Politique de confidentialité

Responsable de traitement

Benveg (Société par actions simplifiée unipersonnelle), 173 rue de Courcelles, 75017 Paris, France, SIREN 130444763.

Pour toute question ou demande relative à vos données : support@romy.app.

Ce que nous collectons

romy ne fonctionne qu'avec ce qui suit, et rien n'est collecté « au cas où » :

• Votre adresse e-mail, pour créer le compte et vous connecter.
• La photo de votre pièce, que vous téléversez vous-même.
• Les objets détectés dans cette photo et le sort que vous leur donnez (garder, retirer, remplacer).
• Votre brief : style, niveau de rénovation, budget indicatif.
• Les rendus générés, leur liste d'achat et la note interne de qualité.
• Vos crédits et, le jour où les achats ouvriront et si vous achetez un pack, le reçu correspondant.
• Les clics sortants vers les boutiques des marques, et des mesures techniques de coût et de latence.
• Le pays réglé sur votre téléphone, lu une fois à la première ouverture de l'application et conservé sur votre compte pour vous montrer des boutiques qui livrent chez vous. Vous pouvez le changer dans l'application ; c'est un pays, jamais une position.

Nous n'utilisons aucun cookie publicitaire, ne pratiquons aucun profilage et ne suivons personne d'un site à l'autre. Sur le site web, la mesure d'usage se fait entièrement depuis nos serveurs : aucun traceur n'est déposé sur votre appareil, ce qui est aussi la raison pour laquelle vous ne voyez pas de bandeau cookies. L'application iOS utilise un identifiant technique fourni par le système (identifiant « pour fournisseur »), commun à nos seules applications sur votre appareil. Il persiste entre les sessions et les mises à jour, et il est réinitialisé si vous supprimez l'application. Il ne permet pas de vous suivre dans les applications d'autres éditeurs, et nous n'utilisons aucun identifiant publicitaire.

Pourquoi, et sur quelle base légale

Chaque usage a sa propre base, et elles ne sont pas interchangeables :

• Fournir le service (exécution du contrat) : sans la photo, il n'y a pas de rendu. C'est la base de tout ce qui précède, sauf lorsqu'un point ci-dessous en désigne une autre.
• Améliorer le produit (intérêt légitime) : conserver la photo de votre pièce et ses rendus comme cas de test privés, pour vérifier et améliorer la façon dont les rendus sont fabriqués. C'est un usage DIFFÉRENT de la livraison de votre rendu. Il est activé par défaut, et un seul interrupteur l'arrête, dans les réglages de votre compte (« Use my photos to improve romy »). Trois engagements l'encadrent : ces photos restent chez romy — elles n'entraînent aucun modèle d'IA extérieur et ne sont jamais montrées publiquement ; supprimer une pièce retire aussi sa photo de nos cas de test ; désactiver l'interrupteur arrête tout usage futur. Ces tests peuvent transmettre de nouveau la photo à Google ou à OpenAI, dans les mêmes conditions que pour un rendu. Une pièce créée avant cette version de la politique n'y entre que si vous aviez coché, pour elle, la case qui le demandait alors.
• Montrer un rendu dans Looks (consentement) : présenter votre rendu et la photo de votre pièce dans le fil Looks de l'application est un usage DIFFÉRENT du lien public. Il est désactivé par défaut, se demande rendu par rendu, et se retire au même endroit.
• Obligations légales : le jour où des ventes auront lieu, les reçus correspondants seront conservés parce que la loi l'exige, indépendamment de toute suppression de compte. Aucune vente n'a encore eu lieu.
• Sécurité et lutte contre l'abus (intérêt légitime) : plafonds de coût par génération, plafonds de requêtes et de crédits offerts calculés à partir d'une empreinte de votre adresse IP — l'adresse elle-même n'est pas conservée.
• Comprendre l'usage du produit (intérêt légitime) : savoir quelles étapes aboutissent et lesquelles échouent, pour les corriger. Ces mesures portent sur vos actions, jamais sur le contenu de vos photos ni sur le texte de vos briefs.

Combien de temps

• Photo de pièce, rendus, objets détectés, briefs : conservés tant que vous gardez la pièce. Vous les supprimez quand vous voulez ; la suppression efface aussi les images stockées, pas seulement les lignes en base.
• Copies gardées comme cas de test : tant que la pièce existe et que l'interrupteur d'amélioration reste activé. Ensuite, elles ne peuvent plus être utilisées, et un nettoyage automatique, plusieurs fois par jour, les retire de notre stockage.
• Rendu présenté dans Looks : ses copies publiques restent tant qu'il y figure. Elles sont supprimées par un nettoyage automatique, qui a lieu plusieurs fois par jour, après que vous avez retiré ce choix, coupé le lien public, ou supprimé le rendu, la pièce ou le compte.
• Les looks et produits enregistrés, tels qu'ils étaient au moment de l'enregistrement : jusqu'à ce que vous les retiriez ou supprimiez votre compte.
• Reçus d'achat, lorsqu'il y en aura : conservés au titre des obligations comptables, même après suppression du compte. Ils cessent alors de vous nommer.
• Inscription sur la liste d'attente et autorisation d'accès : supprimées avec le compte. L'empreinte de l'e-mail ayant servi à réclamer des crédits offerts est, elle, conservée après la suppression, pour que l'offre reste à un exemplaire par personne. L'empreinte ne permet pas de retrouver l'adresse.
• Clics et mesures techniques : conservés sans votre identifiant une fois le compte supprimé. Ils ne permettent plus de remonter à vous et ne sont jamais ré-associés.

