Politique de confidentialité

Version : 2.0 — Dernière mise à jour : 13/09/2026

La présente politique de confidentialité décrit, conformément au Règlement Général sur la Protection des Données (RGPD, règlement UE 2016/679) et à la loi française « Informatique et Libertés » modifiée, comment FacePhotos.fr collecte, utilise et protège vos données personnelles. Elle s'applique à tous les visiteurs, photographes et clients de la plateforme.

1. Responsable du traitement

FacePhotos.fr
Raison sociale : [à compléter par l'éditeur — SAS/SARL/EI, N° SIRET, RCS]
Adresse : [siège social]
Représentant légal : [Nom, qualité]
Email : contact@facephotos.fr

2. Délégué à la protection des données (DPO)

Pour toute question relative à vos données personnelles ou à l'exercice de vos droits, vous pouvez contacter notre DPO :
Email : dpo@facephotos.fr
Courrier : DPO — FacePhotos.fr, [adresse postale]

3. Finalités du traitement et bases légales

4. Données personnelles collectées

4.1 Photographes

• Identité : nom, nom de studio, adresse email
• Authentification : mot de passe (haché avec bcrypt, jamais stocké en clair)
• Contenus : photos uploadées, presets de retouche, événements créés
• Paiements : coordonnées bancaires uniquement chez notre prestataire (Stripe / FedaPay) — nous n'avons jamais accès aux numéros de carte

4.2 Clients (visiteurs des galeries)

• Descripteur facial (128 nombres) — vecteur mathématique généré uniquement dans votre navigateur (client-side) par la bibliothèque face-api.js. Il est envoyé au serveur uniquement le temps de la comparaison, puis immédiatement détruit. Il n'est jamais conservé de manière persistante côté serveur.
• Journal de consentement biométrique (email + horodatage) — conservé 90 jours pour l'audit RGPD
• Email + nom + téléphone + pays uniquement en cas d'achat (transmis à FedaPay pour la facturation Mobile Money)
• Adresse IP et user-agent : logs techniques anonymisés, 12 mois

4.3 Données sensibles (art. 9 RGPD)

Les descripteurs faciaux constituent une donnée biométrique au sens de l'article 9 du RGPD. Leur traitement repose exclusivement sur votre consentement explicite, recueilli par une case à cocher active avant chaque scan. Aucun traitement ne peut avoir lieu sans ce consentement. Aucun profilage ni décision automatisée produisant des effets juridiques n'est effectué.

5. Destinataires et sous-traitants

Vos données peuvent être communiquées aux sous-traitants suivants, tous liés par contrat conforme à l'article 28 du RGPD :

6. Transferts hors Union européenne

Certains sous-traitants (Emergent, FedaPay) peuvent traiter des données hors UE. Ces transferts sont encadrés par les Clauses Contractuelles Types (CCT/SCC) de la Commission européenne (décision 2021/914) et, le cas échéant, par des mesures supplémentaires (chiffrement au repos et en transit AES-256/TLS 1.3).

7. Durées de conservation

• Descripteurs faciaux clients : non conservés (destruction immédiate après comparaison)
• Journal de consentement biométrique : 90 jours puis suppression automatique
• Photos : jusqu'à suppression par le photographe ou fermeture de l'événement
• Comptes photographes inactifs : anonymisation après 3 ans d'inactivité
• Factures et pièces comptables : 10 ans (article L.123-22 du Code de commerce)
• Logs techniques : 12 mois
• Cookies techniques : 13 mois

8. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Droit d'accès (art. 15) : obtenir la confirmation que vos données sont traitées et en recevoir une copie
• Droit de rectification (art. 16) : corriger des données inexactes ou incomplètes
• Droit à l'effacement / « à l'oubli » (art. 17) : demander la suppression de vos données
• Droit à la limitation (art. 18) : suspendre temporairement le traitement
• Droit à la portabilité (art. 20) : recevoir vos données dans un format structuré (JSON)
• Droit d'opposition (art. 21) : refuser un traitement basé sur l'intérêt légitime
• Droit de retirer votre consentement à tout moment (art. 7.3)
• Droit de ne pas faire l'objet d'une décision automatisée (art. 22) — non applicable ici, aucun profilage
• Directives post-mortem (art. 85 LIL) : instructions sur le sort de vos données après votre décès

9. Comment exercer vos droits ?

• Effacement rapide des journaux de consentement biométrique : formulaire /legal/erase
• Export ou effacement complet (photographes) : depuis votre espace, menu « Mon compte » (bouton « Export RGPD » et « Supprimer mon compte »)
• Toute autre demande : email à dpo@facephotos.fr avec justificatif d'identité — réponse sous 30 jours maximum (art. 12.3 RGPD, extensible à 2 mois si complexe).

10. Cookies

Nous n'utilisons aucun cookie tiers, aucun tracker publicitaire ni analytique. Seuls des cookies techniques stockés dans le localStorage de votre navigateur sont utilisés :

• fp_token — session d'authentification photographe (JWT)
• fp_cookie_consent — mémorisation de votre choix cookies
• fp_install_dismissed — refus de la popup d'installation PWA
• fl_match_*, fl_dl_* — session temporaire du parcours galerie (durée : la session)

Ces cookies étant strictement nécessaires au fonctionnement du service, ils sont dispensés de consentement (art. 82 LIL).

11. Sécurité des données

• Chiffrement en transit (TLS 1.3) et au repos (AES-256)
• Mots de passe hachés avec bcrypt (coût 12)
• Tokens JWT signés HS256, expiration 30 jours, rotation possible
• Accès administrateur limité, journalisé et authentifié à double facteur
• Filigranes personnalisés et protections contre la capture d'écran
• Sauvegardes chiffrées quotidiennes conservées 30 jours

12. Notification en cas de violation

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous vous en informerons dans les meilleurs délais (art. 34 RGPD) et notifierons la CNIL sous 72 heures (art. 33 RGPD).

13. Mineurs

Le service n'est pas destiné aux mineurs de moins de 15 ans (art. 8 RGPD, seuil français). Les photographes s'engagent à obtenir le consentement des titulaires de l'autorité parentale pour la publication et la reconnaissance faciale de mineurs.

14. Réclamation auprès de la CNIL

Vous pouvez introduire une réclamation auprès de l'autorité de contrôle française : Commission Nationale de l'Informatique et des Libertés (CNIL) — 3 Place de Fontenoy, TSA 80715, 75334 Paris CEDEX 07 · Tél. 01 53 73 22 22 · cnil.fr/plaintes

15. Modifications de la politique

Toute évolution substantielle de cette politique fera l'objet d'une information sur le site et, le cas échéant, d'un nouveau recueil de consentement. La date de dernière mise à jour figure en haut de la page.

Cette politique est rédigée en français. En cas de traduction, la version française prévaut en cas de litige. Le droit applicable est le droit français ; les tribunaux compétents sont ceux du siège social de FacePhotos.fr.