Politique de Confidentialité

En résumé

PicOrganizer trie vos photos directement dans votre navigateur : vos images ne sont jamais envoyées sur nos serveurs, ni sur ceux de qui que ce soit. Ce que nous conservons, ce sont les informations de votre compte, un historique de vos tris (combien de photos, quel type de tri, quel nom de dossier) et des statistiques d'usage du produit. Cette page détaille chaque point, sans généralités.

Qui traite vos données

Le responsable du traitement est Guéwen Carré, entrepreneur individuel, éditeur de picorganizer.fr. Coordonnées complètes et numéro SIRET sur la page mentions légales. Pour toute question ou demande relative à vos données : contact@picorganizer.fr.

Vos photos ne quittent pas votre navigateur

Ce n'est pas un argument marketing, c'est une conséquence de la manière dont l'outil est construit : la lecture des métadonnées EXIF, le regroupement, le renommage, la création des archives ZIP, la compression, l'édition EXIF, le floutage de visages et la reconnaissance de texte s'exécutent entièrement dans votre navigateur. Aucune route de notre API n'accepte de fichier image. Il n'y a donc rien à supprimer côté serveur : il n'y a jamais rien eu.

Trois précisions, pour être complet :

Tri par lieu : si vous choisissez ce tri, votre navigateur envoie les coordonnées GPS lues dans la photo (latitude et longitude, rien d'autre) au service Nominatim d'OpenStreetMap, qui répond par un nom de ville et de pays. La photo elle-même n'est jamais transmise. Comme cette requête part de votre navigateur, OpenStreetMap voit votre adresse IP. Si vous ne voulez pas de cet appel, n'utilisez pas le tri par lieu.
Outil de reconnaissance de texte (OCR) : votre navigateur télécharge le moteur de reconnaissance et les données de langue depuis un réseau de distribution public (jsDelivr). C'est un téléchargement, à sens unique : votre image n'est pas envoyée. Les modèles de détection de visages, eux, sont servis par notre propre site.
Ce que nous enregistrons après un tri, si vous êtes connecté : la date, le nombre de photos, le type de tri, et le nom du dossier source et du dossier de destination (par exemple « Vacances 2025 » — pas leur chemin complet, pas leur contenu). Pour l'éditeur EXIF, le nom du fichier traité est enregistré. Ces informations alimentent votre historique et le décompte de vos quotas.

Données que nous collectons, et pourquoi

Chaque catégorie ci-dessous correspond à des données réellement stockées :

