Politique de confidentialité

Version : juillet 2026

1. Responsable du traitement

Le responsable du traitement au sens du règlement général sur la protection des données (RGPD) est :

YouVenture! GmbH

Ericusspitze 4

20457 Hamburg

Allemagne

Registre du commerce : Amtsgericht Hamburg, HRB 172192

Gérants habilités à représenter la société : Finn Alexander Dubbels, Viktor Dik

E-mail : support@confettiprints.com

2. Aperçu du traitement des données

Confetti Prints est un service en ligne dans le cadre duquel les utilisateurs téléversent une photo personnelle qui, à l’aide de l’intelligence artificielle, est transformée en un produit individualisé – un livre de coloriage (« Malbuch ») ou un livre personnalisé (par ex. « Mutmachbuch », « Gefühlebuch », « ABC-Buch »), dans lequel la personne représentée apparaît sous les traits d’un personnage dans les illustrations. Après la finalisation d’une commande, les produits générés sont transmis à une imprimerie aux fins de la production et de l’expédition. La photo téléversée n’est traitée que pendant la durée de la création, puis automatiquement supprimée (voir points 5 et 8).

3. Données à caractère personnel collectées

Dans le cadre de l’utilisation de notre service, nous collectons et traitons les données à caractère personnel suivantes :

a) Données de commande

Prénom et nom, adresse e-mail, adresse de livraison et, le cas échéant, adresse de facturation – aux fins du traitement de votre commande et de l’expédition du produit.

b) Données de paiement

Les informations de paiement (par ex. données de carte bancaire) sont traitées exclusivement par notre prestataire de services de paiement Stripe. Nous ne conservons nous-mêmes aucune donnée de paiement complète (voir point 7.2).

c) Photo téléversée

La photo que vous téléversez est traitée exclusivement aux fins de la création de votre produit individualisé. Elle est transmise à notre prestataire d’IA pour la génération des images (point 5). Pour les livres personnalisés, la photo est traitée temporairement dans notre espace de stockage (UE, voir point 6) pendant la durée de la génération en plusieurs étapes et automatiquement supprimée immédiatement après l’achèvement. Pour le livre de coloriage, la photo n’est pas conservée sur nos serveurs ; elle est uniquement transmise au prestataire d’IA aux fins du traitement.

d) Caractéristiques déduites de la photo

Afin que la personne représentée puisse être figurée de manière reconnaissable dans les illustrations, la photo est analysée par un modèle d’IA d’analyse d’images qui produit une brève description de l’apparence (par ex. couleur des cheveux et des yeux, teint) ainsi qu’un âge estimé. Ces indications déduites ne sont utilisées que pour la génération et sont supprimées, à l’issue de celle-ci, en même temps que la référence à la photo. Aucune identification biométrique ni aucun rapprochement avec d’autres fichiers n’a lieu.

e) Données techniques et adresse IP

Lors de la visite de notre site internet, des informations techniques sont automatiquement collectées (type et version du navigateur, système d’exploitation, URL de provenance, date et heure de l’accès). Afin de prévenir les abus et de limiter le nombre de générations (limitation du nombre de requêtes, « rate limiting »), nous traitons en outre temporairement votre adresse IP. La base juridique est l’art. 6, par. 1, point f), du RGPD (intérêt légitime à la sécurité, à la disponibilité et à la maîtrise des coûts de notre service).

f) Données de candidature

Si vous postulez chez nous à un poste à pourvoir, nous traitons les indications et documents que vous nous transmettez à cette occasion. Vous trouverez des précisions à ce sujet au point 10.

4. Finalités et bases juridiques du traitement

5. Traitement de votre photo par l’intelligence artificielle

5.1 Prestataire d’IA auquel il est fait appel (Replicate)

Pour transformer votre photo en le produit commandé, nous utilisons la plateforme d’IA suivante :

Replicate, Inc.

