Politique de confidentialité

Version 1.13

Date d'entrée en vigueur : 26 septembre 2026

1. Qui traite vos données

Reprisma

Entreprise individuelle (micro-entrepreneur) exploitée par Ethan Ljutovac

SIREN : 984 498 154 — SIRET : 984 498 154 00025

Adresse : 78 avenue des Champs-Élysées, Bureau 326, 75008 Paris

Contact pour toute question relative à vos données : contact@reprisma.io

Reprisma est responsable du traitement au sens du Règlement (UE) 2016/679 (RGPD).

Aucun délégué à la protection des données n'a été désigné : la structure n'y est pas soumise.

2. Ce que nous collectons réellement

2.1 À la création de votre compte

Vous créez votre compte de l'une de deux façons, et nous ne recevons pas la même chose.

Avec une adresse e-mail et un mot de passe. Le mot de passe n'est pas conservé. Notre prestataire d'authentification n'en garde qu'une empreinte — le résultat d'un calcul à sens unique, qui permet de vérifier le mot de passe sans jamais pouvoir le reconstituer. Ni lui ni nous ne pouvons le lire.

Avec votre compte Google. Vous ne choisissez pas de mot de passe chez nous. Google transmet à notre prestataire d'authentification votre adresse e-mail, votre nom tel qu'il figure sur votre compte Google, un lien vers votre photo de profil et un identifiant propre à votre compte Google. Ces quatre informations accompagnent toute connexion avec Google : notre prestataire les demande d'office, et nous ne pouvons en retrancher aucune. Le lien vers votre photo est retiré avant d'être enregistré : nous ne le gardons pas, et nous n'affichons ni ne téléchargeons votre photo. Les trois autres informations sont enregistrées avec votre compte et mises à jour à chaque connexion. Google remet aussi un jeton d'accès à ces seules informations : notre prestataire le détruit une fois la connexion établie, et nous ne le conservons pas. L'article 4.3 dit ce que Google, de son côté, apprend.

Une même adresse ouvre un même compte. Si vous vous connectez avec Google sur une adresse déjà inscrite, vous retrouvez ce compte, son solde de jetons et son historique : aucun second compte n'est créé. Une exception, imposée par notre prestataire pour que personne ne puisse s'approprier votre adresse avant vous : si cette adresse n'avait jamais été confirmée, le mot de passe posé à l'inscription est supprimé. Le compte s'ouvre alors avec Google, ou avec un nouveau mot de passe choisi par « Mot de passe oublié ».

Dans les deux cas, nous ne vous demandons ni numéro de téléphone, ni adresse postale, ni date de naissance : aucun écran du service ne les réclame, et rien ne les enregistre.

Les jetons offerts à l'ouverture d'un compte le sont une fois par boîte de réception, au moment où votre adresse est confirmée. Pour cela, votre adresse est comparée à celles des comptes existants sous sa forme d'origine : sans ce qui suit un « + » et, chez Gmail, sans les points — « jean.dupont+2@gmail.com » et « jeandupont@gmail.com » arrivent dans la même boîte. Cette comparaison n'enregistre rien de plus que votre adresse, déjà conservée. Une adresse d'un service d'adresses jetables ne peut pas ouvrir de compte.

2.2 Pendant votre utilisation du service

2.3 Lors d'un achat

C'est le seul endroit du service où nous vous demandons votre nom. Si votre compte est ouvert avec Google, nous le connaissons déjà — Google nous l'a transmis (article 2.1) — et le champ en est prérempli. Vous le vérifiez et le corrigez au besoin : c'est le nom que vous validez qui figure sur la note d'achat, pas celui de votre compte Google.

Votre nom est figé sur la commande. Il y reste tel que vous l'avez saisi ou confirmé ce jour-là, même si vous le corrigez plus tard, et même après la suppression de votre compte : une pièce comptable qui change n'est plus une pièce comptable. Voir les articles 5 et 6.

La signature de votre transaction est relevée sur la chaîne, que vous nous la déclariez ou non : c'est ainsi que votre paiement est reconnu automatiquement. C'est un identifiant pseudonyme rattachable à un portefeuille. Elle est conservée dans notre registre comptable.

Cette référence n'atteint plus la blockchain, et la version 1.3 disait le contraire. Elle annonçait qu'elle figurait dans le code à scanner de votre écran de paiement et que votre portefeuille l'inscrivait dans votre transaction, où elle devenait visible définitivement. Ce n'est plus vrai depuis le 10 septembre 2026 : le code à scanner ne porte plus que l'adresse de réception, et rien d'autre. La référence reste enregistrée chez nous, mais elle n'est placée nulle part où vous puissiez l'émettre : elle ne part sur aucune chaîne, et personne ne peut s'en servir pour relier votre portefeuille à cette commande.

Nous corrigeons cette phrase plutôt que de la laisser : elle vous annonçait une exposition qui n'a pas lieu. Elle allait dans le sens prudent — mieux vaut avoir été prévenu d'un risque absent que l'inverse —, mais une politique qui décrit ce que le produit ne fait plus ne vaut pas mieux qu'une politique muette.

Sur la date de paiement. Quand votre virement est reconnu automatiquement, la date enregistrée est celle de son arrivée sur le réseau. Quand il doit être traité à la main, c'est la date de ce traitement qui est inscrite : elle peut être postérieure de quelques heures à votre virement.

2.4 Votre adresse IP

Nous préférons décrire ce qui se passe plutôt que de vous promettre qu'elle n'existe nulle part.