Compte : prénom, nom, adresse e-mail, et soit un mot de passe haché avec bcrypt (jamais stocké en clair, jamais lisible par nous), soit l'identifiant technique de votre compte Google si vous vous connectez avec Google. S'y ajoutent la date de votre dernière connexion et votre rôle. Finalité : créer votre compte et vous authentifier.
Achat : le plan acheté, les dates, et les identifiants techniques générés par Stripe (identifiant client et identifiant de session). Nous ne voyons ni ne stockons jamais votre numéro de carte : il est saisi directement chez Stripe. Finalité : débloquer et prouver votre accès payant.
Historique d'organisation : date, nombre de photos, type de tri, noms des dossiers source et destination. Finalité : afficher votre historique et appliquer les limites de votre plan.
Parcours de navigation : trois événements — page vue, utilisation d'un outil, clic sur un bouton menant à l'inscription — portant chacun un identifiant de visiteur et un identifiant de session, tous deux générés par votre navigateur et sans lien avec votre identité. Ils ne sont émis que si vous avez accepté la mesure d'audience dans le bandeau ; refuser, ou revenir sur ce choix, efface aussitôt ces deux identifiants. Cet identifiant de visiteur est une clé dédiée, distincte de celle décrite ci-dessous pour les quotas des outils gratuits. Finalité : comprendre le parcours des visiteurs sur le site.
Statistiques d'usage du produit : d'autres événements pris dans une liste fermée (fichiers sélectionnés, tri lancé, tri terminé, limite atteinte, inscription, connexion…), leur date, quelques valeurs associées (nombre de photos, type de tri) et l'identifiant interne de votre compte si vous êtes connecté. Les visiteurs non connectés produisent ces événements sans aucun identifiant. Finalité : comprendre où les gens décrochent et corriger le produit.
Utilisation des outils gratuits : le nom de l'outil, un compteur et la date de dernière utilisation. Rattachés à votre compte si vous êtes connecté, sinon à un identifiant aléatoire tiré par votre navigateur et conservé dans son stockage local — une clé distincte de celle du parcours de navigation ci-dessus, déposée sans consentement au titre des quotas à faire respecter. Finalité : appliquer les quotas gratuits.
Avis : la note de 1 à 5, votre commentaire libre, le type de tri concerné et le nombre de photos. Rattachés à votre compte si vous êtes connecté. Finalité : améliorer le service. Le commentaire est un champ libre : n'y écrivez pas d'information que vous ne souhaitez pas nous confier.
Réponses au sondage : si vous acceptez d'y répondre, votre profil d'usage, le volume approximatif de votre photothèque, la fréquence de vos tris et la façon dont vous nous avez connus. Quatre questions à choix, dont deux proposent « Autre » avec un court champ « précisez » facultatif. Rattachées à votre compte. Finalité : comprendre à qui s'adresse le service pour l'améliorer et adapter les offres. Ce champ « précisez » est un champ libre : n'y écrivez pas d'information que vous ne souhaitez pas nous confier. Vous pouvez refuser, passer chaque question, ou ne jamais y répondre.
Raison de départ : si vous choisissez d'y répondre au moment de supprimer votre compte, la raison sélectionnée, une précision facultative, le plan que vous déteniez et une tranche d'ancienneté (« moins d'un mois », « plus de six mois »). Aucun identifiant, aucune adresse : cette réponse est anonyme dès sa collecte, elle n'est rattachée à rien. Finalité : comprendre ce qui ne va pas. Vous pouvez supprimer votre compte sans répondre.
Messages envoyés via le formulaire de contact : nom, e-mail, sujet, message. Finalité : vous répondre.
Newsletter : votre adresse e-mail, les dates d'inscription et de désinscription, et un jeton de désabonnement. Finalité : vous envoyer la newsletter, uniquement si vous l'avez demandé.
Origine de votre visite : le site ou le moteur de recherche qui vous a amené ici, les paramètres de campagne éventuels, la première page visitée et la date de première visite. Cette information est figée lors de votre première visite dans le stockage local de votre navigateur, puis rattachée à votre compte si vous en créez un. Finalité : savoir quels contenus font connaître le service.
Préférences d'e-mails : vos trois interrupteurs (newsletter, relances, récapitulatif de tri). Finalité : ne vous envoyer que ce que vous voulez.

Nous ne collectons aucune donnée sensible au sens du RGPD, nous ne faisons ni profilage publicitaire ni revente de données, et nous n'enregistrons pas votre adresse IP en base de données. Elle est utilisée en mémoire, le temps d'une requête, pour limiter les abus (nombre de tentatives de connexion, notamment).

Sur quelle base légale

Exécution du contrat : compte, authentification, historique d'organisation, quotas, achat.
Consentement : mesure d'audience Google Analytics, les événements de parcours qui portent un identifiant de visiteur et de session (page vue, utilisation d'un outil, clic vers l'inscription) — les deux déposés uniquement si vous acceptez dans le bandeau — et newsletter.
Intérêt légitime : statistiques d'usage du produit, avis, réponses au sondage, surveillance technique des erreurs, sécurité et lutte contre les abus. Vous pouvez vous y opposer en nous écrivant.
Obligation légale : conservation des justificatifs de paiement.

Qui d'autre voit ces données

Nous ne vendons ni ne louons vos données. Elles sont accessibles aux prestataires suivants, chacun pour un rôle précis :

