POLITIQUE DE CONFIDENTIALITÉ ARSHADES

Solutions ARShades
Dernière mise à jour : 26 août 2026

En vertu du Règlement (UE) 2016/679 (« RGPD »), de l’UK GDPR, du California Consumer Privacy Act (« CCPA ») et de ses modifications ultérieures, dont le California Privacy Rights Act (« CPRA »), des autres lois des États américains en matière de protection de la vie privée, dont le Virginia Consumer Data Protection Act (« VCDPA »), le Colorado Privacy Act (« CPA »), le Connecticut Data Privacy Act (« CTDPA »), l’Utah Consumer Privacy Act (« UCPA »), le Montana Consumer Data Privacy Act (« MCDPA »), l’Oregon Consumer Privacy Act (« OCPA »), ainsi que des autres réglementations étatiques américaines applicables en matière de vie privée, de l’Illinois Biometric Information Privacy Act (« BIPA »), du Texas Capture or Use of Biometric Identifier Act (« CUBI »), du Personal Information Protection and Electronic Documents Act (« PIPEDA ») du Canada, du Privacy Act australien, de la Lei Geral de Proteção de Dados (« LGPD ») du Brésil, du Federal Act on Data Protection (« FADP ») de la Suisse, de l’Act on the Protection of Personal Information (« APPI ») du Japon, de la Personal Information Protection Law (« PIPL ») de la Chine, du Protection of Personal Information Act (« POPIA ») de l’Afrique du Sud, du Digital Personal Data Protection Act (« DPDP ») de l’Inde, de la DIFC Data Protection Law des Émirats arabes unis, de la Saudi Personal Data Protection Law (« PDPL »), du New Zealand Privacy Act 2020, du Singapore Personal Data Protection Act (« PDPA »), du Philippines Data Privacy Act (« DPA »), du Malaysia Personal Data Protection Act (« PDPA ») et des autres lois internationales applicables en matière de protection des données à caractère personnel, collectivement désignées « Réglementations internationales sur la vie privée ».

Spaarkly s.r.l. (« Spaarkly », « nous », « notre » ou « nos »), société immatriculée en Italie, dont le siège social est situé Via della Tecnica n. 18, 85100 Potenza (Italie), e-mail : privacy@spaarkly.com, agissant en qualité de responsable du traitement, fournit la présente Politique de confidentialité (« PP ») relative au traitement des données à caractère personnel des utilisateurs (« vous » ou « Utilisateur ») qui accèdent à la Technologie ARSHADES, disponible à l’échelle mondiale, ou interagissent avec celle-ci, notamment :

• ARShades Virtual Try-On (« ARShades VTO », « VTO », « Web VTO », « VTO App », « Applications et Services ») ;
• ARShades VTO Explorer (« VTO Explorer »), en tant que module ou fonctionnalité intégrable à des expériences ARShades sur le web, mobile, catalogue, e-commerce, miroir, showroom ou en point de vente ;
• AR PD Meter ;
• ARShades Mirror (« Mirror ») ;
• ARShades Gateway (« Gateway », « Application autonome ») ;
• ARShades Campaign Catalogue (« Campaign Catalogue »), en tant que catalogue de produits public accessible sur le web, intégrant des expériences ARShades.

La présente Politique de confidentialité s’appuie sur le RGPD en tant que cadre réglementaire principal, tout en intégrant les exigences spécifiques prévues par les lois des pays dans lesquels nous proposons nos services. Lorsqu’il existe des différences réglementaires, celles-ci sont décrites dans les Addenda réglementaires annexés au présent document.

Nous invitons les Utilisateurs à lire attentivement tant le corps principal de la présente Politique que l’Addendum applicable à leur zone géographique, afin de comprendre pleinement leurs droits et les spécificités locales relatives au traitement des données.

Introduction

Spaarkly s.r.l. (« Spaarkly », « nous », « notre » ou « nos »), société immatriculée en Italie, est propriétaire de la Technologie ARSHADES, de la marque ARSHADES et d’autres solutions de Réalité Augmentée (RA) pour applications de lunetterie utilisées dans cette application web ou mobile sous le nom ARShades.

Nous agissons en qualité de responsable du traitement au sens des lois applicables en matière de protection des données, y compris le Règlement général sur la protection des données (UE) 2016/679 (« RGPD »), le California Consumer Privacy Act (« CCPA »), le Personal Information Protection and Electronic Documents Act (« PIPEDA ») du Canada, l’Australian Privacy Act, l’UK GDPR et d’autres réglementations internationales. La présente Politique de confidentialité fournit des informations sur la manière dont nous collectons, utilisons et traitons les données à caractère personnel des utilisateurs (« vous » ou « Utilisateur ») qui accèdent à notre technologie ARSHADES (« VTO », « Web VTO », « Application Web ou Mobile », « App », « Applications et Services »), disponible à l’échelle mondiale, ou interagissent avec celle-ci.

Définitions

Aux fins de la présente Politique de confidentialité, les définitions suivantes s’appliquent :

• Données à caractère personnel : toute information se rapportant à une personne physique identifiable, y compris l’adresse IP, l’e-mail et d’autres données fournies volontairement par l’utilisateur.
• Données de session : informations collectées au cours d’une session utilisateur, telles que les horodatages d’interaction, les pages consultées et les statistiques d’utilisation. Elles sont conservées jusqu’à 14 mois avant leur anonymisation.
• Données de l’appareil : informations techniques relatives à l’appareil de l’utilisateur, notamment le type d’appareil, le système d’exploitation, la version du navigateur et la langue préférée. Elles sont utilisées aux fins d’optimisation et de sécurité du service.
• Données de géolocalisation : sous réserve du consentement de l’utilisateur, ARShades peut collecter la position approximative fondée sur l’adresse IP ou, dans les applications autonomes, la position GPS précise, afin de fournir des services fondés sur la localisation. Les utilisateurs peuvent désactiver cette fonctionnalité à tout moment.
• Responsable du traitement : Spaarkly s.r.l., qui détermine les finalités et les moyens du traitement des données à caractère personnel.
• Traitement : toute opération effectuée sur des données à caractère personnel, y compris la collecte, la conservation, l’anonymisation et l’effacement.
• Cookies et technologies de traçage : cookies essentiels nécessaires au fonctionnement du service et outils d’analyse facultatifs, lorsqu’ils sont activés par l’utilisateur. Aucun cookie de marketing n’est utilisé.
• Droits de la personne concernée : les Utilisateurs peuvent accéder à leurs données, les rectifier, les effacer ou en limiter le traitement, conformément au RGPD, au CCPA et à des réglementations analogues. Les demandes peuvent être adressées à privacy@spaarkly.com.
• Transferts internationaux de données : lorsque des données à caractère personnel sont transférées en dehors de l’Espace économique européen (EEE), Spaarkly garantit la conformité au moyen de Clauses Contractuelles Types (CCT) ou de garanties équivalentes.
• ARShades VTO : solution d’essayage virtuel (virtual try-on, VTO) permettant aux utilisateurs de visualiser la manière dont des lunettes s’adaptent à leur visage en réalité augmentée (RA) en temps réel. Elle fonctionne sur appareils web et mobiles sans conserver de données biométriques.
• ARShades VTO Explorer : module d’essayage virtuel photographique et de catalogue augmenté permettant aux Utilisateurs de générer des aperçus réalistes et personnalisés de plusieurs produits de lunetterie à partir d’un nombre limité d’images acquises au cours de la session. VTO Explorer peut être intégré à des solutions ARShades web, mobiles, catalogues, miroirs ou à d’autres expériences en point de vente. Les images acquises sont traitées localement sur l’appareil de l’Utilisateur ou sur l’appareil utilisé pour l’expérience et ne sont pas téléversées automatiquement sur les serveurs de Spaarkly. Lorsque VTO Explorer est utilisé sur un appareil installé dans un point de vente, un showroom, un lieu d’événement ou tout autre lieu public, et que l’Utilisateur choisit d’obtenir, de télécharger ou de partager sur son propre appareil les photos finales, seules les photos finales sélectionnées par l’Utilisateur peuvent être temporairement téléversées sur les serveurs de Spaarkly, à seule fin de les mettre à la disposition de l’Utilisateur, et sont effacées selon les modalités décrites dans la présente Politique.
• AR PD Meter : outil de mesure de la distance pupillaire (PD) qui estime la distance entre les pupilles de l’utilisateur au moyen de la RA et de la détection de points de repère faciaux. Les images et les flux vidéo de la caméra ne sont pas conservés, ne sont pas utilisés à des fins d’identification biométrique et ne servent pas à créer de gabarits faciaux. Pour calculer la distance pupillaire, AR PD Meter peut transmettre temporairement au backend ARShades, situé dans l’Union européenne, des données techniques dérivées telles que les points de repère faciaux, l’orientation du visage, des informations techniques relatives à l’appareil et les paramètres nécessaires au calcul. Ces données sont utilisées exclusivement pour restituer le résultat de la mesure et sont supprimées après traitement.
• ARShades Mirror : expérience d’essayage virtuel pour le commerce de détail, fournie au moyen de postes dédiés (écran et caméra) installés dans des points de vente, des showrooms et des lieux d’événements, dans les éditions ARShades Mirror Showroom, Portrait et Photobooth, qui permet aux utilisateurs de parcourir des catalogues virtuels de lunetterie et d’essayer des lunettes en RA sans nécessiter la conservation de données à caractère personnel.
• ARShades Gateway : plateforme RA autonome qui fournit, entre autres, une expérience d’essayage virtuel. Elle peut, de manière facultative, utiliser la géolocalisation, sous réserve du consentement, afin de personnaliser les recommandations.
• ARShades Campaign Catalogue : catalogue de produits public accessible sur le web, disponible au moyen d’une URL dédiée, qui présente les produits de lunetterie d’une marque et permet de lancer des expériences ARShades telles que le VTO, le 3D Viewer et le VTO Explorer. La page du catalogue n’écrit ni cookies, ni stockage local (local storage), ni autres identifiants sur l’appareil de l’Utilisateur ; son utilisation est mesurée sous forme agrégée selon les modalités décrites à la section « Données de mesure d’utilisation des catalogues publics ».

1. FINALITÉS DU TRAITEMENT ET BASE JURIDIQUE

a) Solutions ARShades sur des appareils appartenant à l’Utilisateur

ARShades propose des solutions de Réalité Augmentée (RA) pour l’essayage virtuel de lunettes, utilisables sur des appareils personnels tels que les ordinateurs, les smartphones et les tablettes.

Nous traitons les données à caractère personnel de l’Utilisateur afin de fournir une expérience d’essayage virtuel, permettant aux utilisateurs d’essayer différentes formes et tailles de lunettes sur des sites web et des applications mobiles. L’objectif final est de proposer des suggestions de montures fondées sur les caractéristiques faciales de l’Utilisateur, en lui permettant de visualiser la manière dont certains modèles pourraient s’adapter à son visage.

La base juridique de ce traitement est :

• Fourniture des Services VTO : permettre à l’Utilisateur d’essayer virtuellement des montures de lunetterie, de tester des formes et des tailles et d’utiliser des outils tels que la mesure de la distance pupillaire (base juridique : exécution d’un contrat ou de mesures précontractuelles prises à la demande de l’Utilisateur, au sens de l’article 6, paragraphe 1, point b), du RGPD).
• Amélioration du service, analyse, sécurité et prévention de la fraude : améliorer la qualité, la facilité d’utilisation, la compréhension analytique et la sécurité de nos Services, générer des statistiques anonymes sur l’utilisation et les performances des expériences ARShades — y compris la mesure agrégée de l’utilisation des pages publiques des Campaign Catalogue —, prévenir les usages illicites et la fraude et garantir l’intégrité des réseaux et des systèmes (base juridique : intérêt légitime, article 6, paragraphe 1, point f), du RGPD).
• Respect d’obligations légales : satisfaire à des obligations légales ou à des injonctions des autorités compétentes en matière de conservation des données, de sécurité et d’autres exigences réglementaires (base juridique : obligation légale, article 6, paragraphe 1, point c), du RGPD).
• Consentement, le cas échéant : lorsque le consentement est requis, par exemple pour l’accès à la caméra ou pour d’éventuels outils d’analyse facultatifs, lorsqu’ils sont disponibles, le traitement sera fondé sur le consentement (article 6, paragraphe 1, point a), du RGPD), révocable à tout moment sans porter atteinte à la licéité du traitement effectué avant sa révocation.

Ce consentement peut être donné par la personne concernée en cochant la case prévue à cet effet à la fin de la présente Politique de confidentialité.

L’absence de consentement, lorsqu’il est requis, peut empêcher l’accès à certaines fonctionnalités des Services.

b) Solutions ARShades sur des appareils installés dans des points de vente, showrooms ou lieux publics (ARShades Mirror)

Certaines solutions ARShades, dont ARShades Mirror, sont installées sur des postes dédiés placés dans des points de vente, des lieux d’événements ou d’autres lieux accessibles au public, afin de permettre l’essayage virtuel de lunettes.

Certaines versions d’ARShades Mirror, y compris l’édition ARShades Mirror Showroom, peuvent inclure le module VTO Explorer. En pareils cas, les mêmes principes que ceux décrits pour VTO Explorer s’appliquent : les images acquises aux fins de personnalisation et de génération du catalogue augmenté sont traitées localement sur l’appareil utilisé pour l’expérience et ne sont pas téléversées automatiquement sur les serveurs de Spaarkly.

Ici encore, l’objectif final est de proposer des suggestions de montures fondées sur les caractéristiques faciales de l’Utilisateur, en lui permettant de visualiser la manière dont certains modèles apparaîtraient sur son visage.

La base juridique du traitement repose sur :

• Fourniture des Services VTO : permettre à l’Utilisateur d’essayer virtuellement des montures de lunetterie, de tester des formes et des tailles et d’utiliser des outils tels que la mesure de la distance pupillaire (base juridique : exécution d’un contrat ou de mesures précontractuelles prises à la demande de la personne concernée, au sens de l’article 6, paragraphe 1, point b), du RGPD).
• Amélioration du service, analyse, sécurité et prévention de la fraude : améliorer la qualité, la facilité d’utilisation, la compréhension analytique et la sécurité de nos Services, générer des statistiques anonymes sur l’utilisation et les performances des expériences ARShades, prévenir les usages illicites et la fraude et garantir l’intégrité des réseaux et des systèmes (base juridique : intérêt légitime, article 6, paragraphe 1, point f), du RGPD).
• Obligations légales : satisfaire à des obligations légales ou à des injonctions des autorités compétentes en matière de conservation des données, de sécurité et d’autres exigences réglementaires (base juridique : obligation légale, article 6, paragraphe 1, point c), du RGPD).
• Consentement, le cas échéant : lorsque le consentement est requis, par exemple pour l’accès à la caméra, pour l’acquisition des images nécessaires à l’utilisation du module VTO Explorer ou pour la conservation temporaire des photos finales sélectionnées par l’Utilisateur en vue de leur téléchargement ou de leur partage au moyen de fonctionnalités telles que « Shoot & Share » ou de fonctions de téléchargement équivalentes, le traitement sera fondé sur le consentement (article 6, paragraphe 1, point a), du RGPD), révocable à tout moment sans porter atteinte à la licéité du traitement effectué avant sa révocation.

2. COMMENT FONCTIONNE ARSHADES VTO

La technologie ARShades utilise la vision par ordinateur pour détecter les visages et estimer des mesures sans créer ni conserver de gabarits faciaux.

