Politique de confidentialité de Wearo: Virtual Try-On pour Shopify

1. Qui nous sommes

Wearo (le « Service », « nous », « notre ») est un widget d'essayage virtuel exploité par Wearo SAS, société immatriculée en France. Notre produit phare est Wearo: Virtual Try-On, une application Shopify intégrée aux pages produit du marchand, qui permet aux clients finaux de se voir porter un vêtement ou un accessoire grâce à une image d'essayage générée par IA.

• Site web public. https://wearo.io
• Contact confidentialité. contact@wearo.io
• Contact postal. Disponible sur demande à l'adresse e-mail ci-dessus.
• Délégué à la protection des données (DPO). Joignable à la même adresse e-mail ; objet DPO request.

La présente politique explique quelles données personnelles nous collectons lorsqu'un marchand installe Wearo: Virtual Try-On sur sa boutique Shopify et lorsqu'un client final utilise le widget sur cette boutique, pourquoi nous les collectons, où elles résident, qui peut les consulter et comment vous pouvez exercer les droits qui vous sont reconnus par le RGPD, le CCPA et les lois équivalentes de protection des données.

Si vous êtes un client final ayant utilisé le widget et que vous souhaitez seulement savoir ce qu'il advient de vos photos, allez directement à la section 4, Clients finaux de la boutique, qui le décrit intégralement.

Si vous êtes un marchand qui évalue l'application, c'est la section 3 (Marchands Shopify) qui vous concerne.

Si vous faites partie de l'équipe de validation Shopify et que vous auditez la fiche de l'application, les sections 3 à 9 répondent aux obligations d'information de l'App Store en matière de confidentialité ; la section 7 traite spécifiquement des webhooks de conformité obligatoires.

2. Résumé de ce que nous faisons et ne faisons pas

Si vous relevez une incohérence entre cette section et les sections détaillées qui suivent, la section détaillée fait foi. Si vous relevez une incohérence entre ce document et ce que l'application fait réellement, signalez-nous l'incohérence à contact@wearo.io ; nous la traitons comme une anomalie de priorité P0.

3. Marchands Shopify : données que nous traitons lorsque vous installez l'application

Lorsque vous installez Wearo: Virtual Try-On depuis l'App Store Shopify, vous nous accordez, via le flux OAuth standard de Shopify, les autorisations décrites dans le fichier shopify.app.toml de l'application. Depuis la V1 (4 mai 2026), la portée d'accès demandée se limite à read_products. Nous ne demandons, et donc ne recevons, aucune des Données Client Protégées.

3.1 Ce que nous recevons de Shopify au moment de l'installation

3.2 Ce que nous lisons dans votre boutique pendant que l'application est installée

• Catalogue produits. Via l'API Admin, nous lisons le handle et l'URL de boutique en ligne de votre premier produit actif, afin d'y renvoyer depuis la page d'accueil de l'application. Sur une page produit, le widget lit l'image du produit directement sur la page, telle que votre thème l'affiche, et transmet cette image au moteur d'essayage pour cette requête.
• Charges utiles des webhooks pour les cinq abonnements déclarés dans shopify.app.toml (customers/data_request, customers/redact, shop/redact, app/uninstalled, app/scopes_update). Nous consignons qu'un webhook a été reçu et traité — son sujet, le domaine et l'identifiant Shopify de votre boutique, l'identifiant de livraison Shopify, les horodatages, le résultat, le nombre de commandes concernées et le fait qu'un bloc client était joint — dans la table d'audit GdprRequest, pendant la durée décrite à la section 3.4. Nous ne conservons pas le corps du message : lorsque Shopify y inclut l'identifiant, l'adresse e-mail ou le numéro de téléphone d'un client, ces données servent à traiter la demande et ne sont pas écrites dans le journal d'audit.

3.3 Ce que nous ne lisons explicitement pas

• Fiches clients. Pas de read_customers, pas d'adresses e-mail de vos clients finaux, pas de numéros de téléphone, pas d'adresses postales.
• Commandes. Pas de read_orders. Nous avons délibérément retiré cette portée le 4 mai 2026.
• Inventaire, expédition, exécution des commandes, remboursements, codes de réduction, cartes-cadeaux, commandes provisoires (draft orders), modèles Liquid, fichiers de thème et toute autre ressource qui n'est pas strictement nécessaire à l'affichage d'un essayage. Le jeton OAuth que nous détenons n'a techniquement accès qu'à read_products.
• L'extensibilité du checkout Shopify Plus, les Shopify Functions ou toute autre surface qui traite des données de paiement. Nous ne voyons jamais les numéros de carte, les adresses de facturation ou le détail des transactions.

