Politique de confidentialité

Cette politique explique comment Sizewright traite les données personnelles lorsque vous visitez le site internet de Sizewright, utilisez la plateforme, effectuez un achat auprès de nous ou relisez des bannières via un lien de validation. Elle s’applique à partir du 16 octobre 2026. Nous collectons ce dont nous avons besoin pour faire fonctionner Sizewright, nous ne vendons pas de données personnelles et nous n’utilisons ni cookies publicitaires ni traceurs.

Qui est responsable

Sizewright est le responsable du traitement des données personnelles décrites dans cette politique, sauf lorsque celle-ci précise que nous traitons des données pour le compte d’un client.

Responsable du traitement: Sizewright
Questions sur la vie privée: support@sizewright.com
Autres questions: hello@sizewright.com

Lorsque nous traitons des données pour nos clients

Les clients intègrent des contenus dans Sizewright : briefs, kits de marque, images, fichiers CSV, commentaires et bannières. Ces contenus peuvent contenir des données personnelles, par exemple des personnes figurant sur des photos, des noms dans un brief ou les coordonnées d’un client. Pour ces données, c’est le client qui décide de leur utilisation, et nous les traitons pour son compte, en tant que sous-traitant. Les clients professionnels y consentent dans notre accord de traitement des données.

Il en va de même si vous relisez des bannières via un lien de validation. Vous indiquez une seule fois votre nom et votre adresse e-mail, et votre navigateur les conserve dans un cookie sur cette page pour que vous n’ayez pas à les saisir de nouveau. Vos commentaires et vos décisions, accompagnés de votre nom et de votre adresse e-mail, sont visibles par l’espace de travail qui a partagé le lien, lequel en est responsable. Pour toute question sur ces données, adressez-vous d’abord à cet espace de travail ; nous l’aidons à vous répondre.

Les données que nous collectons

Données de compte

Votre nom, votre adresse e-mail et votre mot de passe, ou le lien avec votre compte Google si vous vous connectez avec Google. Votre langue, votre fuseau horaire et vos paramètres d’authentification à deux facteurs. La version des conditions générales et de cette politique que vous avez acceptée, la date de cette acceptation et l’adresse IP depuis laquelle elle a eu lieu.

Données d’espace de travail

Les espaces de travail dont vous êtes membre, leurs noms et leurs paramètres, votre rôle, les invitations que vous envoyez ou recevez (y compris l’adresse e-mail de la personne invitée), vos préférences de notification, ainsi que l’abonnement, les places et les paramètres de marque blanche de l’espace de travail.

Données de facturation

Votre nom de facturation, le nom de votre entreprise, votre adresse et votre numéro de TVA, le fait que vous achetiez en tant que professionnel ou en tant que consommateur, votre demande de commencement immédiat (pour les consommateurs), les abonnements et les packs de crédits que vous achetez, les paiements, les remboursements, les factures et les mouvements de crédits de votre espace de travail. Les données de carte sont transmises directement à Stripe ; nous ne voyons jamais votre numéro de carte complet.

Contenus

Tout ce que vous intégrez dans Sizewright et tout ce qu’il produit pour vous : briefs, kits de marque (logos, couleurs, polices, ton, mentions légales, adresse du site internet), images et fichiers importés, fichiers CSV, le contenu d’un site internet que vous nous demandez d’importer, concepts, textes, images générées, bannières, leur historique de versions, commentaires, mentions de personnes et décisions de validation.

Données d’utilisation

Ce que vous faites dans la plateforme : les actions et les tâches que vous lancez, leur statut et leur coût en crédits, les exports, les notifications, les retours que vous donnez sur les résultats, ainsi que des étapes clés comme l’inscription, la confirmation de votre adresse e-mail et votre premier achat, que nous comptabilisons pour comprendre comment les utilisateurs débutent avec Sizewright.

Données d’appareil et de journalisation

Votre adresse IP, votre type de navigateur et d’appareil, l’heure de vos requêtes et vos sessions de connexion, que vous pouvez consulter dans la liste des appareils des paramètres du compte. Les événements de sécurité, comme une connexion depuis un nouvel appareil, un changement de mot de passe ou d’adresse e-mail, une modification de l’authentification à deux facteurs ou une action de notre personnel, sont consignés dans un journal d’audit.

