Informations légales

Politique de confidentialité

Dernière mise à jour : 3 novembre 2026

Quelles données BloxVibe traite, pourquoi, combien de temps, avec qui, et comment exercer vos droits. Cette politique répond à l'article 13 du règlement général sur la protection des données (RGPD) et à la loi Informatique et Libertés.

En bref. Nous traitons le strict nécessaire pour faire fonctionner votre compte, votre formule et la banque d'assets. Pas de publicité, pas de mesure d'audience, pas de revente de données, pas de prospection. Vos numéros de carte restent chez Stripe. Vos projets et vos échanges avec votre IA restent sur votre PC et chez votre éditeur d'IA : nous ne les recevons pas.

1Responsable du traitement

Le responsable du traitement est l'éditeur de BloxVibe : Aurélien Henry, entrepreneur individuel exerçant sous le nom commercial A19 Studio, Nancy, France (voir les mentions légales).

Pour toute question sur vos données ou pour exercer vos droits : [email protected]. Nous n'avons pas désigné de délégué à la protection des données (DPO), cette désignation n'étant pas obligatoire pour notre activité.

2Données que nous traitons

Catégorie	Données
Compte	Adresse e-mail ; mot de passe, conservé uniquement sous forme d'empreinte argon2id (nous ne connaissons jamais votre mot de passe) ; date de création et date de confirmation de l'adresse ; identifiant client Stripe.
Sessions (appareils connectés)	Pour chaque appareil : identifiant d'appareil aléatoire créé par l'application ou le site ; nom de l'appareil (dans l'application : « BloxVibe · » suivi du nom de votre ordinateur Windows ; sur le site : « Site web BloxVibe ») ; adresse IP ; dates de connexion, de dernière utilisation, d'expiration et de fermeture, et motif de fermeture ; empreinte du jeton de connexion.
Journal des téléchargements	À chaque fichier d'asset ou skill livré : date et heure, élément concerné, nom du fichier, appareil et session, adresse IP, user-agent (type de logiciel qui fait la demande).
Formule et paiements	Offre, statut, dates de période et de renouvellement, demande de résiliation, montant et devise d'un achat unique, identifiants Stripe (client, abonnement, paiement) et historique technique des notifications Stripe. Pas de numéro de carte ni de compte bancaire.
Duo	Adresse e-mail de la personne ajoutée par le titulaire, date du dernier changement.
Liens et codes à usage unique	Empreinte (SHA-256) des liens de confirmation d'adresse (valables 48 h) et de réinitialisation du mot de passe (30 min), et des codes de connexion des comptes d'administration ; dates de création, d'expiration et d'utilisation.
Journal d'administration	Actions faites par un administrateur de BloxVibe sur un compte (par exemple accès offert ou retiré, déconnexion, suppression) : date, administrateur, compte concerné, détail de l'action.
Recherches dans la banque	Les mots que votre agent envoie pour chercher un asset : utilisés pour répondre, sans historique de recherche associé à votre compte.
E-mails	Adresse et contenu des e-mails transactionnels envoyés (confirmation d'adresse, mot de passe oublié, bienvenue, informations sur votre formule ou votre Duo).
Support	Vos messages et nos réponses.
Journaux techniques	Journaux des serveurs du site et de l'API : adresse IP, date, adresse demandée, user-agent, code de réponse.

Les données de paiement (numéro de carte, IBAN, nom et adresse de facturation) sont saisies directement chez Stripe. Nous ne voyons dans Stripe que des informations limitées (type de carte, quatre derniers chiffres, pays), jamais le numéro complet.

Le site garde aussi trois informations dans le stockage local de votre navigateur (langue, jeton de connexion, identifiant d'appareil) : voir la page cookies.

3Ce qui reste sur votre PC

Ces données sont créées et gardées par l'application sur votre ordinateur. Nous ne les recevons pas :

vos projets, scripts et notes (dossier BloxVibe\Projets) ;
vos réglages (%APPDATA%\BloxVibe), dont la clé d'API Roblox Open Cloud si vous la saisissez : elle n'est envoyée qu'à Roblox ;
votre jeton de connexion, chiffré par Windows ;
vos échanges avec votre agent d'IA : ils passent directement entre votre PC et votre éditeur d'IA, selon sa propre politique de confidentialité.

Pour afficher le nom d'une place ouverte dans Roblox Studio, l'application interroge directement les API publiques de Roblox depuis votre PC.

