Déclaration de protection des données

1 · Qui est responsable

Responsable du traitement de vos données personnelles au sens de la loi suisse sur la protection des données (DSG / LPD) :

Michael Bolliger
Earhart-Strasse 19
8152 Glattpark (Opfikon)
Suisse
info@migumento.com

Il n’y a pas de délégué à la protection des données.

2 · Quelles données nous traitons

En tant qu’organisateur

• Votre adresse e-mail. Pour que nous puissions vous envoyer les liens vers l’événement et le code de suppression de l’événement, que vous puissiez vous faire renvoyer les liens et que nous puissions vous envoyer des e-mails au sujet de votre événement. Vous pouvez vous en désabonner dans chacun de ces e-mails.
• Les informations sur l’occasion, que vous saisissez vous-mêmes : titre, date, lieu, design, paramètres de l’événement.
• L’origine de votre visite. Relevée à la création de l’album : les indications de campagne (« utm_source », « utm_medium », « utm_campaign », « utm_content ») de la page sur laquelle vous créez l’album ; à défaut, les premières de la même visite ; à défaut encore, et si le cookie « migu_d » est posé (section 3), les premières du même appareil au cours des 7 jours précédents. À cela s’ajoutent le chemin de cette page, l’hôte du site d’où vous venez si votre navigateur le transmet (jamais l’adresse complète), et la réponse facultative à « Comment nous avez-vous connus ? ». Si « migu_d » est posé, son identifiant d’appareil et son identifiant de visite ; si vous n’avez pas encore répondu à la question sur le cookie, l’identifiant de la visite sans cookie (ci-dessous) ; et si le cookie était posé, refusé, sans réponse ou absent. S’y ajoutent la version du site sous laquelle l’album a été créé et, si « migu_d » est posé, l’identifiant de « migu_xp » (section 3). Finalité : savoir combien de personnes nous trouvent et par quel chemin, rattacher l’album aux pages vues du même navigateur, et facturer le premier achat à l’offre de cette version. Ces indications ne sont analysées que par nous et ne sont transmises à aucun tiers ; aucun suivi par des tiers ne fonctionne sur ce site. Elles sont rattachées à l’album et supprimées avec lui, les identifiants au plus tard au bout de douze mois.
• Données de paiement — voir la section 5.

En tant qu’invité

• Le nom que vous saisissez vous-mêmes. Il figure auprès de vos photos et de vos commentaires, pour que les autres sachent de qui ils viennent.
• Un mot de passe, si vous en définissez un. Facultatif. Il vous permet de revenir sous votre nom sur un autre appareil. Seule une empreinte est enregistrée.
• Un code d’accès, si vous ou les organisateurs en créez un. Huit caractères, valable 30 minutes, utilisable une seule fois — il vous sert à connecter un appareil supplémentaire à votre nom. Seule une empreinte est enregistrée. Les organisateurs peuvent créer un tel code pour vous : toute personne qui l’utilise dans ces 30 minutes envoie ensuite sous votre nom.
• Les photos, vidéos, commentaires et réactions que vous envoyez ou laissez.
• Mesures de chaque envoi. La durée de chaque étape, de l’envoi à l’affichage, le nombre de fois qu’une étape a été répétée, le débit de transfert mesuré et celui de nos serveurs qui a exécuté une étape. Finalité : améliorer les envois et leur traitement. Supprimées douze mois après l’envoi, ou plus tôt avec l’événement.
• Quelles photos vous avez marquées comme favoris. Une entrée par photo et par invité, avec l’horodatage. Cette liste, seul l’invité qui l’a créée la voit. Sans nom, la liste reste sur cet appareil, jusqu’à ce que vous en saisissiez un. Elle est supprimée avec l’événement.
• Quelles photos vous avez ouvertes en grand (« Vues »). Le comptage se fait par appareil et par photo, à partir d’environ une seconde de visionnage ; vos propres photos ne comptent pas. Cela reste à l’intérieur de ce seul événement : la photo indique combien d’invités différents l’ont ouverte, et les autres invités du même événement peuvent ouvrir cette liste. Si vous avez saisi un nom, vous y figurez sous ce nom ; si vous n’en avez pas, vous n’apparaissez que dans un nombre (« + 3 autres invités ») et vous n’y êtes pas distinguables.
• Le comptage a lieu même quand l’affichage est désactivé. Les organisateurs peuvent désactiver « Vues » pour leur événement ; personne ne voit alors ni chiffres ni noms. Le comptage continue.
• Le type d’appareil, le modèle et le système d’exploitation de votre navigateur, dans la mesure où il les révèle — p. ex. « Pixel 7 · Android 15 ». Finalité : améliorer Migumento pour les appareils utilisés ; en outre, cela figure auprès de vous dans la liste des invités des organisateurs. Si vous utilisez plusieurs appareils sous le même nom, nous les fusionnons dans cette liste : les organisateurs voient alors combien d’appareils vous appartiennent, les indications du premier, et si vous avez défini un mot de passe. Cela est rattaché à l’événement et supprimé avec lui.
• Signalements. Si vous signalez une photo, une vidéo ou un commentaire, nous enregistrons : le contenu signalé, le motif, votre précision facultative, votre entrée d’invité avec votre nom si vous en avez saisi un, et le moment. Finalité : examiner et supprimer les contenus non autorisés. Les signalements de photos et de vidéos sont visibles par la personne organisatrice et les modérateurs de l’événement, ceux de commentaires par la personne organisatrice.
• Qui sort des photos en bloc. Si vous téléchargez une archive ZIP par le lien des invités ou lancez un export vers Google Drive ou Google Photos, y compris en tant qu’organisateur, nous retenons : votre nom à ce moment-là, la voie (ZIP, Google Drive ou Google Photos), ce que vous avez pris (tout l’événement, un album, vos favoris ou une sélection), le nombre de photos et de vidéos, pour un ZIP le volume de données transféré, et l’heure. Finalité : pouvoir retracer qui a sorti en bloc les photos d’un événement.
• Utilisation de l’événement. Est enregistrée l’utilisation : vues et actions, app ou navigateur, le moment. S’y ajoutent l’événement, votre entrée d’invité s’il y en a une, l’identifiant de votre navigateur et votre adresse IP raccourcie (ci-dessous) et, si le cookie « migu_d » est posé (section 3), son identifiant d’appareil et son identifiant de visite ; si vous n’avez pas encore répondu à la question sur le cookie, l’identifiant de la visite sans cookie (ci-dessous). Après « Refuser », seulement l’événement. Finalité : savoir quelles fonctions d’un événement sont utilisées, et comment. Supprimé après douze mois.
• Évaluation. Si vous donnez une évaluation après l’événement, y compris en tant qu’organisateur, nous enregistrons : les étoiles, le texte facultatif, votre entrée d’invité ou le fait que vous êtes l’organisateur, le nombre de vos photos envoyées et de celles que vous avez ouvertes en vue agrandie, application ou navigateur, la langue et l’horodatage. Si vous fermez la question, nous enregistrons combien de fois et quand. Finalité : améliorer Migumento et afficher sur le site la moyenne et le nombre de toutes les évaluations, sans nom. Le texte n’est lu que par nous. Les données sont supprimées avec l’événement.

