Politique de confidentialité

Nous sommes le responsable du traitement des données personnelles que nous collectons pour exercer notre activité : données relatives aux comptes, aux espaces de travail, à la facturation, à l’assistance, à la sécurité et au site web.

Lorsque nos clients professionnels transmettent du contenu via les Services, comme des prompts, des fichiers et les résultats générés à partir de ceux-ci, nous traitons les données personnelles contenues dans ce contenu en tant que sous-traitant ou prestataire de services, pour le compte du client et selon ses instructions. Notre Accord sur le traitement des données s’applique alors. Si vous utilisez un produit de l’un de nos clients, veuillez contacter ce client au sujet de vos données ; nous lui transmettrons les demandes que nous recevons.

2.1 Données de compte et d’espace de travail. Votre adresse e-mail, votre nom si vous le renseignez, les noms des espaces de travail, votre appartenance aux équipes et vos rôles, ainsi que vos paramètres. Vous vous connectez à l’aide de codes à usage unique envoyés par e-mail ; nous ne stockons donc aucun mot de passe.

2.2 Clés API. Le nom, le préfixe et les limites de chaque clé. La clé secrète complète ne vous est affichée qu’une seule fois et nous ne la stockons que sous forme de hachage irréversible.

2.3 Données de facturation. Vos achats, votre solde et votre historique de Crédits, vos Crédits promotionnels, vos reçus et factures, ainsi que les identifiants fournis par notre prestataire de paiement. Les données de carte bancaire sont collectées et stockées par notre prestataire de paiement ; nous ne recevons jamais votre numéro de carte complet.

2.4 Données d’utilisation. Pour chaque requête : la date et l’heure, le modèle, le point de terminaison et la clé API utilisés ; le nombre de tokens, d’images ou de vidéos ; le coût et le prix catalogue ; le statut et les codes d’erreur ; la latence ; et la route utilisée pour la traiter. Nous utilisons ces données pour vous facturer, afficher votre historique de requêtes, assurer le fonctionnement des Services, les améliorer et les sécuriser.

2.5 Contenu que vous transmettez via les Services.

• Requêtes de chat et de texte via l’API : nous traitons les prompts et les réponses en mémoire pendant le traitement de la requête, sans les stocker.
• Conversations dans le Playground : vos conversations dans le Playground sont enregistrées dans votre compte pour que vous puissiez les rouvrir. Vous seul pouvez les consulter, et nous conservons les 300 plus récentes dans chaque espace de travail jusqu’à ce que vous les supprimiez. Les fichiers joints à une conversation ne sont pas enregistrés avec celle-ci.
• Images que vous ajoutez dans le Playground : les images que vous importez, collez ou déposez dans le Playground sont conservées dans les Imports récents de votre espace de travail pour que vous puissiez les réutiliser. Tous les membres de l’espace de travail peuvent les consulter, et elles sont supprimées après 30 jours.
• Images : les images générées et les prompts utilisés pour les produire sont stockés pour que vous puissiez les consulter et les télécharger, puis supprimés après 30 jours.
• Vidéos : le prompt, les paramètres et les éventuelles images de référence que vous transmettez sont stockés pour produire la vidéo et vous la fournir. La vidéo, le prompt et les images de référence sont supprimés après 30 jours. Un enregistrement de la tâche sans ce contenu (date et heure, modèle, durée, statut et coût) reste dans votre historique de facturation.
• Détails des erreurs : lorsqu’une tentative de traitement d’une requête échoue, nous conservons le message d’erreur renvoyé pendant une durée maximale de 30 jours pour diagnostiquer les problèmes. Ces messages peuvent parfois citer une partie d’une requête ou d’une réponse.
• Le contenu est transmis aux Fournisseurs d’infrastructure pour générer les résultats (voir la Section 4). Nous n’utilisons pas votre contenu pour entraîner des modèles d’intelligence artificielle et nous ne le vendons pas.

