Politique de confidentialité

Dernière mise à jour : 9 novembre 2026

La présente politique décrit la manière dont VinPix, service édité par COSTO GROUP (SASU — société par actions simplifiée à associé unique, SIRET 108 873 100 00011, 47 rue Vivienne, 75002 Paris — France), traite les données personnelles de ses membres et visiteurs, conformément au Règlement Général sur la Protection des Données (RGPD — UE 2016/679) et à la loi Informatique et Libertés.

1. Responsable de traitement

Le responsable de traitement est COSTO GROUP, joignable à diagprocontact@gmail.com.

2. Données collectées

Selon votre utilisation du Service, les données suivantes sont susceptibles d'être traitées :

Données de compte : adresse email, mot de passe (stocké sous forme chiffrée / hachée — jamais en clair) et, si vous le renseignez, votre nom d'affichage.
Préférences de génération : les réglages que vous choisissez pour vos descriptions (ton, mise en avant de l'état, caractéristiques techniques, remise pour lot, remise en main propre, etc.).
Données d'achat et de crédits : pack acheté, nombre de crédits, crédits consommés, historique des recharges, identifiant client chez le prestataire de paiement, ainsi que les nom, pays, ville et code postal de facturation saisis lors du paiement et la preuve de votre acceptation des CGV (case cochée, date). Les données de carte bancaire ne sont jamais reçues ni conservées par VinPix : elles sont traitées directement par le prestataire de paiement.
Réponses au questionnaire d'accueil : à votre arrivée dans l'espace membre, quelques questions vous sont posées — votre tranche d'âge, votre genre, votre chiffre d'affaires mensuel en revente et comment vous avez connu le service (les comptes plus anciens ont aussi pu indiquer leur pseudo Discord). Chaque question peut être passée : aucune réponse n'est obligatoire et l'accès au service n'en dépend pas. Les réponses ne sont ni revendues, ni utilisées à des fins publicitaires.
Photos que vous soumettez : les photos d'articles que vous envoyez pour générer une annonce sont stockées dans un espace privé, cloisonné par compte, et ne sont accessibles qu'à vous.
Essai depuis la page d'accueil : la photo, la demande et les photos choisies lors de l'essai sont conservées sur votre compte, dans le même espace privé, pour être reprises dans le générateur si vous achetez un pack. L'éditeur peut les consulter pour comprendre les demandes faites au Service et l'améliorer ; elles ne sont publiées que dans le cadre de l'article 6 bis des CGU (exemples anonymes, droit d'opposition). Seul le dernier essai est gardé.
Connexion par un compte Google : si vous choisissez ce mode, nous recevons uniquement votre adresse email et l'identifiant technique de votre compte chez ce prestataire — jamais votre mot de passe.
Contenus générés : les visuels produits ainsi que le titre, la description et les mots-clés, conservés dans votre historique avec les informations que vous avez renseignées sur l'article (taille, état, marketplace visée, précisions libres).
Adresse email transmise par un partenaire : si vous avez gagné des crédits VinPix sur le site partenaire LBCX, celui-ci nous transmet l'adresse email de votre compte LBCX et le nombre de crédits offerts. Cette donnée n'est pas collectée auprès de vous (article 14 du RGPD) : elle sert uniquement à créditer votre compte VinPix créé avec la même adresse, et à vérifier qu'un seul cadeau est attribué par adresse. Aucun compte n'est créé et aucun email ne vous est envoyé à partir de cette transmission.
Données techniques : données de connexion et journaux nécessaires à la sécurité et au bon fonctionnement du Service.
Liste d'attente : si vous avez laissé votre adresse email avant l'ouverture du Service, celle-ci est conservée à la seule fin de vous informer du lancement.

VinPix applique le principe de minimisation : seules les données nécessaires aux finalités décrites ci-dessous sont traitées. Aucune donnée sensible au sens de l'article 9 du RGPD n'est demandée.

