Politique de confidentialité
En vigueur au 17 octobre 2026
1.Responsable du traitement
Le responsable du traitement de vos données est À venir, À venir, éditeur de Surmoa (voir les mentions légales).
Pour toute question sur vos données ou pour exercer vos droits : bonjour@surmoa.app.
2.Données traitées, finalités et durées
Les données d'inscription (prénom, adresse e-mail, mot de passe, âge) et les photos du scan sont nécessaires au service : sans elles, nous ne pouvons créer ni votre compte ni vos portraits. Les autres sont facultatives.
- Données
- Prénom, adresse e-mail, mot de passe (conservé haché, jamais en clair), âge déclaré (conservé sous forme d'année de naissance), date d'acceptation des conditions, date à laquelle vous avez terminé ou passé la visite guidée de l'application. Avec Google : nom et adresse e-mail transmis par Google.
- Finalité
- Créer et sécuriser votre compte, vérifier que vous êtes majeur, ne pas vous remontrer d'office la visite guidée déjà vue, établir des statistiques internes non nominatives par tranche d'âge.
- Base légale
- L'exécution du contrat (CGU) ; notre intérêt légitime pour les statistiques ainsi que pour empêcher qu'une adresse redemande les essayages offerts une fois son compte supprimé ou après un changement d'adresse.
- Durée
- Jusqu'à la suppression du compte. Inscription non confirmée : effacée au plus tard le lendemain. Après la suppression du compte, nous gardons seulement une empreinte de l'adresse e-mail (l'adresse elle-même est effacée) avec la date de suppression et l'usage des essayages offerts, pendant trois ans. Quand vous changez l'adresse de votre compte, nous gardons de la même façon une empreinte de l'ancienne, pendant trois ans.
- Données
- Pour chaque session ouverte sur votre compte : l'appareil, réduit à un court libellé tiré de votre navigateur (par exemple « Safari sur iPhone »), la ville approximative que notre hébergeur déduit de votre adresse IP, sans garder l'adresse elle-même, la date d'ouverture de la session et celle de sa dernière utilisation, à dix minutes près.
- Finalité
- Vous montrer dans les paramètres où votre compte est ouvert, et vous permettre de fermer une session que vous ne reconnaissez pas.
- Base légale
- L'exécution du contrat (CGU) et notre intérêt légitime à sécuriser votre compte.
- Durée
- Effacées avec la session : quand vous vous déconnectez, quand vous la fermez depuis les paramètres ou au plus tard le lendemain de son expiration, 30 jours après son ouverture (trois heures pour un téléphone relié par code QR pour le scan).
- Données
- Votre adresse e-mail, la date de votre demande et celle de notre accord.
- Finalité
- Vous prévenir quand l'inscription s'ouvre à votre adresse.
- Base légale
- Les mesures précontractuelles prises à votre demande (RGPD, art. 6.1.b).
- Durée
- Jusqu'à la création de votre compte, sinon 183 jours au plus après votre demande ou notre accord. Pour sortir de la liste plus tôt, écrivez à bonjour@surmoa.app.
- Données
- Sexe, taille habituelle, votre pointure, si vous la donnez, et votre taille de pantalon, si vous la choisissez. Les styles choisis avant le 17 octobre 2026, quand le questionnaire les demandait, ne servent plus : ils restent sur votre compte jusqu'à sa suppression, ou jusqu'à ce que vous nous demandiez de les effacer.
- Finalité
- Préparer vos portraits et proposer la bonne taille.
- Base légale
- L'exécution du contrat.
- Durée
- Jusqu'à la suppression du compte ; modifiable à tout moment.
- Données
- Les trois photos du scan (face, profil et dos), le cadre qui vous entoure sur chacune, que votre appareil calcule d'après votre posture, vos portraits et des mesures estimées. Les fiches créées avant le 15 octobre 2026 comportent aussi une description de votre apparence visible. Si vos portraits n'aboutissent pas, leur fiche garde l'étape atteinte, la cause de l'échec relevée par le service, le nombre d'appels aux modèles d'IA et le nombre de relances que vous avez demandées, sans aucune image. Si vous essayez sur le mannequin Surmoa, votre compte garde une fiche qui le désigne et une copie de ses deux vues, sans rien qui vienne de vous.
