Politique de confidentialité

1. Ce que fait TotShot

Vous choisissez un pays et un document. L’application charge les exigences publiées par l’autorité émettrice, vous guide pendant la prise de vue, puis envoie le cliché à nos serveurs, qui le mesurent au regard de ces exigences et renvoient un fichier prêt à imprimer.

Deux choses se passent à deux endroits différents, et toute la question de la confidentialité tient dans cette différence : la détection du visage et le guidage de la prise de vue se font sur votre téléphone, hors ligne, sans que rien ne quitte l’appareil. La mesure du résultat, la vérification de l’arrière-plan et la fabrication du fichier final se font sur nos serveurs.

2. Ce que nous collectons

• Votre compte. Une adresse e-mail, ou l’identifiant et l’adresse e-mail que transmettent Apple ou Google quand vous vous connectez avec eux — si Apple vous attribue une adresse relais privée, c’est tout ce que nous voyons. Plus la langue dans laquelle vous lisez.
• Votre enfant. Un nom, et si vous le souhaitez un surnom et une date de naissance. La date de naissance ne sert qu’à une chose : plusieurs administrations tolèrent, chez un enfant en bas âge, les yeux fermés ou une taille de tête moins stricte, et l’application doit savoir laquelle de ces règles est la vôtre.
• Les photos. Le cliché pris, les aperçus qui en sont tirés et le fichier final.
• Les mesures relevées sur la photo. Hauteur de la tête, ligne des yeux, espace au-dessus de la tête, netteté, exposition, le recadrage appliqué, le verdict, et la version exacte de l’exigence à laquelle votre photo a été comparée.
• Les achats. Le pack de crédits acheté et le reçu d’achat qu’Apple ou Google nous remet pour que nous puissions le vérifier. Les numéros de carte ne nous parviennent jamais — l’achat se fait dans la fenêtre d’achat de l’App Store ou de Google Play.
• Les notifications. Un jeton de notification, si vous les autorisez.
• Votre usage de l’application. Des événements nommés pour les étapes d’une séance — un cliché pris, un verdict affiché, un pack de crédits acheté — chacun avec des nombres et un identifiant de séance. Du verdict, ils ne portent que réussite ou échec : combien de clichés d’une séance ont réussi et combien ont échoué, et si un cliché dont vous avez ouvert les motifs avait réussi. Jamais la photo, ni aucune des autres mesures qui en sont tirées — ni hauteur de la tête, ni ligne des yeux, ni espace au-dessus de la tête, ni netteté, ni exposition, ni recadrage.
• Un identifiant publicitaire, pour notre propre publicité. Sur Android, Google Analytics lit l’identifiant publicitaire de l’appareil. Sur iOS, il lit l’identifiant publicitaire (IDFA) uniquement si vous l’autorisez quand le système demande si TotShot peut suivre votre activité. Il ne sert qu’à une chose : quand nous faisons de la publicité pour TotShot dans Google Ads ou un réseau équivalent, ce réseau peut rattacher une installation à l’annonce qui l’a amenée, et nous savons ainsi ce qu’a donné notre publicité. Vous pouvez réinitialiser ou supprimer cet identifiant dans les réglages de votre appareil, et refuser la demande sur iOS ; l’application fonctionne exactement pareil dans les deux cas.
• À peu près où vous êtes. Google déduit une localisation à l’échelle de la ville à partir de l’adresse IP d’où arrivent vos événements d’usage. L’appareil, lui, ne nous communique jamais sa position, et l’application ne demande aucune autorisation de localisation.
• Les rapports de plantage. Quand l’application plante : l’erreur, la trace de la pile d’appels, le modèle de l’appareil et la version du système, et l’identifiant du compte concerné — pour qu’un plantage qui ne touche qu’une personne puisse être retrouvé plutôt que deviné.
• Les journaux de nos serveurs. Pour la sécurité et la prévention des abus, nos serveurs journalisent chaque requête, comme tout service web : l’adresse IP, l’heure, l’URL demandée, la page d’origine si la requête en indique une, l’agent utilisateur — le nom et la version de l’application ou du navigateur qui l’a envoyée — et, pour une requête faite depuis un compte connecté, ce compte. Une adresse IP peut être une donnée à caractère personnel : elle est donc nommée ici plutôt que passée sous silence. Notre stockage de journaux conserve ces lignes 7 jours ; la copie que chaque serveur écrit localement est limitée en taille et écrasée à mesure que de nouvelles lignes arrivent. Un petit échantillon de requêtes fait en outre l’objet d’une trace, pour suivre une requête lente ou en échec à travers nos services ; une trace contient l’adresse IP, l’agent utilisateur, l’URL et le compte, et est conservée 3 jours. Les requêtes adressées à la vérification de photo de ce site font exception ; sa section, plus bas, dit ce qui est enregistré à la place.

