Les photographies du visage, les scores, les produits de ton étagère et les réponses du journal sont traités et conservés exclusivement sur ton appareil : ils ne sont transmis à aucun serveur, ne sont pas accessibles au responsable du traitement et ne sont pas utilisés pour entraîner des modèles. Aucun compte ne t’est demandé, l’application ne contient aucune publicité et aucun profilage n’est effectué. Les quelques informations qui quittent l’appareil (abonnement et code créatrice, signalement d’un produit manquant) sont décrites à l’article 4. Deux fonctionnalités communiquent avec notre serveur, les invitations et la mise à jour du catalogue, sans que l’application envoie de données personnelles, hormis un identifiant anonyme pour les invitations.
1Responsable du traitement#
Le responsable du traitement est GLOUP, joignable à l’adresse privacy@gloup.beauty. GLOUP est développée et exploitée par Riccardo Sasso, personne physique, qui est le responsable du traitement au sens de l’article 4 du RGPD.
Aucun délégué à la protection des données n’a été désigné, aucune des conditions prévues à l’article 37 du règlement (UE) 2016/679 (« RGPD ») n’étant remplie.
2Champ d’application#
La présente politique est fournie en application des articles 13 et 14 du RGPD et s’applique à toute personne utilisant l’application GLOUP, quel que soit le lieu d’utilisation. Le responsable du traitement applique les exigences du RGPD à l’ensemble des utilisateurs ; les droits reconnus par d’éventuelles autres législations nationales ne sont pas affectés et s’ajoutent à ceux énumérés dans la présente politique.
3Données traitées sur l’appareil#
Les données figurant dans le tableau ci-dessous sont générées et conservées uniquement dans la mémoire de l’appareil de l’utilisateur. Le responsable du traitement n’y a pas accès et n’en dispose sous aucune forme.
| Donnée | Finalité | Emplacement | Durée de conservation |
|---|---|---|---|
| Photographies du visage | Calcul des paramètres cutanés par zone | Uniquement sur l’appareil | Jusqu’à leur suppression par l’utilisateur |
| Scores par zone | Représentation de l’évolution dans le temps | Uniquement sur l’appareil | Jusqu’à leur suppression par l’utilisateur |
| Produits possédés | Élaboration de la routine et signalement des incompatibilités | Uniquement sur l’appareil | Jusqu’à leur suppression par l’utilisateur |
| Réponses du journal | Identification de corrélations hebdomadaires | Uniquement sur l’appareil | Jusqu’à leur suppression par l’utilisateur |
| Prénom et âge | Personnalisation et comparaison par tranche d’âge | Uniquement sur l’appareil | Jusqu’à leur suppression par l’utilisateur |
Le traitement des photographies est effectué intégralement sur l’appareil. L’application n’effectue aucune reconnaissance faciale et ne génère aucun gabarit biométrique permettant d’identifier de manière unique une personne physique : les images servent uniquement à mesurer des paramètres optiques de la surface cutanée. Ces paramètres décrivent l’aspect d’une surface et non l’état de santé de l’utilisateur : ils ne sont utilisés ni pour détecter ni pour suivre une quelconque affection médicale et ne constituent pas des données concernant la santé au sens de l’article 4, point 15), du RGPD. Le responsable du traitement les traite néanmoins avec la précaution que requiert une donnée délicate : chaque scan est lancé par l’utilisateur, après que celui-ci a autorisé l’accès à l’appareil photo, et le consentement peut être retiré à tout moment en cessant d’effectuer des scans et en supprimant les photographies et les scores depuis la section Profil de l’application, ou en révoquant l’accès à l’appareil photo dans les réglages du système. Aucune donnée susceptible de révéler l’état de santé n’est transmise à des tiers.
L’application ne traite ni l’adresse électronique, ni le numéro de téléphone, ni les contacts, ni les données de géolocalisation, ni l’identifiant publicitaire de l’appareil, ni l’historique de navigation. Aucun outil tiers de mesure d’audience, de détection des plantages ou de mesure publicitaire n’est intégré dans l’application.
Données du visage
La présente section décrit de manière exhaustive les données relatives au visage que traite l’application.
- Photographie du visage. Lorsque l’utilisateur lance un scan, l’application prend trois photographies rapprochées avec la caméra avant. La première est enregistrée dans l’espace réservé de l’application sur l’appareil, afin de permettre à l’utilisateur de comparer ses photos dans le temps ; les deux autres servent uniquement à rendre la lecture plus stable et sont supprimées juste après.