2.6 Communications. Les demandes d’assistance et les messages que vous nous envoyez, y compris le nom, l’adresse e-mail et l’entreprise que vous renseignez sur notre page Assistance, ainsi que les traces des e-mails que nous vous envoyons, tels que les codes de connexion et de confirmation, les reçus, les alertes de compte et les actualités produit, y compris l’information indiquant si un e-mail d’actualités produit a été ouvert.

2.7 Données sur les appareils et journaux. Adresse IP, informations sur le navigateur et l’appareil, horodatages et événements de sécurité lors de votre utilisation des sites web, du tableau de bord ou de l’API, conservés dans les journaux de nos serveurs. Nous conservons aussi des relevés des adresses IP et des appareils utilisés pour vous connecter, utiliser le tableau de bord, enregistrer une carte, effectuer un paiement et appeler l’API, avec les dates de première et de dernière utilisation, afin de prévenir la fraude et de répondre aux contestations de paiement. Nous indiquons également sur votre compte les pays depuis lesquels vous utilisez le tableau de bord, tels que Cloudflare les déduit de votre adresse IP, avec les dates de première et de dernière utilisation pour chacun, afin que notre équipe d’assistance puisse vous aider lorsque vous nous contactez. Lorsque vous demandez un code de connexion ou d’inscription, Cloudflare Turnstile vérifie que la demande provient d’une personne et non d’un script automatisé, et reçoit pour cela votre adresse IP et des signaux de votre navigateur. Nous enregistrons aussi le réseau depuis lequel chaque nouveau compte est créé, afin de limiter les inscriptions automatisées.

2.8 Cookies et stockage local. En dehors des cookies de mesure publicitaire de Meta, Google et X et de notre historique des publicités sur lesquelles vous avez cliqué (2.9), nous utilisons uniquement ce qui est nécessaire au fonctionnement des Services : maintenir votre connexion, à l’aide du stockage local de votre navigateur et d’un cookie conservé jusqu’à votre déconnexion (jusqu’à 400 jours, renouvelé lors de vos visites), et mémoriser vos préférences, comme votre thème et la langue choisie (un cookie conservé pendant un an). Notre propre outil d’analyse du site web (2.10) ne dépose aucun cookie et ne stocke rien sur votre appareil. L’hébergeur de notre site web collecte également des statistiques anonymes de consultation, notamment les pages visitées et leur fréquence de consultation, et peut déposer un cookie à cette fin.

