POLITIQUE DE CONFIDENTIALITÉ

Trace est un outil de recherche faciale inversée. Ce que vous nous donnez est une photographie d'un visage, qui constitue, au sens du RGPD et du KVKK, une catégorie particulière de données personnelles. Cette page explique exactement ce qui lui arrive, en langage clair, sans clause qui signifie le contraire de ce qu'elle semble dire.

Ce texte est une traduction. En cas de divergence, la version anglaise prévaut.

Qui nous sommes

Trace est exploité par Trace Labs (« nous »). Vous pouvez nous joindre à social@traceaifacescan.app ou via le formulaire de support. Trace Labs est le responsable du traitement pour tout ce qui est décrit ci-dessous.

Ce que nous collectons

La photographie que vous importez. Recadrée dans votre navigateur en un carré autour du visage avant d'être envoyée, de sorte que ce qui quitte votre appareil est le visage que vous avez cadré, pas la photo entière.
Les résultats de votre recherche. Les scores de correspondance, la plateforme et l'identifiant de chaque correspondance, le lien, et une petite vignette d'aperçu de chaque image correspondante.
Votre compte. Un identifiant de compte et un hachage de votre clé de récupération. Nous n'avons pas votre clé de récupération elle-même — seulement un hachage, qui ne peut pas être reconverti en clé.
Votre solde de crédits et le registre des achats et des recherches qui s'y rapporte.
Une forme hachée de votre adresse IP, utilisée pour limiter le nombre de scans gratuits et de créations de compte. Nous ne stockons pas les adresses IP brutes.
Votre identifiant utilisateur Telegram, mais uniquement si vous payez avec Telegram Stars — c'est ainsi qu'un paiement est associé à votre compte et que le support peut vous reconnecter plus tard.
Un enregistrement de paiement si vous payez par carte : le montant, la marque de la carte et ses quatre derniers chiffres, l'identifiant de paiement, et l'adresse e-mail que vous saisissez sur la page de paiement. Nous ne voyons jamais votre numéro de carte. La page est hébergée par Pocketsflow, qui est le marchand officiel de cette vente — ils encaissent le paiement et gèrent la taxe, selon leur propre politique de confidentialité, et les détails de facturation dont ils ont besoin pour cela ne nous parviennent jamais.
Un enregistrement de paiement si vous payez en cryptomonnaie : le montant, la devise et l'identifiant de paiement que nous donne notre prestataire crypto. Nous ne voyons jamais d'adresse de portefeuille, et le prestataire héberge la page de paiement — nous ne gérons pas le transfert nous-mêmes.

Nous ne demandons ni votre nom, ni votre numéro de téléphone, ni un mot de passe, parce que Trace n'a pas de formulaire d'inscription. Il n'y a rien à nous donner. La seule exception est une adresse e-mail, et uniquement si vous choisissez de payer par carte : la page de paiement en demande une pour pouvoir vous envoyer un reçu, et elle arrive avec l'enregistrement de paiement. Elle n'est pas utilisée pour vous connecter et nous ne lui envoyons jamais de marketing ; supprimer votre compte l'efface de l'enregistrement de paiement, ainsi que l'adresse d'où le paiement provenait.

Où va votre photographie

Trace exécute la recherche sur son propre moteur, sur notre propre serveur — notre propre index, notre propre modèle facial, notre propre notation. Ce n'est pas une simple interface posée sur le moteur de recherche de quelqu'un d'autre.

Mais la photographie quitte bel et bien notre serveur, et nous préférons le dire clairement plutôt que de laisser « notre propre moteur » se lire comme « ça ne va jamais nulle part ». Pour trouver où un visage apparaît, le moteur interroge des moteurs de recherche d'images publics en votre nom, et quand son propre résultat revient maigre, il interroge aussi un service commercial de recherche faciale. Environ la moitié des recherches payantes atteint cette seconde étape. Demandez-nous via le formulaire de support et nous vous dirons de quels services il s'agit. Ces moteurs récupèrent eux-mêmes l'image plutôt que d'accepter un envoi, donc pour la durée d'une recherche — jusqu'à environ dix minutes — le carré recadré est servi depuis une adresse web signée et impossible à deviner. Elle n'est listée nulle part, elle n'est pas indexée par nous, et l'adresse cesse de fonctionner quand la fenêtre se ferme. C'est un compromis délibéré, et c'est la seule façon dont ce type de recherche fonctionne.

