Politique de confidentialité
Dernière mise à jour : 5 octobre 2026
Qui est responsable
Le responsable du traitement est Ody Labs, 47 rue Vivienne, 75002 Paris (voir les mentions légales). Pour toute question ou pour exercer vos droits : hello@irisup.com.
Ce que nous faisons de vos données
1. Créer votre œuvre à partir de la photo de votre œil
Données : la photographie de votre œil, le recadrage de l'iris et les œuvres générées à partir de celle-ci, l'évaluation automatique de la qualité de la photo, et l'adresse IP depuis laquelle la photo a été envoyée (pour limiter les abus).
Pourquoi : vérifier que la photo peut donner un bon tirage, puis générer l'œuvre que vous avez demandée. Nous n'utilisons jamais la photo pour vous reconnaître ou vous identifier : aucun gabarit biométrique n'est calculé ni conservé.
Base légale : l'exécution de mesures précontractuelles prises à votre demande, puis du contrat si vous commandez (article 6.1.b du RGPD).
Durée : 30 jours après l'envoi si vous ne commandez pas cette œuvre ; si vous la commandez, 30 jours après la livraison (le temps de traiter un éventuel défaut d'impression). La suppression est automatique.
Destinataires : notre hébergeur de données (Supabase Inc.), et Google Cloud (Vertex AI), qui analyse la qualité de la photo et génère l'œuvre à partir d'elle, en la traitant dans l'Union européenne. Google ne reçoit ni votre nom, ni votre e-mail, ni votre adresse, et ses conditions Google Cloud excluent l'utilisation de ces images pour entraîner ses modèles. L'imprimeur ne reçoit que l'œuvre finale, jamais la photo.
2. Vous connecter avec votre e-mail
Données : votre adresse e-mail, un code à usage unique (dont nous ne gardons qu'une empreinte chiffrée) et un cookie de session.
Pourquoi : vous envoyer votre œuvre et votre commande, et éviter qu'un tiers génère des œuvres à votre nom. Base légale : mesures précontractuelles et contrat (6.1.b).
Durée : le code, 24 heures ; la session, 30 jours ; le compte sans commande, 30 jours après votre dernière visite.
Destinataires : Resend, qui achemine les e-mails.
3. Traiter, fabriquer et livrer votre commande
Données : nom, adresse de livraison, téléphone, e-mail, contenu et montant de la commande, suivi du colis, et la date et la version des CGV que vous avez acceptées.
Pourquoi : encaisser le paiement, faire imprimer et expédier votre commande, vous tenir informé et gérer le service après-vente. Base légale : le contrat (6.1.b), puis nos obligations comptables et fiscales (6.1.c).
Durée : 10 ans pour les pièces comptables (article L123-22 du Code de commerce). Les photographies et fichiers d'impression suivent la durée du point 1.
Destinataires : Shopify, qui opère la page de paiement ; Gelato et ses ateliers partenaires, qui impriment et expédient ; les transporteurs ; Resend pour les e-mails de commande.
4. Le paiement
Le paiement a lieu sur la page sécurisée de Shopify. Nous ne voyons ni ne conservons jamais vos coordonnées bancaires. Shopify les traite selon sa propre politique de confidentialité (s'ouvre dans un nouvel onglet).
5. Vous répondre (chat et e-mail)
Données : vos messages, l'e-mail que vous laissez pour recevoir la réponse, et, pour le chat, votre adresse IP, votre navigateur et les pages consultées pendant la conversation.
Pourquoi : répondre à vos questions. Base légale : notre intérêt légitime à assurer le service client, ou les mesures précontractuelles quand la question porte sur une commande.
Durée : 3 ans après le dernier échange. Destinataires : Brevo (chat) et OVHcloud (notre messagerie).
Le chat ne se charge que lorsque vous cliquez sur le bouton « Discuter » : aucun script Brevo ne s'exécute avant.
6. Faire fonctionner et sécuriser le site
Données : adresse IP, navigateur, pages demandées, dans les journaux techniques de l'hébergeur. Pourquoi : sécurité et diagnostic des pannes. Base légale : intérêt légitime (6.1.f). Durée : celle des journaux de l'hébergeur, quelques jours.
Nous n'utilisons aucun outil de mesure d'audience, aucun pixel publicitaire et n'envoyons aucune newsletter. Aucune décision produisant un effet juridique n'est prise de façon automatisée : le contrôle automatique de la photo peut seulement vous demander d'en prendre une autre.
Prestataires et transferts hors de l'Union européenne
| Prestataire | Rôle | Lieu des données | Garantie en cas de transfert |
|---|---|---|---|
| Supabase Inc. | Base de données et stockage des photos | Paris (France) | Accès du support depuis l'étranger : clauses contractuelles types |
| Vercel Inc. | Hébergement du site | Paris (France), société aux États-Unis | Data Privacy Framework UE–États-Unis |
| Google Cloud (Vertex AI) | Contrôle de qualité de la photo et génération de l'œuvre | Union européenne, société aux États-Unis | Data Privacy Framework UE–États-Unis |
| Shopify | Page de paiement | Irlande, Canada | Décision d'adéquation (Canada) |
| Gelato | Impression et expédition | Norvège (EEE) et ateliers dans l'UE | Espace économique européen |
| Resend | Envoi des e-mails | États-Unis | [À VÉRIFIER : DPF ou clauses contractuelles types] |
| Brevo | Chat du service client | Belgique, France, Allemagne | Accès du support depuis l'Inde et les États-Unis : clauses contractuelles types |
| OVHcloud | Messagerie hello@irisup.com | France | — |
| Cloudflare | Redirection des domaines irisup.art, .fr et .eu | Mondial | Data Privacy Framework UE–États-Unis |
Nous ne vendons ni ne louons vos données, et nous ne les utilisons à aucune fin publicitaire.
Vos droits
Vous pouvez demander l'accès à vos données, leur rectification, leur effacement, la limitation de leur traitement, leur portabilité, et vous opposer aux traitements fondés sur notre intérêt légitime. Vous pouvez aussi définir des directives sur le sort de vos données après votre décès. Écrivez à hello@irisup.com depuis l'adresse utilisée sur le site : nous répondons sous un mois. L'effacement de vos photos et œuvres est immédiat sur simple demande, sauf pour une commande en cours de fabrication ; les pièces comptables doivent être conservées pendant la durée légale.
Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr/fr/plaintes (s'ouvre dans un nouvel onglet).
Mineurs
Le site est réservé aux personnes majeures. Si vous photographiez l'œil d'une autre personne, vous devez avoir son accord — celui de ses parents s'il s'agit d'un mineur. Pour un Duo, vous envoyez les yeux de deux personnes : vous confirmez, en cochant une case, que les deux sont d'accord, et nous en gardons la date. Nous traitons la photo de l'autre personne uniquement pour réaliser ce tirage, avec la même durée de conservation que la vôtre.