Politique de confidentialité — Klikage : vérification d'âge
Appli Shopify éditée par Pikali. Dernière mise à jour : 2026-11-11.
Klikage permet à une boutique Shopify de vérifier qu'un visiteur est majeur avant l'achat de produits réservés aux adultes. Cette politique explique quelles données sont traitées, où, combien de temps et par qui. En résumé : l'estimation faciale ne quitte jamais le navigateur du visiteur, chaque enregistrement est conservé dans la boutique Shopify du marchand, et le serveur de Pikali ne garde aucune donnée personnelle.
1. Rôles
Le marchand qui exploite la boutique est responsable du traitement. Pikali (éditeur de l'appli) agit comme sous-traitant pour son compte pour les opérations décrites ci-dessous, au sens de l'article 28 du RGPD. Pour le serveur de l'appli lui-même (session de la boutique, sessions techniques anonymes, journaux), Pikali est responsable du traitement.
2. Estimation faciale de l'âge (vérification automatique)
L'estimation tourne entièrement dans le navigateur du visiteur avec la bibliothèque libre face-api.js, chargée depuis le CDN de Shopify et depuis le serveur de Pikali (fichiers de modèle). Le flux de la caméra, les images et les mesures biométriques sont traités dans la mémoire de l'appareil et ne sont jamais transmis, ni à Pikali ni au marchand. Seul le résultat (majeur : oui/non, et la méthode) est conservé : dans un cookie sur l'appareil du visiteur (durée fixée par le marchand, 30 jours par défaut), dans un jeton signé attaché au panier (pour déverrouiller la caisse), et, pour les clients connectés, sur le compte client dans la boutique du marchand (métachamps klikage.age_verified, age_verified_at, age_verified_method).
3. Vérification sur le téléphone (QR code)
Un visiteur sans caméra peut terminer sur un téléphone. Le serveur de Pikali crée une session technique (identifiant aléatoire, 15 minutes, domaine de la boutique, état) sans aucune donnée personnelle, supprimée automatiquement. L'estimation sur le téléphone suit la section 2.
4. Demande de validation manuelle
Quand la vérification automatique n'est pas concluante, le visiteur peut demander une validation manuelle au marchand : nom complet, e-mail, téléphone et message facultatifs et, si le marchand l'exige, une pièce d'identité (jpg, png ou pdf, réduite sur l'appareil du visiteur). Ces données sont enregistrées dans la boutique Shopify du marchand (enregistrement propre à l'appli et Fichiers Shopify), lisibles par le marchand, et lui sont envoyées par e-mail (sauf le document, consultable uniquement dans son administration). Le document est détruit dès que le marchand approuve ou refuse la demande ; la demande elle-même est anonymisée au terme de la durée de conservation choisie par le marchand (7 à 90 jours, 30 par défaut). Le serveur de Pikali traite ces données en mémoire seulement, pour les transmettre à Shopify et envoyer l'e-mail de notification ; rien n'est écrit sur les disques de Pikali.
5. E-mails
La notification au marchand (nouvelle demande) et les e-mails de décision au visiteur (approuvée / refusée) partent par le prestataire d'e-mail de Pikali (LWS, France). Aucune copie n'est conservée après l'envoi.
6. Données conservées par le serveur de Pikali
| Donnée | Finalité | Conservation |
|---|---|---|
| Jeton d'accès de la boutique (session Shopify) | Faire fonctionner l'appli pour la boutique | Jusqu'à la désinstallation |
| Sessions techniques QR (identifiants aléatoires, état) | Relais vers le téléphone | 15 minutes, purge toutes les heures |
| Journaux du serveur (méthode, chemin, code, durée — sans paramètres ni contenu) | Sécurité et exploitation | Environ 50 Mo glissants (5 fichiers) |
Aucune donnée personnelle de visiteur ou de client n'est conservée sur le serveur de Pikali. Serveur situé en Allemagne (Hetzner Online GmbH, contrat de sous-traitance art. 28 RGPD), dans l'Union européenne.
7. Sous-traitants
Shopify (données de la boutique, Fichiers, CDN), Hetzner Online GmbH (Allemagne, hébergement du serveur), LWS (France, e-mails transactionnels).
8. Sécurité
TLS partout ; requêtes signées entre la boutique et le serveur (proxy d'appli Shopify) ; jetons signés propres à chaque boutique ; comptes Pikali protégés par double authentification ; moindre privilège (l'appli ne demande que les autorisations Shopify qu'elle utilise). En cas d'incident de sécurité touchant les données d'une boutique, Pikali informe le marchand sous 48 heures.
9. Droits des visiteurs et des clients
Les demandes d'accès, de rectification ou d'effacement s'adressent au marchand, qui détient les données. Le marchand peut à tout moment supprimer une demande, détruire un document et retirer l'indicateur d'âge depuis l'appli et la fiche client. Les webhooks RGPD de Shopify (demande des données d'un client, effacement d'un client, effacement de la boutique) sont mis en œuvre : l'effacement d'un client supprime ses demandes de validation et son indicateur d'âge dans la boutique. Les visiteurs de l'UE peuvent aussi saisir leur autorité de contrôle (en France, la CNIL).
10. Avertissement de précision
L'estimation automatique est probabiliste et peut se tromper (éclairage, lunettes, masques, environ ±5 ans). Elle ne constitue pas une vérification d'identité formelle ; les marchands soumis à une telle obligation s'appuieront sur la validation manuelle ou sur un service dédié de vérification d'identité.
11. Contact
PIKALI SARL, capital 100 €, RCS Saverne, SIREN 104 038 211, TVA FR73104038211, 37 rue Principale, 67310 Dahlenheim, France — contact@pikali.fr — +33 1 62 04 56 70