Ce que nous ne pouvons pas garantir, c'est ce qui arrive à cette copie de leur côté. Ces moteurs conservent leurs propres journaux et caches et nous n'avons aucun contrôle sur eux ; leurs propres politiques s'appliquent. Si vous voulez savoir exactement quels moteurs une recherche interroge, demandez-nous via le formulaire de support et nous vous le dirons.

Tout cela est exposé directement sur l'écran de scan, au-dessus du bouton qui lance la recherche, et avant votre première recherche, une fenêtre de dialogue s'ouvre avec le texte intégral de ce que vous acceptez. Rien n'est recherché avant que vous ne l'acceptiez. Si ce texte change, la fenêtre s'ouvre à nouveau, et votre compte enregistre quelle version vous avez acceptée et quand.

Nous ne partageons vos données avec personne d'autre. Nous ne les vendons pas, nous ne les utilisons pas pour la publicité, et nous ne construisons pas de profil d'identité vous concernant, ni concernant quiconque dont vous recherchez le visage.

L'index de visages que nous conservons

C'est la partie que la plupart des services de recherche faciale n'explicitent pas, alors la voici clairement. Quand une recherche confirme une correspondance avec un haut degré de confiance, nous inscrivons ce visage dans notre propre index : la mesure numérique du visage, un petit recadrage de celui-ci, et l'adresse web publique sur laquelle il a été trouvé. La recherche suivante pour la même personne peut alors être traitée à partir de cet index au lieu de payer de nouveau un moteur de recherche — c'est pourquoi les recherches deviennent plus rapides et moins coûteuses avec le temps.

Ce que cela signifie, dit directement : nous détenons des mesures faciales de personnes qui ne sont jamais venues ici et n'ont jamais demandé à y figurer. Chaque service de ce type le fait ; la plupart ne vous le disent pas. L'index est construit uniquement à partir d'images déjà publiées sur le web ouvert, il ne contient aucun nom qui nous aurait été donné, aucune coordonnée et aucun profil, et seuls les visages que nous avons pu attribuer avec confiance y sont inscrits.

Si votre visage y figure, vous pouvez l'en retirer. La page de suppression supprime chaque entrée correspondant à votre visage et l'ajoute à une liste permanente de non-indexation, pour qu'une recherche ultérieure ne puisse pas la remettre. Elle nécessite une seule photographie et aucun compte, et la photographie que vous envoyez n'est pas stockée — nous lisons la mesure et supprimons le fichier. Cela ne supprime rien des sites web qui ont publié vos photos ; seuls eux peuvent le faire.

Combien de temps nous le conservons

Photographies importées et aperçus de résultats : 30 jours, puis suppression automatique. Ils ne sont conservés aussi longtemps que pour vous permettre de rouvrir un scan déjà payé.
Supprimer un scan supprime ses images immédiatement, et supprimer votre compte les supprime toutes d'un coup — y compris la copie que le moteur de recherche détenait pendant son traitement. Ni l'un ni l'autre n'est un « marquage comme masqué » : les fichiers sont effacés.
Les comptes sans crédits, sans scans et sans paiements sont supprimés après 30 jours d'inactivité.
Les enregistrements de paiement sont conservés aussi longtemps que l'exige le droit fiscal et comptable, parce que nous n'avons aucun moyen légal de les supprimer plus tôt. Supprimer votre compte détache l'enregistrement de vous : le lien avec le compte et l'adresse depuis laquelle le paiement a été effectué sont effacés, et il ne reste qu'un montant, une date et la référence dont un remboursement a besoin.

