Politique de confidentialité

Captur ne vend pas vos données et ne les utilise à aucune fin de publicité ciblée.

Version 2026-10 — en vigueur depuis le 14 octobre 2026.

Ce qui change par rapport à la version précédente (2026-09) :

• la date de naissance n'est plus demandée dans le profil, et celles qui y avaient été enregistrées ont été effacées ; seuls les Photographes indiquent leur date de naissance, dans leurs informations fiscales, parce que la réglementation l'impose (section 3.13) ;
• Captur ne collecte plus aucun RIB ni IBAN : les coordonnées bancaires des Photographes sont saisies et gérées uniquement chez Stripe (section 3.5), et celles qui avaient été enregistrées dans l'application ont été effacées ;
• l'équipe de Captur ne consulte pas les conversations : elle ne voit qu'un message signalé ou transmis par une partie, ou requis par une autorité, en dehors de la copie de vos données qu'elle vous transmet à votre demande, et l'analyse automatique des messages a pris fin (sections 3.11 et 5) ;
• les rapports d'erreur (Sentry) ne sont envoyés qu'avec votre accord, modifiable à tout moment (section 3.12) ;
• les données fiscales des Photographes, la preuve de votre acceptation des conditions et la vérification des mots de passe sont décrites (sections 3.13 à 3.15) ;
• la liste de ce que l'application garde sur votre appareil, celle des destinataires et celle des durées de conservation sont complétées (sections 5, 7 et 12).

Les modifications des 8 et 10 octobre 2026 (fin de la description des portfolios par une intelligence artificielle, profil public des photographes visible sans compte, âge minimum de 18 ans) sont intégrées à la présente version.

La présente politique de confidentialité décrit comment Captur (« nous ») collecte, utilise, partage et protège vos données à caractère personnel lorsque vous utilisez l'application mobile Captur et les services associés.

Captur est une application mobile de mise en relation entre des clients (consommateurs) souhaitant réserver une séance photo et des photographes indépendants (auto-entrepreneurs). Nous agissons en qualité d'intermédiaire technique et d'opérateur de plateforme au sens de la loi : nous ne sommes pas partie au contrat de prestation photographique, qui est conclu directement entre le client et le photographe. Nous agissons également comme hébergeur de contenus au sens de la loi pour la confiance dans l'économie numérique (LCEN).

Nous attachons une grande importance à la protection de votre vie privée et nous nous engageons à traiter vos données dans le respect du Règlement (UE) 2016/679 — Règlement général sur la protection des données (RGPD) et de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (« loi Informatique et Libertés ») modifiée.

La présente politique constitue l'information que nous vous devons au titre des articles 13 et 14 du RGPD.

Le responsable du traitement de vos données personnelles est :

• Nom / Raison sociale : Noham ZÉPHINIÉ (micro-entreprise / auto-entrepreneur)
• SIRET : 920 321 635 00012
• Adresse postale : 32 Allée des Érables, 78114 Magny-les-Hameaux
• Email de contact : [email protected]
• Site web : joincaptur.com

Pour toute question relative à la présente politique ou à l'exercice de vos droits, vous pouvez nous contacter à l'adresse email ci-dessus.

Aucun délégué à la protection des données n'a été désigné : l'activité n'implique ni suivi régulier et systématique à grande échelle, ni traitement à grande échelle de données sensibles (art. 37 RGPD). Vos questions et vos demandes relatives à vos données sont traitées à l'adresse [email protected].

Concernant les paiements, Stripe agit en qualité de responsable de traitement indépendant (et non de simple sous-traitant) pour les opérations de paiement, de séquestre et de lutte contre la fraude qu'il met en œuvre dans le cadre de ses propres obligations réglementaires. Voir la section 5.

Nous collectons les catégories de données suivantes, selon que vous êtes client ou photographe :

3.1 Données d'identité et de profil

• Nom, prénom
• Photo de profil
• Ville / localisation approximative
• Pour les photographes : code postal de départ (facultatif). Il sert uniquement à placer un point approximatif sur la carte : le centre public de ce code postal, décalé de quelques centaines de mètres. Aucune adresse n'est demandée ni affichée.
• Attestation d'âge : la déclaration « J'ai 18 ans ou plus », faite à l'inscription et enregistrée avec la preuve de votre acceptation des conditions (sections 3.14 et 11). Aucune date de naissance n'est demandée dans le profil.