ARShades utilise un logiciel de mesure faciale pour les services Virtual Try-On et AR PD Meter. Un maillage facial 3D est généré au moyen de la caméra. Pour le Virtual Try-On, le positionnement des lunettes et le rendu s’effectuent localement sur l’appareil. Pour AR PD Meter, les données techniques dérivées nécessaires au calcul de la distance pupillaire peuvent être transmises temporairement au backend ARShades, situé dans l’Union européenne, à seule fin de restituer le résultat de la mesure.

Lorsqu’une expérience ARShades inclut le module VTO Explorer, le système peut demander à l’Utilisateur d’acquérir un nombre limité d’images au cours de la session. Ces images sont utilisées comme référence visuelle stable pour générer des aperçus réalistes de plusieurs produits de lunetterie présents dans le catalogue. Le système peut appliquer la détection de points de repère faciaux, des masques faciaux adaptatifs, la segmentation de zones du visage telles que la peau, les cheveux et les oreilles, ainsi que des techniques de rendu local, afin de positionner correctement les lunettes et de produire des aperçus réalistes.

Ce traitement est effectué localement sur l’appareil de l’Utilisateur ou sur l’appareil utilisé pour l’expérience. Les images acquises aux fins de personnalisation et de génération du catalogue ne sont pas téléversées automatiquement sur les serveurs de Spaarkly, ne sont pas utilisées à des fins de reconnaissance faciale et ne servent pas à créer un identifiant biométrique ou un gabarit facial persistant.

Nous ne procédons à aucune identification unique de l’utilisateur fondée sur le maillage facial ; les données sont utilisées exclusivement pour positionner virtuellement les lunettes et fournir des suggestions fondées sur des caractéristiques faciales.

À la différence des technologies biométriques qui créent des identifiants uniques rattachés aux individus, notre système :

• opère sur des points mathématiques anonymes communs à tous les visages ;
• n’utilise pas les mesures pour identifier des personnes déterminées, et les mesures ne sont pas davantage susceptibles, à elles seules, de les identifier ;
• n’utilise ni ne conserve de données à des fins de reconnaissance faciale ;
• traite les données faciales du Virtual Try-On localement sur l’appareil de l’Utilisateur, sans conservation côté serveur ;
• pour AR PD Meter, utilise temporairement des données techniques dérivées sur le backend ARShades uniquement pour calculer et restituer le résultat PD, en les supprimant après traitement.

Pour utiliser ces fonctionnalités, l’Utilisateur doit accorder les autorisations nécessaires à l’accès à la caméra (« Cam ») et à d’autres composants matériels, par exemple la caméra TrueDepth ou l’API Depth, et doit disposer d’une version compatible du système d’exploitation installée sur son appareil pour prendre en charge les expériences en réalité augmentée.

L’Utilisateur peut refuser ces autorisations, mais cela rendra impossible l’utilisation du service.

Ces données sont collectées localement sur l’appareil de l’Utilisateur, sauf indication contraire concernant le calcul AR PD Meter, et utilisées exclusivement sous forme anonyme ou agrégée à des fins de développement et de collecte d’informations statistiques sur l’utilisation d’ARShades.

Comment nous recueillons et gérons le consentement

Le navigateur ou le système d’exploitation mobile demande de lui-même l’accès à la caméra au moyen d’une fenêtre contextuelle. Les utilisateurs doivent accorder l’autorisation avant que l’expérience ARShades puisse fonctionner.

Les utilisateurs peuvent révoquer leur consentement à tout moment en désactivant l’accès à la caméra dans les paramètres de leur navigateur ou de leur appareil.

3. CATÉGORIES DE DONNÉES À CARACTÈRE PERSONNEL TRAITÉES

Données de mesure faciale

Le système calcule en temps réel les dimensions faciales suivantes :

• distance pupillaire ;
• longueur de la mâchoire ;
• largeur et hauteur du front ;
• longueur et largeur du nez ;
• hauteur des pommettes ;
• largeur du visage au niveau des pommettes ;
• largeur du visage au niveau de la bouche ;
• longueur du menton ;
• longueur totale du visage.

Ces mesures sont traitées instantanément et localement pour le Virtual Try-On. Dans le cas d’AR PD Meter, les données techniques dérivées nécessaires au calcul de la distance pupillaire peuvent être transmises temporairement au backend ARShades, situé dans l’Union européenne, à seule fin de calculer et de restituer le résultat de la mesure. Elles ne sont pas conservées en tant qu’identifiants uniques, ne sont pas utilisées à des fins de reconnaissance faciale et sont supprimées après traitement. Les éventuelles données techniques ou de session conservées à des fins de sécurité, d’analyse, de prévention des abus ou d’amélioration du service sont conservées pour une durée maximale de 14 mois, puis agrégées ou anonymisées.

Données statistiques anonymes

Nous pouvons collecter, sous forme anonymisée et non traçable, des informations telles que le genre approximatif et la tranche d’âge, à seule fin de fournir des recommandations de lunetterie, de vérifier les exigences d’âge minimum, de générer des statistiques anonymes et d’améliorer l’expérience utilisateur. En tout état de cause, nous informerons expressément l’Utilisateur de cette possibilité et ne procéderons qu’après avoir obtenu son autorisation spécifique.

Certaines expériences ARShades, telles qu’ARShades Mirror, peuvent inclure un module local fondé sur l’intelligence artificielle, qui utilise une technologie d’IA open source exécutée directement sur l’appareil, à des fins statistiques et analytiques anonymes relatives à l’utilisation, aux performances et à l’amélioration des services ARShades.

Ce module peut estimer automatiquement certaines caractéristiques générales de la personne qui interagit avec l’expérience, telles que le genre estimé, la tranche d’âge estimée et la présence ou l’absence de lunettes. L’estimation d’autres attributs démographiques généraux est désactivée par défaut et ne peut être activée que pour des projets spécifiques, après évaluation juridique ; dans ce cas, l’information affichée sur l’appareil l’indique expressément.

Ces données sont traitées exclusivement sous forme anonyme et agrégée à des fins statistiques, d’analyse du service, d’évaluation des performances des produits, d’analyse de l’utilisation et d’amélioration des services ARShades. Elles ne sont pas utilisées pour identifier l’Utilisateur, ne sont pas rattachées à un nom, à des coordonnées, à un gabarit facial, à un compte ou à un identifiant persistant, et ne sont pas utilisées à des fins de reconnaissance faciale, de profilage individuel, de décisions automatisées produisant des effets juridiques ou similairement significatifs, de marketing ou de suivi comportemental.

L’analyse par IA est effectuée localement sur l’appareil. Spaarkly ne peut collecter que des résultats statistiques anonymes issus de cette analyse, lorsque cela est techniquement activé, et non des images faciales, des gabarits faciaux, des identifiants biométriques ou des données identifiant directement l’Utilisateur. Ce qui précède demeure applicable : l’éventuelle activation de ce module est portée à la connaissance de l’Utilisateur et, lorsque la réglementation applicable l’exige, subordonnée à son autorisation spécifique.

Données de l’appareil et de session

Nous collectons des informations d’utilisation standard telles que :

• adresse IP ;
• type d’appareil ;
• système d’exploitation ;
• langue préférée ;
• marques et produits consultés ;
• dates et heures d’accès ;
• statistiques anonymes sur les interactions avec l’app VTO, par exemple si l’Utilisateur porte des lunettes.

Ces données sont collectées afin d’améliorer les Services, de garantir la sécurité et d’analyser l’utilisation de nos solutions.

Données de mesure d’utilisation des catalogues publics (Campaign Catalogue)

Lorsque l’Utilisateur consulte la page publique d’un ARShades Campaign Catalogue, Spaarkly mesure l’utilisation de la page sous forme agrégée, afin de fournir à ses clients des statistiques relatives aux campagnes : nombre de visites, estimation des visiteurs uniques au cours d’une même journée, profondeur de défilement de la page, interactions avec les produits et ouvertures des expériences immersives, canal de provenance de la visite et type d’appareil.

Cette mesure s’effectue sans écrire de cookies, de stockage local (local storage) ni d’autres identifiants sur l’appareil de l’Utilisateur. À seule fin de distinguer les visites au cours d’une même journée, les systèmes de Spaarkly calculent, côté serveur, un code technique au moyen d’une fonction cryptographique de hachage non réversible appliquée à l’adresse IP et aux informations techniques du navigateur, avec un élément secret variable renouvelé toutes les 24 heures ; l’adresse IP est écartée immédiatement après le calcul et n’est pas conservée. Le code ainsi obtenu ne permet pas de reconnaître l’Utilisateur d’un jour à l’autre et constitue une donnée technique dérivée, qui n’est pas utilisée pour identifier l’Utilisateur et n’est pas davantage susceptible, à elle seule, de l’identifier. Il n’est pas utilisé à des fins de reconnaissance, de profilage individuel, de marketing ou de suivi comportemental entre différents sites ou services.

Les événements d’utilisation ainsi collectés sont effacés après l’agrégation statistique quotidienne, en principe dans un délai de 48 heures à compter de leur collecte ; seules des statistiques agrégées, dépourvues de tout code technique, sont conservées par la suite. La base juridique de ce traitement est l’intérêt légitime de Spaarkly et de ses clients à mesurer l’efficacité des campagnes et l’utilisation du service (article 6, paragraphe 1, point f), du RGPD) ; l’Utilisateur peut s’y opposer selon les modalités prévues à la section « Droits de la personne concernée ».

L’ouverture d’une expérience immersive depuis le catalogue (par exemple VTO ou VTO Explorer) demeure soumise aux consentements, aux informations et aux règles décrits dans les autres sections de la présente Politique.

Images faciales ou données biométriques

ARShades ne collecte, ne conserve ni ne traite d’identifiants biométriques ou d’informations biométriques au sens du RGPD ou tels que définis par des lois étatiques telles que BIPA, CUBI, CCPA ou des réglementations analogues. La technologie de mesure faciale utilisée par ARShades détecte des points de repère faciaux afin de superposer, de positionner ou de restituer les lunettes et, pour AR PD Meter, de calculer la distance pupillaire, sans générer ni conserver d’identifiants biométriques. Aucun gabarit facial, scan ou identifiant unique n’est créé, conservé ou transféré vers nos serveurs. Les données techniques dérivées éventuellement transmises au backend ARShades pour AR PD Meter sont utilisées uniquement pour restituer le résultat de la mesure et sont supprimées après traitement.

Lorsqu’une expérience ARShades inclut le module VTO Explorer, il peut être demandé à l’Utilisateur d’acquérir un nombre limité d’images au cours de la session. Ces images sont traitées localement sur l’appareil de l’Utilisateur ou sur l’appareil utilisé pour l’expérience afin de générer des aperçus personnalisés du catalogue et ne sont pas téléversées automatiquement sur les serveurs de Spaarkly.

Lorsque VTO Explorer ou d’autres fonctionnalités ARShades de sortie photographique sont utilisées sur l’appareil de l’Utilisateur, les photos finales générées au cours de l’expérience peuvent être enregistrées ou téléchargées directement sur cet appareil. En pareils cas, Spaarkly n’a pas besoin de téléverser, de conserver ou de traiter de toute autre manière ces photos finales sur ses serveurs pour les mettre à la disposition de l’Utilisateur.

Un traitement temporaire distinct côté serveur ne peut avoir lieu que lorsque l’expérience est fournie au moyen d’un appareil installé dans un point de vente, un showroom, un lieu d’événement ou tout autre lieu public, et que l’Utilisateur choisit d’obtenir, de télécharger ou de partager sur son propre appareil des photos finales le représentant portant les lunettes sélectionnées. En pareil cas, seules les photos finales sélectionnées par l’Utilisateur sont temporairement téléversées sur les serveurs de Spaarkly, à seule fin de les mettre à la disposition de l’Utilisateur pour leur téléchargement ou leur partage. Ces photos ne sont pas utilisées à des fins d’identification, de reconnaissance faciale, de profilage, de marketing, d’analyse ou d’entraînement de systèmes d’intelligence artificielle.

Si une juridiction venait à redéfinir les données biométriques de manière à pouvoir englober la technologie ARShades, nous confirmons que l’analyse faciale et la personnalisation demeurent strictement locales sur l’appareil de l’Utilisateur ou sur l’appareil utilisé pour l’expérience et ne sont ni conservées ni utilisées à des fins d’identification. Tout téléversement temporaire de photos finales est limité au téléchargement ou au partage demandés par l’Utilisateur depuis des appareils installés dans des points de vente, showrooms, lieux d’événements ou autres lieux publics, et est soumis aux limites de conservation décrites dans la présente Politique.

Photos finales sélectionnées par l’Utilisateur

Lorsque l’Utilisateur choisit d’obtenir, de télécharger ou de partager des photos finales générées au moyen d’ARShades VTO, de VTO Explorer, d’ARShades Mirror, de « Shoot & Share » ou de fonctionnalités équivalentes, les modalités de traitement dépendent du type d’appareil utilisé pour l’expérience.

Lorsque l’expérience a lieu sur l’appareil personnel de l’Utilisateur, les photos finales peuvent être enregistrées ou téléchargées directement sur cet appareil et ne sont pas téléversées sur les serveurs de Spaarkly à cette fin.

Lorsque l’expérience a lieu sur un appareil installé dans un point de vente, un showroom, un lieu d’événement ou tout autre lieu public, Spaarkly peut traiter temporairement uniquement les photos finales sélectionnées par l’Utilisateur, à seule fin de les mettre à la disposition de l’Utilisateur pour leur téléchargement ou leur partage sur son propre appareil.

Ces photos peuvent représenter l’Utilisateur portant un ou plusieurs produits de lunetterie sélectionnés. Elles ne sont pas utilisées à des fins de reconnaissance faciale, d’identification biométrique, de profilage, de marketing, d’analyse ou d’entraînement de systèmes d’intelligence artificielle.

L’Utilisateur peut effacer ces photos immédiatement après leur téléchargement, lorsque cette option est disponible. Si l’Utilisateur ne les efface pas manuellement, elles sont automatiquement effacées des serveurs de Spaarkly au plus tard le jour suivant la session.

Données de géolocalisation dans les applications autonomes (ARShades Gateway)

Certaines applications autonomes ARShades, c’est-à-dire non intégrées aux sites web des clients, peuvent collecter des données de géolocalisation selon les modalités suivantes :

• Géolocalisation précise : sous réserve du consentement explicite, des applications autonomes ARShades déterminées peuvent collecter des coordonnées de géolocalisation précises depuis l’appareil afin de fournir des services ou des recommandations fondés sur la localisation.
• Position approximative : en l’absence de consentement explicite à la position précise, nous pouvons déduire une position approximative sur la base de l’adresse IP.

La collecte des données de géolocalisation dans les applications autonomes est :

• facultative : il est possible de refuser les autorisations de localisation sans porter atteinte aux fonctionnalités VTO principales ;
• fondée sur le consentement : la géolocalisation précise n’est collectée que sous réserve du consentement explicite ;
• limitée aux finalités : utilisée uniquement pour fournir des recommandations de lunetterie pertinentes ou des services fondés sur la localisation ;
• soumise à la même politique de conservation : anonymisée dans un délai de 14 mois avec les autres données techniques.