4Finalités et bases légales

Pourquoi	Données	Base légale (RGPD, art. 6)
Créer et gérer votre compte, vous connecter	Compte, sessions	Exécution du contrat (b)
Fournir BloxVibe : application, skills, banque d'assets, Duo	Compte, formule, Duo, recherches	Exécution du contrat (b)
Appliquer la limite de 2 appareils et les quotas, sécuriser les sessions, détecter le partage de compte, l'extraction du contenu et la fraude	Sessions, journal des téléchargements, journaux techniques	Intérêt légitime à protéger le service et le contenu payant (f), et exécution du contrat (b)
Encaisser les paiements, gérer abonnements, remboursements et litiges	Formule et paiements	Exécution du contrat (b)
Tenir la comptabilité et conserver les factures	Formule et paiements, e-mail	Obligation légale (c)
Envoyer les e-mails nécessaires au service	E-mail	Exécution du contrat (b)
Répondre à vos demandes et réclamations	Support, compte	Exécution du contrat (b), intérêt légitime (f)
Confirmer votre adresse e-mail, réinitialiser le mot de passe	Compte, liens à usage unique	Exécution du contrat (b)
Garder une trace des actions des administrateurs sur les comptes	Journal d'administration	Intérêt légitime (f)
Constater, exercer ou défendre nos droits	Données utiles au litige	Intérêt légitime (f)

Nous ne faisons ni publicité ciblée, ni mesure d'audience, ni profilage, et nous ne vendons ni ne louons vos données. La fermeture automatique de la session la plus ancienne (limite d'appareils) est une règle technique, pas une décision produisant des effets juridiques au sens de l'article 22 du RGPD. Si nous proposions un jour une lettre d'information, ce serait avec votre consentement.

5Durées de conservation

Données	Durée
Compte	Tant que le compte existe. Un compte sans formule active et sans connexion depuis 3 ans est supprimé, après un e-mail de prévenance. Un compte avec accès à vie est gardé tant que BloxVibe est exploité, sauf demande de suppression.
Sessions (IP, nom d'appareil, dates)	Pendant la session (elle expire après 30 jours sans utilisation), puis 12 mois après sa fermeture, pour la sécurité.
Journal des téléchargements	12 mois.
Journaux techniques des serveurs	30 jours au plus.
Formule et paiements	Durée de la relation, puis 5 ans (prescription, article 2224 du Code civil).
Factures et pièces comptables	10 ans (article L123-22 du Code de commerce).
Liens et codes à usage unique	Jusqu'à leur expiration (48 h au plus), puis supprimés sous 30 jours.
Journal d'administration	3 ans.
Duo	Tant que la personne fait partie du Duo ; la date du dernier changement, le temps du délai de 30 jours.
Support	3 ans après le dernier échange.
E-mails transactionnels (journal d'envoi)	Durée limitée fixée par Resend, et au plus 12 mois de notre côté.
Stockage local du site	Jusqu'à la déconnexion (jeton) ou jusqu'à ce que vous l'effaciez : voir cookies.

À la suppression d'un compte, ses données sont effacées sous 30 jours, sauf les factures (conservées 10 ans) et les données nécessaires à un litige en cours. Les sauvegardes sont écrasées au fil de leur rotation.

6Destinataires et sous-traitants

Vos données sont accessibles aux seules personnes habilitées de l'éditeur, et aux prestataires suivants, chacun pour sa mission :

Prestataire	Rôle	Données	Lieu et garanties
Railway Corporation	Hébergement du site, de l'API, de la base de données et des fichiers chiffrés (sous-traitant)	Toutes les données stockées côté serveur, journaux techniques	Société américaine ; région des serveurs : États-Unis, Ouest (Californie) ; clauses contractuelles types (DPA de Railway)
Stripe	Paiement, abonnements, factures, portail client	E-mail, données de paiement, formule	Stripe Payments Europe, Limited (Irlande) ; transferts vers Stripe, Inc. (États-Unis) : Data Privacy Framework et clauses contractuelles types
Resend	Envoi des e-mails transactionnels (sous-traitant)	Adresse e-mail, contenu des e-mails	États-Unis ; Data Privacy Framework et clauses contractuelles types (DPA de Resend)
OpenAI	Réponses de l'assistant du site (bulle en bas à droite) et filtrage des messages (sous-traitant)	Messages écrits dans l'assistant ; aucun compte ni e-mail n'est transmis. BloxVibe ne conserve pas ces messages, qui restent dans l'onglet du visiteur	États-Unis ; Data Privacy Framework et clauses contractuelles types (DPA d'OpenAI) ; pas d'entraînement des modèles sur les données envoyées par l'API

Pour ses propres obligations (lutte contre la fraude, obligations financières et réglementaires), Stripe agit en tant que responsable de traitement distinct, selon sa politique de confidentialité. Le paiement se fait sur une page hébergée par Stripe, qui y utilise ses propres cookies.

