Politique de confidentialité

1. Qui nous sommes

WhoWasThisGuy (« nous ») est exploité par Pavel Valynets PR Beograd, entrepreneur individuel (preduzetnik) domicilié Jurija Gagarina 231, 11070 Beograd (Novi Beograd), Serbie, numéro d’immatriculation (MB) 67436644, numéro d’identification fiscale (PIB) 114255826. Nous sommes le responsable du traitement de vos données personnelles. Contact pour les questions relatives à la vie privée : [email protected].

2. Champ d’application de cette politique

Cette politique explique comment nous traitons les données personnelles lorsque vous visitez whowasthisguy.com, créez un compte, achetez une page commémorative, ajoutez des souvenirs ou nous contactez.

3. Les données que nous traitons

• Visiteurs : adresse IP, informations sur le navigateur et l’appareil, pages demandées et horodatages, que Cloudflare traite pour protéger le site, ainsi que des mesures anonymes de la vitesse des pages. Avec votre consentement, Google Analytics enregistre en outre les pages que vous consultez, la manière dont vous êtes arrivé, votre appareil et votre navigateur, et une localisation approximative ; Google ne journalise ni ne conserve les adresses IP des visiteurs de l’UE, de la Suisse ou du Royaume-Uni, et les signaux Google et les fonctionnalités publicitaires sont désactivés (voir la section 11).
• Titulaires d’un compte : adresse e-mail, nom (facultatif), mot de passe (conservé uniquement sous forme de hachage), langue et paramètres du compte. Une adresse e-mail est nécessaire pour créer un compte ; tout le reste est facultatif. Si vous êtes arrivé par un lien comportant des paramètres de campagne (tels que utm_source ou un identifiant de clic publicitaire), nous conservons ces paramètres avec votre compte.
• Acheteurs : notre vendeur officiel (Merchant of Record), Creem, traite vos nom, adresse e-mail, pays, moyen de paiement et données de facturation. Nous recevons le statut de la commande, le montant, le pays et l’adresse e-mail que vous avez utilisée. Nous ne recevons jamais votre numéro de carte complet. Lorsque vous payez, nous enregistrons également que vous avez accepté les conditions et demandé la publication immédiate de votre page, ainsi que, le cas échéant, les paramètres de campagne du lien par lequel vous êtes arrivé.
• Contenu commémoratif : les textes, photos, dates, lieux et liens de parenté que vous ajoutez. Il peut s’agir d’informations sur la personne décédée ainsi que sur des proches et des amis vivants. Si une page est signalée, il comprend aussi toute preuve du décès que vous nous envoyez, par exemple un lien vers un avis ou l’image d’un document, ainsi que les résultats de nos contrôles automatiques.
• Mots de passe de page : si vous protégez une page par un mot de passe, nous ne conservons qu’un hachage du mot de passe. Le visiteur qui le saisit reçoit un cookie qui s’en souvient pendant 30 jours (voir la Politique relative aux cookies).
• Enregistrements : les fichiers audio que vous ou un éditeur ajoutez à une page. Nous convertissons chacun en un nouveau fichier sans les balises ni les images qu’il contenait ; le fichier d’origine n’est pas conservé. Avant que les visiteurs puissent écouter un enregistrement, Gemini l’écoute et en rédige une transcription pour le contrôle automatique ; la transcription n’est pas conservée.
• Contributeurs : le nom, le lien avec la personne, ainsi que les souvenirs et photos que vous soumettez sur une page. Nous ne demandons pas d’adresse e-mail aux contributeurs.
• Éditeurs : si le propriétaire d’une page vous invite à l’aider à la modifier, nous enregistrons les pages que vous modifiez et depuis quand. Le propriétaire voit votre nom d’utilisateur, jamais votre adresse e-mail.
• Assistance : les messages que vous nous envoyez par e-mail ou au moyen de nos formulaires, et nos réponses.
• Suivi des erreurs : en cas de dysfonctionnement dans votre navigateur ou sur nos serveurs, les détails techniques de l’erreur, y compris l’adresse IP, le navigateur et l’adresse de la page, sur notre propre serveur de suivi des erreurs (GlitchTip), hébergé par Hetzner dans l’UE.
• Fonctionnalités d’IA : les réponses et les textes que vous fournissez à l’assistant d’écriture, et les textes que nous traduisons.
• Chat d’aide : lorsque le chat d’aide est disponible sur notre site, les questions que vous y saisissez et ses réponses.
• Protection de l’enfance : lorsqu’une image est soupçonnée de montrer des abus sexuels sur des enfants, le dossier de l’affaire et les preuves que nous devons conserver (voir la section 9).
• Anciens commentaires de condoléances : le nom, l’adresse e-mail et le texte que des visiteurs ont laissés sur des pages commémoratives avant que nous ne fermions cette fonctionnalité.

