Notice de confidentialité TwinOry
1. Responsable du traitement
1.1 Le responsable du traitement des données à caractère personnel traitées sur twinory.net est SMARTEDTECH SL, B66970831, Carrer Agricultura, 16, 1º, 9ª, 08320 El Masnou, Barcelona, Espagne (l'Opérateur). Contact confidentialité : privacy@twinory.net. Formulaire d'exercice des droits : /legal/privacy-rights.
1.2 Les rôles en matière de protection des données sont répartis comme suit.
1.3 Données de la plateforme. L'Opérateur est le responsable du traitement des données à caractère personnel traitées pour exploiter la plateforme : compte, vérification d'identité, registres d'acceptation, paiements, sécurité, assistance, communications et mesure d'audience.
1.4 Données de fourniture du prestataire. Lorsqu'un prestataire fournit des services à un client par l'intermédiaire de la plateforme, le prestataire est un responsable du traitement indépendant des données dont il a besoin pour cette fourniture (réservation, commande, dossiers cliniques, éducatifs ou professionnels), et l'Opérateur est responsable du traitement du registre de la transaction au niveau de la plateforme. Chaque partie respecte ses propres obligations ; aucune n'agit pour l'autre. Sur twinory.net, le présent paragraphe ne s'applique que lorsqu'une fourniture d'un tiers est activée et identifiée sur le récapitulatif de commande.
1.5 Services de sous-traitance. Lorsque l'Opérateur traite des données à caractère personnel pour le compte d'un client professionnel selon les instructions de ce client (par exemple les données des salariés d'un tenant d'entreprise), l'accord de traitement des données (DAT-01) s'applique et régit le traitement ; il est signé dans le cadre de la commande.
1.6 Partage entre plateformes SET. Les données à caractère personnel ne sont pas partagées avec une autre plateforme exploitée par l'Opérateur ou son groupe, sauf si vous activez la destination précise dans vos paramètres. L'activation d'une destination n'active pas les autres, et vous pouvez la désactiver à tout moment.
1.7 Transferts internationaux. Les données à caractère personnel sont conservées dans l'Espace économique européen. Lorsqu'un sous-traitant situé hors de l'EEE est utilisé, le transfert est couvert par des clauses contractuelles types, indiquées dans l'annexe des sous-traitants ultérieurs (DAT-02).
2. Ce que nous traitons, pourquoi et sur quel fondement
| Catégorie de données | Finalité | Base juridique (RGPD) | Conservation |
|---|---|---|---|
| Données de compte : adresse électronique, nom affiché, date de naissance ou tranche d'âge, empreinte du mot de passe, langue, paramètres | Créer et exploiter votre compte ; contrôle d'âge ; sécurité | Art. 6(1)(b) contrat | Durée du compte + 90 jours (clause 6) |
| Registres d'acceptation : identifiant du document, version, empreinte, horodatage, méthode, adresse IP et agent utilisateur hachés | Prouver quelles conditions vous avez acceptées | Art. 6(1)(c) et 6(1)(f) preuve de conformité | 5 ans après la fin de la relation |
| Contenu du Twin : champs publiés, questions et réponses des Ask Cards, abonnements, paramètres de visibilité | Exploiter votre Twin et le service de découverte sociale | Art. 6(1)(b) contrat | Durée du compte + 90 jours |
| Configuration privée du Twin : règles Never-Do, mémoire privée, paramètres d'identité protégés | Faire respecter les limites que vous fixez à votre Twin | Art. 6(1)(b) contrat ; clause 4, confidentialité | Durée du compte + 90 jours ; jamais publiées ni indexées |
| Éléments de voix, d'image et de ressemblance (uniquement si vous les activez) | Créer la représentation vocale ou visuelle de votre Twin | Art. 6(1)(a) consentement, finalité recording_voice / likeness_persona (ACC-02) | Jusqu'au retrait + 30 jours (C25.3) |
| Données du représentant légal pour les membres âgés de 16–17 ans lorsque la clause 3 exige son intervention | Vérifier l'identité et la capacité du représentant légal | Art. 6(1)(c) et 6(1)(f) | Durée du compte du mineur + 90 jours |
| Données de paiement : offre, référence client du prestataire de services de paiement, données de facture (jamais les numéros de carte complets) | Facturation des offres payantes une fois activées (CUS-01, sous indicateur de fonctionnalité) | Art. 6(1)(b) contrat ; Art. 6(1)(c) obligation fiscale | 6 ans (fiscalité et comptabilité) |
| Correspondance d'assistance et de réclamation | Répondre aux demandes, traiter les réclamations, examen humain des interactions avec l'IA | Art. 6(1)(b) et 6(1)(f) | 12 mois après la clôture du dossier |
| Journaux de sécurité et d'audit | Prévenir les abus, examiner les incidents, tenir la piste d'audit en ajout seul | Art. 6(1)(f) | 12 mois ; événements d'audit selon la clause 6 |
| Mesure d'audience optionnelle | Mesurer l'usage du site (uniquement après le choix « Accepter les optionnels ») | Art. 6(1)(a) consentement, finalité analytics_optional (PUB-03) | Selon l'inventaire PUB-03 |
| E-mail commercial (uniquement si vous y consentez) | Envoyer des nouvelles du produit | Art. 6(1)(a) consentement, finalité marketing_email | Jusqu'à la désinscription |
| Profilage de recommandation (uniquement si vous y consentez) | Suggérer des Twins et des Ask Cards pertinents pour vous | Art. 6(1)(a) consentement, finalité profiling_recommendation | Jusqu'au retrait |
2.2 Les champs obligatoires sont signalés sur chaque écran de collecte. L'acceptation des conditions du compte membre ne vaut pas consentement à une finalité optionnelle ; chaque finalité optionnelle dispose de son propre contrôle non coché et peut être retirée dans les Paramètres.