3.2 Données de contact

• Adresse email
• Numéro de téléphone

3.3 Données de compte et d'authentification

• Identifiant de connexion (email, ou identifiant Apple / Google)
• Mot de passe (stocké sous forme hachée — nous n'y avons jamais accès en clair). Cette information ne nous concerne que lorsque vous créez un compte par email/mot de passe ; en cas de connexion via Apple ou Google, l'authentification est gérée par le fournisseur concerné.
• Jetons de session

3.4 Données liées aux prestations

• Photos livrées par les photographes (galeries privées)
• Messages échangés via la messagerie in-app
• Avis et évaluations
• Historique des réservations et des séances

3.5 Données de paiement

• Coordonnées bancaires et données de carte, collectées et traitées directement par Stripe (nous ne stockons jamais les numéros de carte complets, qui ne transitent pas par nos serveurs)
• Coordonnées bancaires de versement des photographes (IBAN) : le photographe les saisit directement auprès de Stripe lorsqu'il active ses paiements, et les modifie depuis son espace Stripe. Captur ne les demande pas et ne les conserve pas ; Stripe lui indique seulement l'état du compte de versement (versements actifs ou non, éléments manquants, motif d'un virement rejeté).
• Historique des transactions, montants, commissions

3.6 Données de vérification (photographes uniquement — KYC)

• Numéro SIRET (vérifié)
• Pièce d'identité et documents justificatifs requis pour la vérification d'identité (KYC), collectés dans le cadre de la procédure de vérification du prestataire de paiement.

Selon le type de pièce d'identité fournie, ce document peut contenir des données particulières (ex. selon le pays d'émission). Ces documents sont traités de façon strictement confidentielle, pour la seule finalité de vérification, et conservés selon les durées indiquées en section 7.

3.7 Données techniques et d'usage

• Identifiants techniques de l'appareil
• Jeton de notification push
• Identifiant d'installation utilisé pour recevoir les mises à jour de l'application (Expo)
• Données de l'appareil que le module de paiement de Stripe peut collecter lors d'un paiement, pour lutter contre la fraude
• Journaux d'usage et logs de connexion (adresse IP, horodatage, actions effectuées, type d'appareil et version de l'application)

3.8 Données issues de tiers (connexion sociale)

Lorsque vous vous connectez via Sign in with Apple ou Google, nous recevons de ces fournisseurs certaines données nécessaires à la création de votre compte (identifiant, adresse email — qui peut être une adresse relais anonymisée dans le cas d'Apple, nom le cas échéant). Le traitement de ces données par Apple et Google est régi par leurs propres politiques de confidentialité.

3.9 Position de l'appareil (carte)

Si vous touchez « Autour de moi » sur la carte, l'application vous demande l'accès à la position de votre appareil pendant son utilisation, uniquement pour centrer la carte. Cette position est traitée sur votre appareil : elle n'est ni enregistrée ni transmise à Captur. Vous pouvez refuser ou retirer cette autorisation à tout moment dans les réglages de l'appareil ; la carte reste alors centrée sur votre ville.

3.10 Liste d'attente (site joincaptur.com)

Si vous vous inscrivez à la liste d'attente sur le site, nous recevons votre adresse email et, pour lutter contre les abus, l'adresse IP de la demande, le pays et la ville déduits de cette adresse IP ainsi que le type de navigateur. Ces informations nous sont transmises par email (via Resend) ; elles ne sont pas enregistrées dans la base de données de l'application.

3.11 Messagerie et contrôle des contenus

Lorsque vous envoyez un message, l'application vérifie sur votre appareil s'il contient un numéro de téléphone, une adresse email, un pseudonyme ou le nom d'une messagerie ou d'un moyen de paiement extérieur, et vous avertit le cas échéant : un échange conclu hors de la plateforme prive le Client de la protection du paiement et du traitement des litiges. Cette vérification a lieu uniquement sur votre appareil : le message n'est ni bloqué, ni modifié, ni transmis à l'équipe de Captur, et rien n'est enregistré. Les messages ne font l'objet d'aucune autre analyse automatique.