- Images de cadrage. Pendant que l’utilisateur cadre son visage, l’application lit des images en basse résolution environ toutes les 0,7 seconde, dans le seul but de déterminer la position et la taille du visage et de guider le cadrage. Chaque image est supprimée immédiatement après sa lecture et n’est pas conservée.
- Points de repère du visage. Pour localiser les zones à observer (front, joues, nez, menton, contour des yeux), le framework Vision d’Apple calcule sur l’appareil le cadre délimitant le visage et des points de repère bidimensionnels (yeux, sourcils, nez, bouche, contour du visage). Ces points ne sont utilisés que pendant l’analyse et ne sont pas conservés.
- Données conservées avec chaque scan. Des mesures optiques par zone (couleur, luminosité, reflet, grain, pores et taches par unité de surface) et des valeurs sur l’aspect de chaque zone (imperfections, marques, rougeurs, ridules, contour des yeux), lues sur l’appareil par un modèle d’analyse d’image ; la qualité de la photo, la part de la photo occupée par le visage, la distance en pixels entre les yeux et les angles d’inclinaison de la tête. Ces derniers servent uniquement à rendre comparables des mesures prises à des distances et sous des angles différents. Aucune de ces données ne permet d’identifier une personne.
- Ce que l’application ne fait pas. Elle n’utilise ni la caméra TrueDepth, ni ARKit, ni aucune donnée de profondeur. Elle n’effectue aucune reconnaissance ni authentification faciale et ne crée ni empreinte ni gabarit biométrique. Elle ne transmet les données du visage à aucun serveur, ni au responsable du traitement, ni à des tiers (y compris Apple et RevenueCat), et ne les utilise pas à des fins de publicité, de marketing, de profilage, de vente ou d’entraînement de modèles.
- Conservation et suppression. Les données du visage restent sur l’appareil jusqu’à ce que l’utilisateur les supprime. La commande « Effacer toutes mes données » de la section Profil efface immédiatement les photographies enregistrées et les mesures ; les copies temporaires créées par l’appareil photo lors de la prise de vue restent dans la mémoire cache de l’application, que le système vide automatiquement. La désinstallation de l’application efface l’ensemble des données. Les photographies du visage sont exclues de la sauvegarde de l’appareil (iCloud ou ordinateur). Comme toutes les données des applications, les mesures peuvent y être incluses si l’utilisateur a activé la sauvegarde, gérée par Apple sous son contrôle : le responsable du traitement n’y a pas accès. Le fichier que l’utilisateur peut exporter au moyen de la commande « Télécharger mes données » contient les mesures mais non les photographies, et n’est partagé que là où l’utilisateur le décide.
Face data (English)
This section fully describes the face-related data the app processes.
- Face photo. When the user starts a scan, the app takes three quick photos with the front camera. The first is saved in the app’s private storage on the device, so the user can compare their own photos over time; the other two are used only to make the reading steadier and are deleted right after.
- Framing frames. While the user frames their face, the app reads low-resolution frames about every 0.7 seconds, only to find the position and size of the face and guide the framing. Each frame is deleted right after it is read and is never kept.
- Face landmarks. To locate the areas to observe (forehead, cheeks, nose, chin, under-eye), Apple’s Vision framework computes on the device the face rectangle and two-dimensional landmark points (eyes, eyebrows, nose, mouth, face contour). These points are used only during the analysis and are not stored.
- Data stored with each scan. Optical measurements per area (colour, lightness, shine, texture, pores and spots per unit of area) and values about the appearance of each area (blemishes, marks, redness, fine lines, eye area), read on the device by an image-analysis model; photo quality, the share of the photo taken up by the face, the distance in pixels between the eyes and the head tilt angles. The latter are used only to make measurements taken at different distances and angles comparable. None of this data can identify a person.
- What the app does not do. It does not use the TrueDepth camera, ARKit or depth data. It performs no face recognition or face authentication and creates no faceprints or biometric templates. It does not send face data to any server, to the developer or to any third party (including Apple and RevenueCat), and does not use it for advertising, marketing, profiling, sale or model training.
- Retention and deletion. Face data stays on the device until the user deletes it. “Cancella tutti i miei dati” (Delete all my data) in the Profile section deletes the saved photos and measurements immediately; temporary copies created by the camera while shooting remain in the app’s cache, which the system clears automatically. Uninstalling the app deletes everything. Face photos are excluded from device backups (iCloud or computer). Like all app data, the measurements may be included in a backup the user has turned on, which Apple manages under the user’s control; the developer has no access to it. The file the user can export with “Scarica i miei dati” (Download my data) contains the measurements but not the photos, and is shared only where the user chooses.