Nous ne la conservons dans aucune table du service, et nous ne la journalisons jamais. Elle sert uniquement à limiter les abus sur les quatre points sensibles du compte — inscription et connexion — par mot de passe comme par Google —, mot de passe oublié et changement de mot de passe, ce dernier étant utilisé une fois connecté.

Pour que cette limite tienne d'une machine à l'autre, nous en gardons une empreinte : le résultat d'un calcul à sens unique fait avec une clé secrète, qui ne permet pas de retrouver votre adresse. Cette empreinte est conservée le temps de la limite, quinze minutes, puis effacée — au plus tard une heure après. Partout ailleurs, la limite suit votre compte et non votre adresse : le compteur porte alors l'identifiant de votre compte, et s'efface de la même façon.

Le comptage des visites de la vitrine est borné de la même manière (article 2.9), sur une fenêtre d'une minute. C'est le seul usage de votre adresse IP qui ne suppose pas de compte.

Notre prestataire d'authentification (Supabase) enregistre une ligne pour chaque session ouverte, avec une adresse IP et le nom d'un logiciel : ceux de notre serveur, pas les vôtres. C'est notre serveur qui ouvre la session pour vous, et il ne transmet pas votre adresse ; la ligne porte donc son adresse à lui, et le nom de son logiciel à la place de celui de votre navigateur. Elle vit aussi longtemps que la session. Nous l'avons constaté le 21 septembre 2026, sur une session réelle.

Les versions 1.1 à 1.6 disaient le contraire, et nous le corrigeons plutôt que de le laisser : elles annonçaient que ce prestataire gardait, pour chaque session, l'adresse IP et le navigateur depuis lesquels vous vous connectiez. L'erreur allait dans le sens prudent — elle annonçait une conservation qui n'a pas lieu —, ce qui ne la rendait pas exacte.

Votre adresse IP ne parvient à ce prestataire que dans un cas : la connexion avec Google, pendant laquelle votre navigateur passe directement par son site (article 4.3).

2.5 Ce que nous ne collectons pas

• Vos consignes de génération (prompts) ne sont jamais enregistrées. Elles transitent vers le fournisseur d'IA et ne sont pas conservées par nous.
• La bande son des vidéos que vous analysez n'est jamais enregistrée, et sa transcription non plus. Le son est extrait dans votre navigateur, transmis pour être transcrit, et les mots reviennent dans votre consigne — que nous ne conservons pas davantage. Nos journaux techniques en gardent le nombre de mots et la durée, jamais un mot prononcé (article 2.8).
• Les vidéos que vous produisez ne sont pas stockées sur nos serveurs. Aucune adresse de téléchargement n'est enregistrée. Deux traitements les écrivent néanmoins sur disque le temps de s'exécuter, et l'article 2.6 dit lesquels — ainsi que ce qu'il advient de la copie de disque de la machine qui les exécute.
• Aucun cookie publicitaire, aucun traceur analytique, aucun profilage. Les seuls cookies utilisés sont ceux qui maintiennent votre session ouverte, et, le temps d'une connexion avec Google, un cookie de dix minutes qui la rattache à votre navigateur : ils sont strictement nécessaires au fonctionnement du service et ne requièrent pas votre consentement.
• Aucune décision automatisée produisant des effets juridiques à votre égard.

2.6 Ce que nous ne conservons pas, mais qui passe par nos serveurs

Vos modèles, les photographies de référence que vous y associez, et les vidéos que vous générez sont conservés dans votre navigateur (`localStorage` et `IndexedDB`). Nous n'en détenons aucune copie durable. Effacer les données de votre navigateur les supprime définitivement, sans que nous puissions les restaurer.

Ils passent néanmoins par nos serveurs, et nous préférons dire exactement comment :

• Vos images de référence arrivent dans le corps de la requête, le temps d'être transmises au fournisseur d'IA. Rien n'en est écrit sur disque chez nous. Notre fournisseur principal, lui, les dépose sur son propre serveur de fichiers à chaque génération : voir l'article 4.2, qui dit ce que nous savons de leur conservation — et ce que nous ne savons pas.
• Vos vidéos générées sont relayées depuis notre domaine pour vous être restituées, sans être écrites non plus.
• La vidéo que vous faites analyser passe par notre relais lorsque vous l'avez désignée par un lien, le temps d'être ouverte par votre navigateur. Les images sont extraites chez vous, dans la page ; seules ces images partent ensuite pour l'analyse. La vidéo elle-même n'est écrite nulle part.
• La bande son de cette vidéo, lorsque la transcription du dialogue est ouverte à votre compte, est extraite dans votre navigateur et transmise à notre prestataire de transcription (article 4.2). Rien n'en est écrit sur nos serveurs, et le son lui-même ne nous est pas conservé : ce sont les mots qui reviennent, jamais la voix.
• La fonction de variantes fait exception. Elle travaille sur une machine dédiée que nous louons pour la durée de votre session : votre vidéo y est déposée sur disque, les variantes produites y sont écrites, et les fichiers audio que vous y ajoutez vous-même y restent en réserve, réutilisables d'un rendu à l'autre. Cette machine s'arrête d'elle-même dès que vos variantes sont enregistrées chez vous, et sinon à l'échéance de votre session : chaque nouveau lot la repousse, l'inactivité la rapproche. Vous pouvez les supprimer vous-même à tout moment, depuis l'écran des variantes ; et si vous ne le faites pas, ils disparaissent avec la machine qu'ils habitent — au plus tard vingt-quatre heures après votre dernière session.

