Politique de confidentialité

1. Qui est responsable de vos données

Flashly Studio (« Flashly », « nous ») est le responsable de traitement des données personnelles décrites ici, au sens de l'article 4, 7) du Règlement général sur la protection des données (RGPD).

Notre identité complète, notre adresse et notre numéro d'immatriculation figurent sur la page Mentions légales.

Pour toute question relative à vos données : privacy@flashlystudio.com. Nous répondons dans un délai d'un mois, conformément à l'article 12, 3) du RGPD.

Nous n'avons pas désigné de délégué à la protection des données : nous ne réalisons pas de suivi à grande échelle et ne traitons pas de données sensibles, l'article 37 ne l'impose donc pas. Vos demandes sont traitées directement par le fondateur à l'adresse ci-dessus.

2. Ce que nous collectons, et pourquoi

Nous ne collectons que ce dont une fonctionnalité a réellement besoin. La liste ci-dessous est exhaustive : si une catégorie n'y figure pas, nous ne la collectons pas.

Compte

Donnée	Finalité	Base légale
Adresse e-mail	Connexion, réinitialisation de mot de passe, informations de service	Contrat
Mot de passe (haché, jamais stocké en clair) ou identifiant du fournisseur OAuth	Authentification	Contrat
Nom affiché et avatar, si vous en définissez un	Vous identifier au sein d'un espace de travail partagé	Contrat
Appartenance à un espace de travail ou à une équipe, rôle	Contrôle d'accès	Contrat

Contenus que vous créez

Donnée	Finalité	Base légale
Les prompts que vous rédigez	Produire le résultat demandé et vous afficher votre historique	Contrat
Images et fichiers de référence importés	Idem	Contrat
Images et vidéos générées	Vous livrer et conserver vos résultats	Contrat
Kits de marque (logo, palette, typographie, ton)	Garder les générations conformes à votre marque	Contrat
Commentaires déposés dans un portail client	Faire fonctionner le circuit de validation que vous avez ouvert	Contrat

Facturation

Donnée	Finalité	Base légale
Identifiant client Stripe, offre, statut d'abonnement	Vous donner accès à l'offre payée	Contrat
Factures et justificatifs de paiement	Obligations comptables et fiscales	Obligation légale

Nous ne voyons ni ne conservons jamais votre numéro de carte. Les coordonnées bancaires sont transmises directement à Stripe, prestataire de paiement certifié ; nous ne recevons que la référence de votre fiche client.

Données d'usage et techniques

Donnée	Finalité	Base légale
Compteurs de crédits et de générations	Appliquer les limites de votre offre	Contrat
Événements produit : type d'événement, chemin de page, identifiant de session anonyme, temps de chargement et de rendu	Comprendre quelles fonctionnalités servent, repérer les pages lentes	Intérêt légitime (art. 6, 1, f) — interne, jamais vendu ni partagé
Journaux de requêtes API, si vous utilisez l'API	Facturation, quotas, prévention des abus	Contrat / intérêt légitime
Adresse IP, temporairement, dans une table de limitation de débit	Bloquer les attaques par force brute et les abus	Intérêt légitime
Rapports d'erreur : trace d'exécution, navigateur, page	Corriger les plantages	Intérêt légitime
Enregistrements de session, uniquement en cas d'erreur et uniquement si vous y avez consenti	Reproduire un bug autrement indiagnosticable	Consentement

Nos statistiques produit sont internes : les événements sont écrits dans notre propre base, rattachés à votre compte, et ne sont jamais transmis à une régie publicitaire ni à un courtier en données. Ils ne sont enregistrés que pour les utilisateurs connectés ; nous ne suivons pas les visiteurs anonymes du site vitrine.

Si vous nous contactez ou candidatez

Donnée	Finalité	Base légale
Demande commerciale : nom, e-mail, société, message	Vous répondre	Mesures précontractuelles à votre demande
Candidature : nom, e-mail, poste visé, liens que vous choisissez de partager, message	Étudier votre candidature	Mesures précontractuelles à votre demande

Nous ne demandons rien de plus. Nous ne demandons ni date de naissance, ni photo, ni adresse postale, ni nationalité dans une candidature, et nous n'en voulons pas.

