Politique de Confidentialité

Préambule

La présente Politique de Confidentialité décrit la manière dont Lumographe (édition officielle) et Lumographe Early (anciennement « Lumographe Zéro »), anciennement dénommées Luminator, applications pour iPhone, iPad et Mac, ainsi que Lumographe Early pour Android (fr.comenolo.lumographe, article 2.10), éditées par NOLO, société par actions simplifiée (SAS) représentée par Côme Naulleau, ainsi que le site lumographe.com, collectent, utilisent et protègent les données à caractère personnel de leurs utilisateurs, conformément au Règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés du 6 janvier 1978 modifiée.

Lumographe est une console lumière. Aucune donnée sensible au sens de l'article 9 du RGPD (origine, santé, opinions, etc.) n'est collectée. Les données traitées concernent l'identification du compte, les projets lumière créés par l'Utilisateur, les achats, le diagnostic et la mesure de l'usage et, uniquement après accord, la mesure publicitaire décrite aux articles 2.8 et 7.

Les bases légales du traitement sont :

• le consentement de l'utilisateur (Art. 6.1.a RGPD et, pour les cookies et traceurs, article 82 de la loi Informatique et Libertés) : mesure publicitaire de l'Application (article 2.8), mesure d'audience et mesure publicitaire du site (article 7) ;
• l'exécution du contrat entre l'utilisateur et l'Éditeur (Art. 6.1.b RGPD) : compte, synchronisation, collaboration, achats et support ;
• l'intérêt légitime de l'Éditeur à assurer la sécurité et le bon fonctionnement du Service, à en corriger les défauts et à en comprendre l'usage (Art. 6.1.f RGPD), avec la possibilité de s'y opposer à tout moment depuis les réglages décrits aux articles 2.5 et 2.6 ;
• le respect des obligations légales (Art. 6.1.c RGPD), notamment comptables et fiscales.

Article 1 — Responsable de traitement

Le responsable de traitement au sens du RGPD est :

Article 2 — Données collectées dans l'Application

Les données suivantes peuvent être collectées et traitées :

2.1 — Données d'inscription et d'authentification

• adresse e-mail du compte ;
• codes de connexion à usage unique (OTP) envoyés par e-mail ;
• si l'utilisateur choisit cette méthode, un mot de passe dont seule l'empreinte sécurisée (hachage) est conservée par Supabase ; le mot de passe en clair n'est jamais accessible à l'Éditeur ;
• date de création du compte et dernière connexion.

2.2 — Projets lumière et contenus créés

Créés volontairement par l'utilisateur et sauvegardés dans le cloud pour la synchronisation entre appareils et la collaboration :

• configurations de patch (univers, adresses, modes, fixtures) ;
• scènes, séquences, timelines et effets (FX) ;
• noms de projets, de shows et notes libres saisies par l'utilisateur ;
• pseudonyme ou nom d'appareil affiché en collaboration ;
• préférences et réglages de l'application.

Ces contenus décrivent une installation lumière ; ils ne contiennent pas, par nature, de données personnelles autres que celles que l'utilisateur y inscrirait volontairement.

2.3 — Données d'achat et de licence

Cette section concerne l'édition officielle Lumographe. Lumographe Early est gratuite et n'intègre pas d'achat ni d'abonnement payant.

• Achats intégrés Apple : l'Application transmet à notre serveur la transaction signée par l'App Store, qu'il vérifie puis rattache au compte : identifiants de transaction, produit, date, environnement, statut et droits associés ; aucune donnée bancaire n'est transmise à l'Éditeur par Apple ;
• Paiement web Stripe (site lumographe.com) : e-mail du payeur, identifiant client Stripe, offre choisie, statut de l'abonnement ou de l'achat ;
• Code de licence ou de parrainage : code saisi ou remis par l'Éditeur et son statut, rattachés au compte.

Aucune donnée bancaire (numéro de carte, CVV, etc.) n'est collectée ni stockée par l'Éditeur. Ces informations sont exclusivement traitées par Apple et par Stripe, dans leurs environnements certifiés.

2.4 — Logs techniques

• adresse IP ;
• type d'appareil et version du système (iOS, iPadOS, macOS, Android) ;
• événements d'erreur et de connexion.

Ces logs sont conservés au maximum 30 jours, puis anonymisés ou supprimés.

2.5 — Rapports de plantage et d'incident

Pour corriger les défauts de l'Application, deux outils de diagnostic sont intégrés. Ils ne contiennent ni e-mail, ni nom, ni contenu de projet, et ne sont pas reliés au compte de l'utilisateur :

• Firebase Crashlytics (Google) — en cas de plantage : pile d'exécution, modèle d'appareil, version du système et de l'Application, identifiant technique d'installation propre à Crashlytics ;
• Sentry — en cas d'incident technique non fatal (blocage, erreur interne) : identifiant d'événement, horodatage, version de l'Application, modèle d'appareil, version du système, écran actif, type et libellé de l'erreur.

Ces rapports se désactivent à tout moment dans l'Application : Réglages ▸ Diagnostics ▸ Rapport d'incident. Ils sont activés par défaut. Pour Crashlytics, la modification prend pleinement effet au lancement suivant ; un rapport déjà enregistré localement peut rester en attente jusqu'à son envoi ou sa suppression. Google documente une conservation de 90 jours pour les données Crashlytics. La conservation Sentry dépend du réglage du projet concerné et est limitée à la durée nécessaire au diagnostic.

