Politique de confidentialité
Version 2.0.1 · Effective 2026-08-14
Cette politique de confidentialité explique quelles données personnelles Haircut Right collecte lorsque vous utilisez le service, pourquoi nous les collectons, combien de temps nous les conservons et quels droits vous avez sur ces données. Elle s'applique au site Haircut Right exploité par Filabs et aux API associées.
Nous avons cherché à garder ce document court et clair. Si quelque chose vous semble ambigu, écrivez-nous à contact@haircutright.com.
1. Qui sommes-nous
Le responsable du traitement des données décrites ci-dessous est :
- Filabs, SASU (société par actions simplifiée à associé unique) au capital de 1 000 EUR, dont le siège social se trouve au 60 rue François 1er, 75008 Paris, France, identifiée par le numéro SIREN 930 621 719 (RCS Paris).
- Contact pour les questions liées à la confidentialité :
contact@haircutright.com.
2. Quelles données nous collectons
Nous ne collectons que les données nécessaires au fonctionnement du service.
- Données de compte — votre adresse e-mail, le hash de votre mot de passe si vous en définissez un, et la langue dans laquelle vous utilisez le site.
- Contenu téléversé — la photo de votre visage que vous envoyez pour analyse, ainsi que les résultats générés à partir de cette photo.
- Données de paiement — lors d'un achat, Stripe nous transmet les quatre derniers chiffres de votre carte, la marque, le pays d'émission et un identifiant de transaction. Nous ne voyons ni ne stockons jamais le numéro complet de la carte.
- Données techniques — votre adresse IP, l'agent utilisateur du navigateur et l'horodatage des requêtes. Utilisées pour la sécurité, la prévention des abus et des statistiques agrégées.
La photo de votre visage est une donnée personnelle sensible. Nous ne la traitons que si vous donnez votre consentement explicite via une case dédiée à l'étape d'envoi — distincte de tout autre accord présent sur cette page, jamais pré-cochée, et enregistrée avec un horodatage. Nous n'utilisons pas la photo pour vous identifier ni pour vous comparer à une base de données.
Votre photo est supprimée automatiquement 30 jours après son envoi. Vous n'avez aucune démarche à faire. Le rapport que vous avez payé — l'analyse et les images de coiffures générées — n'est pas concerné et reste dans votre compte.
3. Comment nous utilisons vos données
Chaque traitement ci-dessous a une finalité, une base légale et une durée de conservation définies.
| Donnée | Finalité | Base légale | Conservation |
|---|---|---|---|
| E-mail + hash du mot de passe | Connexion, sécurité du compte | Exécution du contrat | Jusqu'à votre demande de suppression |
| Photo du visage (donnée sensible) | Générer l'aperçu de coiffure demandé, et vous permettre de régénérer les images tant qu'elle est conservée | Consentement explicite | 30 jours après l'envoi, puis suppression automatique |
| Preuves de consentement (horodatages) | Démontrer que vous avez donné un consentement explicite pour votre photo et que vous avez confirmé avoir le droit de l'envoyer | Obligation légale (responsabilité) | Jusqu'à votre demande de suppression de compte |
| Aperçus IA générés | Vous afficher le résultat que vous avez payé, permettre le re-téléchargement, comparer entre sessions | Exécution du contrat | Jusqu'à votre demande de suppression |
| Données de paiement | Traiter les paiements, émettre des reçus, satisfaire les obligations comptables | Exécution du contrat + obligation légale | 10 ans (obligations comptables) |
| Journaux serveur (IP, requêtes) | Sécurité, débogage | Intérêt légitime | 90 jours |
| Jetons de lien magique | Connexion sans mot de passe | Exécution du contrat | Jusqu'à utilisation ou expiration (15 minutes) |
| Consentement marketing (horodatage) | Vous envoyer un e-mail de rappel — avec une réduction — concernant votre propre rapport inachevé, uniquement si vous avez coché la case facultative lors de la saisie de votre e-mail | Consentement | Jusqu'à votre désinscription ou votre demande de suppression de vos données |
E-mails marketing. Le seul e-mail marketing que nous envoyons est un rappel concernant votre propre rapport inachevé, et uniquement si vous avez donné votre accord via la case facultative affichée lors de la saisie de votre e-mail. Chaque e-mail de ce type contient un lien de désinscription en un clic ; la désinscription arrête tout e-mail marketing immédiatement et définitivement. Les e-mails transactionnels (liens de connexion, reçus, notification de rapport prêt) ne sont pas concernés. Nous n'envoyons pas de newsletter et nous ne partageons jamais votre adresse e-mail avec des tiers à des fins marketing.