Suppression
L’utilisateur peut supprimer les données depuis la section Profil de l’application ou en désinstallant l’application : dans les deux cas, les données sont effacées de l’appareil et aucune copie n’en subsiste auprès du responsable du traitement, qui n’en a jamais eu la disposition. La suppression sur l’appareil ne concerne pas les données du programme d’invitations conservées sur le serveur, pour lesquelles il convient de se reporter à l’article 9.
4Données communiquées à des tiers#
Les seules communications de données à des tiers sont celles indiquées ci-dessous, lesquelles sont strictement nécessaires au fonctionnement des fonctionnalités correspondantes.
| Destinataire | Données | Finalité | Base juridique |
|---|---|---|---|
| Apple · Apple Distribution International Ltd., Irlande | Données de la transaction et du compte Apple | Distribution de l’application et exécution des achats intégrés ; Apple agit en qualité de vendeur | Art. 6.1.b RGPD : exécution du contrat |
| RevenueCat · RevenueCat, Inc., États-Unis | Identifiant anonyme généré par le service, reçu d’achat Apple, statut et date d’expiration de l’abonnement, modèle de l’appareil et version de l’application ; le code d’une créatrice, si l’utilisateur le saisit | Vérification et gestion de l’abonnement, restauration des achats sur un nouvel appareil ; attribution de l’inscription à la créatrice qui a fourni le code, pour le calcul de sa rémunération | Art. 6.1.b RGPD : exécution du contrat ; pour le code créatrice, art. 6.1.f RGPD : intérêt légitime du responsable à rémunérer les créatrices |
| Google (feuille de calcul du responsable du traitement) · Google Ireland Limited, Irlande | Marque, nom et rayon d’un produit absent du catalogue et ajouté manuellement par l’utilisateur, le code-barres s’il a été scanné, la liste des ingrédients si elle a été photographiée ou saisie par l’utilisateur, son type s’il s’agit d’un masque ou d’un patch, le pays de l’App Store de l’utilisateur, la version de l’app et du catalogue installés, avec la date et l’heure de l’ajout. Il s’agit de données relatives au produit et non à l’utilisateur ; la photo du produit, si l’utilisateur la prend, est envoyée en taille réduite pour vérifier que le produit ajouté au catalogue est bien celui demandé ; la photo de la liste des ingrédients reste sur l’appareil et n’est pas envoyée | Mise à jour du catalogue de l’application avec les produits demandés | Art. 6.1.f RGPD : intérêt légitime du responsable du traitement à compléter le catalogue ; aucune donnée se rapportant à l’utilisateur |
| Cloudflare · Cloudflare, Inc., États-Unis (serveur des invitations de GLOUP) | Identifiant aléatoire de l’utilisateur (le même identifiant anonyme que celui de RevenueCat ou, à défaut, un identifiant généré par l’application) et son code d’invitation ; pour l’utilisateur qui saisit le code d’une amie, son propre identifiant aléatoire et le code utilisé, avec la date et l’heure ; le nombre d’amies arrivées avec le code et, le cas échéant, la date à laquelle la récompense a été accordée. Aucun nom, aucune adresse électronique, aucune photo ni aucune donnée sur la peau | Gestion du programme « Invite tes amies » : générer le code d’invitation, compter les amies arrivées et activer, via RevenueCat, le mois de Premium prévu par les Conditions d’utilisation | Art. 6.1.b RGPD : exécution du contrat (programme prévu par les Conditions d’utilisation) |
| Cloudflare · Cloudflare, Inc., États-Unis (serveur du catalogue de GLOUP) | Aucune donnée envoyée par l’application en dehors de la demande des fichiers ; l’adresse IP de l’appareil, que Cloudflare traite nécessairement pour livrer les fichiers et que le responsable du traitement n’enregistre ni ne conserve | Téléchargement périodique des fichiers du catalogue (données et photos des produits), pour le mettre à jour sans attendre une mise à jour de l’application | Art. 6.1.b RGPD : exécution du contrat |
RevenueCat, Inc. agit en qualité de sous-traitant au sens de l’article 28 du RGPD. L’identifiant qu’elle génère est un code aléatoire, qui n’est lié ni au nom, ni à l’adresse électronique, ni à aucune autre donnée d’identification de l’utilisateur, et ne permet pas de remonter aux données conservées sur l’appareil.
