Politique de confidentialité Envelope

Dernière mise à jour : 29 octobre 2026.

1. Qui nous sommes et à quoi s'applique cette politique

Envelope est une marque de NOSIDE, société à responsabilité limitée au capital de 1 000 €, immatriculée au RCS de Paris sous le numéro 497 671 651, dont le siège est situé 94 rue Saint-Lazare, 75009 Paris, France (« Envelope », « nous »). NOSIDE est le responsable du traitement des données personnelles décrites dans cette politique, sauf lorsqu'elle agit pour le compte de ses clients (voir section 4).

Cette politique s'applique à :

• notre site envelope.app et nos échanges commerciaux (prospects, clients, partenaires, fournisseurs) ;
• la plateforme Studio, outil de création assisté par IA mis à disposition des équipes de nos clients ;
• la plateforme Scale, outil de production de visuels e-commerce opéré par nos équipes, auquel les équipes de nos clients accèdent pour déposer des fichiers, suivre et valider la production ;
• nos prestations de production sur mesure (campagnes, films, visuels éditoriaux).

Elle décrit les données que nous traitons, pourquoi, avec qui, combien de temps, et les droits dont vous disposez. Elle est rédigée en application du Règlement général sur la protection des données (RGPD) et de la loi Informatique et Libertés.

Nos clients sont des entreprises. Nous ne traitons pas de données de consommateurs pour notre propre compte et nous ne nous adressons pas à des mineurs.

2. Les données que nous traitons

Nous ne collectons que les données nécessaires à notre relation avec vous et au fonctionnement de nos plateformes.

Nous ne traitons aucune donnée dite sensible (origine, opinions, santé, orientation sexuelle, données biométriques) pour notre propre compte. Les contenus que nos clients nous confient peuvent représenter des personnes ; nous les traitons alors uniquement sur leurs instructions.

3. Pourquoi nous traitons vos données

Chaque traitement repose sur l'une des bases légales prévues par l'article 6 du RGPD.

Nous ne prenons aucune décision automatisée produisant des effets juridiques ou significatifs sur les personnes et nous ne faisons pas de profilage.

4. Contenus de nos clients et intelligence artificielle

Les fichiers, images, prompts et visuels que nos clients nous confient ou créent sur nos plateformes (les « Contenus ») leur appartiennent. Lorsque ces Contenus comportent des données personnelles, par exemple l'image d'un mannequin, notre client en est le responsable de traitement et Envelope agit comme sous-traitant au sens de l'article 28 du RGPD. Nous les traitons uniquement sur ses instructions, dans le cadre du contrat et de l'accord de traitement des données qui l'accompagne. Les personnes représentées exercent leurs droits auprès de notre client, que nous assistons.

Modèles d'IA utilisés. Envelope n'entraîne pas de modèle de fondation. Nos plateformes orchestrent des modèles d'IA générative fournis par des tiers (notamment Google, OpenAI, Anthropic, Alibaba Cloud et Freepik), auxquels nous transmettons, par requête et par API chiffrée, les seules images et instructions nécessaires à chaque génération. Les modèles traitent ces données de manière transitoire pour produire un résultat. La liste des fournisseurs actifs est tenue à jour dans notre registre des sous-traitants, communiqué à nos clients.

Pas d'entraînement sur vos données. Nous n'utilisons pas les Contenus, prompts, résultats, journaux ou métadonnées de nos clients pour entraîner, affiner, tester ou améliorer un modèle d'IA, sauf accord écrit préalable du client pour un modèle qui lui est dédié. Nous accédons aux modèles tiers via leurs API commerciales, dont les conditions excluent par défaut l'utilisation des entrées et sorties à des fins d'entraînement, et nous n'adhérons à aucun programme de partage de données.

Contrôle humain. Les visuels produits par nos équipes sont vérifiés par un graphiste avant livraison. Aucun contenu généré par nos outils ne produit d'effet sur une personne sans intervention humaine.

Transparence. Les visuels que nous livrons sont signés avec des Content Credentials C2PA, un marquage lisible par machine indiquant qu'ils ont été produits ou modifiés avec une IA générative, conformément à l'article 50 du règlement européen sur l'IA. Les mentions visibles à apposer lors de la publication relèvent de nos clients ; nous les accompagnons sur ce point.

Mannequins générés. Les mannequins de notre catalogue sont des personnes fictives créées par Envelope. Ils ne reproduisent pas l'apparence de personnes réelles identifiables. Lorsqu'un client nous demande de travailler à partir de l'image d'une personne réelle, il garantit disposer des autorisations nécessaires.

5. Qui a accès à vos données

Vos données sont accessibles aux seuls membres de l'équipe Envelope qui en ont besoin pour leur mission, tenus à une obligation de confidentialité. Nous ne vendons ni ne louons vos données. Nous les partageons uniquement avec les prestataires qui nous permettent de fournir nos services, liés par un contrat de sous-traitance conforme à l'article 28 du RGPD.

Nous pouvons aussi communiquer des données à nos conseils (expert-comptable, avocats), aux organismes sociaux et fiscaux lorsque la loi l'exige, et aux autorités sur demande légalement fondée.