L'équipe de Captur ne consulte pas les conversations entre clients et photographes. Elle ne voit un message que dans l'un des cas suivants :

• un utilisateur le signale (appui long sur un message reçu, puis « Signaler ce message ») : seul ce message est présenté à l'équipe, jamais le reste de la conversation ;
• l'une des parties le lui transmet elle-même, par exemple à l'appui d'un litige ;
• une autorité administrative ou judiciaire le requiert dans les conditions prévues par la loi ;
• vous lui demandez la copie de vos données (section 9) : les messages de vos conversations figurent dans le fichier qu'elle prépare pour vous le transmettre.

Lorsqu'un message est signalé, une copie de son texte (2 000 caractères au plus) est conservée avec le signalement, avec le motif choisi et les précisions éventuelles, pour que l'équipe puisse l'examiner même si le message est supprimé ensuite. La durée de conservation de cette copie figure en section 7. Si l'équipe retire le message, son auteur en est informé, avec le motif.

La présentation publique et le nom commercial des Photographes, ainsi que les demandes de devis et les notes accompagnant un devis, sont comparés automatiquement, sur nos serveurs, à la même liste de motifs. Lorsqu'un motif y est repéré, rien n'est bloqué : un signalement interne est créé pour l'équipe de modération. L'extrait conservé dans ce signalement est masqué (chiffres, adresses email et pseudonymes remplacés) et il est effacé à la suppression du compte concerné.

Les avis, ainsi que la présentation et le nom commercial des Photographes, sont aussi comparés à une liste de mots et d'expressions injurieux. Un avis concerné est masqué jusqu'à sa vérification par l'équipe ; une présentation concernée n'apparaît sur la fiche qu'après cette vérification, et son auteur en est prévenu ; un nom commercial concerné est seulement signalé à l'équipe.

3.12 Rapports d'erreur de l'application (Sentry)

Uniquement si vous l'acceptez, l'application transmet à Sentry les erreurs et les plantages : modèle d'appareil, système, version de l'application et détail technique de l'erreur. Environ un parcours sur cinq est également mesuré afin de repérer les lenteurs. Ces rapports ne contiennent ni votre nom, ni votre adresse email, ni l'identifiant de votre compte. Votre adresse IP est utilisée pour leur acheminement, sans être associée à votre compte. Ils sont hébergés dans l'Union européenne (Allemagne).

Rien n'est envoyé tant que vous n'avez pas accepté. Le choix vous est proposé au premier lancement de l'application, avec deux boutons de même importance, « Accepter » et « Refuser », et vous pouvez le modifier à tout moment dans les réglages de l'application (« Confidentialité et traceurs », interrupteur « Rapports d'erreur anonymes »).

3.13 Données fiscales des photographes

Pour établir les notes (factures) émises au nom du Photographe et remises à ses clients, dans le cadre du mandat de facturation qu'il peut confier à Captur, et pour les déclarations que la réglementation impose aux plateformes (directive (UE) 2021/514 dite « DAC7 », articles 1649 ter A à 1649 ter E du Code général des impôts), nous demandons au Photographe, dans ses informations de facturation : son nom légal et son nom commercial, son adresse professionnelle et son pays, son régime et son numéro de TVA, son numéro fiscal (NIF) et le pays qui l'a délivré, sa date de naissance et, s'il en a un, les coordonnées de son médiateur de la consommation. Sa forme juridique est lue dans l'annuaire public des entreprises à partir de son numéro SIRET.

Le nom légal et l'adresse figurent sur les notes remises aux clients. Le numéro fiscal et la date de naissance n'y figurent jamais : ils servent uniquement aux déclarations transmises à l'administration fiscale. Chaque modification de ces informations est conservée dans un registre (valeurs avant et après, date), comme l'exige l'obligation de diligence des plateformes.