3. Finalités et bases légales

Fourniture du Service et gestion du compte (génération des visuels et des textes, historique, solde de crédits) — base légale : exécution du contrat (art. 6.1.b RGPD).
Gestion des achats et des paiements — base légale : exécution du contrat et obligations légales comptables et fiscales.
Sécurité, prévention de la fraude et bon fonctionnement — base légale : intérêt légitime.
Amélioration du Service (lecture de la photo et de la demande déposées lors d'un essai, pour comprendre ce que les visiteurs souhaitent obtenir) — base légale : intérêt légitime.
Réponse aux demandes et au support — base légale : intérêt légitime / exécution du contrat.
Preuve de l'acceptation des CGV et de la renonciation au droit de rétractation (case cochée lors du paiement) — base légale : obligation légale et intérêt légitime (défense en cas de litige ou d'opposition bancaire).
Attribution des crédits offerts par un partenaire (adresse email transmise par LBCX) — base légale : intérêt légitime (vous faire bénéficier du cadeau gagné chez le partenaire).
Mesure de l'efficacité de nos publicités sur Facebook et Instagram (pixel Meta, article 9) — base légale : consentement, retirable à tout moment.
Mesure d'audience des pages publiques (Microsoft Clarity, article 9), pour améliorer le site et nos publicités — base légale : consentement, retirable à tout moment.
Questionnaire d'accueil — base légale : consentement (chaque question est facultative), retirable à tout moment.
Promotion du Service (exemples « avant / après » publiés sur nos sites, nos réseaux sociaux et dans nos publicités, sans aucune information permettant de vous identifier, article 6 bis des CGU) — base légale : intérêt légitime ; vous pouvez vous y opposer à tout moment par email.
Liaison de votre compte Discord (attribution du rôle client) — base légale : consentement, retirable à tout moment.
Information sur le lancement (liste d'attente uniquement) — base légale : consentement, retirable à tout moment.

4. Destinataires et sous-traitants

Vos données ne sont ni vendues, ni louées, ni échangées. Elles sont accessibles à l'éditeur et à ses sous-traitants techniques, agissant sur instruction et dans le cadre d'engagements de confidentialité et de conformité RGPD :

Hébergement du site et de l'infrastructure applicative.
Base de données, authentification et stockage des photos — hébergés dans l'Union européenne.
Prestataire de paiement — Stripe, qui traite seul les données de carte bancaire (norme PCI-DSS).
Envoi d'emails transactionnels — confirmation de compte, réinitialisation du mot de passe, messages liés au compte.
Prestataires d'intelligence artificielle — uniquement au moment d'une génération, pour produire les visuels et le texte demandés.
Discord — si vous reliez votre compte Discord, ou si nous le retrouvons grâce au pseudo que vous avez indiqué, l'identifiant de votre compte et le fait que vous ayez acheté un pack sont transmis, par une connexion chiffrée et signée, à notre outil interne de gestion du serveur Discord, qui vous attribue le rôle client (Discord Inc., États-Unis).
Meta Platforms Ireland Limited (Facebook, Instagram) — uniquement si vous acceptez la mesure des publicités (article 9). Meta reçoit alors les données de mesure décrites à l'article 9 ; pour leur collecte sur notre site, Meta et l'éditeur sont responsables conjoints, et Meta les traite ensuite selon sa propre politique de confidentialité.
Microsoft Ireland Operations Limited (Clarity) — uniquement si vous acceptez la mesure d'audience (article 9) : statistiques et enregistrements de visite des pages publiques.

Vos photos et vos informations d'article ne sont transmises aux prestataires d'intelligence artificielle que le temps de produire le résultat demandé. VinPix n'utilise pas vos photos ni vos contenus pour entraîner un modèle, ne les publie nulle part et ne les revend pas. Le traitement réalisé par ces prestataires est régi par leurs propres politiques ; leur identité précise peut vous être communiquée sur demande.

Conformément à l'article 15 du RGPD, vous pouvez obtenir sur simple demande l'identité précise des sous-traitants concernés par vos données, à l'adresse indiquée à l'article 12.

5. Transferts hors Union européenne

La base de données et le stockage de vos photos sont situés dans l'Union européenne. Certains sous-traitants (hébergement, paiement, emails transactionnels, intelligence artificielle et, si vous les acceptez, Meta pour la mesure des publicités et Microsoft pour la mesure d'audience) peuvent en revanche traiter des données en dehors de l'Union européenne, principalement aux États-Unis. Ces transferts sont encadrés par des garanties appropriées : clauses contractuelles types de la Commission européenne, décision d'adéquation ou mécanisme équivalent. Une copie de ces garanties peut être obtenue sur demande.

6. Durée de conservation

Données de compte : durée de la relation contractuelle, puis trois (3) ans.
Données de facturation : dix (10) ans, conformément à l'obligation légale comptable.
Photos soumises et contenus générés : durée de la relation contractuelle. Vous pouvez supprimer une génération de votre Historique à tout moment : elle disparaît de votre espace, mais nous la conservons, avec ses photos, jusqu'à la suppression de votre compte, car elle atteste la livraison du service payé (base légale : intérêt légitime, preuve en cas de contestation de paiement). Elle n'est alors accessible qu'à l'Éditeur. La suppression de votre compte efface l'ensemble.
Photos et visuels repris pour la promotion du Service : cinq (5) ans à compter de leur soumission, sauf opposition de votre part ou suppression de votre compte ; ils sont alors retirés de nos supports dans un délai de trente (30) jours.
Photo et demande de l'essai : jusqu'à ce que vous fassiez un nouvel essai (qui remplace le précédent) ou que vous supprimiez votre compte.
Pièces d'une demande de recrédit (photos soumises, photos générées et réglages de la génération concernée) : douze (12) mois à compter de la demande, même si vous supprimez l'annonce entre-temps — à seule fin de justifier la décision prise en cas de contestation. Supprimées automatiquement ensuite.
Preuve de l'acceptation des CGV (case cochée, date, pack, montant, références du paiement) : cinq (5) ans à compter de l'achat, délai de prescription de droit commun.
Réponses au questionnaire d'accueil : durée de la relation contractuelle ; supprimées avec votre compte, ou plus tôt sur simple demande.
Liaison Discord : jusqu'à la suppression de votre compte, ou plus tôt sur simple demande.
Adresse email transmise par un partenaire : durée de la relation contractuelle puis trois (3) ans ; si aucun compte n'est créé avec cette adresse, trois (3) ans à compter de sa transmission.
Journaux de connexion : un (1) an.
Liste d'attente : jusqu'au retrait de votre consentement, et au maximum trois (3) ans.
Cookies : treize (13) mois maximum.

