Politique de confidentialité

Visiter ensemble

Lorsque vous entrez dans le musée partagé, les visiteurs à proximité peuvent voir une silhouette sans nom à l’endroit où vous vous trouvez. Ils ne peuvent pas voir votre compte ni vous envoyer de messages. Activez « Visiter en solo » pour ne plus apparaître aux personnes extérieures à votre groupe et masquer leurs silhouettes. Si vous faites partie d’un groupe, vous et ses membres pouvez toujours vous voir.

L’application Galler pour Android n’inclut pas Visiter ensemble. Elle n’affiche ni les autres visiteurs, ni les groupes, ni le chat.

Les groupes sont réservés aux personnes de 16 ans ou plus. Un hôte connecté à son compte crée le groupe et admet chaque personne qui demande à le rejoindre ou, pour un grand événement, laisse entrer toute personne ayant le code PIN. Les invités choisissent un nom d’affichage. Les groupes avec code PIN ne nécessitent pas de compte pour les invités ; les groupes réservés aux adresses e-mail invitées exigent de se connecter avec l’adresse invitée. Votre groupe peut voir votre nom d’affichage et votre position dans le musée. Les messages du groupe ne sont visibles que par ses membres.

Pour une invitation liée à une adresse e-mail, l’hôte transmet l’adresse prévue afin que Galler puisse la comparer au compte connecté de l’invité. Le dossier d’invitation contient un hachage de l’adresse avec clé secrète et sel, un hachage du jeton, un libellé d’adresse partiellement masqué, une date d’expiration et un état d’utilisation. Le dossier du membre invité conserve aussi le hachage de l’adresse pour la reconnexion. Ces données sont conservées jusqu’à la fin du groupe. L’adresse complète n’est ni enregistrée dans les dossiers du groupe ni montrée aux autres membres. Un lien sert à la demande d’un seul invité, expire au plus tard au bout d’une heure ou à la fin du groupe et peut être révoqué. L’approbation de l’hôte reste nécessaire. Galler n’envoie pas d’e-mails d’invitation : l’hôte copie le lien ou ouvre sa propre application de messagerie, qui reçoit l’adresse et le lien. Son navigateur conserve l’adresse complète pendant la préparation de l’invitation.

Nous utilisons Cloudflare pour connecter les visiteurs. Les positions actuelles servent à afficher les silhouettes à proximité, et non à constituer un historique de vos déplacements. La dernière position transmise peut rester associée à une connexion ouverte et est supprimée lorsque cette connexion se ferme. Un identifiant temporaire du navigateur et une liste de personnes masquées aident à empêcher les personnes que vous masquez de réapparaître. Ce masquage temporaire peut prendre fin si les identifiants du navigateur changent, si ses données sont effacées ou si le jeton de masquage expire.

Votre navigateur mémorise le réglage « Visiter en solo ». Pour cet onglet, il conserve un identifiant temporaire de présence et la liste des personnes masquées, ainsi que le code de votre groupe, votre nom d’affichage et un secret servant à vous reconnecter au groupe. Une invitation e-mail en attente est également conservée dans cet onglet pour permettre la connexion au compte, avec une échéance d’une heure. Elle est effacée lorsque vous annulez, lorsque vous recevez les informations de reconnexion au groupe ou lors de la prochaine vérification après cette échéance. Ces informations de connexion sont envoyées à Galler lorsque la visite le nécessite. Quitter le groupe efface les informations de reconnexion enregistrées ; fermer l’onglet efface les données stockées pour cet onglet.

Pour maintenir un groupe ensemble, les données d’affectation aux zones utilisent des identifiants temporaires de groupe et de membre. Les réservations de connexion inutilisées expirent après 30 secondes. Les réservations de zone pour les groupes qui ne sont plus utilisées et les marques d’exclusion de la zone expirent sous dix minutes. Un groupe connecté conserve son affectation tant qu’elle est nécessaire. Le nettoyage planifié s’exécute même lorsque personne n’est actif ; les interruptions de service peuvent retarder la suppression.

Le groupe conserve un historique limité des messages tant qu’il est ouvert. Il prend fin lorsque l’hôte le termine, lorsqu’il est vide depuis 15 minutes ou lorsqu’il atteint sa limite de quatre heures. L’historique du groupe est alors supprimé, à l’exception des messages inclus dans un signalement. Nous n’enregistrons pas d’audio.

