POLITIQUE DE CONFIDENTIALITÉ

Date d'entrée en vigueur : août 2026

Bienvenue sur Stories and Roleplay (www.storiesandroleplay.com). Nous sommes profondément attachés à la protection de votre vie privée, de vos données à caractère personnel et de votre anonymat. Compte tenu du caractère hautement intime et sensible des récits de fiction générés sur notre plateforme, nous avons conçu notre système selon les principes stricts de la protection de la vie privée dès la conception (Privacy by Design) et de la minimisation des données.

La présente politique de confidentialité explique comment Boljoro SL collecte, traite, sécurise, chiffre et supprime vos informations personnelles conformément au Règlement général sur la protection des données (RGPD) et à la législation espagnole applicable en matière de protection des données (LOPDGDD).

1. Responsable du traitement

L'entité juridiquement responsable du traitement de vos données à caractère personnel est :

Dénomination sociale : Boljoro SL
Numéro d'identification fiscale (CIF) : B66777566
Adresse du siège social : Calle Rubio i Ors 15 1-2, 08940 Cornellà de Llobregat, Barcelone, Espagne
Registre du commerce : Immatriculée au registre du commerce de Barcelone
Adresse e-mail de contact : [email protected]

2. Informations que nous collectons et traitons

Nous appliquons un principe strict de minimisation des données et ne traitons que les données strictement nécessaires à la fourniture de nos services. Tous les enregistrements d'utilisateurs sont pseudonymisés et référencés au moyen d'un identifiant unique universel (UUID) aléatoire et non séquentiel, afin d'empêcher tout recoupement de données ou profilage.

Nous limitons notre collecte de données aux grandes catégories suivantes :

  • Données de compte et de gestion du service : Il s'agit des identifiants de base nécessaires au maintien du profil sécurisé de votre compte, tels que votre adresse e-mail, une empreinte (hash) chiffrée de votre mot de passe, votre date de naissance (traitée aux fins de la vérification de l'âge), le pays et, le cas échéant, l'État ou la province que vous déclarez lors de l'inscription, ainsi que les paramètres transactionnels de facturation (tels que l'état de l'abonnement et les soldes de jetons).
  • Données relatives à la décision de vérification de l'âge : Dans les juridictions qui exigent davantage qu'une date de naissance déclarée sur l'honneur, un prestataire tiers (Didit) capture un selfie et, lorsque la loi l'impose, une pièce d'identité officielle. Nous ne recevons jamais ces images, ni les numéros de document, ni le nom figurant sur le document. Ce que nous conservons, c'est la décision : vérification approuvée ou refusée, âge estimé ou déduit du document, méthode utilisée, date et heure, juridiction et âge minimum appliqués, identifiant de session Didit, ainsi qu'un indicateur signalant une divergence entre la date de naissance du document et celle que vous avez déclarée. En cas de refus, votre compte est bloqué et vous pouvez introduire un recours ; nous conservons le message de recours afin que notre personnel puisse l'examiner.
  • Contenus fournis par l'utilisateur et données de génération de texte : Il s'agit des invites de texte créatives lisibles par machine, des paramètres de personnages fictifs et des limites contextuelles du récit que vous saisissez sur notre plateforme, ainsi que du texte synthétique généré en retour par l'intelligence artificielle. En raison de l'orientation pour adultes du service, ces saisies peuvent aborder des thèmes créatifs intimes ou sensibles ; elles sont protégées par chiffrement au repos et traitées dans un cadre strict d'isolement de sécurité.

3. Base légale du traitement des données

Conformément aux articles 6 et 9 du RGPD, nous traitons vos informations sur les fondements juridiques autorisés suivants :