58 Maiden Lane, San Francisco, CA 94108, USA

Votre photo est traitée via l’interface de programmation (API) de Replicate. Pour la génération et l’analyse des images, Replicate recourt, en qualité de sous-traitant ultérieur, à des modèles d’OpenAI (par ex. « gpt-image-2 » et « gpt-4o-mini »). Aucune transmission directe de votre photo à OpenAI n’est effectuée par nos soins. Le produit généré nous est retransmis.

Replicate supprime automatiquement, par défaut et après une courte durée (en règle générale environ 1 heure), les données d’entrée et de sortie transmises via l’API. OpenAI n’utilise pas les données traitées via son API à ses propres fins d’entraînement et ne les conserve que temporairement aux fins de la détection des abus (en règle générale 30 jours au maximum ; une conservation plus longue peut avoir lieu dans la mesure où des obligations légales l’exigent). Replicate traite les données exclusivement aux fins de la génération d’images que nous lui avons confiée.

La base juridique de cette transmission est l’art. 6, par. 1, point b), du RGPD (exécution du contrat) ; dans la mesure où des catégories particulières de données à caractère personnel (art. 9 du RGPD) sont concernées, nous fondons en outre le traitement sur votre consentement explicite au sens de l’art. 9, par. 2, point a), du RGPD, que vous donnez en téléversant la photo.

5.2 Durée de conservation de la photo

La photo n’est traitée que pendant la durée de la génération par IA. Pour les livres personnalisés, elle est automatiquement supprimée de notre espace de stockage immédiatement après l’achèvement du livre, au plus tard toutefois dans un délai de 24 heures (procédure de suppression automatisée). Pour le livre de coloriage, la photo n’est pas conservée.

5.3 Transfert vers un pays tiers (États-Unis)

Replicate a son siège aux États-Unis. La transmission de votre photo à Replicate constitue un transfert vers un pays tiers ; elle s’effectue sur la base des clauses contractuelles types (Standard Contractual Clauses, CCT) conformément à l’art. 46, par. 2, point c), du RGPD. Le sous-traitant ultérieur OpenAI auquel Replicate a recours est certifié au titre du cadre de protection des données UE–États-Unis (EU-US Data Privacy Framework). Informations complémentaires :

https://replicate.com/privacy

https://openai.com/policies/privacy-policy

5.4 Absence de prise de décision automatisée

Aucune prise de décision automatisée au sens de l’art. 22 du RGPD n’a lieu. La transformation d’images assistée par IA sert exclusivement à la création graphique et n’a pour vous aucun effet juridique ni aucun effet comparable significatif.

6. Conservation sur nos serveurs

Pour la mise à disposition du produit et le pilotage du processus de génération en plusieurs étapes, nous recourons aux prestataires suivants, dont les centres de données se situent dans l’Union européenne :

Vercel Inc. (340 S Lemon Ave #4133, Walnut, CA 91789, USA) – hébergement du site internet ainsi que stockage d’objets (« Vercel Blob », région de Francfort/Allemagne) pour la photo téléversée (uniquement pendant la génération) et pour les images générées.

Upstash, Inc. (USA) – cache de traitement temporaire (« Redis », centre de données de Francfort/Allemagne) pour l’état de la commande de génération (notamment prénom, sexe de la personne représentée, référence à la photo, description déduite, références des images générées).

Un contrat de sous-traitance conformément à l’art. 28 du RGPD a été conclu avec ces deux prestataires. Les données étant stockées dans l’UE (Francfort), aucun transfert vers un pays tiers n’a lieu à cet égard. Les durées de conservation résultent du point 8.

7. Transmission à des tiers

7.1 Imprimerie

Après un paiement réussi, nous transmettons les produits générés ainsi que les données nécessaires à l’impression et à l’expédition (nom, adresse de livraison) à notre imprimeur :

mediaprint solutions GmbH

Eggertstraße 28, 33100 Paderborn, Allemagne

La base juridique est l’art. 6, par. 1, point b), du RGPD (exécution du contrat). Nous avons conclu avec l’imprimerie un contrat de sous-traitance conformément à l’art. 28 du RGPD.