Quand quelque chose ne fonctionne plus

• Des rapports d’erreur depuis votre navigateur. Si quelque chose se passe mal dans l’application, votre navigateur nous envoie un rapport à ce sujet. Il contient : le message d’erreur avec sa ligne d’origine technique, l’adresse de la page où vous étiez (donc le lien vers votre événement), la version de notre application, ainsi que des indications sur l’environnement — navigateur, système d’exploitation, taille d’écran, qualité de la connexion, mémoire disponible — et les dernières étapes qui ont mené à l’erreur. En cas d’envoi échoué, le nom du fichier concerné y figure aussi. Si une partie de la page ne charge pas, l’adresse du fichier qui a manqué y figure.
• Pour quoi et combien de temps. Finalité : trouver et corriger des erreurs. Les erreurs identiques sont regroupées en une seule entrée et supprimées après 90 jours. Les rapports se trouvent sur le même serveur que l’événement lui-même.

Avec un compte (facultatif)

Un compte est facultatif. Finalité : retrouver tous vos événements au même endroit et sur chaque appareil. Pour cela, nous enregistrons :

• Votre adresse e-mail et le nom que vous indiquez dans le compte. L’adresse est la clé du compte ; chaque code de connexion y est envoyé.
• Un mot de passe, si vous en définissez un — sous forme d’empreinte. Sans mot de passe, vous vous connectez avec un code à six chiffres valable dix minutes ; de lui aussi nous n’enregistrons qu’une empreinte.
• Vos sessions : par appareil connecté, un identifiant, sa dernière utilisation, l’adresse IP et l’identifiant de navigateur de l’appareil — pour que vous voyiez sous « Sessions » où vous êtes connectés, et que vous puissiez déconnecter des appareils un par un. Une session prend fin après un an sans utilisation, ou quand vous y mettez fin.
• Quels événements appartiennent au compte — en tant qu’organisateur ou en tant qu’invité sous le nom que vous y portez.
• Un journal des connexions — quand, depuis quelle adresse IP, avec quel résultat —, pour que nous puissions détecter les abus.

Connexion avec Google. Si vous choisissez « Continuer avec Google », Google nous transmet l’identifiant de votre compte (« sub »), votre adresse e-mail et votre nom. Nous enregistrons l’identifiant pour vous reconnaître la fois suivante. Ce que Google retient de son côté sur la connexion relève de la politique de confidentialité de Google.