3.4 Conservation des données marchand

• Installation active. Tant que l'application est installée sur votre boutique, la fiche de votre boutique et votre jeton d'accès OAuth sont conservés le temps nécessaire au fonctionnement du service.
• Désinstallation de l'application. Lorsque vous désinstallez l'application, Shopify nous envoie un webhook app/uninstalled. Nous renseignons immédiatement le champ Shop.uninstalledAt de votre boutique. Shopify envoie ensuite un webhook shop/redact (généralement 48 heures après la désinstallation, selon sa propre politique). À réception de shop/redact, nous supprimons la fiche de votre boutique, ses sessions, les lignes de statistiques du widget rattachées à votre clientId, ainsi que les images d'essayage conservées sous ce clientId dans notre stockage d'objets. Toute copie que ce balayage automatique n'atteint pas est supprimée sur demande à contact@wearo.io.
• Journal d'audit RGPD. Le principe de responsabilité du RGPD nous impose d'être en mesure de démontrer que nous le respectons. À cette fin, nous journalisons chacun des trois webhooks RGPD que nous recevons : sujet, domaine de la boutique, identifiant du webhook, la charge utile telle que reçue de Shopify, les horodatages de réception et de traitement, le statut et, en cas d'échec du traitement, le message d'erreur. Nous conservons ces enregistrements GdprRequest aussi longtemps que nécessaire pour démontrer notre conformité, et nous ne les utilisons à aucune autre fin.

3.5 Où résident les données marchand

• Base de données principale. PostgreSQL géré situé dans l'EEE (région de Francfort). TLS en transit et AES-256 au repos. Les sauvegardes sont elles aussi chiffrées et résident dans l'UE.
• Exécution applicative. Conteneurs sans serveur hébergés dans l'EEE (région de Belgique). Cet environnement est sans état ; le seul état persistant est la base de données PostgreSQL gérée décrite ci-dessus.
• Secrets. La clé et le secret d'API Shopify, le secret JWT du pont et les chaînes de connexion à la base de données résident dans un service géré de gestion des secrets situé dans l'EEE, restreint à un unique compte de service dédié.
• Artefacts de compilation. Les images de conteneurs résident dans un registre de conteneurs géré situé dans l'EEE. Le code source envoyé à la chaîne de compilation transite par un stockage d'objets géré situé dans l'EEE et est supprimé selon la politique de conservation propre à cette chaîne.

Nous ne faisons appel à aucun sous-traitant ultérieur situé hors de l'EEE pour les données marchand.

4. Clients finaux de la boutique : données que nous traitons lorsque vous utilisez le widget

Cette section décrit intégralement ce qu'il advient de votre photo et de l'image que nous générons à partir d'elle.

4.1 Ce que nous collectons et pourquoi

4.2 Ce que nous ne collectons pas

• Nous ne lisons pas votre nom, votre adresse e-mail, votre numéro de téléphone, votre adresse postale, vos informations de paiement, vos identifiants de réseaux sociaux, ni aucun autre champ identifiant. Le widget ne les demande jamais et notre API ne comporte aucun champ permettant de les recevoir.
• Nous ne procédons à aucune reconnaissance faciale, identification biométrique, estimation d'âge, inférence de genre, inférence d'origine ethnique, analyse d'expression, ni à aucune autre inférence sur votre image en dehors du rendu d'essayage lui-même.
• Nous n'utilisons pas votre image pour entraîner ou affiner un modèle d'apprentissage automatique, quel qu'il soit. Notre partenaire d'inférence IA est contractuellement tenu de fonctionner comme une API d'inférence sans état : chaque requête est indépendante, et aucun poids de modèle n'est mis à jour à partir de ce que nous lui envoyons.
• Nous ne déposons pas de cookies publicitaires. L'identifiant visiteur décrit à la section 4.1 est un simple identifiant aléatoire et non un cookie de suivi ; il n'est jamais partagé avec des régies publicitaires.

