Retour à l'accueil

Politique de confidentialité

Dernière mise à jour : 7 juin 2026 · Version 1.1 · Conforme RGPD (UE) 2016/679 & AI Act (UE) 2024/1689

1. Responsable du traitement

Le responsable du traitement des données personnelles collectées via le Service Ask N Pic est :

Audrey Redondo — My Codeuse
78 Avenue des Champs-Élysées, Bureau 326, 75008 Paris, France
SIRET : 879 571 255 00055
Email : contact@asknpic.com

La fondatrice exerce également la fonction de Délégué(e) à la Protection des Données (DPO) de fait, en l'absence d'obligation légale de désignation à ce stade. Tout exercice de droits RGPD peut lui être adressé directement.

2. Données collectées

2.1 Formulaire d'inscription à la liste d'attente

Donnée	Collecte	Finalité
Adresse email	Requise — saisie par l'utilisateur	Email de confirmation et communications relatives au lancement
Type d'engagement (testeur beta / alerte lancement)	Automatique — déduit du formulaire soumis	Segmentation de la liste pour adapter les communications
Langue de la page à l'inscription	Automatique — déduite de l'URL (/fr/ ou /en/)	Communication dans la langue de l'utilisateur

2.2 Création de compte — inscription email/mot de passe

Donnée	Collecte	Finalité
Adresse email	Requise	Identifiant unique de connexion, déduplication entre méthodes d'authentification, communications de service
Mot de passe (hashé PBKDF2, jamais en clair)	Requise	Authentification
Numéro de téléphone (format international E.164)	Requise	Vérification anti-spam par OTP SMS — nécessaire pour débloquer les fonctions de génération
Langue préférée	Automatique — déduite de l'en-tête HTTP Accept-Language	Personnalisation de l'interface et des communications, injectée dans le token d'authentification
Nom / prénom	Facultative	Pré-remplissage du profil

2.3 Création de compte — inscription via OAuth

Si vous choisissez de vous inscrire via Google, GitHub, LinkedIn ou Facebook, les données suivantes sont transmises par le provider OAuth :

Donnée	Collecte	Finalité
Adresse email vérifiée par le provider	Requise	Identifiant de connexion, fusion automatique avec un compte existant si l'adresse correspond
Identifiant externe (ExternalId)	Requise	Identifiant stable chez le provider (ex. Google sub, GitHub id), stocké dans la table de liaison des comptes
Nom / prénom	Automatique — transmis par le provider si disponible	Pré-remplissage du profil — ignoré si non fourni
Numéro de téléphone	Requise — saisie par l'utilisateur après le premier login	Vérification anti-spam OTP — obligatoire même pour les comptes OAuth

Note sur les providers OAuth américains : Google, GitHub et Facebook sont des entreprises américaines soumises au Cloud Act. Lors d'une connexion OAuth, ces providers apprennent que vous utilisez Ask N Pic à la date et l'heure de la connexion. Cette information est inhérente au protocole OAuth et échappe au contrôle d'Ask N Pic. Si la souveraineté totale de vos données de connexion est un impératif, l'inscription par email/mot de passe est recommandée.