2.9 Mesure publicitaire (Meta, Google et X). Pour mesurer nos publicités sur Facebook et Instagram, nos sites web chargent le Meta Pixel, qui dépose les cookies de Meta (_fbp, ainsi que _fbc lorsque vous arrivez depuis une publicité Meta) et indique à Meta quelles pages vous consultez sur nos sites. Lors de votre inscription, de votre première requête API réussie et de vos achats de crédit, nous transmettons également ces événements à Meta directement depuis nos serveurs, avec votre adresse e-mail et votre identifiant de compte sous forme hachée, votre adresse IP et les informations sur votre navigateur, les valeurs des cookies de Meta et, pour un achat, son montant. Pour mesurer nos publicités sur Google, nos sites web chargent aussi le Google tag pour Google Ads, qui dépose les cookies de Google (_gcl_au, ainsi que _gcl_aw ou _gcl_gb avec l’identifiant de clic, comme gclid, lorsque vous arrivez depuis une publicité Google) et indique à Google quelles pages vous consultez sur nos sites. Lors de votre inscription, de votre première requête API réussie et de vos achats de crédit, votre navigateur transmet ces événements à Google Ads, avec un identifiant d’événement, votre adresse e-mail sous forme hachée (conversions avancées de Google), votre adresse IP et les informations sur votre navigateur, les valeurs des cookies de Google et, pour un achat, son montant ; la première requête API et les achats sont transmis à la prochaine ouverture de notre tableau de bord. Nous utilisons Google Ads uniquement pour mesurer nos publicités, et non pour vous montrer des publicités personnalisées. Pour mesurer nos publicités sur X, nos sites web chargent aussi le pixel de X, qui dépose les cookies de X (_twpid et _twsid, ainsi que _twclid avec l’identifiant de clic, twclid, lorsque vous arrivez depuis une publicité X) et indique à X quelles pages vous consultez sur nos sites ; X peut également lire les cookies qu’il a déposés sur ses propres sites web. Lors de votre inscription, votre navigateur en informe X, avec un identifiant d’événement, votre adresse IP et les informations sur votre navigateur, ainsi que l’identifiant de clic de X ; nous ne transmettons pas votre adresse e-mail à X. Lorsque vous arrivez depuis l’une de nos publicités Meta ou Google, nous conservons aussi dans le stockage local de votre navigateur, pendant 90 jours au maximum, les paramètres de campagne présents dans l’adresse de la publicité (comme les noms ou identifiants de la campagne et de la publicité) et la date et l’heure de votre clic, afin que notre outil d’analyse du site web (2.10) puisse déterminer de quelle publicité vous provenez si vous créez un compte un autre jour ; nous ne transmettons pas cet historique à Meta ou Google. Dans l’Espace économique européen, au Royaume-Uni et en Suisse, tout cela ne se produit que si vous l’autorisez dans notre bandeau. Ailleurs, ces fonctions sont activées sauf si vous les désactivez via Vos choix de confidentialité en bas de nos pages, et nous considérons un signal Global Privacy Control de votre navigateur comme une demande de désactivation. La désactivation arrête le Meta Pixel, le Google tag et le pixel de X, supprime de votre navigateur les cookies qu’ils ont déposés sur nos sites web ainsi que notre historique des publicités sur lesquelles vous avez cliqué, et supprime les identifiants que nous avions conservés pour ces services.

2.10 Statistiques de fréquentation du site. Pour comprendre comment les visiteurs trouvent et utilisent nos sites web, nous enregistrons les pages que vous consultez sur zurelay.com (hors tableau de bord connecté) et la durée pendant laquelle chacune reste visible, le site web ou l’application qui vous a redirigé, les balises de campagne dans l’adresse (paramètres UTM), si vous êtes arrivé après avoir cliqué sur une publicité (le nom du paramètre de clic publicitaire, comme gclid, mais pas sa valeur), le pays déduit de votre adresse IP, ainsi que votre type d’appareil, votre navigateur et votre système d’exploitation. Nous ne déposons aucun cookie et ne stockons rien sur votre appareil à cette fin. Pour compter les visiteurs sans les identifier, nous combinons votre adresse IP et les caractéristiques de votre navigateur avec une valeur aléatoire renouvelée chaque jour, puis ne conservons que le code obtenu, afin que les visites effectuées à des jours différents ne puissent pas être reliées entre elles ; nous ne conservons pas votre adresse IP. Lorsque vous créez un compte, nous enregistrons la visite depuis laquelle vous vous êtes inscrit ce jour-là et, si la mesure publicitaire (2.9) est activée et que vous êtes arrivé depuis une publicité Google ou Meta un jour précédent, la plateforme et la publicité concernées (ses balises de campagne), pour savoir quelles sources et publicités nous apportent des clients.

Lorsque le RGPD, le RGPD britannique ou des lois similaires s’appliquent, nous nous appuyons sur les bases légales indiquées entre parenthèses.