2.3 Aucune décision d'IA sur cette plateforme ne produit d'effets juridiques ou d'effets significatifs analogues à votre égard sans examen humain (clause 2 d'ACC-02 ; C07.2).
3. Âge et représentants légaux
3.1 Les comptes TwinOry sont ouverts aux personnes âgées de 16 ans ou plus. Les comptes de personnes de moins de 16 ans sont refusés à l'inscription et, s'ils sont découverts ultérieurement, clôturés.
3.2 Les membres âgés de 16 ou 17 ans peuvent utiliser le service dans les limites suivantes : ils ne peuvent pas monétiser un Twin, ne peuvent pas souscrire une offre payante, et ne peuvent publier un Twin qu'après l'examen de publication supplémentaire indiqué dans les Paramètres. Ces limites sont imposées par le contrôle d'âge et ne peuvent pas être levées par une simple déclaration de l'intéressé.
3.3 La plateforme ne peut être utilisée par des personnes de moins de 18 ans que lorsque le service concerné le prévoit. En Espagne, une personne âgée de 14 ans ou plus peut consentir elle-même au traitement de ses données à caractère personnel ; pour les personnes de moins de 14 ans, le titulaire de l'autorité parentale ou de la tutelle doit donner son consentement et accepter les conditions. Au Royaume-Uni, l'âge correspondant est de 13 ans. Sur twinory.net, l'âge minimal du service est de 16 ans ; en conséquence, un membre âgé de 16 ou 17 ans donne lui-même son consentement en matière de protection des données, et les clauses 3.4 à 3.6 s'appliquent lorsqu'un représentant légal intervient.
3.4 Lorsqu'un représentant légal agit pour un membre âgé de 16 ou 17 ans (par exemple pour clôturer le compte ou exercer des droits), l'identité et la capacité du représentant légal sont vérifiées avant l'exécution de la demande. Le représentant légal peut accéder aux données du mineur, les rectifier et les effacer, et peut clôturer le compte à tout moment.
3.5 Les adultes en contact avec des mineurs par l'intermédiaire de la plateforme sont soumis aux règles d'usage acceptable d'ACC-01 ; les communications avec les mineurs au moyen d'Ask Cards sont journalisées et peuvent être examinées. L'enregistrement de la voix ou de la ressemblance d'un mineur pour un Twin exige le consentement du représentant légal, en plus de l'action d'activation du mineur lui-même.
3.6 Le paiement du service d'un mineur est effectué par le représentant légal ; le compte du mineur ne peut pas engendrer de frais.
4. Confidentialité des règles privées du Twin (règles Never-Do)
4.1 Les règles Never-Do, la mémoire privée et les paramètres d'identité protégés que vous configurez pour votre Twin (Règles privées) sont des informations confidentielles du membre. L'Opérateur traite les Règles privées comme suit :
(a) les Règles privées sont conservées séparément des champs publiés du Twin et ne figurent jamais dans les pages publiques, les index de recherche, les plans de site, les réponses d'API destinées aux autres membres, les exports vers d'autres plateformes ni les supports commerciaux ;
(b) les Règles privées ne sont pas inscrites dans les registres d'acceptation, les charges utiles des événements d'audit, les registres de preuve ni aucun journal en ajout seul ; seule une référence minimisée (identifiant du jeu de règles, version, empreinte) est enregistrée ;
(c) les Règles privées ne sont accessibles au personnel de l'Opérateur que par la fonction d'accès privilégié auditée prévue par INT-01, pour un motif indiqué, pour une durée limitée, et jamais au bénéfice d'un autre membre ;
(d) les Règles privées ne servent pas à entraîner des modèles et ne sont pas communiquées à un sous-traitant au-delà des services d'hébergement et d'inférence nécessaires pour les faire respecter, chacun étant tenu par la confidentialité de DAT-01 ;
(e) un Twin ne révèle pas, ne paraphrase pas et ne confirme pas l'existence d'une Règle privée déterminée à une personne autre que son propriétaire.