2.4 Données générées lors de l'utilisation du Service

Donnée	Collecte	Finalité	Chiffrement
Briefs utilisateurs (texte libre)	Requise pour générer un visuel	Génération du fichier de sortie, audit, amélioration du modèle IA (voir section 8)	AES-256-GCM, clé dérivée par utilisateur
Brief traduit par le modèle IA	Automatique (uniquement lorsque votre brief a été traduit avant génération)	Traçabilité de la chaîne de traitement, droit à la portabilité (Art. 20 RGPD)	AES-256-GCM, même clé dérivée que le brief
Score de complexité estimé du brief avant traitement	Automatique	Optimisation du service, traçabilité de la chaîne de décision	Non (données agrégées)
Fichiers paramétriques bruts produits par le modèle IA	Automatique (uniquement lorsque le fichier livré a été corrigé algorithmiquement)	Traçabilité des outputs IA (conformité AI Act), droit à la portabilité (Art. 20 RGPD)	AES-256-GCM, même clé dérivée que le brief
Log de correction algorithmique	Automatique (uniquement lorsque le fichier livré a été corrigé algorithmiquement)	Traçabilité des outputs IA (conformité AI Act), audit interne	Non (métadonnées techniques sans contenu personnel)
Fichiers paramétriques finaux	Automatique à chaque génération	Historique utilisateur, audit, amélioration du modèle IA (voir section 8)	AES-256-GCM, même clé dérivée que le brief
Consommation de tokens IA par jour	Automatique	Application des quotas du plan, facturation, audit interne	Non (données agrégées)
Identifiant de version du prompt système et version du modèle IA utilisés	Automatique	Traçabilité des outputs IA (conformité AI Act), audit	Non (métadonnées)

Les briefs que vous soumettez peuvent contenir des données personnelles (noms, adresses, coordonnées). Ces données sont traitées par notre modèle d'intelligence artificielle auto-hébergé (Mistral via Ollama). Elles ne transitent jamais vers des services tiers ; OpenAI, Anthropic ou Google ne voient jamais le contenu de vos briefs.

Les briefs et les fichiers paramétriques sont chiffrés au repos dès leur réception. La base de données ne contient jamais de briefs ni de fichiers paramétriques en clair.

Lorsque le fichier paramétrique livré a été corrigé algorithmiquement par notre système de validation, le fichier brut produit par le modèle IA est conservé séparément du fichier livré, sous forme chiffrée, pendant la même durée que celui-ci selon votre plan. Cette conservation assure la traçabilité complète des corrections apportées et vous permet d'exercer votre droit à la portabilité (Art. 20 RGPD) sur le fichier original produit par le modèle. Vous en êtes informé par un message visible dans l'interface du Service lors de la livraison du fichier corrigé.

2.5 Données de navigation et journaux techniques

Nous distinguons deux catégories de journaux, aux finalités et durées différentes :

Catégorie	Données	Finalité	Conservation
Journaux applicatifs	Identifiants techniques (UserId, TenantId, identifiant de corrélation), événements techniques. Aucune donnée personnelle directe (email, téléphone masqués).	Débogage, fonctionnement du service	30 jours
Journaux de sécurité	Identifiants techniques, adresse IP, événements de sécurité (connexion, changement de mot de passe, accès sensibles…)	Investigation d'incidents et d'attaques	1 an

L'adresse IP, donnée personnelle, n'est conservée que dans les journaux de sécurité, à des fins de protection contre les attaques, sur la base de notre intérêt légitime.

2.6 Données de paiement

Les paiements sont intégralement traités par Stripe. Ask N Pic ne collecte ni ne stocke aucune donnée bancaire (numéro de carte, CVV, IBAN). Seul un identifiant client Stripe (StripeCustomerId) est conservé pour relier votre compte à votre abonnement ou à vos achats ponctuels.

Deux types d'achats sont possibles via Stripe : les abonnements mensuels (plans Starter, Pro, Agency) et les packs de crédits supplémentaires (achat unique, sans abonnement, sans date d'expiration). Les crédits supplémentaires complètent votre quota journalier : ils sont consommés après celui-ci et font l'objet d'une confirmation explicite dans l'interface avant utilisation.

2.7 Formulaire de qualification des testeurs beta

Les inscrits à la liste d'attente des tests beta sont invités à candidater en complétant un formulaire de qualification (hébergé via Infomaniak Newsletter, sous-traitant suisse). Ce formulaire collecte des informations complémentaires destinées uniquement à la sélection et au suivi des testeurs.