Gestion du consentement à la géolocalisation

Lors de la première utilisation de nos applications autonomes, le navigateur demandera d’autoriser ou de bloquer l’accès à la position. Il s’agit d’un consentement fondé sur la session qui ne persiste pas nécessairement d’une visite à l’autre mais qui, selon le choix de l’Utilisateur et les paramètres du navigateur, peut être :

• mémorisé localement par le navigateur pour de futures visites de la même application ;
• configuré de manière à être demandé à chaque fois ;
• accordé temporairement uniquement pour la session en cours.

Il est toujours possible de modifier ces paramètres d’autorisation au moyen des paramètres du navigateur.

Toutes les données techniques collectées, y compris les éventuelles données de géolocalisation, sont automatiquement anonymisées dans un délai de 14 mois, comme décrit dans notre politique de conservation.

4. MODALITÉS DU TRAITEMENT

Les données à caractère personnel sont traitées au moyen de systèmes informatiques et, si nécessaire, manuellement, dans le respect des principes de loyauté, de licéité, de transparence et de confidentialité. Le personnel autorisé, formé et instruit, accède aux données pour les finalités déclarées.

Nous mettons en œuvre des mesures techniques et organisationnelles destinées à prévenir tout accès non autorisé et à protéger les données.

5. TRAITEMENT DES DONNÉES DANS ARSHADES MIRROR

ARShades Mirror partage les mêmes fonctionnalités de base que les autres solutions ARShades VTO : les points de repère du visage sont traités en temps réel, localement sur l’appareil, sans gabarits persistants ni reconnaissance de l’identité, et aucun flux vidéo ne quitte le poste. Dans l’édition ARShades Mirror Showroom, une estimation de la distance à la caméra, fondée sur des valeurs anthropométriques moyennes, est dérivée sur l’appareil à partir des points de repère du visage, dans le seul but de dimensionner les montures virtuelles ; aucune distance pupillaire n’est mesurée ni restituée, et cette estimation n’est ni conservée ni transmise. La présente section régit spécifiquement les aspects supplémentaires relatifs au déploiement en point de vente et à la fonctionnalité facultative « Shoot & Share », qui permet aux utilisateurs d’enregistrer et de partager des selfies avec les lunettes sélectionnées. Le traitement des données à caractère personnel s’effectue comme suit :

Modalités de traitement

• Les images acquises pour l’essayage virtuel, la personnalisation, la génération du catalogue, l’adaptation faciale, la segmentation, le positionnement du produit et le rendu sont traitées localement sur l’appareil sans transfert automatique vers les serveurs de Spaarkly.
• Dans les éditions d’ARShades Mirror qui incluent le module VTO Explorer, telles que ARShades Mirror Showroom, les images acquises au cours de la phase de personnalisation sont utilisées localement pour générer des aperçus du catalogue augmenté et ne sont pas téléversées sur les serveurs de Spaarkly.
• Ce n’est que lorsque l’Utilisateur choisit activement d’obtenir, de télécharger ou de partager des photos finales le représentant portant les lunettes sélectionnées depuis un appareil installé dans un point de vente, un showroom, un lieu d’événement ou tout autre lieu public que ces photos finales sélectionnées peuvent être temporairement téléversées sur les serveurs de Spaarkly, à seule fin de les mettre à la disposition de l’Utilisateur sur son propre appareil.
• L’exploitant du point de vente n’a pas d’accès direct aux données ou aux images générées par les Utilisateurs, l’accès au logiciel étant réservé exclusivement à ARShades.
• ARShades s’engage à ne pas accéder aux données de l’Utilisateur, sauf lorsque cela est nécessaire à des activités déterminées de maintenance technique, toujours sans visualiser ni traiter les images acquises.
• Spaarkly ne communique pas les données des Utilisateurs à des tiers pour les finalités propres de ces derniers. Pour l’hébergement et la fourniture des services, Spaarkly peut faire appel à des fournisseurs qualifiés d’infrastructure cloud, dont les serveurs sont situés dans l’Union européenne, désignés sous-traitants au sens de l’article 28 du RGPD et liés par des accords de traitement des données appropriés. Les opérations de traitement sont réalisées exclusivement par le personnel autorisé de Spaarkly et par ces fournisseurs, dans les limites des instructions données.

Effacement automatique et mesures de sécurité

• Les photos finales temporairement téléversées au moyen d’ARShades Mirror, de VTO Explorer, de « Shoot & Share » ou de fonctionnalités équivalentes de téléchargement/partage depuis des appareils installés dans des points de vente, showrooms, lieux d’événements ou autres lieux publics peuvent être effacées immédiatement de nos serveurs par les Utilisateurs après avoir été téléchargées sur leur propre appareil, lorsque cette option est disponible. Si les Utilisateurs n’effacent pas manuellement leurs photos, notre système les supprime automatiquement au plus tard le jour suivant la session au moyen d’une procédure automatique planifiée, sans intervention manuelle.
• Les données temporairement conservées sont chiffrées au repos et en transit afin d’en garantir la sécurité.
• Tous les accès aux appareils ARShades à des fins de maintenance technique sont consignés dans un registre des accès, conformément à l’article 5, paragraphe 1, point f), du RGPD.
• Le logiciel est configuré de manière à limiter l’accès aux données exclusivement au personnel autorisé d’ARShades.

Rôle d’ARShades et du point de vente

• ARShades demeure l’unique responsable du traitement des données générées au moyen d’ARShades Mirror.
• Le point de vente ne traite pas les données des utilisateurs, dès lors qu’il n’a accès ni aux données générées ni à la gestion du logiciel.

6. COLLECTE DES DONNÉES ET DURÉE DE CONSERVATION

• Les données de mesure faciale sont collectées localement sur l’appareil de l’Utilisateur pour le Virtual Try-On et conservées uniquement pendant la durée nécessaire à la fourniture des services ARShades VTO. Pour AR PD Meter, les données techniques dérivées nécessaires au calcul de la distance pupillaire peuvent être transmises temporairement au backend ARShades situé dans l’UE, utilisées uniquement pour restituer le résultat de la mesure et supprimées après traitement.
• Les données de session et de l’appareil sont conservées sur les serveurs de Spaarkly, situés au sein de l’UE. Les adresses IP sont effacées et pleinement dissociées de toutes les autres données dans un délai de 14 mois. Seules des données agrégées et anonymisées sont conservées à des fins d’analyse statistique.
• Les données de mesure d’utilisation des catalogues publics (Campaign Catalogue) sont effacées après l’agrégation statistique quotidienne, en principe dans un délai de 48 heures à compter de leur collecte ; seules des statistiques agrégées et anonymes sont conservées par la suite.
• La durée de conservation des données à caractère personnel peut être prolongée dans des cas exceptionnels, par exemple pour satisfaire à des obligations légales ou à des fins de prévention de la fraude.

7. POLITIQUE EN MATIÈRE DE COOKIES

ARShades n’utilise que des cookies strictement nécessaires, essentiels au fonctionnement de nos services. Ces cookies :

• activent des fonctionnalités de base du site, telles que la gestion de la session et la sécurité ;
• ne suivent pas les utilisateurs sur différents sites web ;
• ne sont pas utilisés à des fins d’analyse, de marketing ou de traçage par des tiers.

Ces cookies étant essentiels, ils ne requièrent pas le consentement de l’utilisateur au sens du RGPD et de la directive ePrivacy. Les utilisateurs peuvent gérer les paramètres de leur navigateur pour bloquer ou supprimer les cookies, mais cela peut avoir une incidence sur la fonctionnalité du service.

Les pages publiques des Campaign Catalogue ne déposent ni cookies ni stockage local (local storage) : la mesure de leur utilisation s’effectue exclusivement côté serveur, selon les modalités décrites à la section « Données de mesure d’utilisation des catalogues publics ». Les cookies décrits dans la présente section concernent les expériences ARShades (par exemple le VTO) lancées par l’Utilisateur.

Cookies strictement nécessaires utilisés

Technologies de conservation utilisées

Pour des raisons techniques liées aux restrictions inter-domaines de certains navigateurs, ARShades peut mémoriser le consentement au moyen de cookies ou de mécanismes de stockage local (local storage). Les deux méthodes poursuivent la même finalité fonctionnelle : mémoriser l’acceptation de la politique de confidentialité afin d’éviter des demandes répétées lors d’expériences VTO ultérieures.

Lorsque les cookies ne peuvent pas être définis en raison de restrictions du navigateur, le stockage local est utilisé comme mécanisme de repli. Ces données conservées en stockage local sont soumises aux mêmes durées de conservation, mesures de sécurité et contrôles de l’utilisateur que les cookies. Il est possible de supprimer aussi bien les cookies que les données de stockage local au moyen des paramètres du navigateur.

Les informations mémorisées au moyen de l’une ou l’autre méthode se limitent à des indicateurs de consentement essentiels et ne sont pas utilisées à des fins de traçage ou de profilage.

8. CARACTÈRE OBLIGATOIRE OU FACULTATIF DE LA FOURNITURE DES DONNÉES ET CONSÉQUENCES D’UN DÉFAUT DE FOURNITURE

La fourniture des données pour les finalités décrites ci-dessus est volontaire et gratuite. À l’exception des données de géolocalisation dans certains produits autonomes ARShades, si l’Utilisateur choisit de ne pas fournir les données ou les autorisations requises pour une fonctionnalité déterminée, nous pourrions ne pas être en mesure de fournir cette fonctionnalité.

Par exemple, le refus de l’accès à la caméra empêchera l’utilisation de l’expérience VTO. Le refus d’acquérir les images nécessaires au module VTO Explorer peut empêcher la génération des aperçus du catalogue augmenté.

Lorsque l’expérience se déroule sur l’appareil personnel de l’Utilisateur, le choix de ne pas enregistrer ou télécharger les photos finales n’empêche pas l’Utilisateur d’utiliser l’expérience locale d’essayage virtuel ou d’exploration du catalogue, lorsqu’elle est disponible. Lorsque l’expérience se déroule sur un appareil installé dans un point de vente, un showroom, un lieu d’événement ou tout autre lieu public, le choix de ne pas demander le téléchargement ou le partage des photos finales implique qu’aucun téléversement temporaire de ces photos sur les serveurs de Spaarkly ne sera effectué à cette fin.

9. TRANSFERTS INTERNATIONAUX DE DONNÉES

Toutes les données sont conservées sur des serveurs situés au sein de l’Union européenne (UE).

Nous ne transférons pas vos données à caractère personnel en dehors de l’Espace économique européen (EEE).

Si, à l’avenir, il devenait nécessaire de transférer des données en dehors de l’EEE, nous garantirions l’adoption de garanties appropriées conformément au RGPD et aux autres réglementations applicables, telles que les Clauses Contractuelles Types (CCT) approuvées par la Commission européenne.

10. MESURES DE SÉCURITÉ

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées afin de protéger les données contre la destruction accidentelle ou illicite, la perte, l’altération, la divulgation ou l’accès non autorisés.

Ces mesures comprennent :

• le chiffrement ;
• des pare-feu ;
• des serveurs sécurisés ;
• des systèmes de gestion des accès destinés à prévenir tout accès non autorisé aux systèmes et aux données.

Nous surveillons et actualisons en permanence nos protocoles de sécurité afin de garantir la conformité aux normes de protection des données les plus récentes.

Protocole en cas de violation de la sécurité

En cas d’incident de sécurité affectant des données de session, des données de l’appareil, des adresses IP ou des données de géolocalisation, ARShades :

• évaluera le niveau de risque au sens de l’article 33 du RGPD. Nous évaluerons toute violation potentielle conformément à l’article 33 du RGPD et notifierons l’autorité de contrôle compétente dans un délai de 72 heures lorsque la loi applicable l’exige ;
• en l’absence de données à caractère personnel de contact, n’est pas en mesure de notifier directement les utilisateurs individuels. Lorsque cela est requis, nous publierons à la place un avis public au moyen de notre site officiel ou d’autres canaux ;
• atténuera et résoudra l’incident dans les meilleurs délais, en mettant en œuvre, si nécessaire, des mesures de sauvegarde supplémentaires.

11. VIE PRIVÉE DES MINEURS

ARShades est conçu pour des utilisateurs de tous âges. Toutefois, seuls les utilisateurs ayant atteint l’âge minimum légal requis dans leur pays peuvent consentir de manière autonome au traitement de leurs données à caractère personnel.

Si un utilisateur est en dessous de cet âge, le consentement d’un parent ou tuteur est requis pour le traitement des données, et le parent ou tuteur doit accepter la présente Politique de confidentialité pour son compte.

Nous nous engageons à protéger la vie privée des mineurs et encourageons les parents et tuteurs à surveiller activement l’activité en ligne et les expériences numériques des mineurs.

Nous ne collectons ni ne traitons intentionnellement de données à caractère personnel d’un quelconque utilisateur — et, partant, d’un quelconque mineur — en l’absence d’une base juridique valable et, s’agissant de mineurs n’ayant pas atteint l’âge légal applicable, d’un consentement parental vérifié.

De par la conception même d’ARShades, nous ne créons pas de comptes, ne demandons ni nom ni coordonnées et ne générons pas d’identifiants persistants : le traitement facial s’effectue localement sur l’appareil, et les données techniques et de session éventuellement conservées (par exemple l’adresse IP) sont dissociées de toute autre donnée dans les délais indiqués à la section « Collecte des données et durée de conservation ». En conséquence, nous ne détenons aucune donnée susceptible d’être rattachée à un mineur identifié ou identifiable.

Si un parent ou tuteur estime que son enfant a utilisé le service sans leur consentement, il peut nous contacter à l’adresse privacy@spaarkly.com pour demander l’effacement des données, en indiquant l’adresse IP utilisée ainsi que, le cas échéant, la date et l’heure approximatives de la session. Lorsque ces éléments nous permettent d’identifier les données concernées, nous prendrons immédiatement des mesures pour les effacer ; à défaut, nous rappelons que les données techniques demeurent en tout état de cause soumises aux limites de conservation et d’effacement automatique décrites à la section « Collecte des données et durée de conservation ».

12. DROITS DE LA PERSONNE CONCERNÉE

En vertu du RGPD et des réglementations équivalentes, les Utilisateurs bénéficient des droits suivants :

Droit d’accès

• Demander la confirmation qu’un traitement de leurs données à caractère personnel est ou non en cours.
• Obtenir l’accès aux informations pertinentes, telles que les finalités, les catégories de données traitées, les destinataires ou catégories de destinataires, la durée de conservation, etc.

Droit de rectification

• Demander la correction de données inexactes ou incomplètes.

Droit à l’effacement (« droit à l’oubli »)

• Demander l’effacement des données à caractère personnel si :
  • les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ;
  • le consentement est retiré, lorsque le traitement est fondé sur le consentement ;
  • les données ont été traitées de manière illicite.

Droit à la limitation du traitement

• Demander la limitation du traitement si :
  • l’exactitude des données est contestée ;
  • le traitement est illicite, mais l’effacement est refusé ;
  • les données sont nécessaires à la constatation, à l’exercice ou à la défense d’un droit en justice, même si le responsable du traitement n’en a plus besoin ;
  • la personne concernée s’oppose au traitement, dans l’attente de la vérification des motifs légitimes.

Droit à la portabilité des données

• Recevoir ses données à caractère personnel dans un format structuré, couramment utilisé et lisible par machine.
• Demander leur transmission directe à un autre responsable du traitement, lorsque cela est techniquement possible.

Droit d’opposition

• S’opposer au traitement fondé sur l’intérêt légitime.