7.2 Prestataire de services de paiement

Pour le traitement des paiements, nous utilisons :

Stripe Payments Europe, Ltd. (1 Grand Canal Street Lower, Grand Canal Dock, Dublin, D02 H210, Irlande) ou Stripe, Inc. (354 Oyster Point Blvd, South San Francisco, CA 94080, USA).

Stripe traite vos données de paiement directement et de manière certifiée PCI-DSS. Nous ne recevons qu’une confirmation du paiement ainsi que les quatre derniers chiffres de votre numéro de carte. La base juridique est l’art. 6, par. 1, point b), du RGPD. Pour un éventuel traitement de données aux États-Unis, Stripe est certifié au titre du cadre de protection des données UE–États-Unis (EU-US Data Privacy Framework) ; des clauses contractuelles types s’appliquent en complément. Informations complémentaires : https://stripe.com/de/privacy

7.3 Envoi d’e-mails (formulaire de contact et confirmations de commande)

Pour l’envoi d’e-mails (par ex. confirmations, réponses aux demandes de contact), nous utilisons le service Resend (Resend, Inc., USA ; traitement et envoi dans l’UE, région Irlande). Lorsque vous utilisez notre formulaire de contact, nous transmettons à Resend votre adresse e-mail, votre message ainsi que des données techniques de contexte (par ex. page consultée, appareil) aux fins de la remise. Un contrat de sous-traitance conformément à l’art. 28 du RGPD a été conclu avec Resend. La base juridique est l’art. 6, par. 1, point b) ou point f), du RGPD.

7.4 Trusted Shops (Trustbadge®, avis et protection acheteur)

Afin d’afficher les prestations de Trusted Shops (par ex. label de qualité, avis collectés) ainsi que de proposer les produits Trusted Shops aux acheteurs après une commande, des widgets Trusted Shops sont intégrés à notre présence en ligne : sur nos pages produits est affiché le Trustbadge®, et après la finalisation de la commande la Trustcard. Cela sert à la sauvegarde de nos intérêts légitimes prépondérants, dans le cadre d’une mise en balance des intérêts, à une commercialisation optimale par la possibilité offerte d’un achat sécurisé, conformément à l’art. 6, par. 1, phrase 1, point f), du RGPD. Le Trustbadge et les services dont il assure la promotion sont une offre de

Trusted Shops SE

Subbelrather Str. 15C, 50823 Köln, Allemagne

avec laquelle nous sommes responsables conjoints du traitement au sens de l’art. 26 du RGPD. Nous vous informons ci-après des éléments essentiels de l’accord au sens de l’art. 26, par. 2, du RGPD.

Lors d’une interaction avec le Trustbadge, des cookies de session sont déposés afin d’enregistrer l’état de connexion et d’afficher ce que l’on appelle le Welcome Layer, qui présente les particularités de la boutique en ligne concernée (informations sur l’entreprise, avis, information sur l’existence de la protection acheteur). Afin de reconnaître les utilisateurs connectés, un cookie est déposé et conservé pendant 400 jours au maximum après la connexion. Cela est nécessaire pour que Trusted Shops puisse mettre à disposition le service numérique que vous avez souhaité. Trusted Shops est responsable du traitement des données lors de l’interaction avec le Trustbadge.

Dans le cadre de la responsabilité conjointe existant entre nous et Trusted Shops, veuillez vous adresser de préférence à Trusted Shops pour toute question relative à la protection des données et pour faire valoir vos droits, en utilisant les moyens de contact indiqués dans les informations de Trusted Shops relatives à la protection des données. Indépendamment de cela, vous pouvez toutefois toujours vous adresser au responsable du traitement de votre choix. Votre demande sera alors, si nécessaire, transmise à l’autre responsable du traitement pour réponse.

Traitement des données lors de l’intégration du Trustbadge

Le Trustbadge est mis à disposition par un fournisseur américain de réseau de diffusion de contenu (Content Delivery Network). Un niveau de protection des données adéquat est assuré par une décision d’adéquation de la Commission européenne ; les prestataires américains auxquels il est fait appel sont en règle générale certifiés au titre du cadre de protection des données UE–États-Unis (EU-U.S. Data Privacy Framework). Dans la mesure où les prestataires auxquels il est fait appel ne sont pas certifiés au titre du DPF, des clauses contractuelles types ont été conclues à titre de garanties appropriées.

