Política de privacidade

Visitar juntos

Quando você entra no museu compartilhado, os visitantes próximos podem ver uma figura sem nome no lugar onde você está. Eles não podem ver sua conta nem enviar mensagens para você. Ative “Visitar sem companhia” para deixar de aparecer para pessoas de fora do seu grupo e ocultar as figuras delas. Se você estiver em um grupo, você e os outros membros ainda poderão se ver.

O app Galler para Android não inclui o Visitar juntos. Ele não mostra outros visitantes, grupos nem chat.

Os grupos são para pessoas com 16 anos ou mais. Um anfitrião conectado à sua conta cria o grupo e admite cada pessoa que pede para entrar ou, em um grande evento, deixa entrar qualquer pessoa que tenha o PIN. Os convidados escolhem um nome de exibição. Grupos com PIN não exigem conta dos convidados; grupos restritos aos e-mails convidados exigem que a pessoa entre com o endereço convidado. Seu grupo pode ver seu nome de exibição e sua localização no museu. As mensagens do grupo são visíveis apenas para os membros desse grupo.

Para criar um convite vinculado a um e-mail, o anfitrião informa o endereço pretendido para que a Galler possa compará-lo com a conta em que o convidado entrou. Os registros do convite contêm um hash do e-mail com chave secreta e salt, um hash do token, um rótulo com o endereço parcialmente oculto, a validade e o estado de uso. O registro do membro convidado também guarda o hash do e-mail para reconexão. Esses registros são mantidos até o encerramento do grupo. O endereço completo não é salvo nos registros do grupo nem mostrado a outros membros. Um link serve para o pedido de entrada de um único convidado, vence em até uma hora ou no encerramento do grupo e pode ser revogado. A aprovação do anfitrião continua necessária. A Galler não envia e-mails de convite: o anfitrião copia o link ou abre seu próprio aplicativo de e-mail, que recebe o endereço e o link. O navegador do anfitrião mantém o endereço completo enquanto prepara o convite.

Usamos a Cloudflare para conectar os visitantes. As posições atuais são usadas para mostrar figuras próximas, não para criar um registro dos seus movimentos. A última posição informada pode permanecer associada a uma conexão aberta e é descartada quando essa conexão é encerrada. Um identificador temporário do navegador e uma lista de pessoas ocultadas ajudam a impedir que as pessoas que você oculta apareçam novamente. A ocultação temporária pode terminar se os identificadores do navegador mudarem, se os dados do navegador forem apagados ou se o token de ocultação expirar.

Seu navegador lembra a configuração “Visitar sem companhia”. Para esta aba, ele guarda um identificador temporário de presença e uma lista de pessoas ocultadas, além do PIN do grupo, do seu nome de exibição e de um segredo usado para reconectar você ao grupo. Um convite por e-mail pendente também fica nesta aba para ser mantido durante o login, com prazo de uma hora. Ele é apagado quando você cancela, quando recebe os dados de reconexão ao grupo ou na próxima verificação após esse prazo. Esses dados de conexão são enviados à Galler quando necessários para a visita. Ao sair do grupo, os dados de reconexão salvos são apagados; ao fechar a aba, os dados armazenados para ela são apagados.

Para manter um grupo junto, os registros de alocação de zonas usam identificadores temporários do grupo e de seus membros. As reservas de conexão não utilizadas expiram após 30 segundos. As reservas de zona para grupos que deixam de ser usadas e os registros de remoção da zona expiram em até dez minutos. Um grupo conectado mantém sua alocação enquanto ela for necessária. A limpeza programada ocorre mesmo quando ninguém está ativo; interrupções do serviço podem atrasar a exclusão.

O grupo mantém um histórico limitado de mensagens enquanto está aberto. Ele termina quando o anfitrião o encerra, após ficar vazio por 15 minutos ou ao atingir o limite de quatro horas. O histórico do grupo é então excluído, exceto as mensagens incluídas em uma denúncia. Não gravamos áudio.