2.6 — Statistiques d'usage pseudonymisées dans l'Application

Lorsque le réglage de partage des statistiques est actif, l'Application mesure l'utilisation de ses fonctions afin d'améliorer la prise en main, la stabilité et les parcours produit. Les événements Lumographe concernent notamment l'ouverture de l'Application, les étapes de prise en main, le premier projecteur patché, la première scène ou sortie DMX, la création d'un effet ou d'une timeline, la collaboration et la connexion au compte. Dans l'édition officielle, ils peuvent également concerner l'affichage du paywall, l'offre choisie, le résultat d'un achat ou d'une restauration et le parcours de parrainage.

• la télémétrie propre à Lumographe utilise un identifiant d'installation aléatoire, la version, le numéro de build, la plateforme, l'édition et la langue, puis est envoyée à Supabase ;
• les mêmes événements applicatifs sont également transmis à Google Analytics for Firebase. Le SDK Google y associe un identifiant d'instance Firebase, l'identifiant de l'appareil propre à l'éditeur (IDFV), le modèle et le système de l'appareil, la version de l'Application, la session, la durée d'engagement, une zone géographique approximative déduite de l'adresse IP et, selon la version de l'Application, l'écran consulté ;
• Firebase collecte aussi certains événements techniques automatiques, par exemple première ouverture, mise à jour, début de session et engagement. Dans Lumographe officiel, Firebase peut également mesurer automatiquement un achat intégré ou un abonnement avec le produit, le prix et la devise ;
• aucun nom de projet, adresse DMX, scène, note libre, mot de passe ou donnée bancaire n'est ajouté à ces événements. L'Application ne définit pas d'identifiant utilisateur Firebase ;
• ces statistiques ne servent pas à la publicité, sauf si l'utilisateur accepte aussi la mesure publicitaire (article 2.8) ; même alors, sans l'autorisation de suivi d'iOS, seule la campagne Apple Ads d'origine peut s'y ajouter. Elles ne servent jamais à la publicité personnalisée et, sans cet accord, l'IDFA n'est pas utilisé ;
• base légale : le consentement. Dans les versions de l'Application qui présentent le réglage Réglages ▸ Diagnostics ▸ « Partager des statistiques d'usage », il est désactivé tant que l'utilisateur ne l'a pas activé lui-même : rien n'est envoyé avant, ni au serveur Lumographe ni à Google, et un réglage laissé actif par une version antérieure ne vaut pas accord. Les versions antérieures de l'Application l'activaient par défaut. Le réglage se désactive à tout moment au même endroit ;
• ces statistiques sont pseudonymes, pas anonymes : elles ne portent ni compte, ni e-mail, mais des identifiants techniques de l'appareil et de l'installation. La désactivation coupe les nouveaux envois Firebase et efface la file d'événements Lumographe en attente. Pour un compte connecté, chaque activation ou désactivation laisse une preuve côté serveur (article 2.13).

2.7 — Séparation entre Lumographe et Lumographe Early

Les deux éditions disposent de fiches d'application Firebase distinctes et de projets Sentry distincts (l'application Android Lumographe Early a, elle aussi, sa propre fiche Firebase et son propre projet Sentry, article 2.10). Leur bundle, leur édition et leur canal permettent donc de distinguer leurs statistiques et leurs incidents dans les outils de suivi. Lumographe Early reste gratuite et n'émet pas les événements de paiement, d'abonnement ou de parrainage réservés à Lumographe officiel.

2.8 — Mesure publicitaire de l'Application (iPhone et iPad)

Lumographe n'affiche aucune publicité. Pour savoir quelles campagnes publicitaires de Lumographe mènent à l'installation, à l'inscription ou à un achat, les versions de l'Application qui affichent la carte Réglages ▸ Diagnostics ▸ « Mesure publicitaire » peuvent, uniquement après l'accord du compte connecté, transmettre les données ci-dessous. Une version qui n'affiche pas cette carte ne transmet rien aux fournisseurs ci-dessous, même si elle en contient le code. Cette mesure est propre à chaque canal (Lumographe et Lumographe Early), désactivée par défaut, inactive sans compte connecté et inexistante sur Mac. Refuser ou retirer son accord ne change rien à l'accès à l'Application ni aux achats.

Google Ads (via Google Analytics for Firebase) et Meta : uniquement pour les fournisseurs que la carte cite, après l'accord du compte et l'autorisation de suivi demandée par iOS (App Tracking Transparency), présentée après le bouton « Continuer ». Sans cette autorisation, ils ne reçoivent ni les événements ci-dessous ni l'identifiant publicitaire (voir toutefois le relevé de la campagne Apple Ads par Firebase, plus bas).