4. Pourquoi nous traitons les données, et sur quelle base juridique

5. Les personnes décédées

Le droit de la protection des données ne protège généralement pas les personnes décédées (considérant 27 du RGPD), mais certains pays accordent aux proches des droits sur ces données. Quelle que soit la loi applicable, nous donnons suite aux demandes des proches parents visant à corriger ou à supprimer des informations concernant une personne décédée.

6. Les personnes vivantes mentionnées sur une page commémorative

Si une page vous mentionne, vous pouvez nous demander de corriger ou de supprimer ces informations au moyen de notre formulaire de signalement. Merci de ne pas ajouter d’informations sensibles sur des personnes vivantes (par exemple leur santé, leur religion ou leurs coordonnées) sans leur autorisation.

7. Les destinataires des données

Nous ne vendons jamais de données personnelles et n’affichons aucune publicité. Nous faisons appel aux prestataires suivants, dans le cadre de contrats qui encadrent l’usage qu’ils peuvent faire des données :

• Creem (Armitage Labs OÜ, Tallinn, Estonie) : paiements, factures et taxes, en qualité de vendeur officiel (Merchant of Record) et de responsable de traitement indépendant pour les données de paiement.
• Cloudflare : diffusion de contenu, sécurité et protection contre les robots, stockage des photos (R2) et statistiques de fréquentation sans cookies.
• Hetzner Online GmbH : hébergement des serveurs en Allemagne.
• Google : Google Analytics, uniquement avec votre consentement ; l’API Gemini pour la traduction et la modération des contenus ; Gmail, qui héberge notre messagerie d’assistance ; et YouTube, uniquement lorsque vous lisez une vidéo sur une page commémorative.
• Anthropic : l’API Claude pour l’assistant d’écriture et, lorsqu’il est disponible, le chat d’aide ; elle sert aussi de second contrôle et de solution de secours pour les contrôles automatiques et les traductions.
• Resend : envoi des e-mails liés au compte et aux commandes, et réception des e-mails adressés à nos adresses, qui sont transférés vers notre messagerie d’assistance. Resend envoie nos e-mails depuis sa région UE, mais stocke leur contenu et ses journaux aux États-Unis.

Nous pouvons communiquer des données lorsque la loi l’exige.

8. Transferts internationaux

Nos serveurs sont situés en Allemagne (Hetzner). Les photos, les fichiers d’exportation et les sauvegardes sont stockés chez Cloudflare R2, réglé sur son emplacement d’Europe de l’Est, que Cloudflare traite comme une préférence et non comme une garantie. Certains prestataires traitent des données aux États-Unis : Cloudflare, Google et Resend sont certifiés au titre du cadre de protection des données UE–États-Unis (Data Privacy Framework), que la Commission européenne reconnaît comme offrant une protection adéquate ; Anthropic ne l’est pas, de sorte que, pour Anthropic, nous nous appuyons sur les clauses contractuelles types figurant dans ses conditions de traitement des données. Google peut traiter le texte envoyé à Gemini dans tout pays où il dispose d’installations, avec les mêmes garanties. Creem est établi en Estonie. Nous, le responsable du traitement, sommes établis en Serbie, qui ne bénéficie d’aucune décision d’adéquation de l’UE, et nous accédons depuis la Serbie aux données stockées dans l’UE. Comme il n’existe pas encore de contrat type de l’UE pour un responsable du traitement qui est lui-même soumis au RGPD, ce qui est notre cas (art. 3, par. 2, du RGPD), nous appliquons le RGPD et la loi serbe sur la protection des données personnelles, qui le suit, à l’ensemble de nos traitements.