Connexion avec Apple. Si vous choisissez « Continuer avec Apple », Apple nous transmet l’identifiant de votre compte (« sub »), une adresse e-mail vérifiée et, la première fois seulement, votre nom. Si vous choisissez « Masquer mon adresse e-mail » chez Apple, l’adresse est une adresse de relais d’Apple. Nous enregistrons l’identifiant pour vous reconnaître la fois suivante. Apple est responsable de manière autonome de la connexion chez Apple ; ce qu’Apple retient à cette occasion relève de la politique de confidentialité d’Apple.

Protection contre les connexions automatisées. La page de connexion peut intégrer une vérification de Cloudflare (« Turnstile ») qui distingue les tentatives de connexion d’un être humain de celles d’un programme. Ce faisant, Cloudflare traite l’adresse IP et des caractéristiques techniques de votre navigateur — seulement pendant la vérification, et seulement sur cette page.

Vous supprimez vous-mêmes un compte sous « Connexion → Supprimer le compte ». Les rattachements aux événements et les sessions sont alors retirés ; les événements, les photos et les noms des invités restent auprès de l’événement.

Avec l’application pour Android (facultatif)

L’application est facultative. Elle affiche le même site, et tout ce que dit cette section s’y applique de la même manière. S’y ajoute :

• L’installation de l’application. Au premier lancement, l’application s’enregistre chez nous : avec un identifiant, une clé dont nous n’enregistrons qu’une empreinte, la version de l’application et la langue dans laquelle vous l’utilisez. Nous retenons en outre quand elle s’est manifestée chez nous pour la dernière fois. Finalité : envoyer à ce téléphone des notifications dans votre langue, et seul ce téléphone peut les régler.
• Les notifications, si vous les autorisez. L’identifiant sous lequel Firebase Cloud Messaging de Google atteint votre téléphone (un identifiant d’installation Firebase ou un jeton d’enregistrement). Par événement : à quel invité le téléphone y appartient, s’il possède le lien Gérer, vos interrupteurs sous « Notifications », jusqu’à quand vous avez vu les photos et quand nous avons envoyé quelle notification. Pour chaque tentative d’envoi, nous retenons en outre : le type de notification, si le téléphone comptait à ce moment-là comme invité ou comme organisateur, la langue, le système d’exploitation, le canal sur lequel la notification s’affiche et le nombre qu’elle indique. À cela s’ajoute le résultat : la réponse de Firebase Cloud Messaging ou notre propre motif lorsqu’aucune réponse n’est venue de là. Si vous touchez une notification, l’application nous le signale et nous retenons le moment. Finalité : voir si les notifications arrivent et si elles sont touchées. Une notification contient le titre de l’événement, un texte avec un nombre et les noms d’invités qui ont fait un envoi, le lien vers l’album, l’identifiant de la tentative d’envoi — pour autant que nous ayons pu le retenir — et l’adresse d’une image d’aperçu que vous pouvez voir dans l’album. Elle parvient à votre téléphone par Firebase Cloud Messaging, sur un iPhone ensuite par l’Apple Push Notification Service (section 6). Si un interrupteur est désactivé, nous n’envoyons pas ce type de notification. Dans les paramètres du téléphone, vous désactivez l’affichage pour toute l’application.
• L’accès aux photos et aux vidéos du téléphone, si vous l’autorisez. L’application lit la médiathèque du téléphone pour l’afficher lors de la sélection et pour suggérer des photos prises pendant l’événement ; pour les suggestions, aussi lorsque l’application n’est pas ouverte. Une photo ou une vidéo ne quitte le téléphone que lorsque vous l’envoyez. Pour que l’application puisse marquer les photos et les vidéos que l’album a déjà, et ne pas les suggérer, elle nous transmet d’abord leur taille de fichier, leur heure de prise de vue et leur nom de fichier. Nous répondons lesquelles l’événement contient déjà, et nous n’enregistrons pas ces indications.
• Un code d’installation, si vous importez des événements du navigateur dans l’application. Pour cela, le navigateur obtient pour chaque événement un code valable 24 heures et utilisable une seule fois. L’application s’en sert pour ouvrir l’événement sous votre nom. Nous enregistrons une empreinte du code et le code lui-même, chiffré : il peut être récupéré pendant 15 minutes au plus et est supprimé ensuite.
• Scanner un code QR. L’image de la caméra est analysée sur le téléphone par les services Google Play. L’application ne reçoit que le contenu du code.
• Connexion dans l’application. La connexion avec Google passe par les services Google Play du téléphone. La connexion avec Apple et la connexion d’un compte Google pour l’export se font dans le navigateur du téléphone ; nous en transmettons le résultat à l’application avec un ticket valable une seule fois, qui expire après cinq minutes.