• événements transmis : création de compte constatée sur l'appareil (une seule fois, si l'accord est donné dans les 7 jours qui suivent), ouverture de l'Application, lancement d'un achat depuis le paywall et, dans Lumographe officiel, début d'essai, premier paiement d'un abonnement et achat définitif ou d'univers supplémentaire, avec le montant et la devise vérifiés par notre serveur à partir de la transaction signée par l'App Store, et un identifiant d'événement pseudonyme ; Google Analytics mesure en outre automatiquement les sessions ;
• identifiants : l'identifiant publicitaire de l'appareil (IDFA), l'identifiant d'instance Firebase, l'IDFV et, pour Meta, son identifiant d'installation anonyme ; adresse IP, modèle et système de l'appareil ;
• aucun compte, nom, e-mail, projet, patch ni fixture n'est transmis à ces plateformes ; personnalisation des annonces refusée ; l'option du kit Meta qui limite l'usage des événements à la mesure (sans ciblage) reste activée ;
• retrait à tout moment avec « Retirer mon accord » dans la même carte, ou dans Réglages iOS ▸ Confidentialité et sécurité ▸ Suivi : les signaux publicitaires sont retirés et, s'ils avaient été actifs, l'identifiant d'instance Firebase de l'appareil est réinitialisé ; après un retrait, une déconnexion ou un changement de compte, Meta ne reprend qu'au prochain lancement, et ce que le kit Meta aurait encore enregistré sur l'appareil après l'arrêt n'en part jamais : sa file d'événements et son identifiant d'installation sont effacés au lancement suivant, avant toute reprise. Les envois déjà partis ne peuvent pas être rappelés.

Attribution Apple Ads : après l'accord du compte (Apple n'exige pas ici l'autorisation de suivi), l'Application transmet au serveur Lumographe le jeton d'attribution fourni par iOS (AdServices). Le serveur interroge Apple et enregistre, avec le compte, un identifiant d'installation aléatoire et la version de l'accord, dans une table privée : l'indication que l'installation provient ou non d'Apple Ads et, si c'est le cas, les identifiants de l'organisation, de la campagne, du groupe d'annonces, du mot-clé et de l'annonce, le type de conversion (téléchargement ou retéléchargement), le type d'interaction (impression ou clic) et le pays ou la région. Aucune date de clic n'est enregistrée et le jeton lui-même n'est pas conservé. Ces données sont conservées 13 mois au plus, supprimées avec le compte Lumographe, et le retrait de l'accord efface les informations de campagne. Une fois AdServices sollicité pour cette attribution, Google Analytics for Firebase peut aussi relever lui-même la campagne Apple Ads d'origine de l'installation (événement firebase_campaign : campagne, groupe d'annonces, mot-clé) et la transmettre à Google avec les statistiques d'usage, même sans l'autorisation de suivi, tant que ces statistiques sont actives (article 2.6).

Registre des conversions d'achat (Lumographe officiel, seulement avec l'accord du compte) : pour un abonnement commencé par un essai gratuit, le serveur Lumographe conserve, dans une table privée, l'identifiant de la transaction App Store d'origine, les dates de début et de fin de l'essai, la date du premier paiement et des empreintes non réversibles des événements transmis — jamais de prix, de reçu ni d'adresse e-mail —, afin d'annoncer ce premier paiement une seule fois. Ces données sont conservées 13 mois au plus après leur dernière mise à jour et supprimées avec le compte Lumographe. Sur l'appareil, l'Application garde les empreintes des 500 derniers événements d'achat déjà transmis, même après un retrait, pour ne jamais renvoyer un achat ; elles disparaissent avec l'Application.

TikTok : l'Application ne contient aucun kit TikTok. Tout nouveau fournisseur de mesure serait ajouté à la présente politique avant son activation. Finalité : mesurer l'efficacité des campagnes publicitaires de Lumographe. Base légale : le consentement.

2.9 — Chat de support (Crisp)

Le support de l'Application passe par Crisp (Crisp IM SAS, France, données hébergées dans l'Union européenne), sous-traitant de l'Éditeur. Le kit Crisp est chargé au démarrage de l'Application ; une conversation n'est ouverte que depuis Réglages ▸ Support ▸ « Discuter avec nous ». Sur le site, la page Assistance ouvre la même discussion dans un nouvel onglet, sur le site de Crisp, seulement quand l'utilisateur clique sur « Ouvrir le chat » ; aucun script Crisp n'est chargé sur lumographe.com. Crisp reçoit alors les messages envoyés, l'adresse e-mail si l'utilisateur la donne, l'adresse IP et les informations de l'appareil. Finalité : répondre aux demandes de support. Base légale : l'exécution du contrat et l'intérêt légitime de l'Éditeur à assister ses utilisateurs. Les conversations sont conservées tant qu'elles existent dans Crisp ; leur suppression peut être demandée par e-mail.

2.10 — Application Android Lumographe Early

Lumographe Early pour Android (fr.comenolo.lumographe, distribuée par Google Play) est en téléchargement gratuit et sans aucune publicité. Des achats intégrés sont possibles via Google Play : Google traite le paiement, et l'Éditeur reçoit seulement la confirmation de l'achat pour activer l'offre sur le compte, jamais les données de carte bancaire. Elle traite les données décrites ci-dessous ; les articles 2.1 à 2.6 s'y appliquent, à ces précisions près :

