Politique de confidentialité de Wearo: Virtual Try-On pour Shopify

1. Qui nous sommes

Wearo (le « Service », « nous », « notre ») est un widget d'essayage virtuel exploité par Wearo SAS, société immatriculée en France. Notre produit phare est Wearo: Virtual Try-On, une application Shopify intégrée aux pages produit du marchand, qui permet aux clients finaux de se voir porter un vêtement ou un accessoire grâce à une image d'essayage générée par IA.

• Site web public. https://wearo.io
• Contact confidentialité. contact@wearo.io
• Contact postal. Disponible sur demande à l'adresse e-mail ci-dessus.
• Délégué à la protection des données (DPO). Joignable à la même adresse e-mail ; objet DPO request.

La présente politique explique quelles données personnelles nous collectons lorsqu'un marchand installe Wearo: Virtual Try-On sur sa boutique Shopify et lorsqu'un client final utilise le widget sur cette boutique, pourquoi nous les collectons, où elles résident, qui peut les consulter et comment vous pouvez exercer les droits qui vous sont reconnus par le RGPD, le CCPA et les lois équivalentes de protection des données.

Si vous êtes un client final ayant utilisé le widget et que vous souhaitez seulement savoir ce qu'il advient de vos photos, allez directement à la section 4, Clients finaux de la boutique, ainsi qu'à la politique de confidentialité Wearo relative à l'essayage virtuel, qui est le document de référence pour le traitement des photos.

Si vous êtes un marchand qui évalue l'application, c'est la section 3 (Marchands Shopify) qui vous concerne.

Si vous faites partie de l'équipe de validation Shopify et que vous auditez la fiche de l'application, les sections 3 à 9 répondent aux obligations d'information de l'App Store en matière de confidentialité ; la section 7 traite spécifiquement des webhooks de conformité obligatoires.

2. Résumé de ce que nous faisons et ne faisons pas

Si vous relevez une incohérence entre cette section et les sections détaillées qui suivent, la section détaillée fait foi. Si vous relevez une incohérence entre ce document et ce que l'application fait réellement, signalez-nous l'incohérence à contact@wearo.io ; nous la traitons comme une anomalie de priorité P0.

3. Marchands Shopify : données que nous traitons lorsque vous installez l'application

Lorsque vous installez Wearo: Virtual Try-On depuis l'App Store Shopify, vous nous accordez, via le flux OAuth standard de Shopify, les autorisations décrites dans le fichier shopify.app.toml de l'application. Depuis la V1 (4 mai 2026), la portée d'accès demandée se limite à read_products. Nous ne demandons, et donc ne recevons, aucune des Données Client Protégées.

3.1 Ce que nous recevons de Shopify au moment de l'installation

3.2 Ce que nous lisons dans votre boutique pendant que l'application est installée

• Catalogue produits. Titre du produit, handle, URL de l'image mise en avant, variantes, prix et devise. Sert à associer le widget à un produit précis sur une page produit. Lecture à la demande ; aucune mise en cache côté serveur au-delà de la durée d'une même session du widget.
• Attributs de panier que vous autorisez explicitement le widget à définir. Le widget définit un unique attribut de panier, _wearo_visitor_id, égal à un UUIDv4 généré dans le navigateur du client final. C'est ainsi que nous attribuons les conversions dans les statistiques du marchand (voir la section 4) sans dépendre de read_orders. Le tunnel de paiement (checkout) du marchand reçoit cet attribut avec l'objet panier ; il ne s'agit pas d'une donnée personnelle et il ne contient aucune information sur le client final : c'est un simple identifiant aléatoire.
• Charges utiles des webhooks pour les cinq abonnements déclarés dans shopify.app.toml (customers/data_request, customers/redact, shop/redact, app/uninstalled, app/scopes_update). La charge utile complète est stockée dans la table d'audit GdprRequest pendant la durée décrite à la section 3.4.

