Politique de confidentialité.

1. Responsable du traitement

2. Données collectées

Nous collectons les catégories de données suivantes, selon le principe de minimisation (RGPD art. 5.1.c) :

Données traitées par Moon CLI et les applications mobiles

Moon CLI traite vos requêtes avec les mêmes garanties que la plateforme : l'anonymisation Moon Blur est appliquée sur votre machine, avant tout envoi (secrets, clés d'API, données personnelles), et la garde Moon Guard inspecte localement les commandes proposées. Moon CLI stocke localement un jeton d'authentification (révocable depuis moon sessions ou votre compte) et n'envoie aucune télémétrie distincte : seules vos requêtes et les métadonnées de session (appareil, dernière activité) sont traitées, aux mêmes fins et durées que celles de la plateforme.

Les applications mobiles (iOS, Android) donnent accès à la plateforme avec votre compte : les données traitées, les finalités et les durées sont identiques à celles décrites dans la présente politique. Les notifications push éventuelles utilisent Apple APNs (voir section sous-traitants).

Données traitées par l'API Développeur (api.realmoon.ai)

L'API Développeur (documentation : /docs/api) suit une règle stricte de non-conservation du contenu :

• Aucun stockage du contenu des requêtes. Les prompts et les réponses transmis à l'API ne sont ni conservés ni journalisés, et aucun enregistrement de conversation n'est créé pour un appel API. Les réponses portent l'en-tête X-Moon-Prompt-Storage: none.
• Moon Blur avant l'envoi au modèle. L'anonymisation des données sensibles (emails, IBAN, numéros de sécurité sociale, SIREN, etc.) est appliquée avant que la requête ne quitte Moon AI vers le fournisseur d'inférence, puis les valeurs sont restaurées dans la réponse renvoyée à l'appelant (voir section 4).
• Métadonnées de facturation uniquement. Sont conservées, par workspace et à des fins de facturation et de prévention de l'abus, des métadonnées sans le contenu : modèle, nombre de tokens, coût, latence, identifiant de requête, IP hachée et horodatage. Durée de conservation d'environ 90 jours ; les écritures comptables (factures) suivent les durées légales (voir section 6).
• Fournisseurs d'inférence en amont. Les requêtes API transitent par OpenRouter et le fournisseur du modèle choisi, qui les reçoivent (sous forme anonymisée par Moon Blur) selon leurs propres politiques (voir section sous-traitants). Pour cette raison, l'API n'est pas présentée comme « Zero Data Retention », « anonymisée de bout en bout » ni « 100 % traitée en France ».

3. Finalités et bases légales du traitement

4. Moon Blur : protection des données IA

Moon AI intègre Moon Blur, un système propriétaire d'anonymisation en 5 couches qui intercepte et protège automatiquement les données personnelles avant leur envoi aux modèles d'IA tiers.

5. Destinataires et sous-traitants

Les modèles d'IA vidéo et certaines tâches d'inférence sont exécutés sur nos propres serveurs GPU chez OVHcloud. Aucun transfert de données vers des tiers n'a lieu pour ces traitements.

Aucune donnée personnelle n'est vendue à des tiers. Les transferts hors Union européenne vers les États-Unis sont encadrés par les clauses contractuelles types de la Commission européenne (décision 2021/914) et complétés par les mesures techniques d'anonymisation décrites ci-dessus.

6. Durée de conservation

Les données anonymisées et agrégées de manière irréversible (statistiques d'usage globales, métriques de performance, volumes de requêtes) ne constituent pas des données personnelles au sens du RGPD (considérant 26) et peuvent être conservées et utilisées sans limitation de durée à des fins d'amélioration des services, de recherche, d'analyse de tendances et de reporting.

7. Sécurité des données

STELLARR STUDIO met en oeuvre des mesures techniques et organisationnelles conformes à l'état de l'art pour protéger vos données. L'ensemble de la plateforme Moon AI a été conçu dès l'origine selon les principes de privacy by design (art. 25 RGPD) et de security by design, dans le respect des exigences du RGPD, de l'EU AI Act et des normes ISO 27001/27701/42001. Les processus de certification formelle sont en cours :

8. Décision automatisée et profilage

Conformément à l'article 22 du RGPD, vous avez le droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques vous concernant.

Moon AI utilise les traitements automatisés suivants :

Aucun de ces traitements ne constitue une décision automatisée au sens de l'article 22 du RGPD. Toutefois, vous pouvez à tout moment demander une intervention humaine, exprimer votre point de vue ou contester un traitement en nous contactant à contact@stellarrstudio.com.

9. Transferts internationaux de données

Certaines données anonymisées sont transmises à des fournisseurs d'API situés aux États-Unis (OpenAI, Anthropic, OpenRouter, Fireworks AI). Ces transferts sont encadrés par :

Pour Google (Gemini), les données peuvent être traitées au sein de l'UE conformément au Data Processing Addendum de Google Cloud.

L'hébergement principal (OVHcloud) est exclusivement situé en France et en Union européenne. Aucune donnée personnelle en clair ne quitte le territoire de l'UE.

Vous pouvez obtenir une copie des garanties appropriées en nous contactant.

10. Notification de violation de données

Conformément aux articles 33 et 34 du RGPD, en cas de violation de données personnelles susceptible d'engendrer un risque pour vos droits et libertés, STELLARR STUDIO s'engage à :

11. Protection des données des mineurs

Moon AI n'est pas destiné aux enfants de moins de 16 ans. Nous ne collectons pas sciemment de données personnelles auprès de personnes de moins de 16 ans.

Pour les mineurs âgés de 16 à 18 ans, le consentement d'un titulaire de l'autorité parentale est requis pour l'utilisation de la plateforme, conformément à notre politique interne de protection des mineurs et à l'esprit de l'article 8 du RGPD.

Si nous apprenons que des données personnelles d'un enfant de moins de 16 ans ont été collectées, nous prendrons les mesures nécessaires pour les supprimer dans les meilleurs délais. Si vous êtes parent ou tuteur et pensez que votre enfant nous a fourni des données personnelles, contactez-nous à contact@stellarrstudio.com.

12. Analyse d'impact (DPIA)

Conformément à l'article 35 du RGPD, STELLARR STUDIO réalise des analyses d'impact relatives à la protection des données (AIPD/DPIA) pour les traitements susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes.

Une analyse d'impact a été menée notamment pour :

Ces analyses sont tenues à disposition de la CNIL sur demande.

13. Vos droits

Conformément au RGPD (articles 15 à 22) et à la loi Informatique et Libertés, vous disposez des droits suivants :

14. Cookies

Pour en savoir plus sur notre utilisation des cookies et traceurs, consultez notre politique de cookies.

15. Modifications

La présente politique de confidentialité peut être mise à jour à tout moment pour refléter l'évolution de nos pratiques ou des exigences légales. En cas de modification substantielle, les Utilisateurs en seront informés par email et/ou notification sur la Plateforme au moins 30 jours avant l'entrée en vigueur.

16. Contact