• Compte, sauvegarde en ligne et set partagé (facultatifs, chez Supabase) : adresse e-mail, mot de passe conservé sous forme d'empreinte, identifiant de compte, pseudonyme ou nom d'appareil affiché, projets sauvegardés (conduites, patch, scènes, plans) et identifiant du set partagé (articles 2.1 et 2.2) ;
• Statistiques d'usage : les événements Lumographe, avec un identifiant d'installation aléatoire, la version, la plateforme, l'édition et la langue, sont envoyés à Supabase et transmis à Google Analytics for Firebase (Google Ireland Limited et Google LLC), qui y associe un identifiant d'instance Firebase et une position approximative déduite de l'adresse IP (ville ou région, jamais la position exacte de l'appareil). Aucun identifiant utilisateur Firebase n'est défini ;
• Rapports de plantage : Firebase Crashlytics (Google Ireland Limited et Google LLC) reçoit la pile d'exécution, le modèle d'appareil, la version d'Android et de l'Application, l'état de la mémoire et un identifiant d'installation propre à Crashlytics ;
• Rapports d'incident : Sentry (projet propre à l'application Android, point d'ingestion dans l'Union européenne) reçoit les incidents non fatals réduits à des codes de diagnostic, avec le modèle d'appareil, la version et le canal ;
• Réglages : dans la version Android actuelle, statistiques et rapports sont activés par défaut et se désactivent à tout moment dans Réglages ▸ Diagnostics (interrupteur des statistiques d'usage et « Rapport d'incident ») ;
• Pas de publicité ni d'identifiant publicitaire : l'application Android n'affiche aucune publicité, n'intègre aucun kit publicitaire, ne lit pas l'identifiant publicitaire Android (la permission AD_ID est retirée) et refuse dans Google Analytics tout stockage ou usage publicitaire (ad_storage, ad_user_data, ad_personalization). La mesure publicitaire de l'article 2.8 n'existe pas sur Android ;
• Données restant sur l'appareil : la caméra (lecture de QR codes, pixel mapping), le micro (commande vocale, timecode) et la position (cockpit Tournesol, envoyée au seul boîtier Tournesol du réseau local) sont traités sur l'appareil et ne sont jamais transmis à l'Éditeur. Le rapport de bug prépare un e-mail que l'utilisateur envoie lui-même ;
• l'application Android n'intègre pas le chat Crisp (article 2.9).

La suppression du compte et des données se demande dans l'Application ou, sans l'Application, depuis la page Suppression du compte (article 6).

2.11 — Appareils de sortie DMX

Votre licence permet d'envoyer du DMX depuis un nombre limité d'appareils (un, ou deux en Studio). Pour appliquer cette règle et vérifier qu'elle reste équitable, nous enregistrons, quand un appareil envoie du DMX :

• l'identifiant de votre compte et une empreinte de l'appareil (calculée sur l'appareil, elle ne permet pas de retrouver son numéro de série) ;
• le nom de l'appareil, tel qu'il apparaît dans votre espace compte ;
• le début et la fin de chaque période d'envoi, et une confirmation régulière (environ une par minute) tant que l'envoi continue ;
• une empreinte de la session LAN, si l'appareil envoie dans une session partagée ;
• une empreinte du réseau Internet utilisé. Elle est calculée à partir d'une partie de l'adresse IP, avec une clé secrète, et ne permet pas de retrouver l'adresse. Nous ne conservons jamais l'adresse IP elle-même ;
• le pays de connexion, quand notre hébergeur nous le transmet. Nous n'enregistrons ni votre position, ni votre ville, ni votre région.

Ces données nous servent à savoir quel appareil peut envoyer du DMX, à mettre en œuvre les remplacements d'appareil et les sorties de secours, et à mesurer, de façon statistique, combien de comptes envoient depuis deux appareils en même temps, au même endroit ou à deux endroits différents. Les statistiques sont produites sans votre nom ni votre adresse e-mail.

Base légale : l'exécution du contrat de licence, et notre intérêt légitime à prévenir le partage abusif d'une licence. Durée de conservation : 13 mois, puis suppression automatique.

Vous voyez vos appareils de sortie et ceux qui envoient du DMX en ce moment dans votre espace compte. Vous pouvez y remplacer un appareil de sortie. Pour toute question ou pour exercer vos droits (accès, rectification, effacement, opposition), écrivez-nous à l'adresse indiquée plus bas.

2.12 — API et MCP (Claude, ChatGPT)

Les offres payantes permettent de piloter l'Application depuis un assistant choisi par l'Utilisateur (par exemple Claude ou ChatGPT), par le relais mcp.lumographe.com. Ce relais est hébergé par Cloudflare, Inc. (Workers, KV, Durable Objects), sous-traitant de l'Éditeur, sur son réseau mondial ; les données peuvent donc être traitées hors de l'Union européenne, avec les garanties de l'article 9. L'assistant appelle le relais avec l'accès que l'Utilisateur lui a donné ; le relais n'envoie rien à Anthropic ni à OpenAI. Ce que l'assistant reçoit (y compris le contenu des projets que l'Utilisateur choisit de partager) relève des conditions de ce fournisseur, choisies par l'Utilisateur.