Cette machine n'est pas détruite : elle est arrêtée, et son disque est photographié pour qu'elle puisse redémarrer sans tout réinstaller. Nous prenons donc deux engagements plutôt qu'un :

- avant chaque arrêt, son dossier de travail est vidé — votre vidéo de départ et les variantes produites sont effacées, et la photographie ne les contient pas. Elle contient en revanche les fichiers audio de votre réserve, qui sont faits pour durer d'un rendu à l'autre ;

- une seule photographie existe à la fois, remplacée à chaque arrêt, et effacée au plus tard vingt-quatre heures après son dernier usage.

Si un incident interrompt la machine avant ce ménage — une panne, une coupure de notre hébergeur —, ce qui restait sur son disque se trouve dans la photographie. C'est effacé au démarrage suivant, et cette photographie est remplacée au premier arrêt qui suit.

La version 1.12 annonçait ici que cette machine était « détruite au plus tard à l'échéance de votre session ». C'était faux : elle était arrêtée, et son disque conservé trente jours. La section « Ce qui change » de l'article 11 en rend compte sans rien atténuer.

• La reprise de la bande son d'origine utilise cette même machine, et c'est la seconde exception. Lorsque vous demandez que le son de votre vidéo de départ soit remis sur la vidéo générée, les deux fichiers y sont déposés sur disque le temps d'être réunis : la vidéo générée et la vidéo d'origine — celle que vous avez téléversée, ou celle que votre lien désigne. Ils sont écrits dans un dossier propre à cette demande, effacé à la fin du traitement, que celui-ci réussisse ou échoue. Aucune copie n'en est faite ailleurs, et ce dossier vit dans le dossier de travail que le point précédent fait vider avant chaque arrêt.

2.7 Ce que l'exploitation note sur votre compte

Votre compte porte son tarif, son rôle, le cas échéant le code d'accès que vous avez présenté (article 2.10), et le cas échéant la date et le motif d'une suspension ou d'une demande de suppression.

Certains gestes d'administration vous concernant sont inscrits dans un journal d'administration qui porte votre identifiant technique, l'action et, lorsqu'un humain en est l'auteur, un motif rédigé par l'exploitant : l'ajustement de votre solde, le changement de votre tarif, le changement de votre rôle, la consultation de votre livre de comptes, l'anonymisation de votre compte, et le geste commercial consenti lorsqu'un paiement reçu est inférieur au montant attendu.

Ce dernier peut être inscrit sans intervention humaine. Lorsqu'un versement inférieur au montant attendu est crédité automatiquement dans la tolérance prévue à l'article 10.3 des conditions générales, l'écart est consigné de la même façon, avec pour motif le mécanisme qui l'a décidé et non une note d'exploitant. Il l'est aussi lorsque l'exploitant rattache à la main à votre commande un versement inférieur au montant attendu : le motif décrit alors ce rattachement. Nous préférons le dire : la ligne existe, elle vous concerne, et elle n'a pas été écrite par quelqu'un. Le créditement d'un paiement, lui, n'est inscrit qu'au registre des opérations. Ce journal ne peut être ni modifié ni effacé. Les motifs sont des notes internes d'exploitation : ils ne figurent pas dans l'export de vos données, mais vous pouvez en demander communication.

Le rattachement par code est lui aussi inscrit sans intervention humaine. Lorsqu'un code d'accès valide vous fait passer au tarif réservé (article 2.10), le changement de tarif est consigné au journal d'administration comme les autres, avec pour motif le mécanisme qui l'a décidé et non une note d'exploitant. Le code lui-même n'y figure pas : ce journal ne peut être ni modifié ni effacé, et nous n'y inscrivons pas un nom.

2.8 Journaux techniques

Notre hébergeur conserve des journaux techniques. Quatre types de lignes seulement peuvent porter un identifiant de compte ou de commande : l'échec d'un remboursement automatique, le rattachement manuel d'un virement à une commande, l'échec de l'inscription d'un geste commercial au journal d'administration, et l'échec de l'envoi d'un signalement « mes jetons ne sont pas arrivés ». Une ligne peut par ailleurs porter la signature de votre transaction blockchain lorsque son traitement échoue. Aucune adresse e-mail, aucun nom n'est jamais journalisé.

Ce que les lignes de mesure contiennent, et ce qu'elles ne contiennent pas. Chaque analyse, chaque transcription et chaque génération écrit une ligne de coût : des nombres, des durées et des comptes — nombre d'images, nombre de mots entendus, secondes de son, instants où un bruit a été repéré, modèle retenu. Aucune ne porte votre consigne, ni un mot prononcé dans la vidéo, ni un identifiant de compte.

Une de ces lignes est désormais gardée dans notre propre base, et non plus seulement dans les journaux de l'hébergeur. Chaque action que vous payez en jetons y inscrit ce qu'elle nous a coûté en dollars : le poste (analyse, recherche, accroches, spoof, résolution), la quantité, le prix unitaire du jour, la date — et la référence de l'action, celle-là même qui figure dans votre historique de jetons. Cette référence est ce qui nous empêche de compter deux fois la même dépense ; aucun identifiant de compte, aucune adresse, aucun nom n'y figure, mais elle permet, en la rapprochant de votre historique, de relier une dépense à une action — nous la traitons donc comme une donnée vous concernant. Elle ne sert qu'à une chose : savoir ce que le service coûte par rapport à ce qu'il rapporte.

La durée de conservation de ces journaux est fixée par notre hébergeur, Vercel, selon les conditions de son offre.

2.9 La fréquentation de la vitrine

Nous comptons les visites de notre site de présentation. Rien dans ce comptage ne vous distingue d'un autre visiteur.