Dans un groupe, vous pouvez choisir de rejoindre la voix. La voix est réservée aux membres admis par un hôte et ayant déclaré avoir 16 ans ou plus, et elle ne vous relie jamais à des personnes extérieures au groupe. Tant que votre micro est allumé, les autres membres de votre groupe présents dans la voix peuvent vous entendre. Le musée vous relie aux membres les plus proches, 8 au maximum à la fois. Toute personne qui guide le groupe est entendue par tous ceux qui sont dans la voix. Les membres de votre groupe peuvent voir si vous êtes dans la voix ou simplement à l’écoute.

Nous n’enregistrons, ne conservons ni ne transcrivons la voix, et personne chez Galler ne peut l’écouter. Elle transite en direct par le service Realtime de Cloudflare, qui traite pour cela des informations de connexion, dont les adresses IP. Les serveurs de Galler ne reçoivent jamais l’audio. Tant que vous êtes dans la voix, le groupe conserve des identifiants de connexion temporaires, supprimés lorsque vous quittez la voix ou lorsque le groupe prend fin. Pour maintenir la voix dans nos limites d’utilisation mensuelles, nous conservons un total cumulé des données vocales estimées de chaque hôte, sous un identifiant codé. Il ne contient aucun audio et nous le supprimons à la fin du mois, même si le compte de l’hôte est supprimé plus tôt.

Votre navigateur ne demande le micro qu’après que vous avez choisi de l’allumer, et vous pouvez écouter sans micro. Vous parlez en maintenant une touche ou un bouton, ou en choisissant de garder le micro allumé. Votre micro s’arrête lorsque vous quittez la voix ou le groupe, lorsque le groupe prend fin ou lorsque la page est masquée. L’indicateur de la personne qui parle est calculé sur votre propre appareil et n’est envoyé à personne. Votre navigateur se souvient que vous avez vu la note sur la voix : elle n’apparaît qu’une fois.

Un signalement concernant la voix conserve qui signale, qui est signalé, le motif et l’heure. Il n’y a aucun audio à conserver, il n’en contient donc pas. Les signalements expirent après 30 jours.

Si vous signalez un membre du groupe, nous conservons le motif, les personnes concernées, l’identifiant du groupe et jusqu’à 20 messages récents de la personne signalée. Un signalement concernant une personne extérieure au groupe conserve des identifiants temporaires, le motif, la zone du musée et l’heure, mais aucune coordonnée ni aucun message. Les signalements expirent après 30 jours et sont supprimés lors du prochain nettoyage quotidien qui aboutit. En cas d’échec de transmission, une nouvelle tentative est effectuée sans prolonger ce délai.

Cloudflare traite les informations de connexion, y compris les adresses IP. Pour aider à empêcher une personne exclue de rejoindre à nouveau le même groupe, nous utilisons un hachage salé de l’adresse et un secret de membre. Ces données d’exclusion sont conservées jusqu’à la fin du groupe. Nous n’incluons ni noms d’affichage, ni messages, ni codes de groupe, ni jetons d’invitation, ni identifiants de présence dans les données d’analyse.

Dawson

Le guide du musée de Dawson est gratuit et ne contacte aucun fournisseur d’IA. Lorsqu’un abonné adulte pose une question au guide d’art IA de Dawson, Galler envoie à Fireworks AI la question, jusqu’à six messages récents de la conversation, les notes publiques utiles sur les artistes, les œuvres et le musée, la catégorie de la page et toute image jointe à ce message, afin de générer une réponse. Nous n’accédons pas automatiquement aux photos de votre galerie privée, à l’e-mail de votre compte, à vos favoris, à vos informations de paiement ni aux paramètres d’URL, et nous ne les envoyons pas. Fireworks traite ces données pour le compte de Galler conformément à son avenant relatif au traitement des données (Data Processing Addendum), aux États-Unis ou dans d’autres pays, et peut effectuer des contrôles de sécurité automatiques.

L’application Galler pour Android n’inclut ni le chat de Dawson ni son guide d’art IA. L’application n’envoie ni messages, ni photos, ni audio à Fireworks, et ne propose pas la dictée. Elle peut lire à voix haute les textes du guide avec les voix de votre téléphone ; rien n’est alors envoyé à Galler ni à Fireworks.

