Politique de confidentialité

Qui est responsable de vos données

Entourage est un service édité par One Hour Labs Limited, société de droit mauricien immatriculée sous le numéro BRN C26236235, dont le siège est Domaine Victoria, V2, Sottise Road, Grand Baie, Maurice. Contact : contact@entourage.photos. Voir aussi les mentions légales.

Ce que nous collectons, et pourquoi

Photos et vidéos envoyées par les invités. Elles sont stockées pour être mises à disposition de l'organisateur de l'événement et des invités de cet événement. Leur seule analyse automatisée externalisée est la modération de sécurité décrite ci-dessous. Nous ne les vendons pas, ne les utilisons pas pour entraîner un modèle et ne les employons à aucune autre fin que fournir, sécuriser et, si l'organisateur le demande, exporter l'album.

Les messages facultatifs des invités, pour les afficher sur le diaporama de l'événement après modération. Lors de leur envoi, nous ne conservons pas l'adresse IP brute : nous en calculons une empreinte pseudonymisée propre à cet événement. Elle reste avec le message pendant sa durée de conservation, uniquement pour la sécurité et l'examen d'abus éventuels, sans analyse d'audience ni profilage entre événements.

Le prénom facultatif saisi par un invité au moment de l'envoi, uniquement pour indiquer qui a partagé quoi. Le laisser empty n'empêche rien.

Le nom de l'événement et le prénom de l'organisateur, pour personnaliser l'album.

Aucun compte n'est requis pour les invités : pas d'inscription, pas de mot de passe, pas de traceur publicitaire, pas de revente de données.

Modération automatique par Google et OpenAI

Selon le mode choisi pour l'album et les services configurés, nous utilisons deux outils pour éviter qu'un contenu manifestement violent, sexuel ou menaçant soit projeté devant les invités :

• Google Cloud Vision SafeSearch analyse une vignette JPEG de chaque photo. Pour une vidéo, il reçoit l'image d'aperçu et jusqu'à deux images extraites de la vidéo, jamais la vidéo complète. Ces images sont envoyées directement dans la requête, sans nom, adresse e-mail ni identifiant de compte ;
• l'API Moderations d'OpenAI analyse le texte des messages d'invités. Aucune photo ni vidéo n'est envoyée à OpenAI par ce traitement ;
• les services renvoient des catégories et des scores de risque. Entourage s'en sert pour publier, écarter ou placer le contenu en attente d'un arbitrage humain. Cette classification peut se tromper ; elle ne produit aucun effet juridique ni aucun profil de la personne.

Google et OpenAI interviennent ici comme prestataires techniques et peuvent traiter les données dans les pays où eux-mêmes et leurs sous-traitants opèrent, selon leurs garanties contractuelles. Pour les appels synchrones utilisés par Entourage, Google indique traiter les images en mémoire sans les conserver sur disque et ne pas les employer pour entraîner Cloud Vision ; OpenAI indique que le point d'accès /v1/moderations ne conserve pas le contenu et ne l'emploie pas pour entraîner ses modèles. Leurs informations à jour sont disponibles dans la notice de Google Cloud Vision et les contrôles de données de l'API OpenAI.

Nous conservons le verdict et les scores renvoyés avec le contenu concerné, pendant la durée de l'album, afin d'expliquer le classement et de permettre l'arbitrage. Vous pouvez contester un classement auprès de l'organisateur ou à contact@entourage.photos.

Si vous vous connectez avec Google

Se connecter à son espace organisateur avec Google est facultatif : le lien envoyé par e-mail suffit et continue de fonctionner. Si vous choisissez Google :

• nous demandons uniquement openid email profile. Cette autorisation ne donne aucun accès à vos photos, à votre agenda ni à votre messagerie ;
• nous recevons de Google un identifiant stable, votre adresse e-mail, votre prénom et votre langue. C'est tout, et c'est tout ce que nous conservons ;
• aucun jeton d'accès Google n'est stocké : nous n'avons aucun moyen de contacter Google en votre nom après la connexion ;
• nous ne rapprochons votre identité Google d'un compte existant que si Google nous confirme que l'adresse vous appartient ;
• vous pouvez délier ce compte à tout moment depuis Mon compte, sans rien perdre.

Si vous connectez votre Google Photos

L'organisateur connecte son compte Google pour que les photos de ses invités arrivent directement dans sa propre bibliothèque Google Photos. C'est la raison d'être du produit : les photos rentrent chez lui au lieu de dormir chez nous.