Chaque visite ajoute 1 à un compteur, et un compteur ne porte que quatre choses : le jour, la page visitée, le nom de domaine du site d'où vous venez — jamais l'adresse complète de la page, qui en dirait long sur vous — et, le cas échéant, le nom de la campagne par laquelle vous êtes arrivé. Il n'existe aucune ligne par visite : seulement des totaux par jour.

Ce que nous n'y mettons pas, et ne pouvons donc pas en tirer : aucun cookie, aucun traceur, aucune adresse IP, aucun identifiant, aucune empreinte de votre navigateur. Nous ne savons donc pas combien de personnes différentes nous visitent, ni si vous revenez : nous comptons des visites, pas des visiteurs. C'est le prix de ce choix, et nous le préférons à un bandeau de consentement.

Le comptage est fait par notre serveur, à partir d'un envoi de la page ; aucun service tiers de mesure d'audience n'est employé. Les robots des moteurs de recherche ne sont pas comptés : leur signature est lue, jamais conservée.

La limite décrite à l'article 2.4 s'applique aussi à ce comptage : sans elle, n'importe qui pourrait gonfler un compteur en boucle. L'empreinte d'adresse IP qu'elle emploie vit une minute.

2.10 Le code d'accès à l'accompagnement

Si vous suivez un accompagnement dispensé par Reprisma, vous disposez d'un code d'accès personnel. En le saisissant — à l'inscription, ou plus tard depuis votre compte — vous obtenez le tarif réservé prévu à l'article 8 des conditions générales.

Ce que nous en faisons. Nous le transmettons au site de la formation, que nous exploitons nous-mêmes, pour qu'il nous dise s'il est valide. Ce site répond par oui ou par non et n'enregistre pas votre demande. Nous conservons ensuite le code avec votre compte : c'est lui qui atteste votre droit au tarif, et c'est lui qui nous permet de constater qu'il a déjà servi.

Ce code contient vos nom et prénom, tels qu'ils figurent dans l'accompagnement. Nous ne les recopions pas dans votre compte : le nom qui figure sur vos notes d'achat reste celui que vous indiquez au moment de votre commande, et lui seul.

Un code ne sert qu'une fois. Le premier compte qui le présente le consomme ; il est ensuite refusé à tout autre. Nous conservons la date à laquelle il a été consommé.

Si vous supprimez votre compte, le lien entre ce code et lui est effacé et le code redevient utilisable. Il ne reste alors chez nous ni le code, ni le nom qu'il contenait.

Les codes que Reprisma émet elle-même, sans passer par la formation, suivent les mêmes règles — ils ne contiennent simplement aucun nom.

3. Pourquoi nous les traitons

Aucun traitement ne repose sur votre consentement, et vous n'avez donc rien à retirer. Les deux cases que vous cochez avant un achat ne sont pas des consentements au sens du RGPD : ce sont des acceptations contractuelles, exigées par le Code de la consommation.

4. Qui reçoit vos données

Nous faisons appel aux prestataires suivants. Aucune donnée n'est vendue, louée, ni transmise à des fins publicitaires.

4.1 Infrastructure

Le site de la formation n'est pas un prestataire : c'est le nôtre. Lorsque nous lui soumettons votre code d'accès pour le vérifier (article 2.10), la donnée ne quitte pas notre responsabilité — elle passe d'un de nos services à un autre. Ce site est hébergé par Vercel, déjà nommé ci-dessus, et il n'enregistre pas cette vérification.

4.2 Fournisseurs d'intelligence artificielle et de recherche

Ces prestataires reçoivent le contenu que vous soumettez, ce qui peut inclure des images, des vidéos ou des voix de personnes identifiables.

Quatre points que nous préférons vous dire clairement :

Un transfert hors de l'Union européenne a lieu. Atlas Cloud, kie.ai, Anthropic, Eleven Labs, Resend et GitHub sont établis aux États-Unis. Vos contenus de génération et d'analyse y sont traités — et, pour Eleven Labs, la bande son de la vidéo que vous analysez. Nous ne le déduisons pas : leurs documents publics l'indiquent.

La transcription de la bande son n'est pas ouverte à tous les comptes. Elle est commandée par un réglage interne. À la date d'entrée en vigueur de la présente version, ce réglage ne l'ouvre qu'au compte de l'éditeur : aucune bande son de client n'atteint Eleven Labs. Nous décrivons ce traitement dès maintenant parce qu'il existe dans le produit et que le réglage peut être ouvert sans qu'une nouvelle version des textes soit nécessaire — le jour où il le sera, cette page dira déjà ce qui se passe.

Ce que nous n'avons pas pu établir chez Eleven Labs. Sa politique de confidentialité indique expressément qu'elle ne s'applique pas lorsque le traitement est effectué pour le compte d'un client professionnel — c'est notre cas —, et l'accord qui s'y substitue ne publie aucune durée de conservation propre à un appel de transcription. Le groupe comprend par ailleurs une entité américaine, une entité britannique et une entité polonaise ; nous n'avons pas pu déterminer laquelle traite les appels de l'interface de programmation. Nous l'écrivons plutôt que de laisser croire à une durée que nous ne pouvons pas vérifier.

kie.ai est notre fournisseur principal, et vos images de référence sont donc déposées sur son serveur de fichiers À CHAQUE GÉNÉRATION. Il leur attribue une adresse de téléchargement. Sa documentation indique une durée de conservation de façon contradictoire, entre 24 heures et 3 jours, et ne propose aucun moyen de demander la suppression du fichier — ni à vous, ni à nous. Nous ne pouvons donc pas garantir combien de temps ces images restent accessibles chez lui, ni les faire effacer à votre demande.