Em um grupo, você pode escolher entrar na voz. A voz é só para membros admitidos por um anfitrião que declararam ter 16 anos ou mais, e nunca conecta você a pessoas de fora do grupo. Enquanto seu microfone está ligado, os outros membros do grupo que estão na voz podem ouvir você. O museu conecta você aos membros mais próximos, no máximo 8 de cada vez. Quem guia o grupo é ouvido por todos na voz. Os membros do grupo podem ver se você está na voz ou só ouvindo.

Não gravamos, guardamos nem transcrevemos a voz, e ninguém na Galler pode ouvi-la. Ela passa ao vivo pelo serviço Realtime da Cloudflare, que para isso trata informações de conexão, incluindo endereços IP. Os servidores da Galler nunca recebem o áudio. Enquanto você está na voz, o grupo mantém identificadores de conexão temporários, excluídos quando você sai da voz ou quando o grupo termina. Para manter a voz dentro dos nossos limites mensais de uso, guardamos um total acumulado dos dados de voz estimados de cada anfitrião, com um identificador codificado. Ele não contém áudio e o excluímos quando o mês termina, mesmo que a conta do anfitrião seja excluída antes.

Seu navegador pede o microfone só depois que você escolhe ligá-lo, e você pode ouvir sem ele. Você fala segurando uma tecla ou um botão, ou escolhendo manter o microfone ligado. O microfone para quando você sai da voz ou do grupo, quando o grupo termina ou quando a página fica oculta. O indicador de quem está falando é calculado no seu próprio dispositivo e não é enviado a ninguém. Seu navegador lembra que você viu o aviso sobre a voz, então ele aparece uma só vez.

Uma denúncia sobre a voz guarda quem denunciou, quem foi denunciado, o motivo e o horário. Não há áudio para guardar, então ela não inclui nenhum. As denúncias expiram após 30 dias.

Se você denunciar um membro do grupo, guardamos o motivo, as pessoas envolvidas, o identificador do grupo e até 20 mensagens recentes da pessoa denunciada. Uma denúncia sobre alguém de fora do grupo guarda identificadores temporários, o motivo, a zona do museu e o horário, mas não coordenadas nem mensagens. As denúncias expiram após 30 dias e são removidas na próxima limpeza diária concluída com sucesso. Se uma entrega falhar, ela será tentada novamente sem prorrogar esse prazo.

A Cloudflare processa informações de conexão, incluindo endereços IP. Para ajudar a impedir que uma pessoa removida volte a entrar no mesmo grupo, usamos um hash do endereço com salt e um segredo de membro. Esses registros de remoção são mantidos até o encerramento do grupo. Não incluímos nomes de exibição, mensagens, PINs de grupo, tokens de convite ou identificadores de presença nos dados de análise.

Dawson

O guia do museu do Dawson é gratuito e não se conecta a nenhum provedor de IA. Quando um assinante adulto faz uma pergunta ao guia de arte com IA do Dawson, o Galler envia à Fireworks AI a pergunta, até seis mensagens recentes da conversa, notas públicas relevantes sobre artistas, obras e o museu, a categoria da página e qualquer imagem anexada a essa mensagem, para gerar uma resposta. Não acessamos nem enviamos automaticamente as fotos da sua galeria privada, o e-mail da sua conta, seus favoritos, seus dados de pagamento ou os parâmetros da URL. A Fireworks trata esses dados em nome do Galler conforme o seu Adendo de Tratamento de Dados (Data Processing Addendum), nos Estados Unidos ou em outros países, e pode fazer verificações automáticas de segurança.

O app Galler para Android não inclui o chat do Dawson nem o guia de arte com IA. O app não envia mensagens, fotos nem áudio à Fireworks e não tem ditado. Ele pode ler em voz alta os textos do guia com as vozes do seu celular; nada é enviado ao Galler nem à Fireworks para isso.

