Protection 
de vos données.

1. Responsable de traitement

Le responsable du traitement des données personnelles est TRARDI GROUP, société éditrice de Studio ePhoto, dont le siège social est situé 47 rue Vivienne, 75002 Paris. Les demandes relatives aux données peuvent être adressées par courrier électronique à rgpd@studioephoto.fr ou via notre service.

La personne qui règle la commande et la personne dont la photographie ou la signature est traitée peuvent être différentes, notamment pour un mineur. La présente politique concerne chacune d’elles pour les données qui lui sont propres. La personne qui transmet les fichiers pour autrui doit être légalement habilitée ou dûment autorisée à agir et doit rendre la présente politique accessible à la personne concernée. Un mineur peut exercer directement ses droits lorsqu’il est en capacité de le faire. Son représentant légal peut également les exercer en son nom, dans les conditions prévues par les textes applicables.

2. Données collectées

Dans une logique de minimisation, nous ne collectons que :

• votre adresse électronique, utilisée pour délivrer le code et suivre la commande ;
• votre prénom, facultatif dans le parcours de commande, à seule fin de personnaliser nos messages ;
• la photographie et la signature transmises pour la démarche ;
• lorsque vous contactez le service : le nom que vous indiquez, votre adresse électronique, la catégorie et le contenu de votre demande ainsi que, le cas échéant, la référence de commande ;
• lorsque vous utilisez la fonctionnalité de rétractation : vos nom et prénom, la référence du contrat (commande ou facture), l’adresse choisie pour l’accusé, le contenu de la déclaration, sa date et son heure, ainsi que la preuve technique de l’acceptation de l’accusé par notre service d’envoi, puis, lorsqu’elle est communiquée, la preuve de sa délivrance ou de son rejet ;
• les métadonnées techniques de la prise de vue : identifiant de session, type de preuve, horodatages, durée d’observation, détection d’un clignement ou résultat du défi, nombre de mesures et d’images stables, dimensions et objectif déclaré par l’appareil (avant, arrière ou inconnu). Pour un DCEM, elles comprennent aussi la confirmation du représentant et la tranche d’âge sélectionnée. Elles servent à contrôler la cohérence de la capture en direct ou à documenter l’import de secours ;
• une empreinte HMAC temporaire de l’adresse électronique, de l’adresse IP ou du lien de commande, utilisée uniquement pour limiter les tentatives abusives ; la valeur d’origine n’est pas enregistrée dans ce compteur ;
• les données techniques nécessaires au paiement, traitées par Stripe ; nous ne conservons aucune donnée bancaire.

Le tunnel de commande et nos formulaires en ligne ne demandent ni date de naissance, ni adresse postale, ni numéro de pièce d’identité ou de titre administratif. N’inscrivez pas ces informations dans un champ libre, sauf si notre service vous les demande ensuite parce qu’elles sont strictement nécessaires au traitement de votre demande.

3. Finalités

• fournir le service : mise au format de la photographie et génération du code ePhoto ;
• effectuer des contrôles automatiques de cadrage et de qualité de la photographie, exécutés dans le navigateur puis sur nos serveurs ; ces contrôles ne réalisent aucune identification biométrique ;
• délivrer le code et permettre le suivi de la commande ;
• traiter le paiement, les réclamations et les demandes de remboursement ;
• enregistrer les déclarations de rétractation, en accuser réception sur un support durable et permettre leur examen selon l’état réel de la prestation ;
• après la délivrance, conserver temporairement une copie probatoire chiffrée de la photographie et de la signature afin d’instruire un éventuel refus administratif ou une réclamation, vérifier l’intégrité des fichiers et les contrôles réalisés, déterminer si le service est en cause et assurer la défense de nos droits ;
• respecter nos obligations légales, notamment comptables et fiscales.