  • Exécution d'un contrat (art. 6.1.b) : La gestion de la création de votre compte, le traitement des paiements d'abonnements et de jetons via notre prestataire de paiement, la tenue des soldes de votre portefeuille de jetons et l'exécution de la génération automatisée de texte par l'IA. En outre, le traitement de votre date de naissance déclarée constitue une nécessité contractuelle permettant d'établir que vous remplissez nos critères d'éligibilité obligatoires (18 ans et plus) requis pour conclure un contrat contraignant avec nous.
  • Respect d'une obligation légale (art. 6.1.c) : Le traitement de votre pays de résidence déclaré afin d'assurer une perception fiscale correcte au titre du guichet unique TVA de l'UE (OSS), la conservation des factures émises pendant la période comptable légale, et l'enregistrement de votre âge déclaré afin de respecter les principes européens généraux de protection de la jeunesse, qui imposent aux plateformes d'interdire aux mineurs l'accès aux environnements pour adultes.
  • Consentement explicite pour les données sensibles (art. 9.2.a) : Dans la mesure où les invites de texte créatives, les traits ou les limites narratives que vous saisissez peuvent toucher à vos fantasmes privés, ces données sont qualifiées par le RGPD de données concernant votre vie sexuelle ou votre orientation sexuelle. Vous devez cocher une case de consentement explicite et distincte lors de l'inscription, nous autorisant à traiter ce texte uniquement pour diffuser les réponses de votre récit. Par ailleurs, l'analyse faciale utilisée pour l'estimation de l'âge ou la correspondance d'identité constitue une donnée biométrique au sens de l'article 9. Dans les juridictions qui imposent ce contrôle, vous consentez lors de l'inscription à ce que Didit traite un selfie (et, lorsque cela est requis, une pièce d'identité officielle) dans le seul but de confirmer que vous atteignez l'âge minimum. Nous ne recevons que la décision de vérification, jamais les images biométriques.
  • Intérêt légitime (art. 6.1.f) : L'utilisation de métadonnées réseau anonymisées afin de sécuriser nos serveurs, de bloquer les robots malveillants et de surveiller les performances de l'application. La géolocalisation réseau fournie par notre CDN (pays et région) est utilisée conjointement avec la localisation que vous déclarez, la plus stricte des deux prévalant, afin d'appliquer la règle de vérification de l'âge appropriée et de refuser le service sur les territoires sous sanctions ou interdits.

4. Protection de la vie privée dès la conception et chiffrement cryptographique

Afin de garantir que vos fantasmes intimes demeurent entièrement privés, nous mettons en œuvre des mesures de sécurité de niveau industriel qui isolent vos contenus, y compris de nos propres administrateurs :

  • Chiffrement par enveloppe : Toutes les invites, les récits et les historiques de conversation stockés dans la base de données 3 sont chiffrés dynamiquement au moyen d'une clé de chiffrement de données (DEK) unique et propre à chaque utilisateur, associée à une clé maîtresse sécurisée. Vos données privées sont totalement illisibles au repos.
  • Politique stricte de non-revente : Boljoro SL applique une politique de tolérance zéro à l'égard de la monétisation des données. Nous ne vendons, ne louons, n'échangeons, ne cédons ni ne partageons jamais vos profils personnels, vos habitudes d'utilisation ou vos saisies de texte avec des annonceurs tiers, des courtiers en données ou toute entité externe.

5. Infrastructure, sous-traitants ultérieurs et gouvernance

Vos données sont traitées et sécurisées au moyen d'une architecture technique conforme au RGPD et de partenaires d'infrastructure mondiaux spécialisés :