Les messages et les images peuvent contenir des informations permettant de vous identifier, que vous y avez mises vous-même. Galler envoie aussi un jeton de compte pseudonyme pour isoler les caches de requêtes ; ce jeton est dérivé d’un secret du serveur et n’est ni votre e-mail ni votre identifiant de compte. Fireworks indique ne pas journaliser durablement par défaut les requêtes ni les réponses pour l’inférence des modèles ouverts, et conserver les caches de requêtes en mémoire temporaire pendant quelques minutes. Notre préférence de partage ne vous inscrit ni à l’entraînement ni à la journalisation de contenu de Fireworks. Consultez le traitement des données par Fireworks.

Les images jointes sont redimensionnées et réencodées dans votre navigateur avant l’envoi, ce qui supprime les métadonnées intégrées au fichier d’origine. Sélectionner une image ne l’importe pas ; elle n’est envoyée que lorsque vous envoyez le message. Galler traite l’image pour cette réponse et ne l’enregistre ni dans votre compte ni dans votre galerie.

La dictée facultative au micro utilise le service vocal de votre navigateur. Dans Chrome, l’audio est envoyé à Google ; dans Safari, à Apple. Galler ne reçoit ni ne conserve l’audio. Les mots dictés restent dans votre brouillon modifiable jusqu’à ce que vous l’envoyiez. La dictée s’arrête lorsque vous fermez Dawson ou quittez la page.

La lecture à voix haute et l’audioguide ne démarrent que si vous les choisissez, et utilisent une voix fournie par votre navigateur ou votre appareil. Selon la voix, le navigateur peut envoyer le texte à son fournisseur de synthèse vocale. L’écoute n’utilise aucune réponse de l’IA.

Le cœur de Dawson enregistre ou retire un favori immédiatement. Lorsque vous demandez à Dawson dans un message d’enregistrer une œuvre ou de l’ajouter à une galerie, Galler récupère le statut de favori de l’œuvre et vos galeries disponibles pour afficher un aperçu dans votre navigateur, et la modification exige votre confirmation explicite. Ces choix privés et les résultats des actions ne sont pas envoyés à Fireworks ni ajoutés à la conversation. Nous conservons les reçus d’action nécessaires, qui contiennent les identifiants du compte, de l’œuvre et de la galerie, les intitulés publics des œuvres, l’opération demandée, l’état, les révisions et l’horodatage, pendant 30 jours plus jusqu’au nettoyage quotidien suivant, afin d’éviter les modifications en double et d’en récupérer les résultats. Ils ne contiennent ni texte de conversation, ni copie des noms de galerie, ni photos, ni audio. Les révisions des favoris restent liées à votre compte afin que l’annulation puisse détecter les modifications ultérieures. Ce stockage opérationnel est distinct du partage facultatif de texte et est supprimé lorsque vous supprimez votre compte.

Votre conversation reste dans la page tant qu’elle est ouverte, même lorsque le panneau de chat est fermé. Votre navigateur garde aussi vos trois derniers échanges avec Dawson dans cet onglet seulement, pour que Retour et la page suivante puissent les afficher. Ils sont effacés quand vous fermez l’onglet ou vous déconnectez. Galler ne conserve pas d’historique continu des conversations sur ses serveurs. Les réponses terminées sont stockées temporairement avec votre compte pendant 24 heures pour pouvoir être récupérées, puis supprimées lors du nettoyage quotidien suivant. Une réponse peut reprendre des informations personnelles de votre question ou de votre image. Les empreintes des requêtes et les totaux d’utilisation sont conservés jusqu’à 62 jours plus jusqu’au nettoyage quotidien suivant, afin d’éviter les doubles facturations et d’appliquer les quotas. Ces empreintes utilisent un secret du serveur ; ce ne sont pas des questions enregistrées. Ce stockage temporaire du service est distinct du partage facultatif destiné à l’amélioration.

Nous conservons dans votre profil Dawson la date anniversaire de votre quota et l’horodatage du début de votre abonnement, pour calculer les renouvellements mensuels de façon cohérente, y compris après un changement de formule ou un réabonnement. La suppression du compte supprime ce profil. La date anniversaire d’origine fait aussi partie de votre dossier d’abonnement et suit la durée de conservation des données de facturation.

Si vous signalez une réponse de l’IA comme erronée ou nuisible, nous conservons la question, la réponse, ses sources et la version des instructions de Dawson qui l’a rédigée pendant 30 jours plus jusqu’au nettoyage quotidien suivant, afin de l’examiner. La suppression de votre compte supprime vos signalements.

