Politique de confidentialité

1. Responsable du traitement

Le site Instants d'émotions est édité par Nathalie LE BIHAN, entrepreneur individuel (EI), exerçant sous le régime de la microentreprise et immatriculé au Registre national des entreprises (RNE), sous le numéro SIREN 529 376 485 (SIRET : 529 376 485 00023).

Adresse professionnelle : 156 chemin de Lou Coulet 04200 Bevons

E-mail : contact@instants-d-emotions.fr

Dans le cadre de son activité, l'entreprise propose des prestations de création d'albums photo personnalisés intégrant, selon les projets, des vidéos, des messages vocaux et/ou des bandes sonores.

L'entreprise s'engage à respecter la confidentialité des informations et souvenirs qui lui sont confiés.

2. Données personnelles collectées

Dans le cadre des demandes de devis et de la réalisation des prestations, les données suivantes peuvent être collectées :

Nom et prénom ; Adresse e-mail et numéro de téléphone ; Adresse postale si nécessaire ; Informations relatives au projet et aux souhaits du client ; Photographies, vidéos, enregistrements audio et autres contenus fournis ; Données nécessaires à la facturation et au suivi des prestations.

Les contenus transmis peuvent représenter ou concerner d'autres personnes, notamment des membres de la famille et des enfants.

3. Finalités et bases légales

Les données sont traitées pour :

Répondre aux demandes de renseignements et établir les devis, sur la base de mesures précontractuelles ; Réaliser les albums personnalisés, assurer les échanges, les éventuelles corrections et la livraison, sur la base de l'exécution du contrat ; Établir et conserver les documents comptables, conformément aux obligations légales ; Assurer la sécurité du site et des échanges, sur la base de l'intérêt légitime de l'entreprise, sous réserve des conditions applicables ; Présenter certaines réalisations sur le site, uniquement lorsque les autorisations nécessaires ont été obtenues.

Les informations identifiées comme obligatoires dans les formulaires sont nécessaires au traitement de la demande. En leur absence, il peut être impossible de répondre ou d'établir un devis.

4. Transmission des fichiers par WeTransfer

Pour la réalisation des albums personnalisés, les clients peuvent transmettre leurs photographies, vidéos et fichiers audio par l'intermédiaire du service WeTransfer.

WeTransfer est un service tiers de transfert de fichiers, accessible à l'adresse www.wetransfer.com (http://www.wetransfer.com).

Les fichiers transmis sont utilisés uniquement pour les besoins de la prestation demandée.

Le traitement technique des fichiers par WeTransfer est soumis aux conditions et à la politique de confidentialité de ce prestataire.

Les clients sont invités à éviter la transmission de données personnelles sans rapport avec leur projet.

5. Confidentialité et utilisation des souvenirs

Les photographies, vidéos et enregistrements confiés par les clients sont destinés exclusivement à la création de leurs albums personnalisés.

Ils ne sont ni vendus, ni utilisés pour des finalités publicitaires, ni communiqués à des tiers en dehors des prestataires nécessaires à la réalisation de la prestation.

Aucune photographie, vidéo ou création réalisée pour un client n'est publiée sur le site internet, les réseaux sociaux ou les supports promotionnels sans autorisation préalable appropriée.

Une attention particulière est accordée aux contenus représentant des enfants ou comportant des informations relevant de la vie privée.

6. Conservation et suppression des fichiers

Les photographies et fichiers de création associés sont conservés pendant une durée maximale de 30 jours après la livraison au client du lien ou du fichier numérique définitif de l’album, notamment PDF, afin de permettre d’éventuelles corrections ou interventions liées à la prestation. Ce délai commence à la livraison numérique par Instants d’émotions, indépendamment de la date de commande ou de réception d’un exemplaire imprimé. À l'issue de cette période, ils sont supprimés des espaces de stockage et supports utilisés par l'entreprise, selon les modalités techniques applicables, sauf obligation légale ou motif particulier justifiant une conservation supplémentaire. Les vidéos associées aux QR codes sont hébergées et diffusées par Bunny Stream. Les enregistrements audio sont stockés dans un espace Cloudflare R2 privé. Les régions de stockage sélectionnées pour ces services sont situées en Europe.