Droit de retirer le consentement

• Retirer le consentement à tout moment lorsque le traitement est fondé sur le consentement.

Interface de gestion du consentement

Afin de faciliter l’exercice du droit de retrait du consentement, ARShades fournit une icône dédiée à la gestion des cookies/du consentement au sein de l’interface Virtual Try-On. En cliquant sur cette icône, l’Utilisateur peut :

• consulter l’état actuel de son consentement ;
• accéder à notre Politique de confidentialité complète ;
• retirer le consentement précédemment donné.

Lorsque le consentement est retiré, nous supprimons immédiatement les données de consentement tant des cookies que du stockage local, interrompons la session VTO en cours et exigeons un nouveau consentement pour toute utilisation ultérieure de nos services. Ce mécanisme garantit à l’Utilisateur le plein contrôle de ses données à tout moment.

Exercice des droits

Dès lors qu’ARShades ne requiert pas d’inscription de l’utilisateur ni ne collecte d’identifiants personnels directs tels que des noms ou des adresses e-mail, il peut être nécessaire de fournir des informations complémentaires pour vérifier l’identité, telles que l’adresse IP, des informations relatives à l’appareil ou des détails de la session, afin de vérifier et de traiter les demandes relatives aux données. Cela est nécessaire pour associer la demande aux données techniques conservées.

Si un utilisateur n’est pas en mesure de fournir son adresse IP ou d’autres éléments identifiant la session, nous pourrions ne pas être en mesure de donner suite à certaines demandes, telles que l’effacement des données, dès lors qu’ARShades ne conserve pas de profils identifiant personnellement les individus.

Les demandes doivent être adressées par e-mail au responsable du traitement à l’adresse : privacy@spaarkly.com

Si vous estimez que vos données ont été traitées de manière illicite, vous avez le droit d’introduire une réclamation auprès :

• du Garante per la Protezione dei Dati Personali italien : www.garanteprivacy.it ;
• d’une autre autorité de contrôle compétente dans votre pays de résidence.

13. MODIFICATIONS DE LA PRÉSENTE POLITIQUE DE CONFIDENTIALITÉ

Nous pouvons mettre à jour périodiquement la présente Politique de confidentialité afin de refléter :

• des modifications de nos Services ;
• des mises à jour de la technologie ;
• de nouvelles exigences légales ;
• des modifications internes des politiques.

Lorsque des mises à jour sont apportées, nous modifierons la date de « Dernière mise à jour » au début du présent document.

Nous invitons les Utilisateurs à consulter périodiquement la présente Politique de confidentialité afin de rester informés de la manière dont nous protégeons leurs données.

14. COORDONNÉES DE CONTACT

Le responsable du traitement est : Spaarkly s.r.l. Adresse : Via della Tecnica n. 18, 85100 Potenza, Italie E-mail : privacy@spaarkly.com

Pour toute information ou demande complémentaire relative à vos données à caractère personnel, nous vous invitons à nous contacter à l’adresse e-mail indiquée.

---

ADDENDA RÉGLEMENTAIRES

Introduction aux Addenda réglementaires

La présente Politique de confidentialité établit le cadre général de protection des données à caractère personnel, fondé principalement sur le RGPD. Toutefois, dans certaines juridictions, des exigences supplémentaires ou différentes peuvent s’appliquer.

Les Addenda réglementaires suivants complètent ou modifient le corps principal de la Politique. Chaque Addendum précise, pour la zone géographique ou le pays pertinent :

• les droits supplémentaires ou différents par rapport à ceux décrits dans la Politique principale ;
• les modalités d’exercice de ces droits, y compris les contacts locaux, les procédures et les délais de réponse ;
• les éventuelles exigences supplémentaires en matière de consentement ;
• les exigences spécifiques de conservation des données ;
• les obligations locales de notification en cas de violation de données ;
• les règles relatives aux transferts de données, y compris les clauses contractuelles types et les exigences locales.

Les dispositions générales de la présente Politique de confidentialité s’appliquent dans la mesure où elles n’entrent pas en conflit avec les termes des Addenda. En cas de conflit, les dispositions de l’Addendum applicable prévalent.

Nous invitons les Utilisateurs à lire attentivement l’Addendum applicable à leur pays ou région de résidence.

Index des Addenda régionaux et nationaux

1. Union européenne / Espace économique européen / Royaume-Uni
2. Suisse
3. États-Unis
4. Canada
5. Australie et Nouvelle-Zélande
6. Région Asie-Pacifique
7. Brésil et Amérique latine
8. Japon
9. Chine
10. Afrique du Sud
11. Inde
12. Moyen-Orient
13. Autres pays

A. ROYAUME-UNI (UK GDPR) / UNION EUROPÉENNE ET ESPACE ÉCONOMIQUE EUROPÉEN (UE/EEE)

Les utilisateurs résidant au Royaume-Uni et dans l’UE/EEE bénéficient des droits prévus par l’UK GDPR et le RGPD de l’UE, tels que décrits dans le corps principal de la présente Politique de confidentialité. Pour les transferts de données en dehors du Royaume-Uni ou de l’UE/EEE, Spaarkly garantit la conformité aux lois applicables, y compris le recours aux Clauses Contractuelles Types (CCT) approuvées par la Commission européenne pour les transferts UE/EEE et aux CCT approuvées par l’ICO pour les transferts depuis le Royaume-Uni.

Droits supplémentaires ou différenciés

Il n’existe pas de différences substantielles entre les droits prévus par l’UK GDPR et ceux prévus par le RGPD de l’UE. Les utilisateurs des deux juridictions conservent les mêmes droits fondamentaux d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité des données décrits dans la Politique principale.

Exercice des droits

Les utilisateurs au Royaume-Uni et dans l’UE/EEE peuvent exercer leurs droits en contactant privacy@spaarkly.com. Ils peuvent en outre s’adresser à l’autorité de contrôle compétente :

• Utilisateurs UE/EEE : l’autorité de contrôle de l’État membre concerné.
• Utilisateurs UK : l’Information Commissioner’s Office (ICO) (https://ico.org.uk/).

Obligations de notification en cas de violation de données

En cas de violation de données à caractère personnel, Spaarkly notifiera l’autorité de contrôle compétente dans un délai de 72 heures à compter du moment où elle en a connaissance, conformément à l’article 33 du RGPD et aux exigences de signalement de l’ICO au Royaume-Uni.

Transferts internationaux de données

Pour les transferts en dehors de l’UE/EEE et du Royaume-Uni, Spaarkly garantit l’adoption de garanties appropriées, dont :

• les Clauses Contractuelles Types (CCT) de la Commission européenne pour les transferts depuis l’UE/EEE ;
• les CCT approuvées par l’ICO pour les transferts depuis le Royaume-Uni ;
• des garanties supplémentaires lorsque cela est nécessaire, conformément aux lignes directrices de l’European Data Protection Board (EDPB) et de l’ICO.

Spaarkly ne transfère pas de données à caractère personnel vers des juridictions dépourvues d’un niveau de protection adéquat, à moins que des CCT ou d’autres mécanismes juridiquement reconnus ne soient en place.

B. SUISSE (FADP – FEDERAL ACT ON DATA PROTECTION)

Les utilisateurs résidant en Suisse bénéficient de droits de protection des données substantiellement équivalents à ceux prévus par le RGPD, la réglementation suisse étant étroitement alignée sur les normes européennes.

Droits supplémentaires ou différenciés au titre du FADP

Les utilisateurs suisses ont le droit :

• d’accéder à leurs données à caractère personnel traitées par Spaarkly ;
• de demander la correction ou l’effacement de données inexactes ou non nécessaires ;
• de s’opposer au traitement des données à des fins de marketing direct.

Exercice des droits

Les utilisateurs suisses peuvent adresser leurs demandes par e-mail à privacy@spaarkly.com. Pour toute réclamation, ils peuvent en outre contacter le Préposé fédéral à la protection des données et à la transparence (PFPDT/FDPIC) à l’adresse www.edoeb.admin.ch.

Exigences de conservation des données

Nous appliquons les principes généraux de conservation des données décrits dans la présente Politique de confidentialité. Les données à caractère personnel ne sont conservées que pendant la durée nécessaire à la réalisation de la finalité prévue et sont anonymisées dans un délai de 14 mois. Lorsque la loi suisse prévoit des durées de conservation spécifiques, Spaarkly s’y conforme.

Obligations de notification en cas de violation de données

En cas de violation de données entraînant un risque élevé pour les droits des individus, Spaarkly informera :

• le Préposé fédéral à la protection des données et à la transparence (FDPIC) ;
• les personnes concernées, lorsque la loi suisse l’exige.

Transferts internationaux de données

Les données à caractère personnel des utilisateurs suisses ne sont pas transférées en dehors de la Suisse, sauf si :

• le pays de destination est réputé disposer d’un niveau de protection adéquat par les autorités suisses ;
• des Clauses Contractuelles Types (CCT) approuvées par la Commission européenne sont mises en œuvre pour les transferts vers l’UE/EEE ;
• d’autres garanties conformes au FADP suisse sont adoptées pour protéger les données transférées.

C. ÉTATS-UNIS — ADDENDUM USA

Les États-Unis ne disposent pas d’une loi fédérale générale sur la protection des données applicable à l’ensemble des États. Spaarkly se conforme dès lors aux lois sur la vie privée applicables au niveau étatique. Le présent Addendum s’applique aux résidents des États-Unis et complète la Politique de confidentialité ARShades. Il régit la conformité aux lois fédérales et étatiques en matière de vie privée, notamment, à titre non exhaustif :

• Californie : California Consumer Privacy Act (CCPA) et California Privacy Rights Act (CPRA) ;
• Virginie : Virginia Consumer Data Protection Act (VCDPA) ;
• Colorado : Colorado Privacy Act (CPA) ;
• Connecticut : Connecticut Data Privacy Act (CTDPA) ;
• Utah : Utah Consumer Privacy Act (UCPA) ;
• Montana : Montana Consumer Data Privacy Act (MCDPA) ;
• Oregon : Oregon Consumer Privacy Act (OCPA) ;
• Illinois : Biometric Information Privacy Act (BIPA) ;
• Texas : Capture or Use of Biometric Identifier Act (CUBI) et Texas Data Privacy and Security Act (TDPSA) ;
• Washington : loi sur la vie privée biométrique (RCW 19.375) ;
• autres lois étatiques applicables en matière de vie privée.

Les dispositions du présent Addendum s’appliquent en complément de celles de la Politique principale. En cas de conflit, le présent Addendum prévaut pour les résidents des États-Unis.

Droits et réglementations spécifiques à chaque État

1. Californie (CCPA/CPRA)

Les résidents de Californie ont le droit :

• de savoir quelles catégories de données à caractère personnel nous collectons ;
• de comprendre les finalités du traitement ;
• de demander l’effacement de leurs données à caractère personnel, sous réserve des exceptions autorisées par la loi ;
• de s’opposer à la vente ou au partage de leurs données, le cas échéant ;
• de ne pas subir de discrimination en raison de l’exercice de leurs droits en matière de vie privée.

2. Virginie, Colorado, Connecticut, Utah, Montana et Oregon

Les résidents de ces États bénéficient de droits similaires à ceux prévus par le CCPA, notamment :

• des droits d’accès, de rectification et d’effacement ;
• des droits d’opt-out à l’égard de la publicité ciblée ou de la vente de données à caractère personnel, le cas échéant. Bien qu’ARShades n’exerce pas de telles activités, les résidents du Montana et de l’Oregon peuvent néanmoins demander confirmation en contactant Spaarkly.

3. Illinois (BIPA), Texas (CUBI), Washington (RCW 19.375)

• Spaarkly ne collecte pas de données biométriques telles que définies par ces lois.
• ARShades traite exclusivement des points mathématiques de repère faciaux à des fins d’essayage virtuel et, au moyen d’AR PD Meter, de calcul de la distance pupillaire, lesquels :
  • ne peuvent pas être utilisés pour identifier de manière unique une personne ;
  • pour le Virtual Try-On, sont traités localement sur l’appareil de l’utilisateur et jamais conservés ;
  • pour AR PD Meter, peuvent être transmis temporairement, en tant que données techniques dérivées non utilisées pour identifier l’Utilisateur et insusceptibles, à elles seules, de l’identifier, au backend ARShades situé dans l’Union européenne, utilisés exclusivement pour restituer le résultat de la mesure et supprimés après traitement, sans jamais être conservés ;
  • ne créent pas d’identifiant persistant rattaché à un individu.

4. Autres États des États-Unis

• Certains États ne disposent pas encore de lois générales sur la vie privée.
• En pareils cas, Spaarkly suit les principes généraux décrits dans la présente Politique de confidentialité et se conforme à toute réglementation étatique applicable.

Comment exercer ses droits

Les résidents des États-Unis peuvent nous contacter à l’adresse privacy@spaarkly.com, en précisant leur État de résidence.

Nous pourrions demander des informations complémentaires aux fins de vérification de l’identité, par exemple des données relatives à l’appareil ou l’adresse IP, pour traiter la demande.

Information et consentement spécifiques aux États dotés d’une réglementation biométrique

Bien que notre technologie ne collecte ni ne conserve d’informations biométriques telles que définies par la loi, nous fournissons la présente information supplémentaire et sollicitons le consentement explicite à l’utilisation de notre technologie d’essayage virtuel et de mesure.

Avant le lancement de l’expérience, l’Utilisateur donne un consentement exprès — en cochant la case d’acceptation de la présente Politique — à l’utilisation de la technologie de détection faciale telle que décrite dans la présente Politique de confidentialité.

Il est possible de retirer ce consentement à tout moment en cessant d’utiliser la fonctionnalité d’essayage virtuel ou en désactivant l’accès à la caméra dans les paramètres de l’appareil.

Exigences de conservation des données

Comme indiqué dans la Politique principale :

• toute donnée de mesure faciale est traitée en temps réel et n’est jamais conservée au-delà de la session immédiate ;
• les données techniques dérivées transmises temporairement au backend ARShades pour AR PD Meter sont utilisées uniquement pour restituer le résultat de la mesure et supprimées après traitement ;
• les données de session et de l’appareil sont anonymisées et dissociées dans un délai de 14 mois.

Obligations de notification en cas de violation de données

Dès lors que Spaarkly ne collecte pas les coordonnées de contact des utilisateurs, il n’est pas possible de notifier directement les individus en cas de violation de données. Conformément aux lois étatiques en matière de violation de données, Spaarkly notifiera les autorités étatiques compétentes lorsque cela est requis.

Si la loi l’impose, Spaarkly publiera une communication publique sur son site web ou par d’autres canaux appropriés.

Règles relatives aux transferts de données

Les données techniques et de session décrites dans la présente Politique, y compris les données techniques dérivées traitées temporairement pour AR PD Meter, sont traitées sur des serveurs situés dans l’Union européenne (UE), où elles bénéficient des protections prévues par le RGPD.

Il en résulte que certaines données générées par l’utilisation des Services aux États-Unis sont traitées dans l’UE. La loi américaine ne restreint pas de tels transferts ; les données transférées n’identifient pas directement l’Utilisateur, sont protégées par des mesures techniques et organisationnelles appropriées et sont supprimées ou anonymisées selon les termes de la présente Politique.