Trace Watch : votre propre visage

Trace Watch est un service optionnel et payant pour surveiller votre propre visage. C'est le seul endroit où nous conservons un visage plus longtemps qu'une recherche, il a donc ses propres règles.

Ce que vous nous donnez : une photo recadrée de votre visage et une case cochée confirmant qu'il s'agit bien du vôtre. Nous en déduisons une signature faciale numérique sur notre propre moteur.
Ce que nous en faisons : chaque recherche lancée sur Trace est comparée aux signatures sous surveillance, et une fois par mois nous lançons une recherche Trace classique avec votre photo. Quand une correspondance ou une nouvelle page est trouvée, nous vous envoyons un message sur Telegram. Le message ne nomme, ne montre ni ne décrit jamais la personne qui a lancé la recherche ; nous ne savons pas qui elle est et ne vous le dirions pas si nous le savions.
Combien de temps : la photo et la signature sont conservées tant que le service est actif et pendant 30 jours après sa fin, pour que renouveler ne nécessite pas de réimporter une photo. Arrêter la surveillance depuis le panneau supprime les deux immédiatement. Supprimer votre compte les supprime aussi.
Telegram : pour livrer les alertes, nous stockons l'identifiant numérique de la conversation Telegram que vous connectez. Nous envoyons uniquement du texte — jamais votre photo, jamais une liste d'adresses.
La base légale est votre consentement explicite, donné en cochant la case ; les données biométriques ne sont traitées que pour l'usage que vous avez demandé et vous pouvez retirer votre consentement à tout moment en arrêtant la surveillance.

Où c'est stocké

Sur notre propre serveur en Allemagne, exploité par Hetzner Online GmbH, au sein de l'UE. Les images importées sont stockées hors de la racine web et ne sont servies que via un lien signé lié à votre compte — connaître une URL ne suffit pas à ouvrir l'image de quelqu'un d'autre. La seule exception est l'analyse d'usage décrite sous Cookies, que PostHog traite aux États-Unis et qui ne contient jamais d'image.

Votre base légale, et vos droits

Nous traitons la photographie sur la base du consentement explicite que vous donnez dans cette fenêtre de dialogue, avant que la première recherche ne s'exécute, sur un écran qui indique ce qui est accepté et renvoie vers cette politique. Ce texte vous demande aussi de confirmer que vous avez 18 ans ou plus et que vous n'êtes ni citoyen ni résident d'un État membre de l'UE ; Trace n'est pas proposé aux personnes dans l'UE. Vous pouvez le retirer à tout moment en supprimant le scan ou votre compte ; cela n'annule pas les recherches déjà effectuées, mais supprime ce que nous détenons. Si cette politique change d'une manière qui affecte ce qui arrive à votre photographie, nous redemandons votre consentement plutôt que de nous appuyer sur l'ancienne acceptation.

Au titre du RGPD et du KVKK, vous avez le droit d'accéder à vos données, de les corriger, de les supprimer et de les exporter, et de vous opposer à leur traitement. Trace est conçu pour que la plupart de cela soit un bouton plutôt qu'un e-mail : le panneau vous permet de voir tout ce qui concerne votre compte, de supprimer des scans individuels, et d'effacer entièrement le compte. Pour tout ce que le panneau ne peut pas faire, contactez-nous via le formulaire de support.

Cookies

Le panneau dépose deux cookies et aucun n'est destiné au suivi : un cookie de session, et un cookie d'appareil longue durée qui vous maintient connecté sans mot de passe. Il n'y a aucun cookie publicitaire ni aucun suivi intersite nulle part dans le panneau.

