Politique de confidentialité
Dernière mise à jour : juin 2026
1. Introduction
La présente politique de confidentialité a pour objet d'informer les utilisateurs du site https://romutechai.fr et de l'API RomutechAI sur la manière dont leurs données personnelles sont collectées, traitées et protégées.
RomutechAI est un service d'intelligence artificielle spécialisé dans la reconnaissance faciale et la reconnaissance optique de caractères (OCR). En raison de la nature de ces services, RomutechAI est amené à traiter des données biométriques, qui constituent des données sensibles au sens de l'article 9 du Règlement Général sur la Protection des Données (RGPD).
En utilisant nos services, vous acceptez les pratiques décrites dans la présente politique. Nous vous invitons à la lire attentivement.
2. Responsable du traitement
Le responsable du traitement des données à caractère personnel est :
3. Données collectées
3.1 Données de compte
Lors de votre inscription, nous collectons :
- Votre adresse e-mail
- Votre mot de passe (stocké sous forme chiffrée)
3.2 Données biométriques (reconnaissance faciale)
Le traitement des données décrites ci-dessous repose sur le consentement explicite de la personne concernée. Avant tout traitement de reconnaissance ou de ré-identification faciale, un e-mail d'autorisation est envoyé à la personne dont le visage a été détecté. Cet e-mail contient un aperçu du visage concerné ainsi que deux boutons « J'accepte » et « Je refuse ». Le traitement biométrique n'est effectué que si la personne accepte expressément. Ce consentement peut être retiré à tout moment (voir section 9).
Lorsque les fonctionnalités de reconnaissance faciale sont utilisées et que le consentement a été obtenu, nous collectons et traitons :
- Les images que vous envoyez pour analyse
- Les données extraites des visages détectés : estimation de l'âge, genre, émotion exprimée
- Les vecteurs biométriques (embeddings faciaux) calculés à partir des visages détectés, utilisés pour la reconnaissance et la ré-identification faciale
- Les informations et notes que vous saisissez concernant les personnes identifiées
- Les associations entre visages, personnes et images
3.3 Données OCR
Lorsque vous utilisez les fonctionnalités d'OCR, nous collectons :
- Les images que vous envoyez pour extraction de texte
- Les textes extraits des images
3.4 Données techniques et d'utilisation
Lors de votre utilisation du site et de l'API, nous collectons automatiquement :
- Votre adresse IP
- Les dates et heures d'accès
- Le type de navigateur et le système d'exploitation utilisés
- Les appels API effectués (endpoints, horodatage, codes de réponse)
4. Finalités et bases légales du traitement
| Finalité | Données concernées | Base légale |
|---|---|---|
| Création et gestion de votre compte utilisateur | E-mail, mot de passe | Exécution du contrat (art. 6.1.b RGPD) |
| Analyse faciale : détection de visages, estimation de l'âge, du genre et de l'émotion | Images, données biométriques extraites | Consentement explicite (art. 9.2.a RGPD) |
| Reconnaissance et ré-identification faciale | Vecteurs biométriques (embeddings), images, associations personnes/visages | Consentement explicite (art. 9.2.a RGPD) |
| Extraction de texte par OCR | Images, textes extraits | Exécution du contrat (art. 6.1.b RGPD) |
| Suivi de la consommation de l'API et gestion des quotas | Journaux d'appels API | Exécution du contrat (art. 6.1.b RGPD) |
| Sécurité du service et prévention des abus | Adresse IP, journaux d'accès | Intérêt légitime (art. 6.1.f RGPD) |
| Amélioration du service et statistiques d'utilisation | Données d'utilisation anonymisées | Intérêt légitime (art. 6.1.f RGPD) |
5. Durées de conservation
| Type de données | Durée de conservation |
|---|---|
| Données de compte (e-mail, mot de passe) | Durée de vie du compte, puis supprimées dans un délai de 30 jours après la suppression du compte |
| Images envoyées (analyse faciale et OCR) | Durée de vie du compte, puis supprimées dans un délai de 30 jours après la suppression du compte |
| Vecteurs biométriques (embeddings faciaux) | Durée de vie du compte, puis supprimées dans un délai de 30 jours après la suppression du compte |
| Notes et informations saisies sur les personnes identifiées | Durée de vie du compte, puis supprimées dans un délai de 30 jours après la suppression du compte |
| Journaux techniques (IP, logs d'accès) | 12 mois |
| Journaux d'appels API | Durée de vie du compte |
À l'expiration des durées de conservation, les données sont supprimées de manière définitive ou irréversiblement anonymisées.