Techniquement, à chaque consultation

• Adresse IP et identifiant de navigateur. Ils surviennent à chaque consultation d’un site web et figurent dans nos journaux d’exploitation, à côté de l’adresse demandée. Finalité : parer aux abus (limitation du nombre de requêtes par expéditeur) et trouver des pannes.
• Une page vue, comptée par le serveur. Ce qui est retenu : la page demandée, sous la forme de son adresse de base allemande (par exemple « /hochzeit ») — un lien d’album ne figure jamais dans ce comptage, un album compte seulement comme album, gestion ou accès d’envoi ; la langue et la région tarifaire de l’adresse ; les indications de campagne tirées du lien ; l’identifiant qu’une plateforme publicitaire accroche elle-même à son lien ; la clé courte issue de l’un de nos propres liens ; et, si vous êtes arrivés depuis un autre site, son hôte — donc par exemple « www.google.com » et jamais l’adresse complète. Finalité : savoir quelles pages sont consultées, combien de fois et par quelle voie. Si le cookie « migu_d » est posé (section 3), son identifiant d’appareil et son identifiant de visite figurent dans la ligne ; si vous n’avez pas encore répondu à la question sur le cookie, l’identifiant de la visite sans cookie (ci-dessous). La ligne indique en outre si le cookie était posé, refusé ou sans réponse, et quelle version du site a été délivrée ; si « migu_d » est posé, aussi l’identifiant de « migu_xp » (section 3). Si vous créez une démo, une ligne avec les mêmes indications est enregistrée pour cela. De votre appareil, seuls la langue que vous avez choisie, « migu_d » et « migu_xp » (section 3) sont lus.
• Utilisation du site. Est enregistrée l’utilisation du site : vues et actions, le moment. S’y ajoutent la page, sous la forme de son adresse de base allemande, la langue et la région tarifaire de l’adresse, l’identifiant de votre navigateur et votre adresse IP raccourcie (ci-dessous) et, si le cookie « migu_d » est posé (section 3), son identifiant d’appareil et son identifiant de visite ; si vous n’avez pas encore répondu à la question sur le cookie, l’identifiant de la visite sans cookie (ci-dessous). S’y ajoutent la version du site qui a été délivrée et, si « migu_d » est posé, l’identifiant de « migu_xp » (section 3). Après « Refuser », la même chose sans l’identifiant de votre navigateur, l’adresse IP et les identifiants de l’appareil et de la visite. Finalité : savoir quelles parties de ces pages sont utilisées, et comment. Supprimé après douze mois.
• Un identifiant par jour. Pour que plusieurs pages d’une même visite ne comptent pas comme plusieurs visiteurs, notre serveur calcule une somme de contrôle à partir de votre adresse IP, de l’identifiant de votre navigateur et de votre réglage de langue. Une valeur secrète entre dans ce calcul ; elle est générée à neuf pour chaque jour et supprimée au bout de deux jours. Pour cela, seule la somme de contrôle est enregistrée. L’identifiant de votre navigateur répond en outre à la question de savoir si la consultation venait d’un programme automatique. Après « Refuser » (section 3), cette somme de contrôle n’est pas calculée.
• Identifiant de navigateur et adresse IP raccourcie avec la page vue. La ligne d’une page vue et d’une démo contient en outre l’identifiant de votre navigateur et votre adresse IP sans sa dernière partie : en IPv4 sans le dernier des quatre nombres, en IPv6 seulement les trois premiers blocs. Finalité : reconnaître nos propres consultations selon des règles que nous fixons et les marquer comme internes, et reconnaître les consultations de programmes automatiques. Nous supprimons les deux douze mois après la consultation de la ligne.
• Une visite sans cookie. Si vous vous trouvez dans l’UE, dans l’EEE, au Royaume-Uni ou si aucun pays ne peut être attribué, et que vous n’avez pas encore répondu à la question sur le cookie « migu_d » (section 3), notre serveur regroupe vos pages vues en une visite. Pour cela, il calcule une somme de contrôle à partir de votre adresse IP, de l’identifiant de votre navigateur, de la caractéristique de votre connexion chiffrée que forme notre fournisseur réseau (« JA4 ») et de votre réglage de langue. La valeur secrète du jour du point précédent entre dans ce calcul ; elle est supprimée au bout de deux jours. Sont enregistrés la somme de contrôle, un identifiant de visite aléatoire ainsi que le début et la dernière consultation de la visite. Une visite prend fin après 30 minutes sans consultation ou 24 heures après son début. Finalité : rattacher les unes aux autres les pages vues d’une visite, ainsi qu’à un album créé au cours de cette visite. Après « Refuser », rien de tout cela n’est calculé.
• Indications de campagne dans les liens. Si vous arrivez par un lien portant des indications de campagne (« utm_source », « utm_medium », « utm_campaign », « utm_content ») et que vous n’avez pas encore répondu à la question sur le cookie « migu_d » ou que vous l’avez refusé, notre serveur ajoute ces indications aux liens de la page qui mènent plus loin sur Migumento. Si le cookie est posé, la page retire de la barre d’adresse les indications de campagne, l’identifiant d’une plateforme publicitaire et notre clé courte dès que la page vue est comptée.