4.3 Base légale (article 6 du RGPD)

• Pour votre photo et le résultat généré : votre consentement explicite au titre de l'article 6, paragraphe 1, point a), du RGPD, donné en téléversant une photo dans le widget. Vous pouvez le retirer à tout moment en fermant le widget sans téléverser de nouvelle photo ou en nous écrivant ; voir la section 9.
• Pour l'identifiant visiteur et les mesures d'usage décrites à la section 4.1 : l'intérêt légitime, au titre de l'article 6, paragraphe 1, point f), du RGPD, à attribuer les conversions et à exploiter le service. Ce traitement ne porte sur aucune donnée relevant des catégories particulières et n'utilise que des identifiants générés aléatoirement ; le risque résiduel pour vos droits est minime.
• Pour l'adresse IP dans les journaux d'accès : l'obligation légale au titre de l'article 6, paragraphe 1, point c), du RGPD, afin de détecter et de prévenir la fraude et les abus.

4.4 Catégories particulières de données (article 9 du RGPD)

La photographie d'une personne constitue, dans de nombreuses juridictions, une donnée à caractère personnel relevant des catégories particulières (une « donnée biométrique » dès lors qu'elle est traitée à des fins d'identification unique). Nous ne traitons pas votre photo à des fins d'identification unique, de profilage biométrique, ni pour aucune autre finalité relevant de l'article 9. Le traitement se limite à la génération d'une unique image d'essayage et à son renvoi vers vous. Si nous devions un jour étendre notre traitement au champ de l'article 9, nous solliciterions votre consentement explicite préalable pour cette nouvelle finalité précise ; la présente politique serait modifiée dans le même temps et les marchands en seraient informés de nouveau.

4.5 Mineurs

Le widget ne s'adresse pas aux enfants de moins de 16 ans (moins de 13 ans pour les utilisateurs aux États-Unis). Les marchands qui s'adressent à un public de moins de 16 ans doivent obtenir le consentement parental avant de laisser un enfant utiliser le widget ; il s'agit d'une obligation contractuelle au titre de nos conditions d'utilisation (section 5). Si nous apprenons que nous avons traité une photo fournie par un enfant sans consentement parental vérifiable, nous la supprimons.

5. Sous-traitants ultérieurs

Nous faisons appel aux sous-traitants ultérieurs suivants. Cette liste est exhaustive pour la V1 de l'application Shopify.

Nous mettrons cette liste à jour avant d'engager tout nouveau sous-traitant ultérieur sur des données de production, et nous préviendrons les marchands 30 jours à l'avance (par e-mail à l'adresse enregistrée sur l'App Store Shopify ou par une bannière dans l'application) avant tout changement affectant leurs données. Les marchands peuvent s'opposer à un changement en désinstallant l'application dans ce délai, ce qui déclenche la suppression décrite à la section 3.4.

6. Transferts internationaux

Tous les sous-traitants ultérieurs qui manipulent des données personnelles de marchand ou de client final stockent ces données dans l'EEE, à la seule exception de Shopify, qui est l'exportateur de données pour le flux OAuth et les webhooks RGPD. La certification standard de Shopify au titre du cadre de protection des données UE / États-Unis (EU-U.S. Data Privacy Framework) et les CCT constituent le mécanisme de transfert pour ce flux ; cette situation est indissociable du statut d'application Shopify.

Nous ne transférons pas les photos des clients finaux ni les résultats d'essayage générés par IA hors de l'EEE dans notre chaîne de traitement. Chaque sous-traitant ultérieur de notre chaîne est contractuellement tenu de maintenir cette catégorie de données dans l'EEE.

7. Webhooks RGPD obligatoires de Shopify

Shopify impose à toute application publique de s'abonner à trois webhooks de conformité. C'est ce que nous faisons.