• Accès des assistants : assistants enregistrés (nom, adresses de retour), et, pour chaque assistant et chaque compte, l'identifiant du compte Lumographe, le nom de l'assistant et le niveau d'accès (lecture ou création). Jetons d'accès valables 1 heure, jetons de renouvellement 30 jours au plus et 14 jours sans usage, codes d'autorisation quelques minutes. Tous les accès se retirent dans l'Application (Réglages ▸ Entrées ▸ Assistants en ligne ▸ « Retirer l'accès des assistants ») ;
• Par compte : l'offre et le quota du jour (lus auprès de Supabase), le compteur d'actions du jour (remis à zéro à minuit, heure de Paris), la liste des outils de l'Application (noms et formats seulement), le nom de l'appareil qui pilote pendant qu'il est connecté, et les assistants connectés avec leur dernière activité (effacés après 10 minutes d'inactivité ; 24 heures pour un assistant remplacé) ;
• Contenu des échanges : les commandes de l'assistant et les réponses de l'Application, qui peuvent contenir des données de projet (patch, scènes, effets, timelines), ne font que transiter. Une réponse arrivée en retard est gardée 3 minutes en mémoire, jamais sur disque, pour ne pas rejouer une demande ;
• Cookies du relais : session de 10 minutes (scellée, ne contient que l'identifiant du compte) et protection contre la falsification de requêtes, 30 minutes ;
• Sécurité : l'adresse IP et l'adresse e-mail servent à limiter les tentatives de connexion sur 60 secondes, chez Cloudflare ; elles ne sont pas conservées par le relais. Aucun mot de passe, aucun jeton de session Supabase et aucun journal permanent ne sont conservés.

2.13 — Preuve des consentements donnés dans l'Application

Dans les versions de l'Application qui présentent le réglage « Partager des statistiques d'usage », lorsqu'un compte connecté (jamais une session invitée) accepte ou retire la mesure publicitaire (boutons « Continuer » et « Retirer mon accord » de la carte « Mesure publicitaire ») ou active ou désactive les statistiques d'usage, l'Application transmet au serveur Lumographe une preuve de ce choix : la finalité concernée, l'accord ou le retrait, la version du texte affiché, la date du choix sur l'appareil et la date de réception, rattachées au compte, dans une table privée où rien ne peut être modifié. Ni adresse IP, ni identifiant d'appareil ou d'installation, ni contenu de projet. Sans réseau, la preuve attend sur l'appareil et part plus tard. Finalité : pouvoir démontrer le consentement recueilli (article 7.1 du RGPD). Base légale : le respect de cette obligation. Conservation : tant que la preuve établit l'accord en vigueur du compte pour cette finalité, puis 13 mois ; suppression avec le compte Lumographe.

Article 3 — Finalités du traitement

• Fournir le service : authentifier le compte et permettre l'usage de la console.
• Synchroniser et sauvegarder les projets lumière entre les appareils de l'utilisateur et permettre la collaboration.
• Gérer les achats et vérifier l'accès aux fonctions payantes (achat intégré Apple ou Google Play, paiement Stripe, code de licence, parrainage).
• Assurer le support et répondre aux demandes des utilisateurs, notamment par le chat Crisp (article 2.9).
• Améliorer le service via des statistiques agrégées issues d'événements pseudonymisés, après accord (article 2.6).
• Démontrer les consentements donnés dans l'Application (article 2.13).
• Mesurer l'efficacité des campagnes publicitaires de Lumographe, après accord (articles 2.8 et 7).
• Mesurer l'audience du site, après accord (article 7).
• Garantir la sécurité (détection d'accès non autorisé, anti-fraude) et corriger les défauts (article 2.5).
• Respecter les obligations légales (comptabilité, fiscalité).

Article 4 — Destinataires et sous-traitants

Les données peuvent être communiquées aux destinataires suivants : des sous-traitants engagés par contrat à respecter le RGPD et, pour la mesure d'audience et la mesure publicitaire faites après accord, des plateformes (Google, Meta, TikTok, Apple) qui traitent aussi ces données pour leur propre compte, selon leurs politiques de confidentialité :

• Supabase (Irlande, UE) — hébergement de la base de données, authentification du compte, sauvegarde en ligne, sets partagés et statistiques d'usage propres à Lumographe.
• Stripe Payments Europe Ltd (Irlande, UE) — traitement des paiements et achats effectués sur le web.
• Resend (États-Unis) — envoi des e-mails transactionnels (codes de connexion, confirmations, notifications) ; transferts encadrés par les clauses contractuelles types.
• Apple (États-Unis) — distribution via l'App Store, traitement des achats intégrés et, après accord, attribution Apple Ads (article 2.8).
• Google Ireland Limited et Google LLC — Firebase Crashlytics et Google Analytics for Firebase dans les Applications, y compris l'application Android (articles 2.5, 2.6 et 2.10), et distribution de l'application Android par Google Play ; après accord, conversions Google Ads (article 2.8) et Google Analytics 4 et Google Ads sur le site (article 7).
• Meta Platforms Ireland Ltd — après accord : pixel Meta du site (article 7) et, dans les versions de l'Application où la carte « Mesure publicitaire » le cite, Meta App Events (article 2.8).
• TikTok Technology Limited (Irlande) — pixel TikTok du site, uniquement après accord « Mesure publicitaire » (article 7). Aucun envoi depuis l'Application.
• Cloudflare, Inc. — hébergement du relais API et MCP (mcp.lumographe.com, article 2.12), sur son réseau mondial.
• Functional Software, Inc. (Sentry) — réception des rapports d'incident technique des Applications, iOS et Android (articles 2.5 et 2.10), sur un point d'ingestion situé dans l'Union européenne (Allemagne).
• Crisp IM SAS (France, hébergement UE) — chat de support de l'Application (article 2.9).
• Hostinger (UE) — hébergement du site lumographe.com.