Si, à l’avenir, il devenait nécessaire de transférer des données à caractère personnel de l’UE/EEE vers les États-Unis, cela s’effectuerait exclusivement avec les garanties prévues par le RGPD, telles que les Clauses Contractuelles Types (CCT) ou l’EU-U.S. Data Privacy Framework (DPF).

Renonciation aux actions collectives et au procès devant jury

POUR LES UTILISATEURS SITUÉS AUX ÉTATS-UNIS : DANS TOUTE LA MESURE PERMISE PAR LA LOI, L’UTILISATEUR ET SPAARKLY ACCEPTENT DE RENONCER AU DROIT À UN PROCÈS DEVANT JURY OU À PARTICIPER EN QUALITÉ DE DEMANDEUR OU DE MEMBRE D’UN GROUPE À TOUTE PRÉTENDUE ACTION COLLECTIVE, PROCÉDURE REPRÉSENTATIVE OU ACTION DE PRIVATE ATTORNEY GENERAL.

Sauf accord contraire entre l’Utilisateur et Spaarkly, toute procédure de résolution des litiges sera conduite exclusivement sur une base individuelle. Si, pour quelque raison que ce soit, un litige est porté devant un tribunal plutôt qu’en arbitrage, l’Utilisateur et Spaarkly renoncent chacun à tout droit à un procès devant jury.

Cette renonciation peut ne pas être applicable dans tous les États. Lorsqu’elle n’est pas applicable en vertu du droit étatique, les litiges seront résolus conformément aux exigences de l’État applicable.

D. CANADA (PIPEDA — PERSONAL INFORMATION PROTECTION AND ELECTRONIC DOCUMENTS ACT)

Les utilisateurs au Canada sont protégés par le Personal Information Protection and Electronic Documents Act (PIPEDA) et par les lois provinciales sur la vie privée, dont la Loi 25 du Québec (anciennement projet de loi 64), le Personal Information Protection Act (PIPA) de la Colombie-Britannique et le Personal Information Protection Act (PIPA) de l’Alberta.

Conformité au PIPEDA et aux lois provinciales sur la vie privée

Spaarkly opère au Canada et adhère aux principes du PIPEDA. Son modèle actuel de traitement des données est le suivant :

• les données faciales utilisées pour le Virtual Try-On sont traitées localement sur l’appareil et ne sont pas conservées ; pour AR PD Meter, des données techniques dérivées, non utilisées pour identifier l’Utilisateur et insusceptibles, à elles seules, de l’identifier, peuvent être transmises temporairement au backend ARShades situé dans l’Union européenne, utilisées exclusivement pour restituer le résultat de la mesure et supprimées après traitement ;
• aucune donnée biométrique ou identifiant unique n’est collecté, pas plus que de noms, coordonnées ou profils d’utilisateur ;
• les données de session et de l’appareil (y compris l’adresse IP) sont conservées sur des serveurs situés dans l’Union européenne et anonymisées dans un délai de 14 mois ; les éventuelles photos finales demandées par l’Utilisateur depuis des appareils en point de vente sont effacées au plus tard le jour suivant la session. Cela peut entraîner un transfert de ces données vers l’UE, avec les garanties décrites dans la section « Transferts internationaux » du présent Addendum.

Dès lors que Spaarkly ne traite pas de données susceptibles d’identifier directement les Utilisateurs (tels que noms, coordonnées ou identifiants persistants), certaines obligations du PIPEDA, comme l’obtention du consentement pour des usages secondaires des données ou la tenue de registres détaillés des activités de traitement, ne s’appliquent pas au sens strict.

Droits des utilisateurs au titre du PIPEDA

Les utilisateurs au Canada bénéficient de droits analogues à ceux prévus par le RGPD, notamment :

• le droit d’accès : demander une copie de leurs données à caractère personnel et des informations sur leur utilisation ;
• le droit de rectification : demander la correction de données inexactes ou incomplètes ;
• le droit de retirer le consentement : retirer à tout moment le consentement précédemment donné ;
• le droit de contester la conformité : contester la conformité d’une organisation aux principes du PIPEDA ;
• le droit de recours : introduire une réclamation auprès de l’autorité compétente en matière de protection des données.

Exercice des droits

Les utilisateurs canadiens peuvent exercer leurs droits en contactant privacy@spaarkly.com.

Aux fins de vérification de l’identité, des informations complémentaires telles que l’adresse IP ou des identifiants de l’appareil peuvent être demandées avant le traitement des demandes.

Si les utilisateurs ne sont pas satisfaits de notre réponse, ils peuvent s’adresser :

• à l’Office of the Privacy Commissioner of Canada (OPC) (https://www.priv.gc.ca/en/) ;
• aux commissaires provinciaux à la protection de la vie privée de la Colombie-Britannique, de l’Alberta ou du Québec, le cas échéant.

Conservation des données et mesures de sécurité

Le PIPEDA exige que les données à caractère personnel soient conservées uniquement pendant la durée nécessaire à la finalité prévue.

• Spaarkly garantit que les données de session et de l’appareil sont anonymisées dans un délai de 14 mois, conformément aux meilleures pratiques.
• Des mesures techniques et organisationnelles robustes sont mises en œuvre pour prévenir tout accès non autorisé, toute fuite de données ou tout usage abusif.

Obligations de notification en cas de violation de données

• En cas de violation de données présentant un risque réel de préjudice grave, Spaarkly notifiera :
  • l’Office of the Privacy Commissioner of Canada (OPC) ;
  • les commissaires provinciaux à la protection de la vie privée, lorsque la loi provinciale l’exige ;
  • lorsque la loi l’exige, une communication publique sera publiée sur le site de Spaarkly ou par d’autres canaux appropriés.
• Dès lors que Spaarkly ne collecte pas les coordonnées de contact des utilisateurs, il n’est pas possible d’adresser des notifications individuelles.

Transferts internationaux et garantie de conformité

Les données techniques et de session décrites dans la présente Politique, y compris les données techniques dérivées traitées temporairement pour AR PD Meter, sont traitées sur des serveurs situés dans l’Union européenne. Cela peut entraîner un transfert de données en dehors du Canada vers l’UE, juridiction qui assure un niveau élevé de protection des données à caractère personnel. Ces données n’identifient pas directement l’Utilisateur et sont protégées par des garanties contractuelles et des mesures techniques et organisationnelles appropriées, conformément au principe de responsabilité (Accountability) du PIPEDA.

Si une autorité canadienne exigeait des garanties supplémentaires, Spaarkly adopterait immédiatement toutes les mesures de conformité nécessaires, dont :

• garantir la conformité au principe de responsabilité (Accountability) du PIPEDA en matière de transferts internationaux ;
• mettre en œuvre des Clauses Contractuelles Types (CCT) ou d’autres mécanismes de transfert juridiquement reconnus, lorsque cela est nécessaire ;
• fournir des informations claires et accessibles sur les éventuels transferts transfrontaliers et les risques y afférents.

Dès lors que Spaarkly demeure attachée à la pleine conformité au PIPEDA et aux lois provinciales sur la vie privée, elle surveillera les évolutions réglementaires et adaptera ses pratiques de traitement si les autorités exigent des garanties supplémentaires.

E. AUSTRALIE ET NOUVELLE-ZÉLANDE

Les utilisateurs en Australie et en Nouvelle-Zélande sont protégés par les lois générales sur la vie privée de leur pays :

• Australie : Privacy Act 1988 (Cth), y compris les Australian Privacy Principles (APPs), et Privacy Amendment (Notifiable Data Breaches) Act 2017 ;
• Nouvelle-Zélande : Privacy Act 2020, y compris les Information Privacy Principles (IPPs), sous le contrôle de l’Office of the Privacy Commissioner (OPC).

Conformité aux lois australiennes et néo-zélandaises sur la vie privée

Spaarkly opère en Australie et en Nouvelle-Zélande et adhère aux principes prévus par les lois sur la vie privée de ces juridictions. Son modèle actuel de traitement des données est le suivant :

• les données faciales utilisées pour le Virtual Try-On sont traitées localement sur l’appareil et ne sont pas conservées ; pour AR PD Meter, des données techniques dérivées, non utilisées pour identifier l’Utilisateur et insusceptibles, à elles seules, de l’identifier, peuvent être transmises temporairement au backend ARShades situé dans l’Union européenne, utilisées exclusivement pour restituer le résultat de la mesure et supprimées après traitement ;
• aucune donnée biométrique ou identifiant unique n’est collecté, pas plus que de noms, coordonnées ou profils d’utilisateur ;
• les données de session et de l’appareil (y compris l’adresse IP) sont conservées sur des serveurs situés dans l’Union européenne et anonymisées dans un délai de 14 mois ; les éventuelles photos finales demandées par l’Utilisateur depuis des appareils en point de vente sont effacées au plus tard le jour suivant la session. Cela peut entraîner un transfert de ces données vers l’UE, avec les garanties décrites dans la section « Transferts internationaux » du présent Addendum.

Dès lors que Spaarkly ne traite pas de données susceptibles d’identifier directement les Utilisateurs (tels que noms, coordonnées ou identifiants persistants), certaines obligations prévues par l’Australian Privacy Act et le New Zealand Privacy Act, telles que l’élaboration d’un plan complet de gestion de la vie privée ou la tenue de registres détaillés des activités de traitement, ne s’appliquent pas au sens strict.

Droits des utilisateurs au titre des lois australiennes et néo-zélandaises sur la vie privée

Les utilisateurs en Australie et en Nouvelle-Zélande bénéficient de droits en matière de vie privée qui incluent :

• le droit d’accès : demander l’accès à leurs données à caractère personnel détenues par une organisation ;
• le droit de correction : demander la correction de données inexactes, obsolètes, incomplètes ou trompeuses ;
• le droit d’opposition : s’opposer à certains types de traitement, en particulier le marketing direct en Australie et les traitements susceptibles de causer un préjudice, un désagrément ou un dommage significatifs en Nouvelle-Zélande ;
• le droit de réclamation : introduire une réclamation auprès de l’autorité compétente en matière de vie privée s’ils estiment que leurs droits ont été violés ;
• le droit à des réparations : obtenir réparation pour les atteintes à la vie privée, notamment correction, excuses ou indemnisation, le cas échéant.

Exercice des droits

Les utilisateurs en Australie et en Nouvelle-Zélande peuvent exercer leurs droits en contactant privacy@spaarkly.com.

Une vérification de l’identité, par exemple au moyen de l’adresse IP ou d’identifiants de l’appareil, peut être demandée avant le traitement des demandes.

Si les utilisateurs ne sont pas satisfaits de la réponse de Spaarkly, ils peuvent s’adresser :

• à l’Office of the Australian Information Commissioner (OAIC) (https://www.oaic.gov.au/) ;
• à l’Office of the Privacy Commissioner (OPC) de Nouvelle-Zélande (https://www.privacy.org.nz/).

Conservation des données et mesures de sécurité

Tant l’Australian Privacy Act que le Privacy Act de Nouvelle-Zélande exigent que les données à caractère personnel ne soient pas conservées plus longtemps que nécessaire au regard de la finalité prévue.

• Spaarkly garantit que les données de session et de l’appareil sont anonymisées dans un délai de 14 mois, conformément aux meilleures pratiques.
• Des mesures techniques et organisationnelles robustes sont mises en œuvre pour prévenir tout accès non autorisé, toute fuite de données ou tout usage abusif, conformément à l’APP 11 en Australie et à l’IPP 5 en Nouvelle-Zélande.

Obligations de notification en cas de violation de données

• En cas de violation de données susceptible d’entraîner un préjudice grave pour les personnes concernées, Spaarkly notifiera :
  • l’Office of the Australian Information Commissioner (OAIC) au titre du régime Notifiable Data Breaches (NDB), en achevant l’évaluation de l’incident dans un délai de 30 jours et en procédant à la notification dès que cela est raisonnablement possible ;
  • l’Office of the Privacy Commissioner (OPC) de Nouvelle-Zélande dans les meilleurs délais, conformément aux exigences de notification obligatoire prévues par le Privacy Act 2020.
• Dès lors que Spaarkly ne collecte pas les coordonnées de contact des utilisateurs, il n’est pas possible d’adresser directement des notifications individuelles. Lorsque la loi l’exige, Spaarkly publiera une communication publique sur son site web ou par d’autres canaux appropriés.

Transferts internationaux et garantie de conformité

Les données techniques et de session décrites dans la présente Politique, y compris les données techniques dérivées traitées temporairement pour AR PD Meter, sont traitées sur des serveurs situés dans l’Union européenne. Cela peut entraîner un transfert de données en dehors de l’Australie ou de la Nouvelle-Zélande vers l’UE, juridiction qui assure un niveau élevé de protection des données à caractère personnel. Ces données n’identifient pas directement l’Utilisateur et sont protégées par des garanties contractuelles et des mesures techniques et organisationnelles appropriées, en cohérence avec l’APP 8 en Australie et l’IPP 12 en Nouvelle-Zélande.

Si une autorité exigeait des garanties supplémentaires, Spaarkly adopterait immédiatement toutes les mesures de conformité nécessaires, dont :

• garantir la conformité à l’APP 8 et à la Section 16C de l’Australian Privacy Act en matière de communications transfrontalières ;
• mettre en œuvre les garanties appropriées requises par l’IPP 12 du New Zealand Privacy Act 2020 pour les transferts vers l’étranger ;
• fournir aux utilisateurs des informations claires sur les éventuels transferts transfrontaliers et maintenir la responsabilité en matière de protection des données.

Dès lors que Spaarkly demeure attachée à la pleine conformité aux lois australiennes et néo-zélandaises sur la vie privée, elle surveillera les évolutions réglementaires et adaptera ses pratiques de traitement si les autorités exigent des garanties supplémentaires.

F. RÉGION ASIE-PACIFIQUE

Les utilisateurs de la région Asie-Pacifique sont protégés par diverses lois nationales générales sur la protection des données, dont :

• Singapour : Personal Data Protection Act (PDPA) de 2012, tel que modifié en 2020, appliqué par la Personal Data Protection Commission (PDPC) ;
• Malaisie : Personal Data Protection Act (PDPA) de 2010, appliqué par le Personal Data Protection Department (JPDP) ;
• Philippines : Data Privacy Act (DPA) de 2012, appliqué par la National Privacy Commission (NPC) ;
• Indonésie : Personal Data Protection Law (PDP Law) de 2022, inspirée du RGPD ;
• Thaïlande : Personal Data Protection Act (PDPA) de 2019, appliqué par le Personal Data Protection Committee (PDPC) ;
• Corée du Sud : Personal Information Protection Act (PIPA), appliqué par la Personal Information Protection Commission (PIPC) ;
• d’autres juridictions dotées de cadres réglementaires émergents en matière de protection des données.

Conformité aux lois de la région Asie-Pacifique sur la protection des données

Spaarkly opère dans la région Asie-Pacifique et adhère aux principes établis par les lois sur la vie privée de ces juridictions. Son modèle actuel de traitement des données est le suivant :

• les données faciales utilisées pour le Virtual Try-On sont traitées localement sur l’appareil et ne sont pas conservées ; pour AR PD Meter, des données techniques dérivées, non utilisées pour identifier l’Utilisateur et insusceptibles, à elles seules, de l’identifier, peuvent être transmises temporairement au backend ARShades situé dans l’Union européenne, utilisées exclusivement pour restituer le résultat de la mesure et supprimées après traitement ;
• aucune donnée biométrique ou identifiant unique n’est collecté, pas plus que de noms, coordonnées ou profils d’utilisateur ;
• les données de session et de l’appareil (y compris l’adresse IP) sont conservées sur des serveurs situés dans l’Union européenne et anonymisées dans un délai de 14 mois ; les éventuelles photos finales demandées par l’Utilisateur depuis des appareils en point de vente sont effacées au plus tard le jour suivant la session. Cela peut entraîner un transfert de ces données vers l’UE, avec les garanties décrites dans la section « Transferts internationaux » du présent Addendum.

