FACE AI — Politique de confidentialité, bêta TestFlight

Version révisée le 1er octobre 2026 pour la prochaine vague iPhone. Relecture juridique : non acquise.

Qui est responsable

Sidney Djidji, entrepreneur individuel. Contact confidentialité : sidneydjidji@yahoo.fr.

Ce que fait l'application

FACE AI propose des observations sur l'apparence de la peau à partir d'une photo de ton visage, une comparaison avec les résultats de tes propres analyses récentes et une routine de soin. Cette version de test est destinée aux adultes. Les observations et les conseils sont des brouillons non relus par un dermatologue ou un pharmacien. La justesse de l'IA n'a pas encore été mesurée par une évaluation indépendante. FACE AI ne donne pas de diagnostic ni de garantie de résultat.

Ta photo et son analyse

• Tu prends une photo avec la caméra avant après la permission du téléphone, ou tu choisis toi-même une image dans ta photothèque. L'import réencode l'image dans le cache de l'app pour retirer ses métadonnées ; l'original dans ta photothèque n'est ni modifié ni supprimé.
• Le contrôle qualité se fait sur ton téléphone. Une photo refusée par ce contrôle n'est pas envoyée au modèle ; si tu as accepté le partage des mesures, des nombres sur sa qualité et son refus peuvent toutefois partir dans ce flux distinct.
• Après ton action sur le bouton d'analyse, une session ouverte et la confirmation d'information requise, la photo acceptée est transmise en HTTPS à notre service Supabase, qui la transmet à OpenAI. Le téléphone prépare une copie JPEG de 1 600 pixels au plus. Si sa préparation ou sa vérification échoue, l'image d'origine n'est pas envoyée et l'analyse ne continue pas.
• Lors du premier envoi, « Avant l'envoi » explique ce circuit et te demande « J'accepte ». L'application garde que cet écran a été accepté et peut ensuite envoyer une nouvelle photo après ton appui sur le bouton d'analyse, sans réafficher cet écran détaillé. Tu peux annuler avant l'envoi. Interrompre une analyse déjà commencée ne retire pas une requête déjà arrivée chez un fournisseur.
• Certaines erreurs transitoires déclenchent un nouvel essai : au plus deux tentatives vers notre service, avec au plus deux tentatives vers OpenAI par appel serveur. Une action peut donc provoquer jusqu'à quatre tentatives auprès du modèle.
• FACE AI n'ajoute pas la photo à ses tables ou à son stockage de photos. Le workflow nettoie la photo temporaire du téléphone et la copie préparée pour l'envoi après l'analyse ou l'annulation. Un échec du nettoyage doit être signalé pour permettre une nouvelle tentative. Cette suppression ne concerne pas l'original que tu avais choisi dans ta photothèque.
• OpenAI reçoit l'image pour produire les observations. Notre requête au modèle ne contient ni l'identifiant de ton compte, ni tes réponses d'onboarding. Le service FACE AI utilise toutefois ta session pour autoriser l'analyse.

OpenAI indique que les données API ne sont pas utilisées pour entraîner ses modèles par défaut, et que ses journaux de prévention des abus peuvent conserver du contenu jusqu'à trente jours, avec des exceptions légales et de sécurité. Notre requête utilise store: false ; cela ne supprime pas à lui seul ces journaux. Aucun accord de rétention nulle ni traitement exclusivement européen n'est confirmé pour cette bêta. Le traitement peut avoir lieu hors de l'Espace économique européen. Contrôles des données OpenAI.

Le projet Supabase de cette bêta est annoncé dans la région eu-west-1 par les relevés techniques existants. Les garanties contractuelles et les transferts d'OpenAI doivent être vérifiés à partir de ses documents en vigueur, dont sa liste de sous-traitants.

La limite d'analyses de cette bêta

La prochaine vague de test prévoit au plus cinq demandes d'analyse acceptées par compte et par jour, avec un nouveau jour à minuit UTC. Une demande acceptée peut compter même si le résultat ne peut finalement pas être fourni. Un budget commun limite également l'ensemble de la vague ; son épuisement peut arrêter les analyses avant que tu atteignes ta limite personnelle.