Aucune donnée n'est vendue. Les seules transmissions à des fins publicitaires sont celles de la mesure publicitaire décrite aux articles 2.8 et 7 : elles n'ont lieu qu'après l'accord de l'utilisateur, se limitent aux données qui y sont listées et ne contiennent jamais son nom, son adresse e-mail ni le contenu de ses projets.

Article 5 — Durée de conservation

• Compte utilisateur actif : tant que le compte est actif. Un compte inactif depuis plus de 3 ans peut être supprimé après notification.
• Projets lumière : jusqu'à la suppression du compte par l'utilisateur.
• Logs techniques : 30 jours maximum.
• Rapports Crashlytics (article 2.5) : 90 jours selon la documentation Google. Les incidents Sentry suivent la durée configurée dans chacun des projets (iOS et Android), puis sont supprimés.
• Statistiques d'usage applicatives (article 2.6) : les données Firebase/Google Analytics sont conservées selon la durée configurée dans la propriété Analytics, sans dépasser 14 mois pour les données d'événement associées aux utilisateurs. Les événements propres à Lumographe conservés chez Supabase sont supprimés 180 jours après leur réception. La file locale, plafonnée à 500 événements, subsiste jusqu'à l'envoi ou jusqu'à la désactivation du réglage.
• Choix « Mesure publicitaire » de l'Application : sur l'appareil, jusqu'à sa modification, la suppression du compte ou un changement de la liste des fournisseurs, qui redemande l'accord.
• Attribution Apple Ads (article 2.8) : 13 mois au plus, suppression avec le compte, informations de campagne effacées au retrait de l'accord ; une demande d'attribution inachevée est supprimée après 1 jour.
• Registre des conversions d'achat (article 2.8) : 13 mois au plus après la dernière mise à jour, suppression avec le compte Lumographe. Registre anti-doublon de l'Application : les empreintes des 500 derniers événements d'achat transmis, sur l'appareil, jusqu'à la désinstallation.
• Preuves de consentement (article 2.13) : tant que la preuve établit l'accord en vigueur du compte, puis 13 mois ; suppression avec le compte Lumographe. Sur l'appareil, les preuves pas encore reçues par le serveur (50 au plus par compte) attendent leur envoi.
• Appareils de sortie DMX (article 2.11) : 13 mois, puis suppression automatique.
• API et MCP (article 2.12) : accès des assistants jusqu'à leur retrait ou expiration (renouvellement 30 jours au plus, 14 jours sans usage) ; compteur d'actions remis à zéro chaque jour ; assistants connectés effacés après 10 minutes d'inactivité ; contenu des échanges en transit seulement.
• Demandes de devis Loueur : données de contact du professionnel (société, numéro de TVA ou SIRET, nom, e-mail, téléphone, nombre d'iPads, période et message), utilisées pour répondre à la demande et conservées 3 ans après le dernier contact.
• Choix « Cookies et mesure » du site : 6 mois dans le navigateur, puis le bandeau est de nouveau proposé.
• Cookies de mesure du site (Google, Meta, TikTok) : 13 mois au plus ; supprimés dès le retrait de l'accord. Les données Google Analytics du site sont conservées 14 mois au plus ; les données reçues par Google Ads, Meta et TikTok suivent les durées de conservation de ces plateformes.
• Conversations de support Crisp : tant que la conversation existe dans Crisp ; suppression sur demande par e-mail.
• Données comptables et factures : 10 ans, conformément à l'article L.123-22 du Code de commerce.
• Données fiscales : 6 ans, conformément à l'article L.102 B du Livre des procédures fiscales.

À l'issue de ces périodes, les données sont définitivement supprimées ou anonymisées.

Article 6 — Droits de l'utilisateur

Conformément aux articles 13 à 22 du RGPD, l'utilisateur dispose des droits suivants :

• Droit d'accès (Art. 15) — obtenir confirmation du traitement et copie de ses données.
• Droit de rectification (Art. 16) — corriger ses données depuis l'application.
• Droit à l'effacement ou « droit à l'oubli » (Art. 17) — supprimer définitivement ses données Lumographe. Cette opération est irréversible.
• Droit à la portabilité (Art. 20) — recevoir ses données dans un format structuré, couramment utilisé et lisible par machine (JSON).
• Droit d'opposition et de limitation du traitement (Art. 18 et 21), notamment aux diagnostics (Réglages ▸ Diagnostics).
• Droit de retirer le consentement à tout moment, sans porter atteinte à la licéité des traitements antérieurs : réglage « Partager des statistiques d'usage » et carte « Mesure publicitaire » de l'Application (Réglages ▸ Diagnostics) et, sur iPhone et iPad, Réglages iOS ▸ Confidentialité et sécurité ▸ Suivi ; bouton « Cookies » du site.
• Droit de définir des directives relatives au sort de ses données après son décès (Art. 85 loi Informatique et Libertés).

Comment exercer ces droits ?
Directement depuis l'application via les boutons « Demander une copie » et « Supprimer mes données Lumographe » (sur iPhone, iPad, Mac et Android, dans Compte), ou par e-mail à contact@lumographe.com avec une preuve d'identité si nécessaire. La suppression du compte peut être demandée sans l'application : la page Suppression du compte explique la démarche, ce qui est supprimé et ce qui peut être conservé. L'Éditeur s'engage à répondre dans un délai maximum d'un mois. Pour faciliter ces démarches, voir le Centre RGPD.