OVH SAS (Roubaix, France) — héberge le serveur qui fait tourner le site, l'API et la base de données, ainsi que le service d'envoi d'e-mails. Les serveurs sont situés en France. La base de données n'est pas exposée sur Internet : seule l'API peut l'atteindre, sur un réseau interne.
Stripe Payments Europe, Limited (Dublin, Irlande) — l'entité du groupe Stripe avec laquelle contractent les marchands de l'Espace économique européen, et donc notre prestataire de paiement. Vos coordonnées bancaires sont saisies chez Stripe et ne transitent jamais par nos serveurs. Stripe reçoit votre adresse e-mail et le détail de votre achat, émet la facture et conserve les pièces correspondantes. Stripe agit pour cette activité comme responsable de traitement pour son propre compte : le détail figure dans sa politique de confidentialité.
Google — au titre de Google Analytics 4, notre outil de mesure d'audience, et, si vous choisissez « Se connecter avec Google », au titre de la vérification de votre identité. Voir la section suivante, qui traite ce point à part.
Sentry — surveillance technique des erreurs. Quand une erreur ou une lenteur survient, un rapport est envoyé sur l'infrastructure européenne de Sentry (région Allemagne). Voir la section « Surveillance technique des erreurs » ci-dessous.
Fondation OpenStreetMap — service Nominatim, uniquement si vous utilisez le tri par lieu, et uniquement pour les coordonnées GPS (voir plus haut).
jsDelivr — réseau de distribution qui sert le moteur de reconnaissance de texte à votre navigateur, si vous utilisez cet outil.

Google Analytics et le transfert hors d'Europe

Nous utilisons Google Analytics 4 pour mesurer l'audience du site. Voici les faits, sans embellissement :

Le script de Google n'est chargé qu'après votre acceptation dans le bandeau. Tant que vous n'avez pas accepté, aucune requête ne part vers Google et aucun cookie de mesure n'est déposé.
Si vous acceptez, les données collectées par cet outil (pages vues, parcours, appareil, adresse IP vue par Google) sont traitées par Google, une entreprise américaine, et cela implique un transfert hors de l'Union européenne.
Les garanties encadrant ce transfert sont celles que Google publie pour son service : nous vous invitons à les consulter dans sa politique de confidentialité et dans ses engagements destinés aux entreprises. Nous ne revendiquons ici aucun accord particulier qui nous serait propre.
La durée de conservation de ces données est fixée dans l'outil de Google, pas dans notre base.

C'est précisément parce que ce transfert existe que l'outil est conditionné à votre consentement explicite. Si ce transfert vous dérange, refusez la mesure d'audience : rien ne sera envoyé à Google, et le service fonctionne exactement pareil. Vous pouvez revenir sur ce choix à tout moment via en pied de page.

Surveillance technique des erreurs (Sentry)

Disons-le sans détour : Sentry démarre au chargement de la page, sans passer par le bandeau de consentement. Nous ne vous demandons pas votre accord pour cet outil, et nous ne prétendrons pas le contraire.

Nous le fondons sur l'intérêt légitime : sans remontée d'erreurs, une panne qui ne touche qu'une partie des utilisateurs peut durer des semaines sans que nous le sachions. Il ne dépose aucun cookie et n'envoie de rapport que lorsqu'une erreur ou une lenteur survient. Les précautions prises, toutes vérifiables dans le code du site :

Les rapports sont envoyés sur l'infrastructure européenne de Sentry (région Allemagne).
Ils sont expurgés avant l'envoi : cookies, corps des requêtes (donc les mots de passe), paramètres d'URL et tous les en-têtes hors d'une courte liste autorisée sont retirés.
L'enregistrement vidéo des sessions est désactivé des deux côtés : votre navigation n'est jamais rejouée.

Vous pouvez vous opposer à ce traitement en nous écrivant à contact@picorganizer.fr.

Cookies et stockage local

Le site dépose deux sortes de cookies seulement : ceux qui vous maintiennent connecté (indispensables, aucun consentement requis) et ceux de Google Analytics (déposés uniquement après acceptation). Il n'existe aucun traceur publicitaire sur le site.

Le site utilise par ailleurs le stockage local de votre navigateur — des informations qui restent sur votre appareil et ne sont pas envoyées automatiquement à chaque requête : votre choix de cookies et sa date, l'identifiant aléatoire servant aux quotas des outils gratuits, l'identifiant de visiteur du parcours de navigation (déposé uniquement si vous acceptez la mesure d'audience), l'origine de votre première visite, et deux drapeaux d'affichage (essai gratuit déjà utilisé, fenêtre newsletter déjà montrée). À l'échelle d'un onglet plutôt que de l'appareil, et effacés à sa fermeture : l'identifiant de session du parcours de navigation (même condition de consentement) et deux drapeaux similaires (bandeau promotionnel fermé, message de bienvenue déjà affiché).