Donnée	Collecte	Finalité
Profil (freelance, agence, TPE/PME, particulier)	Requise	Sélection équilibrée des profils de test
Pays	Requise	Sélection géographique et conformité RGPD (transferts hors UE/EEE)
Outils de création actuellement utilisés	Optionnelle	Comprendre le contexte du testeur
Type de visuels recherchés	Optionnelle	Orienter les scénarios de test
Fréquence d'usage visuel estimée	Optionnelle	Calibrer les seuils de quota
Motivation principale à tester	Optionnelle	Évaluer la qualité du feedback attendu

La sélection des testeurs fait l'objet d'une décision humaine et non automatisée. La participation à la beta et le consentement à l'utilisation des générations pour l'amélioration du modèle font l'objet de deux consentements distincts et explicites.

3. Finalités et bases légales

Finalité	Base légale RGPD
Gestion de la liste d'attente et communications de lancement	Consentement (Art. 6.1.a)
Fourniture du Service et gestion des comptes	Exécution du contrat (Art. 6.1.b)
Vérification anti-spam (OTP téléphone)	Intérêt légitime (Art. 6.1.f) - protection de l'infrastructure contre les abus
Facturation et comptabilité	Obligation légale (Art. 6.1.c)
Gestion des packs de crédits supplémentaires (achat unique)	Exécution du contrat (Art. 6.1.b)
Sécurité du Service, prévention des abus, journalisation	Intérêt légitime (Art. 6.1.f)
Amélioration du modèle IA (fine-tuning Mistral)	Intérêt légitime (Art. 6.1.f) - sous réserve du droit d'opposition (opt-out)
Envoi de communications marketing (newsletter)	Consentement (Art. 6.1.a)
Conservation à des fins probatoires (résiliation pour cause grave)	Intérêt légitime (Art. 6.1.f) + exception Art. 17.3.e
Gestion des candidatures et des testeurs beta	Mesures précontractuelles et intérêt légitime (Art. 6.1.b et 6.1.f)
Gestion des demandes de support	Exécution du contrat (plans payants) / intérêt légitime (comptes gratuits)
Sécurité et investigation d'incidents	Intérêt légitime (Art. 6.1.f)