Il n’y a rien d’autre. TotShot ne demande ni adresse postale ni numéro de téléphone, et n’affiche aucune publicité. Les événements d’usage et les rapports de plantage ci-dessus sont rattachés à un identifiant d’installation aléatoire et à votre compte. L’identifiant publicitaire est la seule chose ici qu’un réseau publicitaire voie jamais, et il ne va pas plus loin que la mesure de nos propres campagnes.

3. Ces mesures sont de la géométrie, pas un gabarit biométrique

Les nombres que nous relevons sur une photo servent à recadrer une image et à la juger au regard d’une règle publiée — quelle hauteur fait la tête dans le cadre, où se place la ligne des yeux, combien d’espace reste au-dessus du crâne.

Nous ne les utilisons jamais pour identifier qui que ce soit. Ce n’est pas un gabarit biométrique, ces mesures ne sont comparées ni à une autre photo ni à une autre personne, et aucune reconnaissance faciale, d’aucune sorte, ne leur est appliquée. Dans l’application, quand la photo dont elles viennent est supprimée, elles disparaissent avec elle. La vérification gratuite de ce site ne garde aucune photo et conserve les chiffres de chaque vérification jusqu’à 365 jours ; sa section, plus bas, dit précisément lesquels.

4. Les données d’un enfant, et pourquoi elles sont là

TotShot est utilisé par un adulte pour le compte d’un enfant. Le titulaire du compte doit avoir 18 ans ou plus ; l’enfant est le sujet de la photographie, pas un utilisateur de l’application.

Son nom, sa date de naissance si vous l’avez indiquée et sa photographie servent à une seule chose — faire cette photographie et la juger. Ils ne servent jamais à la publicité, ne sont jamais vendus, jamais transmis pour les besoins d’un tiers, et jamais utilisés pour entraîner un modèle, quel qu’il soit.

5. Combien de temps nous le conservons

TotShot photographie et vérifie ; ce n’est pas une photothèque. Tout expire de lui-même :

• Un cliché envoyé mais jamais transformé en séance — 24 heures.
• Les sources et les aperçus d’une séance, ainsi que les rendus des photos que vous n’avez pas achetées — 72 heures. C’est aussi pour cela que recadrer à nouveau un cliché reste gratuit pendant trois jours.
• Une photo achetée — votre durée de conservation : 7, 30, 90 ou 365 jours, ou sans limite. Par défaut, 365 jours. Vous la changez dans l’application à tout moment, et le changement s’applique aux photos que vous avez déjà.

Un an par défaut, parce qu’une photo d’identité d’enfant cesse d’être utilisable bien avant ce terme — l’enfant a changé. La garder plus longtemps n’arrange personne.

Quand une photo de l’application s’en va, les mesures qui en ont été tirées s’en vont avec elle. Ce qui survit à une photo supprimée, c’est le reçu — quel document, quand, si la photo répondait aux exigences, quel crédit a été dépensé — parce que vous pouvez encore avoir une question sur un débit. Il n’apparaît nulle part dans l’application. La vérification gratuite de ce site ne garde aucune photo et conserve un enregistrement de chaque vérification jusqu’à 365 jours, comme le décrit sa section plus bas.

Les liens de téléchargement sont générés à neuf chaque fois que vous ouvrez une photo et expirent au bout d’une heure. Rien, dans notre stockage, n’est listé publiquement ni accessible publiquement.