3.3 Ce que nous ne lisons explicitement pas

• Fiches clients. Pas de read_customers, pas d'adresses e-mail de vos clients finaux, pas de numéros de téléphone, pas d'adresses postales.
• Commandes. Pas de read_orders. Nous avons délibérément retiré cette portée le 4 mai 2026. L'attribution des conversions en V1 repose exclusivement sur l'attribut de panier décrit à la section 3.2.
• Inventaire, expédition, exécution des commandes, remboursements, codes de réduction, cartes-cadeaux, commandes provisoires (draft orders), modèles Liquid, fichiers de thème et toute autre ressource qui n'est pas strictement nécessaire à l'affichage d'un essayage. Le jeton OAuth que nous détenons n'a techniquement accès qu'à read_products.
• L'extensibilité du checkout Shopify Plus, les Shopify Functions ou toute autre surface qui traite des données de paiement. Nous ne voyons jamais les numéros de carte, les adresses de facturation ou le détail des transactions.

3.4 Conservation des données marchand

• Installation active. Tant que l'application est installée sur votre boutique, la fiche de votre boutique, votre jeton d'accès OAuth et les éventuelles sessions en ligne par utilisateur sont conservés le temps nécessaire au fonctionnement du service.
• Désinstallation de l'application. Lorsque vous désinstallez l'application, Shopify nous envoie un webhook app/uninstalled. Nous renseignons immédiatement le champ Shop.uninstalledAt de votre boutique. Shopify envoie ensuite un webhook shop/redact (généralement 48 heures après la désinstallation, selon sa propre politique). À réception de shop/redact, nous supprimons en cascade chaque ligne de base de données liée à votre boutique (sessions et données produit éventuellement mises en cache) et nous supprimons du stockage d'objets sous-jacent chaque photo téléversée par un client final et chaque résultat généré par IA associés au clientId de votre boutique.
• Journal d'audit RGPD. Le principe de responsabilité du RGPD nous impose d'être en mesure de démontrer que nous le respectons. À cette fin, nous journalisons chacun des trois webhooks RGPD que nous recevons : sujet, domaine de la boutique, identifiant du webhook, la charge utile telle que reçue de Shopify, les horodatages de réception et de traitement, le statut et, en cas d'échec du traitement, le message d'erreur. Nous conservons ces enregistrements GdprRequest aussi longtemps que nécessaire pour démontrer notre conformité, et nous ne les utilisons à aucune autre fin.

3.5 Où résident les données marchand

• Base de données principale. PostgreSQL géré situé dans l'EEE (région de Francfort). TLS en transit et AES-256 au repos. Les sauvegardes sont elles aussi chiffrées et résident dans l'UE.
• Exécution applicative. Conteneurs sans serveur hébergés dans l'EEE (région de Belgique). Cet environnement est sans état ; le seul état persistant est la base de données PostgreSQL gérée décrite ci-dessus.
• Secrets. La clé et le secret d'API Shopify, le secret JWT du pont et les chaînes de connexion à la base de données résident dans un service géré de gestion des secrets situé dans l'EEE, restreint à un unique compte de service dédié.
• Artefacts de compilation. Les images de conteneurs résident dans un registre de conteneurs géré situé dans l'EEE. Le code source envoyé à la chaîne de compilation transite par un stockage d'objets géré situé dans l'EEE et est supprimé selon la politique de conservation propre à cette chaîne.

Nous ne faisons appel à aucun sous-traitant ultérieur situé hors de l'EEE pour les données marchand.

4. Clients finaux de la boutique : données que nous traitons lorsque vous utilisez le widget

Cette section est un résumé ; le document de référence pour le traitement des photos est la politique de confidentialité Wearo relative à l'essayage virtuel, qui prévaut sur le présent document en cas de contradiction.

4.1 Ce que nous collectons et pourquoi

4.2 Ce que nous ne collectons pas

• Nous ne lisons pas votre nom, votre adresse e-mail, votre numéro de téléphone, votre adresse postale, vos informations de paiement, vos identifiants de réseaux sociaux, ni aucun autre champ identifiant. Le widget ne les demande jamais et notre API ne comporte aucun champ permettant de les recevoir.
• Nous ne procédons à aucune reconnaissance faciale, identification biométrique, estimation d'âge, inférence de genre, inférence d'origine ethnique, analyse d'expression, ni à aucune autre inférence sur votre image en dehors du rendu d'essayage lui-même.
• Nous n'utilisons pas votre image pour entraîner ou affiner un modèle d'apprentissage automatique, quel qu'il soit. Notre partenaire d'inférence IA est contractuellement tenu de fonctionner comme une API d'inférence sans état : chaque requête est indépendante, et aucun poids de modèle n'est mis à jour à partir de ce que nous lui envoyons.
• Nous ne déposons pas de cookies publicitaires. L'identifiant visiteur décrit à la section 4.1 est un simple identifiant aléatoire et non un cookie de suivi ; il n'est jamais partagé avec des régies publicitaires.