4. Durée de conservation

Données	Durée de conservation
Adresse email (liste d'attente)	Jusqu'à désinscription ou 2 ans après le dernier contact
Données de compte (email, téléphone, profil)	Durée de vie du compte. Suppression physique immédiate à la clôture du compte.
Briefs (chiffrés) - plans Free et Starter	7 jours (Free) / 30 jours (Starter) après génération, puis suppression physique immédiate du contenu chiffré. La métadonnée non personnelle est conservée 30 jours pour audit interne, puis supprimée. Suppression immédiate à la clôture du compte.
Briefs (chiffrés) - plans Pro et Agency	Conservation pendant toute la durée de vie du compte. Suppression physique immédiate du contenu chiffré à la clôture du compte. Seules les métadonnées non personnelles sont conservées 30 jours pour audit interne, puis supprimées.
Brief traduit (chiffré, uniquement si votre brief a été traduit avant génération)	Même durée que le brief original selon votre plan. Supprimé immédiatement à la clôture du compte. Inclus dans l'export de données sur demande.
Fichiers paramétriques (chiffrés) - plans Free et Starter	7 jours (Free) / 30 jours (Starter) après génération, puis suppression physique immédiate du contenu chiffré. La métadonnée non personnelle est conservée 30 jours pour audit, puis supprimée.
Fichiers paramétriques (chiffrés) - plans Pro et Agency	Suppression physique immédiate du contenu chiffré à la suppression du compte. Seules les métadonnées non personnelles sont conservées 30 jours pour audit interne, puis supprimées.
Fichier paramétrique brut (chiffré, uniquement s'il a été corrigé par nos algorithmes)	Même durée que le fichier paramétrique livré selon votre plan. Supprimé immédiatement à la clôture du compte. Inclus dans l'export de données sur demande.
Log de correction algorithmique (uniquement s'il a été corrigé par nos algorithmes)	Durée de vie du compte. Supprimé dans les 30 jours suivant la clôture du compte. Inclus dans l'export de données sur demande.
Entrées du dataset d'entraînement (chiffrées)	Suppression immédiate à la suppression du compte ou à l'exercice du droit d'opposition au fine-tuning, dans un délai maximum de 30 jours pour les entrées déjà intégrées.
Métadonnées de génération (date, plan, scores — sans contenu chiffré)	Compte actif : conservées pendant toute la durée de vie du compte. Compte supprimé : supprimées dans les 30 jours suivant la clôture du compte.
Journaux d'accès serveur (Apache/Infomaniak) : IP, navigateur, pages consultées, horodatages.	Finalité : sécurité réseau et statistiques agrégées anonymisées. Conservés 1 an.
Journaux d'application (Serilog) : UserId, TenantId, CorrelationId, événements techniques	Aucune donnée personnelle directe (email, téléphone) n'est conservée en clair (masquage à l'écriture). Le contenu des briefs, tokens JWT et OTP ne sont jamais loggés. Conservés 30 jours.
Journaux de sécurité (Serilog) : UserId, TenantId, CorrelationId, adresse IP, événements de sécurité (authentification, changement de mot de passe, accès sensibles)	L'adresse IP est conservée en clair car elle est l'objet de l'investigation de sécurité ; les autres données personnelles directes restent masquées. Conservés 1 an. Base légale : intérêt légitime (protection contre les attaques).
Journaux de sécurité (authentifications, tentatives OTP, blocages de compte)	1 an — nécessaire pour la détection d'attaques progressives et la gestion des litiges
Consommation IA détaillée (tokens par jour par tenant)	90 jours glissants — optimisation des quotas et détection d'anomalies
Récapitulatif de consommation mensuelle (agrégé par plan)	2 ans — justification des facturations en cas de litige
Données de facturation (identifiants Stripe)	10 ans — obligation légale de conservation comptable (Art. L123-22 Code de commerce)
Codes cadeaux (code coupon, type, date d'émission, date d'activation, UserId destinataire)	1 an après expiration du code, puis suppression.
Données probatoires (résiliation pour cause grave)	Données strictement nécessaires à l'établissement de la preuve de l'infraction — pendant la durée de prescription légale applicable (5 ans en matière civile, durée pénale le cas échéant). Base légale : Art. 6.1.f + Art. 17.3.e RGPD. Déclenchement manuel sur dossier qualifié.

Suppression des comptes inactifs : tout compte sans activité (ni connexion ni génération) pendant 12 mois est supprimé, après un email d'avertissement envoyé environ 30 jours avant. Cette échéance constitue la durée maximale de conservation des données rattachées à un compte, y compris les données conservées de manière inaccessible après une rétrogradation de plan.

5. Destinataires des données

Ask N Pic s'engage à ne jamais vendre ni louer vos données personnelles. Les données peuvent être partagées avec les sous-traitants suivants, dans le strict cadre de leur prestation :

Sous-traitant	Pays	Finalité	Garantie
Infomaniak Network SA	Suisse	Hébergement du Service (bases de données, serveurs), gestion des newsletters (waitlist et qualification beta)	Décision d'adéquation CE - niveau de protection équivalent UE
Stripe, Inc.	États-Unis	Traitement des paiements (seul tiers autorisé à traiter des données financières)	Clauses contractuelles types (CCT) Art. 46 RGPD
Brevo (ex-Sendinblue)	France / UE	Envoi des SMS OTP de vérification et des emails transactionnels	Société française, données hébergées en UE, hors Cloud Act

Le modèle d'intelligence artificielle (Mistral) est auto-hébergé sur notre infrastructure. Aucun brief ni aucun fichier paramétrique ne transite chez un fournisseur de LLM tiers.

6. Transferts hors Union Européenne

L'hébergement du Service est assuré exclusivement par Infomaniak, dont les serveurs sont situés en Suisse. La Suisse bénéficie d'une décision d'adéquation de la Commission européenne garantissant un niveau de protection équivalent à celui de l'UE.

