Politique de conservation et de destruction des données

1. Objet et portée

La présente Politique de conservation et de destruction des données (la « Politique ») décrit la durée pendant laquelle Renji Labs, Inc. (« Renji Labs », « nous », « notre » ou « nos ») conserve chaque catégorie de renseignements personnels traités dans le cadre de Kaiary, et la manière dont ces renseignements sont définitivement supprimés lorsqu'ils ne sont plus nécessaires.

La présente Politique vise à satisfaire nos obligations en vertu des lois applicables, notamment : le Children's Online Privacy Protection Rule (COPPA), qui interdit la conservation indéfinie des renseignements personnels des enfants ; l'Illinois Biometric Information Privacy Act (BIPA), qui exige un calendrier écrit, accessible au public, de conservation et de destruction des identifiants biométriques ; les obligations équivalentes en vertu d'autres lois américaines (Texas CUBI, Washington RCW 19.375), du California Consumer Privacy Act (modifié par le CPRA), du Règlement général sur la protection des données de l'UE (RGPD), ainsi que la Loi sur la protection des renseignements personnels dans le secteur privé du Québec (modifiée par la Loi 25).

2. Définitions

• Renseignements personnels. Tels que définis dans notre Politique de confidentialité.
• Contenu familial. Les entrées de journal, photos, vidéos, enregistrements audio, légendes, événements marquants et autres contenus que les utilisateurs créent ou téléversent.
• Données biométriques. Vecteurs de géométrie faciale (incrustations de visage) extraits des photos lorsqu'un utilisateur active la reconnaissance faciale. Les images brutes du visage sont stockées comme contenu familial ordinaire ; seul le vecteur d'incrustation est traité comme donnée biométrique aux fins de la présente Politique.
• Renseignements personnels d'enfants. Renseignements personnels de toute personne âgée de moins de 18 ans, y compris les images, l'audio, les noms, les dates de naissance et les données biométriques des mineurs qui apparaissent comme sujets dans le contenu familial. Les titulaires de compte doivent avoir 18 ans ou plus ; cette catégorie concerne donc les renseignements relatifs à des mineurs que les utilisateurs adultes fournissent.
• Compte actif. Compte qui n'a pas été supprimé, que ce soit par l'utilisateur ou par nous en application de nos conditions.
• Suppression définitive. Retrait des systèmes de production et de toutes les copies de sauvegarde conservées dans les délais indiqués dans la présente Politique, d'une manière qui empêche la reconstruction des données.

3. Principes de conservation

Nos pratiques de conservation sont guidées par quatre principes :

• Limitation des finalités. Nous conservons les renseignements personnels uniquement pour la durée nécessaire à la finalité pour laquelle ils ont été recueillis, plus toute période requise ou permise par la loi.
• Aucune conservation indéfinie. Chaque catégorie de renseignements personnels a une durée maximale de conservation définie.
• Contrôle par l'utilisateur. Les utilisateurs peuvent supprimer des éléments de contenu individuels, désactiver les fonctions facultatives ou supprimer leur compte en tout temps.
• Protection accrue pour les catégories sensibles. Les renseignements personnels d'enfants et les données biométriques sont soumis aux périodes de conservation les plus courtes possibles et aux exigences de destruction les plus strictes.

4. Calendrier de conservation

Le tableau ci-dessous précise, pour chaque catégorie de renseignements personnels, l'événement déclencheur, la durée maximale de conservation et la justification. Sauf indication contraire, tous les délais courent à partir de l'événement déclencheur.

5. Méthodes de destruction

À la fin d'une période de conservation, nous supprimons les données concernées au moyen de méthodes adaptées au support de stockage :

• Enregistrements de base de données. Supprimés définitivement de la base de données de production. La suppression douce n'est pas utilisée comme état final.
• Stockage d'objets (photos, vidéos, audio). Supprimés d'Amazon S3 de façon à ce que les objets ne soient plus récupérables. Les copies d'objets versées sont purgées au même calendrier.
• Incrustations biométriques. Supprimées de l'index pgvector dans PostgreSQL.
• Copies en cache et de diffusion de contenu. Invalidées et purgées de CloudFront.
• Journaux. Vieillissent hors du stockage de journaux selon les périodes de conservation ci-dessus.
• Sauvegardes. Les sauvegardes chiffrées contenant des données supprimées sont retirées par rotation dans la fenêtre de conservation documentée. Les clés de chiffrement des sauvegardes retirées sont également détruites.
• Sous-traitants tiers. Lorsque les données sont détenues par un fournisseur (ex. : Sentry, PostHog, AppsFlyer, RevenueCat, SendGrid), nous propageons les demandes de suppression au fournisseur et nous appuyons sur son processus de suppression documenté. Les fenêtres de conservation des fournisseurs sont indiquées ci-dessus lorsqu'elles diffèrent des nôtres.

6. Suppression initiée par l'utilisateur

6.1 Suppression de contenu individuel

Vous pouvez supprimer en tout temps des photos, vidéos, enregistrements audio, entrées de journal et autres éléments individuels depuis l'application. Les éléments supprimés sont retirés immédiatement des systèmes actifs et des sauvegardes dans la fenêtre standard de rotation des sauvegardes de 30 jours.

6.2 Suppression des données biométriques

Vous pouvez désactiver la reconnaissance faciale ou supprimer vos données de reconnaissance faciale en tout temps depuis Paramètres > Compte > Reconnaissance faciale. Supprimer les données biométriques ne supprime pas les photos sous-jacentes. La suppression biométrique est propagée dans les 30 jours.