À l'issue de ces durées, les données sont supprimées ou anonymisées. Vous pouvez demander la suppression de votre compte à tout moment (voir article 7), sous réserve des obligations légales de conservation.

7. Vos droits

Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données, ainsi que du droit de définir des directives relatives à leur sort après votre décès.

Supprimer vos contenus vous-même : chaque génération peut être retirée à tout moment de la rubrique Historique de votre espace. Elle y disparaît aussitôt ; nous la conservons, avec ses photos, jusqu'à la suppression de votre compte, comme preuve de la livraison du service (voir la durée de conservation ci-dessus).

Supprimer votre compte : adressez la demande à diagprocontact@gmail.com. La suppression efface votre compte, vos photos, votre historique et vos crédits restants, sans restauration possible et sans remboursement des crédits non consommés (voir CGV). Seules les factures sont conservées, pendant dix ans, au titre de l'obligation comptable ; elles sont détachées de votre compte.

Vous pouvez exercer l'ensemble de vos droits par email à diagprocontact@gmail.com. Une réponse vous sera apportée dans les délais légaux. Vous disposez également du droit d'introduire une réclamation auprès de la CNIL (cnil.fr).

8. Extension de navigateur

L'extension VinPix est facultative. Elle sert à lire une fiche produit publique sur les boutiques prises en charge, depuis votre navigateur, pour transmettre au Site le titre, la description et les adresses des photos de cette fiche ; et, lorsque vous cliquez sur « Publier sur Vinted », à remplir pour vous le formulaire de dépôt d'annonce de Vinted.

Ce qu'elle lit: Le contenu public de la fiche produit affichée, ou ouverte à partir d'un lien que vous fournissez : titre, description, adresses des photos
Où elle s'active: Uniquement sur les boutiques prises en charge, sur la page « Vendre un article » de Vinted et sur le Site — nulle part ailleurs
Ce qu'elle fait sur Vinted: À votre demande seulement, elle dépose dans le formulaire les photos, le titre, la description, le prix et les caractéristiques de votre annonce, dans l'onglet et la session que vous avez ouverts. Elle n'y lit ni vos messages, ni vos ventes, ni votre porte-monnaie, ni votre profil, et ne nous transmet rien de votre compte Vinted : seul le résultat (« annonce en ligne » ou le motif de l'arrêt) revient au Site, dans votre navigateur
Ce qu'elle ne fait jamais: Lire un cookie, un identifiant, un mot de passe ou un moyen de paiement · se connecter à un compte à votre place · acheter · collecter votre historique de navigation · déclencher une génération · publier sans votre clic
Ce qu'elle conserve: Rien de durable : la fiche lue est gardée en mémoire quelques minutes, le temps de vous l'afficher sur le Site, puis effacée

Vous pouvez la désinstaller à tout moment depuis votre navigateur ; le Service reste utilisable sans elle, à partir des photos que vous envoyez vous-même.

9. Cookies et traceurs

Dans votre espace connecté, le Site utilise uniquement des cookies strictement nécessaires à son fonctionnement. Conformément à l'article 82 de la loi Informatique et Libertés et aux recommandations de la CNIL, ces cookies sont exemptés de consentement préalable. Avec votre accord seulement, un outil de mesure d'audience est utilisé sur les pages publiques, ainsi que la mesure des publicités Meta — ils sont décrits ci-dessous.