Ce que nous recevons de Google

• l'autorisation https://www.googleapis.com/auth/photoslibrary.appendonly, sous la forme d'un jeton de rafraîchissement ;
• votre adresse e-mail Google (openid email), afin de vous montrer à l'écran dans quelle bibliothèque vos photos vont partir ;
• en retour de chaque envoi, l'identifiant de l'album créé et celui de chaque photo déposée.

Ce que nous en faisons, et rien d'autre

• créer un album dans votre bibliothèque, portant le nom que vous avez choisi ;
• y déposer les photos et vidéos envoyées par vos invités pour cet événement ;
• afficher l'avancement de l'envoi et un lien vers l'album ;
• conserver l'identifiant de chaque photo déposée pour ne jamais l'envoyer deux fois, et pour savoir qu'elle est bien arrivée avant d'effacer notre copie de transit.

Cette autorisation ne donne aucun accès en lecture à votre bibliothèque : nous ne pouvons ni voir vos autres photos, ni les modifier, ni les supprimer, ni même retrouver l'album que nous avons créé si vous l'effacez. Nous ne pouvons pas davantage déposer dans un album qui existait déjà : Google ne l'autorise que pour les albums créés par l'application elle-même.

Ce que nous conservons, et combien de temps

• le jeton de rafraîchissement, chiffré, jusqu'à ce que vous retiriez l'autorisation. Le retrait depuis Mon compte l'efface immédiatement de nos bases ;
• votre adresse e-mail Google et la date de l'autorisation, pour la même durée ;
• les identifiants d'album et de photos, tant que l'album Entourage existe.

Vous pouvez retirer cette autorisation à tout moment, depuis Mon compte ou depuis votre compte Google. Les photos déjà arrivées dans votre bibliothèque vous appartiennent et y restent : nous n'avons aucun moyen de les reprendre.

Usage limité

L'usage que nous faisons des données reçues des API Google respecte la Google API Services User Data Policy, y compris ses exigences d'usage limité. En particulier :

• ces données servent uniquement aux fonctionnalités décrites ci-dessus, visibles à l'écran ;
• nous ne les transférons à personne, sauf si vous le demandez, si la loi l'exige, ou pour les besoins strictement techniques de l'hébergement décrits plus bas ;
• nous ne les employons jamais à des fins publicitaires, ni pour du profilage, et nous ne les vendons pas ;
• nous ne les utilisons jamais pour développer, améliorer ou entraîner des modèles d'intelligence artificielle, généralisés ou non ;
• aucun humain ne les lit, sauf avec votre accord exprès, pour des raisons de sécurité, ou si la loi nous y oblige.

À qui nous transmettons vos données

Nous ne vendons aucune donnée, et nous n'en transmettons aucune à des fins publicitaires sans votre accord exprès. Les seuls tiers qui en traitent sont les prestataires techniques ci-dessous, chacun pour une tâche précise, chacun lié par un contrat de sous-traitance :

Une seule exception, et seulement si vous l'acceptez : si vous créez un album depuis une annonce Google et cochez la case prévue, nous signalons à Google que son annonce a porté ses fruits. Google reçoit alors ces données en tant que responsable de son propre service publicitaire, et non comme notre prestataire. Le détail est dans Mesure de nos campagnes.

Les données reçues de Google vous concernant ne sont transmises à aucun de ces prestataires, à la seule exception d'OVHcloud, qui héberge la base où elles sont enregistrées et n'y accède pas. Elles ne partent ni chez Brevo, ni chez Sentry, ni chez Paddle, ni vers aucun service de modération, ni vers la mesure d'audience, qui ne voit que les pages publiques, ni vers la mesure de nos campagnes publicitaires.

Elles peuvent l'être en dehors de ces cas dans deux situations seulement : si la loi ou une autorité judiciaire nous l'impose, et si l'activité d'Entourage était un jour cédée, auquel cas vous en seriez informé avant tout transfert et pourriez demander l'effacement.