• Pour créer et gérer votre compte et vos espaces de travail, vous authentifier, traiter vos requêtes et stocker vos fichiers générés (exécution de notre contrat avec vous).
• Pour facturer les Services, traiter les paiements et les promotions, prévenir la fraude et tenir les registres fiscaux et comptables (contrat, obligation légale et notre intérêt légitime à être payés et à prévenir la fraude).
• Pour sécuriser les Services, surveiller leur fiabilité, prévenir les abus et faire respecter nos Conditions (intérêts légitimes).
• Pour vous apporter de l’aide et vous envoyer des messages de service, comme des reçus, des alertes de sécurité et des informations sur les modifications de nos conditions (contrat et intérêts légitimes).
• Pour comprendre et améliorer les Services, principalement à partir de données d’utilisation agrégées ou désidentifiées (intérêts légitimes).
• Pour comprendre comment les visiteurs trouvent et utilisent nos sites web et quelles sources nous apportent des clients, comme décrit en 2.10 (intérêts légitimes).
• Pour mesurer et améliorer nos publicités sur Meta, Google et X, comme décrit en 2.9 (votre consentement lorsque la loi l’exige, sinon nos intérêts légitimes ; vous pouvez désactiver cette mesure à tout moment).
• Pour vous envoyer des actualités, des conseils et des offres sur nos produits, comme des e-mails de prise en main et un bonus sur un premier dépôt, et savoir lesquels sont ouverts, lorsque la loi le permet. Chaque message contient un lien de désinscription, et vous désinscrire ne bloque pas les codes de connexion, les reçus ni les autres messages de service (consentement ou intérêts légitimes).
• Pour respecter la loi, répondre aux demandes légales et constater, exercer ou défendre des droits en justice (obligation légale et intérêts légitimes).

• Fournisseurs d’infrastructure. Les développeurs de modèles d’intelligence artificielle, plateformes cloud, revendeurs indépendants et autres fournisseurs de capacités de modèles que nous sélectionnons et vérifions pour traiter les requêtes reçoivent le contenu et les paramètres nécessaires à la génération d’une réponse. Ils les traitent selon leurs propres conditions et pratiques, qui peuvent inclure leur journalisation, leur conservation, leur examen et leur utilisation pour améliorer leurs services, et peuvent être situés aux États-Unis ou dans d’autres pays. Nous ne leur transmettons ni votre nom, ni votre adresse e-mail, ni vos informations de facturation.
• Prestataires de services. Les entreprises qui nous fournissent l’hébergement, les bases de données, le stockage, le traitement des paiements, l’envoi d’e-mails, la protection contre les robots et les outils d’assistance, dans le cadre de contrats limitant leur utilisation des données personnelles à la fourniture de services pour notre compte.
• Votre espace de travail. Les membres et les administrateurs d’un espace de travail peuvent consulter les données de cet espace selon leurs rôles.
• Obligations légales et sécurité. Lorsque nous estimons de bonne foi qu’une divulgation est nécessaire pour respecter la loi ou répondre à une demande légale, faire respecter nos Conditions, protéger les droits, les biens ou la sécurité de quiconque, ou enquêter sur une fraude ou un abus, y compris pour signaler aux autorités des contenus d’abus sexuels sur mineurs.
• Opérations sur l’entreprise. Dans le cadre d’une fusion, d’une acquisition, d’un financement, d’une réorganisation ou d’une cession d’actifs, sous réserve de la présente Politique.
• Meta (mesure publicitaire). Meta Platforms reçoit les données décrites en 2.9 pour mesurer nos publicités et les diffuser auprès de personnes susceptibles de trouver les Services utiles. Meta les utilise selon ses propres conditions et sa politique de confidentialité, en tant que responsable de traitement indépendant lorsque le RGPD s’applique.
• Google (mesure publicitaire). Google LLC reçoit les données décrites en 2.9 pour mesurer nos publicités sur Google. Google les utilise selon ses propres conditions et sa politique de confidentialité, et nous lui demandons de ne pas les utiliser pour personnaliser les publicités.
• X (mesure publicitaire). X Corp. reçoit les données décrites en 2.9 pour mesurer nos publicités sur X et les diffuser auprès de personnes susceptibles de trouver les Services utiles. X les utilise selon ses propres conditions et sa politique de confidentialité.
• Avec votre consentement ou selon vos instructions.