3 · Ce qui reste sur votre appareil, et les cookies

Localement sur votre appareil, sans être envoyé à un serveur : quels albums ont de nouvelles photos depuis votre dernière visite, vos paramètres de couleur et d’affichage, et les envois encore en file d’attente. Sur votre appareil se trouve en outre une copie de vos favoris (section 2).

Cookies pour ce seul événement. Cinq, posés par votre navigateur, valables un an au plus. Le serveur les lit pour délivrer la première page dans l’état qu’ils décrivent :

• quelle vue vous aviez ouverte en dernier dans cet événement ;
• si cet appareil possède le lien Gérer ;
• vos réglages d’affichage et jusqu’où vous avez vu les photos de cet événement ;
• combien de photos vous avez marquées comme favorites — un nombre, pas une liste ;
• une somme de contrôle (SHA-256) de l’identifiant que votre navigateur a créé pour cet événement. Le serveur y reconnaît vos propres envois et ne vous les montre pas comme nouveaux.

Cookies pour l’ensemble du site. Si vous choisissez une langue ou une région tarifaire, deux cookies retiennent ce choix pendant un an. Un troisième retient pour cette visite que vous avez fermé l’indication concernant une autre région tarifaire.

Avec un compte (section 2) s’en ajoutent d’autres. Ils valent pour tout le site, tant que vous êtes connectés :

• un cookie qui vous identifie comme connectés et qui retrouve la session correspondante à la visite suivante — il prend fin après un an sans utilisation, ou quand vous vous déconnectez ;
• un deuxième qui retient seulement que vous êtes connectés et qui tient vos initiales prêtes pour le symbole en haut à droite ;
• si vous vous connectez avec Google ou Apple, en plus un cookie qui protège ce seul processus de connexion contre les manipulations et qui expire de lui-même après dix minutes, que vous terminiez la connexion ou non.

Vous vous en débarrassez, eux et tout le reste, en vous déconnectant ou en supprimant les données du site dans votre navigateur.

Dans l’application pour Android, ces cookies et tout ce qui précède se trouvent dans l’espace de stockage de l’application au lieu du navigateur. L’application enregistre en outre sur le téléphone la liste de vos événements avec leurs accès, l’identifiant de l’installation avec sa clé, les photos et vidéos de la médiathèque qu’elle a envoyées et les suggestions que vous avez écartées. Ces deux listes restent sur le téléphone. Vous vous débarrassez de tout cela en désinstallant l’application ou en supprimant ses données dans les paramètres d’Android.

Un cookie qui reconnaît ce navigateur : « migu_d ». Posé par notre serveur lorsqu’il délivre une page de Migumento. Valable 400 jours à compter de la dernière consultation. Contenu : un identifiant d’appareil aléatoire, un identifiant de visite aléatoire, le début et la dernière consultation de la visite, et si vous avez donné votre consentement. Une visite prend fin après 30 minutes sans consultation ou 24 heures après son début. Finalité : rattacher les unes aux autres les pages vues d’un navigateur sur plusieurs jours et du site jusque dans un album, ainsi qu’un nouvel album à la visite au cours de laquelle il a été créé (section 2). Ses identifiants ne sont transmis à personne.

Où il est posé sans vous demander : en Suisse et dans tout pays situé hors de l’UE, de l’EEE et du Royaume-Uni. Ce qui compte est le pays que notre fournisseur réseau attribue à votre connexion. Dans l’UE, dans l’EEE, au Royaume-Uni et lorsqu’aucun pays ne peut être attribué, il n’est posé qu’avec votre consentement ; sans celui-ci, rien n’y est posé et un cookie existant n’est pas lu. Tant que vous n’avez pas répondu, c’est « Une visite sans cookie » (section 2) qui s’y applique.

Votre choix : Ne plus reconnaître ce navigateur — le cookie est remplacé par un autre qui, pendant 400 jours, n’enregistre que votre refus. Autoriser la reconnaissance — c’est votre consentement, là où il en faut un. Vous pouvez modifier ce choix à tout moment.

Un cookie qui détermine quelle version du site vous voyez : « migu_xp ». Posé par notre serveur lorsqu’il délivre une page de Migumento, dans tous les pays. Valable 400 jours. Contenu : un identifiant aléatoire et, après un accès via une annonce de Google, une mention de celui-ci. Finalité : que ce navigateur voie à chaque consultation la même version du site et les mêmes prix. Son identifiant n’est transmis à personne.