• customers/data_request. Déclenché lorsqu'un client demande au marchand une copie des données que nous détenons à son sujet. Les seules données identifiant un client que nous recevons sont celles que Shopify place lui-même dans ce webhook et dans customers/redact : un identifiant client et, lorsque la boutique les détient, une adresse e-mail et un numéro de téléphone. Nous ne les utilisons que pour traiter la demande ; elles ne sont pas écrites dans notre journal d'audit, qui ne conserve que la trace que la demande a été reçue et traitée (section 3.2). Rien d'autre de ce que nous détenons n'est rattaché à un client Shopify : un essayage ne porte qu'un identifiant aléatoire généré dans le navigateur du client final. Nous consignons la demande et en accusons réception auprès de Shopify ; un marchand qui a besoin que nous recherchions un essayage précis peut nous écrire à contact@wearo.io, et nous répondons dans un délai de 30 jours.
• customers/redact. Déclenché lorsqu'un client demande au marchand de supprimer ses données. Nous consignons la demande dans notre journal d'audit RGPD et la transmettons à notre backend, qui supprime toute ligne de statistiques du widget rattachée aux commandes énumérées dans la charge utile. Aucune image d'essayage n'étant rattachée à un client Shopify, ce point de terminaison ne supprime pas d'images : les images sont supprimées boutique par boutique par le webhook shop/redact ci-dessous, ou sur simple demande à tout moment.
• shop/redact. Déclenché 48 heures après qu'un marchand a désinstallé notre application. Nous supprimons la fiche de la boutique, ses sessions, les lignes de statistiques du widget rattachées au clientId de la boutique, ainsi que les images d'essayage conservées sous ce clientId sur le niveau client final décrit à la section 5. Toute copie que ce balayage automatique n'atteint pas est supprimée sur demande. Les enregistrements d'audit GdprRequest de la boutique sont conservés dans les conditions décrites à la section 3.4.

Chaque gestionnaire de webhook procède à une vérification HMAC-SHA256 de l'en-tête X-Shopify-Hmac-Sha256 de Shopify avant tout traitement. Toute vérification HMAC qui échoue entraîne une réponse 401 ; Shopify effectue ensuite de nouvelles tentatives selon sa propre cadence.

8. Cookies et stockage local

Nous utilisons le localStorage et la base IndexedDB du navigateur, et uniquement sur la vitrine du marchand (jamais dans son interface administrateur Shopify), pour stocker :

• wearo_visitor_id : une valeur qui distingue vos essayages successifs dans les statistiques agrégées du marchand — un UUIDv4 lorsque votre navigateur sait en produire un, sinon une chaîne aléatoire. Conservée dans le localStorage ; lorsque le localStorage n'est pas disponible (navigation privée sur Safari, par exemple), le widget se rabat sur une valeur gardée en mémoire pour la page en cours seulement. Nous ne la transmettons pas au marchand, mais votre navigateur la range sous le site où vous vous trouvez, de sorte que les scripts de ce site peuvent la lire.
• tryon_history : la liste des essayages réalisés depuis ce navigateur — un identifiant, un lien vers l'image obtenue et un horodatage — afin que le widget puisse vous présenter votre propre galerie lorsque vous le rouvrez. localStorage uniquement.
• Votre photo d'essayage, dans une base IndexedDB nommée wearo-widget. Elle est enregistrée après un essayage réussi, lorsque votre navigateur le permet, pour que vous n'ayez pas à la téléverser de nouveau la fois suivante ; elle reste sur votre appareil. Le widget s'exécutant depuis wearo.io dans un cadre (iframe), cette photo enregistrée appartient au cadre wearo.io et non au site du marchand, et vous est accessible sur toute boutique utilisant Wearo, dans ce navigateur et sur cet appareil uniquement. Elle expire 30 jours après son enregistrement : à la première ouverture du widget passé ce délai, la photo expirée est supprimée et n'est jamais réutilisée. Effacer le stockage de votre navigateur la supprime immédiatement.

Nous ne déposons aucun cookie HTTP sur la vitrine, qu'il soit propriétaire ou tiers. Nous n'utilisons sur la vitrine aucune bibliothèque de mesure d'audience, de publicité ou de prise d'empreinte du navigateur (fingerprinting).

9. Droits des personnes concernées (RGPD / CCPA)

Vous disposez du droit de :

• Accéder à vos données personnelles et en obtenir une copie,
• Rectifier toute donnée inexacte,
• Effacer vos données personnelles (« droit à l'oubli »),
• Limiter le traitement ou vous y opposer dans les conditions des articles 18 et 21 du RGPD,
• Recevoir vos données et les transmettre à un autre responsable du traitement, dans un format structuré, couramment utilisé et lisible par machine, au titre de l'article 20,
• Retirer votre consentement à tout moment, sans que cela affecte la licéité du traitement effectué avant ce retrait,
• Introduire une réclamation auprès de votre autorité de contrôle : pour la France, la CNIL ; pour les autres États de l'EEE, l'autorité de protection des données compétente.