4.3 Base légale (article 6 du RGPD)

• Pour votre photo et le résultat généré : votre consentement explicite au titre de l'article 6, paragraphe 1, point a), du RGPD, donné en téléversant une photo dans le widget. Vous pouvez le retirer à tout moment en fermant le widget sans téléverser de nouvelle photo ou en nous écrivant ; voir la section 9.
• Pour l'identifiant visiteur et les mesures d'usage décrites à la section 4.1 : l'intérêt légitime, au titre de l'article 6, paragraphe 1, point f), du RGPD, à attribuer les conversions et à exploiter le service. Ce traitement ne porte sur aucune donnée relevant des catégories particulières et n'utilise que des identifiants générés aléatoirement ; le risque résiduel pour vos droits est minime.
• Pour l'adresse IP dans les journaux d'accès : l'obligation légale au titre de l'article 6, paragraphe 1, point c), du RGPD, afin de détecter et de prévenir la fraude et les abus.

4.4 Catégories particulières de données (article 9 du RGPD)

La photographie d'une personne constitue, dans de nombreuses juridictions, une donnée à caractère personnel relevant des catégories particulières (une « donnée biométrique » dès lors qu'elle est traitée à des fins d'identification unique). Nous ne traitons pas votre photo à des fins d'identification unique, de profilage biométrique, ni pour aucune autre finalité relevant de l'article 9. Le traitement se limite à la génération d'une unique image d'essayage et à son renvoi vers vous. Si nous devions un jour étendre notre traitement au champ de l'article 9, nous solliciterions votre consentement explicite préalable pour cette nouvelle finalité précise ; la présente politique serait modifiée dans le même temps et les marchands en seraient informés de nouveau.

4.5 Mineurs

Le widget ne s'adresse pas aux enfants de moins de 16 ans (moins de 13 ans pour les utilisateurs aux États-Unis). Les marchands qui s'adressent à un public de moins de 16 ans doivent obtenir le consentement parental avant de laisser un enfant utiliser le widget ; il s'agit d'une obligation contractuelle au titre de nos conditions d'utilisation (section 5). Si nous apprenons que nous avons traité une photo fournie par un enfant sans consentement parental vérifiable, nous la supprimons.

5. Sous-traitants ultérieurs

Nous faisons appel aux sous-traitants ultérieurs suivants. Cette liste est exhaustive pour la V1 de l'application Shopify.

Nous mettrons cette liste à jour avant d'engager tout nouveau sous-traitant ultérieur sur des données de production, et nous préviendrons les marchands 30 jours à l'avance (par e-mail à l'adresse enregistrée sur l'App Store Shopify ou par une bannière dans l'application) avant tout changement affectant leurs données. Les marchands peuvent s'opposer à un changement en désinstallant l'application dans ce délai, ce qui déclenche la suppression décrite à la section 3.4.

6. Transferts internationaux

Tous les sous-traitants ultérieurs qui manipulent des données personnelles de marchand ou de client final stockent ces données dans l'EEE, à la seule exception de Shopify, qui est l'exportateur de données pour le flux OAuth et les webhooks RGPD. La certification standard de Shopify au titre du cadre de protection des données UE / États-Unis (EU-U.S. Data Privacy Framework) et les CCT constituent le mécanisme de transfert pour ce flux ; cette situation est indissociable du statut d'application Shopify.

Nous ne transférons jamais les photos des clients finaux ni les résultats d'essayage générés par IA hors de l'EEE, à aucune étape de la chaîne de traitement. Chaque sous-traitant ultérieur de notre chaîne est contractuellement tenu de conserver cette catégorie de données dans l'EEE.

7. Webhooks RGPD obligatoires de Shopify

Shopify impose à toute application publique de s'abonner à trois webhooks de conformité. C'est ce que nous faisons.