Serveurs de GLOUP
Deux fonctionnalités de l’application communiquent avec des serveurs du responsable du traitement hébergés par Cloudflare, Inc., qui agit en qualité de sous-traitant au sens de l’article 28 du RGPD. Aucune photo, aucun score, aucune observation de la peau, aucune réponse du journal, ni le prénom, l’âge ou l’adresse électronique ne sont envoyés à ces serveurs. Comme pour tout service sur Internet, Cloudflare traite nécessairement l’adresse IP de l’appareil afin de répondre aux requêtes ; le responsable du traitement ne l’enregistre ni ne la conserve. Pour les traitements que Cloudflare effectue pour son propre compte, il convient de se reporter à sa politique de confidentialité (cloudflare.com/privacypolicy).
- Serveur des invitations. Au démarrage de l’application et à chaque retour au premier plan, l’application demande au serveur le code d’invitation personnel de l’utilisateur, créé la première fois et associé à son identifiant aléatoire, et consulte le nombre d’amies arrivées avec ce code. Lorsque l’utilisateur saisit le code d’une amie, l’application envoie d’abord uniquement le code, pour vérifier qu’il s’agit d’un code d’invitation, puis, une fois la configuration initiale terminée, son propre identifiant aléatoire accompagné du code. Chaque utilisateur ne peut utiliser qu’un seul code d’invitation. Lorsque trois amies différentes sont arrivées avec le même code, le serveur demande à RevenueCat d’activer un mois de GLOUP Premium pour la personne qui les a invitées, une seule fois. Le serveur n’utilise l’adresse IP que dans sa mémoire temporaire, pour limiter les requêtes répétées, et ne l’enregistre pas dans sa base de données.
- Serveur du catalogue. Au démarrage de l’application et à chaque retour au premier plan, au plus une fois toutes les cinq minutes, l’application vérifie si un nouveau catalogue est disponible et, le cas échéant, le télécharge ; les photos et les fiches des produits sont téléchargées lorsqu’elles sont nécessaires. Le serveur fonctionne en lecture seule et la requête n’indique que le fichier demandé (pour le catalogue, celui prévu pour le pays de l’App Store de l’utilisateur). L’application vérifie chaque fichier avant de l’utiliser, au moyen d’une signature numérique et d’une empreinte de contrôle.
5Transferts vers des pays tiers#
Le traitement effectué par RevenueCat, Inc. implique un transfert de données vers les États-Unis d’Amérique. Ce transfert est encadré par les clauses contractuelles types adoptées par la Commission européenne dans la décision d’exécution (UE) 2021/914, complétées par les mesures supplémentaires prévues par l’accord relatif au traitement des données conclu avec le prestataire. La personne concernée peut obtenir une copie des garanties mises en place en écrivant à l’adresse indiquée à l’article 1. Les signalements de produits absents du catalogue sont reçus par Google Ireland Limited, au sein de l’Union européenne ; l’éventuel traitement ultérieur effectué par le groupe Google aux États-Unis est encadré par l’EU-U.S. Data Privacy Framework (cadre de protection des données UE-États-Unis), auquel Google LLC adhère, ainsi que par ces mêmes clauses contractuelles types. Les serveurs des invitations et du catalogue sont hébergés par Cloudflare, Inc., établie aux États-Unis : ce transfert est encadré par l’EU-U.S. Data Privacy Framework, auquel Cloudflare, Inc. adhère, et par les clauses contractuelles types de la Commission européenne intégrées à l’accord relatif au traitement des données de Cloudflare.
6Communications par courrier électronique#
Lorsque l’utilisateur écrit spontanément au responsable du traitement, y compris pour être informé de la disponibilité de l’application, son adresse électronique et le contenu de son message sont traités à la seule fin de répondre à sa demande et, le cas échéant, de lui adresser la communication demandée.
La base juridique est le consentement de la personne concernée, exprimé par l’envoi du message (art. 6.1.a RGPD). Ce consentement peut être retiré à tout moment en écrivant à l’adresse indiquée à l’article 1, ce qui entraîne la suppression de l’adresse des listes du responsable du traitement. Les adresses ne sont ni cédées à des tiers ni utilisées à des fins autres que celles indiquées ici.
7Bases juridiques du traitement#
- Fonctionnement de l’application (données sur l’appareil) : le traitement est effectué localement, sous le contrôle exclusif de l’utilisateur, dans le cadre de l’exécution du contrat de licence, art. 6.1.b RGPD.
- Abonnement : exécution du contrat et respect des obligations qui en découlent, art. 6.1.b RGPD.