Nous préférons vous le dire en toutes lettres, parce que jusqu'à la version 1.4 ce dépôt n'avait lieu que lorsque notre autre fournisseur était indisponible. Il a désormais lieu à chaque génération. Si ce traitement ne vous convient pas, la seule façon de l'éviter est de ne pas joindre d'image de référence à vos générations : une génération sans image n'en dépose aucune.

Nous n'avons pas pu établir la juridiction de TikHub ni celle de tikwm, et nous préférons l'écrire plutôt que de laisser un blanc. Ni l'un ni l'autre ne reçoit votre nom, votre adresse e-mail ou une donnée de votre compte : ils ne reçoivent qu'un mot-clé ou l'adresse d'une vidéo publique.

4.3 Connexion avec Google

Seulement si vous choisissez de vous connecter avec Google. Une inscription par adresse e-mail ne fait intervenir Google à aucun moment.

Google n'est pas notre sous-traitant : c'est un responsable de traitement indépendant — Google Ireland Limited, pour les personnes situées dans l'Espace économique européen. Il vous authentifie, puis transmet à notre prestataire d'authentification les informations décrites à l'article 2.1. Il apprend ainsi, à chaque connexion de cette façon, que vous utilisez Reprisma. Ce qu'il fait de cette information relève de sa propre politique de confidentialité, et non de celle-ci.

Pendant cette connexion, votre navigateur passe directement par le site de Google et par celui de notre prestataire d'authentification : l'un et l'autre voient votre adresse IP, comme tout site que vous visitez.

Nous ne transmettons rien à Google : il ne reçoit de nous ni vos générations, ni vos achats, ni aucune donnée de votre compte.

4.4 Autorités

Vos données peuvent être communiquées à une autorité administrative ou judiciaire sur réquisition régulière.

5. Combien de temps nous les conservons

Nous préférons décrire ce qui se passe réellement plutôt que d'annoncer des durées que le service ne tient pas.

6. Ce que « supprimer votre compte » signifie exactement

Il est important que vous compreniez ce que fait la suppression, parce qu'elle ne fait pas ce que le mot laisse croire.

Comment elle se déclenche. Depuis votre compte, vous demandez la suppression : cette demande est horodatée et enregistrée. Elle est ensuite exécutée à la main par l'exploitant, dans le délai d'un mois prévu par le RGPD. Rien n'est effacé automatiquement au moment où vous cliquez.

Ce qui est effacé : votre adresse e-mail (remplacée par une valeur anonyme sans rapport avec l'ancienne), votre mot de passe, vos sessions ouvertes, et vos moyens d'authentification. Pour un compte ouvert avec Google, sont effacés avec eux le nom et l'identifiant que Google avait transmis. Le code d'accès que vous aviez présenté est effacé lui aussi, et redevient utilisable : le nom qu'il contenait ne subsiste alors nulle part (article 2.10). La machine dédiée qui vous était attribuée est arrêtée, et la photographie de son disque — donc les fichiers audio de votre réserve — s'efface au plus tard vingt-quatre heures plus tard (article 2.6).

Ce qui est conservé, rattaché à un identifiant technique qui continue d'exister :

• l'historique de vos opérations sur les jetons ;
• vos nom et prénom portés sur vos notes d'achat, ainsi que les montants et dates correspondants, au titre de l'obligation comptable de l'article 5 ;
• vos demandes de rechargement, y compris les versions des conditions générales acceptées ;
• l'historique de vos générations, vos lots de jetons et leurs mouvements ;
• le journal d'administration décrit à l'article 2.7.

Les lignes de dépense de l'article 2.8 survivent elles aussi, mais autrement : elles ne portent pas cet identifiant technique, seulement la référence de l'action. Après la suppression, plus rien ne permet de les rattacher à vous — la référence reste, la ligne d'historique qui la reliait à votre compte, elle, est pseudonymisée avec le reste.

Nous ne supprimons pas le registre des opérations : la base en refuse la suppression, et il constitue notre comptabilité. Le terme exact est donc pseudonymisation, pas effacement. Cette conservation est celle que prévoit l'article 17.3.b du RGPD : le droit à l'effacement ne s'applique pas lorsque le traitement est nécessaire au respect d'une obligation légale. Si vous n'avez jamais passé de commande, aucun nom ne subsiste chez nous après la suppression : celui que Google avait pu nous transmettre est effacé avec votre compte, et aucune note ne porte le vôtre.

Vos jetons non consommés sont perdus. Lors de l'exécution de votre demande, ils sont soit ramenés à zéro, soit laissés sur un compte devenu inaccessible — le choix nous appartient et ne change rien pour vous : dans les deux cas ils ne sont ni utilisables, ni remboursés (article 13.2 des conditions générales).

L'opération n'est pas réversible pour vous : votre adresse e-mail est détruite et ne peut pas être retrouvée, y compris par nous. Une copie de vos données subsiste toutefois dans nos sauvegardes chiffrées pendant huit semaines environ, le temps que la rotation les remplace.

7. Vos droits

Vous disposez des droits prévus aux articles 15 à 22 du RGPD. Voici, honnêtement, l'état de leur mise en œuvre :

Nous répondons dans un délai d'un mois.

Si notre réponse ne vous satisfait pas, vous pouvez saisir la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

8. Sécurité

• Sessions par jetons à durée limitée, stockés dans des cookies inaccessibles au JavaScript.
• Vérification de votre session auprès du fournisseur d'authentification à chaque requête, jamais par simple lecture locale.
• Cloisonnement des données par compte : les requêtes qui vous servent vos données filtrent sur votre identifiant, et la base refuse par défaut tout accès direct qui ne passerait pas par le service.
• Registres d'opérations et d'administration protégés contre la modification et la suppression.
• Sauvegardes quotidiennes chiffrées, hébergées dans un dépôt privé, dont la clé n'est détenue que par l'éditeur.
• Limitation du nombre de requêtes pour prévenir les abus.

