Politique de confidentialité

Vous vous apprêtez à confier à un inconnu une photo de votre visage pour demander un document officiel. C’est beaucoup demander, et un visage divulgué ne se change pas comme un mot de passe. Cette page indique précisément ce que nous collectons, pourquoi, qui d’autre y a accès, combien de temps nous le gardons et ce que nous avons décidé de ne jamais en faire.

Qui est responsable de votre photo

Le responsable du traitement pour tout ce que vous téléversez et pour la fiche de commande qui s’y rattache est la société qui exploite IDPhoto.now : BEO TECHNOLOGY SPÓŁKA Z OGRANICZONĄ ODPOWIEDZIALNOŚCIĄ. C’est à nous de prendre soin de la photo, et nous ne transférons cette responsabilité à personne. Notre prestataire de paiement, Dodo Payments, est un responsable du traitement distinct pour les données de paiement qu’il traite. Voir « Qui traite vos données ».

Pour joindre le responsable du traitement au sujet de vos données, passez par la page de contact. Indiquez votre référence de commande si vous en avez une.

Ce que nous collectons, et pourquoi

Ce que nous gardons du navigateur, et ce que nous ne gardons pas

Pour une session de navigateur, nous pouvons enregistrer une famille de navigateur approximative, afin d’enquêter sur les abus. Ce n’est ni une chaîne user-agent ni une empreinte du navigateur. C’est exactement l’un de ces quatre mots : mobile, desktop, automated ou unknown.

Nous n’enregistrons pas d’adresses IP dans nos lignes de session ni dans notre journal d’audit. C’est un choix de conception délibéré, inscrit dans le modèle de données plutôt que dans une promesse. Nos hébergeurs et fournisseurs de plateforme tiennent leurs propres journaux de requêtes, qui contiennent des adresses IP et sont conservés selon leurs propres durées. Ces journaux sont les leurs, pas les nôtres, et nous ne les décrirons pas comme si nous les contrôlions.

Sur quelle base légale nous traitons ces données

Pour la photo, les mesures et la fiche de commande : l’exécution du contrat conclu lorsque vous nous avez demandé de vérifier une photo, et les mesures précontractuelles prises à votre demande. Pour le journal d’audit et les contrôles contre la fraude et les abus : notre intérêt légitime à exploiter un service capable de rendre compte de qui a eu accès à la photo du visage d’un client. Pour les données comptables : nos obligations légales.

Deux réserves honnêtes. D’abord, l’analyse des bases légales fait partie des points que la relecture juridique en attente doit trancher ; nous l’avons exposée telle que nous la comprenons plutôt que de laisser la section vide. Ensuite, une photo du visage devient une donnée biométrique au sens de l’article 9 du RGPD lorsqu’elle est traitée aux fins d’identifier une personne de manière unique. Notre conception évite délibérément cette finalité : nous mesurons des propriétés de l’image et la géométrie du visage (un visage compté ; inclinaison, position et taille de la tête mesurées sous forme de nombres et comparées aux règles du document), nous ne créons aucun gabarit, et le détecteur ne reconnaît, ne génère ni ne modifie jamais un visage. Nous n’avons pas d’avis juridique confirmant cette analyse et nous ne prétendrons pas le contraire.

Qui traite vos données

Ce tableau a deux conséquences importantes, que le discours commercial autour des vendeurs officiels (merchants of record) brouille régulièrement.

• Dodo ne reçoit jamais votre photo. Les fichiers sont remis uniquement depuis notre propre stockage à accès authentifié, jamais par le canal de livraison d’un prestataire de paiement.
• Le fait que Dodo soit le vendeur officiel ne nous dispense d’aucune de nos obligations envers vous. Dodo gère les taxes sur les transactions et il est le vendeur officiel. Toutes les obligations de protection des données concernant votre photo, ainsi que l’exactitude de tout ce que nous disons sur le fonctionnement du service, restent à notre charge.

Cookies et mesure d’audience

Nous déposons les cookies décrits ci-dessous. Chacun est nécessaire à quelque chose que vous utilisez sur ce site, c’est pourquoi aucun bandeau ne vous demande de les accepter.