Le partage d’échanges écrits pour améliorer Dawson est désactivé par défaut. Vous pouvez l’activer séparément dans Compte. S’il est activé, Galler peut examiner les futures questions et réponses éligibles pour évaluer la qualité des réponses et améliorer les indications de Dawson. Seuls les échanges écrits autonomes et réussis, sans image ni historique de conversation fourni, sont éligibles ; les messages précédents, les échanges de suivi, les images, l’audio et les données de la galerie privée sont exclus. Nous ne collectons pas les conversations passées lorsque vous activez le partage. Le partage est facultatif et ne change ni votre accès à l’abonnement ni votre quota de réponses.

Nous filtrons les coordonnées courantes dans le texte partagé et remplaçons la référence au compte par un identifiant aléatoire. Cela réduit les informations identifiantes mais ne garantit pas l’anonymat : des noms, des récits personnels et d’autres détails identifiants peuvent subsister. Nous conservons un lien distinct avec le compte afin de pouvoir supprimer les copies partagées. Ne partagez pas d’informations sensibles. Les échanges partagés servent au contrôle qualité interne de Galler, et non à l’entraînement de modèles, à la publicité, à la vente ou à une publication.

Les échanges partagés expirent après 30 jours et sont supprimés de la base de données active lors du nettoyage quotidien suivant. Désactiver le partage dans Compte supprime de la base de données active les copies partagées et leur lien avec le compte, et arrête la collecte future, y compris les requêtes en attente. Vous pouvez le désactiver même après la fin de votre abonnement. Cela ne supprime pas le cache temporaire des réponses ni les données d’utilisation nécessaires décrits plus haut.

La mémoire de visite est elle aussi désactivée par défaut et distincte du partage. Si vous l’activez, nous enregistrons seulement la dernière œuvre ou salle publique mémorisée et l’heure de la visite, pour personnaliser un message d’accueil ultérieur. La désactiver ou choisir Oublier ma visite dans Compte efface ces informations. La suppression de votre compte supprime la mémoire de Dawson, la déclaration de majorité, les réponses en cache, les données d’utilisation et les échanges partagés ; la déclaration faite lors du paiement de l’abonnement reste avec les données de facturation.

Pour savoir quelle aide est utile, Galler compte comment l’aide gratuite de Dawson et l’audioguide sont utilisés : le type de page, la langue, le sujet d’aide, si un récit audio est allé jusqu’au bout, et si le visiteur est un invité, un compte gratuit ou un abonné. Ces décomptes ne contiennent ni identifiant de compte ou d’appareil, ni texte de message.

Vos choix et vos droits

Modifiez vos préférences de newsletter dans Compte, ou utilisez le lien de désabonnement présent dans chaque newsletter. Vous pouvez supprimer les photos de votre espace. Vous pouvez supprimer vous-même votre compte et ses données depuis Compte, sur le web ou dans l’application Galler. Résiliez un abonnement en cours dans Gérer la facturation avant de fermer votre compte.

Sur galler.app, dans un navigateur web, Galler utilise Cloudflare Web Analytics pour compter les visites et mesurer la vitesse des pages. Il n’utilise ni cookies ni stockage du navigateur et ne vous suit pas d’un site à l’autre. Il enregistre l’adresse de la page, la page de provenance, votre navigateur, votre système d’exploitation et votre type d’appareil, votre pays et le temps de chargement de la page. L’application Android ne l’utilise pas.

Vous disposez aussi des droits suivants sur vos données personnelles :

• Accès : obtenir une copie de vos données.
• Rectification : faire corriger les données inexactes.
• Effacement : faire supprimer vos données.
• Limitation : nous demander de limiter l’usage de vos données.
• Opposition : vous opposer aux usages fondés sur nos intérêts légitimes.
• Portabilité : recevoir vos données dans un format courant et lisible par machine.
• Retrait du consentement : désactiver à tout moment la newsletter, la mémoire de visite ou le partage dans Compte. Cela n’affecte pas ce que nous avons fait avant votre retrait.

Pour exercer ces droits, écrivez à support@studioam.art depuis l’adresse de votre compte. Nous pouvons vous demander de confirmer que le compte vous appartient avant toute modification. Nous répondons dans un délai d’un mois.

Vous pouvez aussi introduire une réclamation auprès d’une autorité de protection des données, par exemple celle de votre lieu de résidence. Au Royaume-Uni, il s’agit de l’Information Commissioner’s Office (ICO).