La conservation de votre photo, en clair. Nous conservons la photo que vous envoyez pendant 30 jours, puis un traitement automatique supprime le fichier de notre stockage. Aucune démarche n'est nécessaire de votre part. Ensuite, le rapport que vous avez payé reste intégralement consultable, mais la photo « avant » n'apparaît plus à côté des résultats et nous ne pouvons plus régénérer d'images à partir d'elle.
Vous n'êtes pas obligé d'attendre ces 30 jours. Vous pouvez retirer votre consentement et tout faire supprimer à tout moment en écrivant à contact@haircutright.com ; nous supprimons alors vos données, y compris votre photo téléversée et les résultats générés. Le retrait ne remet pas en cause les traitements déjà effectués.
4. Traitement de votre photo par l'IA
C'est l'opération la plus sensible que réalise le service, nous la décrivons donc explicitement.
Deux fournisseurs d'IA différents voient votre photo, pour deux étapes différentes :
- Analyse — Anthropic (modèle : Claude). Nous envoyons la photo à Anthropic, qui décrit la forme du visage, les cheveux et d'autres caractéristiques visibles, et propose les coupes.
- Génération d'images — OpenAI. Nous envoyons la photo à OpenAI, qui la retouche pour vous montrer avec chacune des coupes proposées. OpenAI effectue également un contrôle de sécurité automatisé sur la photo au moment de l'envoi, avant tout autre traitement.
Les deux fournisseurs reçoivent la photo elle-même. Aucune autre donnée vous concernant (e-mail, données de paiement) ne leur est transmise.
- Nous n'autorisons pas votre photo à être utilisée pour entraîner un modèle d'IA. Cette restriction est contractuellement exclue chez les deux fournisseurs.
- La photo est transmise via TLS, traitée aux États-Unis par les deux fournisseurs, et n'est pas conservée par eux au-delà de ce qui est nécessaire pour répondre à la requête.
- Notre logiciel contient également un fournisseur alternatif de génération d'images (fal.ai) qui n'est pas utilisé. Si nous devions y recourir, nous mettrions à jour cette politique et la liste des sous-traitants ci-dessous avant qu'une photo n'y soit envoyée, et nous en informerions les utilisateurs actifs.
- Le résultat est une illustration probabiliste, pas un conseil médical, dermatologique ou de coiffure. L'aperçu montre un résultat possible d'une coupe possible. Ne prenez pas de décisions irréversibles sur cette seule base.
Si vous ne souhaitez pas que votre photo soit traitée par un fournisseur IA, ne téléversez pas de photo. Le site reste consultable sans téléversement.
5. Sous-traitants
Nous partageons des données avec un petit nombre de prestataires, strictement pour exploiter le service. Chacun est lié par un accord de traitement des données.
| Sous-traitant | Finalité | Données reçues | Localisation |
|---|---|---|---|
| Anthropic PBC | Analyse IA du visage (modèle Claude) | Votre photo de visage | États-Unis |
| OpenAI | Génération IA des images de coiffures et contrôle de sécurité automatisé à l'envoi | Votre photo de visage | États-Unis |
| Cloudflare, Inc. (R2) | Stockage objet privé de votre photo et des images générées | Votre photo de visage, images générées | [À CONFIRMER : région du bucket] |
| Railway Corporation | Hébergement de l'application et base de données PostgreSQL | Données de compte, sessions, métadonnées de paiement, journaux serveur | [À CONFIRMER : région de déploiement] |
| Stripe | Traitement des paiements | Adresse e-mail, métadonnées de paiement (jamais la photo) | Union européenne et États-Unis |
| Resend, Inc. | Envoi des e-mails transactionnels (liens de connexion, reçus, notification de rapport prêt) | Adresse e-mail et contenu du message | [À CONFIRMER : région d'envoi] |
| Upstash, Inc. | Compteurs de limitation de débit et état d'avancement, de courte durée | Adresse IP (courte durée), identifiants de session | [À CONFIRMER : région de la base] |
Votre photo de visage n'est transmise qu'à Anthropic, à OpenAI et à notre propre stockage privé chez Cloudflare. Elle n'est jamais transmise à Stripe, à notre prestataire d'e-mail, ni à un service publicitaire ou de mesure d'audience.