- Finalité
- Produire vos portraits et les rendus de vos looks. Jamais d'identification, de publicité ni de profilage.
- Base légale
- Votre consentement explicite, donné à l'inscription (RGPD, art. 6.1.a et, par précaution, art. 9.2.a). Vous le retirez à tout moment en supprimant votre compte, sans effet sur les traitements déjà réalisés.
- Durée
- Photos du scan et leurs cadres : supprimés 30 jours après la validation de vos portraits, aussitôt si vous refusez vos portraits, 7 jours après un scan abandonné, refusé ou dont la création a échoué. Portraits, y compris ceux que vous refusez (vous pouvez les reprendre une fois vos scans utilisés), mesures, description s'il y en a une, trace d'un échec et fiche du mannequin : jusqu'à la suppression du compte.
- Données
- Liens et informations des articles que vous ajoutez, photos des pièces que vous possédez ou d'une pièce de boutique dont le lien n'a pas pu être lu (avec le prix et les tailles que vous indiquez), étiquettes de style et de saison que vous corrigez sur une pièce, looks composés (avec la date à laquelle vous mettez chacun en favori) et rendus générés. Pour chaque rendu, le déroulé de ses essais : notes, remarques et mesures de couleur du contrôle qualité automatique, erreurs rencontrées et, quand le modèle répond sans dessiner, ce qu'il a écrit. Pour chaque tenue lancée à l'essai, le résultat de la vérification de ses pièces. Pour chaque look, le nombre de relances que vous avez demandées.
- Finalité
- Fournir l'essayage et la garde-robe.
- Base légale
- L'exécution du contrat.
- Durée
- Jusqu'à ce que vous supprimiez l'article, le look ou votre compte. Un ensemble rangé en deux pièces (une veste et son bas) se supprime en entier. Vos corrections d'étiquettes partent avec la pièce. Le déroulé des essais d'un rendu est effacé avec le look. Retirer un look de vos favoris efface la date de cet ajout. Photos d'une pièce : utilisées le temps de la lecture, non conservées ; seul son dessin l'est, sauf si vous les joignez à un signalement (voir « Vos retours et demandes d'aide »). Vérification d'une tenue : jusqu'à la suppression de votre compte.
- Données
- Le look que vous choisissez de partager (rendus, pièces, prénom), jamais vos mesures ni vos photos de scan. Pour chaque ouverture d'un lien d'achat : la boutique, la date et une empreinte de la connexion propre à chaque jour, qui ne permet pas de retrouver votre adresse.
- Finalité
- Montrer le look à qui reçoit le lien ; compter les visites envoyées aux boutiques.
- Base légale
- Votre demande de partage (exécution du contrat) ; notre intérêt légitime pour le décompte des visites.
- Durée
- Page partagée : jusqu'à ce que vous retiriez le lien ou supprimiez votre compte. Visites : treize mois.
- Données
- Pack acheté, montant, date et numéro de facture, code promotionnel utilisé, remboursement ou contestation éventuels, identifiant client Stripe et, si une contestation bloque votre compte, la date et le motif du blocage. Pour un pack offert par notre équipe : le pack, ses essayages, la date et un montant de 0 €, sans paiement ni facture. Vos données de carte restent chez Stripe.
- Finalité
- Créditer vos essayages, gérer les paiements, les remboursements et la comptabilité.
- Base légale
- L'exécution du contrat et nos obligations comptables et fiscales.
