Dossier pour votre délégué à la protection des données

Les limites figurent à côté des mesures.

1. En bref

• Un organisateur dépose les photos. Chaque invité qui y consent prend un selfie et retrouve celles où il apparaît.
• Le selfie est détruit dès que son empreinte est calculée. L'empreinte est supprimée 90 jours après l'événement, ou sur demande.
• Le service détecte aussi les visages de personnes qui n'ont rien demandé. Cet index est détruit 15 jours après l'événement ou la dernière photo analysée.
• Hébergement dans l'Union européenne. L'éditeur est une société américaine, soumise au CLOUD Act.
• Aucune exception de l'article 9.2 ne couvre les personnes photographiées sans consentement. Nous le disons plus bas.

2. Qui est responsable de quoi

Le responsable du traitement est Kabinary LLC, société du Wyoming éditrice de YourPics. Le service est exploité depuis la France, où réside son dirigeant.

La répartition suit l'article 26.

L'organisateur informe les personnes présentes et traite les demandes portant sur les photographies, dont le retrait d'un visage. YourPics traite celles qui portent sur les selfies, les empreintes et les comptes, notifie les violations et tient l'analyse d'impact. Une personne peut s'adresser à l'une ou l'autre partie.

Pour la formule Entreprise, l'accord est accepté au paiement ; pour un événement couvert par l'abonnement Agence+, à son premier partage. Dans les deux cas, par une case jamais pré-cochée, pour un seul événement, au nom de la société désignée. Il est soumis au droit français. Pour les autres formules, la même répartition figure dans les conditions d'utilisation.

• Photographies de l'événement (dépôt, hébergement, mise à disposition) : l'organisateur et YourPics sont responsables conjoints. L'organisateur décide de l'événement, de ce qui est déposé, des invités et de ce qui est montré.
• Traitement biométrique (détection, empreintes, consentement, rapprochement) : YourPics seul. Il fixe modèle, seuil, durées et cloisonnement.

3. Les données traitées

Adresse électronique, prénom, nom, organisation, achats, photographies déposées avec le nom d'origine du fichier. Formule Entreprise : société, adresse, signataire de l'accord. YourPics ne voit jamais les données bancaires.

Une à trois empreintes de selfie (article 9), la version du texte accepté, des horodatages, un code propre à l'événement, sans nom. Ni nom, ni adresse électronique, ni adresse IP n'est collecté pour ce parcours. Un compte n'est demandé que pour ajouter ses photos, ou si l'organisateur a limité l'événement aux personnes invitées.

Son visage est détecté et devient une empreinte, confinée à l'événement, sans nom. Si elle demande le retrait de son visage, il reste une zone (quatre coordonnées, deux dates, un motif) qui ne permet de reconnaître personne.

4. Base légale et consentement

L'empreinte du selfie repose sur le consentement explicite (article 9.2.a). Il est recueilli avant tout calcul, jamais pré-coché, et le serveur refuse tout selfie sans lui. Le texte est versionné : un changement rend les consentements antérieurs caducs. Il faut avoir 15 ans ou plus. L'écran indique que la reconnaissance est faite par une intelligence artificielle.

Entrer sans selfie vaut refus : aucune empreinte n'est calculée. L'invité accède alors à toutes les photos si l'album est ouvert à tous, sinon à celles que l'organisateur a mises en avant, s'il en a choisi. Le refus ne change aucun prix.

Pour des salariés, le consentement donné à un employeur est fragile par nature. Le refus doit donc rester praticable et sans conséquence. Pour les photographies, l'organisateur détermine et documente sa base légale.

5. Les personnes qui n'ont pas consenti

Pour retrouver les photos d'un invité, le service détecte tous les visages des photos, y compris ceux de personnes qui n'ont jamais scanné le code. Aucune exception de l'article 9.2 ne couvre ces personnes. Nous n'en invoquons aucune, et les mesures ci-dessous ne sont pas une base légale : elles bornent l'exposition, elles ne la fondent pas.

L'éditeur juge le risque tolérable au regard de ces bornes.

• l'index est détruit 15 jours après la dernière photo analysée ou le jour de l'événement, sans réglage qui l'allonge ;
• il est cloisonné à l'événement, sans nom ni lien vers un compte ;
• aucune image extérieure n'entre dans le système, aucun entraînement n'est fait sur les empreintes ;
• toute personne photographiée peut demander à l'organisateur de retirer son visage, sans compte : il est flouté et ses empreintes sont supprimées ;
• l'organisateur atteste, à la création, avoir informé les personnes photographiées.
• l'empreinte est calculée avant toute demande ;
• le dispositif est réactif et l'organisateur peut rétablir un visage ;
• l'original non flouté est conservé ;
• si l'index est reconstruit, le visage y est relevé de nouveau pour 15 jours.