9. Durée de conservation des données

• Données du compte : tant que votre compte existe. Lorsque vous supprimez votre compte, nous effaçons ses données dans un délai de 30 jours, à l’exception de celles que la loi nous oblige à conserver, comme l’historique des commandes.
• Pages commémoratives : tant que la page est en ligne. Une page que vous supprimez disparaît aussitôt du site et est définitivement effacée, avec ses photos, au bout de 30 jours. Une page remboursée redevient un brouillon privé. Si un brouillon pour lequel vous n’avez pas payé n’est pas modifié pendant 180 jours, nous vous envoyons un rappel ; s’il n’a toujours pas changé 30 jours plus tard, nous le supprimons. Preuve d’un décès envoyée après un signalement : 30 jours après notre décision. Enregistrements détaillés de nos contrôles automatiques (scores et éléments de preuve) : 90 jours après la décision, ou plus longtemps tant qu’un réexamen ou une action en justice en a besoin ; le résultat et ses motifs restent conservés avec la page tant qu’elle existe.
• Souvenirs refusés par le propriétaire de la page ou non approuvés par lui dans un délai de 90 jours : 30 jours plus tard. Leurs photos sont aussitôt retirées du site.
• Conversations avec l’assistant d’écriture : 30 jours après la création de la page ou, si vous ne la terminez pas, 90 jours après votre dernier enregistrement de la conversation.
• Historique des commandes, y compris l’enregistrement de votre accord lors du paiement : aussi longtemps que l’exige la législation comptable et fiscale serbe, au maximum 10 ans. Les paramètres de campagne sont supprimés lorsque le compte est supprimé.
• Messages d’assistance, conversations du chat d’aide, réclamations et signalements : 2 ans après leur réception, ou plus longtemps si nous en avons besoin pour une action en justice.
• Dossiers de protection de l’enfance : les preuves conservées jusqu’à la clôture du dossier et tant que les autorités en ont besoin ; le dossier de l’affaire, sans l’image, pendant 2 ans après sa clôture. Les empreintes numériques (hachages) des images que nous avons retirées parce qu’elles étaient soupçonnées de constituer du matériel pédopornographique sont conservées, sans lien avec un compte ou une page, afin que ces mêmes images ne puissent pas être mises en ligne de nouveau.
• Anciens commentaires de condoléances : tant que la page sur laquelle ils ont été laissés existe, ou jusqu’à ce que leur auteur nous demande de le supprimer.
• Journaux de sécurité et données de prévention des abus : jusqu’à 30 jours, ou plus longtemps tant qu’un examen de sécurité ou une action en justice en a besoin.
• Rapports d’erreurs : jusqu’à 90 jours.
• Mesure d’audience : jusqu’à 14 mois.
• Copies conservées par nos prestataires : Resend conserve les e-mails envoyés et leurs journaux pendant 30 jours ; Anthropic supprime le texte que nous lui envoyons dans un délai de 30 jours ; Google conserve le texte envoyé à Gemini pendant 55 jours afin de détecter les abus ; Cloudflare conserve les journaux de requêtes pendant une durée limitée. Creem conserve les données de paiement conformément à sa propre politique de confidentialité.
• Sauvegardes : copies quotidiennes, conservées pendant 30 jours, stockées chez Cloudflare R2 et chiffrées au repos. Les données que vous supprimez quittent les sauvegardes lorsque la dernière copie qui les contient expire.

