Politique de confidentialité

1. Qui nous sommes et comment nous contacter

ONTHEBIAS, Inc. (« ONTHEBIAS », « nous ») est une société du Delaware qui exploite la plateforme de conception ONTHEBIAS aux adresses onthebias.co et app.onthebias.co. Nous sommes le responsable du traitement des données personnelles collectées via le service, sauf lorsque le DPA (ci-dessous) fait de nous votre sous-traitant. Pour toute question relative à la confidentialité, toute demande de personne concernée ou toute demande relative au DPA, écrivez à info@onthebias.co.

Adresse postale : ONTHEBIAS, Inc., c/o Registered Agent, State of Delaware (adresse enregistrée complète sur demande à info@onthebias.co).

2. Ce que nous collectons

Nous collectons quatre catégories de données :

• Informations de compte - e-mail, nom, avatar, nom de l'espace de travail, téléphone (facultatif), langue préférée et adresse de facturation lors de votre abonnement. Fournies lors de votre inscription ou ultérieurement dans l'application.
• Contenu de conception - collections, état du canevas, messages de chat OBIE, maquettes générées, dessins à plat, dossiers techniques, ressources de marque que vous téléversez, favoris de la bibliothèque, demandes de devis (RFQ) et messages que vous envoyez aux fournisseurs.
• Télémétrie d'utilisation - pages vues, utilisation des fonctionnalités, traces d'erreurs, type d'appareil / de navigateur, adresse IP (tronquée à l'écriture) et cookies d'attribution marketing (voir la Politique relative aux cookies). Utilisées pour exploiter et améliorer le produit.
• Données commerciales - niveau d'abonnement, solde et historique de crédits, commandes passées, devis acceptés, factures et paiements. Les numéros de cartes de paiement eux-mêmes sont traités par Stripe et ne transitent jamais par nos serveurs.

Nous ne vendons pas de données personnelles et ne partageons pas de données personnelles avec des tiers à des fins de publicité ou de marketing qui leur seraient propres.

3. Comment nous les utilisons

• Pour exploiter la plateforme et fournir les fonctionnalités pour lesquelles vous vous êtes inscrit.
• Pour traiter les paiements via Stripe et acheminer les versements de la place de marché aux fournisseurs.
• Pour envoyer des e-mails transactionnels (confirmation d'inscription, réinitialisation de mot de passe, mises à jour de commande, notifications de parrainage). Nous n'envoyons pas de campagnes marketing à votre adresse sans adhésion explicite.
• Pour améliorer le produit au moyen d'une analyse d'utilisation agrégée et anonymisée.
• Pour détecter et prévenir la fraude, les abus, l'extraction de données (scraping), les incidents de sécurité et les violations des Conditions.
• Pour respecter nos obligations légales (registres fiscaux, contrôle des sanctions, réponses aux demandes licites).

4. Bases légales (RGPD / RGPD UK)

Pour les utilisateurs de l'UE, de l'EEE, du Royaume-Uni et de la Suisse, les bases légales sur lesquelles nous nous fondons au titre de l'article 6 du RGPD sont les suivantes :

• Exécution d'un contrat - pour fournir le service pour lequel vous vous êtes inscrit, traiter les paiements et exécuter les commandes que vous passez.
• Intérêts légitimes - pour sécuriser le service, prévenir la fraude et les abus, comprendre l'utilisation agrégée du produit et communiquer des mises à jour opérationnelles. Nous mettons ces intérêts en balance avec vos droits et vous pouvez vous y opposer à tout moment en écrivant à info@onthebias.co.
• Consentement - pour les e-mails marketing, les cookies non essentiels (analyse et publicité), le pixel Meta dans l'UE/EEE/Royaume-Uni/Suisse/Brésil, et tout futur programme d'adhésion volontaire à l'entraînement de l'IA. Vous pouvez retirer votre consentement à tout moment sans affecter la licéité du traitement effectué avant le retrait.
• Obligation légale - pour respecter la loi fiscale, comptable, relative aux sanctions et toute autre loi applicable.

5. Entraînement de l'IA

Votre contenu de conception n'est pas utilisé pour entraîner un quelconque modèle dont nous serions propriétaires, et nous n'autorisons pas nos fournisseurs d'IA tiers à entraîner leurs modèles sur votre contenu. Nous transmettons vos invites (prompts) et vos images téléversées aux fournisseurs d'IA (Anthropic, Google) uniquement pour réaliser la génération que vous avez demandée sur le moment, dans le cadre de leurs API commerciales sans entraînement. Nous pourrons à l'avenir proposer des programmes distincts d'adhésion volontaire (opt-in) par espace de travail vous permettant de consentir à l'utilisation de votre contenu pour entraîner un modèle appartenant à ONTHEBIAS en échange d'avantages définis. Tout programme de ce type est exclusivement sur adhésion, révocable à tout moment et clairement identifié au moment du consentement.

