Accord de traitement des données
Annexe aux Conditions Générales d'Utilisation — Dernière mise à jour : 25 septembre 2026
Le présent accord (ci après « DPA ») encadre le traitement, par Looqko, des données à caractère personnel des utilisateurs finaux du Client, conformément à l'article 28 du Règlement (UE) 2016/679 (ci après « RGPD »). Il forme une annexe indissociable des Conditions Générales d'Utilisation et est accepté par le Client lors de la création de son compte. En cas de contradiction entre les deux documents sur le traitement des données personnelles, le présent DPA prévaut.
1. Parties et objet
Le Responsable de traitement est le Client : la boutique en ligne ou la marque qui souscrit aux Services et décide d'installer le widget d'essayage virtuel sur son site.
Le Sous traitant est Looqko, SIREN 101 532 596, 18 rue Eugène Varlin, Vigneux sur Seine, France.
Le Client détermine les finalités et les moyens du traitement des données de ses propres clients. Looqko les traite uniquement pour fournir les Services, et sur instruction du Client.
2. Définitions
Les termes « données à caractère personnel », « traitement », « responsable de traitement », « sous traitant », « personne concernée » et « violation de données » ont le sens que leur donne l'article 4 du RGPD.
• Utilisateur final : le client de la boutique qui utilise le widget d'essayage.
• Services : le widget, l'API, le dashboard et la génération d'images et de vidéos.
• Sous traitant ultérieur : un prestataire auquel Looqko confie une partie du traitement.
3. Description du traitement
Conformément à l'article 28.3 du RGPD :
Objet et nature. Générer une image ou une vidéo d'essayage virtuel à partir d'une photographie fournie par l'utilisateur final, et proposer une recommandation de taille.
Finalité. Permettre à l'utilisateur final de visualiser un vêtement sur lui avant l'achat. Aucune autre finalité, et notamment aucun entraînement de modèle sur les photographies des utilisateurs finaux.
Catégories de personnes concernées. Les utilisateurs finaux du Client.
Catégories de données. Photographie envoyée par l'utilisateur final ; taille et poids saisis par lui, et mensurations facultatives ; image ou vidéo générée ; adresse IP, identifiant de session, agent utilisateur, langue et pays ; horodatage et version du texte de consentement accepté.
Durée. La photographie envoyée est supprimée sous 24 heures. L'image ou la vidéo générée est supprimée après 30 jours au plus, ou plus tôt si le Client réduit cette durée dans son dashboard, sans pouvoir descendre sous 7 jours. Les métadonnées techniques sont conservées jusqu'à 12 mois.
4. Instructions du Client
Looqko ne traite les données des utilisateurs finaux que sur instruction documentée du Client. L'acceptation des CGU et du présent DPA, ainsi que l'utilisation des Services, constituent ces instructions.
Si Looqko estime qu'une instruction constitue une violation du RGPD ou d'une autre disposition applicable, elle en informe le Client sans délai et peut suspendre son exécution.
Looqko informe le Client si le droit de l'Union ou d'un État membre l'oblige à traiter des données au delà de ces instructions, sauf interdiction légale de le faire.
5. Confidentialité
Looqko veille à ce que toute personne autorisée à traiter les données des utilisateurs finaux soit tenue à une obligation de confidentialité, contractuelle ou légale, et n'y accède que dans la mesure nécessaire à sa mission.
6. Sécurité du traitement
Conformément à l'article 32 du RGPD, Looqko met en œuvre :
• le chiffrement des communications en transit (TLS) ;
• le chiffrement au repos des fichiers stockés ;
• le hachage des mots de passe ;
• un accès aux données restreint au principe du moindre privilège ;
• la suppression automatique des photographies sous 24 heures, appliquée par une tâche planifiée et par une règle de cycle de vie du stockage ;
• la journalisation des accès et des erreurs.
Ces mesures peuvent évoluer, sans jamais réduire le niveau de protection.
7. Sous traitants ultérieurs
Le Client autorise Looqko à recourir aux sous traitants ultérieurs suivants :
• Vercel Inc. (États-Unis) — hébergement de l'application, exécution en région Paris
• Supabase — base de données
• Cloudflare, Inc. (États-Unis) — stockage des fichiers (R2)
• Upstash — file d'attente des traitements
• FASHN AI (États-Unis) — génération de l'essayage et modération des contenus
• Modal (États-Unis) — calcul GPU
• Google LLC, AI Studio (États-Unis) — génération d'images
• kie.ai (États-Unis) — génération d'images, hors Union européenne
• Stripe (États-Unis / Irlande) — paiement et facturation du Client
• Resend (États-Unis) — envoi des e mails transactionnels
Looqko impose à chacun des obligations de protection équivalentes à celles du présent accord et demeure responsable de leur exécution envers le Client.