Nous mettons cette liste à jour quand elle évolue. Les changements importants — en particulier tout nouveau prestataire qui recevrait votre photo — sont notifiés aux utilisateurs actifs par e-mail avant leur entrée en vigueur.
6. Transferts internationaux
Certains sous-traitants ci-dessus se trouvent en dehors de l'Espace économique européen — en particulier les deux fournisseurs d'IA qui traitent votre photo, tous deux aux États-Unis. Quand des données personnelles quittent l'EEE, nous nous appuyons sur le mécanisme de transfert prévu par l'accord de sous-traitance du prestataire concerné et sur les garanties qu'il décrit. Nous documentons actuellement le mécanisme exact pour chaque prestataire et l'indiquerons ici prestataire par prestataire ; si vous avez besoin de cette précision avant sa publication, demandez-la à contact@haircutright.com et nous vous répondrons par écrit.
7. Vos droits
Si vous résidez dans l'Union européenne, au Royaume-Uni ou dans un pays disposant d'une législation comparable en matière de protection des données, vous avez le droit de :
- Accéder aux données personnelles que nous détenons sur vous.
- Rectifier des données inexactes.
- Effacer vos données (« droit à l'oubli »).
- Limiter ou vous opposer à certains traitements.
- Recevoir une copie de vos données dans un format portable.
- Retirer votre consentement à tout moment pour les traitements fondés sur le consentement.
- Déposer une plainte auprès de votre autorité de protection des données (en France, la CNIL — cnil.fr).
Ces droits s'exercent dans les limites prévues par la loi : nous pouvons par exemple devoir conserver des factures pour des raisons comptables même si vous demandez leur suppression.
8. Comment exercer vos droits
Pour exercer l'un de ces droits — y compris votre droit à l'effacement (suppression de vos données) — écrivez à contact@haircutright.com en précisant votre demande. Nous traitons les demandes de suppression manuellement : lorsque vous nous demandez de supprimer vos données, nous les supprimons, y compris votre photo téléversée et les résultats générés. Nous répondons sous 30 jours et nous pouvons vous demander de vérifier votre identité avant d'agir sur une demande concernant un compte.
Votre photo téléversée est un cas particulier : vous n'avez jamais besoin de la demander. Elle est supprimée automatiquement 30 jours après son envoi, que vous nous écriviez ou non.
9. Sécurité
Nous protégeons vos données par des mesures standards du secteur : TLS pour les données en transit, chiffrement au repos sur le stockage objet et la base de données, accès restreint par rôles, et journalisation d'audit sur les actions administratives. Aucun système n'est totalement sûr ; si nous découvrons une violation affectant vos données, nous vous en informons ainsi que l'autorité compétente, comme la loi l'exige.
10. Mineurs
Le service est principalement destiné aux utilisateurs de 16 ans et plus. Les enfants de moins de 16 ans ne peuvent utiliser le service qu'avec le consentement vérifiable d'un parent ou tuteur légal. Nous pouvons exiger une preuve du consentement parental avant d'activer un compte d'un utilisateur de moins de 16 ans, et nous supprimerons tout compte pour lequel le consentement ne peut être vérifié.
Si vous êtes parent ou tuteur légal et pensez que votre enfant utilise le service sans votre consentement, écrivez-nous à contact@haircutright.com : nous supprimerons le compte et les données associées.
11. Modifications de cette politique
Nous pouvons mettre à jour cette politique quand nos pratiques, nos prestataires ou nos obligations légales évoluent. Les champs version et effectiveDate en haut de page reflètent la version en vigueur. Les changements importants — par exemple un nouveau sous-traitant traitant votre photo, ou un changement de durée de conservation — sont notifiés aux utilisateurs actifs par e-mail.
Les versions antérieures sont archivées et disponibles sur demande.
12. Contact
Pour toute question sur cette politique ou sur les données que nous détenons à votre sujet, écrivez à contact@haircutright.com.