3.14 Preuve de votre acceptation des conditions

Chaque fois que vous acceptez les conditions (case à cocher de l'inscription, bouton Apple ou Google, ou « J'accepte » lors d'une mise à jour), nous enregistrons l'identifiant de votre compte, la version acceptée, la date et l'heure de l'enregistrement sur nos serveurs, le moyen utilisé et la version de l'application. Chaque acceptation est conservée séparément : l'historique des versions acceptées est ainsi gardé. Ces enregistrements figurent dans la copie de vos données que vous pouvez demander (section 9). Pour une acceptation antérieure à la mise en place de cet enregistrement, nous reprenons la version et la date que l'application avait alors notées depuis votre appareil ; le moyen utilisé et la version de l'application n'étaient pas conservés, et une version qui n'avait pas été notée figure comme inconnue.

3.15 Vérification de votre mot de passe

Lorsque vous choisissez un mot de passe (inscription ou réinitialisation), l'application vérifie qu'il ne figure pas parmi les mots de passe connus pour avoir fuité, auprès du service Pwned Passwords (Have I Been Pwned). Seuls les 5 premiers caractères de l'empreinte SHA-1 du mot de passe lui sont envoyés : jamais le mot de passe lui-même, ni votre adresse email.

Conformément à l'article 6 du RGPD, chaque traitement repose sur une base légale précise :

Lorsqu'un traitement repose sur votre consentement, vous pouvez le retirer à tout moment, sans que cela affecte la licéité du traitement effectué avant ce retrait.

Lorsqu'un traitement repose sur notre intérêt légitime, vous pouvez vous y opposer pour des raisons tenant à votre situation particulière (voir section « Vos droits »). Sur demande, nous pouvons vous communiquer le détail de la mise en balance effectuée.

Décision automatisée et profilage : nous ne prenons pas de décision produisant des effets juridiques ou vous affectant de manière significative sur le seul fondement d'un traitement automatisé au sens de l'article 22 du RGPD. Certains contrôles anti-fraude automatisés peuvent être mis en œuvre par Stripe dans le cadre de ses obligations ; ils font, le cas échéant, l'objet d'une intervention humaine en cas de blocage.

Vos données sont accessibles aux équipes de Captur strictement habilitées, ainsi qu'à l'autre partie de la mise en relation (le client voit certaines informations du photographe et inversement, dans la mesure nécessaire à la prestation).

L'équipe de Captur ne consulte pas les conversations entre clients et photographes. Elle ne voit un message que si un utilisateur le signale (seul ce message lui est alors présenté, jamais la conversation), si une partie le lui transmet elle-même, par exemple dans un litige, sur réquisition d'une autorité, ou dans la copie de vos données qu'elle prépare à votre demande (voir les sections 3.11 et 9 et la fin de la présente section).

Par ailleurs, le profil public d'un photographe validé (nom affiché sur sa fiche, ville, zone approximative issue du code postal de départ, photo de profil, avis, et les photos qu'il a expressément consenti à publier dans son portfolio) est visible de toute personne qui utilise l'application, avec ou sans compte. Pour une personne qui n'est pas connectée, l'auteur d'un avis apparaît seulement comme « Client ».

Nous faisons appel aux sous-traitants et prestataires tiers suivants. Selon les cas, ils agissent en tant que sous-traitants (traitant les données pour notre compte et sur nos instructions, encadrés par un accord de traitement / DPA conforme à l'art. 28 RGPD) ou en tant que responsables de traitement indépendants (lorsqu'ils déterminent eux-mêmes les finalités et moyens, notamment pour leurs obligations réglementaires propres) :

Nous ne vendons pas vos données personnelles et ne les transmettons pas à des tiers à des fins de publicité ciblée.

Vos données peuvent également être communiquées aux autorités administratives ou judiciaires lorsque la loi nous y oblige ou pour répondre à une réquisition régulière.

Certains de nos prestataires (notamment Stripe, Apple, Google, Expo, Resend et Cloudflare, et le cas échéant Vercel, ainsi que Supabase et Sentry, sociétés de droit américain qui hébergent nos données dans l'Union européenne) sont établis ou hébergent / accèdent à des données aux États-Unis ou dans d'autres pays hors de l'Espace économique européen (EEE).