• customers/data_request. Déclenché lorsqu'un client demande au marchand une copie des données que nous détenons à son sujet. Comme Wearo ne collecte pas de données identifiant le client (nom, adresse e-mail, adresse postale, téléphone), et comme la seule donnée susceptible de se rattacher à un client est l'UUID de l'attribut de panier _wearo_visitor_id, nous enregistrons la demande dans notre journal d'audit RGPD, puis nous recherchons dans notre stockage toute ligne d'essayage correspondant aux identifiants visiteur fournis par le marchand. Nous communiquons le résultat de cette recherche au marchand dans un délai de 30 jours (le plus souvent : rien, car un UUID seul n'est pas un identifiant client).
• customers/redact. Déclenché lorsqu'un client demande au marchand de supprimer ses données. Même raisonnement que ci-dessus. Nous supprimons toute ligne d'essayage correspondant aux identifiants visiteur fournis, nous consignons la suppression dans le journal d'audit RGPD et nous le confirmons à Shopify dans un délai de 30 jours.
• shop/redact. Déclenché 48 heures après qu'un marchand a désinstallé notre application. Nous supprimons en cascade chaque enregistrement lié à la boutique (sessions et données produit éventuellement mises en cache) ainsi que chaque objet de stockage dont le clientId correspond à la boutique désinstallée, à la fois sur le niveau marchand et sur le niveau client final décrits à la section 5. Les enregistrements d'audit GdprRequest de la boutique sont conservés dans les conditions décrites à la section 3.4.

Chaque gestionnaire de webhook procède à une vérification HMAC-SHA256 de l'en-tête X-Shopify-Hmac-Sha256 de Shopify avant tout traitement. Toute vérification HMAC qui échoue entraîne une réponse 401 ; Shopify effectue ensuite de nouvelles tentatives selon sa propre cadence.

8. Cookies et stockage local

Nous utilisons exclusivement le localStorage et le sessionStorage du navigateur, et uniquement sur la vitrine du marchand (jamais dans son interface administrateur Shopify), pour stocker :

• wearo_visitor_id : un UUIDv4. Conservé d'une session à l'autre dans localStorage lorsque cela est possible ; bascule vers sessionStorage (par onglet) lorsque localStorage est bloqué (Safari ITP, navigation privée) ; à défaut, un UUID aléatoire est régénéré à chaque chargement de page lorsque les deux sont bloqués. Cet identifiant correspond à l'attribut de panier _wearo_visitor_id (sections 3.2 et 4.1).
• wearo_tryon_products : la liste des identifiants des produits que le client final a essayés pendant la session en cours, utilisée pour joindre l'attribut de panier au moment de l'ajout au panier. sessionStorage uniquement ; effacée à la fermeture de l'onglet.

Nous ne déposons aucun cookie HTTP sur la vitrine, qu'il soit propriétaire ou tiers. Nous n'utilisons sur la vitrine aucune bibliothèque de mesure d'audience, de publicité ou de prise d'empreinte du navigateur (fingerprinting).

9. Droits des personnes concernées (RGPD / CCPA)

Vous disposez du droit de :

• Accéder à vos données personnelles et en obtenir une copie,
• Rectifier toute donnée inexacte,
• Effacer vos données personnelles (« droit à l'oubli ») ; voir la section consacrée à la conservation dans la politique de confidentialité Wearo relative à l'essayage virtuel pour la procédure applicable,
• Limiter le traitement ou vous y opposer dans les conditions des articles 18 et 21 du RGPD,
• Recevoir vos données et les transmettre à un autre responsable du traitement, dans un format structuré, couramment utilisé et lisible par machine, au titre de l'article 20,
• Retirer votre consentement à tout moment, sans que cela affecte la licéité du traitement effectué avant ce retrait,
• Introduire une réclamation auprès de votre autorité de contrôle : pour la France, la CNIL ; pour les autres États de l'EEE, l'autorité de protection des données compétente.

Pour les résidents de Californie relevant du CCPA : vous disposez de droits analogues d'accès, de suppression et de refus de la vente ou du partage de vos informations personnelles. Nous ne vendons ni ne partageons d'informations personnelles à des fins de publicité comportementale inter-contextes (cross-context behavioural advertising) ; ce droit de refus n'a donc pas de portée pratique, mais vous pouvez néanmoins exercer vos droits d'accès et de suppression.