Aucun système n'est infaillible. En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits, nous vous en informerons ainsi que la CNIL, conformément aux articles 33 et 34 du RGPD.

9. Mineurs

Le service est réservé aux personnes majeures. Nous ne collectons pas sciemment de données concernant des mineurs. Si vous constatez qu'un mineur utilise le service, signalez-le à l'adresse de contact.

10. Contenus que vous soumettez

Lorsque vous soumettez au service une photographie, une vidéo ou un fichier audio — que vous le téléversiez ou que vous le désigniez par un lien —, vous garantissez disposer des droits et autorisations nécessaires, y compris le consentement des personnes représentées (article 9 des conditions générales).

Cette garantie porte aussi sur la bande son, musique comprise, lorsque vous demandez qu'elle soit reprise sur la vidéo générée. C'est le droit le plus souvent en cause et celui auquel on pense le moins.

Nous n'exerçons aucun contrôle préalable sur ces contenus. Ils sont transmis aux prestataires listés à l'article 4.2 pour être traités.

11. Modifications

Cette politique est versionnée. Toute modification substantielle fera l'objet d'une nouvelle version, portée à votre connaissance. Les versions antérieures restent consultables.

Ce qui change dans la version 1.13, par rapport à la version 1.12 du 24 septembre 2026. Une correction — la première de ce document qui porte sur une promesse, et non sur une omission — et ce que nous avons changé au service pour la rendre vraie.

• La machine dédiée à la fonction de variantes n'était pas détruite (article 2.6). Les versions 1.0 à 1.12 annonçaient que « tout disparaît avec la machine, qui est détruite au plus tard à l'échéance de votre session ». Ce n'était pas exact : la machine était arrêtée, et l'arrêt photographiait son disque entier pour permettre le redémarrage. Ces photographies n'étaient ni comptées ni effacées : le 26 septembre 2026, il en existait vingt-neuf, pour 59,3 gigaoctets, dont la plus ancienne avait vingt-neuf jours. Elles contenaient les variantes produites, et la vidéo de départ des rendus interrompus. Nous les avons toutes supprimées le jour où nous l'avons constaté.
• Ce que nous avons changé, le même jour, pour que la phrase soit vraie : le dossier de travail de la machine est désormais vidé avant chacun de ses arrêts, donc avant la photographie ; une seule photographie existe à la fois, remplacée à chaque arrêt ; et elle est effacée au plus tard vingt-quatre heures après son dernier usage. Un incident qui interromprait la machine avant ce ménage laisserait son disque dans la photographie : c'est dit à l'article 2.6, avec ce qui l'efface ensuite.
• La réserve de fichiers audio, elle, est faite pour durer d'un rendu à l'autre, et se trouve donc dans cette photographie. Nous le disons plutôt que de laisser croire à une machine entièrement vide — et l'écran des variantes permet désormais de les supprimer un par un. La possibilité existait dans le moteur depuis le premier jour ; aucun bouton ne l'appelait, et nous ne voulions pas écrire ici une promesse que rien n'aurait tenue. À défaut de ce geste, ces fichiers disparaissent avec la machine, au plus tard vingt-quatre heures après votre dernière session (articles 2.6 et 5).
• Trois lignes s'ajoutent au tableau des durées de conservation (article 5) : les variantes et la vidéo de départ, les fichiers audio de la réserve, et la photographie du disque. Aucune n'y figurait. La ligne de notre hébergeur de machines dédiées, à l'article 4.2, dit maintenant la même chose.

Ce qui change dans la version 1.12, par rapport à la version 1.11 du 22 septembre 2026. Un ajout.

• Le code d'accès à l'accompagnement (article 2.10). Ce qu'il contient — vos nom et prénom —, à qui nous le transmettons pour le vérifier — notre propre site de formation, qui n'enregistre pas la demande (article 4.1) —, ce que nous en gardons, et le fait qu'il ne serve qu'une fois. Il disparaît entièrement avec votre compte (articles 5 et 6) : le code redevient utilisable et le nom qu'il portait ne subsiste nulle part. Le changement de tarif qu'il déclenche est inscrit au journal d'administration sans qu'un humain intervienne, et sans que le code y figure (article 2.7).

Ce qui change dans la version 1.11, par rapport à la version 1.10 du 22 septembre 2026. Un ajout.

• Nous gardons dans notre base ce que chaque action payée nous coûte (article 2.8) : le poste, la quantité, le prix du jour, la date et la référence de l'action. Sans identifiant de compte, mais avec cette référence, qui figure aussi dans votre historique de jetons — nous la traitons donc comme une donnée vous concernant. Ces lignes se conservent sans limite de durée (article 5) : ce sont nos chiffres de gestion. Jusqu'ici, cette mesure n'existait que dans les journaux de notre hébergeur.

Ce qui change dans la version 1.10, par rapport à la version 1.9 du 22 septembre 2026. Un ajout.

• Nous comptons les visites de notre site de présentation (article 2.9) : le jour, la page, le domaine d'où vous venez, la campagne. Sans cookie, sans adresse IP, sans identifiant — donc sans rien qui vous distingue, et sans bandeau à cliquer. Nous comptons des visites, pas des visiteurs. La limite de l'article 2.4 protège aussi ce comptage, et les totaux se conservent sans limite de durée (article 5) puisqu'ils ne désignent personne.

Ce qui change dans la version 1.9, par rapport à la version 1.8 du 22 septembre 2026. Deux ajouts.

