Étape 1 : Comprendre ce que le GDPR exige pour le traitement des photos
Lorsqu'un client télécharge une photo de lui-même, vous traitez des données à caractère personnel — plus précisément des données d'image qui peuvent être classées comme données biométriques selon l'article 9 du GDPR si elles sont utilisées pour « identifier de manière unique une personne physique ». Les tribunaux et les régulateurs à travers l'UE ont donné des orientations divergentes sur la question de savoir si les photos d'essai virtuel franchissent le seuil biométrique de l'article 9. L'interprétation la plus prudente et la plus sûre consiste à traiter les photos des clients comme des données biométriques de catégorie spéciale et à obtenir un consentement explicite avant le traitement.
L'architecture de Photta n'extrait pas de modèles biométriques (caractéristiques faciales, mesures corporelles ou empreintes digitales). L'IA utilise la photo exclusivement pour la composition d'image — elle ne stocke ni n'analyse l'identité. Cependant, la définition du GDPR est basée sur le processus et non sur le résultat : si vous traitez une photo dont des données biométriques pourraient techniquement être dérivées, vous êtes dans la zone de risque. Votre conseiller juridique doit confirmer votre classification. Les conseils de ce document sont informatifs et ne constituent pas un avis juridique.
Étape 2 : Connaître les fenêtres de suppression de données de Photta
Photta opère deux minuteurs de suppression par conception. Les photos téléchargées par les clients (le selfie original ou la photo du corps) sont supprimées des serveurs de Photta dans l'heure suivant le téléchargement, que l'essai ait été finalisé ou non. Les images de résultat d'essai générées (la sortie composée) sont supprimées sous 24 heures. Ni le téléchargement ni le résultat ne sont jamais partagés avec des tiers ou utilisés pour l'entraînement de modèles d'IA. Ces fenêtres courtes sont une fonctionnalité de conformité délibérée, et non une simple décision de coût de stockage.
Les marchands n'ont pas accès aux photos des clients via le Dashboard Business — par conception. Vous pouvez voir des analyses agrégées (nombre d'essais, taux de conversion, taux d'erreur) mais pas les images réelles. Cela signifie que vous n'avez pas besoin de créer un workflow de suppression de données distinct pour les demandes de droit à l'effacement relatives au GDPR concernant les photos d'essai ; la suppression automatique de Photta les couvre sous 24 heures.
Étape 3 : Mettre en œuvre une UX de consentement avant l'essai
Avant que le client ne télécharge sa photo, affichez une étape de consentement claire. L'écran de consentement intégré au widget (activé en ajoutant data-consent="true" à votre balise script) affiche une brève explication : « Votre photo est utilisée uniquement pour générer une image d'essai et sera supprimée sous 1 heure. » Le client doit cocher une case intitulée « Je consens au traitement de ma photo pour l'essai virtuel » avant de pouvoir continuer. Ce consentement est enregistré avec un horodatage dans le système de Photta.
Si vous préférez créer votre propre interface de consentement, désactivez l'écran intégré du widget avec data-consent="custom" et présentez votre propre fenêtre modale avant d'appeler photta.open() depuis votre JavaScript. Assurez-vous que votre interface de consentement personnalisée enregistre l'horodatage et la finalité du consentement dans votre propre base de données. Le GDPR exige que le consentement soit libre, spécifique, éclairé et univoque — une case pré-cochée n'est pas valable.
Étape 4 : Signer un accord de traitement des données avec Photta
En vertu de l'article 28 du GDPR, lorsque vous faites appel à un sous-traitant tiers (Photta) pour traiter des données à caractère personnel en votre nom, vous devez disposer d'un accord de traitement des données (DPA) écrit. Connectez-vous au Dashboard Photta Business, allez dans Paramètres → Légal, et cliquez sur « Signer le DPA ». Le DPA est un document standard conforme aux clauses contractuelles types de l'UE qui précise les catégories de données traitées, les finalités du traitement, les sous-traitants ultérieurs de Photta et les obligations de suppression.
Le DPA est disponible en anglais. La signature est un processus en un clic via DocuSign. Une fois signé, une copie PDF est envoyée par e-mail à votre adresse enregistrée et stockée dans Paramètres → Légal pour vos archives. Si votre DPA doit nommer des sous-traitants spécifiques utilisés par Photta (AWS S3 pour le stockage, KieAI pour la génération), ceux-ci sont listés dans l'annexe du DPA. Mettez à jour votre propre registre des activités de traitement (RoPA) après la signature pour refléter Photta comme sous-traitant.
Étape 5 : Mettre à jour votre politique de confidentialité
La politique de confidentialité de votre boutique doit mentionner l'activité de traitement de l'essai virtuel. Ajoutez une section intitulée « Fonctionnalité d'essai virtuel » comprenant : (1) les données collectées (photos téléchargées par l'utilisateur), (2) la finalité (générer une image d'essai virtuel), (3) la base juridique (consentement explicite, art. 6(1)(a) GDPR), (4) l'entité qui traite les données (Photta, un service d'IA tiers), (5) la période de rétention (photos supprimées sous 1 heure, résultats sous 24 heures) et (6) les droits de la personne concernée (droit de retirer son consentement à tout moment).
Un modèle de clause suggéré : « Lorsque vous utilisez notre fonctionnalité d'Essai Virtuel, la photo que vous téléchargez est transmise à Photta (photta.app) dans le seul but de générer une image d'essai virtuel. Photta supprime votre photo sous 1 heure et l'image générée sous 24 heures. Aucun modèle biométrique n'est stocké. Vous pouvez retirer votre consentement à tout moment en n'utilisant pas la fonctionnalité ; les photos déjà téléchargées ne peuvent pas être récupérées une fois le traitement terminé. Pour toute question, contactez privacy@[votreboutique].com ». Adaptez ces informations à l'entité juridique et à la juridiction de votre boutique.