Stripe, prestataire de paiement basé aux États-Unis, traite vos données dans le cadre des clauses contractuelles types (CCT) approuvées par la Commission européenne (Art. 46 RGPD). Seules les données strictement nécessaires au paiement lui sont transmises.

Brevo, prestataire SMS et email transactionnel de droit français, héberge ses données en Europe. Ses services sont hors juridiction du Cloud Act américain.

Les providers OAuth (Google, GitHub, LinkedIn, Facebook) peuvent être informés de l'acte de connexion lorsque vous choisissez ce mode d'authentification (voir section 2.3).

Aucun autre transfert de données personnelles hors UE/EEE n'est effectué.

7. Sécurité des données

Ask N Pic met en œuvre des mesures techniques et organisationnelles de haut niveau :

Chiffrement au repos

Les briefs et les fichiers paramétriques sont chiffrés avec l'algorithme AES-256-GCM (chiffrement authentifié). La clé de chiffrement est dérivée par utilisateur via HKDF-SHA256 à partir d'une clé maître stockée uniquement en variable d'environnement, jamais en base de données. Chaque utilisateur possède une clé cryptographique unique ; la compromission des données d'un utilisateur n'expose pas celles des autres.

Effacement cryptographique

La suppression d'un compte entraîne l'effacement cryptographique immédiat et la suppression physique du contenu chiffré (briefs et fichiers paramétriques) sans délai. La clé dérivée devient irreconstituable dès la suppression du compte. Seules les métadonnées techniques non personnelles (date de génération, plan) sont conservées 30 jours pour des raisons d'audit interne, puis supprimées.

Architecture multi-bases isolées

Les données sont réparties sur 4 bases PostgreSQL distinctes : données de compte et quotas, briefs chiffrés, fichiers paramétriques de production chiffrés, dataset de fine-tuning (jamais accessible depuis l'API en production). Les briefs et fichiers paramétriques (qui constituent le contenu sensible), sont chiffrés au niveau applicatif (AES-256-GCM) : ces bases volées isolément sont inexploitables sans la clé maître. Les données de compte (email, téléphone) sont stockées en clair dans la base dédiée, protégées par l'authentification PostgreSQL et le chiffrement en transit (TLS) ; leur lisibilité est nécessaire aux fonctions d'authentification et de vérification.

Authentification et sessions

Les mots de passe sont hashés via PBKDF2 (ASP.NET Core Identity). Les tokens d'accès (durée de vie 15 minutes) sont stockés en mémoire JavaScript uniquement, jamais dans le localStorage. Les tokens de rafraîchissement (7 jours) sont stockés en cookie httpOnly, Secure, SameSite=Strict, inaccessible par JavaScript.

Politique de verrouillage

5 tentatives OTP incorrectes entraînent un verrouillage temporaire de 15 minutes. 3 verrouillages consécutifs entraînent un blocage définitif du compte nécessitant une intervention du support.

En cas de violation de données

En cas de violation susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, Ask N Pic s'engage à notifier la CNIL dans les 72 heures et les utilisateurs concernés dans les meilleurs délais.

Traçabilité des outputs IA

Ask N Pic conserve une traçabilité complète de chaque génération conformément aux exigences d'auditabilité de l'AI Act (UE) 2024/1689 :

• Le brief original soumis, conservé sous forme chiffrée pendant la durée de conservation prévue par votre plan (voir section 4) ;
• Le brief traduit, conservé sous forme chiffrée si votre brief initial n'était pas rédigé en français ou en anglais ;
• Le score de complexité estimé de votre brief avant traitement ;
• L'identifiant de version du prompt système et la version du modèle IA utilisés ;
• Le fichier brut produit par le modèle IA avant correction éventuelle, conservé sous forme chiffrée si le fichier livré a été corrigé algorithmiquement ;
• Le log de correction identifiant les points corrigés ;
• Le nombre de tentatives de génération ;
• Le fichier paramétrique final livré, conservé sous forme chiffrée pendant la durée de conservation prévue par votre plan (voir section 4) ;
• Les journaux applicatifs conservés 90 jours.