10. Vos droits

Vous pouvez demander l’accès à vos données, leur rectification, leur effacement, la limitation de leur traitement ou une copie portable, et vous opposer aux traitements fondés sur l’intérêt légitime. Vous pouvez retirer votre consentement à tout moment. Écrivez à [email protected] ; nous répondons dans un délai d’un mois ou, si une demande complexe nécessite jusqu’à deux mois supplémentaires, nous vous en informons dans ce délai. Vous pouvez introduire une réclamation auprès du Commissaire serbe à l’information d’importance publique et à la protection des données personnelles (Poverenik), ou auprès de l’autorité de protection des données de votre lieu de résidence.

11. Cookies

Consultez notre Politique relative aux cookies. Vous pouvez modifier votre choix à tout moment dans « Paramètres des cookies ».

12. Enfants

Les comptes et les achats sont réservés aux adultes (18 ans ou plus). Nous ne collectons pas sciemment de données personnelles d’enfants de moins de 16 ans. Si vous pensez qu’un enfant nous a transmis des données personnelles, écrivez-nous et nous les supprimerons.

13. Sécurité

Connexions chiffrées (HTTPS) ; mots de passe stockés uniquement sous forme de hachage ; photos, fichiers d’exportation et sauvegardes chiffrés au repos par Cloudflare R2 ; nos serveurs ne sont accessibles depuis Internet que par l’intermédiaire de Cloudflare, et l’accès administratif est limité à l’exploitant ; sauvegardes régulières. En cas de violation de données à caractère personnel, nous la notifions à l’autorité de contrôle compétente dans les meilleurs délais et, si possible, dans un délai de 72 heures, et nous en informons les personnes concernées dans les meilleurs délais lorsqu’elle est susceptible d’engendrer un risque élevé pour elles.

14. Fonctionnalités d’IA et contrôles automatiques

L’assistant d’écriture et les traductions transmettent le texte concerné aux fournisseurs d’IA mentionnés ci-dessus, qui le traitent pour produire un résultat. Rien de ce qu’écrit l’assistant n’est publié sans votre accord. Nous vérifions aussi automatiquement chaque page avant sa publication et après les modifications importantes : des règles fixes contrôlent les dates, et des contrôles par IA examinent le texte et les photos à la recherche de contenus que nos règles n’autorisent pas. Ces contrôles décident sans intervention d’une personne. Si une page enfreint manifestement nos règles, elle n’est pas publiée et le paiement est intégralement remboursé. Si les contrôles ne permettent pas de trancher, un second contrôle automatique est effectué ; s’il ne permet pas non plus de trancher, la page est publiée avec une visibilité limitée : les moteurs de recherche ne la répertorient pas et seules les personnes qui ont le lien peuvent l’ouvrir. Les pages consacrées à une personne qui avait moins de 18 ans à son décès ont toujours cette visibilité limitée. Les signalements sont eux aussi traités automatiquement : par exemple, si quelqu’un signale que la personne est toujours en vie, la page est masquée aussitôt et une preuve du décès est demandée à son propriétaire ; sans preuve acceptable dans un délai de 7 jours, la page est supprimée. Nous expliquons chaque décision dans un e-mail adressé au propriétaire de la page. Vous pouvez demander qu’une personne réexamine toute décision automatique, au moyen du lien figurant dans cet e-mail ou en y répondant, et nous faire part de votre point de vue.

Information sur l’usage de l’IA (article 50 du règlement européen sur l’IA) : l’assistant d’écriture est un système d’IA, et nous vous le signalons partout où vous l’utilisez. Ce qu’il rédige n’est qu’une suggestion, et rien de ce qu’il écrit n’est publié tant que vous ne l’avez pas approuvé. Les traductions automatiques sont elles aussi produites par l’IA et sont signalées comme telles sur la page.

15. Modifications

Nous informerons les titulaires d’un compte par e-mail avant l’entrée en vigueur de toute modification importante.

16. Langue

Cette politique est rédigée en anglais. Les traductions sont fournies pour votre commodité ; en cas de divergence, la version anglaise fait foi, sauf si la loi de votre lieu de résidence en dispose autrement.