Tout autre cookie de cette liste est nécessaire au service que vous avez demandé.

Un cookie supplémentaire n’est posé que derrière la connexion à notre administration interne. Contenu : l’indication que les consultations de cet appareil n’entrent pas dans nos chiffres. Durée : un an.

Pas de nous : la vérification de Cloudflare (« Turnstile ») sur les deux champs de connexion peut poser un cookie. Finalité : distinguer un être humain d’un programme. Prestataire : section 6. Selon notre appréciation, il est absolument nécessaire à l’opération que vous avez demandée et n’est donc pas soumis au consentement.

4 · Les données de localisation dans vos photos

Un appareil photo inscrit dans chaque photo des indications supplémentaires invisibles — l’heure, le modèle d’appareil, et sur beaucoup de téléphones les coordonnées du lieu de prise de vue. Nous ne supprimons pas ces indications.

Quiconque a accès à un événement et télécharge un original peut y lire le lieu de prise de vue.

Par l’application pour Android, les photos et les vidéos arrivent avec ces indications, coordonnées comprises. Si vous les sélectionnez dans un navigateur sous Android, Android retire les coordonnées avant l’envoi ; dans l’application aussi, si elle n’a pas accès à la médiathèque.

L’organisateur peut faire retirer ces indications pour les autres invités. S’il désactive « Inclure les métadonnées » sous « Télécharger les originaux », nous retirons, lors du téléchargement et de l’export par des invités, des photos et des vidéos des autres invités les coordonnées, les indications sur l’appareil comme le numéro de série, les noms enregistrés, les textes et les images d’aperçu intégrées. Chaque invité reçoit ses propres photos et vidéos inchangées, de même que tout ce qui passe par le lien Gérer.

Pour les vidéos, cela ne vaut que pour l’original. La version qui est lue dans l’application, nous la recalculons nous-mêmes — les indications supplémentaires de l’appareil disparaissent alors, coordonnées comprises.

5 · Paiements

Le paiement passe par Stripe. Les numéros de carte, les indications TWINT et tout ce qui est comparable sont collectés et traités directement par Stripe. Ne nous reviennent que : le fait qu’un paiement a abouti, son montant, et un numéro de référence.

Le prestataire est Stripe Payments Europe Ltd., Irlande, pour les paiements européens, avec Stripe, Inc. (USA) comme société mère. Sa déclaration de protection des données : stripe.com/privacy.

Si votre adresse de facturation se trouve hors de Suisse, Stripe est le marchand de référence de l’achat (Link, LLC (Stripe)) et, pour ce paiement, responsable de manière autonome — elle collecte vos indications de facturation pour elle-même, établit le reçu et en a besoin pour ses propres obligations fiscales.

6 · Qui d’autre traite les données

Nous les employons tous en tant que sous-traitants ; ils ne traitent les données que pour nous.

Une exception : avec une adresse de facturation hors de Suisse, Stripe n’est pas sous-traitante pour le paiement lui-même, mais responsable de manière autonome en tant que marchand de référence (voir la section 5).

Dans la mesure où des données parviennent ainsi aux États-Unis, nous nous appuyons sur les clauses contractuelles types de la Commission européenne et sur la décision d’adéquation du Conseil fédéral relative au Swiss-U.S. Data Privacy Framework. Nous ne transmettons de données à personne qui ne figure pas ici — sauf si vous demandez vous-mêmes un export vers votre propre compte Google (section 7) ou si la loi nous y oblige.

7 · Export vers votre propre compte Google

Migumento peut copier les photos et les vidéos d’un événement dans votre propre Google Drive ou dans vos propres Google Photos. Cela ne se produit que si vous connectez vous-mêmes un compte Google et lancez l’export. L’export existe pour les organisateurs et pour les invités ; chaque personne connecte son propre compte Google et n’exporte que vers celui-ci. Lors de la connexion, nous vous redirigeons vers Google ; Google voit alors votre adresse IP, comme à l’ouverture de n’importe quel site web.

Ce qui est transmis : les photos et les vidéos que vous avez sélectionnées pour cet export, leurs noms de fichiers et leur date de prise de vue. S’y ajoutent le nom de l’événement et celui de l’album — dans Google Drive comme noms des dossiers où se trouvent les fichiers, dans Google Photos comme texte auprès de chaque photo, À chaque fichier dans Google Drive, nous attachons en outre un identifiant technique de la photo ou de la vidéo ; et si vous demandez l’export vers Google Drive sous la forme d’une seule archive (ZIP), cette archive porte l’identifiant de l’export. Finalité : un deuxième export y reconnaît ce qui est déjà transféré.