6. Durées de conservation

• Donnée : Selfie (image) ; Durée : Non conservé ; Événement déclencheur : Empreinte calculée
• Donnée : Empreinte du selfie ; Durée : 90 jours, ou sur demande ; Événement déclencheur : Fin de l'événement ou dernier dépôt de photos
• Donnée : Index des visages des photos ; Durée : 15 jours, reconstruit si un invité revient ou si l'analyse est relancée ; Événement déclencheur : Dernière photo analysée ou jour de l'événement
• Donnée : Sauvegardes de la base (avec empreintes) ; Durée : 30 jours au plus ; Événement déclencheur : Date de la sauvegarde
• Donnée : Photographies ; Durée : 2 ans, avertissements à 60 et 15 jours ; Événement déclencheur : Dernier dépôt ou jour de l'événement
• Donnée : Registre des consentements (sans nom) ; Durée : 6 mois ; jusqu'à la suppression des photos en cas de refus ; Événement déclencheur : Arrivée de l'invité
• Donnée : Attestation du registre, paiement, événement ; Durée : 5 ans ; Événement déclencheur : Suppression des photographies
• Donnée : Zones de retrait de visage ; Durée : Tant que la photo existe ; Événement déclencheur : Suppression de la photo
• Donnée : Compte ; Durée : Effacé après 3 ans sans activité ; Événement déclencheur : Dernière activité

7. Hébergement et sous-traitants

Aucune donnée biométrique ne quitte l'Union. Le dirigeant peut accéder aux données d'administration depuis les États-Unis. L'éditeur reste soumis au CLOUD Act, quelle que soit la localisation des serveurs.

• Nom : Hetzner Online GmbH ; Rôle : Serveur, base, détection des visages ; Pays : Société allemande, serveur en Finlande ; Garanties : Contrat article 28 (2026-10-01) ; disque chiffré
• Nom : Scaleway SAS ; Rôle : Photos, sauvegardes, courriers, modèle d'IA de l'aide ; Pays : France ; Garanties : Contrat de traitement intégré ; aucune photo ni empreinte transmise à l'IA
• Nom : Stripe, LLC ; Rôle : Paiement ; Pays : États-Unis ; Garanties : Data Privacy Framework, clauses types ; aucune photo
• Nom : Cloudflare, Inc. ; Rôle : Relais du trafic et vérification anti-robot ; Pays : États-Unis ; Garanties : Data Privacy Framework ; photos et selfies en transit, ni conservés ni analysés, jamais l'empreinte
• Nom : Google, LinkedIn ; Rôle : Connexion facultative de l'organisateur ; Pays : Irlande ; Garanties : Aucune photo ni empreinte

8. Sécurité

• Le selfie n'est jamais enregistré ; son empreinte est chiffrée avec une clé conservée hors de la base.
• Les empreintes des visages des photos ne sont pas chiffrées une à une, car la base les compare : chiffrement du disque entier, destruction sous 15 jours.
• La clé est un fichier protégé par ses droits d'accès et le chiffrement du disque, non chiffré lui-même.
• Photos en espace privé, servies par liens signés de 30 minutes au plus.
• Autorisations vérifiées côté serveur à chaque requête.
• Ni images ni empreintes dans les journaux.
• Sauvegardes quotidiennes de la base et de la clé, en archives distinctes, dans un espace privé chiffré côté serveur.
• Procédure écrite de violation : autorité notifiée sous 72 heures.

9. Droits des personnes

Un invité retire son consentement et efface son empreinte, avec les visages rapprochés du sien, depuis l'espace confidentialité de l'événement, sans passer par l'organisateur ni par YourPics.

Accès, rectification, opposition, portabilité, effacement : par la page contact, réponse sous un mois. Les demandes sur les photos relèvent de l'organisateur et lui sont transmises. Réclamation possible auprès de la CNIL.

10. Analyse d'impact

Une analyse d'impact (article 35) est tenue. Elle couvre nécessité, risques, mesures vérifiées dans le code, droits et écarts. Dernière entrée de l'historique : 7 octobre 2026. Elle est révisée à chaque évolution du traitement et qualifie le risque d'élevé par nature.

11. Pour aller plus loin

Politique de confidentialité, conditions d'utilisation, accord de responsabilité conjointe et texte de consentement sont publiés sur le site. Pour toute question, écrivez par la page contact.