Votre choix vaut six mois, après quoi le bandeau vous le redemande. La liste nominative de chaque cookie et de chaque clé de stockage, avec sa durée, figure sur notre politique de cookies.

Combien de temps nous les gardons

Nous n'annonçons ici que des durées que le logiciel applique réellement, ou l'absence de durée quand il n'y en a pas.

Compte, historique d'organisation, préférences, compteurs d'outils rattachés à votre compte : conservés tant que votre compte existe, puis effacés lorsque vous le supprimez. Ces compteurs portent votre solde d'essais gratuits : les purger reviendrait à vous rouvrir périodiquement des accès payants, nous ne le faisons donc pas.
Statistiques d'usage et de parcours : 25 mois, la durée recommandée par la CNIL pour les données de mesure d'audience. Cette purge est automatique et s'applique à tous les événements décrits plus haut, que vous soyez connecté ou non : chaque événement porte sa date d'expiration dès sa création, sans lien avec l'existence de votre compte. Si vous supprimez votre compte avant cette échéance, les événements qui lui sont rattachés sont effacés immédiatement avec lui — la suppression du compte ne fait que raccourcir ce délai de 25 mois, jamais l'allonger. Deux exceptions assumées, qui ne relèvent pas de la mesure d'audience et ne portent donc pas cette date d'expiration : le marqueur indiquant qu'un e-mail de relance vous a déjà été envoyé (sans lui, la relance vous serait renvoyée tous les mois) et la trace des mouvements d'abonnement, adossée aux obligations comptables — celles-ci ne disparaissent qu'avec votre compte. Ces statistiques ne contiennent ni nom ni adresse e-mail. Si vous êtes connecté, elles portent l'identifiant interne de votre compte ; les événements de parcours (page vue, utilisation d'un outil, clic vers l'inscription) portent en plus l'identifiant de visiteur et de session décrits plus haut si vous avez accepté la mesure d'audience — les deux identifiants coexistent, l'un ne remplace pas l'autre. Si vous n'êtes pas connecté, seuls ces mêmes événements de parcours, sous la même condition de consentement, portent un identifiant (visiteur et session) ; les autres statistiques d'usage n'en portent aucun.
Avis sur l'outil : conservés sans limite de durée, mais détachés de votre compte le jour où vous le supprimez. Il ne reste alors qu'une note et un commentaire, sans aucun lien vers vous.
Réponses au sondage : même règle que les avis — conservées sans limite de durée, mais détachées de votre compte le jour où vous le supprimez. Il ne reste alors que des réponses, sans aucun lien vers vous.
Raison de départ : conservée sans limite de durée. Elle n'a jamais été rattachée à votre compte, il n'y a donc rien à en détacher.
Compteurs d'utilisation des outils sans compte : ceux qui sont rattachés au seul identifiant aléatoire de votre navigateur sont effacés automatiquement 25 mois après leur dernière utilisation.
Justificatifs de paiement : 10 ans, durée de conservation des pièces comptables imposée par l'article L.123-22 du Code de commerce. Ces pièces sont émises et détenues par Stripe.
Newsletter : jusqu'à votre désinscription. Chaque e-mail contient un lien de désabonnement qui fonctionne en un clic, sans avoir à se connecter. Si vous supprimez votre compte, l'inscription liée à son adresse est désactivée automatiquement.
Messages envoyés via le formulaire de contact : conservés le temps de traiter votre demande et d'en assurer le suivi. Il n'existe pas aujourd'hui de purge automatique de cette boîte : écrivez-nous pour obtenir la suppression d'un échange.
Newsletter : votre adresse est conservée jusqu'à votre désinscription. Chaque e-mail contient un lien de désabonnement qui fonctionne en un clic, sans avoir à se connecter. Après désinscription, nous gardons la trace de votre opposition pour ne pas vous réinscrire par erreur ; demandez-nous l'effacement complet si vous le préférez.
Rapports d'erreur Sentry et données Google Analytics : selon les durées de rétention paramétrées chez ces prestataires, que nous ne fixons pas librement.