Un original part tel qu’il a été pris — avec toutes les indications supplémentaires invisibles de l’appareil photo dont parle la section 4, coordonnées du lieu de prise de vue comprises. Ce n’est que si vous choisissez, pour l’export vers Google Drive, la version plus petite d’une photo ou la version convertie d’une vidéo, que c’est le fichier recalculé qui part, et celui-là ne porte plus ces indications. Vers Google Photos, ce sont toujours les originaux qui partent.

Les copies se trouvent ensuite dans votre compte, dans le cadre de votre propre accord avec Google. Pour ces copies, Google n’est pas notre sous-traitant. Ce que Google fait des données dans votre compte relève de sa propre déclaration de protection des données : policies.google.com/privacy.

Nous pouvons écrire dans votre compte Google, mais pas y lire. Par connexion, nous demandons pour vos photos et vos vidéos exactement une autorisation — celle de la destination que vous avez choisie : pour Google Drive, uniquement l’accès aux fichiers et aux dossiers que notre propre application y a créés (drive.file). Pour Google Photos, uniquement l’ajout (photoslibrary.appendonly) : nous pouvons y déposer des photos et des vidéos et créer un album pour cela, mais nous ne pouvons ni parcourir votre médiathèque, ni la consulter, ni en supprimer quoi que ce soit. Si vous voulez utiliser les deux destinations, vous connectez le compte deux fois, et nous détenons alors les deux autorisations. S’y ajoute, au moment où vous vous identifiez chez Google, le partage de l’adresse de votre compte (openid, email).

De la connexion elle-même, nous ne conservons chez nous que ce dont un export a besoin : un accès que vous nous accordez chez Google et que nous ne gardons que chiffré, pour qu’un export puisse tourner sans nouvelle connexion ; l’adresse e-mail du compte connecté, pour que vous voyiez vers quel compte l’export se fait ; quelles autorisations vous nous avez accordées ; ainsi que l’identifiant du dossier créé et des albums créés, pour qu’un deuxième export réutilise les mêmes.

Vous pouvez déconnecter le compte à tout moment. Lors de l’export, la page Google Drive et la page Google Photos proposent « Déconnecter », aux invités comme aux organisateurs ; cela ne déconnecte que sa propre connexion. Notre enregistrement, nous le supprimons dans tous les cas — ensuite, nous n’avons ni cet accès ni l’adresse de votre compte Google, et votre export en cours est arrêté. Et nous demandons à Google de révoquer l’autorisation — c’est une requête adressée à Google, et normalement Google l’exécute. Si elle n’atteint pas Google, ou si Google la refuse, l’autorisation peut continuer d’exister dans votre compte Google alors qu’il n’en reste plus rien chez nous.

Vous pouvez à tout moment vérifier cette autorisation et la retirer vous-mêmes dans votre compte Google sous « Sécurité », parmi les applications tierces ayant accès au compte : myaccount.google.com.

Si l’événement est supprimé, notre enregistrement disparaît avec lui ; nous ne demandons alors rien à Google. En cas de révocation directement chez Google, notre accès perd immédiatement sa validité ; l’enregistrement contenant l’adresse de votre compte reste alors en place, jusqu’à ce que vous choisissiez « Déconnecter » ou que l’événement soit supprimé. Ce qui a déjà été exporté reste dans votre compte.

8 · Ce que nous ne faisons pas

• Pas de décision individuelle automatisée.