Communications

Les e-mails que vous nous envoyez et nos réponses. Un registre des e-mails que nous vous envoyons : quel e-mail, à quelle adresse, dans quelle langue et s’il a été distribué, mais pas son contenu. Si vous vous abonnez aux actualités produit, la trace de votre consentement et de sa confirmation.

Visite du site internet

Lorsque vous visitez notre site internet, Cloudflare, notre hébergeur, traite votre adresse IP et les détails de votre requête pour vous transmettre les pages et les protéger contre les attaques et les abus automatisés. Cloudflare Web Analytics mesure pour nous les pages vues, sans cookies et sans vous reconnaître lors d’une visite ultérieure. Si vous choisissez une langue dans la barre qui vous propose une page dans votre langue, votre navigateur mémorise ce choix.

Cookies

Uniquement des cookies strictement nécessaires, décrits dans la politique relative aux cookies.

Données que nous recevons de tiers

Google, si vous vous connectez avec Google : votre nom, votre adresse e-mail, le fait que Google a vérifié ou non cette adresse, et votre photo de profil si vous en avez une.
Stripe : le statut de vos paiements et les coordonnées de facturation que vous saisissez lors du paiement.
D’autres clients : le propriétaire ou un admin d’un espace de travail qui vous invite nous communique votre adresse e-mail, et un espace de travail peut inclure votre nom ou d’autres données dans ses contenus.

Pourquoi nous utilisons des données et sur quelle base légale

Finalité	Données	Base légale (RGPD)
Créer et gérer votre compte et vos espaces de travail, fournir le service et traiter les tâches	Données de compte, d’espace de travail, de contenu et d’utilisation	Exécution du contrat (art. 6.1.b)
Encaisser les paiements, émettre les factures, attribuer et suivre les crédits	Données de facturation, d’espace de travail et d’utilisation	Exécution du contrat ; pour la conservation des factures et des documents fiscaux, obligation légale (art. 6.1.c)
Enregistrer l’acceptation des conditions générales, les demandes de commencement immédiat des consommateurs, les rétractations et les résiliations	Données de compte et de facturation, adresse IP	Obligation légale ; intérêt légitime à pouvoir prouver ce qui a été convenu (art. 6.1.f)
E-mails de service, tels que vérification, reçus, travaux terminés, validations, crédits bas et rappels de renouvellement	Données de compte, d’espace de travail et d’utilisation	Exécution du contrat
Protéger les comptes et la plateforme : vérification de l’adresse e-mail, authentification à deux facteurs, protection contre les robots, limites de débit, contrôle des mots de passe compromis, e-mails de sécurité, journaux de sécurité et d’audit	Données de compte, d’appareil et de journalisation	Intérêt légitime en matière de sécurité ; obligation légale d’assurer la sécurité des données personnelles (art. 32)
Contrôler les briefs et les fichiers importés au regard de la politique d’utilisation acceptable	Données de contenu et d’espace de travail	Intérêt légitime à prévenir les usages illicites et préjudiciables
Prévenir la fraude au paiement et traiter les contestations de paiement	Données de facturation, d’appareil et de journalisation	Intérêt légitime ; obligation légale
Assistance, y compris l’accès à votre espace de travail lorsque vous demandez de l’aide	Données de compte, d’espace de travail et de contenu, communications	Exécution du contrat ; intérêt légitime
Mesurer et améliorer la qualité, la fiabilité et les coûts	Données d’utilisation, résultats des tâches, retours	Intérêt légitime à disposer d’un service fiable et abordable
Noter un échantillon de bannières pour l’évaluation de la qualité, lorsque votre espace de travail l’autorise	Les bannières, leur format et leur langue, ce qu’elles promeuvent	Consentement de l’espace de travail (art. 6.1.a), donné et retiré dans ses réglages
Mesurer la fréquentation du site internet sans cookies	Pages vues, non rattachées à une personne	Intérêt légitime
E-mails d’actualités produit	Nom, adresse e-mail, langue	Consentement (art. 6.1.a), que vous pouvez retirer à tout moment
Répondre aux demandes fondées sur la loi et constater, exercer ou défendre des droits en justice	Les données pertinentes pour l’affaire	Obligation légale ; intérêt légitime

Ce que vous devez fournir

Pour créer un compte, vous devez indiquer votre nom, une adresse e-mail et un mot de passe, ou vous connecter avec Google. Pour acheter, vous devez fournir vos coordonnées de facturation, car nous devons émettre des factures et calculer les taxes. Sans ces données, nous ne pouvons pas vous fournir le compte ou l’achat. Tout le reste, comme votre fuseau horaire ou les contenus que vous importez, est facultatif.