4.2 La présente clause survit à la clôture du compte tant qu'il existe une copie des Règles privées, et l'Opérateur supprime les Règles privées dans le délai prévu à la clause 6.1.
5. Destinataires
5.1 Les données à caractère personnel ne sont communiquées qu'aux destinataires suivants : (a) les sous-traitants énumérés dans l'annexe des sous-traitants ultérieurs (DAT-02) pour l'hébergement, l'authentification, l'acheminement des e-mails, l'inférence d'IA, le traitement des paiements (une fois les offres payantes activées) et les outils d'assistance, chacun dans le cadre d'un accord de traitement des données ; (b) les autres membres, dans la limite des champs du Twin que vous avez publiés et du public que vous avez sélectionné ; (c) les autorités publiques lorsqu'une obligation légale s'applique ; (d) un successeur dans le cadre d'une fusion ou d'une acquisition, sous les mêmes obligations.
5.2 L'Opérateur ne vend pas les données à caractère personnel et ne les partage pas avec des annonceurs.
5.3 Le partage interplateforme avec d'autres plateformes SET est désactivé par défaut et se règle par destination dans les Paramètres (clause 1.6).
6. Conservation et suppression
6.1 Les données de compte sont conservées pendant la durée du compte et supprimées ou anonymisées dans un délai de 90 jours après la clôture, sauf lorsqu'une durée plus longue est exigée par la loi (documents fiscaux et comptables : 6 ans ; registres d'acceptation et de consentement : 5 ans après la fin de la relation, à titre de preuve de conformité ; documents soumis à une obligation légale de conservation : jusqu'à la fin de cette obligation).
6.2 Les journaux de conversation, enregistrements et téléversements qui ne sont pas liés à un contrat en cours sont supprimés au plus tard 12 mois après la dernière interaction, et plus tôt sur votre demande, sauf obligation légale de conservation.
6.3 Les sauvegardes sont renouvelées selon un cycle n'excédant pas 35 jours ; les données supprimées de la production sont retirées des sauvegardes à la fin du cycle.
6.4 Lorsqu'un prestataire est un responsable du traitement indépendant, ses propres règles de conservation s'appliquent à ses documents.
7. Vos droits
7.1 Vous pouvez demander l'accès, la rectification, l'effacement, la limitation, la portabilité et vous opposer au traitement, et vous pouvez retirer tout consentement à tout moment pour l'avenir, par /legal/privacy-rights ou privacy@twinory.net.
7.2 L'Opérateur vérifie l'identité de manière proportionnée (en principe par confirmation depuis l'adresse électronique du compte) et répond dans un délai d'un mois ; lorsqu'une prolongation est légalement nécessaire, l'Opérateur vous en indique le motif au cours du premier mois.
7.3 L'effacement peut être limité pour les documents énumérés à la clause 6.1 ; l'Opérateur vous indique la portée et la durée de toute limitation.
7.4 Vous pouvez introduire une réclamation auprès de l'Agencia Española de Protección de Datos (www.aepd.es) ou auprès de l'autorité de contrôle de votre résidence habituelle.
7.5 Contact protection des données : privacy@twinory.net. L'Opérateur n'a pas désigné de délégué à la protection des données ; le contact confidentialité est le contact de l'Opérateur pour la protection des données.
8. Sécurité
L'Opérateur applique un isolement des tenants avec sécurité au niveau des lignes, le moindre privilège et un accès multifacteur pour les rôles privilégiés, le chiffrement en transit et au repos des contenus conservés, un stockage distinct des Règles privées, des événements d'audit en ajout seul et des procédures de restauration testées, tels que documentés dans l'annexe des mesures techniques et organisationnelles de DAT-01. Les violations de données à caractère personnel sont évaluées et, lorsque cela est exigé, notifiées à l'AEPD dans un délai de 72 heures et aux personnes concernées sans retard injustifié (DAT-03).
9. Modifications
9.1 L'Opérateur peut modifier la présente notice pour des motifs légitimes : évolution du droit, du service, de la sécurité ou de la prévention de la fraude, du prestataire de paiement, ou clarification de la rédaction. L'Opérateur vous notifie les modifications substantielles par e-mail et dans le produit au moins 30 jours avant leur prise d'effet (immédiatement lorsque le droit ou la sécurité l'exige).
9.2 Une nouvelle finalité ou une nouvelle catégorie de destinataires n'est activée qu'après information et, lorsque le consentement est la base juridique, après votre choix distinct.
9.3 Chaque version est archivée avec sa date et l'empreinte de son contenu à l'adresse /legal/privacy/v/.