Nature: Cookies de session et de connexion, déposés par le Site lui-même
Finalité: Vous maintenir connecté à votre espace, sécuriser la session et protéger les formulaires
Durée: Durée de la session, et treize (13) mois au maximum
Consentement: Non requis (cookies strictement nécessaires)

Nature: Mesure d'audience « Microsoft Clarity » (soumise à votre accord) — si vous l'acceptez dans le bandeau, Microsoft Clarity est chargé sur les pages publiques uniquement (page d'accueil, connexion, pages légales et autres pages accessibles sans compte). Il dépose les cookies _clck et _clsk
Finalité: Comprendre comment les visiteurs parcourent le site (pages vues, clics, défilement, enregistrement anonymisé de la visite, les champs de saisie étant masqués) et savoir si le visiteur arrive d'une de nos publicités ou d'un de nos messages, pour améliorer le site et nos publicités. Un repère gardé le temps de l'onglet (stockage de session, vp_clarity_src) retient cette provenance d'une page à l'autre. Cet outil n'est pas chargé dans l'espace connecté : ni vos photos, ni vos générations, ni votre solde de crédits ne sont enregistrés
Destinataire: Microsoft Ireland Operations Limited, avec des transferts vers les États-Unis encadrés comme indiqué à l'article 5
Durée: Un (1) an au maximum
Base légale: Votre consentement. Si vous refusez, rien n'est chargé

Nature: Mémorisation de votre choix — cookie mesure_consent, déposé par le Site lui-même
Finalité: Retenir si vous avez accepté ou refusé la mesure d'audience
Durée: Six (6) mois
Consentement: Non requis (cookie strictement nécessaire)

Nature: Mesure des publicités Meta (soumise à votre accord) — si vous l'acceptez dans le bandeau, le pixel de Meta (Facebook, Instagram) est chargé sur les pages publiques du site et sur les pages de confirmation de paiement. Il dépose les cookies _fbp et, si vous arrivez par une de nos publicités, _fbc
Finalité: Savoir si une visite ou un achat fait suite à une de nos publicités, et aider Meta à les montrer à des personnes susceptibles d'être intéressées
Données transmises: Les pages publiques consultées, le clic sur un bouton d'achat d'un pack et, lors d'un achat, son montant — jamais vos données de paiement, vos photos ni votre utilisation de l'espace connecté, où le pixel n'est pas chargé. Si vous avez accepté la mesure des publicités avant de payer, l'achat est aussi transmis à Meta par nos serveurs (API Conversions), pour être compté même si votre navigateur bloque le pixel : son montant, votre adresse email, votre nom, votre ville, votre code postal, votre pays et, s'il est fourni, votre téléphone, ainsi qu'un identifiant client interne, chiffrés de façon irréversible (empreinte SHA-256, ces données elles-mêmes ne sont jamais envoyées), votre adresse IP, le type de votre navigateur et les identifiants des cookies _fbp / _fbc. Ces éléments sont enregistrés avec votre paiement chez notre prestataire de paiement, d'où part l'envoi. Meta ne compte qu'un seul achat pour les deux envois. Un repère gardé le temps de l'onglet (stockage de session, vp_px_achat_…) évite de compter deux fois le même achat. Si vous arrivez par une de nos publicités, l'identifiant de clic présent dans l'adresse de la page (« fbclid ») accompagne votre paiement jusqu'à la page de confirmation, où il n'est utilisé que si vous acceptez la mesure des publicités
Destinataire: Meta Platforms Ireland Limited, avec des transferts vers les États-Unis encadrés comme indiqué à l'article 5
Durée: Trois (3) mois
Consentement: Requis. Si vous refusez, rien n'est chargé

Nature: Mémorisation de votre choix — cookie pub_consent, déposé par le Site lui-même
Finalité: Retenir si vous avez accepté ou refusé la mesure des publicités
Durée: Six (6) mois
Consentement: Non requis (cookie strictement nécessaire)

Le bandeau. Deux usages demandent votre accord : la mesure des publicités Meta et la mesure d'audience Microsoft Clarity. Le bandeau vous les propose avec un bouton « Accepter » et un lien « Continuer sans accepter » qui refuse tout en un clic, valables pour les deux, et un lien « Personnaliser » pour décider de chacun séparément (cases décochées par défaut). Rien n'est déposé ni chargé avant votre choix. Votre choix est redemandé au bout de six mois, et vous pouvez le changer à tout moment : .

Aucune donnée n'est revendue, et aucun cookie publicitaire n'est déposé sans votre accord. Vous pouvez configurer votre navigateur pour bloquer les cookies, étant précisé que le blocage des cookies nécessaires empêche la connexion à votre espace.

10. Sécurité

L'éditeur met en œuvre des mesures techniques et organisationnelles appropriées : chiffrement des échanges, mots de passe hachés, cloisonnement des données par membre (vos photos et vos générations ne sont accessibles qu'à votre compte), contrôle d'accès et conservation des secrets côté serveur. Aucune méthode de transmission ou de stockage n'étant infaillible, une sécurité absolue ne peut être garantie.

11. Modification

La présente politique peut être mise à jour. La version applicable est celle publiée sur le Site à la date de consultation. En cas de modification substantielle, les membres en sont informés par un moyen approprié.

12. Contact

Pour toute question relative à vos données : diagprocontact@gmail.com.