Mensagens e imagens podem conter informações que identificam você e que você mesmo incluiu. O Galler também envia um token de conta pseudônimo para isolar os caches de prompts; esse token é gerado com um segredo do servidor e não é o seu e-mail nem o ID da sua conta. A Fireworks informa que, por padrão, não registra de forma persistente prompts nem respostas na inferência com modelos abertos e que mantém os caches de prompts em memória temporária por alguns minutos. Nossa preferência de compartilhamento não inscreve você no treinamento nem no registro de conteúdo da Fireworks. Veja o tratamento de dados da Fireworks.

As imagens anexadas são redimensionadas e recodificadas no seu navegador antes do envio, o que remove os metadados incorporados no arquivo original. Selecionar uma imagem não a envia; ela só é enviada quando você envia a mensagem. O Galler processa a imagem para essa resposta e não a salva na sua conta nem na sua galeria.

O ditado opcional pelo microfone usa o serviço de voz do seu navegador. No Chrome, o áudio é enviado ao Google; no Safari, à Apple. O Galler não recebe nem armazena o áudio. As palavras ditadas ficam no seu rascunho editável até você enviá-las. O ditado para quando você fecha o Dawson ou sai da página.

A leitura em voz alta e o audioguia só começam quando você escolhe e usam uma voz fornecida pelo seu navegador ou dispositivo. Dependendo da voz, o navegador pode enviar o texto ao provedor de voz dele. Ouvir não usa respostas de IA.

O coração do Dawson salva ou remove um favorito na hora. Quando você pede ao Dawson em uma mensagem para salvar uma obra ou adicioná-la a uma galeria, o Galler busca o status de favorito da obra e as galerias disponíveis para mostrar uma prévia no seu navegador, e a alteração exige a sua confirmação explícita. Essas escolhas privadas e os resultados das ações não são enviados à Fireworks nem adicionados à conversa. Guardamos os recibos de ação necessários, com identificadores de conta, obra e galeria, rótulos públicos das obras, a operação solicitada, o estado, as revisões e os horários, por 30 dias mais até a limpeza diária seguinte, para evitar alterações duplicadas e recuperar seus resultados. Eles não contêm texto do chat, cópias de nomes de galerias, fotos nem áudio. Os registros de revisão de favoritos ficam com a sua conta para que o desfazer detecte edições posteriores. Esse armazenamento operacional é separado do compartilhamento opcional de texto e é removido quando você exclui a sua conta.

Sua conversa fica na página enquanto ela está aberta, inclusive com o painel do chat fechado. Seu navegador também guarda suas três últimas trocas com o Dawson só nesta aba, para que Voltar e a próxima página possam mostrá-las. Elas são apagadas quando você fecha a aba ou sai da conta. O Galler não mantém um histórico contínuo de conversas em seus servidores. As respostas concluídas ficam guardadas temporariamente com a sua conta por 24 horas, para poderem ser recuperadas, e são removidas na limpeza diária seguinte. Uma resposta pode repetir dados pessoais da sua pergunta ou da sua imagem. As impressões das solicitações e os totais de uso são guardados por até 62 dias mais até a limpeza diária seguinte, para evitar cobranças duplicadas e aplicar as cotas. Essas impressões usam um segredo do servidor; não são perguntas armazenadas. Esse armazenamento temporário do serviço é separado do compartilhamento opcional para melhorias.

Guardamos no seu perfil do Dawson a data de aniversário da sua cota e o horário de início da sua assinatura, para calcular as renovações mensais de forma consistente, inclusive depois de uma troca de plano ou de uma nova assinatura. Excluir a conta remove esse perfil. O aniversário original também faz parte do seu registro de assinatura e segue o prazo de guarda dos registros de cobrança.

Se você denunciar uma resposta de IA como errada ou prejudicial, guardamos a pergunta, a resposta, as fontes e a versão das instruções do Dawson que a escreveu por 30 dias mais até a limpeza diária seguinte, para podermos analisá-la. Excluir a sua conta remove as suas denúncias.