Sauvegardes. Chaque nuit, nous faisons une sauvegarde chiffrée de nos bases de données et du stockage des photos, et nous ne nous en servons que pour rétablir le service après une panne. Chaque sauvegarde est supprimée au bout de 14 jours : une photo ou un compte que vous supprimez peut donc rester dans une sauvegarde jusqu’à 14 jours après avoir disparu de TotShot. La clé qui permet de les déchiffrer n’est pas conservée sur nos serveurs.

6. Supprimer votre compte

Vous supprimez votre compte dans l’application, et c’est sans condition. Vos photos, les clichés qui sont derrière, chaque mesure, les reçus, les informations sur votre enfant, votre solde de crédits, vos jetons de notification et vos séances sont supprimés définitivement chez tous les services qui les détenaient. Rien n’est gardé comme trace de votre passage, et si une partie de la suppression échoue, elle est relancée jusqu’à confirmation plutôt que discrètement abandonnée.

Votre compte ne survit à cette suppression qu’à un seul endroit : notre sauvegarde chiffrée de la nuit, supprimée dans les 14 jours, comme décrit plus haut.

Les crédits non utilisés sont détruits avec le compte et ne sont pas remboursables, alors dépensez-les, ou demandez-nous avant. Vous pouvez aussi supprimer une photo seule à tout moment, ou écrire à support@totshot.app et nous le ferons pour vous.

7. Qui d’autre y touche

Nous ne vendons ni n’échangeons de données personnelles. Elles arrivent exactement chez ces sociétés, chacune pour une seule tâche :

• Apple et Google — la connexion et l’achat de crédits. Ils nous confirment qu’un achat est réel ; nous ne leur disons rien de votre enfant. Apple peut aussi demander ce qu’est devenu un achat quand vous réclamez un remboursement — la section suivante porte exactement là-dessus.
• Google (Firebase Cloud Messaging) — la remise d’une notification push sur votre appareil, si vous avez activé les notifications.
• Google (Firebase Analytics et Crashlytics) — le comptage des événements d’usage ci-dessus et la réception des rapports de plantage. C’est ainsi que nous apprenons qu’une étape du parcours échoue chez des gens qui ne nous écriront jamais. Google traite ces données sur nos instructions et sur des serveurs situés aux États-Unis.
• Google (Google Ads) — quand nous menons des campagnes pour TotShot, Google rapproche l’identifiant publicitaire ci-dessus des clics sur les annonces qu’il a diffusées et nous indique de quelle campagne vient une installation. C’est la mesure de notre propre publicité ; les données de votre enfant n’y entrent pour rien.
• Umami (Umami Software) — le comptage des visites de ce site, sans cookie. Il ne reçoit rien de l’application et ne voit jamais de photo ; ce qu’il reçoit est décrit sous « Ce site ».
• Resend — l’envoi des e-mails de compte et d’assistance.
• Cloudflare — la connexion sécurisée vers nos serveurs. Tout ce que l’application et la vérification de photo de ce site échangent avec api.totshot.app passe par Cloudflare : ce qu’elles envoient et ce qui leur revient, y compris les photos finalisées que l’application télécharge. Cloudflare le déchiffre à la périphérie de son réseau, et entre cette périphérie et nos serveurs, tout circule dans un tunnel chiffré. Pendant ce passage, Cloudflare peut techniquement voir ce que ces échanges contiennent, photos comprises. Nous n’utilisons pas Cloudflare pour stocker quoi que ce soit.
• Notre hébergeur — l’exploitation des serveurs avec lesquels l’application dialogue.

Les photos sont mesurées et traitées sur nos propres serveurs, à l’intérieur d’un réseau privé. La photo de votre enfant n’est jamais envoyée à un service d’IA tiers, et elle n’est jamais envoyée à Google non plus : les SDK d’analyse et de rapport de plantage ci-dessus voient des noms d’événements, des nombres et des identifiants, et aucune donnée d’image, d’aucune sorte. L’application ne contient aucun SDK publicitaire et n’affiche aucune publicité ; l’identifiant publicitaire ci-dessus est lu par le SDK d’analyse, pour l’unique usage indiqué.