Comment nous protégeons vos données

• En transit : tout le site et tous les échanges avec les API de Google passent par HTTPS (TLS). Aucune page du service n'est servie en clair ;
• Le jeton Google, au repos : il est chiffré avant même d'atteindre la base, par chiffrement authentifié, avec une clé qui ne se trouve pas dans la base. Un accès à la base seule ne permet pas de s'en servir ;
• Les journaux et les rapports d'erreur : un filtre retire les jetons, les secrets d'album et les adresses des rapports envoyés à Sentry, avant leur départ. Aucun jeton Google n'est jamais écrit dans un journal ;
• Les fichiers : ils ne sont accessibles que par des adresses signées à expiration courte, jamais par une URL devinable. Le stockage n'est pas public ;
• Les accès : l'administration du service est réservée à une liste nominative d'adresses, vérifiée à chaque requête, et n'est jamais accordée par une donnée stockée en base ;
• L'effacement : la suppression d'un média ou d'un compte est appliquée au stockage principal et à sa sauvegarde, jamais à l'un seulement.

Combien de temps nous conservons vos fichiers

La durée dépend de l'offre choisie par l'organisateur :

• Découverte — quatorze jours après la création de l'album ;
• Complet — un an à compter de l'achat ;
• Essentiel — les fichiers ne font que transiter. Lorsque cette purge sera en service, nous n'effacerons, sept jours après la fermeture, que les copies dont l'export a été confirmé ; en cas d'échec, nous alerterons l'organisateur à sept puis vingt et un jours et garderons l'original le temps qu'il le récupère, jusqu'à une purge finale annoncée à trente jours. Les originaux exportés restent dans le cloud choisi par l'organisateur, sans date d'expiration fixée par Entourage ; la politique de ce service s'applique à eux ;
• Pro — le temps de l'abonnement, puis un an à compter de sa fin.

Les albums créés avant la mise en place de ces offres ne sont soumis à aucune expiration automatique. Ces durées sont celles que nous appliquons à compter de leur mise en œuvre technique ; d'ici là, aucun album n'est supprimé automatiquement. Pour supprimer un album avant son échéance, écrivez-nous à contact@entourage.photos : nous le supprimons définitivement sous 30 jours.

Où sont hébergées vos données

Sur des serveurs situés en Union européenne (France), chez OVHcloud. Si vous utilisez l'export direct, les originaux partent vers le service de stockage que vous avez vous-même désigné, et c'est alors sa politique qui s'applique à eux.

Une sauvegarde est répliquée dans un second conteneur OVHcloud situé lui aussi en France, dans une région distincte. Elle n'est ni publique ni utilisée pour servir l'album. Toute suppression d'un média est appliquée au stockage principal et à cette sauvegarde.

Vos droits

Conformément au RGPD, vous pouvez demander l'accès, la rectification, la suppression ou la portabilité de vos données, et vous opposer à leur traitement. Une demande à contact@entourage.photos reçoit une réponse sous 30 jours. Si une photo de vous a été envoyée par un tiers et que vous souhaitez son retrait, écrivez-nous : nous la supprimons sans discuter du motif.

Retirer une photo que vous avez envoyée

Après un envoi, l'écran de remerciement liste ce que votre appareil a envoyé et permet d'en retirer n'importe quel élément, sans compte et sans nous écrire. La photo disparaît aussitôt de l'album ; le fichier et toutes ses versions dérivées — vignette, copie d'affichage, image d'aperçu vidéo — sont effacés de nos serveurs sous sept jours.

Ce lien tient à un identifiant aléatoire conservé pendant 90 jours dans un cookie technique commun au site. Le même cookie peut donc accompagner des contributions à plusieurs albums. Sa valeur est enregistrée avec les médias pour permettre leur retrait, et avec les messages pour appliquer les limitations d'envoi. Nous ne l'utilisons ni pour mesurer l'audience, ni pour suivre votre navigation, ni pour établir un profil ou rapprocher votre activité entre événements. Si vous l'avez perdu — autre téléphone, navigation privée, cookies effacés — l'organisateur de l'album peut retirer n'importe quel élément, et vous pouvez toujours nous écrire.

La fenêtre de retrait reste ouverte tant que l'album accepte des envois. Une fois l'album clos, c'est l'organisateur qui décide.

Mesure d'audience

Nous comptons les visites des pages publiques du site — l'accueil, les pages d'explication, les pages légales et le formulaire de création — avec Matomo, un outil que nous hébergeons nous-mêmes sur nos propres serveurs. Les chiffres ne partent chez aucun régisseur publicitaire et ne sont revendus à personne.