Article 7 — Site lumographe.com : cookies, mesure d'audience et mesure publicitaire

À la première visite, le site affiche un bandeau « Cookies et mesure ». Aucun outil de mesure ne se charge avant votre choix ; « Tout refuser » est aussi simple que « Tout accepter », et « Personnaliser » permet de choisir chacune des deux finalités ci-dessous. Le choix est mémorisé dans le navigateur (stockage local nolo.site-consent.v2) pendant 6 mois, puis redemandé ; il se modifie à tout moment avec le bouton Cookies affiché sur les pages du site. Un refus n'empêche pas l'accès au contenu. Aucun outil ne se charge sur une page dont l'adresse, ou celle de la page précédente du site, contient un paramètre autre qu'un paramètre de campagne ou d'offre. Base légale : le consentement (Art. 6.1.a RGPD et article 82 de la loi Informatique et Libertés).

Cookies

Mesure d'audience — Google Analytics 4 (Google Ireland Limited, flux G-EXG5BY6JLN) :

• pages consultées (adresse réduite au chemin et aux paramètres de campagne), page de provenance réduite à son domaine, clics, informations techniques sur le navigateur et l'appareil, langue et localisation approximative ; avec la seule mesure d'audience, Google Analytics ne reçoit que ces pages vues et ces clics, jamais d'étape de paiement ni d'achat ;
• cookies _ga et _ga_*, 13 mois au plus ; signaux Google et personnalisation publicitaire désactivés ; aucun identifiant de compte ni e-mail.

Mesure publicitaire — Google Ads (balise AW-18305283750), pixel Meta (1400035788765774), pixel TikTok (DAS1HARC77U88MSO7V30) :

• pages vues et identifiants de clic publicitaire (gclid, fbclid, ttclid), avec l'adresse IP et les informations du navigateur que ces plateformes recueillent ;
• sur les pages de tarifs et de compte : l'ouverture d'un paiement Stripe (prix affiché de l'offre et devise) et, lorsque notre serveur confirme un paiement réel, l'achat (abonnement mensuel, achat définitif ou univers supplémentaire), avec le prix affiché de l'offre (une estimation, pas le montant encaissé) et un identifiant d'événement pseudonyme (empreinte non réversible de la session de paiement) ; ces étapes partent vers Meta et TikTok avec la mesure publicitaire, et vers Google Analytics 4 (qui les transmet à Google Ads comme conversions) seulement si les deux finalités sont acceptées ; au retour du paiement, l'identifiant de session Stripe est retiré de l'adresse de la page avant toute mesure et n'est jamais transmis à ces plateformes ;
• cookies _gcl_* (Google Ads), _fbp et _fbc (Meta), _ttp, _tt_enable_cookie et ttcsid* (TikTok), 13 mois au plus ; un registre local (nolo.site-ads-ledger.v1) évite de compter deux fois un même événement et est effacé si tout est refusé ;
• jamais de nom, d'adresse e-mail ni de téléphone, même hachés (aucune « correspondance avancée ») ; la personnalisation des annonces Google reste refusée ; Google Ads n'est actif que si les deux finalités sont acceptées ;
• finalité : savoir quelles publicités de Lumographe mènent à une visite, à l'ouverture d'un paiement ou à un achat ;
• pour la collecte par leurs pixels, l'Éditeur et Meta Platforms Ireland Ltd, respectivement TikTok Technology Limited, sont responsables conjoints ; l'utilisation ultérieure des données par ces plateformes relève de leurs propres politiques de confidentialité.

Retrait : depuis le bouton « Cookies », à tout moment. L'envoi s'arrête aussitôt, y compris dans les autres onglets ouverts du site, le consentement est révoqué auprès de Google, Meta et TikTok et les cookies de mesure du site sont supprimés. Les données déjà transmises restent soumises aux durées de conservation de ces plateformes. Le choix est propre à chaque adresse : un choix fait sur www.lumographe.com ne vaut pas pour lumographe.com.

Certaines pages chargent des polices depuis Google Fonts : Google reçoit alors l'adresse IP et les informations du navigateur nécessaires à l'envoi des fichiers, sans finalité de mesure.

Article 8 — Sécurité

L'Éditeur met en œuvre les mesures techniques et organisationnelles appropriées pour protéger les données :

• chiffrement HTTPS / TLS sur tous les échanges ;
• Row Level Security (RLS) activée sur la base Supabase : chaque utilisateur n'a accès qu'à ses propres données ; données d'attribution publicitaire dans un schéma privé, accessibles au seul serveur ;
• authentification par code à usage unique (OTP) ou par mot de passe dont Supabase conserve uniquement une empreinte sécurisée ;
• vérification par notre serveur des transactions signées par l'App Store ;
• sauvegardes chiffrées et régulières de la base de données ;
• accès d'administration restreint à l'Éditeur ;
• politique de sécurité des contenus (CSP) stricte sur les pages de tarifs et de compte, limitée aux seuls services décrits dans cette politique.

Article 9 — Transferts hors Union européenne

En production, la base de données et l'authentification sont hébergées au sein de l'Espace économique européen (EEE) chez Supabase (Irlande) et les paiements web sont traités par Stripe (Irlande, UE).

