Confier une photo nette de son visage à un site fait hésiter la plupart des gens — et cet instinct est parfaitement sain. Alors, la conclusion d'abord : dans ce produit, votre photo ne quitte jamais votre appareil. L'analyse n'expédie pas votre photo vers un serveur ; elle expédie l'algorithme vers votre navigateur. Ce n'est pas un langage marketing — c'est un fait technique que vous pouvez vérifier vous-même en deux minutes.
Le principe : le modèle tourne dans votre navigateur
Le navigateur moderne a cessé depuis longtemps d'être une simple fenêtre sur des pages ; il embarque la machinerie d'un vrai calcul local. À l'ouverture de la page d'analyse, un modèle compact de points de repère faciaux se télécharge dans votre navigateur, puis tout le travail — détecter le visage, épingler des centaines de points, les convertir en Trois Sections, Cinq Yeux et autres rapports — se déroule localement, sur votre téléphone ou votre ordinateur. La photo n'existe en pixels que dans la mémoire de votre appareil : utilisée pour le calcul, puis abandonnée ; jamais écrite sur un serveur.
Que voyage-t-il réellement ? Un petit paquet de données de coordonnées : les positions des repères en nombres, les rapports qui en découlent, plus le contexte facultatif que vous choisissez de donner (une tranche d'âge, par exemple). Le serveur s'en sert pour interroger la bibliothèque de règles et composer votre lecture. Des coordonnées sont de la géométrie abstraite — pas un seul pixel d'image ; le serveur ne voit votre visage à aucun moment.
Sceptique ? Vérifiez en deux minutes
- Ouvrez la page d'analyse sur un navigateur d'ordinateur, pressez F12 pour les outils de développement, onglet Réseau.
- Téléversez une photo et menez une analyse complète en observant chaque requête qui passe.
- Inspectez les corps de requêtes : vous verrez des fichiers de modèle qui descendent et de petits paquets JSON qui montent — et aucun envoi d'image nulle part. Une photo pèse des mégaoctets ; un JSON de coordonnées, quelques kilooctets. La différence saute aux yeux.
À noter au passage : la carte de partage de la page de rapport se dessine elle aussi localement, sur un canevas de votre navigateur — produire une image de votre lecture n'exige pas davantage que la photo voyage.
Pourquoi nous tenons à cette architecture
D'abord, la nature de la donnée : une photo de visage est une matière biométrique hautement sensible, et la protection la plus forte n'est pas « bien la conserver » mais « ne jamais la collecter ». Ce qu'un serveur ne détient pas ne peut ni fuir, ni être détourné, ni être forcé. Ensuite, c'est aussi de la meilleure ingénierie : le calcul local supprime l'attente du téléversement, et sur réseau faible le parcours est en réalité plus rapide. Enfin, cela change une promesse de confidentialité en architecture de confidentialité — « pas d'envoi » n'est pas une clause qu'on pourrait amender discrètement un jour ; c'est la façon dont le produit fonctionne, physiquement.
Une frontière honnête pour finir : les coordonnées ne sont pas une photo, nous les traitons pourtant au standard des données sensibles — chiffrées en transit, effaçables après usage, avec un point d'entrée de suppression sur la page de confidentialité. Collecter aussi peu que la technique le permet, et vous rendre le droit d'effacement : ces deux lignes réunies font le sens complet de « votre photo ne quitte jamais le navigateur ».