8. Si vous demandez un remboursement à Apple

Quand vous demandez un remboursement via l’App Store, Apple peut nous demander ce qu’est devenu l’achat, et nous laisse un court délai pour répondre. Nous répondons. C’est le seul moment où nous pouvons dire quoi que ce soit, et une demande à laquelle personne ne répond se tranche sans nous. Google Play n’a pas d’étape équivalente : rien de tout ceci ne s’applique à un achat fait là-bas.

Ce que nous envoyons est un résumé, pas un relevé : quelle part du pack avait été dépensée, si les photos finalisées avaient été remises, et le montant cumulé de vos achats et de vos remboursements sous forme de fourchette, et non de somme — et pas même la fourchette si l’un de vos achats a été fait dans une autre devise, car un montant en dollars que nous ne pouvons pas établir, nous ne l’estimons pas. Le tout est rattaché à l’achat par le jeton que la boutique a émis pour lui, et à rien d’autre.

Nous disons aussi à Apple quelle réponse nous paraît juste, et vous êtes en droit de connaître la règle que nous suivons, parce qu’elle tient tout entière ici : si vous n’avez pas dépensé les crédits, nous disons que le remboursement doit être accordé. Si vous les avez tous dépensés, nous disons qu’il doit être refusé. Si vous en avez dépensé une partie, nous n’exprimons aucune préférence. Nous ne demandons pas à Apple de refuser un remboursement pour quelque chose dont vous ne vous êtes pas servi.

Nous n’envoyons jamais vos photographies, et nous n’envoyons aucune donnée personnelle au-delà de cet identifiant d’achat. Apple demande aussi depuis combien de temps vous avez ce compte et combien de temps vous avez passé dans l’application. Aux deux, nous répondons « non déclaré » plutôt que d’estimer un chiffre que nous affirmerions ensuite comme un fait.

9. Où et comment tout cela est conservé

Nos serveurs sont situés dans l’Union européenne, loués auprès d’un hébergeur commercial. Nous nommons la région plutôt que l’hébergeur : l’hébergeur peut changer, la région est l’engagement. Les photos et les mesures qui en sont tirées y sont stockées, et nulle part ailleurs, à une exception près : réussite ou échec, que les événements d’usage décrits plus haut transmettent aussi à Google.

Cinq choses quittent cette région. Les événements d’usage et les rapports de plantage partent chez Google, aux États-Unis. Les notifications push passent par Google et Apple. Tout ce que l’application ou la vérification de photo de ce site échange avec nos serveurs traverse le réseau de Cloudflare — chaque requête et chaque réponse, y compris les photos finalisées que l’application télécharge. Entre vous et nous, Cloudflare le déchiffre dans celui de ses centres de données le plus proche de vous, qui peut se trouver hors de l’Union européenne, y compris aux États-Unis. Et ce site est servi par Vercel, une société établie aux États-Unis : ses journaux d’accès décrits sous « Ce site » — l’adresse IP, l’heure et l’agent utilisateur de chaque requête de page, pages de la vérification de photo comprises — peuvent donc eux aussi être traités hors de l’Union européenne. Et le compteur de visites de ce site envoie chaque page vue et chaque appui sur un badge de store à Umami, dont les serveurs se trouvent aux États-Unis et dans l’Union européenne. Ces transferts reposent sur les clauses contractuelles types de la Commission européenne, le mécanisme que ces sociétés publient précisément pour ce cas. Au-delà de ces cinq-là, seul ce dont Apple, Google et Resend ont besoin pour les tâches décrites sous « Qui d’autre y touche » franchit la frontière. Les photos, et les mesures qui en sont tirées, ne la franchissent qu’en passant par Cloudflare — sauf réussite ou échec, que les événements d’usage portent jusqu’à Google.