Comment nous mettons en balance les intérêts légitimes

Lorsque nous nous fondons sur des intérêts légitimes, nous avons vérifié que l’intérêt est réel, que le traitement est nécessaire à sa réalisation et qu’il ne prévaut pas sur vos intérêts et vos droits. Nous limitons strictement ces traitements : les adresses IP des sessions sont effacées au bout de 90 jours, la mesure de la qualité porte sur les tâches et les résultats plutôt que sur les personnes, et les statistiques de fréquentation n’utilisent pas de cookies et n’identifient pas les visiteurs. Vous pouvez vous opposer à tout moment aux traitements fondés sur l’intérêt légitime (vos droits).

Comment l’IA traite vos contenus

Sizewright utilise des modèles d’IA pour lire les briefs, orienter les concepts, rédiger et traduire les textes, analyser les marques, générer et retoucher des images et contrôler la qualité. L’IA ne produit jamais la bannière finale : les textes, les logos et la mise en page sont composés par le moteur propre à Sizewright.

Ce que reçoit chaque prestataire

Anthropic (les modèles Claude) reçoit les textes et les images nécessaires à une étape : votre brief, les éléments de votre kit de marque, le texte et une capture d’écran d’un site internet que vous nous demandez d’importer, les images à examiner et les rendus de bannières pour le contrôle qualité.
fal.ai, et les modèles d’image qu’il exécute pour nous, reçoivent les prompts d’image et les images à retoucher, à étendre, à détourer ou à agrandir, qui peuvent inclure des images que vous avez importées. Selon le modèle, fal.ai l’exécute lui-même ou transmet la requête au développeur du modèle.
Unsplash et Pexels reçoivent des termes de recherche de photos de banque d’images, tirés de votre brief. Nous ne leur transmettons aucune donnée personnelle. Lorsque votre navigateur affiche l’une de leurs photos, il la charge depuis leurs serveurs, qui voient alors votre adresse IP.

Chaque prestataire ne reçoit que ce dont l’étape a besoin. Nous n’envoyons jamais les adresses e-mail des comptes ni les données de facturation aux fournisseurs d’IA, et nous ne leur transmettons des contenus que pour réaliser le travail que vous avez demandé.

Pas d’entraînement sur vos contenus

Selon leurs conditions commerciales, les fournisseurs d’IA que nous utilisons n’entraînent pas leurs modèles sur les données que nous leur transmettons via leurs API. Nous n’entraînons pas nos propres modèles sur vos contenus.

Conservation chez les prestataires

Nous demandons à fal.ai de ne pas conserver les entrées et les sorties de nos requêtes, et les fichiers qu’il génère pour nous expirent au bout d’un jour ; nous copions ce que nous conservons dans notre propre stockage. Anthropic ne conserve les données transmises via son API que pendant la durée limitée prévue par ses conditions commerciales et ses conditions relatives au traitement des données. Le détail par prestataire figure sur la page des sous-traitants.

Marquage des images générées par l’IA

La plateforme signale les images générées par l’IA. Les fichiers image et vidéo exportés (PNG, JPG, WebP, AVIF, GIF et MP4) qui contiennent des images générées par l’IA portent un marquage lisible par machine qui l’indique (le type de source numérique IPTC/XMP), comme le prévoit le règlement européen sur l’intelligence artificielle (AI Act) pour les contenus de synthèse.

Décisions automatisées

Chaque brief et chaque fichier importé font l’objet d’un contrôle automatique par un modèle d’IA au regard de notre politique d’utilisation acceptable. Le contrôle peut bloquer un brief, ou le laisser passer en le signalant pour qu’une personne l’examine. Un brief bloqué ne coûte aucun crédit, et la plateforme vous indique pourquoi il a été bloqué.