- Durée
- Dix ans (code de commerce, art. L. 123-22), y compris après la suppression du compte. La date et le motif d'un blocage de compte sont gardés avec le compte, jusqu'à sa suppression. Un pack offert par notre équipe est gardé comme un achat, donc dix ans, y compris après la suppression du compte. La ligne du journal de notre équipe qui le note (qui l'a offert, le pack, les essayages et les scans donnés, le montant à 0 € et le pack affiché ensuite) : un an, y compris après la suppression du compte.
- Données
- Votre code d'invitation, le lien entre le compte qui invite et le compte invité, les bonus obtenus, le code saisi à l'inscription et une empreinte de l'adresse IP de l'inscription. Le compte qui vous a invité voit vos initiales, la date de votre inscription et si votre portrait est validé. Si vous invitez un proche par e-mail : son adresse, le temps de lui envoyer le message.
- Finalité
- Créditer les essayages offerts et prévenir les abus, notamment les comptes multiples.
- Base légale
- L'exécution du contrat ; notre intérêt légitime à prévenir la fraude, pour l'empreinte de l'adresse IP et la limite d'envoi à un proche.
- Durée
- Jusqu'à la suppression du compte. Adresse d'un proche : sept jours au plus.
- Données
- Notes, commentaires et motifs que vous envoyez, vos demandes d'aide et les looks que vous y joignez, les essayages en échec que vous signalez avec la cause de l'échec relevée par le service, les portraits en échec que vous signalez avec l'étape atteinte, la cause de l'échec, le nombre d'appels et de relances (sans aucune image), les pièces que vous signalez à l'ajout (le lien, ce que l'application en a lu, comment la lecture s'est terminée, l'étape où elle s'est arrêtée et la cause relevée par le service, vos motifs), les réponses de notre équipe. Quand vous signalez un rendu qui ne va pas, le rendu de l'essayage est joint par défaut au signalement, jamais vos photos de scan. Vous pouvez le retirer avant l'envoi, avec l'interrupteur de la fenêtre de signalement. Quand vous signalez une pièce, aucune photo n'est jointe sauf si vous activez l'interrupteur « Joindre les photos de la pièce » : la pièce dessinée et vos photos de la pièce, deux images au plus.
- Finalité
- Répondre à vos demandes, traiter vos signalements (le rendu joint sert à analyser le problème signalé) et corriger le service. Les motifs de refus de vos portraits décident aussi, automatiquement, si le scan vous est recrédité (défaut du rendu, deux fois au plus sur la durée du compte) ou reste décompté (photos floues ou mal cadrées, ou aucun motif) : vous pouvez demander à notre équipe de revoir cette décision depuis Aide et contact.
- Base légale
- L'exécution du contrat pour l'aide ; notre intérêt légitime à traiter les signalements et à corriger le service, pour le rendu joint et l'amélioration du service. Le rendu n'est pas nécessaire à l'envoi d'un signalement : si vous coupez l'interrupteur, le signalement part sans lui. Vous pouvez vous opposer à ce traitement. Les photos d'une pièce ne sont jointes à un signalement qu'avec votre consentement, que vous donnez avec l'interrupteur ; sans lui, le signalement part sans photo.
- Durée
- Jusqu'à la suppression du compte. Copie du rendu ou des photos de la pièce jointes à un signalement : effacée dès que notre équipe a traité le signalement, et 90 jours au plus.
- Données
- Le titre et le texte du message, les essayages et les scans offerts avec lui, sa date d'envoi et sa date de lecture. Un crédit accordé par notre équipe laisse la même trace, avec un texte écrit automatiquement.
- Finalité
- Vous prévenir d'un message ou d'un crédit de notre équipe, et créditer votre compte : les essayages et les scans offerts sont ajoutés à votre solde dès l'envoi.
- Base légale
- L'exécution du contrat ; notre intérêt légitime à garder la trace de ce que notre équipe fait sur un compte, pour la ligne du journal.