Lors de l’appel du Trustbadge, le serveur web enregistre automatiquement un fichier journal de serveur (« server log file ») qui contient également votre adresse IP, la date et l’heure de la consultation, le volume de données transmis et le fournisseur d’accès à l’origine de la requête (données d’accès), et qui documente la consultation. L’adresse IP est anonymisée immédiatement après sa collecte, de sorte que les données conservées ne peuvent pas être rattachées à votre personne. Les données anonymisées sont utilisées en particulier à des fins statistiques et pour l’analyse des erreurs.

Traitement des données après la finalisation de la commande

Après la finalisation de la commande, des informations de commande (numéro de commande, montant de la commande, devise, mode de paiement et date de livraison prévisionnelle) ainsi que votre adresse e-mail hachée au moyen d’une fonction cryptographique à sens unique sont transmises à Trusted Shops. La base juridique est l’art. 6, par. 1, phrase 1, point f), du RGPD. Cela sert à vérifier si vous êtes déjà inscrit(e) aux services de Trusted Shops et est donc nécessaire à la satisfaction de nos intérêts légitimes prépondérants et de ceux de Trusted Shops à la fourniture de la protection acheteur liée à la commande concrète ainsi que des prestations d’avis transactionnels, conformément à l’art. 6, par. 1, phrase 1, point f), du RGPD. Si tel est le cas, la suite du traitement s’effectue conformément à l’accord contractuel conclu entre vous et Trusted Shops. Si vous n’êtes pas encore inscrit(e) à ces services, vous aurez ensuite la possibilité de le faire pour la première fois. La suite du traitement après l’inscription est également régie par l’accord contractuel conclu avec Trusted Shops. Si vous ne vous inscrivez pas, toutes les données transmises sont automatiquement supprimées par Trusted Shops et un rattachement à une personne n’est alors plus possible.

Invitation à donner un avis après l’expédition

Dès que notre imprimerie signale l’expédition de votre commande, nous transmettons votre adresse e-mail, votre numéro de commande et la date d’expédition via l’interface de Trusted Shops, afin que l’invitation à donner un avis ne soit programmée qu’à partir du moment où votre livre est effectivement en route. L’invitation est envoyée par Trusted Shops quelques jours plus tard et uniquement si vous avez préalablement consenti à recevoir des invitations à donner un avis. La base juridique est l’art. 6, par. 1, phrase 1, point f), du RGPD, en lien avec le consentement que vous avez donné à Trusted Shops.

Trusted Shops fait appel à des prestataires dans les domaines de l’hébergement, de la surveillance et de la journalisation. La base juridique est l’art. 6, par. 1, point f), du RGPD, aux fins d’assurer un fonctionnement sans perturbation. Un traitement dans des pays tiers (États-Unis et Israël) peut avoir lieu à cette occasion. Un niveau de protection des données adéquat est assuré dans chaque cas par une décision d’adéquation de la Commission européenne.

8. Durée de conservation et suppression

9. Cookies, mesure d’audience et marketing

Nous utilisons des cookies techniquement nécessaires, indispensables au fonctionnement du site internet et au déroulement du processus de commande (par ex. cookies de session, cookies de panier). La base juridique est l’art. 6, par. 1, point f), du RGPD, respectivement le § 25, al. 2, du TDDDG (loi allemande sur la protection des données dans les services numériques).

Au-delà, nous n’utilisons d’outils de marketing et de mesure d’audience qu’avec votre consentement explicite (via notre bandeau cookies). La base juridique est votre consentement au sens de l’art. 6, par. 1, point a), du RGPD et du § 25, al. 1, du TDDDG. Vous pouvez retirer votre consentement à tout moment avec effet pour l’avenir.