Vos données peuvent aussi être communiquées aux autorités qui le demandent dans les cas prévus par la loi. Les éditeurs d'IA, Roblox, Figma et Obsidian ne reçoivent rien de notre part : vous utilisez leurs services directement.

7Transferts hors de l'Union européenne

Railway, Resend, OpenAI et le groupe Stripe sont des entreprises américaines : certaines données peuvent donc être transférées vers les États-Unis ou y être accessibles. Ces transferts sont encadrés par :

la décision d'adéquation de la Commission européenne du 10 juillet 2023 (EU-US Data Privacy Framework), pour les entreprises certifiées ;
et/ou les clauses contractuelles types de la Commission européenne (décision 2021/914) intégrées aux accords de traitement de données de ces prestataires.

Vous pouvez nous demander une copie des garanties applicables en nous écrivant.

8Sécurité

Toutes les communications passent en HTTPS.
Les mots de passe sont hachés avec argon2id : nous ne pouvons pas les lire.
Connexion par jetons : un jeton d'accès valable 15 minutes, et un jeton de renouvellement dont le serveur ne garde qu'une empreinte (SHA-256), remplacé à chaque utilisation ; la réutilisation d'un ancien jeton ferme la session. Dans l'application, ce jeton est chiffré par Windows.
Les skills et les fichiers de la banque sont chiffrés au repos (AES-256-GCM). Les liens de téléchargement sont signés et expirent au bout de 10 minutes.
Limites de débit, limite d'appareils, quotas et accès aux outils d'administration réservés.

En cas de violation de données présentant un risque, nous la notifions à la CNIL et, si le risque est élevé, aux personnes concernées (articles 33 et 34 du RGPD).

9Mineurs

BloxVibe s'adresse aussi à de jeunes créateurs Roblox. Il faut avoir au moins 15 ans pour créer un compte, et l'accord d'un parent avant 18 ans ; l'achat doit être fait par le parent (voir les conditions générales). Nous ne collectons sciemment aucune donnée d'enfant de moins de 15 ans : si nous apprenons qu'un tel compte existe, nous le supprimons. Un parent peut exercer les droits de son enfant mineur en nous écrivant.

10Vos droits

Vous disposez des droits suivants sur vos données (articles 15 à 21 du RGPD) :

accès : savoir quelles données nous avons et en obtenir une copie ;
rectification : faire corriger une donnée inexacte ;
effacement : faire supprimer vos données et votre compte, sauf ce que la loi nous oblige à garder (factures) ;
limitation : faire geler un traitement le temps d'une vérification ;
portabilité : recevoir les données que vous nous avez fournies dans un format lisible par une machine ;
opposition : vous opposer aux traitements fondés sur notre intérêt légitime, pour des raisons tenant à votre situation particulière ;
directives post-mortem : définir ce que deviennent vos données après votre décès (article 85 de la loi Informatique et Libertés).

Pour les exercer, écrivez à [email protected], de préférence depuis l'adresse de votre compte. Nous répondons dans un délai d'un mois (prolongeable de deux mois pour une demande complexe, en vous prévenant). En cas de doute raisonnable sur votre identité, nous pouvons vous demander de la confirmer. La suppression du compte met fin à votre formule, y compris un accès à vie.

11Réclamation auprès de la CNIL

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez adresser une réclamation à la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur cnil.fr/fr/plaintes. Si vous résidez dans un autre pays de l'Union européenne, vous pouvez aussi saisir l'autorité de votre pays.

12Modifications

Nous mettons cette politique à jour quand nos traitements changent (par exemple un nouveau prestataire). La date en haut de page l'indique ; en cas de changement important, nous vous prévenons par e-mail.

Back to home

Legal

Privacy policy

Last updated: 3 November 2026

What data BloxVibe processes, why, for how long, with whom, and how to exercise your rights. This policy meets article 13 of the General Data Protection Regulation (GDPR) and the French Data Protection Act. This English version is provided for convenience; the French version prevails.