Ces transferts sont encadrés par les garanties appropriées prévues par le chapitre V du RGPD (articles 44 et suivants), notamment :

• les clauses contractuelles types (CCT / Standard Contractual Clauses) adoptées par la Commission européenne ;
• et/ou, lorsque le prestataire y est certifié, l'adhésion au Data Privacy Framework (DPF) UE–États-Unis (décision d'adéquation de la Commission européenne du 10 juillet 2023 concernant les organismes américains certifiés) ;
• le cas échéant, des mesures supplémentaires techniques, organisationnelles ou contractuelles.

Lorsque votre appareil charge les photos d'illustration hébergées par Unsplash ou interroge le service Pwned Passwords (sections 3.15 et 5), seuls votre adresse IP et, pour Pwned Passwords, le début de l'empreinte du mot de passe leur parviennent ; ces échanges ne reposent sur aucun contrat conclu par Captur avec ces services.

Vous pouvez nous contacter pour obtenir une copie ou une description des garanties mises en place.

Nous conservons vos données uniquement le temps nécessaire aux finalités décrites, puis nous les supprimons ou les anonymisons :

À l'expiration de ces durées, vos données doivent être supprimées ou anonymisées de façon irréversible. À ce jour, cette suppression n'est pas automatisée : vous pouvez à tout moment demander l'effacement de vos données (section 9) ou supprimer votre compte depuis l'application.

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées (art. 32 RGPD) pour protéger vos données contre tout accès, altération, divulgation ou destruction non autorisés, notamment :

• chiffrement des données en transit (HTTPS/TLS) et au repos ;
• stockage des mots de passe sous forme hachée (jamais en clair) ;
• accès restreint aux données, limité aux personnes habilitées, selon le principe du moindre privilège ;
• mise en place de règles de sécurité au niveau des lignes (RLS — Row Level Security) sur la base de données, garantissant que chaque utilisateur n'accède qu'aux données qui le concernent ;
• journalisation des accès et surveillance des activités suspectes ;
• engagement écrit de confidentialité demandé à chaque personne habilitée à accéder à l'outil d'administration de Captur, et renouvelé à chaque nouvelle version de cet engagement ;
• recours à des sous-traitants reconnus offrant un haut niveau de sécurité.

Malgré nos efforts, aucune transmission ou stockage de données n'est totalement infaillible ; nous ne pouvons garantir une sécurité absolue. En cas de violation de données à caractère personnel susceptible d'engendrer un risque pour vos droits et libertés, nous nous engageons à la notifier à la CNIL dans un délai de 72 heures et, lorsque le risque est élevé, à vous en informer dans les meilleurs délais, conformément aux articles 33 et 34 du RGPD.

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants sur vos données :

• Droit d'accès (art. 15) : obtenir la confirmation que vos données sont traitées et en obtenir une copie.
• Droit de rectification (art. 16) : corriger des données inexactes ou incomplètes.
• Droit à l'effacement (« droit à l'oubli », art. 17) : demander la suppression de vos données, sous réserve de nos obligations légales de conservation.
• Droit à la portabilité (art. 20) : recevoir les données que vous nous avez fournies dans un format structuré, couramment utilisé et lisible par machine, ou les transférer à un autre responsable, lorsque le traitement est fondé sur le consentement ou le contrat et effectué de façon automatisée.
• Droit d'opposition (art. 21) : vous opposer, pour des raisons tenant à votre situation particulière, à un traitement fondé sur notre intérêt légitime.
• Droit à la limitation (art. 18) : demander la suspension temporaire d'un traitement dans les cas prévus par le RGPD.
• Droit de retirer votre consentement à tout moment (notifications push, publication portfolio, rapports d'erreur), sans que cela remette en cause la licéité des traitements antérieurs.
• Directives post-mortem : définir des directives relatives au sort de vos données après votre décès (art. 85 de la loi Informatique et Libertés).