O compartilhamento de trocas de texto para melhorar o Dawson fica desativado por padrão. Você pode ativá-lo separadamente em Conta. Se ativado, o Galler pode analisar perguntas e respostas futuras elegíveis para avaliar a qualidade das respostas e melhorar as orientações do Dawson. Só são elegíveis trocas de texto avulsas e bem-sucedidas, sem imagem nem histórico de conversa; mensagens anteriores, trocas de acompanhamento, imagens, áudio e dados da galeria privada ficam de fora. Não coletamos conversas anteriores quando você ativa o compartilhamento. Compartilhar é opcional e não muda o seu acesso à assinatura nem a sua cota de respostas.

Filtramos dados de contato comuns do texto compartilhado e substituímos a referência à conta por um identificador aleatório. Isso reduz as informações que identificam você, mas não garante o anonimato: nomes, histórias pessoais e outros detalhes podem permanecer. Guardamos um vínculo separado com a conta para que as cópias compartilhadas possam ser excluídas. Não compartilhe informações sensíveis. As trocas compartilhadas servem para a revisão interna de qualidade do Galler, não para treinar modelos, publicidade, venda ou publicação.

As trocas compartilhadas expiram após 30 dias e são removidas do banco de dados ativo na limpeza diária seguinte. Desativar o compartilhamento em Conta exclui do banco de dados ativo as cópias compartilhadas e o vínculo delas com a conta, e interrompe a coleta futura, inclusive solicitações pendentes. Você pode desativá-lo mesmo depois que a assinatura terminar. Isso não remove o cache temporário de respostas nem os registros de uso obrigatórios descritos acima.

Lembrar sua visita também fica desativado por padrão e é separado do compartilhamento. Se você ativar, guardamos só a última obra ou sala pública lembrada e o horário da visita, para personalizar uma saudação depois. Desativar ou escolher Esquecer minha visita em Conta apaga essas informações. Excluir a sua conta remove a memória do Dawson, a declaração de maioridade, as respostas em cache, os registros de uso e as trocas compartilhadas; a declaração feita no pagamento da assinatura fica com os registros de cobrança.

Para saber qual ajuda funciona, o Galler conta como a ajuda gratuita do Dawson e o audioguia são usados: o tipo de página, o idioma, o tema da ajuda, se uma história em áudio chegou ao fim e se o visitante é convidado, conta gratuita ou assinante. Essas contagens não contêm identificadores de conta ou de dispositivo nem texto de mensagens.

Suas escolhas e direitos

Altere suas preferências de newsletter em Conta ou use o link de descadastro de qualquer newsletter. Você pode remover fotos dentro do seu espaço. Você mesmo pode excluir a sua conta e os dados dela em Conta, na web ou no app Galler. Cancele uma assinatura em andamento em Gerenciar cobrança antes de encerrar a conta.

No galler.app, em um navegador da web, o Galler usa o Cloudflare Web Analytics para contar as visitas e medir a velocidade das páginas. Ele não usa cookies nem o armazenamento do navegador e não acompanha você de um site para outro. Ele registra o endereço da página, a página de origem, seu navegador, sistema operacional e tipo de dispositivo, seu país e o tempo de carregamento da página. O app para Android não o usa.

Você também tem estes direitos sobre seus dados pessoais:

• Acesso: receber uma cópia dos seus dados.
• Correção: corrigir dados errados.
• Exclusão: ter seus dados excluídos.
• Restrição: pedir que limitemos o uso dos seus dados.
• Oposição: opor-se a usos baseados em nossos interesses legítimos.
• Portabilidade: receber seus dados em um formato comum e legível por máquina.
• Revogação do consentimento: desativar a qualquer momento a newsletter, a memória de visita ou o compartilhamento em Conta. Isso não afeta o que fizemos antes da revogação.

Para exercer esses direitos, escreva para support@studioam.art a partir do endereço da sua conta. Podemos pedir que você confirme que a conta é sua antes de fazer alterações. Respondemos em até um mês.

Você também pode apresentar uma reclamação a uma autoridade de proteção de dados, como a do lugar onde você mora. No Reino Unido, é o Information Commissioner’s Office (ICO).