Pour appliquer cette limite, notre service garde un compteur technique lié à ton compte : le jour UTC et les identifiants techniques des demandes et de leurs tentatives. Ce compteur ne contient ni photo, ni résultat, ni conseil, ni réponse d'onboarding. Il sert au fonctionnement de la limite même si tu refuses le partage facultatif de mesures.

Une purge est programmée chaque jour à minuit UTC pour retirer les compteurs des jours UTC passés. Ils sont aussi retirés lors de l'admission d'une nouvelle demande d'analyse. L'exécution dépend du fonctionnement du service ; une panne peut retarder l'effacement. Le compteur du jour n'est pas effacé par « Supprimer mes données », pour éviter de remettre la limite à zéro ; il est supprimé avec ton compte. Un total budgétaire agrégé, sans identifiant de compte, reste pour contrôler le budget de la vague.

Ce qui reste sur ton téléphone

Tes réponses à l'onboarding, ta réactivité au soleil facultative, ton ressenti du jour, le dernier rapport, la routine, les coches et la progression restent dans les données de l'application sur ton appareil. Pour la comparaison personnelle, il garde aussi les résultats chiffrés de tes quatorze dernières analyses associés à ton compte, sans conserver leurs photos. Ces réponses et ces résultats ne sont pas joints à la requête envoyée au modèle.

Le parcours, le dernier rapport et la routine appartiennent aux données de ce téléphone. Une déconnexion ne les efface pas ; une autre personne qui s'y connecte peut encore les voir. Utilise ton téléphone personnel et réinitialise les données locales avant de confier ce parcours à une autre personne.

L'application garde aussi ta langue, ta session de connexion et tes choix de partage. Le ressenti du jour n'est plus utilisé le lendemain. Tu peux modifier ou retirer la réponse sur le soleil dans « Données et confidentialité ». « Effacer l'historique d'analyse » et « Réinitialiser les données locales » sont deux actions différentes : la réinitialisation retire les données du parcours et les résultats locaux, mais conserve la langue et ne supprime pas à elle seule ton compte serveur ni ta session Apple ; elle remet le partage des mesures à l'arrêt. Les sauvegardes du téléphone peuvent conserver des données locales selon les réglages d'iOS ; leur suppression n'est pas pilotée par FACE AI.

L'historique de photos, l'indice d'apparence et les rappels sont désactivés dans cette vague.

Ton compte et les suppressions

La connexion utilise Apple. Supabase conserve l'identifiant de ton compte, l'identité de connexion et l'adresse éventuelle fournie par Apple, qui peut être une adresse relais. Ces données permettent de t'authentifier et d'autoriser les analyses. L'application ne conserve pas le prénom demandé à Apple dans son profil actuel.

Dans Profil, « Supprimer mes données » demande l'effacement des données applicatives de ton compte sur notre service, notamment des mesures d'usage. Il conserve le compte et les données de ce téléphone. Une trace technique de la demande d'effacement peut rester tant que le compte existe. Le compteur de la limite d'analyse suit la durée décrite ci-dessus et n'est pas remis à zéro par cette action. Si le partage reste actif, l'événement de confirmation de suppression et les événements suivants peuvent être enregistrés à nouveau. Pour arrêter de nouveaux événements, coupe le partage dans Profil.

« Supprimer mon compte » demande aussi la suppression de l'identité serveur, la fermeture de la session et l'effacement des données locales du parcours. Elle supprime aussi le compteur technique lié au compte. La révocation de l'accès Apple dépend d'une configuration serveur distincte ; elle n'est pas prouvée par la suppression du compte Supabase. Si la suppression ou l'effacement local ne peut pas être confirmé, l'application affiche un message d'échec. Contacte-nous si un nouvel essai n'aboutit pas.