6. Destinataires des données
Vos données personnelles sont traitées par la société [Dénomination sociale], responsable du traitement.
Les données peuvent être accessibles aux prestataires techniques suivants, agissant en qualité de sous-traitants :
| Sous-traitant | Rôle | Localisation des données |
|---|---|---|
| Render Services, Inc. | Hébergement du site, de l'API et des bases de données | Francfort, Allemagne (UE) |
| Cloudinary Ltd. | Stockage des images envoyées par les utilisateurs (analyse faciale et OCR) ainsi que des images du blog | États-Unis |
| Google LLC (service Gmail / SMTP) | Acheminement des e-mails émis par le service : formulaire de contact, demandes de consentement biométrique et e-mails de gestion de compte | États-Unis |
Les données personnelles des utilisateurs, et en particulier les données biométriques, ne sont jamais vendues, louées ou cédées à des tiers à des fins commerciales, publicitaires ou de profilage.
7. Transferts de données hors de l'Union européenne
La base de données principale, l'API et le site sont hébergés sur des serveurs situés à Francfort, Allemagne, au sein de l'Espace Économique Européen (EEE), par l'intermédiaire de notre hébergeur Render.
Certaines données font toutefois l'objet d'un transfert vers les États-Unis :
- les images envoyées par les utilisateurs (analyse faciale et OCR), stockées via Cloudinary ;
- les e-mails émis par le service (formulaire de contact, demandes de consentement, gestion de compte), acheminés via Google (Gmail).
Par ailleurs, notre hébergeur Render Services, Inc. est une société de droit américain susceptible d'être soumise au CLOUD Act, même si les données qu'il héberge sont physiquement situées dans l'Union européenne. Un accès aux données par les autorités américaines ne peut donc être totalement exclu.
Ces transferts sont encadrés par :
- Les clauses contractuelles types adoptées par la Commission européenne ;
- Les mesures techniques complémentaires (chiffrement des données en transit et au repos).
8. Sécurité des données
RomutechAI met en œuvre les mesures techniques et organisationnelles appropriées pour protéger vos données personnelles contre l'accès non autorisé, la perte, l'altération ou la divulgation, notamment :
- Chiffrement des communications par protocole HTTPS/TLS
- Stockage des mots de passe sous forme hachée et salée
- Accès restreint aux bases de données et aux serveurs
- Journalisation des accès aux données sensibles
En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits et libertés, nous nous engageons à vous en informer dans les meilleurs délais, conformément à l'article 34 du RGPD, ainsi qu'à notifier la CNIL dans les 72 heures suivant la découverte de l'incident (article 33 du RGPD).
9. Vos droits
Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :
| Droit | Description |
|---|---|
| Droit d'accès (art. 15) | Obtenir la confirmation que vos données sont traitées et en recevoir une copie |
| Droit de rectification (art. 16) | Faire corriger vos données inexactes ou incomplètes |
| Droit à l'effacement (art. 17) | Demander la suppression de vos données, y compris les images, vecteurs biométriques et informations associées |
| Droit à la limitation (art. 18) | Demander la suspension du traitement de vos données dans certains cas |
| Droit à la portabilité (art. 20) | Recevoir vos données dans un format structuré et lisible par machine |
| Droit d'opposition (art. 21) | Vous opposer au traitement fondé sur l'intérêt légitime |
| Retrait du consentement (art. 7.3) | Retirer à tout moment votre consentement pour le traitement des données biométriques, sans affecter la licéité du traitement antérieur |
Toute personne ayant consenti au traitement de ses données biométriques peut retirer ce consentement à tout moment via notre formulaire de contact. Le retrait du consentement entraîne la suppression de l'ensemble des vecteurs biométriques, des associations d'identité et des données de ré-identification liées à cette personne. Le retrait du consentement ne remet pas en cause la licéité du traitement effectué avant ce retrait.
Pour exercer l'un de ces droits, vous pouvez nous contacter :
Nous nous engageons à répondre à votre demande dans un délai d'un mois à compter de sa réception. Ce délai peut être prolongé de deux mois en cas de complexité ou de nombre élevé de demandes, auquel cas vous en serez informé.
10. Droits des personnes apparaissant sur les images
Les images envoyées par les utilisateurs de RomutechAI peuvent contenir des visages de tierces personnes.
