Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement des données à caractère personnel collectées via la plateforme Kimchiii est la société ENHCO ENTERPRISES, SAS immatriculée au RCS de Créteil sous le numéro 820 658 540, dont le siège social est situé 3 rue Victor Hugo, 94220 Charenton-le-Pont.

Contact pour toute question ou demande relative aux données personnelles : contact@kimchiii.com.

2. Données collectées

Personnes photographiées (clients)

• identité et coordonnées : prénom, nom, adresse électronique, numéro de téléphone, langue ;
• photographies sur lesquelles elles figurent, réalisées lors de la séance ;
• données de commande et de facturation : photographies achetées, montants, adresse de facturation, identifiants de transaction ;
• éléments techniques permettant de rattacher les photographies à une séance : horodatage des fichiers (métadonnées EXIF), identifiant de session associé au QR code ;
• pour la recherche en mode événement : description libre de l'apparence saisie par la personne et, le cas échéant, une prise de vue de contrôle (selfie) destinée à vérifier que la demande émane bien de la personne concernée.

Photographes

• identité et coordonnées : prénom, nom, adresse électronique, numéro de téléphone, photographie de profil ;
• pièce d'identité et informations professionnelles : statut, raison sociale, SIRET, numéro de TVA, adresse ;
• coordonnées bancaires (IBAN) aux seules fins de règlement des commissions ;
• données d'activité : journées travaillées, lieux, séances, photographies mises en ligne, ventes, factures.

Tous utilisateurs

• données de connexion et de navigation (journaux techniques, adresse IP, navigateur) ;
• si et seulement si la personne y a consenti, les données de mesure d'audience décrites à l'article 9 (pages vues, parcours de navigation, type d'appareil, enregistrement de la navigation) ;
• preuve d'acceptation des documents contractuels : date et heure, version acceptée, empreinte du texte, adresse IP et navigateur.

3. Photographies et absence de traitement biométrique

Kimchiii ne met en œuvre aucun traitement d'identification biométrique. Aucun gabarit facial n'est calculé ni conservé aux fins d'identifier une personne, et les photographies ne font l'objet d'aucune indexation par reconnaissance faciale.

Le rattachement d'une photographie à une personne repose sur l'organisation de la séance (QR code, horodatage) et, pour les événements, sur une description fournie par la personne elle-même.

Kimchiii peut recourir à des traitements automatisés de détection de visage — c'est-à-dire la détection de la présence et de la position d'un visage dans une image, sans identification de la personne — au moyen de ses propres algorithmes ou du service Amazon Rekognition (Amazon Web Services), à des fins techniques : cadrage et recadrage automatiques, contrôle qualité, floutage de tiers, vérification qu'une photographie comporte bien un visage. Aucune donnée permettant d'identifier une personne par ses caractéristiques physiques n'est conservée à l'issue de ces traitements.

Si un traitement d'identification biométrique devait être mis en œuvre à l'avenir, il ferait l'objet d'une information préalable et du recueil du consentement explicite des personnes concernées, conformément à l'article 9 du RGPD, et la présente politique serait mise à jour en conséquence.

4. Finalités et bases légales

5. Durées de conservation

• Photographies non achetées : supprimées à l'expiration du délai indiqué dans la galerie (à la date d'entrée en vigueur des présentes : trente (30) jours à compter de leur mise en ligne).
• Photographies achetées : conservées pendant la durée indiquée lors de l'achat (à la date d'entrée en vigueur des présentes : treize (13) mois), puis supprimées.
• Selfie de vérification (mode événement) : utilisé pour la seule vérification demandée, puis supprimé sans conservation.
• Données de compte photographe : conservées pendant la durée de la relation, puis archivées trois (3) ans à des fins probatoires.
• Données de commande, factures et pièces comptables : dix (10) ans, conformément à l'article L. 123-22 du code de commerce.
• Preuves d'acceptation des documents contractuels : conservées cinq (5) ans après la fin de la relation.
• Journaux techniques : douze (12) mois.
• Cookies de mesure d'audience et données associées : treize (13) mois au maximum, conformément aux recommandations de la CNIL.
• Choix exprimé sur les cookies (acceptation comme refus) : six (6) mois, afin de ne pas redemander le consentement à chaque visite.