Dès lors que Spaarkly ne traite pas de données susceptibles d’identifier directement les Utilisateurs (tels que noms, coordonnées ou identifiants persistants), certaines obligations prévues par les lois de la région Asie-Pacifique sur la vie privée, telles que les analyses d’impact relatives à la protection des données, l’enregistrement auprès des autorités ou la tenue de registres détaillés des activités de traitement, ne s’appliquent pas au sens strict dans la plupart des cas.

Droits des utilisateurs au titre des lois de la région Asie-Pacifique sur la vie privée

Les utilisateurs des pays de la région Asie-Pacifique dotés de lois générales sur la protection des données bénéficient généralement de droits similaires à ceux prévus par le RGPD, notamment :

• le droit d’accès : demander des informations sur la collecte, l’utilisation et la communication des données à caractère personnel ;
• le droit de correction : demander la correction de données à caractère personnel inexactes ou incomplètes ;
• le droit de retrait du consentement : retirer le consentement précédemment donné ;
• le droit à la portabilité des données : demander le transfert des données vers une autre organisation, dans des juridictions telles que Singapour et les Philippines ;
• le droit à l’effacement : demander l’effacement des données à caractère personnel dans des conditions spécifiques, selon la juridiction ;
• le droit d’opposition : s’opposer au traitement à des fins de marketing direct ou à d’autres finalités, selon la juridiction.

Exercice des droits

Les utilisateurs des pays de la région Asie-Pacifique peuvent exercer leurs droits en contactant privacy@spaarkly.com.

Une vérification de l’identité, par exemple au moyen de l’adresse IP ou d’identifiants de l’appareil, peut être demandée avant le traitement des demandes.

Si les utilisateurs ne sont pas satisfaits de la réponse de Spaarkly, ils peuvent s’adresser à leur autorité nationale compétente en matière de protection des données :

• Personal Data Protection Commission (PDPC) de Singapour (https://www.pdpc.gov.sg/) ;
• Personal Data Protection Department (JPDP) de Malaisie (https://www.pdp.gov.my/) ;
• National Privacy Commission (NPC) des Philippines (https://privacy.gov.ph/) ;
• Personal Data Protection Committee (PDPC) de Thaïlande ;
• Personal Information Protection Commission (PIPC) de Corée du Sud ;
• d’autres autorités nationales compétentes, le cas échéant.

Conservation des données et mesures de sécurité

Les lois de la région Asie-Pacifique sur la protection des données exigent généralement que les données à caractère personnel soient conservées uniquement pendant la durée nécessaire à la finalité prévue, puis supprimées de manière sécurisée.

• Spaarkly garantit que les données de session et de l’appareil sont anonymisées dans un délai de 14 mois, conformément aux meilleures pratiques.
• Des mesures techniques et organisationnelles robustes sont mises en œuvre pour prévenir tout accès non autorisé, toute fuite de données ou tout usage abusif, y compris le chiffrement, les contrôles d’accès et des évaluations périodiques de la sécurité.

Obligations de notification en cas de violation de données

• En cas de violation de données susceptible de causer un préjudice aux individus, Spaarkly notifiera :
  • l’autorité compétente en matière de protection des données, selon les exigences locales :
    • Singapour : dans un délai de 3 jours pour les violations à notifier ;
    • Philippines : dans un délai de 72 heures ;
    • Thaïlande : sans retard injustifié, dans un délai de 72 heures ;
    • Corée du Sud : sans retard ;
    • les autres juridictions selon leurs délais respectifs.
• Dès lors que Spaarkly ne collecte pas les coordonnées de contact des utilisateurs, il n’est pas possible d’adresser directement des notifications individuelles. Lorsque la loi l’exige, Spaarkly publiera une communication publique sur son site web ou par d’autres canaux appropriés.

Transferts internationaux et garantie de conformité

Les données techniques et de session décrites dans la présente Politique, y compris les données techniques dérivées traitées temporairement pour AR PD Meter, sont traitées sur des serveurs situés dans l’Union européenne. Cela peut entraîner un transfert de données en dehors du pays de l’Utilisateur vers l’UE, juridiction qui assure un niveau élevé de protection des données à caractère personnel. Ces données n’identifient pas directement l’Utilisateur et sont protégées par des garanties contractuelles et des mesures techniques et organisationnelles appropriées, de manière à assurer un niveau de protection comparable à celui exigé par les lois locales applicables.

Si une autorité exigeait des garanties supplémentaires, Spaarkly adopterait immédiatement toutes les mesures de conformité nécessaires, dont :

• garantir la conformité à des dispositions spécifiques relatives aux transferts, telles que :
  • l’obligation de limitation des transferts du PDPA de Singapour et ses exigences relatives aux transferts vers l’étranger ;
  • les règles du DPA des Philippines relatives au partage transfrontalier des données ;
  • l’interdiction faite par le PDPA de Malaisie de transférer vers certains pays ;
  • les exigences du PIPA de Corée du Sud relatives aux transferts vers l’étranger ;
• mettre en œuvre des mécanismes de transfert juridiquement reconnus, tels que le consentement, des garanties contractuelles, des règles d’entreprise contraignantes ou des mécanismes de certification ;
• fournir aux utilisateurs des informations claires sur les éventuels transferts transfrontaliers et maintenir la responsabilité en matière de protection des données.

Dès lors que Spaarkly demeure attachée à la pleine conformité aux lois de la région Asie-Pacifique sur la vie privée, elle surveillera les évolutions réglementaires dans chaque juridiction et adaptera ses pratiques de traitement si les autorités exigent des garanties supplémentaires.

G. BRÉSIL ET AMÉRIQUE LATINE

Les utilisateurs au Brésil et en Amérique latine sont protégés par diverses lois nationales générales sur la protection des données, dont :

• Brésil : Lei Geral de Proteção de Dados (LGPD) de 2018, appliquée par l’Autoridade Nacional de Proteção de Dados (ANPD) ;
• Mexique : Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) de 2010, appliquée par l’Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) ;
• Argentine : Personal Data Protection Act (PDPA), loi n° 25.326, appliquée par l’Agencia de Acceso a la Información Pública (AAIP) ;
• Colombie : Law 1581 of 2012 sur le régime général de protection des données, appliquée par la Superintendencia de Industria y Comercio (SIC) ;
• Chili : Law No. 19.628 on the Protection of Private Life, avec des réformes réglementaires en cours ;
• Uruguay : Law No. 18.331 on Personal Data Protection and Habeas Data Action, appliquée par l’Unidad Reguladora y de Control de Datos Personales (URCDP) ;
• d’autres juridictions dotées de cadres réglementaires émergents en matière de protection des données.

Conformité aux lois latino-américaines sur la protection des données

Spaarkly opère en Amérique latine et adhère aux principes établis par les lois sur la vie privée de ces juridictions. Son modèle actuel de traitement des données est le suivant :

• les données faciales utilisées pour le Virtual Try-On sont traitées localement sur l’appareil et ne sont pas conservées ; pour AR PD Meter, des données techniques dérivées, non utilisées pour identifier l’Utilisateur et insusceptibles, à elles seules, de l’identifier, peuvent être transmises temporairement au backend ARShades situé dans l’Union européenne, utilisées exclusivement pour restituer le résultat de la mesure et supprimées après traitement ;
• aucune donnée biométrique ou identifiant unique n’est collecté, pas plus que de noms, coordonnées ou profils d’utilisateur ;
• les données de session et de l’appareil (y compris l’adresse IP) sont conservées sur des serveurs situés dans l’Union européenne et anonymisées dans un délai de 14 mois ; les éventuelles photos finales demandées par l’Utilisateur depuis des appareils en point de vente sont effacées au plus tard le jour suivant la session. Cela peut entraîner un transfert de ces données vers l’UE, avec les garanties décrites dans la section « Transferts internationaux » du présent Addendum.

Dès lors que Spaarkly ne traite pas de données susceptibles d’identifier directement les Utilisateurs (tels que noms, coordonnées ou identifiants persistants), certaines obligations prévues par les lois latino-américaines sur la protection des données, telles que la tenue de registres détaillés des activités de traitement, la nomination d’un délégué à la protection des données ou les analyses d’impact, ne s’appliquent pas au sens strict dans la plupart des cas.

Droits des utilisateurs au titre des lois latino-américaines sur la vie privée

Les utilisateurs au Brésil et en Amérique latine dotés de lois générales sur la protection des données bénéficient généralement de droits similaires à ceux prévus par le RGPD, notamment :

• le droit de confirmation et d’accès (droits ARCO) : confirmer l’existence d’un traitement et accéder aux données à caractère personnel ;
• le droit de rectification (droits ARCO) : corriger des données inexactes, incomplètes ou obsolètes ;
• le droit d’effacement (droits ARCO) : demander l’effacement de données non nécessaires ou excessives ;
• le droit d’opposition (droits ARCO) : s’opposer aux traitements illicites ou non consentis ;
• le droit à l’information : recevoir des informations claires sur les activités de traitement ;
• le droit à la portabilité des données : demander le transfert des données vers un autre fournisseur de services, en particulier au titre de la LGPD brésilienne ;
• le droit de retirer le consentement : retirer à tout moment le consentement précédemment donné ;
• le droit à la révision des décisions automatisées : demander la révision de décisions prises exclusivement au moyen d’un traitement automatisé au titre de la LGPD.

Exercice des droits

Les utilisateurs au Brésil et en Amérique latine peuvent exercer leurs droits en contactant privacy@spaarkly.com.

Une vérification de l’identité, par exemple au moyen de l’adresse IP ou d’identifiants de l’appareil, peut être demandée avant le traitement des demandes.

Si les utilisateurs ne sont pas satisfaits de la réponse de Spaarkly, ils peuvent s’adresser à leur autorité nationale compétente :

• Autorité nationale de protection des données du Brésil (ANPD) (https://www.gov.br/anpd/) ;
• Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI) du Mexique (https://home.inai.org.mx/) ;
• Agencia de Acceso a la Información Pública (AAIP) de l’Argentine (https://www.argentina.gob.ar/aaip) ;
• Superintendencia de Industria y Comercio (SIC) de la Colombie (https://www.sic.gov.co/) ;
• d’autres autorités nationales compétentes, le cas échéant.

Conservation des données et mesures de sécurité

Les lois sur la protection des données en Amérique latine exigent généralement que les données à caractère personnel soient conservées uniquement pendant la durée nécessaire à la finalité prévue, puis effacées de manière sécurisée.

• Spaarkly garantit que les données de session et de l’appareil sont anonymisées dans un délai de 14 mois, conformément aux meilleures pratiques.
• Des mesures techniques et organisationnelles robustes sont mises en œuvre pour prévenir tout accès non autorisé, toute fuite de données ou tout usage abusif, comme l’exigent les lois latino-américaines, telles que l’article 46 de la LGPD brésilienne et l’article 19 de la LFPDPPP mexicaine.

Obligations de notification en cas de violation de données

• En cas de violation de données susceptible de causer un risque ou un préjudice aux personnes concernées, Spaarkly notifiera :
  • l’autorité compétente en matière de protection des données, selon les exigences locales :
    • Brésil : notification à l’ANPD dans un délai de 3 jours ouvrables à compter de la connaissance de l’incident, au titre de la Resolução CD/ANPD n° 15/2024 ;
    • Mexique : notification en temps utile aux personnes concernées après confirmation de la violation ;
    • les autres juridictions selon leurs exigences respectives.
• Dès lors que Spaarkly ne collecte pas les coordonnées de contact des utilisateurs, il n’est pas possible d’adresser directement des notifications individuelles. Lorsque la loi l’exige, Spaarkly publiera une communication publique sur son site web ou par d’autres canaux appropriés.

Transferts internationaux et garantie de conformité

Les données techniques et de session décrites dans la présente Politique, y compris les données techniques dérivées traitées temporairement pour AR PD Meter, sont traitées sur des serveurs situés dans l’Union européenne. Cela peut entraîner un transfert de données en dehors du pays de l’Utilisateur vers l’UE, juridiction qui assure un niveau élevé de protection des données à caractère personnel. Ces données n’identifient pas directement l’Utilisateur et sont protégées par des garanties contractuelles et des mesures techniques et organisationnelles appropriées, de manière à assurer un niveau de protection comparable à celui exigé par les lois locales applicables.

Si une autorité exigeait des garanties supplémentaires, Spaarkly adopterait immédiatement toutes les mesures de conformité nécessaires, dont :

• garantir la conformité à des dispositions spécifiques relatives aux transferts, telles que :
  • les exigences de la LGPD brésilienne en matière de transferts internationaux (articles 33 à 36) ;
  • les principes de la LFPDPPP mexicaine relatifs au partage transfrontalier des données ;
  • l’exigence argentine de niveau adéquat au titre de la PDPA ;
  • les exigences de la SIC colombienne relatives aux transferts transfrontaliers ;
• mettre en œuvre des mécanismes de transfert juridiquement reconnus, tels que :
  • des clauses contractuelles types ;
  • des règles d’entreprise contraignantes ;
  • des mécanismes de certification ;
  • un consentement spécifique au transfert ;
  • des décisions d’adéquation ;
• fournir aux utilisateurs des informations claires sur les éventuels transferts transfrontaliers et maintenir la responsabilité en matière de protection des données.

Dès lors que Spaarkly demeure attachée à la pleine conformité aux lois latino-américaines sur la vie privée, elle surveillera les évolutions réglementaires dans chaque juridiction et adaptera ses pratiques de traitement si les autorités exigent des garanties supplémentaires.

H. JAPON (APPI — ACT ON THE PROTECTION OF PERSONAL INFORMATION)

Les utilisateurs au Japon sont protégés par l’Act on the Protection of Personal Information (APPI), tel que substantiellement modifié en 2020 avec effet à compter d’avril 2022, qui institue un cadre complet de protection des données appliqué par la Personal Information Protection Commission (PPC).

Conformité à l’APPI japonais

Spaarkly opère au Japon et adhère aux principes établis par l’APPI. Son modèle actuel de traitement des données est le suivant :

• les données faciales utilisées pour le Virtual Try-On sont traitées localement sur l’appareil et ne sont pas conservées ; pour AR PD Meter, des données techniques dérivées, non utilisées pour identifier l’Utilisateur et insusceptibles, à elles seules, de l’identifier, peuvent être transmises temporairement au backend ARShades situé dans l’Union européenne, utilisées exclusivement pour restituer le résultat de la mesure et supprimées après traitement ;
• aucune donnée biométrique ou identifiant unique n’est collecté, pas plus que de noms, coordonnées ou profils d’utilisateur ;
• les données de session et de l’appareil (y compris l’adresse IP) sont conservées sur des serveurs situés dans l’Union européenne et anonymisées dans un délai de 14 mois ; les éventuelles photos finales demandées par l’Utilisateur depuis des appareils en point de vente sont effacées au plus tard le jour suivant la session. Cela peut entraîner un transfert de ces données vers l’UE, avec les garanties décrites dans la section « Transferts internationaux » du présent Addendum.