10.1 Consentement des personnes identifiées
Avant tout traitement de reconnaissance ou de ré-identification faciale, RomutechAI envoie une demande d'autorisation par e-mail à la personne concernée. Cet e-mail contient :
- Un aperçu du visage détecté, permettant à la personne de vérifier son identité
- Une explication claire du traitement envisagé (stockage et utilisation des données biométriques à des fins de reconnaissance et de ré-identification)
- Deux boutons « J'accepte » et « Je refuse » constituant un choix libre et explicite
Le traitement biométrique n'est effectué que si la personne donne expressément son accord. En cas de refus ou d'absence de réponse, aucune donnée biométrique n'est stockée pour cette personne.
10.2 Responsabilité de l'utilisateur
L'utilisateur du service est responsable de fournir une adresse e-mail correcte et de s'assurer que la personne concernée est bien informée de la demande. L'utilisateur s'engage à :
- Ne pas utiliser le service à des fins de surveillance non autorisée, de harcèlement ou de toute autre activité portant atteinte aux droits et libertés d'autrui
- Respecter la législation en vigueur relative au droit à l'image et à la vie privée
10.3 Exercice des droits par les personnes identifiées
Toute personne dont les données biométriques ont été traitées via RomutechAI peut exercer ses droits (accès, rectification, effacement, retrait du consentement) via notre formulaire de contact.
11. Cookies
Le site RomutechAI peut utiliser des cookies et des traceurs pour assurer son bon fonctionnement. Pour en savoir plus sur les cookies utilisés et la gestion de vos préférences, veuillez consulter notre Politique de cookies.
12. Protection des mineurs
Le service RomutechAI n'est pas destiné aux personnes de moins de 18 ans. Nous ne collectons pas sciemment de données personnelles de mineurs. Si nous apprenons que des données de mineurs ont été collectées, nous prendrons les mesures nécessaires pour les supprimer dans les plus brefs délais.
13. Réclamation auprès de la CNIL
Si vous estimez que le traitement de vos données personnelles constitue une violation du RGPD, vous avez le droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :
14. Modifications de la politique de confidentialité
La présente politique de confidentialité peut être mise à jour à tout moment pour refléter les évolutions du service ou de la réglementation. Toute modification substantielle sera portée à la connaissance des utilisateurs par une notification sur le site ou par e-mail.
La date de dernière mise à jour est indiquée en haut de cette page.
15. Démarche de conformité et bonne foi
RomutechAI s'attache à traiter les données personnelles dans le respect du RGPD et du Règlement (UE) 2024/1689 (AI Act), et met en œuvre une démarche de conformité documentée, comprenant notamment :
- le recueil du consentement des personnes concernées avant tout traitement biométrique (mécanisme d'autorisation par e-mail) ;
- l'encadrement des usages autorisés et l'interdiction explicite des usages prohibés par l'AI Act, prévus dans les Conditions Générales d'Utilisation ;
- la tenue d'un registre des activités de traitement (art. 30 RGPD) ;
- la mise en œuvre de mesures techniques et organisationnelles de sécurité (chiffrement, accès restreint, journalisation) ;
- la minimisation des données et leur suppression dans les délais annoncés.
Ces mesures traduisent l'engagement de bonne foi de l'éditeur en faveur de la protection des données et du respect des droits des personnes concernées.
16. Transparence relative au système d'intelligence artificielle
RomutechAI repose sur des systèmes d'intelligence artificielle. Les résultats (détection de visages, estimation de l'âge, du genre et de l'émotion, reconnaissance et ré-identification faciale, extraction de texte) sont générés de manière automatisée et délivrés à titre indicatif, sans garantie d'exactitude (voir les Conditions Générales d'Utilisation, article 10).
Conformément à l'article 50 du Règlement (UE) 2024/1689 (AI Act), toute personne dont le visage est analysé est informée qu'elle est soumise à un système de reconnaissance des émotions et de catégorisation biométrique (estimation de l'âge, du genre et de l'émotion). Cette information lui est communiquée de manière claire, notamment au sein de la demande de consentement qui lui est adressée par e-mail avant tout traitement biométrique.
L'utilisation de ces fonctionnalités dans les contextes interdits par l'AI Act (notamment la reconnaissance des émotions sur le lieu de travail ou dans les établissements scolaires) est formellement exclue, conformément aux Conditions Générales d'Utilisation (article 6.2).