  • Stockage principal : Les profils de votre base de données, les journaux de métadonnées et les enregistrements chiffrés sont hébergés sur des serveurs privés virtuels sécurisés situés au sein de l'Espace économique européen (EEE).
  • Inférence IA et traitement dans le cloud : Lorsque vous lancez une commande de génération de texte, la requête est traitée via des réseaux de cloud computing haute performance optimisés pour la confidentialité. Ce réseau fonctionne selon des modèles de gouvernance strictement conformes au RGPD. Tous les flux de données sont juridiquement encadrés par des garanties de protection des données approuvées par la Commission européenne, de sorte que vos standards de confidentialité demeurent intégralement préservés.
  • Politique de traitement sans conservation : La couche de calcul fonctionne dans un cadre strict de mémoire volatile. Les chaînes de texte des utilisateurs sont conservées temporairement en mémoire active uniquement pour diffuser la réponse, puis effacées immédiatement après l'exécution. À ce niveau, aucune donnée d'utilisateur n'est jamais mise en cache, journalisée ni écrite sur un support physique.
  • Trafic réseau et protection contre les menaces : Nous utilisons un réseau de diffusion de contenu (CDN) d'entreprise et une architecture de proxy de sécurité afin de prévenir l'exploitation des serveurs et de bloquer le trafic malveillant. Ce réseau de proxy opère selon des normes internationales strictes de protection des données, ne traite que les métadonnées techniques de connexion et est structurellement isolé de toute lecture ou conservation du contenu de vos saisies de texte chiffrées destinées à l'IA.
  • Traitement des paiements : Les paiements en cryptomonnaie sont gérés par notre prestataire de paiement PassimPay, qui agit en qualité de responsable de traitement indépendant pour le paiement lui-même. Nous ne lui transmettons que le montant, la devise et notre propre référence interne de commande. Nous ne lui communiquons jamais votre adresse e-mail, vos données de facturation ni quoi que ce soit relatif à votre contenu créatif, et nous ne recevons ni ne conservons jamais les identifiants de votre portefeuille, vos clés privées ou vos données de carte bancaire. Ce qui nous est retourné est l'enregistrement de règlement de l'opération : le hash de la transaction, les adresses blockchain concernées, le montant reçu et les frais du prestataire. Nous conservons cet enregistrement car il constitue la preuve du paiement de votre facture.
  • Vérification de l'âge et de l'identité (Didit) : Didit.me / Didit Protocol agit en qualité de sous-traitant pour la vérification de l'âge. Dans les juridictions réglementées, le parcours de vérification hébergé capture un selfie aux fins d'estimation de l'âge et, en Allemagne et en Corée du Sud, une pièce d'identité officielle assortie d'un contrôle de vivacité et de correspondance faciale. Didit conserve les images capturées conformément à sa propre politique de conservation (généralement pour la durée configurée dans notre console Didit, actuellement alignée sur les besoins d'audit réglementaire). Nous recevons une décision signée par webhook : approuvée, refusée ou en cours d'examen, accompagnée d'un âge estimé ou d'une date de naissance extraite du document. Vous pouvez contester une décision de refus depuis la page de vérification ; notre personnel peut alors autoriser une nouvelle tentative ou supprimer le compte afin que vous puissiez vous réinscrire.

6. Adhésion facultative à l'entraînement de l'IA (VIP Supporter)

Si vous cochez volontairement la case « VIP Supporter » dans votre tableau de bord utilisateur, vous donnez votre consentement explicite à ce que Boljoro SL utilise vos invites de saisie et les récits générés afin d'affiner et d'entraîner nos grands modèles de langage internes et propriétaires.

  • Anonymisation complète : Avant tout traitement d'un texte dans notre chaîne d'entraînement, celui-ci fait l'objet d'une analyse automatisée qui supprime définitivement tous les noms, les métadonnées d'utilisateur et les éléments identifiants, afin de garantir un anonymat absolu et irréversible.
  • Aucun partage : Ces données d'entraînement sont traitées entièrement en interne et ne sont jamais partagées ni vendues à des organismes externes de recherche en IA.
  • Droit de révocation : Vous pouvez décocher le statut VIP Supporter à tout moment dans vos paramètres afin de retirer instantanément votre consentement pour tout texte que vous générerez par la suite.

7. Mesure d'audience sans cookies et cookies fonctionnels

  • Cookies strictement nécessaires : Nous n'utilisons que des cookies essentiels et fonctionnels, indispensables au maintien de votre session authentifiée sécurisée et à votre connexion à votre profil. Ces cookies techniques sont strictement opérationnels, ne suivent pas votre comportement sur des sites externes et ne nécessitent pas de bandeau de consentement au regard de la réglementation applicable en matière de vie privée numérique.
  • Analyse respectueuse de la vie privée : Nous n'utilisons ni cookies de pistage intrusifs ni pixels de suivi inter-sites pour observer votre comportement. Afin d'optimiser les performances de la plateforme, nous utilisons un cadre d'analyse côté serveur respectueux de la vie privée, qui transforme les données de connexion en indicateurs de trafic totalement anonymes dès leur arrivée sur le serveur. Cela nous permet de suivre les tendances générales d'utilisation sans créer d'empreinte comportementale persistante ni suivre des utilisateurs individuels.