In short. We process only what is needed to run your account, your plan and the asset bank. No advertising, no audience measurement, no selling of data, no marketing. Your card numbers stay with Stripe. Your projects and your exchanges with your AI stay on your PC and with your AI provider: we do not receive them.

1Data controller

The data controller is the publisher of BloxVibe: Aurélien Henry, sole trader (entrepreneur individuel) trading as A19 Studio, Nancy, France (see the legal notice).

For any question about your data or to exercise your rights: [email protected]. We have not appointed a data protection officer (DPO), as this is not required for our activity.

2Data we process

Category	Data
Account	E-mail address; password, stored only as an argon2id hash (we never know your password); creation date and address confirmation date; Stripe customer ID.
Sessions (signed-in devices)	For each device: a random device ID created by the app or the website; the device name (in the app: "BloxVibe ·" followed by your Windows computer name; on the website: "BloxVibe website"); IP address; dates of sign-in, last use, expiry and closing, and the reason for closing; hash of the sign-in token.
Download log	For each asset file or skill delivered: date and time, item, file name, device and session, IP address, user agent (type of software making the request).
Plan and payments	Plan, status, period and renewal dates, cancellation request, amount and currency of a one-time purchase, Stripe IDs (customer, subscription, payment) and technical history of Stripe notifications. No card or bank account numbers.
Duo	E-mail address of the person added by the holder, date of the last change.
Single-use links and codes	Hash (SHA-256) of address confirmation links (valid 48 h) and password reset links (30 min), and of sign-in codes for administration accounts; creation, expiry and use dates.
Administration log	Actions taken by a BloxVibe administrator on an account (for example access granted or removed, sign-out, deletion): date, administrator, account concerned, details of the action.
Asset bank searches	The words your agent sends to find an asset: used to answer, with no search history attached to your account.
E-mails	Address and content of transactional e-mails sent (address confirmation, password reset, welcome, information about your plan or your Duo).
Support	Your messages and our replies.
Technical logs	Website and API server logs: IP address, date, requested address, user agent, response code.

Payment data (card number, IBAN, billing name and address) is entered directly with Stripe. In Stripe we only see limited information (card type, last four digits, country), never the full number.

The website also keeps three items in your browser's local storage (language, sign-in token, device ID): see the cookies page.

3What stays on your PC

This data is created and kept by the app on your computer. We do not receive it:

your projects, scripts and notes (BloxVibe\Projets folder);
your settings (%APPDATA%\BloxVibe), including the Roblox Open Cloud API key if you enter it: it is only sent to Roblox;
your sign-in token, encrypted by Windows;
your exchanges with your AI agent: they go directly between your PC and your AI provider, under its own privacy policy.

To show the name of a place open in Roblox Studio, the app queries Roblox's public APIs directly from your PC.

4Purposes and legal bases

Why	Data	Legal basis (GDPR, art. 6)
Create and manage your account, sign you in	Account, sessions	Performance of the contract (b)
Provide BloxVibe: app, skills, asset bank, Duo	Account, plan, Duo, searches	Performance of the contract (b)
Enforce the 2-device limit and quotas, secure sessions, detect account sharing, content extraction and fraud	Sessions, download log, technical logs	Legitimate interest in protecting the service and paid content (f), and performance of the contract (b)
Take payments, manage subscriptions, refunds and disputes	Plan and payments	Performance of the contract (b)
Keep accounts and invoices	Plan and payments, e-mail	Legal obligation (c)
Send the e-mails the service needs	E-mail	Performance of the contract (b)
Answer your requests and complaints	Support, account	Performance of the contract (b), legitimate interest (f)
Confirm your e-mail address, reset your password	Account, single-use links	Performance of the contract (b)
Keep a record of administrators' actions on accounts	Administration log	Legitimate interest (f)
Establish, exercise or defend our rights	Data relevant to the dispute	Legitimate interest (f)

We do no targeted advertising, no audience measurement and no profiling, and we do not sell or rent your data. Automatically closing the oldest session (device limit) is a technical rule, not a decision with legal effects within the meaning of article 22 GDPR. If we ever offered a newsletter, it would be with your consent.