6. Destinataires et sous-traitants

Les données sont traitées par le personnel habilité de Kimchiii et par les prestataires suivants, agissant en qualité de sous-traitants :

• Supabase — base de données et authentification, hébergement dans l'Union européenne (Francfort, Allemagne) ;
• Cloudflare, Inc. — stockage et diffusion des photographies ;
• Vercel Inc. — hébergement de l'application, exécution en région européenne (Francfort, Allemagne) ;
• Stripe — traitement des paiements (Stripe est responsable de traitement pour les données de paiement qu'il collecte directement) ;
• prestataire d'envoi de courriers électroniques transactionnels ;
• Pennylane — facturation et comptabilité ;
• Amazon Web Services — le cas échéant, détection de visage dans les conditions décrites à l'article 3 ;
• Microsoft (Microsoft Clarity) et Google (Google Analytics 4) — mesure d'audience et analyse statistique de la navigation, uniquement si la personne y a consenti (voir l'article 9).

Certains de ces prestataires sont établis hors de l'Union européenne ; les transferts correspondants sont encadrés par les clauses contractuelles types de la Commission européenne, par le cadre de protection des données UE–États-Unis (*EU–US Data Privacy Framework*) ou par un mécanisme de transfert équivalent.

Les données peuvent en outre être communiquées aux autorités administratives ou judiciaires lorsque la loi l'exige, notamment à l'administration fiscale au titre de la directive DAC7.

Les données ne sont ni vendues, ni louées, ni cédées à des tiers à des fins commerciales.

7. Droits des personnes

Toute personne dispose d'un droit d'accès, de rectification, d'effacement, de limitation et d'opposition, d'un droit à la portabilité des données, ainsi que du droit de définir des directives relatives au sort de ses données après son décès. Lorsque le traitement repose sur le consentement, celui-ci peut être retiré à tout moment.

Retrait d'une photographie. Toute personne figurant sur une photographie peut en demander le retrait à contact@kimchiii.com. Kimchiii y procède dans les meilleurs délais.

Ces droits s'exercent à l'adresse contact@kimchiii.com ou par courrier au siège social. Une preuve d'identité peut être demandée en cas de doute raisonnable.

Toute personne peut introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — https://www.cnil.fr.

8. Sécurité

Kimchiii met en œuvre des mesures techniques et organisationnelles appropriées pour protéger les données contre la perte, l'altération, la divulgation ou l'accès non autorisé : chiffrement des échanges, cloisonnement des accès, authentification sans mot de passe, liens de galerie non devinables et à durée limitée, filigrane sur les aperçus, hébergement dans l'Union européenne pour la base de données.

9. Cookies, traceurs et mesure d'audience

Cookies strictement nécessaires

Ces cookies sont indispensables au fonctionnement de la Plateforme et ne requièrent pas de consentement : session et authentification, sécurité, parcours d'achat, préférence de langue, ainsi que le cookie `kimchiii_consent` qui mémorise votre choix en matière de cookies.

Mesure d'audience et analyse statistique

Sous réserve de votre consentement préalable, Kimchiii utilise deux outils pour comprendre l'usage de la Plateforme et l'améliorer :

Précisions importantes :

• Ces outils ne sont chargés qu'après votre acceptation. Tant que vous n'avez pas consenti, aucun script ni aucune requête n'est adressé à Microsoft ou à Google, et aucun cookie de mesure n'est déposé.
• Un outil qui n'est pas configuré n'est pas chargé du tout. À la date d'entrée en vigueur des présentes, Microsoft Clarity est actif ; Google Analytics 4 est prévu et ne sera chargé qu'une fois configuré, dans les mêmes conditions de consentement.
• Les enregistrements de navigation de Microsoft Clarity portent sur l'usage de l'interface. Ils ne sont pas utilisés pour identifier une personne, ni rapprochés de son compte ou de ses achats.
• Ces traitements impliquent des transferts hors de l'Union européenne, encadrés dans les conditions indiquées à l'article 6.

Marketing et publicité

Aucune régie publicitaire n'est active sur la Plateforme. La catégorie « marketing » du panneau de préférences existe pour permettre d'activer ultérieurement des signaux publicitaires, et elle reste soumise à votre consentement.

Exercer et retirer votre choix

Le bandeau affiché lors de votre première visite permet d'accepter ou de refuser en un clic, au même niveau. Vous pouvez modifier ou retirer votre choix à tout moment via le lien « Préférences cookies » présent dans le pied de page. Le retrait du consentement interrompt la mesure et supprime les cookies correspondants. Il est sans effet sur la licéité des traitements effectués avant le retrait.

Vous pouvez également paramétrer votre navigateur pour bloquer les cookies ; le blocage des cookies strictement nécessaires peut toutefois empêcher le fonctionnement de la Plateforme.

10. Modification de la présente politique

La présente politique peut être mise à jour. Chaque version est identifiée par un numéro et une date d'entrée en vigueur. Les photographes sont invités à en prendre connaissance à chaque nouvelle version, préalablement à la poursuite de l'utilisation de leur espace.

11. Contact

Pour toute question relative aux données personnelles : contact@kimchiii.com.