Ces vidéos et enregistrements audio restent conservés pour permettre leur consultation via les QR codes ; ils ne sont pas soumis à la suppression des fichiers de création au bout de 30 jours. Leur accès est proposé sans durée déterminée, dans les conditions prévues par les CGV. Leur suppression peut être demandée à contact@instants-d-emotions.fr.

La désactivation ou la suppression d’un souvenir rend son lien indisponible pour les nouvelles consultations. La suppression physique des fichiers est effectuée lors du traitement des tâches de nettoyage du stockage. Une adresse de lecture déjà délivrée peut rester utilisable jusqu’à son expiration, au maximum une heure. Les sauvegardes, copies techniques et journaux sont distincts des préférences de lecture conservées dans le navigateur. Resend annonce une conservation des e-mails et journaux de 30 jours sur ses offres Free, Pro et Scale, et de ses sauvegardes de 7 jours (https://resend.com/security). La conservation des messages reçus dans la boîte OVHcloud suit les durées des échanges et documents indiquées ci-dessous.

Le VPS OVHcloud dispose d’un backup automatisé Standard quotidien, avec une rétention annoncée de 24 heures. Aucun snapshot n’est activé. Cette sauvegarde porte sur le VPS et ne sauvegarde pas à elle seule les données hébergées chez Supabase, Bunny Stream ou Cloudflare R2. Source : https://www.ovhcloud.com/fr/vps/vps-backup/.

Le projet Supabase utilise l’offre Free, sans sauvegarde restaurable configurée. Les journaux API et base de données de cette offre sont conservés 1 jour, et les journaux d’audit d’authentification 1 heure, selon les durées publiées par Supabase : https://supabase.com/pricing.

Durées ou critères de conservation des journaux techniques contenant des données personnelles et des éventuelles copies techniques supplémentaires des services de médias : À compléter.

La durée de 30 jours concerne les photographies et fichiers de travail conservés par l’entreprise. Elle ne garantit pas la suppression des copies hébergées par le service tiers de création d’album, dont les conditions de conservation sont communiquées au client avec le devis. WeTransfer annonce la suppression des fichiers sous 48 heures après l’expiration choisie du transfert lorsque l’option de récupération « Recoverable » est désactivée ; lorsqu’elle est activée, les fichiers peuvent rester conservés jusqu’à un an après l’expiration, sauf suppression anticipée. La durée dépend donc des réglages du transfert utilisé. Source : https://wetransfer.com/help-center/security-privacy/how-do-we-protect-your-files.

Les autres données sont conservées selon les durées suivantes :

Demandes de devis sans suite : 2 mois à compter de l’envoi du devis ; Échanges et données de suivi client : 1 an après la livraison du lien ou du fichier numérique définitif ; Documents comptables et justificatifs : pendant les durées légales applicables.

Les journaux d’accès aux données du bucket Cloudflare R2 (Data Access Logs) sont désactivés. Ce réglage concerne les journaux d’accès optionnels du bucket et ne signifie pas que Cloudflare ne traite aucune information technique pour assurer le fonctionnement et la sécurité de son service.

7. Présentation des réalisations

Certaines créations peuvent être présentées à titre d'exemple sur le site internet ou les supports de communication de l'entreprise.

Cette présentation n'est effectuée qu'après obtention des autorisations nécessaires, notamment celles des personnes identifiables et, pour les mineurs, de leurs représentants légaux.

L'autorisation précise les contenus concernés, les supports de diffusion et les utilisations prévues.

Le refus d'autoriser une publication n'a aucune conséquence sur la réalisation de la prestation commandée.

Les personnes concernées peuvent demander l'arrêt d'une utilisation ou exercer leurs droits dans les conditions prévues par la réglementation.

8. Destinataires et prestataires

Les données sont principalement accessibles à l'entrepreneur individuel chargé de la réalisation des prestations.