Pour exercer l'un de ces droits, écrivez à contact@wearo.io. Nous répondons dans un délai de 30 jours (15 jours lorsque le droit californien l'exige). Pour les demandes de suppression, utilisez l'objet GDPR - Erasure request (ou CCPA - Deletion request) afin que votre message soit dirigé vers notre file de traitement des demandes de conformité.

10. Sécurité

• Les données en transit sont chiffrées avec TLS 1.2+ à chaque saut (navigateur ↔ Wearo, Wearo ↔ Shopify, Wearo ↔ partenaire d'inférence IA, Wearo ↔ base de données, Wearo ↔ stockage d'objets).
• Les données au repos sont chiffrées en AES-256 par chacun des services gérés sous-jacents de notre chaîne.
• Les secrets applicatifs (clé d'API Shopify, secret d'API Shopify, secret JWT du pont, chaînes de connexion à la base de données) résident dans un service géré de gestion des secrets situé dans l'EEE, accessible uniquement par un compte de service dédié doté de privilèges minimaux. Aucune personne physique ne dispose d'un accès permanent à ces secrets.
• Le chiffrement du champ accessToken OAuth (défense supplémentaire contre une compromission au niveau de la base de données) figure sur notre feuille de route et sera mis en œuvre avant que l'application ne franchisse le seuil de 50 marchands actifs. Nous le divulguons publiquement ici, de bonne foi, car il s'agit du risque résiduel le plus important en V1.
• Nous nous appuyons sur la signature HMAC de Shopify pour tous les webhooks entrants et sur un pont JWT HS256 entre le widget de la vitrine et notre infrastructure de génération IA ; le secret de ce pont peut être renouvelé et il est conservé dans le service de gestion des secrets décrit ci-dessus.
• Nous surveillons les journaux applicatifs et une alerte se déclenche dès que le taux d'erreurs 5xx dépasse 1 % sur 5 minutes.

11. Notification de violation de données

En cas de violation de données personnelles affectant vos données, nous notifierons l'autorité de contrôle compétente dans un délai de 72 heures après en avoir pris connaissance (article 33 du RGPD), et nous vous notifierons (vous, marchand ou client final concerné) dans les meilleurs délais lorsque la violation est susceptible d'engendrer un risque élevé pour vos droits et libertés (article 34 du RGPD).

12. Modifications de la présente politique

Nous pouvons modifier la présente politique. Nous actualisons alors la ligne Dernière mise à jour en tête du document et nous republions celui-ci à son URL publique. Pour tout changement élargissant sensiblement les catégories de données que nous collectons, les finalités pour lesquelles nous les utilisons ou la liste des sous-traitants ultérieurs qui y ont accès, nous informons les marchands 30 jours à l'avance via l'adresse e-mail enregistrée sur le Partner Dashboard Shopify et nous affichons une bannière dans l'administration intégrée jusqu'à ce que le marchand en prenne acte. L'utilisation de l'application après la date d'effet vaut acceptation de la politique mise à jour.

13. Droit applicable et juridiction

La présente politique est régie par le droit français. Les litiges relèveront de la compétence exclusive des tribunaux de Paris, en France, sous réserve des droits impératifs de protection des consommateurs dont vous pourriez bénéficier au titre du droit de votre résidence habituelle.

14. Contact

Pour toute question, demande ou réclamation relative à la présente politique ou aux données personnelles que nous détenons :

• E-mail. contact@wearo.io (objets : GDPR - Erasure request, CCPA - Deletion request, DPO request ou tout autre objet descriptif)
• Courrier. Disponible sur demande à l'adresse e-mail ci-dessus.
• Délai de réponse. 30 jours (15 jours pour le CCPA le cas échéant). Accusé de réception envoyé sous un jour ouvré.

Nous nous engageons à traiter vos données avec le soin et la rigueur que vous êtes en droit d'attendre d'un service d'IA respectueux de la vie privée. Si un point de la présente politique vous semble obscur, écrivez-nous ; nous traitons toute ambiguïté comme une anomalie.