9.1 Pixel Meta

Fournisseur : Meta Platforms Ireland Ltd. (4 Grand Canal Square, Dublin 2, Irlande). Afin de mesurer l’efficacité de notre publicité sur Facebook/Instagram et de constituer des audiences, nous utilisons le pixel Meta. Celui-ci enregistre certains événements (par ex. consultation de page, panier, achat) et transmet à cette occasion à Meta, entre autres, des identifiants en ligne, l’adresse IP et des données techniques de navigateur. Le pixel Meta n’est chargé qu’après votre consentement donné via le bandeau cookies (art. 6, par. 1, point a), du RGPD).

Meta est certifié au titre du cadre de protection des données UE–États-Unis (EU-US Data Privacy Framework). Informations complémentaires : politique de confidentialité de Meta.

9.2 Suivi des conversions Google Ads

Fournisseur : Google Ireland Ltd. (Gordon House, Barrow Street, Dublin 4, Irlande). Afin de mesurer le succès de nos annonces Google, la balise Google (gtag.js) est chargée – uniquement après votre consentement. À cette occasion, l’adresse IP et des données techniques de navigateur peuvent être transmises à Google. Google est certifié au titre du cadre de protection des données UE–États-Unis (EU-US Data Privacy Framework). Informations complémentaires : politique de confidentialité de Google.

9.3 Publicité directe par e-mail (clients existants)

Dans la mesure où vous avez acheté un produit chez nous, nous utilisons l’adresse e-mail collectée dans le cadre de la commande pour vous faire parvenir occasionnellement des informations sur nos propres produits similaires. La base juridique est l’art. 6, par. 1, point f), du RGPD (intérêt légitime à la publicité directe), en lien avec le § 7, al. 3, du UWG (loi allemande contre la concurrence déloyale). Vous pouvez vous opposer à tout moment à cette utilisation – via le lien de désinscription figurant dans chaque e-mail ou par simple message adressé à support@confettiprints.com –, sans autres frais que les coûts de transmission calculés selon les tarifs de base. Après une opposition, nous n’utilisons plus votre adresse e-mail à des fins publicitaires.

9.4 Newsletter (avec consentement)

Sur notre site internet, vous pouvez vous abonner à notre newsletter gratuite, par laquelle nous vous informons de nos offres, remises et actualités. La base juridique est votre consentement au sens de l’art. 6, par. 1, point a), du RGPD, que vous donnez en cochant la case lors de l’inscription.

L’inscription s’effectue selon la procédure de double opt-in : après la saisie de votre adresse e-mail, nous vous envoyons un e-mail de confirmation. Votre adresse n’est ajoutée à la liste de diffusion de la newsletter que lorsque vous cliquez sur le lien qu’il contient. Nous nous assurons ainsi que l’inscription émane effectivement de vous.

Sont traitées votre adresse e-mail ainsi que – aux fins de la preuve du consentement (art. 7, par. 1, du RGPD) – la date et l’heure de l’inscription et de la confirmation, votre adresse IP et la version du texte de consentement. Pour la conservation et l’envoi, nous recourons au service Resend en qualité de sous-traitant (voir point 7.3).

Nous conservons ces données aussi longtemps que vous êtes abonné(e) à la newsletter. Vous pouvez retirer votre consentement à tout moment avec effet pour l’avenir et vous désabonner de la newsletter – via le lien de désinscription figurant dans chaque e-mail de newsletter ou par simple message adressé à support@confettiprints.com. La licéité du traitement effectué jusqu’au retrait demeure inchangée.

10. Candidatures

Sur notre page Emplois, nous publions les postes à pourvoir. Les candidatures nous parviennent par e-mail à l’adresse support@confettiprints.com. Les règles suivantes s’appliquent aux données transmises à cette occasion :

10.1 Quelles données nous traitons

Nous traitons les indications que vous nous fournissez dans votre candidature : votre nom, vos coordonnées (adresse e-mail, le cas échéant numéro de téléphone et adresse postale), vos indications relatives à votre parcours et à vos qualifications ainsi que tous les autres contenus et pièces jointes que vous nous adressez volontairement (par ex. CV, certificats de travail). Vous décidez vous-même des indications que vous fournissez – nous n’imposons aucun champ obligatoire. Sans coordonnées ni indications relatives à votre personne, nous ne pouvons toutefois pas traiter votre candidature.