Ce que nous ne collectons délibérément pas

Aucun identifiant publicitaire ni de suivi inter-sites.
Aucune empreinte numérique (fingerprinting).
Aucune géolocalisation précise.
Aucune donnée sensible au sens de l'article 9 (santé, convictions, biométrie, orientation sexuelle, appartenance politique ou syndicale). N'en importez pas.
Aucune donnée relative à des enfants. Flashly ne s'adresse pas aux moins de 16 ans.

3. Notre engagement sur l'IA

C'est le point qui intéresse le plus de monde, alors il est dit sans détour.

Nous n'utilisons pas vos prompts, vos imports ni vos productions pour entraîner, affiner, évaluer ou améliorer un modèle d'IA — ni le nôtre, ni celui d'un fournisseur.
Lors d'une génération, votre prompt et votre éventuelle image de référence sont transmis au fournisseur qui produit le rendu, le résultat revient, et le transfert s'arrête là. Nous conservons le prompt et le résultat dans votre historique pour que vous les retrouviez, rien de plus.
Nous choisissons des fournisseurs dont les conditions d'API commerciale excluent l'entraînement sur les données clients. Si l'un d'eux change de politique, nous changerons de fournisseur ou vous en informerons avant l'entrée en vigueur.
Aucune décision automatisée ne produit d'effet juridique ou significatif à votre égard au sens de l'article 22 du RGPD. Le routage choisit quel modèle produit votre image ; il ne décide rien vous concernant.

Transparence des contenus générés par IA

Flashly produit des images et des vidéos de synthèse. L'article 50 du règlement européen sur l'IA (règlement (UE) 2024/1689) impose que ces productions portent un marquage lisible par machine les identifiant comme générées par IA. Lorsqu'un fichier téléchargé comporte des métadonnées de provenance, c'est la raison : il s'agit d'une obligation légale de transparence, qui identifie le contenu et non vous, et ne contient aucune donnée personnelle.

4. Qui d'autre traite vos données

Ce sont nos sous-traitants au sens de l'article 28 du RGPD. Chacun est lié par un accord de traitement.

Sous-traitant	Rôle	Localisation
Supabase	Base de données, authentification, stockage de fichiers, fonctions serverless	UE — Francfort, Allemagne
Vercel	Hébergement du site et de l'application, CDN	Réseau mondial ; calcul en région UE
Stripe	Paiements et gestion des abonnements	UE et États-Unis (CCT)
Resend	E-mails transactionnels	UE
Sentry	Supervision des erreurs et, avec votre consentement, rejeu de session sur erreur	Région UE
AIML API, Replicate, OpenRouter	Inférence des modèles d'image, de vidéo et de langage	États-Unis (CCT)
Cloudflare	Protection réseau et mise en cache	Mondial

Nous ne vendons pas vos données et ne les partageons avec aucun annonceur. Si nous faisons appel à un nouveau sous-traitant traitant des données personnelles, ce tableau est mis à jour avant sa mise en service.

Transferts hors UE

Certains sous-traitants sont établis aux États-Unis. Ces transferts reposent sur les clauses contractuelles types de la Commission européenne et, lorsque le sous-traitant y est certifié, sur le Data Privacy Framework UE–États-Unis. Vous pouvez nous demander copie des garanties applicables à un transfert précis.

Google Fonts

Nos pages chargent aujourd'hui des polices depuis Google Fonts, ce qui implique une requête de votre navigateur vers les serveurs de Google, qui reçoit alors votre adresse IP. Ce point est en tension avec la position de la CNIL sur les requêtes tierces non essentielles, et nous migrons vers un hébergement local des polices pour le supprimer.