Cette liste évolue avec nos outils. Nos clients sont informés par écrit, avec un préavis de 30 jours, de tout ajout ou remplacement d'un sous-traitant traitant leurs données, et peuvent s'y opposer.

6. Transferts hors de l'Union européenne

Vos données de compte, vos fichiers et nos sauvegardes sont hébergés dans l'Union européenne. Certains de nos prestataires sont toutefois établis hors de l'UE ou y traitent des données, notamment les fournisseurs de modèles d'IA (États-Unis, Singapour) et certains outils techniques.

Ces transferts sont encadrés par :

• les clauses contractuelles types adoptées par la Commission européenne, intégrées aux accords de traitement des données de chaque prestataire ;
• pour les prestataires américains qui y sont certifiés (Google, OpenAI notamment), la décision d'adéquation relative au cadre de protection des données UE-États-Unis (Data Privacy Framework) ;
• des mesures techniques complémentaires : chiffrement en transit, transmission limitée aux seules données nécessaires à chaque requête, aucune conservation demandée côté fournisseur.

Vous pouvez obtenir une copie des garanties applicables en nous écrivant à l'adresse indiquée en section 11.

7. Combien de temps nous conservons vos données

Nous conservons vos données le temps nécessaire à la finalité poursuivie, puis nous les supprimons ou les anonymisons.

Les sauvegardes ne sont pas purgées individuellement : elles expirent par rotation automatique et ne sont jamais utilisées pour restaurer des données supprimées.

8. Comment nous protégeons vos données

Nous appliquons des mesures techniques et organisationnelles adaptées à la sensibilité des données et des contenus qui nous sont confiés :

• chiffrement des échanges (HTTPS / TLS) et des fichiers au repos chez nos hébergeurs ;
• comptes nominatifs, mots de passe hachés, double authentification (clé d'accès, application d'authentification ou code par email) ;
• cloisonnement des données par client et par projet, droits d'accès par rôle, accès de nos équipes limité au besoin d'en connaître ;
• accès aux fichiers par liens signés à durée limitée, y compris vers les fournisseurs de modèles ;
• journalisation des connexions et des actions, sauvegardes quotidiennes, mises à jour de sécurité régulières ;
• obligations de confidentialité dans les contrats de nos salariés, associés et freelances ; contrats de sous-traitance avec nos prestataires.

En cas de violation de données susceptible d'engendrer un risque pour vos droits, nous notifions la CNIL dans les 72 heures et, si le risque est élevé, nous vous en informons directement. Nos clients sont informés sans délai injustifié de toute violation affectant les données que nous traitons pour leur compte.

9. Vos droits

Vous disposez des droits suivants sur vos données :

• accès : obtenir la confirmation que nous traitons vos données et en recevoir une copie ;
• rectification : faire corriger des données inexactes ou incomplètes ;
• effacement : demander la suppression de vos données, dans les limites de nos obligations légales ;
• limitation : demander le gel temporaire d'un traitement ;
• opposition : vous opposer à un traitement fondé sur notre intérêt légitime, et à tout moment à la prospection ;
• portabilité : recevoir vos données de compte dans un format structuré et lisible par machine ;
• retrait du consentement pour les traitements qui en dépendent (traceurs), sans effet sur la licéité des traitements passés ;
• directives post mortem sur le sort de vos données après votre décès.

Pour exercer ces droits, écrivez-nous à privacy@envelope.app ou par courrier à NOSIDE, 94 rue Saint-Lazare, 75009 Paris. Nous pouvons vous demander un justificatif d'identité si un doute existe sur l'identité du demandeur. Nous répondons dans un délai d'un mois, prolongeable de deux mois pour les demandes complexes, et nous vous en informons.

Si vous êtes utilisateur de Studio ou de Scale au titre de votre société, vous pouvez aussi passer par son administrateur, qui nous transmet la demande. Si vous êtes une personne représentée dans des contenus confiés par un client, votre demande est traitée par ce client ; nous la lui relayons sans délai si elle nous parvient directement.

Vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, cnil.fr).

10. Cookies et traceurs

Nos plateformes utilisent des cookies strictement nécessaires à leur fonctionnement : maintien de votre session, sécurité (protection contre la falsification de requêtes), mémorisation de vos préférences d'affichage. Ils ne requièrent pas votre consentement.

Nous utilisons également, sous réserve de votre consentement :

Vous pouvez accepter ou refuser ces traceurs via le bandeau affiché lors de votre première visite et modifier votre choix à tout moment depuis le lien « Cookies » en pied de page ou les réglages de votre navigateur. Votre choix est conservé 6 mois. Nous n'utilisons aucun traceur publicitaire et ne partageons pas vos données de navigation avec des régies.

11. Mise à jour de cette politique et contact

Nous pouvons modifier cette politique pour refléter l'évolution de nos services, de nos prestataires ou de la réglementation. La version en vigueur est publiée sur nos plateformes avec sa date de mise à jour. En cas de changement substantiel, nous informons les utilisateurs de nos plateformes par email ou par un message à la connexion.

Pour toute question relative à cette politique ou à vos données personnelles :

Dernière mise à jour : 29 octobre 2026.