Dès lors que Spaarkly ne traite pas de données susceptibles d’identifier directement les Utilisateurs (tels que noms, coordonnées ou identifiants persistants), certaines obligations de l’APPI, telles que la tenue de registres détaillés des activités de traitement, l’obtention du consentement pour la communication à des tiers ou la présentation de notifications à la PPC, ne s’appliquent pas au sens strict.

Spaarkly confirme expressément ne collecter, traiter ou transférer aucune information qui constituerait une « Sensitive Personal Information » (Yōhairyo Kojin Jōhō) au sens de l’art. 2(3) de l’APPI, telle que la race, les croyances, le statut social, les antécédents médicaux ou les antécédents judiciaires.

Droits des utilisateurs au titre de l’APPI japonais

Les utilisateurs au Japon bénéficient de droits spécifiques au titre de l’APPI, notamment :

• le droit de divulgation (Kaiji) : demander la divulgation des données à caractère personnel détenues par un opérateur commercial ;
• le droit de correction (Seigō) : demander la correction, le complément ou l’effacement de données à caractère personnel inexactes ;
• le droit à la suspension de l’utilisation/à l’effacement (Riyō Teishi / Sakujo) : demander la suspension de l’utilisation ou l’effacement de données à caractère personnel traitées en violation de la loi ou au-delà de la finalité spécifiée ;
• le droit à la suspension de la communication à des tiers (Daisansha Teikyō no Teishi) : demander à l’opérateur de cesser la communication de données à caractère personnel à des tiers ;
• le droit à une explication (Setsumei) : recevoir une explication des activités de traitement relatives aux données à caractère personnel ;
• le droit de réclamation (Kujō) : introduire une réclamation auprès de l’opérateur ou de la PPC.

Exercice des droits

Les utilisateurs au Japon peuvent exercer leurs droits en contactant privacy@spaarkly.com.

Une vérification de l’identité, par exemple au moyen de l’adresse IP ou d’identifiants de l’appareil, peut être demandée avant le traitement des demandes. Spaarkly répondra aux demandes dans le délai prévu par l’APPI, généralement dans un délai de deux semaines à compter de la réception.

Si les utilisateurs ne sont pas satisfaits de la réponse de Spaarkly, ils peuvent s’adresser à la :

• Personal Information Protection Commission (PPC) du Japon (https://www.ppc.go.jp/en/).

Conservation des données et mesures de sécurité

L’APPI impose aux opérateurs commerciaux d’établir des mesures de contrôle de la sécurité (art. 23) et de garantir l’exactitude des données (art. 22). Il prévoit en outre que les données soient effacées lorsqu’elles ne sont plus nécessaires au regard de la finalité spécifiée.

• Spaarkly garantit que les données de session et de l’appareil sont anonymisées dans un délai de 14 mois, conformément aux meilleures pratiques.
• Spaarkly met en œuvre des mesures de sécurité complètes telles qu’exigées par l’art. 23 de l’APPI, dont :
• les contrôles d’accès et les mécanismes d’authentification ;
• le chiffrement des données en transit et au repos ;
• des évaluations et mises à jour périodiques de la sécurité ;
• la formation du personnel en matière de protection des données.

Obligations de notification en cas de violation de données

• En cas de perte de données à caractère personnel ou d’autre incident de sécurité (Jōhō Rōei Jiko), Spaarkly :
  • procédera à un signalement en temps utile à la PPC au titre de l’art. 26 de l’APPI, lorsque la violation atteint le seuil de notification ;
  • inclura dans la notification les détails de l’incident, les types de données concernés, la cause et les mesures correctives ;
  • lorsque la loi l’exige, publiera une communication publique sur le site de Spaarkly ou par d’autres canaux appropriés, dès lors que les notifications individuelles directes ne sont pas possibles en l’absence de données de contact collectées.

Transferts internationaux et garantie de conformité

Les données techniques et de session décrites dans la présente Politique, y compris les données techniques dérivées traitées temporairement pour AR PD Meter, sont traitées sur des serveurs situés dans l’Union européenne. Cela peut entraîner un transfert de données en dehors du Japon vers l’UE. L’UE est désignée par la Personal Information Protection Commission (PPC) comme une juridiction dotée de normes équivalentes de protection des données à caractère personnel, en vertu de la reconnaissance mutuelle d’adéquation UE-Japon de 2019 : les transferts vers l’UE sont dès lors autorisés au titre de l’art. 28 de l’APPI.

Si la PPC exigeait des garanties supplémentaires, Spaarkly adopterait immédiatement toutes les mesures de conformité nécessaires, dont :

• garantir la conformité à l’art. 28 de l’APPI en matière de transferts internationaux, lequel exige :
  • le consentement préalable de l’individu pour les transferts à des tiers dans des pays étrangers ; ou
  • la garantie que le tiers se trouve dans un pays doté de normes équivalentes de protection des données ; ou
  • la garantie que le tiers maintient des normes équivalentes au moyen d’accords contractuels ou d’autres moyens ;
• mettre en œuvre des mécanismes de transfert appropriés, tels que :
  • des clauses contractuelles types ;
  • des règles d’entreprise contraignantes ;
  • des certifications reconnues ;
• fournir aux utilisateurs des informations claires sur les éventuels transferts transfrontaliers conformément aux exigences de l’APPI.

Dès lors que Spaarkly demeure attachée à la pleine conformité à l’APPI et à ses modifications, elle surveillera les évolutions réglementaires et adaptera ses pratiques de traitement si la PPC ou d’autres autorités japonaises exigent des garanties supplémentaires.

I. CHINE (PIPL — PERSONAL INFORMATION PROTECTION LAW)

Les utilisateurs en Chine sont protégés par la Personal Information Protection Law (PIPL), qui établit des principes similaires au RGPD, y compris des règles strictes sur le traitement des données, des exigences de consentement et des restrictions aux transferts transfrontaliers.

Conformité à la PIPL

Spaarkly opère en Chine et adhère aux principes de la PIPL. Son modèle actuel de traitement est le suivant :

• les données faciales utilisées pour le Virtual Try-On sont traitées localement sur l’appareil et ne sont pas conservées ; pour AR PD Meter, des données techniques dérivées, non utilisées pour identifier l’Utilisateur et insusceptibles, à elles seules, de l’identifier, peuvent être transmises temporairement au backend ARShades situé dans l’Union européenne, utilisées exclusivement pour restituer le résultat de la mesure et supprimées après traitement ;
• absence de collecte de données biométriques ou sensibles : Spaarkly ne collecte pas d’identifiants biométriques, de noms réels, de coordonnées ou d’autres données identifiant l’utilisateur de manière unique ;
• les données de session et de l’appareil (y compris l’adresse IP) sont conservées sur des serveurs situés dans l’Union européenne et anonymisées dans un délai de 14 mois.

Spaarkly surveille en permanence l’applicabilité des exigences de la PIPL à ses activités, y compris celles en matière de localisation des données et de security review, et adopte les mesures requises en fonction de la nature, du volume et des finalités des données traitées.

Droits des utilisateurs au titre de la PIPL

Les utilisateurs en Chine bénéficient de droits alignés sur le RGPD, notamment :

• le droit d’accès : demander une copie de leurs données à caractère personnel ;
• le droit de rectification : demander la correction de données inexactes ou incomplètes ;
• le droit d’effacement : demander l’effacement des données à caractère personnel dans des conditions spécifiques ;
• le droit de limiter le traitement ou de s’y opposer : s’opposer à certaines activités de traitement ;
• le droit de retirer le consentement : retirer à tout moment le consentement précédemment donné.

En outre, la PIPL reconnaît des droits qui vont au-delà du RGPD, notamment :

• le droit de « connaître et de décider » : les utilisateurs disposent d’un contrôle explicite sur la manière dont leurs données sont utilisées ;
• le droit à une explication des décisions automatisées : les utilisateurs peuvent demander une explication de la manière dont des systèmes automatisés, tels que des recommandations fondées sur l’IA, ont une incidence sur eux.

Les utilisateurs en Chine peuvent exercer leurs droits en contactant privacy@spaarkly.com. S’ils ne sont pas satisfaits de la réponse de Spaarkly, ils peuvent s’adresser à la Cyberspace Administration of China (CAC).

Conservation des données et mesures de sécurité

La PIPL impose aux sociétés de conserver les données uniquement pendant la période la plus courte nécessaire à la réalisation de la finalité prévue.

• Spaarkly garantit que les données de session et de l’appareil sont anonymisées dans un délai de 14 mois, conformément aux meilleures pratiques.
• Des mesures techniques et organisationnelles robustes sont mises en œuvre pour prévenir tout accès non autorisé, toute fuite de données ou tout usage abusif.

Obligations de notification en cas de violation de données

En cas de violation de données susceptible de causer des préjudices significatifs, Spaarkly notifiera :

• les autorités réglementaires chinoises compétentes, lorsque la PIPL l’exige ;
• lorsque la loi l’exige, une communication publique sera publiée sur le site de Spaarkly ou par d’autres canaux appropriés.

Dès lors que Spaarkly ne collecte pas les coordonnées de contact des utilisateurs, il n’est pas possible d’adresser des notifications individuelles.

Transferts internationaux et garantie de conformité

Les données techniques et de session décrites dans la présente Politique, y compris les données techniques dérivées traitées temporairement pour AR PD Meter, sont traitées sur des serveurs situés dans l’Union européenne. Pour les utilisateurs en Chine, cela peut constituer une fourniture transfrontalière d’informations personnelles au sens de la PIPL. Ces données sont limitées au minimum nécessaire, ne permettent pas d’identifier directement l’Utilisateur et sont supprimées ou anonymisées selon les termes de la présente Politique.

Dans la mesure où la PIPL exige des mesures spécifiques pour ces flux, ou si une autorité chinoise exigeait des garanties supplémentaires, Spaarkly adopterait immédiatement toutes les mesures de conformité nécessaires pour garantir le respect continu de la PIPL, dont :

• réaliser une évaluation de sécurité au titre des règles de la CAC, lorsqu’elle est requise ;
• mettre en œuvre des Clauses Contractuelles Types (CCT) approuvées par la CAC ou d’autres mécanismes approuvés ;
• obtenir le consentement explicite de l’utilisateur pour d’éventuels transferts transfrontaliers, si cela est jugé nécessaire.

Dès lors que Spaarkly demeure attachée à la pleine conformité à la PIPL, elle surveillera de manière proactive les interprétations réglementaires et adaptera ses pratiques de traitement si une autorité exige des garanties supplémentaires.

J. AFRIQUE DU SUD (POPIA – PROTECTION OF PERSONAL INFORMATION ACT)

Les utilisateurs en Afrique du Sud sont protégés par le Protection of Personal Information Act (POPIA), qui régit la collecte, l’utilisation et la sécurité des données à caractère personnel. Le POPIA est étroitement aligné sur le RGPD, mais comporte des exigences locales spécifiques.

Conformité au POPIA

Spaarkly opère en Afrique du Sud et se conforme aux principes du POPIA. Son modèle actuel de traitement est le suivant :

• les données faciales utilisées pour le Virtual Try-On sont traitées localement sur l’appareil et ne sont pas conservées ; pour AR PD Meter, des données techniques dérivées, non utilisées pour identifier l’Utilisateur et insusceptibles, à elles seules, de l’identifier, peuvent être transmises temporairement au backend ARShades situé dans l’Union européenne, utilisées exclusivement pour restituer le résultat de la mesure et supprimées après traitement ;
• aucune donnée biométrique ou identifiant unique n’est collecté, pas plus que de noms, coordonnées ou profils d’utilisateur ;
• les données de session et de l’appareil (y compris l’adresse IP) sont conservées sur des serveurs situés dans l’Union européenne et anonymisées dans un délai de 14 mois ; les éventuelles photos finales demandées par l’Utilisateur depuis des appareils en point de vente sont effacées au plus tard le jour suivant la session. Cela peut entraîner un transfert de ces données vers l’UE, avec les garanties décrites dans la section « Transferts internationaux » du présent Addendum.

Dès lors que Spaarkly ne traite pas de données à caractère personnel de manière à identifier directement les utilisateurs, elle n’est pas soumise à certaines obligations du POPIA, telles que l’obtention du consentement pour le marketing direct ou la tenue de registres des activités de traitement.

Droits des utilisateurs au titre du POPIA

Les utilisateurs en Afrique du Sud bénéficient de droits similaires à ceux prévus par le RGPD, notamment :

• le droit d’accès : demander une copie de leurs données à caractère personnel ;
• le droit de rectification : demander la correction de données inexactes ou incomplètes ;
• le droit d’effacement : demander l’effacement des données à caractère personnel dans des cas spécifiques ;
• le droit de limiter le traitement ou de s’y opposer : s’opposer à certaines activités de traitement ;
• le droit de retirer le consentement : retirer à tout moment le consentement précédemment donné.

Les utilisateurs peuvent exercer leurs droits en contactant privacy@spaarkly.com. S’ils ne sont pas satisfaits de la réponse de Spaarkly, ils peuvent s’adresser à l’Information Regulator of South Africa (https://inforegulator.org.za/).

Conservation des données et mesures de sécurité

Le POPIA exige que les données à caractère personnel soient conservées uniquement pendant la durée nécessaire à la finalité prévue.

• Spaarkly garantit que les données de session et de l’appareil sont anonymisées dans un délai de 14 mois.
• Des mesures techniques et organisationnelles robustes sont mises en œuvre pour prévenir tout accès non autorisé, toute fuite de données ou tout usage abusif.

Obligations de notification en cas de violation de données

En cas de violation de données susceptible de causer des préjudices significatifs, Spaarkly notifiera :

• l’Information Regulator of South Africa, lorsque le POPIA l’exige ;
• lorsque la loi l’exige, une communication publique sera publiée sur le site de Spaarkly ou par d’autres canaux appropriés.

Dès lors que Spaarkly ne collecte pas les coordonnées de contact des utilisateurs, il n’est pas possible d’adresser des notifications individuelles.

Transferts internationaux et garantie de conformité

Les données techniques et de session décrites dans la présente Politique, y compris les données techniques dérivées traitées temporairement pour AR PD Meter, sont traitées sur des serveurs situés dans l’Union européenne. Cela peut entraîner un transfert de données en dehors de l’Afrique du Sud vers l’UE, conformément à la Section 72 du POPIA, qui autorise les transferts vers des destinataires soumis à des règles assurant un niveau de protection substantiellement analogue : le RGPD satisfait à cette norme. Ces données n’identifient pas directement l’Utilisateur et sont protégées par des garanties contractuelles et des mesures techniques et organisationnelles appropriées.

Si une autorité sud-africaine exigeait des garanties supplémentaires, Spaarkly adopterait immédiatement toutes les mesures de conformité nécessaires, dont :

• garantir que tout transfert de données est conforme à la Section 72 du POPIA, qui exige une protection adéquate ;
• mettre en œuvre des Clauses Contractuelles Types (CCT) ou d’autres mécanismes de transfert juridiquement reconnus, lorsque cela est nécessaire ;
• obtenir le consentement explicite de l’utilisateur pour d’éventuels transferts transfrontaliers, si cela devenait une exigence légale.

Dès lors que Spaarkly demeure attachée à la pleine conformité au POPIA, elle surveillera les évolutions réglementaires et adaptera ses pratiques de traitement si les autorités exigent des garanties supplémentaires.