Toute adjonction ou remplacement est notifié au Client par e mail au moins 30 jours à l'avance. Le Client peut s'y opposer pour un motif raisonnable tenant à la protection des données ; à défaut d'accord, il peut résilier sans frais la partie des Services concernée.
8. Transferts hors Union européenne
Plusieurs sous traitants ultérieurs sont établis aux États-Unis. Ces transferts s'appuient sur les Clauses Contractuelles Types de la Commission européenne (décision 2021/914), complétées, le cas échéant, par l'adhésion du prestataire au Data Privacy Framework UE–USA.
S'y ajoutent des mesures techniques : chiffrement en transit et au repos, minimisation des données transmises, et conservation limitée à 24 heures pour les photographies.
Une copie des garanties applicables est communiquée sur demande à legal@looqko.com.
9. Assistance au Client
Looqko aide le Client, dans la mesure du possible et compte tenu de la nature du traitement :
• à répondre aux demandes d'exercice de droits des utilisateurs finaux (accès, rectification, effacement, limitation, portabilité, opposition) ; Looqko transmet au Client sans délai toute demande reçue directement d'un utilisateur final et n'y répond pas elle même ;
• à réaliser une analyse d'impact relative à la protection des données lorsqu'elle est requise, et la consultation préalable de l'autorité de contrôle ;
• à documenter les mesures de sécurité mises en œuvre.
10. Violation de données
Looqko notifie au Client toute violation de données à caractère personnel concernant les utilisateurs finaux, par e mail, dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance.
La notification décrit la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables et les mesures prises ou proposées.
La notification à l'autorité de contrôle et, le cas échéant, aux personnes concernées incombe au Client, en sa qualité de responsable de traitement.
11. Sort des données en fin de contrat
12. Audit et documentation
Looqko met à la disposition du Client les informations nécessaires pour démontrer le respect de l'article 28 du RGPD.
Audit documentaire. Le droit d'audit s'exerce par écrit : sur demande, et au maximum une fois par année civile, Looqko répond à un questionnaire de sécurité et transmet la documentation pertinente dans un délai de 30 jours. Le Client accepte que la remise de cette documentation, ou d'un rapport d'audit établi par un tiers indépendant, satisfasse son droit d'audit.
Audit sur site. Il n'est possible que dans deux cas : une violation de données avérée affectant les données du Client, ou une exigence écrite d'une autorité de contrôle. Il est alors soumis aux conditions suivantes :
• préavis écrit de 30 jours et date convenue entre les Parties ;
• une journée ouvrée au maximum, pendant les heures ouvrées ;
• auditeur indépendant soumis à un engagement de confidentialité, à l'exclusion de tout concurrent de Looqko ;
• périmètre limité aux traitements réalisés pour le Client, à l'exclusion des données des autres clients, du code source, des secrets d'affaires et de toute information couverte par un engagement envers un tiers ;
• frais à la charge du Client, y compris le temps passé par les équipes de Looqko, facturé au tarif en vigueur ;
• communication préalable du rapport à Looqko, qui dispose de 30 jours pour remédier aux constats avant toute diffusion.
Ces modalités s'appliquent à tout audit demandé au titre du présent accord, y compris lorsqu'il est conduit par un mandataire du Client.
13. Responsabilité et durée
Le présent DPA prend effet à l'acceptation des CGU et demeure en vigueur tant que Looqko traite des données pour le compte du Client.
La répartition de la responsabilité entre les Parties suit l'article 82 du RGPD. Les plafonds de responsabilité prévus aux CGU s'appliquent, sans faire obstacle aux droits des personnes concernées ni aux pouvoirs des autorités de contrôle.
Le Client garantit avoir une base légale valable pour le traitement qu'il confie à Looqko, et notamment que ses utilisateurs finaux ont été informés conformément aux articles 13 et 14 du RGPD.
14. Acceptation et modifications
Le présent DPA est accepté par voie électronique lors de la création du compte, conformément à l'article 28.9 du RGPD, qui admet la forme électronique. Aucune signature manuscrite n'est requise.
Toute modification substantielle est notifiée par e mail au moins 30 jours avant son entrée en vigueur. Le Client peut résilier sans frais avant cette date s'il la refuse.
Un Client qui souhaite conclure son propre accord de traitement peut en faire la demande à legal@looqko.com.
15. Droit applicable
Le présent DPA est régi par le droit français. Les litiges relèvent des juridictions compétentes désignées par les CGU.
Lorsque le Client est établi hors de l'Union européenne, le présent accord s'applique dans la mesure où le RGPD est applicable au traitement concerné.
16. Contact
Pour toute question relative au présent accord :
• E mail juridique : legal@looqko.com
• Support : contact@looqko.com
• Adresse postale : 18 rue Eugène Varlin, Vigneux sur Seine, France
Documents liés : Conditions Générales d'Utilisation (looqko.com/cgu) et Politique de confidentialité (looqko.com/privacy).