• idp_guest : un jeton aléatoire, marqué HttpOnly, avec SameSite=Lax et une durée de trente jours ; nous n’en conservons que l’empreinte (hash). Il ne contient aucune donnée personnelle : il permet au navigateur qui a créé une commande d’y revenir. Le service ne peut pas fonctionner sans lui.
• locale : la langue des pages que vous avez utilisée ou choisie en dernier, conservée un an. Il est marqué HttpOnly et Secure, la page elle-même ne peut donc pas le lire, et il ne contient rien d’autre.
• Les cookies de connexion de Better Auth, le logiciel de connexion que nous utilisons, déposés uniquement quand quelqu’un se connecte sur la page du compte. Ils sont marqués HttpOnly et vous gardent connecté jusqu’à ce que vous vous déconnectiez ou que la session expire.

Aucune page qui affiche une photo ou une commande ne comporte de cookies de mesure d’audience, de pixels publicitaires ni de balises tierces. Nous n’avons choisi aucun outil de mesure d’audience, et si nous le faisons un jour, aucun ne sera autorisé sur ces pages.

Combien de temps nous conservons les données

• Images d’une commande jamais payée : 24 heures.
• Images d’une commande payée : 30 jours, pour que vous puissiez revenir chercher le fichier.
• Plus tôt, dès que vous le demandez. Un bouton de suppression se trouve sur la page de votre commande. Voir « Supprimer vos photos et vos données ».

Ces deux durées sont des décisions produit prises dans l’attente de la relecture juridique, et elles pourront changer une fois tranchées les questions de droit de la consommation et de comptabilité. Ce ne sont pas des conclusions juridiques.

La fiche de commande survit à la photo, volontairement

Lorsque les images sont supprimées, la fiche de commande subsiste avec un indicateur précisant que ses éléments ont été effacés. Il en va de même des événements de paiement, des fiches de remboursement et du journal d’audit. Aucun d’eux ne contient de photo. Nous les conservons parce que la comptabilité et le traitement des réclamations exigent une trace de ce qui a été vendu et de ce qui s’est passé, et parce que, de cette manière, ces besoins ne deviennent jamais une raison de garder votre visage.

Une chose que nous ne cacherons pas : aujourd’hui, les mesures prises sur votre photo survivent à la suppression de l’image, et certaines sont des chaînes issues des données EXIF, comme un modèle d’appareil et une date de prise de vue. La question de savoir si elles devraient être effacées avec l’image reste ouverte dans notre relecture juridique. Nous la mentionnons ici plutôt que de la passer sous silence.

Sauvegardes

Les données actives sont supprimées immédiatement. Nos prestataires conservent leurs propres sauvegardes et instantanés selon leur propre calendrier, que nous ne contrôlons pas et que nous n’utilisons pas pour restaurer des fiches clients individuelles. Nous ne prétendrons pas à un effacement instantané de toutes les sauvegardes du monde, car ce serait faux.

Transferts internationaux, et ce que « hébergé dans l’UE » ne veut pas dire

Nos prestataires sont des plateformes mondiales et le traitement peut avoir lieu hors du pays où vous vous trouvez. L’accord de traitement des données de Dodo Payments renvoie aux clauses contractuelles types de l’UE (2021/914) et à l’avenant britannique sur les transferts internationaux de données (UK International Data Transfer Addendum) pour ses propres transferts. Nos propres mécanismes de transfert et les lieux de traitement de chaque prestataire ne sont pas encore arrêtés, et nous n’écrirons pas ici de phrase laissant entendre le contraire.

Deux affirmations que nous refusons expressément de faire :

• Être hébergé dans l’UE ne suffit pas, à lui seul, à respecter le RGPD. C’est un élément parmi beaucoup d’autres. Un site qui présente un drapeau européen comme une déclaration de conformité vous vend une impression.
• Une indication d’emplacement du stockage reste une indication, pas une garantie de localisation. Notre stockage d’objets accepte une indication d’emplacement, que le fournisseur décrit comme appliquée au mieux (best effort). Le seul mécanisme qui garantit où se trouvent les objets est une restriction juridictionnelle, fixée à la création du bucket de stockage et impossible à modifier ensuite. Tant que cette page n’indique pas que nous en avons choisi une, nous ne vous avons fait aucune promesse de localisation.