6.3 Suppression de votre compte

La suppression de compte est disponible depuis Paramètres > Compte > Supprimer le compte. Le processus de suppression guide les titulaires dans les décisions de transfert de propriété ou de suppression familiale et nécessite une confirmation explicite. Une fois confirmée, toutes les renseignements personnels associés à votre compte — y compris le Contenu familial, les Données biométriques et les métadonnées de compte — sont supprimées des systèmes actifs et propagées par les sauvegardes dans les 30 jours.

Vous pouvez aussi demander la suppression en écrivant à privacy@kaiary.ai ou à support@kaiary.ai.

7. Dispositions spéciales pour les données biométriques

Conformément à l'Illinois Biometric Information Privacy Act (740 ILCS 14/) et aux lois d'État analogues, Renji Labs s'engage à ce qui suit en ce qui concerne les données de géométrie faciale :

• Finalité. Les données biométriques sont recueillies dans le seul but d'effectuer l'étiquetage automatique des visages et l'organisation des photos au sein du groupe familial de l'utilisateur.
• Conservation. Les données biométriques sont conservées jusqu'à la première des éventualités suivantes : (a) l'utilisateur désactive la reconnaissance faciale, (b) l'utilisateur supprime les photos associées, (c) suppression du compte, ou (d) trois ans depuis la dernière interaction de l'utilisateur avec la fonction.
• Destruction. À la suite de l'un de ces événements, les données biométriques sont détruites dans les 30 jours selon les méthodes décrites à la section 5.
• Aucune vente. Nous ne vendons, ne louons, n'échangeons ni ne tirons profit des données biométriques d'aucune autre façon.
• Aucun partage avec des tiers. Les données biométriques sont traitées exclusivement sur l'infrastructure auto-hébergée de Renji Labs et ne sont partagées avec aucun tiers, y compris les partenaires publicitaires, les fournisseurs d'analyse ou les services d'IA tiers.
• Piste d'audit. Le consentement à la collecte biométrique est enregistré avec horodatage, adresse IP, agent utilisateur, source du consentement et acceptations spécifiques fournies.

8. Dispositions spéciales pour les renseignements personnels d'enfants

Même si seul un adulte de 18 ans ou plus peut créer un compte Kaiary, le contenu familial inclut souvent des images, des enregistrements audio et des données biographiques sur des mineurs. Conformément au Children's Online Privacy Protection Rule, nous appliquons les pratiques de conservation accrues suivantes :

• Aucune conservation indéfinie. Les renseignements personnels d'enfants ne sont jamais conservés indéfiniment. Leur conservation est régie par la règle du Compte actif ci-dessus et par la suppression initiée par l'utilisateur.
• Suppression à la demande parentale. Le titulaire de compte adulte peut supprimer en tout temps tout élément représentant son enfant — ou tous ces éléments — depuis l'application. L'adulte peut aussi demander la suppression à privacy@kaiary.ai.
• Aucune utilisation publicitaire ou analytique. Les renseignements personnels d'enfants ne sont jamais partagés avec des partenaires publicitaires ou d'analyse.
• Traitement auto-hébergé uniquement. Les fonctions d'IA qui traitent du contenu représentant des enfants — reconnaissance faciale, légendage, recherche — fonctionnent exclusivement sur l'infrastructure de Renji Labs. Aucun service d'IA tiers ne reçoit d'images, d'audio ou de vidéos représentant des enfants.

9. Exception de préservation légale

Si la loi nous oblige à préserver des données — par exemple, en réponse à une assignation, une ordonnance judiciaire ou une demande réglementaire valides — les données visées peuvent être conservées au-delà des périodes prévues dans la présente Politique pour la durée de la préservation. Nous limitons la portée de toute préservation et reprenons la suppression normale dès la fin de l'obligation.

10. Sauvegardes et « droit à l'oubli »

Les sauvegardes chiffrées sont essentielles à la reprise après sinistre. Lorsque vous supprimez des données ou fermez votre compte, ces données sont retirées immédiatement des systèmes actifs, mais des copies peuvent demeurer dans les sauvegardes courantes jusqu'à 30 jours. Les sauvegardes sont chiffrées, à accès contrôlé et utilisées uniquement pour des opérations de reprise. Nous ne restaurons pas les données supprimées des sauvegardes, sauf en cas d'incident documenté de reprise après sinistre, et toute donnée restaurée est resupprimée dès la résolution de l'incident.

11. Transferts internationaux de données

Les données sont stockées aux États-Unis. Si nous transférons des données hors de leur pays d'origine, nous le faisons au moyen de mécanismes de transfert légaux (comme les clauses contractuelles types pour les transferts depuis l'Espace économique européen). Les périodes de conservation prévues dans la présente Politique s'appliquent peu importe l'endroit de stockage des données.

12. Révision et mise à jour de la politique

La présente Politique est révisée au moins une fois par an et mise à jour lors de tout changement important à nos activités de traitement, à notre infrastructure, à nos relations avec les fournisseurs ou aux lois applicables. La date de « Dernière mise à jour » en haut de ce document reflète la révision la plus récente. Les changements importants sont résumés dans notre Politique de confidentialité et peuvent être communiqués aux utilisateurs par l'application ou par courriel.

13. Nous joindre

Pour toute question sur la présente Politique ou pour exercer vos droits de suppression de données, communiquez avec :