Désactiver l'interrupteur d'amélioration arrête tout usage futur de vos photos. Cela ne peut pas défaire des tests déjà exécutés, et nous préférons l'écrire que le laisser croire.

Qui d'autre y a accès

Nous ne vendons ni ne louons aucune donnée. Les prestataires suivants en traitent pour notre compte :

• Supabase (Irlande, UE) — base de données, authentification et stockage des photos et rendus
• Modal (UE) — exécution du moteur de génération
• Google (Gemini API — États-Unis, et tout autre pays où Google ou ses sous-traitants disposent d'installations) — analyse de la photo et génération de l'image ; la photo de votre pièce lui est transmise dès que vous la téléversez, puis à chaque génération. Aux termes de son offre payante, que nous utilisons, Google n'utilise pas votre photo pour entraîner ses modèles ; il n'en conserve une copie que pendant une durée limitée, aux seules fins de détecter les abus
• OpenAI (API d'images — États-Unis, et les autres pays où ses sous-traitants disposent d'installations) — génération de l'image, lorsque romy la confie à son modèle ; la photo de votre pièce lui est alors transmise à chaque génération. Aux termes de son offre API, que nous utilisons, OpenAI n'utilise pas votre photo pour entraîner ses modèles ; il n'en conserve une copie que 30 jours au plus, aux seules fins de détecter les abus, sauf obligation légale ou image signalée comme illicite, conservée plus longtemps pour examen
• Google (connexion avec Google, États-Unis) — si vous choisissez ce moyen de connexion
• Apple (connexion avec Apple, États-Unis) — si vous choisissez ce moyen de connexion
• Sentry (région UE) — rapports d'erreur techniques ; votre identifiant de compte y figure, jamais votre e-mail. Si vous signalez un bug depuis l'application iOS, votre message et la capture d'écran que vous choisissez d'y joindre lui sont également transmis — la capture vous est montrée et vous pouvez la retirer avant l'envoi
• Resend (États-Unis) — envoi des e-mails de connexion
• Amplitude (Allemagne, UE) — mesure d'usage du produit : les actions que vous effectuez dans l'application, associées à votre identifiant de compte
• Crisp (France, UE — d'après leurs propres informations, que nous n'avons pas vérifiées nous-mêmes) — la messagerie d'aide de l'application iOS, qui vous parvient à la publication de cette application ; rien sur ce site ne l'utilise. Elle ne se connecte que lorsque vous l'ouvrez. Nous lui transmettons alors votre message, les pièces jointes que vous y ajoutez, la version de l'application que vous utilisez et — lorsque vous êtes connecté — votre identifiant de compte, une version brouillée de cet identifiant qui permet à Crisp de rouvrir votre propre conversation plutôt que celle d'une autre personne sur un téléphone partagé, et l'adresse e-mail de ce compte, pour que notre réponse vous parvienne sans que vous ayez à la retaper. Jamais vos photos de pièce ni vos rendus, sauf si vous les joignez vous-même. Nous ne transmettons pas une adresse relais « Masquer mon adresse e-mail » d'Apple, car notre réponse ne pourrait pas y parvenir. Lorsque nous ne transmettons aucune adresse — hors connexion, ou dans ce cas de relais — la messagerie vous en demande une elle-même, et y répondre reste facultatif. Comme tout service que vous contactez, Crisp voit aussi votre adresse IP (dont il déduit une localisation approximative, au niveau de la ville) et les langues que votre téléphone déclare préférer
• Vercel (États-Unis) — hébergement du site
• Stripe (Irlande, UE) — paiement par carte des packs de crédits et des abonnements achetés sur le site
• RevenueCat (États-Unis) et Apple — achats depuis l'application iOS, lorsqu'elle sera publiée. Ils reçoivent alors votre identifiant de compte et la référence de la transaction ; si vous demandez un remboursement à Apple, nous lui indiquons en outre, par l'intermédiaire de RevenueCat, que l'achat concerné vous a bien été livré — jamais ce que vous en avez utilisé. Vous pouvez à tout moment nous demander de ne plus répondre à Apple à votre sujet, en écrivant à support@romy.app

Les prestataires situés hors de l'Union européenne interviennent sur la base des clauses contractuelles types de la Commission européenne.