Certains destinataires peuvent traiter des données hors de l'EEE, notamment Resend (e-mails transactionnels), Apple (distribution, achats, attribution Apple Ads), Google (Analytics for Firebase, Crashlytics, Google Play et, après accord, Google Ads et Google Analytics 4), Meta (après accord), Sentry (diagnostic) et Cloudflare (relais API et MCP). TikTok indique que les données de son pixel peuvent être consultées depuis des pays situés hors de l'EEE, y compris des pays sans décision d'adéquation. Ces transferts sont encadrés par le cadre de protection des données UE–États-Unis (Data Privacy Framework) lorsque le destinataire y est certifié, et à défaut par les clauses contractuelles types approuvées par la Commission européenne (Décision (UE) 2021/914), ou tout autre mécanisme reconnu par le RGPD.

Article 10 — Recours auprès de la CNIL

En cas de désaccord persistant sur le traitement de ses données, l'utilisateur dispose du droit d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :

English summary

Lumographe and Lumographe Early are published by NOLO (SAS), 48 rue du Montparnasse, 75014 Paris, France (contact: contact@lumographe.com). The French text above prevails. Lumographe shows no ads. App versions that display Settings ▸ Diagnostics ▸ Advertising measurement may, only after the signed-in account consents, measure which ads lead to installs, sign-ups and purchases: Apple Ads attribution (consent only, kept 13 months at most; Google Analytics for Firebase may also receive the Apple Ads campaign of origin with the usage statistics, even without tracking permission) and, only if you also allow tracking in the iOS prompt, Google Ads through Google Analytics for Firebase and Meta (events, IDFA, device and installation identifiers; never your name, email or projects). There is no TikTok SDK in the app and no advertising measurement on Mac. On lumographe.com, nothing is measured before you choose in the “Cookies & measurement” banner; audience (Google Analytics 4: page views and clicks) and advertising (Google Ads, Meta and TikTok pixels, including checkout and confirmed purchases, which reach Google Analytics only when both purposes are accepted) are separate purposes you can withdraw anytime with the “Cookies” button. Diagnostics can be turned off in Settings ▸ Diagnostics. Usage statistics (our server and Google Analytics for Firebase) are pseudonymous, not anonymous: in app versions showing “Share usage statistics”, they stay off until you turn them on there (earlier versions had them on by default). For a signed-in account, each consent choice leaves a server-side proof (purpose, choice, text version, dates; no IP or device identifier), kept while that consent is in force and then 13 months, deleted with the account. Support chat runs on Crisp. We never sell data. Lumographe Early for Android (fr.comenolo.lumographe, Google Play) is free to download and shows no ads; in-app purchases are possible through Google Play, which handles payment (we only receive the purchase confirmation to unlock the plan on your account, never card details); it has no advertising SDK and does not use the Android advertising ID. It uses Supabase (optional account, cloud backup, shared sets, first-party usage statistics), Google Analytics for Firebase (usage events, Firebase instance ID, approximate location derived from the IP address, advertising storage and personalisation denied) and Firebase Crashlytics (Google Ireland Limited and Google LLC), and Sentry (EU ingestion) for incident reports; statistics and reports are on by default and can be turned off in Settings ▸ Diagnostics. To delete your account with or without the app, see Account deletion.

DMX output devices. Your licence lets you send DMX from a limited number of devices (one, or two with Studio). To apply this rule and check that it stays fair, we record the following when a device sends DMX: your account identifier and a fingerprint of the device (computed on the device; it cannot be used to recover its serial number); the device name, as shown in your account page; when each sending period starts and ends, and a regular confirmation (about one per minute) while sending continues; a fingerprint of the LAN session, if the device sends within a shared session; a fingerprint of the Internet network in use, computed from part of the IP address with a secret key, which cannot be used to recover the address (we never store the IP address itself); and the country of connection, when our hosting provider supplies it (we do not record your location, city or region). We use this data to know which device may send DMX, to apply device replacements and emergency outputs, and to measure, as statistics, how many accounts send from two devices at once, in the same place or in two different places. The statistics are produced without your name or email address. Legal basis: performance of the licence contract, and our legitimate interest in preventing a licence from being shared improperly. Retention: 13 months, then automatic deletion. Your account page shows your output devices and the devices sending DMX right now, and lets you replace an output device. For any question, or to exercise your rights (access, rectification, erasure, objection), write to us at the address given below.

API and MCP. Paid plans let you drive the app from an assistant you choose (for example Claude or ChatGPT) through the mcp.lumographe.com relay, hosted by Cloudflare on its global network. The relay sends nothing to Anthropic or OpenAI: your assistant calls it with the access you granted, under that provider's terms. It keeps the assistants' access (access tokens 1 hour, refresh tokens 30 days at most or 14 days unused, revocable in the app), your plan, quota and daily action counter, and the connected device and assistants (dropped after 10 minutes idle). Project content only passes through (a late answer is kept 3 minutes in memory). No passwords, Supabase tokens or permanent logs are stored.

Rental quote requests. When a business asks for a Rental quote, we keep the contact details it sends (company, VAT or company number, name, email, phone, number of iPads, period and message) to answer the request, for 3 years after the last contact.

Contact

Pour toute question relative à la présente Politique de Confidentialité ou à l'exercice de vos droits :
contact@lumographe.com