Comment exercer vos droits

• Suppression de compte : directement dans l'application (rubrique réglages / compte). La suppression du compte entraîne l'effacement de vos données, sous réserve des durées de conservation légales (factures et pièces comptables).
• Rapports d'erreur : acceptés ou refusés à tout moment dans les réglages de l'application (« Confidentialité et traceurs »).
• Copie de vos données : écrivez-nous à [email protected]. Nous vous adressons vos données dans un format structuré, couramment utilisé et lisible par machine, dans le délai d'un mois prévu par l'article 12 du RGPD.
• Par email : pour toute autre demande, écrivez-nous à [email protected]. En cas de doute raisonnable sur votre identité, nous pourrons vous demander un justificatif d'identité afin de sécuriser votre demande (art. 12.6 RGPD).

Nous répondons à vos demandes dans un délai d'un mois à compter de la réception, prolongeable de deux mois en cas de demande complexe ou nombreuse, auquel cas nous vous en informerons.

Si vous estimez que le traitement de vos données ne respecte pas la réglementation, vous avez le droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL) :

• Adresse : 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07
• Téléphone : 01 53 73 22 22
• Site web : www.cnil.fr

Nous vous invitons toutefois à nous contacter au préalable afin que nous puissions répondre à vos préoccupations.

L'utilisation de Captur est réservée aux personnes âgées d'au moins 18 ans. Nous ne collectons pas sciemment de données concernant des personnes de moins de 18 ans.

Si vous êtes parent ou tuteur et estimez qu'un mineur nous a transmis des données, contactez-nous afin que nous procédions à leur suppression.

L'inscription en qualité de Photographe suppose un statut professionnel déclaré (entreprise individuelle ou société) et une vérification d'identité : elle est réservée aux personnes majeures.

Captur n'utilise aucun cookie ni traceur publicitaire, aucun outil de mesure d'audience (ni Google Analytics ni équivalent), aucune régie publicitaire, et ne lit aucun identifiant publicitaire.

Sur votre appareil, l'application conserve uniquement ce qui est strictement nécessaire à son fonctionnement, ce qui ne requiert pas votre consentement (art. 82 de la loi Informatique et Libertés) : votre session de connexion, chiffrée ; votre langue et votre thème ; en mode visiteur, ce mode et l'action en attente (24 heures au plus) ; des repères « déjà vu » ; une copie locale de vos séances, favoris, conversations et profil, effacée à la déconnexion ; l'état de votre jeton de notification ; une demande en cours d'envoi ; la clé publique de paiement de Stripe ; le cache des photos ; votre choix concernant les rapports d'erreur. Elle utilise aussi un identifiant d'installation pour recevoir ses mises à jour (Expo), et le module de paiement de Stripe peut collecter des données de l'appareil lors d'un paiement, pour lutter contre la fraude.

Le seul traceur soumis à votre choix est Sentry (section 3.12) : il reste désactivé tant que vous ne l'avez pas accepté, et vous pouvez changer d'avis à tout moment dans les réglages de l'application (« Confidentialité et traceurs »).

Le site joincaptur.com ne dépose aucun cookie : ni mesure d'audience, ni publicité. Cloudflare et Vercel, qui l'acheminent et l'hébergent, peuvent poser un cookie technique de sécurité en cas de contrôle anti-robots ; strictement nécessaire, ce cookie est exempté de consentement. Le site n'affiche donc aucun bandeau de consentement.

Le back-office d'administration, réservé à l'équipe de Captur, n'utilise que des cookies strictement nécessaires à la connexion.

Le détail figure dans la Politique cookies, consultable dans l'application (rubrique Légal) et sur joincaptur.com/cookies.

Nous pouvons être amenés à modifier la présente politique de confidentialité afin de refléter des évolutions légales, techniques ou de nos services.

En cas de modification importante, la nouvelle version vous est présentée dans l'application, avec les Conditions générales, et vous confirmez en avoir pris connaissance par un « J'accepte », enregistré comme indiqué en section 3.14 ; nous pouvons aussi vous en informer par email. La date de dernière mise à jour figure en haut du présent document.

Captur — Politique de confidentialité — Version 2026-10 — Entrée en vigueur le 14 octobre 2026.