Les portraits archivés ne sont pas utilisés pour entraîner un modèle, constituer une banque d’images ou mener des essais généraux sans lien avec votre dossier. L’amélioration globale du produit repose sur des statistiques horaires agrégées et anonymes, ainsi que sur des cas synthétiques. Une image réelle n’est réanalysée que dans le cadre limité d’une réclamation qui la concerne.

4. Base légale

Le traitement des coordonnées du Client, le suivi de sa commande et l’examen d’une demande de reprise sont nécessaires à l’exécution du contrat (article 6.1.b du RGPD). Cette base couvre aussi la préparation de la photographie et de la signature lorsque la personne concernée est le Client ou est valablement représentée dans la conclusion du contrat. Lorsque les fichiers sont transmis par une personne dûment autorisée sans que la personne photographiée soit elle-même partie au contrat, leur traitement repose sur notre intérêt légitime à fournir le service qu’elle a autorisé et auquel elle peut raisonnablement s’attendre (article 6.1.f du RGPD). Les pièces comptables sont conservées au titre de nos obligations légales (article 6.1.c du RGPD).

L’enregistrement de la rétractation et l’envoi de son accusé répondent aux obligations du code de la consommation applicables aux contrats conclus en ligne (article 6.1.c du RGPD). L’instruction de la demande et la conservation de la preuve correspondante relèvent également de l’exécution du contrat et, en cas de contestation, de notre intérêt légitime à constater, exercer ou défendre nos droits (articles 6.1.b et 6.1.f du RGPD).

L’archive probatoire limitée à 6 mois, puis le gel ciblé des fichiers encore disponibles lorsqu’une réclamation est ouverte, reposent sur notre intérêt légitime à instruire les contestations, vérifier la qualité du service et constater, exercer ou défendre des droits en justice (article 6.1.f du RGPD). Cette conservation est distincte de l’exploitation courante : accès restreint, motif obligatoire, traçabilité et suppression automatique à l’échéance.

La sécurité et la prévention des abus relèvent également de notre intérêt légitime à protéger le service. Dans ce même intérêt de fonctionnement et d’amélioration ergonomique, la mesure de parcours transmet seulement des catégories fermées, immédiatement transformées en statistiques horaires anonymes. Elle n’utilise aucun identifiant ni marqueur de visite à des fins de mesure et peut être désactivée immédiatement.

5. Absence de compte utilisateur

Le service ne crée aucun compte client et ne demande aucun mot de passe. Votre commande est identifiée par un numéro de commande et un lien de suivi : nous ne constituons pas de profil persistant vous concernant.