Ce que nous ne faisons jamais

Chacun de ces points est quelque chose que nous pourrions techniquement construire et avons décidé de ne pas faire. Ce sont des engagements, pas des intentions.

• Nous n’entraînons pas de modèles sur les photos des clients. Ni les nôtres, ni ceux de qui que ce soit.
• Nous ne constituons pas de base de données de reconnaissance faciale. Il n’existe nulle part dans le système d’index menant d’un visage à une personne.
• Nous ne créons ni ne conservons de gabarits biométriques ou de vecteurs de visage (embeddings). Les valeurs mesurées par nos vérifications sont enregistrées sous forme de simples nombres dans les lignes de vérification de votre rapport : par exemple le nombre de visages, la position des yeux, l’inclinaison de la tête, la hauteur de la tête rapportée à celle de la photo, l’écart entre les yeux en pixels, la plage du sombre au clair sur le visage et un niveau de confiance pour chaque résultat, y compris les réponses du modèle d’image. Les nouveaux envois n’enregistrent aucun cadre de recadrage. Les envois plus anciens enregistraient la position du visage utilisée pour cadrer l’aperçu, et elle est supprimée avec la photo. Lorsque la durée de conservation expire et que vos photos sont supprimées, les images stockées disparaissent et ces valeurs sont marquées comme appartenant à un fichier supprimé, mais les nombres eux-mêmes restent, comme tous les enregistrements de commande, pour la comptabilité et les litiges. Toujours aucun jeu de points caractéristiques, aucun gabarit, aucun embedding et aucune reconnaissance.
• Nous ne déduisons pas de caractéristiques sensibles d’une photo (ni origine ethnique, ni santé, ni religion, ni âge, ni genre). Rien dans notre chaîne de traitement ne le tente. Nous lisons la couleur de la peau du visage uniquement pour juger si la peau brille, et pour atténuer cette brillance si vous le demandez. Nous n’en déduisons rien.
• Nous ne vendons, ne louons ni ne partageons de photos avec des annonceurs, des courtiers en données ou quiconque en dehors des sous-traitants cités plus haut.
• Nous ne mettons jamais de photos, d’octets d’image, de jetons d’accès ni d’adresses e-mail complètes dans les journaux ou les lignes d’audit. Dans les lignes d’audit, les adresses e-mail sont masquées sous une forme comme a*****@example.com.
• Nous ne réutilisons pas une photo d’une commande à l’autre. Un fichier téléversé appartient à une seule et unique commande.
• Personne ne regarde votre photo, sauf si vous le demandez à notre assistance, et chaque consultation par un membre de l’équipe dans notre application est inscrite au journal d’audit avec le compte qui l’a faite.
• Nous ne modifions ni les traits ni la forme du visage. Nous n’atténuons la brillance de la peau qu’à votre demande. Nous ne générons rien et n’agrandissons aucune photo. Pour les documents polonais, espagnols, français et argentins, nous pouvons remplacer le fond par une couleur unie et faire pivoter toute la photo pour redresser une tête inclinée. Pour les passeports mexicains et le passeport colombien en ligne, nous pouvons remplacer le fond par du blanc. Pour tous ces documents, nous pouvons aussi modifier une fois la luminosité ou le contraste de toute la photo et atténuer une fois une dominante de couleur due à la lumière. Si nous avons fait l’une de ces choses, le rapport le dit. Lorsque l’administration interdit les photos modifiées, nous ne remplaçons le fond ou ne corrigeons la luminosité ou le contraste qu’à votre demande. Pour une demande papier de passeport britannique, nous pouvons corriger une fois la luminosité ou le contraste sans vous le demander, car HM Passport Office demande à ses agents d’accepter cette modification. Pour en savoir plus : Les normes que nous vérifions.
• Nous ne vous demandons jamais de nous envoyer une photo par e-mail. Voir la page Contact.