Ces éléments garantissent la traçabilité complète de la chaîne de traitement, depuis le brief original jusqu'au fichier livré, conformément aux exigences de l'AI Act et à votre droit à la portabilité (Art. 20 RGPD).

8. Intelligence artificielle et dataset d'entraînement

8.1 Modèle utilisé

Ask N Pic utilise Mistral, un modèle d'intelligence artificielle open source, auto-hébergé sur notre infrastructure européenne. Vos briefs ne quittent jamais notre infrastructure pour être traités par un LLM tiers. Le système ne prend aucune décision automatisée ayant un effet juridique ou similaire sur les personnes : il est actuellement qualifié de système à risque limité au sens de l'AI Act (UE) 2024/1689, soumis aux obligations de transparence de l'Art. 50. L'Éditeur s'engage à réévaluer cette qualification à chaque évolution significative du Service susceptible de modifier son niveau de risque.

Chaque output généré est associé à une version de prompt et une version du modèle, permettant une traçabilité complète des outputs conformément aux exigences d'auditabilité de l'AI Act. Lorsqu'un output a été corrigé algorithmiquement avant livraison, ou lorsque votre brief a été traduit avant traitement, les données intermédiaires sont conservées séparément sous forme chiffrée (voir section 7).

8.2 Utilisation de vos données pour le fine-tuning du modèle

Dans le but d'améliorer la qualité des générations, les paires (brief, fichier paramétré) validées peuvent être utilisées pour entraîner une version spécialisée du modèle Mistral. Cette utilisation est soumise aux garanties suivantes :

• Base légale : intérêt légitime (Art. 6.1.f RGPD). Vous pouvez vous y opposer à tout moment (voir section 10).
• Données chiffrées : le dataset est stocké dans une base dédiée, distincte de la production et jamais accessible depuis l'API.
• Déchiffrement hors ligne uniquement : les données ne sont déchiffrées que sur une machine dédiée au fine-tuning, physiquement isolée de la production. Elles n'en sortent jamais (pas de copie, pas d'envoi réseau, pas de stockage cloud).
• Revue humaine systématique : avant chaque vague d'entraînement, 100% des entrées identifiées comme contenant des données personnelles par détection automatique (NER), plus un échantillon aléatoire d'environ 10% des autres entrées, font l'objet d'une revue humaine. Les paires contenant des données personnelles résiduelles sont exclues du dataset : aucune anonymisation manuelle n'est pratiquée, afin de garantir l'intégrité et la fiabilité des données d'entraînement.
• Revue réalisée par le DPO de fait (fondatrice), documentée dans le registre des traitements RGPD.
• Fine-tuning local : l'entraînement est réalisé localement sur la machine dédiée, jamais via une API externe.

Les générations ayant échoué à la validation (fichiers paramétriques rejetés) peuvent également être conservées dans le dataset, accompagnées du feedback technique de rejet. Ces données sont traitées avec les mêmes garanties que les générations validées et soumises aux mêmes droits d'opposition.

8.3 Droit d'opposition au fine-tuning

Vous pouvez à tout moment exercer votre droit d'opposition à l'utilisation de vos générations pour le fine-tuning du modèle, depuis votre espace personnel (paramètre Opt-out du dataset d'entraînement) ou par email à contact@asknpic.com.

L'opposition prend effet immédiatement : vos générations sont retirées du dataset de sélection et ne seront plus utilisées pour aucun entraînement futur. Si certaines ont déjà été utilisées pour entraîner une version antérieure du modèle, leur suppression du modèle entraîné n'est pas techniquement possible : c'est une limitation inhérente aux technologies d'apprentissage automatique, reconnue par les autorités européennes de protection des données. Votre compte et l'accès au Service ne sont pas affectés.

Pour les testeurs de la phase beta, l'utilisation des générations à des fins d'amélioration du modèle repose sur un consentement explicite et distinct, recueilli séparément du consentement de participation, et révocable à tout moment.