Le trafic est chiffré pendant son transport : en TLS entre votre appareil et Cloudflare, puis par un tunnel chiffré entre Cloudflare et nos serveurs. Les photos sont dans un stockage privé dont le contenu n’est jamais listé publiquement, et chaque téléchargement passe par un lien signé de courte durée. Les jetons de connexion restent dans le trousseau ou le magasin de clés de votre appareil. L’accès est limité aux services qui en ont besoin. Aucun système n’est parfaitement sûr, et nous ne prétendrons pas le contraire.

10. Ce site

totshot.app compte ses visites avec Umami, pour savoir quelles pages sont lues et d’où viennent les visiteurs : un moteur de recherche, un réseau social ou un lien partagé par quelqu’un. Pour chaque page vue, le compteur envoie à Umami l’adresse de la page — avec l’éventuelle étiquette de campagne du lien, comme ?c= —, la page d’où vient le lien, la langue du navigateur, la taille de l’écran, ainsi que le type d’appareil, le système d’exploitation et le navigateur, qu’Umami lit dans l’agent utilisateur. Un appui sur le badge de l’App Store ou de Google Play est compté de la même façon, avec le store concerné. Umami se sert de l’adresse IP pour déterminer le pays et, avec l’agent utilisateur, pour calculer un code à sens unique qui compte les visiteurs uniques ; il ne conserve pas l’adresse. Le compteur ne dépose aucun cookie et n’enregistre rien sur votre appareil, il ne peut donc pas vous suivre sur d’autres sites, et il ne s’exécute pas du tout si votre navigateur envoie le signal Do Not Track. Umami traite ces données sur nos instructions, sur des serveurs situés aux États-Unis et dans l’Union européenne. Le site ne diffuse aucune publicité et, en dehors de ce compteur, ne charge ni script, ni police, ni image provenant d’un tiers — tous les autres fichiers de la page viennent de ce domaine.

Le site lui-même est servi par Vercel, notre hébergeur web, qui enregistre l’adresse IP, l’heure et l’agent utilisateur de chaque requête dans ses journaux d’accès, pour la diffusion et la prévention des abus. En dehors du compteur d’Umami décrit plus haut, c’est la seule société qui intervient dans l’affichage de cette page.

Il dépose un seul cookie, NEXT_LOCALE, qui retient la langue dans laquelle vous lisez. Il ne contient aucun identifiant, personne d’autre ne le lit, et il ne vous suit nulle part.

11. La vérification de photo sur ce site

totshot.app permet de vérifier gratuitement, et sans compte, la photo d’un enfant au regard des exigences d’un document. Avant de quitter votre navigateur, la photo est réduite et réencodée, ce qui supprime aussi les métadonnées du fichier — le lieu de prise de vue qu’un téléphone inscrit dans une photo ne nous parvient jamais. Sur nos serveurs, elle est mesurée en mémoire — y compris dans les tampons temporaires où nos services la traitent — et rejetée dès que la réponse est envoyée : elle n’est jamais enregistrée — ni dans un fichier, ni dans une base de données, ni dans un espace de stockage — et jamais utilisée pour autre chose que la réponse que vous recevez.

Ce que nous gardons est un enregistrement de la vérification sans l’image : le document et la version de ses règles selon laquelle la photo a été jugée ; l’âge de votre enfant en mois, si vous l’avez indiqué ; la langue de la réponse ; si la photo a réussi ; chaque point relevé, avec la valeur mesurée et la plage admise ; la position du sommet de la tête, du menton et de la ligne des yeux, en fractions du cadre ; les angles de la tête ; les scores d’yeux fermés, de bouche ouverte et de direction du regard ; le détecteur qui a mesuré la photo ; la durée de la vérification ; et le moment où elle a eu lieu. Il ne contient ni image, ni cadre autour du visage, ni points marquant les yeux, ni nom de fichier, ni adresse IP. Ces enregistrements sont conservés jusqu’à 365 jours et servent à ajuster les seuils selon lesquels l’application juge, et à compter combien de vérifications ont mené à un appui sur un badge de store.