- Durée
- Jusqu'à la suppression du compte. Un crédit que notre équipe reprend avant que vous l'ayez vu disparaît ou diminue d'autant. La ligne du journal de notre équipe qui note un crédit ou un message (qui l'a fait, le nombre d'essayages ou de scans, l'identifiant du compte et, pour un message, son titre, sans votre adresse e-mail) : un an, y compris après la suppression du compte. Un message ou un crédit envoyé à plusieurs comptes d'un coup n'y nomme aucun compte.
- Données
- Adresse IP et adresse e-mail lors des connexions, inscriptions et invitations ; journaux techniques (appels aux modèles d'IA, liens soumis, e-mails envoyés, actions de notre équipe, erreurs du service), sans vos images. Une erreur survenue pendant que vous êtes connecté est notée avec l'identifiant de votre compte, la page ou l'action concernée, le message d'erreur et, si elle s'est produite sur votre appareil, votre navigateur. Les adresses e-mail, jetons et mots de passe en sont retirés avant l'enregistrement. Les e-mails de sécurité (lien pour choisir un mot de passe, mot de passe changé, confirmation d'une nouvelle adresse, adresse changée, second facteur de l'équipe) indiquent l'appareil et la ville approximative de la demande : seul l'e-mail les contient, nous ne les gardons pas.
- Finalité
- Prévenir les abus, sécuriser le service, diagnostiquer les erreurs, maîtriser les coûts.
- Base légale
- Notre intérêt légitime à sécuriser le service.
- Durée
- Compteurs anti-abus : sept jours au plus. Journal des e-mails : 30 jours. Journal des liens soumis : 90 jours. Suivi d'une lecture de lien ou de photos (lien, étapes et résultat, sans vos photos) : 24 heures, le temps de la retrouver si vous quittez la page avant la fin. Journal des appels aux modèles d'IA : treize mois, ou jusqu'à la suppression du compte si elle a lieu avant, après quoi il ne garde que des données anonymes de coût. Journal des erreurs : 90 jours après la dernière fois que l'erreur s'est produite ; une erreur n'est plus rattachée à votre compte une fois celui-ci supprimé. Journal de l'équipe : un an ; cinq ans pour les actions sur les rôles, les comptes et les achats. Lignes que notre équipe écarte de sa liste de travail (l'identifiant de la ligne, qui l'a écartée et quand, sans son contenu) : 90 jours au plus.
- Données
- Pour les personnes de notre équipe qui ouvrent la console d'administration : la clé de leur application d'authentification, chiffrée et jamais conservée en clair ; leurs dix codes de secours, conservés hachés ; la date où le second facteur a été configuré, celle du dernier code accepté et le nombre de codes faux saisis d'affilée ; pour chaque session, l'appareil et la ville de connexion, sa dernière utilisation et l'heure de sa dernière vérification. Le journal de l'équipe note chaque configuration, vérification, échec, code de secours utilisé et réinitialisation, sans aucun code ni aucune clé.
- Finalité
- Réserver la console aux personnes habilitées, un mot de passe volé ne suffisant pas pour y entrer. Prévenir la personne par e-mail quand son second facteur change, quand un de ses codes de secours sert ou après dix codes faux d'affilée.
- Base légale
- Notre intérêt légitime à protéger l'accès aux données de nos utilisateurs, et notre obligation de sécurité (RGPD, art. 32).
- Durée
- Clé et codes de secours : jusqu'à leur remplacement, à la réinitialisation du second facteur ou à la suppression du compte. Vérification d'une session : douze heures au plus, deux heures sans activité, effacée avec la session, comme l'appareil et la ville. Journal de l'équipe : un an pour les vérifications réussies, cinq ans pour le reste.
- Données
- L'archive de vos données, images comprises, que vous demandez par e-mail. Elle reprend le contenu du fichier téléchargé depuis l'application.
- Finalité
- Répondre à votre demande d'accès et de portabilité.
- Base légale
- Notre obligation légale (RGPD, art. 15 et 20).
- Durée
- 7 jours, puis effacée.
- Données
- Pages consultées, pays, type d'appareil et de navigateur, agrégés, sans cookie ni identifiant persistant (Vercel Web Analytics).