9. Cookies et traceurs

Le site vitrine asknpic.com n'utilise aucun cookie tiers à des fins publicitaires ou de traçage comportemental.

Préférences locales (localStorage)

Les données suivantes sont stockées localement dans votre navigateur. Elles ne sont jamais envoyées à nos serveurs :

Entrée localStorage	Finalité	Durée
theme	Mémorisation du thème clair/sombre choisi	Persistant — jusqu'à effacement manuel
lang	Mémorisation de la langue choisie	Persistant — jusqu'à effacement manuel

Ces entrées sont des données de préférence ; elles ne constituent pas des cookies au sens de la directive ePrivacy et ne nécessitent aucun consentement.

Cookie de session (httpOnly)

Cookie	Finalité	Durée
refresh_token	Maintien de la session authentifiée — token de renouvellement chiffré	7 jours — supprimé à la déconnexion

Le cookie refresh_token est un cookie strictement nécessaire au fonctionnement du Service. Il est exempt de consentement au titre de l'article 5.3 de la directive ePrivacy. Il n'est pas accessible depuis JavaScript (attribut httpOnly) et ne peut pas être lu par des scripts tiers ou des extensions de navigateur. Aucun bandeau de consentement n'est requis pour l'ensemble de ces stockages.

Les statistiques de navigation sont mesurées via un outil souverain auto-hébergé en Europe, sans dépôt de cookie ni installation de script tiers.

10. Droits des personnes concernées

Conformément au RGPD, vous disposez des droits suivants :

• Droit d'accès (Art. 15) : obtenir une copie de vos données personnelles traitées ;
• Droit de rectification (Art. 16) : corriger des données inexactes ou incomplètes ;
• Droit à l'effacement (Art. 17) : obtenir la suppression de vos données. La suppression de compte entraîne l'effacement cryptographique immédiat de vos compositions graphiques et briefs (illisibles instantanément). En cas de downgrade, vos données excédentaires sont gelées (non supprimées) et restent récupérables si vous revenez sur un plan supérieur. Passé 12 mois d'inactivité, elles sont supprimées définitivement. Seules les métadonnées non personnelles sont conservées 30 jours pour audit interne, puis supprimées ;
• Droit à la limitation du traitement (Art. 18) : demander la suspension temporaire du traitement ;
• Droit à la portabilité (Art. 20) : recevoir vos métadonnées de génération (dates, plans, scores, statut de correction algorithmique, statut de traduction) dans un format structuré (JSON). Sur demande explicite, l'Éditeur peut procéder au déchiffrement et à l'export de vos briefs, briefs traduits, fichiers paramétriques livrés et, le cas échéant, fichiers paramétriques bruts dans un délai d'un mois. Cette opération est réalisée manuellement et nécessite une vérification d'identité préalable ;
• Droit d'opposition (Art. 21) : vous opposer au traitement fondé sur l'intérêt légitime, notamment à l'utilisation de vos données pour le fine-tuning du modèle IA ;
• Droit de retrait du consentement : à tout moment, sans effet rétroactif sur les traitements antérieurs ;
• Droit de désinscription des communications marketing : vous pouvez vous désinscrire de la liste d'attente ou de toute communication promotionnelle à tout moment, via le lien de désinscription présent dans chaque email. Cette désinscription n'entraîne pas la suppression de votre compte.

Pour exercer ces droits, contactez-nous à contact@asknpic.com. Réponse garantie sous un mois à compter de la réception de votre demande. En cas de demande complexe, ce délai peut être prolongé de deux mois supplémentaires avec information préalable.

11. Contact et réclamations

Email : contact@asknpic.com
Courrier : Audrey Redondo — My Codeuse, 78 Avenue des Champs-Élysées, Bureau 326, 75008 Paris, France

Si vous estimez que le traitement de vos données constitue une violation du RGPD, vous avez le droit d'introduire une réclamation auprès de la CNIL :

• En ligne : cnil.fr/fr/plaintes
• Par courrier : CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07