1. Qui sommes-nous
RECORDX est le responsable du traitement des données personnelles collectées sur cette plateforme pour le service de génération de vignette digitale personnalisée.
2. Données que nous collectons
- Données du quiz : prénom de l'enfant, date de naissance, club, poids, taille, joueur favori.
- Photo de l'enfant : image envoyée comme référence pour l'IA.
- Contact : adresse email (obligatoire) et WhatsApp (optionnel).
- Données de trafic : UTM, fbclid, gclid, IP masquée (/24), user-agent, page d'origine.
- Données de paiement : traitées par Stripe, nous ne stockons pas les numéros de carte complets.
3. Base légale (RGPD Art. 6 et 9)
- Consentement (Art. 6.1.a et Art. 9.2.a) : pour l'utilisation de l'image de l'enfant, déclaré expressément dans le quiz.
- Exécution du contrat (Art. 6.1.b) : pour traiter le paiement et livrer la vignette.
- Intérêt légitime (Art. 6.1.f) : pour le suivi d'attribution publicitaire (sans identification directe).
4. Traitement de la photo de l'enfant
La photo envoyée est une catégorie particulière de données personnelles (RGPD Art. 9) car elle concerne un mineur. Nous appliquons donc des précautions spécifiques :
- Elle est utilisée uniquement comme référence pour l'IA afin de générer la vignette (modèle fal-ai/flux-pulid).
- Elle n'est pas partagée avec des tiers au-delà du fournisseur d'IA strictement pour la génération.
- Elle n'est pas utilisée pour l'entraînement de modèles.
- Elle est supprimée de notre stockage dans les 7 jours suivant la livraison de la vignette.
- Le consentement est enregistré avec la date, l'IP masquée, le user-agent et la version du texte accepté.
5. Conservation
| Donnée | Conservation |
|---|---|
| Photo envoyée (enfant) | 7 jours après livraison |
| Vignette générée | 1 an après livraison |
| Email et données du quiz | Indéfini (la personne concernée peut demander la suppression) |
| IP masquée et tracking | 90 jours |
| Registre de consentement | 5 ans après révocation (preuve réglementaire) |
| Données de paiement (Stripe) | Conformément à la politique de Stripe |
6. Droits des personnes concernées (RGPD Art. 15–22)
La personne concernée (ou son représentant légal) peut, à tout moment :
- Confirmer le traitement des données.
- Accéder aux données (endpoint
/api/lgpd/export-me). - Rectifier les données incomplètes, inexactes ou obsolètes.
- Effacer les données (endpoint
/api/lgpd/delete-me) — droit à l'oubli (Art. 17). - Exporter les données en format structuré — portabilité (Art. 20).
- Révoquer le consentement (endpoint
/api/lgpd/revoke-consent).
Pour exercer tout droit, accédez à /minha-area ou envoyez un email à rgpd@recordx.com.
7. Partage avec des tiers
Nous partageons uniquement les données strictement nécessaires avec :
- Stripe : traitement du paiement par carte (email, montant).
- fal-ai : photo de l'enfant pour générer la vignette (non conservée chez le fournisseur).
- Resend : email transactionnel (uniquement email + contenu de livraison).
- Vercel Blob : stockage des images (serveur EU/US).
- Utmify : attribution de campagne (UTMs + email partiel).
8. Sécurité
Nous appliquons des mesures techniques et organisationnelles pour protéger les données : chiffrement en transit (HTTPS), chiffrement au repos (Neon/Vercel Blob), contrôle d'accès basé sur les rôles, journal d'audit des opérations administratives, anti-bot (Vercel BotID) et limitation de débit.
9. Délégué à la Protection des Données (DPO)
Délégué à la Protection des Données : à désigner.
Email : rgpd@recordx.com
10. Modifications
Cette politique peut être mise à jour. Les versions précédentes sont disponibles sur demande. Les modifications substantielles seront communiquées par email aux personnes concernées enregistrées.