10.2 Finalité et base juridique

Nous traitons vos données de candidature exclusivement afin de mener la procédure de recrutement et de décider de l’établissement d’une relation de travail. La base juridique est le § 26, al. 1, phrase 1, du BDSG (loi fédérale allemande sur la protection des données) en lien avec l’art. 88 du RGPD ainsi que l’art. 6, par. 1, point b), du RGPD (mesures précontractuelles). Dans la mesure où nous avons besoin de données au-delà de cela pour nous défendre contre des prétentions juridiques – par exemple au titre de la loi générale allemande sur l’égalité de traitement (AGG) –, nous fondons ce traitement sur l’art. 6, par. 1, point f), du RGPD.

10.3 Destinataires

Votre candidature parvient dans notre boîte e-mail. Nous exploitons celle-ci avec Microsoft 365 (Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irlande) en qualité de sous-traitant conformément à l’art. 28 du RGPD. Seules les personnes participant à la décision de sélection y ont accès. Aucune transmission à d’autres tiers n’a lieu.

10.4 Aucune analyse par IA, aucune décision automatisée

Pour le traitement des demandes de nos clients, nous recourons à un service d’IA qui nous propose des projets de réponse. Les candidatures en sont exclues : les contenus de votre candidature ne sont pas transmis à ce service d’IA à cette fin. Seuls des êtres humains décident de votre candidature – aucune prise de décision automatisée, y compris le profilage, au sens de l’art. 22 du RGPD n’a lieu.

10.5 Durée de conservation

Si votre candidature n’aboutit pas à une embauche, nous supprimons votre dossier de candidature au plus tard six mois après la clôture de la procédure de recrutement. Ce délai tient compte des délais légaux d’action en justice (§ 15, al. 4, AGG). Si vous souhaitez que nous supprimions vos documents plus tôt, un simple message adressé à support@confettiprints.com suffit. Si vous êtes recruté(e), nous versons les données nécessaires à votre dossier du personnel.

11. Aperçu des transferts vers des pays tiers

Dans la mesure où des destinataires établis aux États-Unis sont certifiés au titre du cadre de protection des données UE–États-Unis (OpenAI, Stripe, Meta, Google), le transfert s’effectue sur la base de la décision d’adéquation de la Commission européenne (art. 45 du RGPD). Pour les destinataires non certifiés (Replicate), nous fondons le transfert sur les clauses contractuelles types de l’UE (art. 46, par. 2, point c), du RGPD). Les données relatives à la photo et à la commande de génération elles-mêmes sont stockées dans l’UE (Francfort) (point 6).

12. Vos droits en tant que personne concernée

Vous disposez, en vertu du RGPD, des droits suivants :

Pour exercer vos droits, veuillez vous adresser à : support@confettiprints.com

13. Droit d’introduire une réclamation auprès d’une autorité de contrôle

Vous avez le droit d’introduire une réclamation auprès d’une autorité de contrôle de la protection des données. L’autorité de contrôle compétente à notre égard est :

Der Hamburgische Beauftragte für Datenschutz und Informationsfreiheit (autorité de contrôle de la protection des données du Land de Hambourg)

Ludwig-Erhard-Str. 22, 7. OG

20459 Hamburg

Téléphone : 040 / 428 54 – 4040

E-mail : mailbox@datenschutz.hamburg.de

14. Modifications de la présente politique de confidentialité

Nous nous réservons le droit d’adapter la présente politique de confidentialité afin de tenir compte de l’évolution du cadre juridique ou de modifications de notre service. Vous trouverez toujours la version en vigueur sur notre site internet.

15. Contact

Pour toute question relative à la protection des données, vous pouvez nous joindre à l’adresse suivante :

E-mail : support@confettiprints.com