Ce que la suppression de votre compte efface

Vous pouvez supprimer votre compte vous-même, depuis votre page profil. Cette action est définitive et efface :

Votre fiche utilisateur : nom, prénom, adresse e-mail, mot de passe haché, identifiant Google, identifiants Stripe, plan, préférences d'e-mails et origine de visite.
Votre historique d'organisation : toutes les lignes de tri, avec les noms de dossiers qu'elles contiennent.
Vos statistiques d'usage et vos compteurs d'outils.
Votre inscription à la newsletter, si l'adresse du compte y était inscrite.

Le même geste efface les enregistrements techniques rattachés à ce compte : historique d'organisation, événements d'usage et compteurs d'outils gratuits disparaissent avec lui. Si vous étiez inscrit à la newsletter avec l'adresse du compte, cette inscription est désactivée dans la foulée : vous ne recevez plus rien.

Quatre exceptions, volontaires. Si vous avez indiqué une raison de départ, elle est conservée — mais elle n'a jamais porté votre identité, il n'y a donc rien qui remonte à vous. Vos avis sur l'outil sont conservés mais détachés de votre compte : la note et le commentaire restent, plus rien ne permet de remonter jusqu'à vous. Vos réponses au sondage suivent exactement la même règle : elles restent, sans aucun lien vers vous. Vos messages envoyés via le formulaire de contact ne sont pas effacés automatiquement, parce qu'ils font partie d'un échange que nous devons pouvoir retrouver ; écrivez-nous à contact@picorganizer.fr si vous voulez aussi leur suppression. Les justificatifs de paiement détenus par Stripe, eux, relèvent d'une obligation comptable de six ans.

Vous recevez un e-mail de confirmation après la suppression.

Vos droits, et comment les exercer

Le RGPD vous donne des droits sur vos données. Voici, concrètement, où les exercer :

Accéder à vos données et les corriger : votre page profil permet de modifier nom, prénom, adresse e-mail et mot de passe, et affiche votre historique. Pour une copie complète, écrivez-nous.
Effacer vos données : bouton « Supprimer mon compte » sur la page profil. Il efface le compte et les enregistrements qui s'y rattachent, aux deux exceptions décrites ci-dessus.
Récupérer vos données dans un format réutilisable (portabilité) : sur demande par e-mail.
Vous opposer à un traitement ou en demander la limitation : sur demande par e-mail. Cela vaut notamment pour les statistiques d'usage et la surveillance technique des erreurs, fondées sur l'intérêt légitime.
Retirer votre consentement : pour la mesure d'audience, le lien en pied de page rouvre le bandeau et votre nouveau choix s'applique immédiatement. Pour les e-mails, désactivez la newsletter et les relances depuis la section « Préférences e-mail » de votre profil, ou cliquez sur le lien de désabonnement d'un e-mail.
Porter réclamation : auprès de la CNIL, si notre réponse ne vous satisfait pas.

Écrivez à contact@picorganizer.fr. Nous répondons au plus tard sous un mois, et en général bien plus vite. Nous pouvons vous demander de confirmer votre identité — typiquement d'écrire depuis l'adresse e-mail du compte — pour ne pas livrer vos données à quelqu'un d'autre.

Comment nous protégeons ces données

Tout le site est servi en HTTPS, avec redirection permanente et en-tête HSTS : le trafic entre votre navigateur et nos serveurs est chiffré.
Les mots de passe sont hachés avec bcrypt (12 tours). Un mot de passe oublié se réinitialise, il ne se retrouve pas — pas même par nous.
Les jetons de connexion sont de courte durée (15 minutes) et renouvelés par un jeton distinct valable 7 jours, tournant à chaque usage. Changer votre mot de passe invalide immédiatement toutes les sessions ouvertes.
La base de données n'écoute que sur un réseau interne au serveur : elle n'est accessible depuis Internet par aucun port.
Les rapports d'erreur envoyés à notre outil de surveillance sont expurgés des cookies, des corps de requête et des paramètres d'URL avant de partir.
Les journaux du serveur masquent les adresses e-mail et les identifiants utilisateur.

Modifications de cette politique

Cette page évolue avec le produit. La date de dernière mise à jour figure en haut. En cas de changement significatif — un nouveau prestataire, une nouvelle catégorie de données — les utilisateurs inscrits en sont informés par e-mail.

Nous contacter

Pour toute question sur cette politique ou sur vos données : contact@picorganizer.fr. Voir aussi nos mentions légales, notre politique de cookies et nos conditions générales d'utilisation.