6. Durées de conservation

• Avant l’envoi, la photographie et la signature sont sauvegardées chiffrées sur votre appareil afin de résister à un rechargement. La clé reste uniquement dans l’onglet : sa fermeture rend cette copie irrécupérable. Les résidus chiffrés abandonnés sont purgés au prochain passage dans le tunnel dès qu’ils dépassent 24 heures.
• Commande inachevée, annulée ou en échec : la photographie et la signature sont supprimées de l’infrastructure de Studio ePhoto au plus tard 72 heures après leur enregistrement.
• Commande délivrée : les fichiers photographiques nécessaires au diagnostic — y compris, lorsqu’elle a été conservée, la photo originale — et la signature quittent le traitement courant et sont placés dans une archive probatoire chiffrée pour une durée maximale de 6 mois à compter de la délivrance. Ils sont ensuite supprimés automatiquement, sauf si une réclamation les concernant a été reçue avant cette échéance.
• Réclamation reçue alors que les fichiers sont encore disponibles : seuls les éléments nécessaires sont placés sous gel probatoire pendant 5 ans à compter de la réclamation, durée correspondant au délai de droit commun applicable aux actions personnelles. Le gel ne recrée jamais un fichier déjà supprimé.
• Chez ephoto.io, qui reçoit ces deux fichiers pour générer le code, la politique publiée annonce une conservation jusqu’à la consommation ou l’expiration du code, dans une limite maximale de six mois. ephoto.io applique cette durée à sa propre copie, indépendamment de l’archive gérée par Studio ePhoto.
• Commande abandonnée et jamais payée : supprimée après 30 jours.
• Données d’une commande encaissée : conservées cinq ans après le paiement pour le suivi contractuel et la défense des droits, puis anonymisées. Cette durée ne concerne pas les factures, soumises à l’échéance comptable distincte ci-dessous.
• Factures et avoirs : conservés dix ans à compter de la clôture de l’exercice comptable auquel ils se rapportent, conformément aux obligations comptables.
• Messages adressés au service client, déclarations de rétractation et preuve de leur accusé, réclamations et registre procédural d’une médiation éventuelle : conservés cinq ans à compter de la réception de la demande initiale.
• Preuves techniques de préparation, d’acceptation, de délivrance ou de rejet des courriels transactionnels rattachés à une commande : conservées cinq ans. Un reçu de transport qui n’a pu être rattaché est supprimé après treize mois. Le registre ne conserve pas le contenu du courriel ni l’adresse en clair, mais une empreinte HMAC du destinataire, les identifiants techniques et les horodatages nécessaires à la preuve.
• Détail technique des événements de sécurité et de traitement : vidé après six mois ; la chronologie sans contenu est supprimée après dix ans.
• Compteurs anti-abus pseudonymisés : inutilisables à la fin de leur fenêtre puis purgés par un balayage toutes les quinze minutes ; la fenêtre la plus longue est de trente minutes.
• Compteurs horaires anonymes de parcours : supprimés automatiquement après treize mois.

7. Destinataires et prestataires

Vos données ne sont transmises qu’aux destinataires et prestataires strictement nécessaires au service :

• ephoto.io — génération du code ePhoto (reçoit la photographie, la signature, un identifiant technique de génération et la catégorie de démarche) ;
• Stripe — traitement du paiement (reçoit notamment l’adresse électronique, la référence et le montant de la commande ainsi que les données de paiement) ;
• Brevo — envoi des messages transactionnels (reçoit l’adresse électronique, le prénom facultatif et le contenu du message, dont le lien de suivi ou le code lorsque le type de courriel l’exige) ;
• Hostinger — hébergement de la messagerie du service et des messages qui y sont adressés ;
• OVH — hébergement technique de l’application, de sa base et de son stockage privé.

Brevo indique héberger ses bases de données exclusivement dans l’Union européenne. Stripe peut traiter certaines données hors de l’Espace économique européen dans le cadre de son accord de traitement et de son addendum relatif aux transferts. OVHcloud et Hostinger publient des accords de traitement ; la région effectivement choisie pour nos comptes doit rester conforme à la configuration du service.

ephoto.io publie l’utilisation de Cloudflare (hébergement, CDN et stockage R2), Stripe, Sentry, Google Tag Manager et de prestataires d’e-mails, avec des traitements possibles aux États-Unis. Il indique encadrer ces transferts par le Data Privacy Framework ou les clauses contractuelles types de la Commission européenne.

Studio ePhoto n’utilise la photographie ni pour identifier une personne de manière unique, ni pour l’authentifier, et ne constitue aucun gabarit biométrique. ephoto.io se présente publiquement comme responsable du traitement et qualifie les photographies et signatures reçues de données biométriques. La répartition exacte des rôles entre Studio ePhoto et ephoto.io — responsables distincts ou sous-traitance — ainsi que la condition de licéité éventuellement applicable au titre de l’article 9 du RGPD doivent être fixées dans le cadre contractuel avant l’ouverture commerciale.

L’ouverture commerciale, puis tout changement de prestataire ou de région, sont subordonnés à la vérification et à l’archivage du cadre contractuel pertinent — y compris, si la relation relève de la sous-traitance, de l’accord prévu à l’article 28 du RGPD —, de la localisation effective, des garanties de transfert et des conditions de suppression. Le registre de mise en ligne bloque l’ouverture si une de ces preuves manque ou n’est plus valable. Nous ne vendons pas vos données et ne pratiquons ni publicité ciblée, ni revente.