Nous ne vendons pas de données personnelles contre de l’argent. L’envoi de données à Meta, Google et X à des fins de mesure publicitaire (2.9) peut être considéré comme un « partage » à des fins de publicité comportementale intercontextuelle, ou comme de la « publicité ciblée », en vertu des lois de certains États américains. Vous pouvez vous y opposer à tout moment via Vos choix de confidentialité en bas de nos pages, et nous respectons le signal Global Privacy Control.

Zurelay est établi aux États-Unis. Nous, nos prestataires de services et nos fournisseurs d’infrastructure traitons des données personnelles aux États-Unis et dans d’autres pays, dont les lois sur la protection des données peuvent différer de celles de votre pays de résidence. Lorsque la loi l’exige, nous utilisons des garanties reconnues, comme les clauses contractuelles types de la Commission européenne, pour les transferts de données vers nous. Certains fournisseurs d’infrastructure proposent leurs services uniquement selon leurs propres conditions standard, ce qui peut nous empêcher de mettre en place de telles garanties avec eux.

Nous pouvons conserver les données plus longtemps si la loi l’exige, pour régler des litiges ou faire appliquer nos accords. Les sauvegardes sont supprimées selon leur calendrier habituel.

Nous protégeons les données personnelles par des mesures adaptées aux risques, notamment le chiffrement en transit, le stockage des clés API uniquement sous forme de hachages à sens unique, le chiffrement au repos assuré par nos hébergeurs et la limitation de l’accès aux systèmes de production aux seules personnes qui en ont besoin. Aucun système n’est parfaitement sécurisé ; nous ne pouvons donc pas garantir la sécurité des données personnelles. Il vous incombe de protéger vos clés API et votre compte de messagerie.

Selon votre lieu de résidence, vous pouvez avoir le droit d’accéder à vos données personnelles, de les rectifier ou de les supprimer, d’en recevoir une copie, de vous opposer à leur traitement ou de le limiter, de retirer votre consentement et de refuser la vente ou le partage de données personnelles ou la publicité ciblée (nous ne vendons pas de données personnelles ; pour refuser le partage à des fins de mesure publicitaire, utilisez Vos choix de confidentialité en bas de nos pages ou activez Global Privacy Control dans votre navigateur). Si vous résidez dans l’Espace économique européen, au Royaume-Uni ou en Suisse, vous pouvez également déposer une réclamation auprès de votre autorité de protection des données. Pour ne plus recevoir d’actualités sur le produit, utilisez le lien de désabonnement présent dans chacun de ces e-mails.

Pour exercer un droit, écrivez à help@zurelay.com en indiquant « Demande relative à la confidentialité » dans l’objet. Nous vérifierons votre identité avant de donner suite à votre demande, pourrons demander à un mandataire de justifier son mandat et répondrons dans le délai prévu par la loi. Si nous refusons une demande, vous pouvez contester cette décision en répondant à notre message. Nous ne vous ferons subir aucune discrimination pour avoir exercé vos droits. Les demandes concernant du contenu envoyé par nos clients via les Services seront transmises au client concerné.

Les Services sont destinés aux entreprises et ne s’adressent pas aux enfants. Nous ne collectons pas sciemment de données personnelles auprès de personnes de moins de 18 ans. Si vous pensez qu’un enfant nous a transmis des données personnelles, contactez-nous et nous les supprimerons.

Nous pouvons mettre à jour cette Politique de temps à autre. Nous publierons la version mise à jour avec une nouvelle date et, en cas de modifications importantes, nous vous en informerons par email ou dans les Services.

Vous pouvez adresser vos questions et demandes concernant la protection de vos données personnelles à Zurelay LLC à l’adresse help@zurelay.com. Pour obtenir de l’aide concernant votre compte ou les Services, ouvrez une demande sur notre page d’assistance (zurelay.com/support).