K. INDE (DPDP – DIGITAL PERSONAL DATA PROTECTION ACT)

Les utilisateurs en Inde sont protégés par le Digital Personal Data Protection Act (DPDP), qui régit le traitement des données à caractère personnel et impose des obligations de conformité similaires à celles du RGPD.

Conformité au DPDP

Spaarkly opère en Inde et adhère aux principes du DPDP. Son modèle actuel de traitement des données est le suivant :

• les données faciales utilisées pour le Virtual Try-On sont traitées localement sur l’appareil et ne sont pas conservées ; pour AR PD Meter, des données techniques dérivées, non utilisées pour identifier l’Utilisateur et insusceptibles, à elles seules, de l’identifier, peuvent être transmises temporairement au backend ARShades situé dans l’Union européenne, utilisées exclusivement pour restituer le résultat de la mesure et supprimées après traitement ;
• aucune donnée biométrique ou identifiant unique n’est collecté, pas plus que de noms, coordonnées ou profils d’utilisateur ;
• les données de session et de l’appareil (y compris l’adresse IP) sont conservées sur des serveurs situés dans l’Union européenne et anonymisées dans un délai de 14 mois ; les éventuelles photos finales demandées par l’Utilisateur depuis des appareils en point de vente sont effacées au plus tard le jour suivant la session. Cela peut entraîner un transfert de ces données vers l’UE, avec les garanties décrites dans la section « Transferts internationaux » du présent Addendum.

Dès lors que Spaarkly ne traite pas de données susceptibles d’identifier directement les Utilisateurs (tels que noms, coordonnées ou identifiants persistants), certaines obligations du DPDP, telles que celles prévues pour les « Significant Data Fiduciary » (nomination d’un délégué à la protection des données en Inde, audits indépendants et analyses d’impact périodiques), trouvent une application limitée.

Droits des utilisateurs au titre du DPDP

Les utilisateurs en Inde bénéficient de droits similaires à ceux prévus par le RGPD, notamment :

• le droit d’accès : demander un récapitulatif des données à caractère personnel traitées ;
• le droit de rectification : demander la correction de données inexactes ou incomplètes ;
• le droit à l’effacement : demander l’effacement des données à caractère personnel dans des conditions spécifiques ;
• le droit de limiter le traitement ou de s’y opposer : s’opposer à certaines activités de traitement ;
• le droit de désigner un représentant : désigner une autre personne pour exercer ses droits en cas de décès ou d’incapacité.

Les utilisateurs peuvent exercer leurs droits en contactant privacy@spaarkly.com. S’ils ne sont pas satisfaits de la réponse de Spaarkly, ils peuvent s’adresser au Data Protection Board of India.

Conservation des données et mesures de sécurité

Le DPDP Act exige que les données à caractère personnel soient conservées uniquement pendant la durée nécessaire à la finalité prévue.

• Spaarkly garantit que les données de session et de l’appareil sont anonymisées dans un délai de 14 mois, conformément aux meilleures pratiques.
• Des mesures techniques et organisationnelles robustes sont mises en œuvre pour prévenir tout accès non autorisé, toute fuite de données ou tout usage abusif.

Obligations de notification en cas de violation de données

• En cas de violation de données à caractère personnel, Spaarkly notifiera :
  • le Data Protection Board of India et, comme l’exige le DPDP, les personnes concernées ;
  • ne disposant pas des coordonnées de contact des Utilisateurs, la communication aux personnes concernées sera effectuée au moyen d’une communication publique sur le site de Spaarkly et, lorsque cela est possible, d’un avis au sein du service, en tant que moyen disponible le plus efficace.

Transferts internationaux et garantie de conformité

Les données techniques et de session décrites dans la présente Politique, y compris les données techniques dérivées traitées temporairement pour AR PD Meter, sont traitées sur des serveurs situés dans l’Union européenne. Cela peut entraîner un transfert de données en dehors de l’Inde vers l’UE. Le DPDP autorise le transfert de données à caractère personnel vers des pays non frappés de restriction par le Gouvernement central ; l’Union européenne ne fait actuellement l’objet d’aucune restriction. Ces données n’identifient pas directement l’Utilisateur et sont protégées par des garanties contractuelles et des mesures techniques et organisationnelles appropriées.

Si une autorité indienne exigeait des garanties supplémentaires, Spaarkly adopterait immédiatement toutes les mesures de conformité nécessaires, dont :

• garantir la conformité aux exigences du DPDP en matière de localisation et de transfert des données ;
• mettre en œuvre des mécanismes de transfert juridiquement reconnus, tels que des clauses contractuelles approuvées par le gouvernement ;
• obtenir le consentement explicite de l’utilisateur pour d’éventuels transferts transfrontaliers, si cela devenait une exigence légale.

Dès lors que Spaarkly demeure attachée à la pleine conformité au DPDP, elle surveillera les évolutions réglementaires et adaptera ses pratiques de traitement si les autorités exigent des garanties supplémentaires.

L. MOYEN-ORIENT (ÉMIRATS ARABES UNIS – Dubaï – Arabie Saoudite – Autres Pays)

Les utilisateurs au Moyen-Orient sont protégés par diverses lois nationales sur la protection des données, dont :

• Émirats arabes unis (UAE) : Federal Decree-Law No. 45 of 2021 on the Protection of Personal Data ;
• Dubai International Financial Centre (DIFC) : DIFC Data Protection Law No. 5 of 2020 ;
• Arabie Saoudite : Personal Data Protection Law (PDPL) ;
• autres réglementations nationales applicables en matière de vie privée.

Conformité aux lois du Moyen-Orient sur la vie privée

Spaarkly opère au Moyen-Orient et se conforme aux réglementations applicables en matière de protection des données. Son modèle actuel de traitement des données est le suivant :

• les données faciales utilisées pour le Virtual Try-On sont traitées localement sur l’appareil et ne sont pas conservées ; pour AR PD Meter, des données techniques dérivées, non utilisées pour identifier l’Utilisateur et insusceptibles, à elles seules, de l’identifier, peuvent être transmises temporairement au backend ARShades situé dans l’Union européenne, utilisées exclusivement pour restituer le résultat de la mesure et supprimées après traitement ;
• aucune donnée biométrique ou identifiant unique n’est collecté, pas plus que de noms, coordonnées ou profils d’utilisateur ;
• les données de session et de l’appareil (y compris l’adresse IP) sont conservées sur des serveurs situés dans l’Union européenne et anonymisées dans un délai de 14 mois ; les éventuelles photos finales demandées par l’Utilisateur depuis des appareils en point de vente sont effacées au plus tard le jour suivant la session. Cela peut entraîner un transfert de ces données vers l’UE, avec les garanties décrites dans la section « Transferts internationaux » du présent Addendum.

Dès lors que Spaarkly ne traite pas de données susceptibles d’identifier directement les Utilisateurs (tels que noms, coordonnées ou identifiants persistants), certaines obligations prévues par les lois du Moyen-Orient sur la vie privée, telles que le consentement pour le marketing direct ou la tenue de registres locaux du traitement, ne s’appliquent pas.

Droits des utilisateurs au titre des lois du Moyen-Orient sur la vie privée

Les utilisateurs dans les juridictions du Moyen-Orient bénéficient de droits similaires à ceux prévus par le RGPD, notamment :

• le droit d’accès : demander une copie de leurs données à caractère personnel ;
• le droit de rectification : demander la correction de données inexactes ou incomplètes ;
• le droit à l’effacement : demander l’effacement des données à caractère personnel dans des conditions spécifiques ;
• le droit d’opposition : s’opposer à certains types de traitement ;
• le droit de retirer le consentement : retirer à tout moment le consentement précédemment donné.

Les utilisateurs peuvent exercer leurs droits en contactant privacy@spaarkly.com.

S’ils ne sont pas satisfaits de la réponse de Spaarkly, ils peuvent s’adresser :

• à l’UAE Data Office ;
• au DIFC Commissioner of Data Protection (https://www.difc.ae/business/regulations/data-protection/) ;
• à la Saudi Data & Artificial Intelligence Authority (SDAIA), autorité compétente au titre de la Personal Data Protection Law (PDPL) saoudienne.

Conservation des données et mesures de sécurité

Les lois du Moyen-Orient sur la protection des données exigent que les données à caractère personnel soient conservées uniquement pendant la durée nécessaire à la finalité prévue.

• Spaarkly garantit que les données de session et de l’appareil sont anonymisées dans un délai de 14 mois, conformément aux meilleures pratiques.
• Des mesures techniques et organisationnelles robustes sont mises en œuvre pour prévenir tout accès non autorisé, toute fuite de données ou tout usage abusif.

Obligations de notification en cas de violation de données

• En cas de violation de données susceptible de causer des préjudices significatifs, Spaarkly notifiera :
  • l’autorité compétente du Moyen-Orient en matière de protection des données, lorsque la loi locale l’exige ;
  • lorsque la loi l’exige, une communication publique sera publiée sur le site de Spaarkly ou par d’autres canaux appropriés.
• Dès lors que Spaarkly ne collecte pas les coordonnées de contact des utilisateurs, il n’est pas possible d’adresser des notifications individuelles.

Transferts internationaux et garantie de conformité

Les données techniques et de session décrites dans la présente Politique, y compris les données techniques dérivées traitées temporairement pour AR PD Meter, sont traitées sur des serveurs situés dans l’Union européenne. Cela peut entraîner un transfert de données en dehors du pays de l’Utilisateur vers l’UE, juridiction qui assure un niveau élevé de protection des données à caractère personnel, reconnue comme adéquate par plusieurs réglementations de la région (par exemple au titre de la DIFC Data Protection Law). Ces données n’identifient pas directement l’Utilisateur et sont protégées par des garanties contractuelles et des mesures techniques et organisationnelles appropriées.

Si une autorité du Moyen-Orient exigeait des garanties supplémentaires, Spaarkly adopterait immédiatement toutes les mesures de conformité nécessaires, dont :

• garantir la conformité aux lois locales sur la protection des données en matière de transferts internationaux ;
• mettre en œuvre des mécanismes de transfert juridiquement reconnus, tels que des Clauses Contractuelles Types (CCT) ou des cadres approuvés par le gouvernement ;
• obtenir le consentement explicite de l’utilisateur pour d’éventuels transferts transfrontaliers, si cela devenait une exigence légale.

Dès lors que Spaarkly demeure attachée à la pleine conformité aux lois du Moyen-Orient sur la vie privée, elle surveillera les évolutions réglementaires et adaptera ses pratiques de traitement si les autorités exigent des garanties supplémentaires.

M. AUTRES PAYS

Les utilisateurs des pays non expressément couverts par les sections précédentes sont protégés par les lois nationales de protection des données qui leur sont applicables, le cas échéant. Bien que les lois sur la vie privée varient, Spaarkly adhère à des principes de protection des données reconnus au niveau international, dérivés du RGPD.

Conformité aux normes internationales sur la vie privée

Spaarkly opère à l’échelle mondiale et se conforme à des principes internationalement reconnus de protection des données. Son modèle actuel de traitement des données est le suivant :

• les données faciales utilisées pour le Virtual Try-On sont traitées localement sur l’appareil et ne sont pas conservées ; pour AR PD Meter, des données techniques dérivées, non utilisées pour identifier l’Utilisateur et insusceptibles, à elles seules, de l’identifier, peuvent être transmises temporairement au backend ARShades situé dans l’Union européenne, utilisées exclusivement pour restituer le résultat de la mesure et supprimées après traitement ;
• aucune donnée biométrique ou identifiant unique n’est collecté, pas plus que de noms, coordonnées ou profils d’utilisateur ;
• les données de session et de l’appareil (y compris l’adresse IP) sont conservées sur des serveurs situés dans l’Union européenne et anonymisées dans un délai de 14 mois ; les éventuelles photos finales demandées par l’Utilisateur depuis des appareils en point de vente sont effacées au plus tard le jour suivant la session. Cela peut entraîner un transfert de ces données vers l’UE, avec les garanties décrites dans la section « Transferts internationaux » du présent Addendum.

Dès lors que Spaarkly ne traite pas de données susceptibles d’identifier directement les Utilisateurs (tels que noms, coordonnées ou identifiants persistants), certaines obligations nationales, telles que la localisation des données, l’enregistrement auprès des autorités locales ou des exigences supplémentaires de consentement, ne s’appliquent pas.

Droits des utilisateurs dans d’autres pays

Les utilisateurs des pays non spécifiquement énumérés dans la présente Politique de confidentialité peuvent néanmoins bénéficier de droits au titre des lois nationales sur la vie privée. Conformément aux normes internationales, les utilisateurs ont généralement le droit :

• d’accéder à leurs données à caractère personnel et d’en demander une copie ;
• de demander la correction de données inexactes ou incomplètes ;
• de demander l’effacement des données à caractère personnel dans des conditions spécifiques ;
• de s’opposer à certaines activités de traitement ;
• de retirer leur consentement, le cas échéant.

Les utilisateurs peuvent exercer leurs droits en contactant privacy@spaarkly.com. S’ils ne sont pas satisfaits de la réponse de Spaarkly, ils peuvent introduire une réclamation auprès de l’autorité nationale compétente en matière de protection des données, le cas échéant.

Conservation des données et mesures de sécurité

Les lois sur la vie privée dans la plupart des juridictions prévoient que les données à caractère personnel ne doivent être conservées que pendant la durée nécessaire.

• Spaarkly garantit que les données de session et de l’appareil sont anonymisées dans un délai de 14 mois, conformément aux meilleures pratiques.
• Des mesures techniques et organisationnelles rigoureuses sont mises en œuvre pour prévenir tout accès non autorisé, toute fuite de données ou tout usage abusif.

Obligations de notification en cas de violation de données

En cas de violation de données susceptible de causer un préjudice significatif, Spaarkly notifiera :

• l’autorité compétente en matière de protection des données, lorsque la réglementation locale l’exige.
• Si la loi l’y oblige, elle publiera un avis public sur son site web ou par d’autres canaux appropriés.

Dès lors que Spaarkly ne collecte pas les coordonnées de contact des utilisateurs, il n’est pas possible d’adresser des notifications individuelles.

Transferts internationaux de données et garanties de conformité

Les données techniques et de session décrites dans la présente Politique, y compris les données techniques dérivées traitées temporairement pour AR PD Meter, sont traitées sur des serveurs situés dans l’Union européenne. Cela peut entraîner un transfert de données en dehors du pays de l’Utilisateur vers l’UE, juridiction qui assure un niveau élevé de protection des données à caractère personnel. Ces données n’identifient pas directement l’Utilisateur et sont protégées par des garanties contractuelles et des mesures techniques et organisationnelles appropriées.

Si une autorité de réglementation venait à exiger des garanties supplémentaires, la société adopterait immédiatement toutes les mesures de conformité nécessaires, dont :

• Garantir le respect des lois locales sur la protection des données relatives aux transferts internationaux.
• Mettre en œuvre des mécanismes de transfert juridiquement reconnus, tels que des Clauses Contractuelles Types (CCT) ou des cadres approuvés par le gouvernement.
• Obtenir le consentement explicite des utilisateurs pour d’éventuels transferts transfrontaliers, si cela devenait une obligation légale.

Spaarkly demeure attachée à garantir la pleine conformité aux normes internationales sur la vie privée et surveillera en permanence les évolutions réglementaires, en adaptant en conséquence ses pratiques de traitement des données si les autorités exigent des mesures de protection supplémentaires.