6. Sous-traitants ultérieurs

Nous faisons appel à ces prestataires pour exploiter le service. Chacun ne reçoit que les données nécessaires à l'accomplissement de sa tâche, et chacun est lié par un accord écrit comportant des clauses de protection des données conformes au RGPD.

• Supabase - base de données, authentification, stockage de fichiers (régions américaines)
• Vercel - hébergement, réseau edge (mondial)
• Stripe - paiements et versements de la place de marché (États-Unis)
• Anthropic, Google - génération par IA (invite / résultat uniquement, API commerciales sans entraînement)
• Liveblocks - canevas et commentaires en temps réel (États-Unis)
• Resend - e-mails transactionnels (États-Unis)
• SerpAPI - recherche d'images pour la nomenclature (BOM) des dossiers techniques (États-Unis)
• AWS S3 - stockage historique des ressources de la bibliothèque (us-east-2)
• Trigger.dev - orchestration durable des tâches pour la génération de longue durée (États-Unis)
• Sentry - suivi des erreurs et surveillance des performances (États-Unis)
• Google Cloud Run - capacité de calcul de secours pour la génération par IA (États-Unis)
• Meta - mesure publicitaire, uniquement avec votre consentement marketing ; événements de conversion envoyés avec votre e-mail haché

7. Modifications des sous-traitants ultérieurs

La liste ci-dessus est à jour à la date de dernière mise à jour figurant en haut de cette page. Lorsque nous ajoutons un nouveau sous-traitant ultérieur qui traite des données personnelles, nous mettons à jour cette liste et informons les administrateurs de l'espace de travail dans l'application au moins 30 jours avant la prise d'effet de la modification. Si vous vous opposez à un nouveau sous-traitant ultérieur et que nous ne pouvons raisonnablement accéder à cette objection, vous pouvez résilier votre abonnement et obtenir un remboursement au prorata de toute période prépayée non utilisée.

8. Transferts internationaux de données

ONTHEBIAS est établi aux États-Unis, et la plupart de nos sous-traitants ultérieurs sont établis aux États-Unis. Lorsque nous transférons des données personnelles depuis l'Espace économique européen, le Royaume-Uni ou la Suisse vers les États-Unis ou d'autres juridictions, nous nous fondons sur les clauses contractuelles types (SCCs) de la Commission européenne, sur l'addendum britannique relatif aux transferts internationaux de données (UK International Data Transfer Addendum) et sur l'instrument suisse équivalent, ainsi que sur des mesures techniques et organisationnelles supplémentaires lorsqu'elles sont requises. Des copies des SCCs applicables à votre relation avec nous sont disponibles en écrivant à info@onthebias.co.

9. Conservation

Nous ne conservons les données personnelles que le temps nécessaire aux finalités décrites ci-dessus :

• Compte et contenu de conception - tant que votre compte est actif. Après la suppression du compte, nous supprimons le contenu de conception dans un délai de 30 jours, à l'exception des sauvegardes (purgées selon la rotation standard des sauvegardes, jusqu'à 90 jours).
• Registres commerciaux - les factures, paiements, historiques de commandes et registres fiscaux sont conservés jusqu'à 10 ans pour respecter les obligations comptables et fiscales.
• Télémétrie d'utilisation et journaux - jusqu'à 24 mois, puis agrégés ou supprimés.
• Registres de consentement marketing - conservés pendant la durée de votre abonnement et pendant 3 ans après votre dernière interaction, afin que nous puissions prouver que nous disposions de votre consentement.
• Registres de sécurité et de prévention de la fraude - conservés aussi longtemps que nécessaire pour protéger le service, généralement pas plus de 3 ans.