8. Sécurité

En production, la photographie et la signature sont chiffrées au repos au moyen de l’algorithme AES-256-GCM et d’une clé dédiée. Elles sont stockées dans un espace privé, sans URL publique, et supprimées automatiquement aux échéances indiquées. Les journaux techniques ne contiennent ni octets d’image, ni secret, ni clé de déchiffrement.

La réanalyse d’une preuve est réservée à l’administrateur habilité. Elle exige la référence d’une réclamation et un motif explicite ; l’intention et le résultat sont inscrits dans un journal d’audit dédié. L’outil ne restitue pas l’image : il produit uniquement les contrôles techniques nécessaires à l’instruction du dossier.

9. Vos droits

Dans les conditions prévues par le RGPD, vous pouvez demander l’accès à vos données, leur rectification ou leur effacement, la limitation de leur traitement, vous opposer à un traitement fondé sur l’intérêt légitime et exercer, lorsqu’il est applicable, votre droit à la portabilité. Adressez votre demande à notre service en indiquant « demande RGPD » et votre numéro de commande.

Nous répondons dans le délai légal et pouvons demander les informations strictement nécessaires pour vérifier votre identité. Un fichier déjà supprimé ne peut pas être reconstitué. Une demande d’effacement ou d’opposition portant sur une preuve gelée est soumise à un arbitrage humain, motivé et tracé ; seules les données encore nécessaires et proportionnées peuvent être maintenues lorsque leur conservation demeure nécessaire à la constatation, à l’exercice ou à la défense de droits en justice.

10. Contact relatif aux données

Studio ePhoto n’a pas désigné de délégué à la protection des données. Le responsable du traitement reçoit directement toute question ou demande d’exercice de droits à rgpd@studioephoto.fr ou via le formulaire de contact.

11. Réclamation auprès de la CNIL

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur cnil.fr.

12. Cookies et mesure d’audience

Le parcours public dépose au plus trois témoins (cookies), tous internes :

• un témoin de langue, déposé à la première visite pour mémoriser votre préférence de langue ; durée : un an ;
• un témoin de session de capture, strictement nécessaire à la prise de vue en direct ; il est inaccessible aux scripts de la page (httpOnly) et expire au bout de 30 minutes ;
• un témoin de porte d’accès, utilisé uniquement pendant la phase de pré-lancement pour restreindre l’accès au site.

La mesure de parcours n’utilise aucun identifiant de personne, de commande, de visite ou de session. Elle ne dépose aucun cookie, n’utilise pas le sessionStorage et ne relève ni la provenance ni la largeur de l’écran. Le navigateur n’envoie que des catégories fermées : étape, démarche, langue, route publique, palier de durée, type d’erreur et motif de blocage. Aucun domaine référent, texte libre, détail facial, image ou signature n’est enregistré dans ces statistiques.

Dès leur réception, ces catégories incrémentent un compteur commun par heure. Aucune ligne d’événement individuel n’est conservée et les compteurs ne comportent aucune clé permettant de reconstituer la navigation d’une personne. L’adresse réseau, nécessaire au transport de la requête, est utilisée séparément pour limiter les abus de l’endpoint : elle n’entre jamais dans les statistiques et seule une empreinte HMAC est conservée dans le compteur de sécurité pendant trente minutes au plus.

La seule information que ce module peut lire dans le stockage du navigateur est votre préférence de désactivation. Si vous faites ce choix, une valeur sans identifiant est enregistrée dans le localStorage afin de le respecter durablement. Elle reste jusqu’à votre réactivation ou l’effacement des données du navigateur. Ce choix arrête les émissions futures. Les compteurs déjà agrégés ne permettent pas de retrouver votre activité. Ils sont conservés treize mois puis supprimés.