• La limite de requêtes tient désormais d'une machine à l'autre (article 2.4). Elle vivait dans la mémoire de chaque machine, et une machine neuve repartait de zéro. Elle vit maintenant dans notre base : avant la connexion, sous la forme d'une empreinte de votre adresse IP — jamais l'adresse elle-même —, effacée au plus tard une heure après la fin de sa fenêtre (article 5).
• Les jetons offerts le sont une fois par boîte de réception, à la confirmation de votre adresse, et les adresses jetables ne peuvent plus ouvrir de compte (article 2.1).

Ce qui change dans la version 1.8, par rapport à la version 1.7 du 22 septembre 2026. Un ajout, et deux précisions trouvées en relisant.

• Le signalement « Mes jetons ne sont pas arrivés », sur l'écran de paiement. Il envoie un courriel à l'exploitant, par notre prestataire d'envoi (article 4.1) : votre adresse e-mail, pour qu'il vous réponde directement, votre commande, les virements non identifiés d'un montant proche et, si vous le donnez, l'identifiant de votre transaction. La date du signalement est enregistrée avec la commande (article 2.3), pour qu'il ne parte qu'une fois.
• Une précision, à l'article 2.8 : les lignes de journal qui peuvent porter un identifiant de compte ou de commande sont quatre, et non deux. L'échec de l'inscription d'un geste commercial en était déjà une, que la version 1.7 omettait ; l'échec de l'envoi d'un signalement est la quatrième. Aucune ne porte votre adresse e-mail.
• Une précision, à l'article 4.1 : les courriers que le service vous adresse sont nommés en entier — la confirmation de commande, la note d'achat et l'avis de commande expirée passaient déjà par ce prestataire.

Ce qui change dans la version 1.7, par rapport à la version 1.6 du 21 septembre 2026. Une correction, et une précision.

• Une correction, à l'article 2.4. Les versions 1.1 à 1.6 annonçaient que notre prestataire d'authentification gardait, pour chaque session, l'adresse IP et le navigateur depuis lesquels vous vous connectiez. Ce n'est pas le cas : la ligne qu'il garde porte l'adresse et le logiciel de notre serveur, qui ouvre la session pour vous. Constaté le 21 septembre 2026, sur une session réelle. Votre adresse IP ne lui parvient que lors d'une connexion avec Google (article 4.3).
• Les articles 2.2, 4.1, 5, 6 et 7 sont mis d'accord avec cette correction : ils décrivaient la même ligne de session.
• Une précision, à l'article 2.7 : l'écart absorbé lorsqu'un versement inférieur au montant attendu est rattaché à la main à votre commande est consigné au journal d'administration, comme celui du crédit automatique.

Ce qui change dans la version 1.6, par rapport à la version 1.5 du 21 septembre 2026. Un ajout : la connexion avec Google, et ce qu'elle nous fait recevoir. Aucune correction : rien de ce que disait la version 1.5 ne s'est révélé faux.

• Vous pouvez créer votre compte et vous connecter avec Google (article 2.1). Google transmet alors votre adresse e-mail, votre nom, un lien vers votre photo de profil et un identifiant propre à votre compte Google. Le lien vers la photo n'est pas gardé : il est retiré avant d'être enregistré.
• Google est un responsable de traitement indépendant, et seulement si vous le choisissez : il apprend que vous utilisez Reprisma (article 4.3). Nous ne lui transmettons rien.
• Votre nom peut désormais nous être connu avant tout achat ; il préremplit le tunnel de paiement, et c'est le nom que vous validez qui figure sur la note (article 2.3).
• Une connexion avec Google sur une adresse déjà inscrite retrouve le même compte ; si cette adresse n'avait jamais été confirmée, le mot de passe posé à l'inscription est supprimé (article 2.1).
• Ces informations s'effacent avec votre compte (article 6), et se demandent à l'adresse de contact, car l'export ne les contient pas (article 7).
• Un cookie de dix minutes rattache la connexion avec Google à votre navigateur (article 2.5), et la limite par adresse IP couvre aussi cette connexion (article 2.4).

Ce qui change dans la version 1.5, par rapport à la version 1.4 du 21 septembre 2026. Un seul changement, et il porte sur le point le plus sensible de ce document.

• kie.ai devient notre fournisseur principal de génération vidéo, et Atlas Cloud passe en solution de repli (article 4.2). Jusqu'ici, c'était l'inverse.
• Conséquence directe : vos images de référence sont désormais déposées sur le serveur de fichiers de kie.ai à chaque génération, et plus seulement lorsque notre autre fournisseur était indisponible. Ce prestataire ne permet pas d'en demander la suppression, et sa documentation annonce une durée de conservation contradictoire, entre 24 heures et 3 jours. Les articles 2.6, 4.2 et 5 le disent désormais, avec le seul moyen de l'éviter : ne pas joindre d'image de référence.
• Rien d'autre ne change : les deux fournisseurs sont établis aux États-Unis, reçoivent les mêmes données — votre consigne et jusqu'à neuf images de référence —, et aucun des deux ne reçoit votre nom, votre adresse e-mail ou une donnée de votre compte.

Ce qui change dans la version 1.4, par rapport à la version 1.3 du 10 septembre 2026. Le service a beaucoup changé en onze jours ; cette version décrit ce qu'il fait aujourd'hui, et corrige une affirmation de la version 1.3 devenue fausse.