Ce contrôle détermine uniquement si un contenu est généré. Il ne prend pas à votre égard de décisions produisant des effets juridiques vous concernant ou vous affectant de manière significative de façon similaire, au sens de l’article 22 du RGPD. Les briefs bloqués et signalés sont transmis à notre équipe pour examen, et un espace de travail comptant trois briefs bloqués en 90 jours est signalé pour examen par une personne. Les décisions de suspendre un compte ou un espace de travail sont prises par des personnes. Si vous pensez qu’un brief a été bloqué à tort, écrivez à support@sizewright.com et une personne l’examinera.

Destinataires de vos données

Nos sous-traitants : les prestataires d’hébergement, de base de données, de paiement, d’e-mail, d’IA et de recherche de photos de banque d’images, dont la finalité et la localisation figurent sur la page des sous-traitants. Ils ne traitent les données que sur nos instructions.
Stripe utilise également les données de paiement pour ses propres finalités, comme la prévention de la fraude et le respect de ses obligations légales en tant que prestataire de paiement. La politique de confidentialité de Stripe s’applique à cet usage.
Google, si vous choisissez de vous connecter avec Google.
Le contrôle des mots de passe compromis : lorsque vous définissez un mot de passe, nous le comparons aux mots de passe connus à la suite de fuites de données, au moyen du service Have I Been Pwned. Seuls les premiers caractères d’une empreinte (hash) du mot de passe quittent nos systèmes, jamais le mot de passe lui-même.
Les autres personnes de votre espace de travail voient votre nom, votre adresse e-mail, votre rôle et vos contributions. Les relecteurs qui reçoivent un lien de validation voient les bannières qu’il couvre et les réponses à leurs commentaires.
Notre équipe d’assistance peut accéder à un espace de travail lorsque c’est nécessaire pour vous aider ou pour analyser un problème. Elle doit consigner un motif, chaque session prend fin au bout de 60 minutes au maximum, elle ne peut ni modifier la facturation ni rien supprimer pendant la session, et chaque session est journalisée.
Notre équipe qualité peut noter de 1 à 5 un échantillon de vos bannières si un propriétaire ou un admin de votre espace de travail autorise l’évaluation de la qualité dans les réglages de l’espace de travail. Elle reste désactivée tant que vous ne l’autorisez pas, porte sur les bannières créées ensuite et s’arrête aussitôt que vous l’arrêtez. Les évaluateurs voient la bannière avec son format, sa langue et ce qu’elle promeut, pas le nom de votre espace de travail ; les notes servent uniquement à mesurer et à améliorer nos contrôles qualité.
Les autorités, comme l’administration fiscale, les juridictions ou la police, lorsque la loi l’exige, ainsi que nos conseils professionnels, comme les experts-comptables et les avocats, qui sont tenus au secret.
Un acquéreur ou un successeur, si tout ou partie de notre activité est cédé. Nous vous en informons à l’avance.

Nous ne vendons pas de données personnelles et ne les partageons pas avec des régies publicitaires.

Transferts internationaux

Notre base de données se trouve dans l’UE (Francfort), de même que notre stockage de fichiers. Certains prestataires sont établis aux États-Unis ou y traitent des données, et Cloudflare sert le site internet depuis des sites répartis dans le monde entier. Lorsque des données personnelles quittent l’Espace économique européen, nous nous fondons sur une décision d’adéquation de la Commission européenne, comme le Data Privacy Framework UE–États-Unis pour les prestataires certifiés à ce titre, ou sur les clauses contractuelles types de la Commission européenne, assorties de garanties supplémentaires si nécessaire. La page des sous-traitants indique le mécanisme applicable à chaque prestataire. Vous pouvez obtenir une copie des garanties en écrivant à support@sizewright.com.

Durées de conservation

Nous ne conservons les données personnelles que le temps nécessaire aux finalités décrites dans cette politique. Les durées ci-dessous sont appliquées automatiquement lorsque le tableau l’indique.