Cette mesure n'entre pas dans les albums. Ni la page d'un invité, ni la galerie, ni le diaporama, ni l'espace de l'organisateur ne sont mesurés : l'adresse de ces pages contient le code ou le secret de l'album, et l'envoyer à un outil de statistiques reviendrait à y déposer un album privé. Vos photos, vos messages et le nom de votre événement ne sont donc jamais vus par cette mesure, d'aucune manière.

Sur les pages publiques, elle enregistre l'adresse de la page consultée, sans ses paramètres (ni étiquette de campagne, ni identifiant de clic), le site d'où vous venez s'il est extérieur, réduit à son seul nom, votre langue et le type d'appareil. Elle fonctionne sans déposer le moindre cookie : c'est pourquoi le site ne vous demande pas de consentement, et c'est aussi pourquoi elle ne sait pas reconnaître un visiteur qui revient. Si votre navigateur émet un signal « ne pas me suivre » (Do Not Track), nous l'honorons et rien n'est enregistré.

Mesure de nos campagnes

Nous faisons connaître Entourage par des annonces Google, par des partenaires (par exemple la boutique de modèles d'affiches EntouragePhotos sur Etsy) et sur les réseaux sociaux. Les liens que nous y plaçons portent une étiquette de campagne, par exemple « google / cpc / search-fr ». Elle désigne la campagne, pas vous : tous ceux qui suivent le même lien portent la même.

• Les arrivées. Quand une page publique est ouverte depuis un tel lien, nous ajoutons un au compteur de cette étiquette pour la journée. Le compteur ne garde ni votre adresse IP, ni votre appareil, ni l'heure : rien qui permette de vous reconnaître ;
• Votre album. Si vous créez un album, son étiquette est enregistrée avec lui, pour que nous sachions quels canaux nous amènent des organisateurs. Elle suit votre navigation dans l'adresse des pages du site, jamais dans un cookie, et ne part chez personne. Ce traitement repose sur notre intérêt légitime à savoir quelles campagnes fonctionnent ; vous pouvez vous y opposer en nous écrivant, et nous effaçons l'étiquette.
• Votre compte Pro. Si vous ouvrez un compte depuis la page Pro, l'étiquette de votre visite est enregistrée avec votre compte, pour la même raison. Elle passe par le formulaire, puis par le code de connexion que nous vous envoyons (ou, avec Google, par la seule session de connexion, qui l'oublie au retour), jamais par un cookie. Même base, même droit d'opposition.

Si vous arrivez par une annonce Google, Google ajoute au lien un identifiant de clic. Nous ne le gardons, et ne le lui renvoyons, que si vous l'acceptez, en cochant au moment de créer votre album une case qui n'est jamais cochée d'avance. Google apprend alors que son annonce a mené à la création d'un album et, le cas échéant, à un achat : l'identifiant de clic, la nature de l'événement, sa date et, pour un achat, son montant hors taxes. Jamais votre nom, votre adresse e-mail, le nom de votre événement ni vos photos. Nous ne l'autorisons pas à s'en servir pour personnaliser les annonces qu'il vous montre.

Google Ireland Limited reçoit ces données en tant que responsable de son service publicitaire, selon sa propre politique de confidentialité ; elles peuvent être traitées hors de l'Union européenne, notamment aux États-Unis, sous les garanties que Google met en œuvre. Sans votre accord, l'identifiant est oublié dès la création de l'album et rien ne part chez Google. Avec lui, l'identifiant est conservé avec l'album et effacé avec lui. Vous pouvez retirer cet accord à tout moment depuis les réglages de l'album : l'identifiant est aussitôt effacé et plus rien n'est transmis, ce qui l'a déjà été restant soumis à la politique de Google.

Aucune balise publicitaire n'est chargée sur le site : c'est nous qui transmettons, et seulement ce qui est écrit ici.

Cookies

Nous n'utilisons aucun cookie publicitaire, et ni la mesure d'audience ni la mesure de nos campagnes décrites ci-dessus n'en déposent aucun. Seuls des cookies techniques strictement nécessaires au fonctionnement du site sont déposés, et les voici tous :

• votre choix de langue, pour ne pas vous le redemander à chaque page ;
• votre choix de thème clair ou sombre, conservé par votre navigateur seul ;
• un identifiant d'appareil commun au site, conservé 90 jours et enregistré avec vos médias pour permettre leur retrait, ainsi qu'avec les messages pour limiter les envois, sans analyse d'audience ni profilage ;
• un cookie de session et, si vous le demandez, un cookie de connexion, sur l'espace organisateur.