Effacer chez FACE AI ne retire pas automatiquement les journaux déjà conservés par OpenAI ni les retours que tu aurais envoyés à Apple via TestFlight.

Les journaux techniques du service

Les demandes de connexion, d'analyse et de suppression produisent des journaux techniques pour faire fonctionner le service et comprendre ses échecs. Ils sont distincts du partage facultatif de mesures : les refuser dans Profil n'arrête pas ces journaux de fonctionnement. Les lignes écrites par nos fonctions contiennent un identifiant technique de requête, le statut de la réponse, sa durée et, selon la fonction, un code d'erreur ou une version du service. Ces lignes ne contiennent ni photo, ni e-mail, ni contenu du rapport, ni corps complet de requête/réponse, ni secret. L'hébergement peut conserver d'autres métadonnées d'invocation permettant une corrélation ; nous ne présentons donc pas ces journaux comme anonymes.

Ils sont accessibles aux personnes habilitées à administrer le service et à notre fournisseur Supabase. Le projet est actuellement sur le plan Free. Supabase annonce une fenêtre d'accès d'un jour pour ses journaux API et base de données ; ce n'est pas une preuve que tous les journaux et copies détenus par la plateforme sont effectivement détruits après vingt-quatre heures. La purge des mesures facultatives décrite ci-dessous n'efface pas ces journaux de plateforme. Journaux Supabase, plan et fenêtre annoncée.

Lorsque la suppression serveur est achevée, notre service consigne désormais un reçu technique limité : le type d'effacement, si l'identité serveur a été supprimée et l'issue de la révocation Apple. Cette ligne ne contient ni contenu du rapport ni réponse complète. Le déploiement de ce reçu ne prouve pas qu'une révocation Apple ou le parcours sur un iPhone a été testé ; ces vérifications restent distinctes.

Le partage facultatif de mesures

À l'étape « Veux-tu m'aider à améliorer l'application ? », aucune réponse n'est choisie d'avance. Dans Profil, « Partager les mesures photo et mon parcours » permet de changer d'avis. Sans cet accord, aucun événement de ce partage ne part ; une session ouverte est également requise. La connexion et une analyse que tu demandes restent des flux distincts de ce partage.

Un accord donné au texte ancien du build 4 est annulé dans les versions suivantes qui utilisent la version actuelle du texte : il faut le redonner dans Profil pour reprendre ce partage.

Si tu acceptes, le même projet Supabase reçoit :

• les événements autorisés du parcours : ouvertures et retours, écrans vus, avancement de l'onboarding sans tes réponses, photo et analyse avec issue/code et état du repère, rapport consulté, routine créée/commencée/terminée, offre/formule et restauration de démonstration, connexion avec méthode/code d'échec, échec de déconnexion, suppressions et leur issue ;
• les mesures de chaque photo contrôlée, acceptée ou refusée : luminosité, netteté, largeur et hauteur du visage en part du cadre, notes de lumière, détail, orientation et cadrage, décision, motif éventuel et version des seuils ;
• le contexte de chaque envoi : identifiant de compte, version de l'app avec numéro de build, système du téléphone, langue et date/heure.

Ce partage ne comprend ni photo, ni chemin de fichier, ni point du visage, ni réponse d'onboarding, ni observation, priorité ou conseil du rapport. PostHog n'est pas utilisé pour ce partage dans le profil bêta. Les données sont liées à ton compte : elles ne sont pas anonymes. Le retrait arrête les futurs envois de ce partage ; il ne supprime pas automatiquement les lignes déjà reçues. « Supprimer mes données » ou « Supprimer mon compte » permet d'en demander l'effacement.

Les événements d'usage et les mesures de qualité photo de ce partage deviennent éligibles à l'effacement automatique trente jours (720 heures) après leur réception par notre serveur. Une purge est programmée chaque heure : en fonctionnement normal, l'effacement intervient dans l'heure suivant cette échéance. Une panne du service ou du planificateur peut le retarder. Tu peux aussi en demander l'effacement plus tôt avec « Supprimer mes données » ou « Supprimer mon compte », selon les limites expliquées plus haut.