8. Conservation des données et suppression du compte

Nous conservons les paramètres de votre profil et vos historiques de textes créatifs uniquement pendant la durée de vie de votre compte actif. Vous pouvez demander à tout moment la suppression définitive de votre compte depuis votre tableau de bord utilisateur, sous réserve d'un contrôle d'identité sécurisé destiné à prévenir toute destruction de données non autorisée.

Après confirmation, l'ensemble de vos identifiants, données de compte et historiques de textes sont définitivement effacés de nos environnements de production actifs, et tout abonnement en cours est immédiatement perdu. Toutefois, afin de respecter les obligations fiscales et comptables légales, les factures (qui conservent votre adresse e-mail et les détails de la transaction) doivent être conservées pendant la durée légalement requise. Ces enregistrements de facturation sont maintenus strictement isolés et ne peuvent être rattachés à aucun contenu créatif de récit.

9. Facturation et enregistrements des factures

Les achats constituent la seule partie de ce service pour laquelle la loi nous oblige à conserver des données plutôt qu'à les supprimer ; nous souhaitons donc être précis sur ce que cela implique.

  • Ce que contient un enregistrement de facture : la date, une référence de commande unique, l'objet de votre achat, le montant et la devise, le taux et le montant de la TVA, le pays que vous avez sélectionné à des fins fiscales, le pays signalé par notre proxy de sécurité pour votre connexion, ainsi que l'adresse e-mail sous laquelle l'achat a été effectué. Si vous avez fourni un nom et une adresse de facturation — obligatoires pour les clients hors UE, facultatifs au sein de celle-ci —, ils font également partie de l'enregistrement. Rien de ce qui concerne vos invites, vos personnages ou vos récits n'est jamais rattaché à une facture.
  • Chiffrement : votre nom, votre adresse et votre e-mail figurant sur une facture sont chiffrés au repos. Contrairement à votre contenu créatif, ils ne sont pas chiffrés avec votre clé utilisateur personnelle, car cette clé est détruite lors de la suppression de votre compte alors que la facture doit rester lisible par un contrôleur fiscal pendant des années. Ils sont chiffrés au moyen d'une clé distincte détenue uniquement par notre système de facturation.
  • Durée de conservation : le droit comptable espagnol et européen impose de conserver les factures et leurs justificatifs pendant au moins six ans à compter de la clôture de l'exercice fiscal au cours duquel elles ont été émises. Nous les conservons pendant cette durée et pas plus longtemps que nécessaire.
  • Ce que la suppression de votre compte fait et ne fait pas : elle efface vos identifiants, votre profil et l'intégralité de votre contenu créatif, de manière définitive et irréversible. Elle n'efface pas les factures déjà émises à votre nom. Il s'agit de la seule exception à l'effacement, expressément prévue par l'article 17, paragraphe 3, point b), du RGPD : le droit à l'effacement ne prévaut pas sur une obligation légale de conservation. Après suppression, une facture n'est plus liée à aucun compte — il ne reste plus rien à quoi la relier — et elle ne peut servir à reconstituer quoi que ce soit de ce que vous avez écrit.
  • Votre adresse IP : nous enregistrons une empreinte cryptographique à sens unique de l'adresse IP depuis laquelle un achat a été effectué, à titre de preuve en matière de fraude et de résidence fiscale. L'adresse elle-même n'est jamais conservée, et une empreinte ne peut être inversée pour la retrouver.
  • Logiciel de comptabilité : les enregistrements de factures peuvent être transmis à notre prestataire comptable aux fins de l'établissement de nos déclarations. Il reçoit la facture et rien d'autre.

10. Vos droits et modalités de contact

En vertu du RGPD, vous disposez du droit d'accéder à vos données, de rectifier les inexactitudes, de demander leur effacement, de limiter le traitement ou d'obtenir la portabilité de vos informations. Pour exercer l'un de ces droits, ou pour retirer votre consentement au traitement, veuillez nous écrire directement à l'adresse [email protected].

Si vous estimez que vos données ont été traitées de manière irrégulière, vous avez le droit d'introduire une réclamation formelle auprès d'une autorité de contrôle européenne, en particulier l'Agence espagnole de protection des données (Agencia Española de Protección de Datos - AEPD).