- Finalité
- Savoir quels écrans sont utilisés, pour améliorer le service.
- Base légale
- Notre intérêt légitime.
- Durée
- Statistiques agrégées, qui ne permettent pas de vous identifier.
3.Intelligence artificielle et décisions automatisées
Vos photos de scan, vos portraits, les visuels d'articles et les photos de pièces que vous envoyez sont transmis à OpenAI pour produire et contrôler vos portraits et vos rendus. Pour reconnaître et redessiner une pièce, OpenAI reçoit aussi ce que nous savons d'elle : le nom, la marque et la description de la fiche produit, ou, pour vos photos, le nom et la couleur lus par le modèle et le type que vous avez choisi. Quand vous lancez l'essayage d'une tenue d'au moins deux pièces choisies, OpenAI reçoit le nom, le type et la description de chacune et la façon dont vous la portez, sans aucune image, pour vérifier qu'elles vont ensemble (une ceinture sur un short sans passants, par exemple). Nous gardons le résultat avec votre compte pour ne pas refaire la vérification. OpenAI conserve les requêtes qui produisent des images pour permettre leur consultation ultérieure ; les autres, trente jours au plus, pour détecter les abus. OpenAI ne les utilise pas pour entraîner ses modèles. Vos mesures viennent des photos entières, comme la description de votre apparence écrite pour les fiches créées avant le 15 octobre 2026. Pour dessiner vos portraits, OpenAI reçoit une copie de chaque photo, recadrée autour de vous et réduite à 1 024 pixels de côté au plus ; vos photos d'origine restent telles quelles.
Chaque rendu passe un contrôle qualité automatique. Un modèle compare le visage, la silhouette, les mains et les couleurs à votre portrait et aux photos des pièces. Nous mesurons aussi la couleur de chaque pièce sur l'image, en tenant compte de la couleur de vos cheveux et de votre peau, lue sur votre portrait le temps du contrôle et jamais conservée. Le modèle dessine la face et le dos d'un look ensemble, en un seul appel. Si l'une des deux vues montre un défaut net (une autre personne, une pièce absente ou d'une autre couleur, des mains déformées), il redessine les deux une fois ; si la face est encore écartée, l'essayage échoue sans vous être décompté ; si seul le dos l'est, le look garde sa face et compte comme un essayage. Un simple doute ne fait rien redessiner : vous voyez le rendu, et notre équipe garde la remarque avec ses essais. Si le contrôle lui-même ne peut pas se faire, vous voyez le rendu sans contrôle. Vous pouvez relancer un essayage en échec deux fois au plus, ou le signaler à notre équipe depuis l'écran d'échec.
Un scan peut être refusé automatiquement (photo floue, tiers dans le cadre, doute sur l'âge). Ce refus n'a aucun effet juridique : vous pouvez refaire le scan ou demander qu'une personne de notre équipe réexamine la décision en écrivant à bonjour@surmoa.app.
Si vos portraits n'aboutissent pas, vous pouvez les relancer deux fois au plus, puis refaire le scan. Vous pouvez aussi signaler l'échec à notre équipe depuis l'écran d'échec : le signalement transmet l'étape atteinte, la cause de l'échec et le nombre d'appels et de relances, jamais vos photos ni vos portraits.
4.Destinataires
Vos données ne sont ni vendues ni louées. Seules les personnes habilitées de notre équipe y accèdent, pour le support et le contrôle qualité ; elles ne voient jamais vos photos de scan ni vos portraits.
Pour suivre l'activité du service, ces personnes peuvent aussi exporter certaines listes dans un tableur : les comptes (prénom, adresse e-mail, pack, soldes et achats), la liste d'attente, les paiements et les erreurs du service. Ces fichiers restent à notre usage interne et ne contiennent ni vos photos ni vos portraits. Chaque export est noté dans le journal de notre équipe.
Nos prestataires, qui les traitent sur nos instructions :
- Vercel Inc. (États-Unis) : hébergement, mesure d'audience.