5Retention periods

Data	Period
Account	As long as the account exists. An account with no active plan and no sign-in for 3 years is deleted, after a warning e-mail. An account with lifetime access is kept as long as BloxVibe is operated, unless you ask for deletion.
Sessions (IP, device name, dates)	During the session (it expires after 30 days without use), then 12 months after it closes, for security.
Download log	12 months.
Server technical logs	30 days at most.
Plan and payments	Duration of the relationship, then 5 years (limitation period, article 2224 of the French Civil Code).
Invoices and accounting records	10 years (article L123-22 of the French Commercial Code).
Single-use links and codes	Until they expire (48 h at most), then deleted within 30 days.
Administration log	3 years.
Duo	As long as the person is in the Duo; the date of the last change, for the 30-day period.
Support	3 years after the last exchange.
Transactional e-mails (sending log)	Limited period set by Resend, and at most 12 months on our side.
Website local storage	Until you sign out (token) or clear it: see cookies.

When an account is deleted, its data is erased within 30 days, except invoices (kept 10 years) and data needed for an ongoing dispute. Backups are overwritten as they rotate.

6Recipients and processors

Your data is accessible only to the publisher's authorised staff and to the following providers, each for its own task:

Provider	Role	Data	Location and safeguards
Railway Corporation	Hosting of the website, API, database and encrypted files (processor)	All server-side data, technical logs	US company; server region: United States, West (California); standard contractual clauses (Railway's DPA)
Stripe	Payments, subscriptions, invoices, customer portal	E-mail, payment data, plan	Stripe Payments Europe, Limited (Ireland); transfers to Stripe, Inc. (US): Data Privacy Framework and standard contractual clauses
Resend	Sending transactional e-mails (processor)	E-mail address, e-mail content	US; Data Privacy Framework and standard contractual clauses (Resend's DPA)
OpenAI	Answers from the site assistant (bottom-right bubble) and message filtering (processor)	Messages typed into the assistant; no account or e-mail is sent. BloxVibe does not keep these messages, which stay in the visitor's tab	US; Data Privacy Framework and standard contractual clauses (OpenAI's DPA); API data is not used to train models

For its own obligations (fraud prevention, financial and regulatory obligations), Stripe acts as a separate controller, under its privacy policy. Payment takes place on a page hosted by Stripe, which uses its own cookies there.

Your data may also be disclosed to authorities that request it where the law provides. AI providers, Roblox, Figma and Obsidian receive nothing from us: you use their services directly.

7Transfers outside the EU

Railway, Resend, OpenAI and the Stripe group are US companies, so some data may be transferred to or accessible from the United States. These transfers rely on:

the European Commission's adequacy decision of 10 July 2023 (EU-US Data Privacy Framework), for certified companies;
and/or the European Commission's standard contractual clauses (decision 2021/914) included in these providers' data processing agreements.

You can ask us for a copy of the applicable safeguards by writing to us.

8Security

All communications use HTTPS.
Passwords are hashed with argon2id: we cannot read them.
Sign-in uses tokens: an access token valid for 15 minutes, and a refresh token of which the server keeps only a hash (SHA-256), replaced at every use; reusing an old token closes the session. In the app, this token is encrypted by Windows.
Skills and asset bank files are encrypted at rest (AES-256-GCM). Download links are signed and expire after 10 minutes.
Rate limits, device limit, quotas and restricted access to administration tools.

If a data breach creates a risk, we notify the CNIL and, where the risk is high, the people concerned (articles 33 and 34 GDPR).

9Minors

BloxVibe is also aimed at young Roblox creators. You must be at least 15 to create an account, with a parent's consent under 18; the purchase must be made by the parent (see the Terms). We do not knowingly collect data from children under 15: if we learn such an account exists, we delete it. A parent can exercise their minor child's rights by writing to us.

10Your rights

You have the following rights over your data (articles 15 to 21 GDPR):

access: know what data we hold and get a copy;
rectification: have inaccurate data corrected;
erasure: have your data and account deleted, except what the law requires us to keep (invoices);
restriction: have processing frozen while something is checked;
portability: receive the data you gave us in a machine-readable format;
objection: object to processing based on our legitimate interest, on grounds relating to your particular situation;
post-mortem instructions: decide what happens to your data after your death (article 85 of the French Data Protection Act).

To exercise them, write to [email protected], preferably from your account's address. We answer within one month (extendable by two months for a complex request, in which case we tell you). If we have reasonable doubts about your identity, we may ask you to confirm it. Deleting the account ends your plan, including lifetime access.

11Complaint to the CNIL

If, after contacting us, you believe your rights are not respected, you can lodge a complaint with the French data protection authority (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France, or online at cnil.fr/fr/plaintes. If you live in another EU country, you can also contact your own country's authority.

12Changes

We update this policy when our processing changes (for example a new provider). The date at the top of the page shows it; for a significant change, we tell you by e-mail.