Certains prestataires techniques peuvent intervenir dans le traitement des données, notamment :

WeTransfer, pour le transfert des fichiers ; OVHcloud (OVH SAS, 2 rue Kellermann, 59100 Roubaix, France), pour l’hébergement du site sur un serveur privé virtuel situé dans un datacenter en France, ainsi que pour la boîte de réception contact@instants-d-emotions.fr ; Supabase, pour la base de données des albums et souvenirs et l’authentification de l’espace gestionnaire ; Bunny Stream, pour l’hébergement, le traitement et la diffusion des vidéos ; Cloudflare R2, pour le stockage des fichiers audio ; Resend, pour l’envoi des demandes du formulaire depuis site@instants-d-emotions.fr vers contact@instants-d-emotions.fr.

Le formulaire transmet à Resend le nom, l’adresse e-mail, le type de demande et le message du visiteur pour leur acheminement vers la boîte OVHcloud. Les messages de ce formulaire ne sont pas enregistrés dans la base Supabase.

Tamara Rocacher assure la gestion technique du serveur, le déploiement et la maintenance du site. Un accès technique aux données peut être nécessaire à ces interventions et reste limité à ces besoins. Contact technique : contact@instants-d-emotions.fr.

La création des albums utilise un service tiers en ligne identifié dans le devis. Ce service peut recevoir les photographies, les textes et les autres éléments nécessaires à la mise en page. Le devis précise le service retenu et fournit un lien vers sa politique de confidentialité, qui décrit ses modalités de traitement et de conservation. Le client reçoit cette information avant la transmission de ses contenus au service.

Instants d’émotions livre au client un lien vers l’album créé ou un fichier numérique, notamment PDF. Le client passe ensuite directement ses commandes d’exemplaires imprimés auprès du service choisi, autant de fois qu’il le souhaite, sous réserve de la disponibilité du lien et des conditions de ce service. La livraison de la prestation Instants d’émotions ne comprend pas la livraison d’un album imprimé.

Les données ne sont pas vendues à des tiers.

9. Sécurité des données

L'entreprise met en œuvre des mesures adaptées afin de limiter les risques de perte, d'accès non autorisé ou de divulgation des fichiers et informations confiés.

L’accès à l’espace gestionnaire est protégé par une authentification et une vérification des autorisations. Les échanges avec le site et les services de stockage utilisent des connexions chiffrées HTTPS. Les clés des services techniques sont conservées côté serveur.

Les QR codes constituent des liens de partage : toute personne disposant du QR code ou du lien du souvenir peut consulter son contenu tant qu’il est actif. Ils ne constituent pas un accès individuel réservé à une personne identifiée. Il convient donc de ne les partager qu’avec les personnes souhaitées.

Les adresses de lecture des fichiers audio et du lecteur vidéo sont temporaires. Le lecteur Bunny reçoit uniquement le domaine du site, et non le chemin privé du souvenir, pour les contrôles d’origine.

L’accès technique aux fichiers est limité aux besoins de réalisation et de maintenance des prestations. Les services peuvent traiter des informations de connexion, telles que l’adresse IP, pour assurer la livraison des contenus et leur sécurité.

Les services utilisés pour le transfert, le traitement et le stockage des fichiers sont sélectionnés en tenant compte de leurs dispositifs de sécurité et de protection des données.

10. Transferts de données hors de l'Espace économique européen

Le VPS OVHcloud hébergeant le site est situé en France. Le projet Supabase est hébergé en Europe de l’Ouest, selon la région indiquée dans le compte. Bunny Stream utilise Francfort (Allemagne) comme région principale et Londres (Royaume-Uni) comme région supplémentaire. Le bucket Cloudflare R2 est configuré avec l’indication de localisation Europe de l’Ouest (WEUR), sans restriction de juridiction EU confirmée. Ce choix ne garantit pas que tous les traitements, opérations de support et échanges techniques restent dans l’Espace économique européen.

Resend stocke les données d’envoi des messages aux États-Unis, y compris lorsque la région d’envoi sélectionnée est européenne. Resend indique encadrer ces transferts par les clauses contractuelles types de la Commission européenne intégrées à son accord de traitement des données. Cet accord est disponible à https://resend.com/legal/dpa ; les informations de localisation et de conservation figurent à https://resend.com/security.

