Accord de traitement des données : API Wearo, serveur MCP et places de marché

Le présent accord de traitement des données (l'« Accord ») fait partie des Conditions d'utilisation de Wearo conclues entre Wearo SAS, société immatriculée en France (« Wearo », « nous »), et le client qui utilise l'API Wearo, le serveur MCP Wearo ou Wearo par l'intermédiaire d'une place de marché de modèles d'IA (le « Client », « vous »). Il s'applique chaque fois que Wearo traite des données personnelles pour votre compte par ces canaux. La version anglaise fait foi en cas de divergence.

1. Rôles

La partie qui recueille une photo auprès de la personne qui y figure est responsable du traitement de cette photo.

• API Wearo, serveur MCP Wearo et places de marché de modèles d'IA (comme OpenRouter). C'est vous qui nous transmettez les photos. Vous êtes responsable du traitement et Wearo est votre sous-traitant au sens de l'article 28 du règlement (UE) 2016/679 (« RGPD »).
• Places de marché. Lorsque le Client est une place de marché qui agit elle-même comme sous-traitant pour ses propres utilisateurs, Wearo est son sous-traitant ultérieur. La place de marché répercute à ses utilisateurs les obligations du présent Accord qui les concernent.
• Hors champ. Le présent Accord ne couvre ni le widget Wearo, où le client final dépose sa photo dans la fenêtre Wearo et où Wearo est responsable du traitement, ni les données personnelles de votre propre compte (nom, adresse e-mail, facturation), dont Wearo est responsable. Ces traitements sont décrits dans nos politiques de confidentialité.

2. Objet, nature et finalité

Wearo traite les données personnelles que vous lui transmettez pour fournir le Service : générer l'image d'essayage que vous demandez, vous la renvoyer, et exploiter, sécuriser et maintenir le Service. Wearo ne traite pas ces données à d'autres fins et ne les utilise pas pour entraîner des modèles d'IA.

Le traitement dure aussi longtemps que vous utilisez le Service par les canaux cités à la section 1.

3. Données personnelles et personnes concernées

Wearo ne traite pas les photos aux fins d'identifier une personne de manière unique, et ne procède à aucune reconnaissance faciale ni à aucune estimation de l'âge, du genre ou de l'origine. Les traitements relevant de l'article 9 du RGPD sont exclus du Service.

4. Vos obligations de responsable du traitement

Vous garantissez :

1. disposer d'une base légale au sens de l'article 6 du RGPD pour chaque photo que vous nous transmettez ;
2. avoir informé les personnes concernées du traitement, en particulier de la transmission de leur photo à un prestataire pour générer une image d'essayage, et avoir recueilli leur consentement lorsque votre base légale l'exige ;
3. ne pas transmettre de photo d'enfant de moins de 16 ans (13 ans aux États-Unis) sans consentement parental vérifiable ;
4. que vos instructions à Wearo respectent le RGPD et les lois qui vous sont applicables.

Vos instructions sont le présent Accord, les Conditions d'utilisation et les requêtes que vous adressez au Service. Toute autre instruction est donnée par écrit.

5. Obligations de Wearo en tant que sous-traitant

Wearo :

1. ne traite les données personnelles que sur vos instructions documentées, sauf obligation contraire du droit de l'Union ou d'un État membre, auquel cas Wearo vous en informe avant le traitement, sauf si ce droit l'interdit ; Wearo vous informe si, selon elle, une instruction constitue une violation du RGPD ;
2. veille à ce que les personnes autorisées à traiter les données personnelles soient soumises à une obligation de confidentialité ;
3. met en œuvre les mesures techniques et organisationnelles exigées par l'article 32 du RGPD, dont le chiffrement en transit ;
4. ne recourt à des sous-traitants ultérieurs que dans les conditions de la section 6 ;
5. vous aide, compte tenu de la nature du traitement, à donner suite aux demandes des personnes concernées qui exercent leurs droits ; Wearo vous transmet toute demande de ce type qu'elle reçoit au sujet de données traitées pour votre compte, et n'y répond pas directement sauf instruction de votre part ;
6. vous aide à garantir le respect des articles 32 à 36 du RGPD (sécurité, notification des violations, analyse d'impact, consultation préalable), compte tenu des informations à sa disposition ;
7. vous notifie toute violation de données personnelles affectant vos données dans les meilleurs délais après en avoir pris connaissance, avec les informations disponibles à ce moment ;
8. selon votre choix, supprime ou vous renvoie les données personnelles traitées pour votre compte au terme de la fourniture du Service, sur votre instruction écrite, sauf si le droit de l'Union ou d'un État membre en exige la conservation ;
9. met à votre disposition les informations nécessaires pour démontrer le respect de l'article 28 du RGPD, et permet la réalisation d'audits, y compris d'inspections, par vous ou par un auditeur que vous mandatez, et y contribue, moyennant un préavis écrit raisonnable.

6. Sous-traitants ultérieurs

Vous accordez à Wearo une autorisation générale de recourir à des sous-traitants ultérieurs. Wearo impose à chacun d'eux, par contrat, des obligations de protection des données au moins équivalentes à celles du présent Accord, et reste responsable envers vous de leur exécution.

La liste à jour des sous-traitants ultérieurs, avec leurs noms et leurs localisations, est communiquée sur demande écrite à contact@wearo.io, sous engagement de confidentialité. Wearo vous informe à l'avance de tout ajout ou remplacement envisagé d'un sous-traitant ultérieur ; vous pouvez vous y opposer pour un motif raisonnable lié à la protection des données en écrivant à contact@wearo.io et, à défaut de solution, cesser d'utiliser le Service par les canaux couverts par le présent Accord.

7. Transferts internationaux

Lorsque des données personnelles traitées au titre du présent Accord sont transférées hors de l'Espace économique européen, le transfert repose sur une décision d'adéquation de la Commission européenne ou sur les clauses contractuelles types adoptées par celle-ci.

8. Primauté, responsabilité et droit applicable

En matière de protection des données personnelles, le présent Accord prévaut sur toute stipulation contraire des Conditions d'utilisation. La responsabilité au titre du présent Accord est régie par les Conditions d'utilisation. Le présent Accord est soumis au droit français ; les tribunaux de Paris sont compétents, sous réserve de toute règle impérative contraire.

9. Contact

Questions sur le présent Accord, instructions écrites, objections et demandes : contact@wearo.io, objet DPA.