Données	Durée de conservation
Données de compte	Tant que votre compte existe. Un compte supprimé est effacé 14 jours après sa suppression, par une tâche quotidienne. Connectez-vous pendant ces 14 jours pour le conserver.
Espaces de travail et leurs contenus	Tant que l’espace de travail existe. Lorsqu’un espace de travail est supprimé, ses enregistrements sont effacés immédiatement et ses fichiers stockés dans l’heure.
Fichiers supprimés d’une bibliothèque	Effacés 30 jours après leur suppression, sauf si une bannière active les utilise encore. Ils sont alors conservés aussi longtemps que cette bannière.
Imports de fichiers inachevés	1 jour
Imports de fichiers refusés	7 jours
Aperçus qui ne sont plus utilisés	1 jour
Fichiers d’export de données (ZIP)	7 jours
Sessions de connexion	Jusqu’à 30 jours sans utilisation. L’adresse IP et les informations de navigateur d’une session sont effacées au bout de 90 jours.
Journal d’audit	1 an
Factures et documents fiscaux	7 ans, comme l’exige le droit fiscal néerlandais
Preuves de l’acceptation des conditions, des consentements, des rétractations et des résiliations	Le temps nécessaire pour prouver ce qui a été convenu, et pas au-delà du délai pendant lequel une action à ce sujet peut être engagée
Registre des e-mails que nous vous avons envoyés	Le temps nécessaire pour répondre aux questions sur leur distribution et prouver que les notifications obligatoires ont été envoyées
Vos e-mails	Le temps nécessaire pour traiter votre question et son éventuel suivi
Sauvegardes	Supprimées par rotation dans un délai de 30 jours

Les données que nous sommes tenus de conserver, comme les factures, sont conservées après la suppression de votre compte, pendant la durée fixée par la loi.

Comment nous protégeons les données

Nous protégeons les données personnelles par des mesures techniques et organisationnelles adaptées au risque, notamment :

des connexions exclusivement en HTTPS, avec HSTS, une politique de sécurité du contenu stricte et d’autres en-têtes de sécurité ;
des mots de passe d’au moins 10 caractères, comparés aux mots de passe connus à la suite de fuites de données, et la vérification de l’adresse e-mail ;
l’authentification à deux facteurs avec une application d’authentification et des codes de secours, obligatoire pour notre propre personnel ;
des sessions dans des cookies sécurisés et HTTP-only, une liste des appareils permettant la déconnexion par appareil ou partout, et une nouvelle vérification du mot de passe pour les actions sensibles ;
une protection contre les robots et des limites de débit sur l’inscription, la connexion, la réinitialisation du mot de passe et les changements d’adresse e-mail, ainsi que des e-mails de sécurité en cas de connexion depuis un nouvel appareil et de modification de votre mot de passe, de votre adresse e-mail ou de vos paramètres d’authentification à deux facteurs ;
des contrôles d’autorisation côté serveur pour chaque requête, de sorte que les données d’un espace de travail ne soient accessibles qu’à ses propres membres ;
des liens de validation dotés de longs jetons aléatoires que nous ne conservons que sous forme d’empreintes, avec date d’expiration, mot de passe facultatif et possibilité de révocation ;
des contrôles sur chaque fichier importé : limites de taille, détection du type de fichier d’après son contenu, décodage des images, nettoyage des fichiers SVG et validation des polices ;
des aperçus de bannières exécutés dans un bac à sable ;
le chiffrement au repos de la base de données et du stockage de fichiers, tous deux situés dans l’UE, et des sauvegardes de la base de données permettant une restauration à un instant donné ;
des journaux sans mots de passe, jetons ni données de carte, et un journal d’audit en ajout seul ;
des secrets tenus hors du code, ainsi que des mises à jour et des audits de sécurité réguliers des logiciels dont nous dépendons.

En cas de violation de données personnelles, nous l’évaluons dans les 24 heures, la notifions à l’Autoriteit Persoonsgegevens, l’autorité néerlandaise de protection des données, dans les 72 heures lorsque la loi l’exige, et vous en informons dans les meilleurs délais si elle est susceptible d’engendrer un risque élevé pour vous. Pour en savoir plus sur nos mesures de sécurité, consultez la page Sécurité.