Pour les mesures déjà enregistrées avant la mise en place de cette règle, le 30 septembre 2026, l'heure réelle de réception n'est pas connue. Nous retenons la date la plus ancienne entre celle indiquée par le téléphone et celle de cette mise en place ; cette estimation peut avancer leur suppression. Une date de téléphone dans le futur ne prolonge pas leur conservation.

Retours TestFlight

Quand tu testes cette bêta, Apple collecte automatiquement des données de crash et d'usage et les partage avec le fournisseur de l'application. Cette collecte TestFlight ne peut pas être désactivée pendant le test et ne dépend pas de l'interrupteur de partage des mesures FACE AI. Elle comprend notamment le build installé, l'appareil, le système, la langue, les sessions et les crashes. Selon l'invitation, ton nom et ton e-mail peuvent aussi être visibles ; ils ne le sont pas pour une invitation acceptée uniquement par lien public.

Si tu utilises le retour d'expérience ou la capture d'écran TestFlight, les informations que tu choisis d'envoyer passent par Apple et sont accessibles à l'équipe de test habilitée. Masque ton visage, ton adresse et toute information de santé avant d'envoyer une capture. Un retour sur le rapport ne vaut pas accord pour constituer une banque de photos ni entraîner un modèle.

Apple annonce un an de conservation pour les retours de bêta et peut conserver les données de crash et d'usage jusqu'à la résolution des bugs. Les trente jours des mesures facultatives décrites plus haut ne fixent pas la durée propre à Apple. TestFlight et confidentialité — Apple.

FACE AI ne transmet pas à des tiers les retours, journaux de crash ou informations d'usage reçus par TestFlight. Ces éléments ne sont pas versés dans un outil d'IA ni dans un corpus de photos. Une éventuelle évaluation indépendante utilise un recueil distinct, autorisé séparément.

FACE AI consulte les retours dans TestFlight et n'en conserve pas de copie hors de ce service par défaut. Si une copie ou une note est nécessaire pour traiter un problème ou le questionnaire du pilote, Sidney Djidji garde seulement les éléments utiles, assainis et associés à un pseudonyme d'étude : build, appareil/système, langue, compréhension et anomalie. Ne sont pas recopiés le visage, l'adresse, les informations de santé ou les coordonnées d'invitation. Cette copie est effacée manuellement au plus tard trente jours après la première réception du retour ; la date d'échéance et l'effacement sont relevés dans un registre privé minimal. Recopier ou déplacer une note ne redémarre pas ce délai. Une demande d'effacement anticipé peut être adressée au contact confidentialité. Cette règle ne change ni les durées d'Apple ni celles des mesures facultatives.

La consultation de cette page

Cette page publique est hébergée par Sites sur le domaine chatgpt.site. Sa protection technique Cloudflare peut ajouter un script de sécurité et le cookie __cf_bm pour limiter le trafic automatisé. Cloudflare indique une expiration après trente minutes d'inactivité et un traitement possible des données de cookie aux États-Unis par défaut. Ce mécanisme appartient à l'hébergement de la page ; il ne fait pas partie du partage facultatif de mesures dans l'app. Informations Cloudflare sur ses cookies.

Tes droits et ton contact

Pour demander l'accès, la rectification ou l'effacement de tes données, ou nous poser une question sur un retrait de consentement, écris à sidneydjidji@yahoo.fr. Les autres droits applicables, notamment limitation, portabilité ou opposition, dépendent du traitement et de sa base ; tu peux également nous contacter à leur sujet. Tu peux adresser une réclamation à la CNIL.

Version de test

Cette bêta recueille des retours sur le fonctionnement et la compréhension du rapport. Aucun achat réel n'est activé. N'utilise que ta propre photo, reste libre de refuser une analyse ou le partage des mesures et n'envoie pas d'information de santé dans un retour. Les résultats n'établissent pas un état de santé et ne remplacent pas un avis professionnel.