5. Durées de conservation

Donnée	Durée
Compte	Jusqu'à sa suppression, puis 30 jours au plus en sauvegarde chiffrée
Contenus générés, imports, kits de marque	Jusqu'à leur suppression ou la clôture du compte
Prompts	Conservés avec leur génération ; supprimés avec elle
Factures et pièces comptables	10 ans — art. L.123-22 du Code de commerce
Événements statistiques produit	25 mois au maximum, conformément à la recommandation CNIL sur la mesure d'audience
Rapports d'erreur et rejeux de session	90 jours
Enregistrements IP de limitation de débit	24 heures au plus, puis purge
Demandes commerciales	3 ans à compter du dernier contact
Candidatures non retenues	2 ans à compter du dernier contact, puis suppression — recommandation CNIL en matière de recrutement

6. Vos droits

Les articles 15 à 22 du RGPD vous permettent, gratuitement :

D'accéder aux données que nous détenons sur vous et d'en obtenir copie.
De rectifier ce qui est inexact — l'essentiel directement dans vos réglages de profil.
De supprimer votre compte et son contenu. Réglages du compte → Supprimer mon compte le fait immédiatement et résilie aussi votre abonnement, pour qu'aucun prélèvement ne suive.
D'exporter vos données dans un format structuré et lisible par machine. Écrivez à privacy@flashlystudio.com, nous livrons sous 30 jours.
De vous opposer à un traitement fondé sur notre intérêt légitime, y compris nos statistiques internes.
De demander la limitation d'un traitement le temps qu'un litige sur l'exactitude ou la licéité soit tranché.
De retirer votre consentement à tout moment, pour tout ce qui en relève — via les Réglages cookies, sans remettre en cause ce qui était licite avant le retrait.
De définir des directives post mortem sur le sort de vos données (art. 85 de la loi Informatique et Libertés).

Pour exercer l'un de ces droits, écrivez à privacy@flashlystudio.com. Nous pouvons vous demander de confirmer votre identité si la demande ne provient pas de l'adresse e-mail de votre compte — uniquement pour éviter de remettre vos données à quelqu'un d'autre.

Si vous estimez que nous avons mal traité vos données, vous pouvez saisir la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr) ou l'autorité de votre pays de résidence dans l'UE. Nous préférerions que vous nous en parliez d'abord, mais c'est votre droit dans tous les cas.

7. Cookies et technologies similaires

Flashly ne dépose aucun cookie publicitaire ni de suivi inter-sites. Ce que nous stockons sur votre appareil — et ce qui requiert votre consentement préalable — est détaillé dans notre Politique cookies.

8. Sécurité

TLS 1.3 pour tout ce qui transite, AES-256 au repos.
Sécurité au niveau des lignes sur chaque table, de sorte qu'un compte ne puisse pas lire les lignes d'un autre.
URL signées et à durée limitée pour les fichiers stockés.
Mots de passe hachés avec bcrypt ; nous ne les voyons jamais.
Rôles de service au moindre privilège et secrets conservés hors du code source.

Aucun système n'est parfait. En cas de violation susceptible d'engendrer un risque pour vos droits, nous notifierons la CNIL sous 72 heures et vous informerons directement, comme l'imposent les articles 33 et 34.

Vous avez trouvé une faille ? Écrivez-nous à security@flashlystudio.com. Nous n'engagerons aucune poursuite contre quiconque signale de bonne foi sans accéder aux données d'autres utilisateurs.

9. Mineurs

Flashly ne s'adresse pas aux enfants et nous ne détenons sciemment aucune donnée concernant une personne de moins de 16 ans. Si vous pensez qu'un mineur a créé un compte, écrivez à privacy@flashlystudio.com et nous le supprimerons.

10. Modifications

Toute évolution sera publiée ici et la date de mise à jour modifiée en conséquence. Si un changement affecte substantiellement vos droits, nous préviendrons les utilisateurs actifs par e-mail au moins 30 jours avant son entrée en vigueur, afin que vous puissiez vous y opposer ou partir.

En bref