Pour voir où les utilisateurs rencontrent des difficultés, le panneau et les pages publiques utilisent PostHog, un service d'analyse produit qui traite des données d'usage sur des serveurs aux États-Unis. Il enregistre quelles pages vous ouvrez et sur quels boutons vous appuyez, ainsi qu'une relecture de ces interactions, liée à un numéro de compte interne qui n'est pas votre identifiant de compte. Il ne stocke rien sur votre appareil : ni cookie, ni stockage local. La relecture ne contient jamais d'image — votre photographie, la zone de recadrage et chaque aperçu de résultat apparaissent comme des cases vides — et la liste de résultats elle-même, votre clé de récupération, vos clés API et votre identifiant de compte en sont entièrement exclus. Les champs de formulaire sont masqués. PostHog ne reçoit jamais un nom que vous avez recherché, une correspondance ou un lien vers un résultat. Bloquer posthog.com ou utiliser n'importe quel bloqueur de publicité le supprime, et tout fonctionne de la même façon sans lui.

Les pages publiques en dehors du panneau — celle-ci, la page d'accueil et les pages de comparaison — chargent Google Analytics et un signal de conversion Google Ads, pour que nous puissions savoir quelle publicité a amené quelqu'un ici. Les deux sont configurés pour ne rien stocker sur votre appareil : ni cookie analytique, ni cookie publicitaire, ni identifiant qui vous suit vers un autre site. Ils mesurent des pages, pas des personnes, et aucun des deux ne reçoit jamais une photographie, une recherche, un résultat ou votre identifiant de compte.

La seule chose que les pages publiques peuvent stocker est une unique entrée dans le stockage local de votre navigateur, écrite uniquement quand vous fermez l'avis de prix pour qu'il ne réapparaisse pas. Elle contient le nom de l'avis que vous avez fermé — aucun identifiant, rien à votre sujet — elle ne nous est jamais envoyée, et effacer les données de votre navigateur la supprime. C'est pourquoi ce site n'a toujours pas de bandeau de cookies : rien n'est stocké pour vous reconnaître ou vous suivre, et la seule entrée qui existe est là parce que vous l'avez demandée. Si vous préférez ne pas être compté du tout, bloquer googletagmanager.com ou utiliser n'importe quel bloqueur de publicité supprime les deux, et tout fonctionne exactement de la même façon sans eux.

Quand vous arrivez depuis une publicité, le lien porte un identifiant de clic dans l'adresse. Si vous créez ensuite un compte, cet identifiant est inscrit dans votre ligne de compte pour que nous puissions voir quelle publicité s'est rentabilisée. Ce n'est pas un profil et ce n'est pas partagé : il vit dans notre propre base de données, il n'est jamais renvoyé à un réseau publicitaire, et il est supprimé en même temps que le compte.

Rechercher d'autres personnes

Si vous importez une photographie de quelqu'un d'autre, vous traitez ses données personnelles et vous êtes responsable d'avoir une base légale pour le faire. Trace existe pour vérifier à qui vous avez affaire et pour vous permettre de retrouver vos propres images ; il ne doit pas être utilisé pour identifier, localiser, surveiller ou harceler qui que ce soit. Voir les Conditions d'utilisation.

Si vous pensez que quelqu'un a recherché votre visage via Trace et que vous souhaitez exercer vos droits, le moyen le plus rapide est la page de suppression : elle retire votre visage de notre index et l'en maintient hors, sans compte et sans e-mail à nous envoyer. Ce qu'elle ne peut pas vous dire, c'est qui vous a recherché, et nous non plus — une recherche est enregistrée au nom du compte qui l'a lancée, pas au nom du visage recherché, donc nous n'avons aucun moyen de remonter d'une photographie à une liste de recherches. Pour tout le reste, écrivez-nous via le formulaire de support.

Enfants

Trace n'est pas destiné aux personnes de moins de 18 ans et nous ne détenons sciemment aucune donnée provenant d'un mineur.

Modifications

Si cette politique change d'une manière qui affecte ce qui arrive à votre photographie, nous redemanderons votre consentement plutôt que de simplement mettre à jour discrètement la date en haut de page.