9 · Combien de temps nous conservons quoi

• L’événement et son contenu : tant que court la durée d’accès (voir Conditions générales). Ensuite, l’événement est bloqué, et à partir de ce moment nous pouvons le supprimer à tout instant. En règle générale, nous gardons un événement bloqué plus longtemps, pour que vous puissiez le rouvrir. La suppression a lieu plus tôt si vous le supprimez vous-mêmes ou si vous nous le demandez. Si vous supprimez vous-mêmes un événement contenant des photos ou des vidéos, il n’est plus accessible immédiatement et il est supprimé définitivement sept jours plus tard ; jusque-là, il n’est utilisé que pour le restaurer.
• Événements jamais utilisés : un événement qui, 12 mois après sa création, est encore totalement intact, nous le supprimons automatiquement. Intact signifie : jamais de photo ni de vidéo envoyée, jamais de nom d’invité saisi, adresse e-mail jamais confirmée, rien de payé, aucune carte de table créée. Dès que ne serait-ce qu’une seule de ces choses s’est produite, le premier point s’applique.
• Événements de démo : automatiquement et intégralement après 48 heures.
• Envois échoués : après 30 jours.
• Fichiers des photos et vidéos supprimées : supprimés définitivement dans les 30 jours suivant la suppression, y compris des copies de sauvegarde. D’ici là, ils ne sont utilisés que pour les restaurer. À cette fin, nous conservons pour chaque suppression, pendant 45 jours, un enregistrement : les identifiants de la photo ou de la vidéo, de l’album, de l’événement et de l’invité, les chemins de stockage des fichiers ainsi que la date et le motif de la suppression. Ensuite, l’enregistrement est supprimé.
• Adresse e-mail de l’organisateur : tant que l’événement existe.
• Connexion à un compte Google : jusqu’à ce que vous la déconnectiez, tout au plus aussi longtemps que l’événement existe — ensuite toute l’entrée qui s’y rapporte disparaît, accès et adresse du compte (voir la section 7).
• Signalements : tant que l’événement existe. Si la personne organisatrice lève les signalements d’un contenu, ils sont supprimés.
• Journal des téléchargements et des exports en bloc : tant que l’événement existe. Si un invité est retiré, son nom y reste.
• Installation de l’application et notifications : l’entrée de ce téléphone relative à un événement (section 2) ne survit jamais à l’événement ni à l’installation. Elle est supprimée, par exemple, lorsque vous désactivez tous les interrupteurs sous « Notifications », lorsque vous retirez l’événement de la liste de l’application, ou lorsque le lien pour les invités est réattribué et que l’entrée appartenait à un invité ou à un lien Gérer plus ancien. Si vous retirez le dernier événement, l’application supprime son installation chez nous et son identifiant d’installation Firebase chez Google ; Google retire ensuite aussi cet identifiant de ses sauvegardes dans un délai de 180 jours. Nous supprimons l’installation lorsqu’elle ne s’est pas manifestée chez nous pendant 270 jours, par exemple après une désinstallation. Le point suivant s’applique à l’entrée relative à une tentative d’envoi.
• Entrée relative à une tentative d’envoi : 270 jours à compter de la tentative, puis supprimée. Elle renvoie à l’événement, à l’installation et à l’entrée de ce téléphone relative à cet événement ; lorsque l’un d’eux est supprimé, nous retirons seulement la référence qui le désigne.
• Notifications qui n’atteignent pas le téléphone : au plus 24 heures chez Firebase Cloud Messaging.
• Pages vues comptées : pour une durée indéterminée.
• Identifiant de navigateur et adresse IP raccourcie d’une page vue (section 2) : douze mois après la consultation.
• La valeur secrète de la somme de contrôle journalière de la section 2 : deux jours.
• Identifiant d’appareil et identifiant de visite de « migu_d » (section 3) : douze mois — dans la ligne d’une page vue à compter de la consultation, sur un album à compter de sa création. Le cookie lui-même : 400 jours après la dernière consultation, ou jusqu’à ce que vous le supprimiez dans votre navigateur.
• L’identifiant de « migu_xp » (section 3) : douze mois — dans la ligne d’une page vue à compter de la consultation, sur un album à compter de sa création. Le cookie lui-même : 400 jours après la première consultation, ou jusqu’à ce que vous le supprimiez dans votre navigateur.
• Somme de contrôle d’une visite sans cookie (section 2) : supprimée au plus tard deux jours après la dernière consultation. Son identifiant de visite dans la ligne d’une page vue et sur un album : douze mois, comme les identifiants de « migu_d ».
• L’identifiant qu’une plateforme publicitaire a accroché à son lien : douze mois. Finalité : pouvoir indiquer à la plateforme quelle annonce a mené à un album. Supprimé douze mois après la consultation.
• Journaux d’exploitation : jusqu’à ce que la rotation les écrase.
• Copies de sauvegarde de la base de données : au plus 16 mois, puis supprimées. Elles ne servent qu’à restaurer des données.
• Justificatifs de paiement : dix ans (Art. 958f OR).

10 · Vos droits

Vous avez le droit d’accéder aux données que nous traitons à votre sujet, de faire corriger des indications fausses, d’obtenir leur suppression, de les recevoir dans un format courant et de vous opposer à un traitement. Un e-mail à info@migumento.com suffit.

Si vous apparaissez sur une photo dans un événement et que vous ne le souhaitez pas, écrivez-nous également.

Vous pouvez en outre déposer une réclamation auprès du Préposé fédéral à la protection des données et à la transparence (PFPDT / EDÖB) à Berne.

11 · Sécurité

Entre votre appareil et nous, tout passe exclusivement par des connexions chiffrées (TLS). Un événement est accessible par un lien long et impossible à deviner ; qui ne l’a pas n’entre pas. Les fichiers originaux ne sont remis que par des liens signés un par un, qui cessent d’être valables au bout de 24 heures. Le lien Gérer et le lien pour les invités sont séparés. Qui a un lien est dedans.

Il n’existe pas de sécurité absolue sur Internet. Ce que cela signifie pour la responsabilité est indiqué à la section 12 des Conditions générales.

12 · Modifications

Nous adaptons cette déclaration quand quelque chose change dans le produit. C’est chaque fois la version publiée ici qui s’applique ; la date en bas indique quand elle a été modifiée pour la dernière fois.