Si vous utilisez romy depuis un assistant IA

Vous pouvez relier votre compte romy à un assistant d'intelligence artificielle, comme Claude ou ChatGPT, pour lancer un rendu depuis la conversation. L'assistant est un service que vous avez choisi, régi par ses propres conditions et sa propre politique de confidentialité. Les assistants comme Claude ou ChatGPT sont édités par des sociétés établies aux États-Unis.

Ce que vous écrivez dans la conversation, y compris votre brief, est reçu par l'assistant avant de nous parvenir. Ce que romy vous répond y apparaît aussi : le rendu, qui montre votre pièce, avec son titre, la liste des produits et le nom de vos pièces. Ces éléments restent alors chez l'assistant, selon ses conditions. Pour ChatGPT, romy a accepté les conditions d'OpenAI pour les applications : OpenAI peut utiliser ce que romy répond dans votre conversation selon les conditions qui vous lient, vous ou votre organisation, à OpenAI, ce qui peut inclure l'amélioration de ses services, y compris après que vous avez retiré romy.

La photo de votre pièce : si vous l'avez déjà ajoutée à la conversation, l'assistant l'a déjà reçue, et romy peut la reprendre de là. Sinon, romy vous demande de l'ajouter par romy (l'application, ou une page romy) ; elle nous parvient alors directement, sans passer par l'assistant. Nous ne vous demandons jamais de la déposer dans la conversation.

La photo d'une pièce peut aussi apparaître dans la conversation : romy l'affiche lorsque l'assistant le lui demande pour vous, par exemple quand vous demandez à voir la pièce. L'assistant peut alors la recevoir, et elle reste chez lui selon ses conditions.

Une fois chez romy, la photo et les rendus suivent exactement les règles de cette politique, comme s'ils venaient de l'application. Pour couper le lien, retirez romy des connexions de votre assistant, ou supprimez votre compte romy ; pour effacer une conversation, adressez-vous à l'assistant.

Pages partagées et Looks

Si vous créez un lien public pour un rendu, la page correspondante devient PUBLIQUE : tout le monde peut la consulter sans compte, et elle peut apparaître dans les moteurs de recherche. Rien n'est partagé sans cette action de votre part.

Par défaut, la page montre la photo d'origine de votre pièce à côté du rendu. Vous pouvez l'en retirer avec l'interrupteur « Include before photo », avant ou après le partage. Notre contrôle de sécurité automatique peut aussi la retirer ; l'interrupteur l'indique alors.

Vous pouvez couper le partage à tout moment ; la page cesse alors immédiatement de répondre, et une photo de pièce que vous retirez disparaît de la page dès son prochain chargement. Un lien d'image déjà délivré par la page reste toutefois valable jusqu'à vingt-quatre heures, et l'aperçu affiché dans les messageries peut encore être servi par notre propre réseau de diffusion jusqu'à vingt-cinq heures. Une personne qui a ouvert la page dans l'application romy en garde une copie des images sur son téléphone. Une fois le partage coupé, l'application supprime cette copie la prochaine fois qu'elle consulte la page ; une photo de pièce que vous avez seulement retirée peut y rester stockée, même si l'application ne l'affiche plus. Les moteurs de recherche et les messageries peuvent en outre en conserver une copie plus longtemps, ce qui échappe à notre contrôle.

« Feature in Looks » est un choix distinct, fait rendu par rendu dans le même panneau de partage, et désactivé tant que vous ne l'activez pas. Il permet à romy de montrer ce rendu dans Looks, un fil de l'application iPhone romy destiné aux utilisateurs connectés — jamais dans des publicités, dans le parcours d'accueil ni sur notre site. Rien n'y apparaît tant que le rendu n'a pas aussi un lien public et que l'équipe romy n'a pas vérifié les deux images, notamment pour des détails privés comme des visages ou du courrier, puis choisi de le montrer.

Un rendu montré dans Looks comprend la photo d'origine de votre pièce, même si « Include before photo » est désactivé sur le lien public, car les deux choix sont indépendants. Il comporte aussi un titre, ses produits et l'adresse de son lien public. Ses images et le fil qui les liste sont des fichiers publics, que toute personne qui les trouve peut ouvrir sans compte. Leurs adresses contiennent votre identifiant de compte — un code aléatoire, jamais votre nom ni votre e-mail —, ce qui permet de voir quels rendus viennent d'un même compte.

Vous pouvez retirer ce choix à tout moment, au même endroit ; couper le lien public ou supprimer le rendu a le même effet. romy retire alors le rendu de Looks et supprime ses copies publiques lors d'un nettoyage automatique, qui a lieu plusieurs fois par jour. Un téléphone qui l'a déjà chargé en garde les images jusqu'à la prochaine actualisation de Looks dans l'application, et une personne qui l'a enregistré en garde le titre et les produits.

Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de portabilité, de limitation et d'opposition, ainsi que du droit de retirer votre consentement à tout moment.

Pour vous opposer à la conservation de vos photos à des fins d'amélioration, il suffit de désactiver l'interrupteur dans les réglages de votre compte, à tout moment et sans avoir à vous justifier.

Écrivez à support@romy.app ; nous répondons sous un mois. Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr).