à des sous-traitants techniques pour le fonctionnement de la Plateforme. Chacun est soumis à des obligations strictes en matière de protection des données. La liste des sous-traitants est la suivante :
| Sous-traitant | Service fourni | Localisation des données |
|---|---|---|
| OVH SAS | Hébergement du site, de l'application et stockage des fichiers médias, sauvegardes | France (Gravelines, Roubaix) |
| Cognix Systems | Infogérance du serveur : administration système, supervision, maintenance, sauvegardes. Dispose d'un accès administrateur à l'infrastructure de production. | France |
| Amazon Web Services | Reconnaissance faciale, module Sport (Rekognition) | Irlande (eu-west-1) — traitement exclusivement dans l'UE |
| Nero AG | Traitement automatisé de restauration et d'agrandissement d'images, module Restauration | Allemagne (Karlsruhe) — centre de données propre |
| Stripe | Traitement des paiements et encaissement pour compte de tiers | Irlande (UE) et États-Unis (cadre DPF) |
| PayPal | Traitement des paiements | Luxembourg (UE) |
| Mollie | Traitement des paiements | Pays-Bas (UE) |
| SystemPay (Lyra Network) | Traitement des paiements | France |
| Serveur de messagerie Attimo | Envoi des emails transactionnels depuis le serveur d'Attimo | France (Gravelines) |
| Brevo (si activé par le photographe) | Envoi d'emails à grande échelle | France / UE |
| SMS Envoi | Envoi des SMS transactionnels | France |
| Mondial Relay (si activé par le photographe) | Expédition des commandes et suivi de livraison | France |
| Koy Lab (si activé par le photographe) | Impression professionnelle d'albums et tirages photographiques | Portugal |
4.3 Transferts hors Union Européenne
Les données personnelles traitées par Attimo sont hébergées et traitées exclusivement au sein de l'Union Européenne. Aucun transfert vers un pays tiers n'est effectué, à l'exception des services suivants, couverts par des garanties appropriées :
- Stripe : transferts encadrés par le Data Privacy Framework (DPF) entre l'Union Européenne et les États-Unis.
Aucune donnée biométrique ni donnée sensible n'est transférée hors de l'Union Européenne.
4.4 Destinataires légaux
Attimo peut être amené à communiquer des données personnelles aux autorités administratives ou judiciaires compétentes en cas de réquisition légale ou pour se conformer à une obligation réglementaire.
Article 5 — Sécurité des données
Attimo met en œuvre les mesures techniques et organisationnelles appropriées pour assurer la sécurité des données traitées, notamment :
- Chiffrement des mots de passe avec l'algorithme bcrypt.
- Connexions sécurisées HTTPS/TLS sur l'ensemble de la Plateforme.
- Cloisonnement des données entre photographes (architecture multi-tenant).
- URLs temporaires signées pour l'accès aux photographies stockées sur OVH, le conteneur de stockage n'étant pas public.
- Double authentification disponible pour les comptes des photographes.
- Limitation du nombre de tentatives de connexion et limitation de débit sur les routes sensibles.
- Chiffrement en base des identifiants de connexion aux services tiers.
- Sauvegardes régulières et automatisées, réparties sur plusieurs infrastructures distinctes.
- Journalisation des accès et des actions sensibles, avec purge ou anonymisation automatique aux échéances annoncées.
- Mise à jour régulière des composants logiciels (Laravel, PHP, dépendances) et du système d'exploitation.
- Environnement de pré-production strictement séparé de l'environnement de production.
- Supervision applicative continue et alerte en cas d'anomalie.
- Hébergement exclusivement sur des infrastructures situées en France et dans l'Union Européenne.
- Accès aux données restreint aux seules personnes habilitées.
Article 6 — Droits des personnes concernées
Conformément au RGPD, toute personne concernée dispose des droits suivants sur ses données personnelles :
6.1 Droit d'accès (article 15 RGPD)
Vous avez le droit d'obtenir la confirmation que vos données sont ou ne sont pas traitées, et d'en recevoir une copie.
6.2 Droit de rectification (article 16 RGPD)
Vous avez le droit de faire rectifier les données inexactes ou incomplètes vous concernant.
6.3 Droit à l'effacement (article 17 RGPD)
Vous avez le droit de demander l'effacement de vos données dans les cas prévus par le RGPD, notamment lorsque les données ne sont plus nécessaires, lorsque vous retirez votre consentement ou lorsque le traitement est illicite.
6.4 Droit à la limitation du traitement (article 18 RGPD)
Vous avez le droit de demander la limitation du traitement de vos données dans certains cas (contestation de l'exactitude, opposition au traitement, etc.).
6.5 Droit à la portabilité (article 20 RGPD)
Vous avez le droit de recevoir vos données dans un format structuré, couramment utilisé et lisible par machine, et de les transmettre à un autre responsable de traitement.
6.6 Droit d'opposition (article 21 RGPD)
Vous avez le droit de vous opposer au traitement de vos données fondé sur l'intérêt légitime, ainsi qu'au traitement à des fins de prospection commerciale.
6.7 Droit de retirer votre consentement
Lorsque le traitement est fondé sur le consentement, vous pouvez le retirer à tout moment, sans que cela n'affecte la licéité du traitement effectué avant ce retrait.
6.8 Directives post-mortem
Vous avez le droit de définir des directives relatives au sort de vos données après votre décès. Ces directives peuvent être générales ou particulières, et sont transmises à Attimo par email.
6.9 Exercice des droits
Pour exercer l'un de ces droits, adressez votre demande à [email protected], accompagnée d'une copie d'une pièce d'identité en cours de validité.
Attimo s'engage à répondre à votre demande dans un délai d'un mois à compter de sa réception. Ce délai peut être prolongé de deux mois en cas de demande complexe ou de volume important, avec information de l'utilisateur.
6.10 Réclamation auprès de l'autorité de contrôle
Si, après nous avoir contactés, vous estimez que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la Commission Nationale de l'Informatique et des Libertés (CNIL) :
- Site web : https://www.cnil.fr
- Adresse : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France
- Téléphone : 01 53 73 22 22
Les utilisateurs résidant hors de France peuvent également saisir l'autorité de contrôle de leur propre pays.
Article 7 — Cookies et traceurs
La Plateforme Attimo utilise des cookies et technologies similaires pour assurer son bon fonctionnement, mémoriser les préférences de l'utilisateur et réaliser des mesures d'audience anonymisées.
Pour une information complète sur les cookies utilisés et les modalités de gestion de vos préférences, veuillez consulter la Politique Cookies disponible sur la Plateforme.
Article 8 — Mineurs
8.1 Inscription directe sur la Plateforme
La Plateforme Attimo est destinée aux photographes professionnels majeurs. La souscription à un abonnement Attimo requiert d'être majeur au sens de la législation applicable (18 ans en France).
8.2 Protection des données des mineurs
Conformément à l'article 8 du RGPD et à la loi Informatique et Libertés, le traitement des données personnelles d'un mineur de moins de 15 ans requiert l'autorisation des titulaires de l'autorité parentale. Attimo ne collecte pas sciemment de données personnelles de mineurs de moins de 15 ans sans cette autorisation.
8.3 Traitement des données de mineurs dans les galeries (modules Scolaire et Crèche)
Dans le cadre des modules Scolaire et Crèche, des données relatives à des mineurs (y compris de moins de 15 ans) peuvent être traitées pour le compte des photographes. Ces traitements sont systématiquement subordonnés à l'autorisation préalable des titulaires de l'autorité parentale, conformément à l'Addendum « Données de mineurs » du DPA, quel que soit l'âge de l'enfant concerné.
8.4 Signalement
Si vous constatez qu'un mineur nous a communiqué des données personnelles de manière non conforme à la présente politique, veuillez nous contacter à [email protected] afin que nous procédions aux vérifications nécessaires et, le cas échéant, à leur suppression.
Article 9 — Décision automatisée et traitements algorithmiques
La Plateforme Attimo ne met en œuvre aucune décision entièrement automatisée produisant des effets juridiques sur les personnes concernées au sens de l'article 22 du RGPD.
Le module Sport utilise des technologies d'intelligence artificielle (reconnaissance faciale et lecture de dossard) pour faciliter la recherche de photographies dans de grands volumes d'images. Ces traitements ne constituent pas des décisions automatisées au sens de l'article 22 et leur résultat peut toujours être contesté par l'utilisateur.
Le module Restauration met en œuvre un traitement génératif automatisé appliqué à des photographies anciennes. Ce traitement porte sur une image et non sur une personne : il ne produit aucune décision, aucune évaluation et aucun profilage. Chaque résultat est soumis à la validation humaine du photographe avant toute livraison.
Le système de détection de fraude du programme de parrainage produit des alertes systématiquement examinées par un administrateur humain avant toute mesure (annulation rétroactive, bannissement). Aucune décision produisant des effets juridiques au sens de l'article 22 du RGPD n'est prise de manière entièrement automatisée.
Article 10 — Modifications de la politique
Attimo se réserve le droit de modifier la présente Politique de Confidentialité à tout moment, notamment pour se conformer à toute évolution législative ou réglementaire.
Toute modification substantielle sera notifiée aux utilisateurs par email ou par un avis sur la Plateforme, avec un préavis raisonnable permettant à chacun d'en prendre connaissance.
La date de dernière mise à jour est indiquée en haut du présent document. Il est recommandé de consulter cette page régulièrement.
Article 11 — Contact
Pour toute question relative à la présente Politique de Confidentialité ou à l'exercice de vos droits, vous pouvez contacter Attimo :
- Par email (général et RGPD) : [email protected]
- Par email (support technique) : [email protected]
- Par courrier postal : Frédéric Gras — Attimo, 38 avenue de Tournaisis, 78990 Élancourt, France
- Par téléphone : 06 51 39 30 80