Vos droits

En vertu du RGPD, vous avez le droit :

d’accéder aux données personnelles que nous détenons à votre sujet et d’en recevoir une copie ;
d’obtenir la rectification des données inexactes ou incomplètes ;
d’obtenir l’effacement de vos données, sauf si nous sommes tenus de les conserver, par exemple les factures ;
d’obtenir la limitation du traitement, par exemple pendant que nous vérifions une contestation de l’exactitude des données ;
à la portabilité des données : recevoir vos données dans un format structuré et lisible par machine, ou les faire transmettre à un autre prestataire lorsque c’est techniquement possible ;
de vous opposer au traitement fondé sur l’intérêt légitime et, à tout moment, à la prospection commerciale ;
de retirer votre consentement à tout moment, sans que cela affecte la licéité des traitements effectués auparavant ;
de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques vous concernant ou vous affectant de manière significative de façon similaire.

Comment exercer vos droits

Vous pouvez effectuer une grande partie de ces démarches vous-même dans la plateforme :

Une copie de vos données : dans Paramètres du compte → Vos données, téléchargez immédiatement un fichier JSON contenant votre profil, vos connexions et vos appareils, les consentements que vous avez donnés, les e-mails que nous vous avons envoyés, ainsi que les kits de marque et les campagnes des espaces de travail dont vous êtes propriétaire. Vous pouvez aussi faire préparer vos fichiers : tout ce qui a été importé dans les espaces de travail dont vous êtes propriétaire et les images créées pour leurs campagnes, dans un fichier ZIP. Nous vous envoyons par e-mail un lien, utilisable pendant 7 jours lorsque votre session est ouverte.
Rectification : modifiez votre nom, votre adresse e-mail, votre langue et votre fuseau horaire dans les paramètres du compte.
Effacement : supprimez votre compte dans les paramètres du compte. Il est effacé au bout de 14 jours, et vous pouvez le conserver en vous connectant pendant ce délai.
Actualités produit : abonnez-vous ou désabonnez-vous à tout moment dans les paramètres du compte. Les e-mails concernant votre compte, la sécurité et la facturation vous parviennent toujours, car nous en avons besoin pour fournir le service.
Notifications : choisissez, pour chaque type (travaux terminés, validations des clients, mentions, crédits, paiements échoués), si vous souhaitez en être averti dans la plateforme, par e-mail, ou les deux, dans les paramètres du compte.

Pour toute autre demande, ou si vous préférez l’e-mail, écrivez à support@sizewright.com. Nous pouvons d’abord vous demander de confirmer votre identité. Nous répondons dans un délai d’un mois. Si une demande est complexe ou si nous en recevons un grand nombre, nous pouvons prolonger ce délai de deux mois, en vous en indiquant les raisons dans le premier mois. L’exercice de vos droits est gratuit, sauf si une demande est manifestement infondée ou excessive.

Réclamations

Si la manière dont nous traitons vos données personnelles ne vous convient pas, dites-le-nous d’abord à support@sizewright.com. Vous avez également le droit d’introduire une réclamation auprès d’une autorité de contrôle : aux Pays-Bas, l’Autoriteit Persoonsgegevens ; en France, la Commission nationale de l’informatique et des libertés (CNIL) ; ou l’autorité de protection des données du pays de l’UE où vous résidez, où vous travaillez ou où le problème est survenu.

Enfants

Sizewright ne s’adresse pas aux enfants. Vous devez avoir au moins 16 ans pour créer un compte. Nous ne collectons pas sciemment de données personnelles d’enfants de moins de 16 ans. Si nous apprenons que cela a été le cas, nous les supprimons. Si vous pensez qu’un enfant nous a communiqué des données personnelles, écrivez à support@sizewright.com.

Modifications de cette politique

Nous mettons cette politique à jour lorsque nos traitements ou la loi évoluent. La version et la date indiquées en haut de la page montrent quand elle a été modifiée pour la dernière fois. Nous vous informons par e-mail des modifications importantes 30 jours avant leur entrée en vigueur.

Contact

Pour toute question sur cette politique ou sur vos données personnelles, écrivez à support@sizewright.com.