Supabase indique conserver la base et ses sauvegardes dans la région du projet, mais certaines opérations de support et de fonctionnement peuvent impliquer Singapour ou les États-Unis. Supabase indique encadrer ces transferts par les clauses contractuelles types intégrées à son accord de traitement des données. Les informations et l’accès à cet accord figurent à https://supabase.com/legal/privacy-resources/data-residency-and-transfers-faq.

Cloudflare prévoit des clauses contractuelles types pour les transferts concernés dans son accord de traitement des données : https://www.cloudflare.com/cloudflare-customer-dpa/. Dans R2, un emplacement géographique européen sélectionné à titre indicatif ne constitue pas la même garantie qu’un bucket créé avec une restriction de juridiction « EU ». Les modalités sont décrites à https://developers.cloudflare.com/r2/reference/data-location/.

Bunny indique que le lecteur peut communiquer avec des serveurs CDN dans le monde pour des statistiques techniques anonymisées. Certaines opérations de support peuvent aussi impliquer des prestataires hors EEE. Les informations figurent à https://bunny.net/gdpr/ et https://bunny.net/gdpr/sub-processors/. L’accord de traitement des données du compte Bunny a été accepté. Le stockage à Londres constitue un transfert vers le Royaume-Uni, hors EEE ; ce pays bénéficie d’une décision d’adéquation de la Commission européenne, renouvelée en décembre 2025. Source : https://www.cnil.fr/fr/royaume-uni-la-commission-europeenne-renouvelle-ses-decisions-dadequation. L’accord signé est consultable depuis https://dash.bunny.net/account/dpa ; il précise les engagements applicables aux traitements réalisés pour le compte de l’entreprise.

WeTransfer indique stocker les transferts dans l’Union européenne lorsque l’envoi provient d’une adresse IP européenne sans proxy anonyme, et aux États-Unis dans les autres cas. Sa politique décrit notamment le recours à des clauses contractuelles types : https://wetransfer.com/explore/legal/privacy. Les informations de stockage figurent à https://wetransfer.com/help-center/security-privacy/how-do-we-protect-your-files.

Les accords et garanties mentionnés peuvent être consultés auprès des prestataires aux adresses indiquées. Pour toute demande concernant les garanties applicables au traitement de ses données, le client peut également écrire à contact@instants-d-emotions.fr.

11. Droits des personnes

Conformément au Règlement général sur la protection des données (RGPD), les personnes concernées disposent, dans les conditions prévues par la réglementation, des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité.

Lorsqu'un traitement repose sur le consentement, celui-ci peut être retiré à tout moment, sans remettre en cause la licéité du traitement effectué auparavant.

Pour exercer ces droits, une demande peut être adressée à :

contact@instants-d-emotions.fr

Les demandes sont traitées dans les délais légaux.

En cas de difficulté, les personnes concernées peuvent déposer une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL) : www.cnil.fr (http://www.cnil.fr).

12. Cookies et traceurs

L’espace gestionnaire utilise des cookies nécessaires à l’authentification via Supabase. La bibliothèque utilisée configure une durée maximale de 400 jours à compter de leur émission ou renouvellement ; leur présence dans le navigateur ne garantit pas que la session reste valide pendant toute cette durée. La déconnexion supprime les cookies d’authentification. Le code du site n’intègre pas de mesure d’audience publicitaire.

Selon la documentation technique de Bunny Stream, le lecteur ne dépose pas de cookies pour ses fonctions de lecture ou de statistiques. La reprise de lecture utilise le stockage local du navigateur pour enregistrer la position de lecture, pendant au maximum 7 jours. Bunny indique que cette position n’est ni transmise ni conservée sur ses serveurs. Le lecteur peut transmettre des statistiques techniques anonymisées relatives à la qualité de lecture, aux erreurs et aux interruptions. Source : https://bunny.net/docs/stream/data-and-privacy.

Ce stockage local sert à reprendre la lecture et ne correspond pas à une mesure d’audience publicitaire. Les informations générales du fournisseur figurent également à https://bunny.net/privacy/.

13. Modification de la politique

La présente politique de confidentialité peut être modifiée pour tenir compte de l'évolution des prestations, des outils utilisés ou de la réglementation.

La version applicable est celle publiée sur le site à la date indiquée en début de document.