Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement est Antonin Etavard, éditeur du service Sépia.
10 bis rue du Cheneveau, 49340 Vezins, France
Contact : bonjour@sepiaphoto.fr

2. Données collectées

Sépia collecte les données suivantes :

• Couples : adresse email, mot de passe (hashé), prénoms des mariés, date du mariage.
• Invités : photos déposées, prénom optionnel, messages optionnels. Aucune donnée d'identification n'est requise.
• Données de paiement : traitées exclusivement par Stripe — Sépia ne conserve pas de données bancaires.
• Données techniques : logs d'accès, adresses IP (conservation 30 jours).
• Données de mesure d'audience : mesure anonyme de la fréquentation via PostHog (page consultée, site d'origine, campagne), sans cookie ni identifiant conservé sur votre appareil. Avec votre consentement uniquement, cette mesure s'étend au parcours détaillé et à l'enregistrement de session, afin d'améliorer le service.

3. Finalités et bases légales

• Fourniture et gestion du service — exécution du contrat (art. 6.1.b RGPD)
• Envoi d'emails transactionnels (confirmation, rappels) — exécution du contrat (art. 6.1.b RGPD)
• Traitement du paiement via Stripe — exécution du contrat et obligation légale (art. 6.1.b et 6.1.c RGPD)
• Logs techniques et sécurité — intérêt légitime (art. 6.1.f RGPD)
• Mesure d'audience anonyme, sans cookie — intérêt légitime (art. 6.1.f RGPD)
• Mesure d'audience détaillée et enregistrement de session — consentement (art. 6.1.a RGPD)

4. Durée de conservation

Les données (photos, messages, compte) sont conservées pendant la durée de vie de la galerie, soit jusqu'au 1er anniversaire de la date du mariage (environ 12 mois), prolongeable d'un an sur demande. À l'expiration, toutes les données sont supprimées définitivement. Les données de compte sont supprimées sur demande. Les données de facturation sont conservées 10 ans conformément aux obligations comptables.

5. Sous-traitants

Sépia fait appel aux sous-traitants suivants, tous liés par des garanties contractuelles conformes au RGPD :

• Supabase (base de données) — hébergé en Europe de l'Ouest (Irlande)
• Cloudflare R2 (stockage photos) — bucket hébergé en région Europe (UE)
• Stripe (paiement) — filiale européenne Stripe Payments Europe Ltd, Irlande
• Resend (emails transactionnels) — hébergé en Irlande (UE)
• Vercel (hébergement applicatif) — États-Unis, transfert encadré par des Clauses Contractuelles Types (CCT) approuvées par la Commission européenne
• PostHog (mesure d'audience) — hébergé dans l'Union européenne (Francfort, Allemagne)

6. Droits des personnes

Conformément au RGPD, vous disposez des droits d'accès, de rectification, de suppression, de portabilité, de limitation et d'opposition au traitement de vos données. Pour exercer ces droits, contactez-nous à bonjour@sepiaphoto.fr. Nous répondrons dans un délai de 30 jours.

7. Réclamation auprès de la CNIL

Si vous estimez que le traitement de vos données personnelles n'est pas conforme à la réglementation, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) — cnil.fr — ou de toute autorité de contrôle compétente dans votre État membre.

8. Cookies

Sépia utilise des cookies strictement nécessaires au fonctionnement du service (session d'authentification), qui ne nécessitent pas votre consentement au titre de l'article 82 de la loi Informatique et Libertés. La mesure d'audience de base (PostHog) fonctionne sans aucun cookie et sans rien lire ni écrire sur votre terminal : les visites sont comptées au moyen d'un identifiant temporaire recalculé chaque jour côté serveur, non réversible et supprimé quotidiennement — l'article 82 ne s'y applique donc pas. Des cookies de mesure d'audience ne sont déposés qu'après votre consentement, recueilli via un bandeau : ils permettent alors de suivre votre parcours et d'enregistrer votre session. Vous pouvez les refuser sans conséquence sur l'utilisation du service. Aucun cookie publicitaire n'est déposé.