• Cloudflare achemine la photo jusqu’à nos serveurs et notre réponse jusqu’à vous, comme tout ce qui est échangé avec eux. L’une et l’autre sont déchiffrées à la périphérie de son réseau et circulent entre cette périphérie et nos serveurs dans un tunnel chiffré : Cloudflare peut donc techniquement voir la photo et la réponse pendant leur passage. Nous ne l’utilisons pas pour stocker quoi que ce soit.
• Des limites de débit protègent le service. Pour compter les requêtes adressées à la vérification par connexion, nos serveurs transforment votre adresse réseau en empreinte à clé — un code à sens unique calculé avec une clé secrète que nous remplaçons au moins une fois par jour — et comptent sous ce code ; pour une adresse IPv6, seule sa partie réseau (les 64 premiers bits) y entre. Les compteurs expirent en moins de 24 heures, et la vérification ne conserve jamais l’adresse elle-même.
• Nos journaux et nos traces enregistrent les requêtes adressées à la vérification sans votre adresse IP et sans l’agent utilisateur de votre navigateur — contrairement aux journaux de serveurs décrits plus haut. Les lignes de journal d’une vérification contiennent l’heure, le chemin demandé (pour un appui sur un badge ou sur le lien vers l’application, il comprend l’identifiant de la vérification), le statut de la réponse et sa durée, un identifiant de requête et le verdict : l’identifiant de la vérification, le document, la langue, réussite ou échec, les codes des points relevés et les mesures de la tête, de la ligne des yeux, des angles et de l’expression que conserve l’enregistrement décrit plus haut, ainsi que le degré de certitude du détecteur d’avoir trouvé un visage et le nombre d’autres visages qu’il a vus. Une requête refusée par les limites de débit est journalisée avec l’empreinte décrite plus haut, jamais avec l’adresse. Ces lignes sont conservées 7 jours, comme le reste de nos journaux.
• Si vous appuyez ensuite sur un badge de store ou sur le lien vers l’application, nous enregistrons lequel, rattaché à l’identifiant de la vérification, avec l’heure et rien d’autre, pour savoir si la vérification a été utile. Le lien du badge lui-même n’apprend au store rien de plus que le fait que la visite vient de la vérification de ce site, et pour quel document — c’est ainsi qu’un store compte les installations auxquelles un lien a mené ; il ne contient jamais l’identifiant de la vérification.
• Pas de compte. La vérification ne dépose aucun cookie au-delà de la préférence de langue décrite plus haut. Le compteur de visites décrit sous « Ce site » compte les pages de la vérification comme n’importe quelle autre ; il ne voit jamais la photo ni la réponse.

La photo est celle d’un enfant, et la section sur les données des enfants ci-dessus s’y applique pleinement : elle est utilisée pour la seule fin pour laquelle vous l’avez envoyée et pour rien d’autre, jamais pour la publicité, jamais pour entraîner un modèle, et elle est rejetée dès que la réponse est envoyée.

12. Vos droits

Vous pouvez demander une copie de vos données, leur rectification, leur export ou leur effacement. L’effacement, vous le faites vous-même dans l’application ; pour le reste, écrivez à support@totshot.app. Une personne répond à chaque demande.

Dans l’Union européenne et au Royaume-Uni, ce sont vos droits au titre du RGPD, et vous pouvez saisir l’autorité de contrôle de votre pays. En Californie, nous ne vendons ni ne partageons de données personnelles au sens que le CCPA donne à ces mots, et exercer un droit ne vous coûte rien.

13. Modifications

La date en haut de cette page indique quand cette politique a été modifiée pour la dernière fois. Si un changement touche de façon importante la manière dont nous traitons vos données, nous vous le dirons dans l’application ou par e-mail.

14. Nous contacter

Pour tout ce qui figure sur cette page — accès, rectification, export, effacement, ou une question dont vous ne trouvez pas la réponse : support@totshot.app. C’est le moyen le plus rapide de nous joindre, et une personne le lit. Le courrier postal nous parvient à l’adresse ci-dessous.

15. Droit applicable

La présente politique est régie par le droit de l’État du Delaware (États-Unis).

Elle est publiée dans toutes les langues proposées par le sélecteur de langue. Seule la version anglaise fait foi ; une traduction est là pour être lue, non pour être opposée.