Données de localisation dans votre propre fichier

Comme nous vous rendons votre fichier original sans modification, toutes les métadonnées écrites par votre appareil y restent, y compris les coordonnées GPS si votre téléphone les enregistrait. Nous ne lisons pas ces coordonnées et ne les stockons pas, mais nous ne les supprimons pas non plus, car cela reviendrait à modifier le fichier original.

Si cela compte pour vous, désactivez la localisation pour l’application appareil photo avant de prendre la photo, ou supprimez la localisation de l’image sur votre téléphone avant de la téléverser. La photo finale et les planches à imprimer que nous produisons à partir de votre fichier ne contiennent aucune métadonnée de l’appareil, localisation comprise.

Enfants

L’un des documents que nous prenons en charge, le renouvellement en ligne du passeport américain, n’est ouvert qu’aux demandeurs de 25 ans ou plus selon les règles d’éligibilité du State Department. Nous vendons aussi un profil pour enfant : la photo du passeport polonais pour enfant, demande en ligne. Nous ne faisons pas de marketing auprès des enfants. Nous ne collectons pas de date de naissance et ne pouvons vérifier l’âge de personne, nous ne concevons donc rien autour d’un contrôle d’âge que nous n’avons pas. La question de savoir si le profil pour enfant exige une information distincte reste ouverte dans l’examen juridique.

Vos droits, et comment les exercer

Selon l’endroit où vous vivez, vous disposez de tout ou partie des droits suivants sur vos données personnelles : en obtenir une copie, les faire rectifier, les faire effacer, limiter leur traitement ou vous y opposer, les recevoir dans un format portable, et introduire une réclamation auprès de votre autorité de protection des données. Nous ne vous compliquons l’exercice d’aucun d’entre eux.

• Vous effacez vos photos vous-même, et l’effacement est immédiat. Ouvrez la page de votre commande et appuyez sur le bouton de suppression. La page « Supprimer vos photos et vos données » explique précisément ce que cela supprime et ce qui reste.
• Tout le reste passe par la page de contact. Pour exercer l’un des autres droits, contactez-nous via la page de contact en indiquant votre référence de commande (elle commence par ord_). Merci de ne pas joindre la photo.

Nous vous demanderons de montrer que la demande vient bien de vous, avec le moins de données possible, normalement en rattachant la demande à une commande que vous pouvez déjà ouvrir. Nous ne vous demanderons pas d’envoyer une copie de votre passeport ni une photo de vous pour prouver votre identité. Si nous ne pouvons vraiment pas rattacher une demande à une commande, nous vous le dirons plutôt que de supprimer au hasard les données de quelqu’un d’autre.

Sécurité

En bref : les fichiers image sont conservés dans un stockage d’objets privé sans aucune adresse publique ; les identifiants sont de longues valeurs aléatoires, et en connaître un n’autorise rien à lui seul ; les jetons d’accès ne sont stockés que sous forme d’empreintes ; chaque page privée est marquée pour ne pas être mise en cache ni indexée ; et les liens que nous envoyons par e-mail sont à usage unique et expirent au bout d’une heure. La version détaillée, y compris les failles que nous connaissons, est un document de travail et non un texte commercial, et cette page sera mise à jour à mesure qu’il évolue.

Ce contre quoi nous ne pouvons pas vous protéger

Il serait facile de s’arrêter à la section précédente. Voici les limites, dites simplement : un téléphone ou un navigateur compromis, où la photo est exposée avant même de nous parvenir ; une personne qui contrôle durablement votre boîte e-mail ; tout ce que vous faites d’un fichier après l’avoir téléchargé ; une injonction légale signifiée à nous ou à l’un de nos prestataires ; et une compromission grave chez un prestataire. Nous réduisons l’étendue des dégâts possibles (stockage privé, clés impossibles à deviner, conservation courte) et nous ne prétendons pas les avoir éliminés.

Modifications de cette politique

Lorsque cette page change de manière importante, la date en haut change aussi. Une fois la relecture juridique terminée, le bandeau de version provisoire disparaîtra et les questions ouvertes de cette page recevront des réponses au lieu d’être discrètement supprimées.

Pages associées

• Supprimer vos photos et vos données
• Conditions d’utilisation
• Nous contacter