10. Vos droits

Selon votre lieu de résidence, vous disposez de tout ou partie des droits suivants sur vos données personnelles :

• Accès - demander une copie des données personnelles que nous détenons à votre sujet.
• Rectification - corriger des données personnelles inexactes ou incomplètes.
• Effacement - demander la suppression (sous réserve des obligations légales de conservation).
• Limitation - nous demander de cesser le traitement de vos données à des fins déterminées.
• Portabilité - recevoir une copie des données que vous avez fournies dans un format lisible par machine, ou nous demander de les transmettre à un autre responsable du traitement lorsque cela est techniquement possible.
• Opposition - vous opposer au traitement fondé sur les intérêts légitimes, et au marketing direct à tout moment.
• Retrait du consentement - lorsque le traitement est fondé sur le consentement, le retirer à tout moment.
• Réclamation - introduire une réclamation auprès de votre autorité locale de protection des données. Dans l'UE, il s'agit de votre autorité de contrôle nationale ; au Royaume-Uni, il s'agit de l'Information Commissioner's Office (ico.org.uk).

Pour exercer un droit, écrivez à info@onthebias.co avec suffisamment de détails pour nous permettre de vous identifier ainsi que votre demande. Nous répondrons dans un délai de 30 jours, prorogeable de 60 jours pour les demandes complexes, comme le permet le RGPD. Aucun frais n'est appliqué, sauf si la demande est manifestement infondée ou excessive. Les administrateurs de l'espace de travail peuvent également supprimer directement les données de collection et de canevas individuelles depuis l'application.

11. Cookies

Nous utilisons un cookie de session pour l'authentification et un petit cookie de préférence pour mémoriser votre espace de travail actif. Nous chargeons également le pixel Meta (Facebook/Instagram) pour mesurer notre publicité, et envoyons à Meta des événements de conversion (inscription, abonnement) avec votre e-mail préalablement haché. Cette option est activée par défaut et vous pouvez la désactiver à tout moment via le lien Gérer les cookies ; dans l'UE, l'EEE, le Royaume-Uni, la Suisse et le Brésil, nous ne le chargeons qu'après votre adhésion. Consultez notre Politique relative aux cookies pour la liste complète.

12. Enfants

Le service n'est pas destiné aux enfants de moins de 16 ans, et nous ne collectons pas sciemment de données personnelles auprès d'enfants de moins de 13 ans (ou de moins de 16 ans dans les juridictions où tel est l'âge du consentement numérique applicable). Si vous estimez qu'un enfant nous a fourni des données personnelles, écrivez à info@onthebias.co et nous les supprimerons.

13. Droits en matière de confidentialité selon les États américains (Californie et autres)

Si vous êtes résident de Californie, vous disposez de droits au titre du California Consumer Privacy Act (tel que modifié par le CPRA), y compris le droit de savoir, de supprimer, de corriger et de refuser la vente ou le partage de données personnelles. Nous ne vendons ni ne partageons de données personnelles au sens où ces termes sont définis par le CCPA. Des droits similaires sont disponibles au titre des lois sur la confidentialité de la Virginie, du Colorado, du Connecticut, de l'Utah, du Texas, de l'Oregon, du Montana et d'autres États américains dotés de lois complètes sur la confidentialité. Exercez ces droits en écrivant à info@onthebias.co.

14. Représentant dans l'UE

ONTHEBIAS ne dispose pas actuellement d'un représentant désigné dans l'Union européenne au titre de l'article 27 du RGPD. Les utilisateurs de l'UE peuvent adresser toutes leurs demandes et réclamations en matière de protection des données à info@onthebias.co, ainsi qu'à leur autorité de contrôle nationale. Nous sommes en train de désigner un représentant au titre de l'article 27 et l'indiquerons ici dès que cette démarche sera achevée.

15. Sécurité

Nous utilisons des mesures techniques et organisationnelles conformes aux standards du secteur pour protéger les données personnelles, y compris le chiffrement en transit (TLS 1.2 ou supérieur), le chiffrement au repos pour la base de données et le stockage de fichiers, le contrôle d'accès basé sur les rôles, la sécurité au niveau des lignes (row-level security) sur les données des utilisateurs, la journalisation d'audit et l'analyse régulière des vulnérabilités. Aucun système n'est parfaitement sécurisé. Si nous prenons connaissance d'une violation affectant vos données personnelles, nous vous en informerons, ainsi que les autorités de contrôle compétentes, comme la loi l'exige.

16. Modifications

Nous pouvons mettre à jour la présente politique. Les modifications substantielles seront annoncées dans l'application et envoyées par e-mail aux comptes actifs au moins 30 jours avant leur prise d'effet, sauf lorsqu'un délai plus court est requis par la loi. La poursuite de l'utilisation après la prise d'effet d'une modification signifie que vous acceptez la politique mise à jour. Les versions antérieures sont disponibles sur demande à info@onthebias.co.