• Une correction, à l'article 2.3. La version 1.3 annonçait que la référence de votre commande figurait dans le code à scanner et devenait visible sur la blockchain si vous payiez en le scannant. Ce n'est plus vrai depuis le 10 septembre 2026 : le code ne porte plus que l'adresse de réception. La référence reste enregistrée chez nous, mais elle n'atteint aucune chaîne. L'erreur allait dans le sens prudent — elle annonçait une exposition qui n'a pas lieu —, ce qui ne la rendait pas acceptable.
• Un prestataire nouveau est nommé : Eleven Labs (article 4.2). Il reçoit la bande son de la vidéo que vous analysez, donc la voix des personnes qui y parlent, pour la transcrire. Il est établi aux États-Unis. À ce jour, un réglage interne ne l'ouvre qu'au compte de l'éditeur : aucune bande son de client ne lui parvient. Nous le décrivons quand même, et nous disons ce que nous n'avons pas pu établir chez lui — notamment la durée pendant laquelle il conserve un son transcrit.
• Anthropic reçoit désormais davantage (article 4.2) : outre les images, la transcription de la bande son et les instants où un bruit marquant a été repéré, lorsque la transcription est ouverte à votre compte.
• La machine dédiée sert à un second usage (articles 2.6, 4.2 et 5) : la reprise de la bande son d'origine. La vidéo générée et la vidéo de départ y sont déposées le temps d'être réunies, dans un dossier effacé à la fin du traitement.
• Le modèle d'intelligence artificielle retenu est désormais enregistré avec les caractéristiques de vos générations (article 2.2).
• Les articles 2.5 et 5 disent ce qui n'est pas conservé de la vidéo analysée, de sa bande son et de sa transcription ; l'article 2.8 précise que les lignes de mesure ne portent ni votre consigne, ni un mot prononcé dans la vidéo.
• L'article 10 couvre désormais les contenus désignés par un lien, et pas seulement ceux que vous téléversez ; il nomme la bande son dans votre garantie.
• Deux précisions trouvées en relisant le texte entier, et non la seule liste des corrections attendues : la ligne de session de traitement est aussi écrite lors d'une reprise de bande son, les deux employant la même machine (article 2.2) ; et la liste de ce que l'export de vos données ne contient pas était incomplète — le fournisseur, le modèle et le message d'erreur de vos générations n'y figurent pas non plus (article 7).

Ce qui change dans la version 1.3, par rapport à la version 1.2 du 9 septembre 2026. Un seul point, à l'article 2.7, et aucune correction : rien de ce que disait la version 1.2 ne s'est révélé faux.

• Le geste commercial peut désormais être inscrit sans intervention humaine. Un versement inférieur au montant attendu, dans la tolérance des conditions générales, est crédité automatiquement et l'écart consigné au journal d'administration. La version 1.2 annonçait que ce journal portait « un motif rédigé par l'exploitant » ; pour ces lignes-là, le motif est celui du mécanisme. L'article 2.7 le dit.

Ce qui change dans la version 1.2, par rapport à la version 1.1 du 8 septembre 2026. Deux ajouts, tous deux à l'article 2.3, et aucune correction : rien de ce que disait la version 1.1 ne s'est révélé faux.

• la monnaie réellement reçue est désormais enregistrée lorsqu'elle diffère de celle annoncée, et figure sur la note d'achat. Le service ne la conservait pas jusqu'au 8 septembre 2026 : une note pouvait annoncer une monnaie qui n'était pas celle du paiement ;
• une référence de paiement est attachée à chaque commande et placée dans le code à scanner de l'écran de paiement. Elle est publique et permanente sur la chaîne dès lors que vous payez en scannant ce code. L'article 2.3 décrit ce qu'elle est, ce qu'elle n'est pas, et ce qui la distingue de la signature de votre transaction.

Ce qui change dans la version 1.1, par rapport à la version 1.0 du 5 septembre 2026. Cette version corrige plusieurs affirmations de la précédente qui ne décrivaient pas exactement le service ; nous les signalons plutôt que de les remplacer en silence.

• vos nom et prénom sont désormais demandés au moment de l'achat, et à ce moment-là seulement (article 2.3) ;
• l'adresse IP : la version 1.0 affirmait qu'elle n'était stockée nulle part. C'était inexact — notre prestataire d'authentification en conserve une par session ouverte. L'article 2.4 le dit maintenant ;
• les registres : la version 1.0 les disait impossibles à modifier « y compris par nous ». C'était trop dire — le registre des opérations comporte un déblocage réservé à l'exploitant. L'article 5 le décrit, et l'article 6 dit désormais que nous ne le supprimons pas, au lieu que nous ne le pouvons pas ;
• la suppression du compte : la version 1.0 laissait croire à un effacement immédiat et à une liste courte de ce qui survit. L'article 6 décrit maintenant la procédure réelle et la liste complète ;
• ce qui passe par nos serveurs est décrit précisément, y compris l'écriture sur disque de votre vidéo par la machine de variantes, que la version 1.0 taisait (article 2.6) ;
• le journal d'administration et les attributs de votre compte, absents de la version 1.0, sont décrits (article 2.7) ;
• le mot de passe : la version 1.0 le disait « chiffré ». Il n'est pas chiffré, il est haché — la version 1.1 emploie le mot juste (article 2.1) ;
• la durée de conservation comptable de dix ans est indiquée, avec la référence de loi exacte (articles 5 et 6) ;
• les pays d'établissement de nos prestataires sont nommés là où la version 1.0 déclarait ne pas pouvoir les établir ; le rôle réel de GitHub et de Resend est corrigé ; tikwm et le point d'accès Solana, jamais mentionnés, sont ajoutés (article 4) ;
• ce que l'export de vos données ne contient pas est dit, au lieu d'être passé sous silence (article 7).

Fin de la politique de confidentialité — version 1.13