- Neon, Inc. (États-Unis, données hébergées à Francfort) : base de données, connexion avec Google.
- Cloudflare, Inc. (États-Unis, données hébergées dans l'Union européenne) : stockage chiffré des images.
- OpenAI (États-Unis) : modèles d'intelligence artificielle.
- OVH SAS (France) : envoi des e-mails.
- Zyte Europe Ltd (Irlande) : lecture des pages produit, dont il ne reçoit que le lien.
- Stripe Payments Europe, Ltd. (Irlande) : paiement. Stripe est responsable de traitement pour la prévention de la fraude et ses obligations réglementaires.
- Google (États-Unis) : connexion avec Google si vous la choisissez. Pendant le scan, votre navigateur télécharge le modèle de détection de posture depuis les serveurs de Google et du réseau jsDelivr, qui reçoivent votre adresse IP mais aucune image.
Quand vous ouvrez un lien d'achat, la boutique et son réseau d'affiliation (Awin, Effiliation) reçoivent votre visite sans aucune donnée de votre compte ; ils agissent pour leur propre compte. Nous communiquons des données aux autorités lorsque la loi l'impose.
5.Transferts hors de l'Union européenne
Certains prestataires sont établis aux États-Unis ou peuvent y traiter des données (Vercel, Neon, OpenAI, Google, Stripe, Cloudflare). Ces transferts reposent sur le cadre de protection des données UE–États-Unis (Data Privacy Framework) lorsque le prestataire y adhère, à défaut sur les clauses contractuelles types de la Commission européenne, dont vous pouvez obtenir une copie à bonjour@surmoa.app.
6.Vos droits
Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation et de portabilité, du droit de retirer votre consentement à tout moment et du droit de définir des directives sur le sort de vos données après votre décès.
Vous pouvez aussi vous opposer à tout moment aux traitements fondés sur notre intérêt légitime, pour des raisons tenant à votre situation particulière.
- Depuis l'application : modifiez votre profil, supprimez un article ou un look, téléchargez vos données dans un fichier JSON (Profil, Mes photos et données, « Télécharger mes données ») ou supprimez votre compte (Profil, « Supprimer mon compte »). La suppression est immédiate et définitive. Ne restent que les achats et les factures, que la loi impose de garder dix ans (les packs offerts par notre équipe sont gardés avec eux), l'empreinte de l'adresse décrite plus haut et des journaux techniques, anonymisés ou effacés aux durées indiquées plus haut. Le fichier de vos données contient vos données personnelles (compte, scans, portraits et mesures, pièces, looks, achats et factures, échanges avec notre équipe, liens soumis) et l'historique des traitements faits sur ces données, avec leur date, leur résultat et, en cas d'échec, une cause générale. Il ne contient pas le détail technique du service (modèles et réglages utilisés, réponses brutes des modèles, messages d'erreur internes, notes de travail du contrôle qualité), qui relève du secret des affaires (RGPD, art. 15, § 4, et considérant 63).
- Par e-mail à bonjour@surmoa.app, pour toute autre demande, dont une archive de vos données avec vos images. Nous répondons dans un délai d'un mois et pouvons vous demander de confirmer votre identité en cas de doute raisonnable. Si votre compte est bloqué à la suite d'une contestation de paiement, vous ne pouvez plus vous connecter : vos droits restent entiers et s'exercent alors par cette voie.
Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, cnil.fr.
7.Mineurs
Surmoa est réservé aux personnes majeures. Un scan qui semble montrer un mineur est refusé automatiquement. Si vous apprenez qu'un mineur a créé un compte, écrivez-nous : nous le supprimerons.
9.Modifications
Nous mettrons cette politique à jour si nos traitements évoluent ; la date en tête de page l'indique. Pour tout changement important, notamment un nouvel usage de vos données, vous serez prévenu dans l'application ou par e-mail avant son application.
Une question sur ce document ? Écrivez-nous à bonjour@surmoa.app.