Pour les résidents de Californie relevant du CCPA : vous disposez de droits analogues d'accès, de suppression et de refus de la vente ou du partage de vos informations personnelles. Nous ne vendons ni ne partageons d'informations personnelles à des fins de publicité comportementale inter-contextes (cross-context behavioural advertising) ; ce droit de refus n'a donc pas de portée pratique, mais vous pouvez néanmoins exercer vos droits d'accès et de suppression.

Pour exercer l'un de ces droits, écrivez à contact@wearo.io. Nous répondons dans un délai de 30 jours (15 jours lorsque le droit californien l'exige). Pour les demandes de suppression, utilisez l'objet GDPR - Erasure request (ou CCPA - Deletion request) afin que votre message soit dirigé vers notre file de traitement des demandes de conformité.

10. Sécurité

• Les données en transit sont chiffrées avec TLS 1.2+ à chaque saut (navigateur ↔ Wearo, Wearo ↔ Shopify, Wearo ↔ partenaire d'inférence IA, Wearo ↔ base de données, Wearo ↔ stockage d'objets).
• Les données au repos sont chiffrées en AES-256 par chacun des services gérés sous-jacents de notre chaîne.
• Les secrets applicatifs (clé d'API Shopify, secret d'API Shopify, secret JWT du pont, chaînes de connexion à la base de données) résident dans un service géré de gestion des secrets situé dans l'EEE, accessible uniquement par un compte de service dédié doté de privilèges minimaux. Aucune personne physique ne dispose d'un accès permanent à ces secrets.
• Le chiffrement du champ accessToken OAuth (défense supplémentaire contre une compromission au niveau de la base de données) figure sur notre feuille de route et sera mis en œuvre avant que l'application ne franchisse le seuil de 50 marchands actifs. Nous le divulguons publiquement ici, de bonne foi, car il s'agit du risque résiduel le plus important en V1.
• Nous nous appuyons sur la signature HMAC de Shopify pour tous les webhooks entrants et sur un pont JWT HS256 entre le widget de la vitrine et notre infrastructure de génération IA ; le secret de ce pont peut être renouvelé et il est conservé dans le service de gestion des secrets décrit ci-dessus.
• Nous surveillons les journaux applicatifs et une alerte se déclenche dès que le taux d'erreurs 5xx dépasse 1 % sur 5 minutes.

11. Notification de violation de données

En cas de violation de données personnelles affectant vos données, nous notifierons l'autorité de contrôle compétente dans un délai de 72 heures après en avoir pris connaissance (article 33 du RGPD), et nous vous notifierons (vous, marchand ou client final concerné) dans les meilleurs délais lorsque la violation est susceptible d'engendrer un risque élevé pour vos droits et libertés (article 34 du RGPD).

12. Modifications de la présente politique

Nous pouvons modifier la présente politique. Nous actualisons alors la ligne Dernière mise à jour en tête du document et nous republions celui-ci à son URL publique. Pour tout changement élargissant sensiblement les catégories de données que nous collectons, les finalités pour lesquelles nous les utilisons ou la liste des sous-traitants ultérieurs qui y ont accès, nous informons les marchands 30 jours à l'avance via l'adresse e-mail enregistrée sur le Partner Dashboard Shopify et nous affichons une bannière dans l'administration intégrée jusqu'à ce que le marchand en prenne acte. L'utilisation de l'application après la date d'effet vaut acceptation de la politique mise à jour.

13. Droit applicable et juridiction

La présente politique est régie par le droit français. Les litiges relèveront de la compétence exclusive des tribunaux de Paris, en France, sous réserve des droits impératifs de protection des consommateurs dont vous pourriez bénéficier au titre du droit de votre résidence habituelle.

14. Contact

Pour toute question, demande ou réclamation relative à la présente politique ou aux données personnelles que nous détenons :

• E-mail. contact@wearo.io (objets : GDPR - Erasure request, CCPA - Deletion request, DPO request ou tout autre objet descriptif)
• Courrier. Disponible sur demande à l'adresse e-mail ci-dessus.
• Délai de réponse. 30 jours (15 jours pour le CCPA le cas échéant). Accusé de réception envoyé sous un jour ouvré.

Nous nous engageons à traiter vos données avec le soin et la rigueur que vous êtes en droit d'attendre d'un service d'IA respectueux de la vie privée. Si un point de la présente politique vous semble obscur, écrivez-nous ; nous traitons toute ambiguïté comme une anomalie.