- Programme « Invite tes amies » et mise à jour du catalogue : exécution du contrat, art. 6.1.b RGPD.
- Code créatrice et signalement des produits manquants : intérêt légitime du responsable du traitement, art. 6.1.f RGPD, comme indiqué à l’article 4.
- Correspondance et communications demandées : consentement de la personne concernée, art. 6.1.a RGPD.
La fourniture des données nécessaires à l’utilisation de l’application est facultative ; à défaut, l’utilisateur ne peut pas bénéficier des fonctionnalités correspondantes.
8Durées de conservation#
- Données sur l’appareil : jusqu’à leur suppression par l’utilisateur ou jusqu’à la désinstallation de l’application.
- Données relatives à l’abonnement détenues par le sous-traitant : pendant la durée de l’abonnement, puis pendant la période nécessaire au respect des obligations légales, notamment fiscales et comptables.
- Données du programme d’invitations sur le serveur : pendant la durée du programme et, en tout état de cause, pendant vingt-quatre mois au plus à compter de la dernière activité ; elles sont supprimées plus tôt sur demande adressée à privacy@gloup.beauty.
- Adresse IP traitée par Cloudflare : ni enregistrée ni conservée par le responsable du traitement ; pour Cloudflare, il convient de se reporter à sa politique de confidentialité.
- Correspondance : jusqu’au retrait du consentement et, en tout état de cause, pendant vingt-quatre mois au plus à compter du dernier contact.
9Droits de la personne concernée#
La personne concernée peut exercer à tout moment les droits prévus aux articles 15 à 22 du RGPD : droits d’accès, de rectification, d’effacement, à la limitation du traitement, à la portabilité et d’opposition, ainsi que le droit de retirer son consentement, sans que ce retrait compromette la licéité du traitement fondé sur le consentement effectué avant celui-ci.
Les demandes doivent être adressées à privacy@gloup.beauty et font l’objet d’une réponse dans un délai de trente jours, qui peut être prolongé de deux mois supplémentaires dans les cas prévus à l’article 12, paragraphe 3, du RGPD, la personne concernée en étant alors informée.
S’agissant des données conservées sur l’appareil, la personne concernée exerce ces droits directement et intégralement au moyen des fonctionnalités de l’application, le responsable du traitement n’en ayant pas la disposition.
Les données du programme d’invitations conservées sur le serveur ne sont pas supprimées par les fonctionnalités de l’application : pour y accéder ou en demander la suppression, la personne concernée écrit à privacy@gloup.beauty en indiquant son code d’invitation, visible dans l’application, le responsable du traitement ne connaissant pas l’identité des utilisateurs.
La personne concernée qui estime que le traitement n’est pas conforme à la réglementation a le droit d’introduire une réclamation auprès du Garante per la protezione dei dati personali (l’autorité italienne de protection des données, Piazza Venezia 11, 00187 Roma, garante@gpdp.it) ou auprès de l’autorité de contrôle de l’État membre de sa résidence habituelle, ainsi que de former un recours juridictionnel.
10Mineurs#
L’application n’est pas destinée aux personnes âgées de moins de 14 ans (16 ans dans les États qui prévoient ce seuil en application de l’article 8 du RGPD) et n’incite pas ces personnes à l’utiliser. Le responsable du traitement ne traite pas sciemment de données concernant des mineurs n’ayant pas atteint cet âge ; s’il en a connaissance, il procède sans délai à la suppression des données éventuellement en sa possession.
11Absence de profilage et de décisions automatisées#
Le responsable du traitement n’effectue aucun profilage des utilisateurs et ne prend aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques concernant la personne concernée ou l’affectant de manière significative de façon similaire, au sens de l’article 22 du RGPD. Les traitements réalisés par l’application ont un caractère descriptif et informatif, sont effectués sur l’appareil et ne servent pas à évaluer des aspects de la personne autres que les paramètres cutanés observés.
12Mesures de sécurité#
Les données conservées sur l’appareil bénéficient des mesures de protection du système d’exploitation, notamment le chiffrement du stockage et l’isolement de l’espace réservé à l’application. L’accès à l’appareil photo est subordonné à l’autorisation expresse de l’utilisateur, révocable à tout moment dans les réglages du système. Les communications visées à l’article 4 sont chiffrées en transit.
13Modifications#
Les modifications substantielles de la présente politique sont portées à la connaissance de l’utilisateur au sein de l’application, avant leur entrée en vigueur. La date d’entrée en vigueur et le numéro de version figurent toujours en tête du document.