Politique de confidentialité

1. Renseignements que nous recueillons

Renseignements de compte. Lorsque vous vous connectez avec Apple, Google ou une adresse courriel, nous recevons votre nom (si vous le communiquez), votre adresse courriel et un identifiant de compte. La connexion par courriel conserve aussi un hachage salé de votre mot de passe, jamais le mot de passe lui-même. Nous utilisons ces renseignements pour créer et sécuriser votre compte, pour vous associer à vos albums et pour vous envoyer les courriels décrits à la section 2. Nous conservons aussi vos préférences de courriel (par exemple, si vous souhaitez recevoir les courriels de révélation).

Âge. Unframed s’adresse aux personnes de 13 ans et plus. Nous vous demandons de le confirmer une fois et ne conservons que le fait que votre compte l’a confirmé ; nous n’utilisons pas les signaux d’âge des boutiques d’applications et ne vous demandons pas votre date de naissance.

Photos et vidéos. Les photos et les courtes vidéos (avec leur son) que vous choisissez d’ajouter à un album sont téléversées sur nos serveurs et stockées afin que le groupe de l’album puisse les voir et les télécharger. Les métadonnées d’une photo peuvent comprendre l’heure de la prise de vue et, lorsque le marquage de l’emplacement est activé, l’endroit où une photo ou une vidéo a été prise (utilisé pour la carte, les Lieux et la Rétro de l’album). Le marquage de l’emplacement est activé par défaut et ne fonctionne qu’une fois que vous autorisez l’application à accéder à votre position : il n’utilise votre position que pendant que vous prenez des photos, et une photo ou une vidéo que vous ajoutez depuis la photothèque de votre appareil ne conserve l’endroit où elle a été prise que lorsque le marquage est activé et que l’accès à la position est autorisé. Vous pouvez le désactiver à tout moment dans Profil. L’application demande l’accès à votre position lors de sa première ouverture après la connexion. L’endroit où une photo ou une vidéo a été prise est visible par tous les membres de son album — sur la carte, dans les Lieux et dans la Rétro — une fois les photos de l’album révélées ; les photos et vidéos ajoutées pendant que le marquage est désactivé ne contiennent aucun emplacement, et la personne qui les a ajoutées voit quand même la carte et l’endroit où ont été prises celles des autres. Un fichier peut aussi contenir ses propres métadonnées provenant de l’appareil photo, par exemple l’endroit où il a été pris : nous les retirons des photos au moment de leur téléversement, et des vidéos quelques instants plus tard, une fois le traitement de la vidéo terminé sur nos serveurs. L’image et le son d’une vidéo ne sont jamais modifiés par cette opération — seules les métadonnées du fichier sont retirées, et dans les rares cas où une vidéo ne peut pas être traitée, elle est conservée exactement telle qu’elle a été envoyée.

Photo de profil (facultative). Vous pouvez ajouter une photo de profil. Elle s’affiche à côté de votre nom pour les membres des albums dont vous faites partie (dans les listes de membres, les commentaires, les réactions et ailleurs). Nous la conservons sous la forme d’une petite image carrée (512 pixels au plus) sans aucune métadonnée : ni emplacement, ni détails sur l’appareil photo. Elle n’est pas utilisée pour la reconnaissance faciale et n’est jamais comparée au visage de qui que ce soit. Vous pouvez la changer ou la retirer à tout moment, dans Profil dans l’application ou dans les paramètres du compte sur ce site, et les membres peuvent nous la signaler.

Données faciales (facultatif). Vous n’êtes jamais identifié à moins de vous inscrire. Si vous choisissez de vous inscrire à la reconnaissance faciale (le filtrage par personne), vous nous fournissez un selfie à partir duquel nous créons une signature faciale — un ensemble de nombres qui décrit votre visage ; le selfie lui-même n’est pas conservé. La reconnaissance faciale s’active dès que vous ajoutez ainsi vos photos de référence, et ne peut pas être activée sans elles. Vous pouvez désactiver la reconnaissance, ou supprimer la signature, à tout moment. Lorsque la reconnaissance est désactivée, aucun album ne vous identifie, et vos identifications existantes sont supprimées ; réactivez-la et les nouvelles photos, comme celles déjà présentes dans vos albums, pourront de nouveau vous identifier. Quand une photo est ajoutée à un album où quelqu’un utilise la reconnaissance faciale, les visages qu’elle contient sont comparés aux signatures faciales des personnes qui utilisent la reconnaissance faciale sur Unframed. Seules les correspondances avec les membres de cet album qui l’ont activée sont conservées. Personne d’autre n’est identifié, et rien n’est conservé sur les autres visages. En détail : lorsqu’une photo est ajoutée à un album dans lequel au moins un membre s’est inscrit et a activé la reconnaissance faciale, la photo entière est analysée et chaque visage qu’elle contient est détecté. Chaque visage assez grand et assez net pour être reconnu (au plus 24 par photo) est ensuite comparé aux signatures faciales inscrites sur Unframed, et un visage n’est identifié que s’il correspond à un membre de cet album qui s’est inscrit et a activé la reconnaissance faciale. La seule chose que nous conservons est cette identification : quel membre apparaît sur quelle photo, et le degré de correspondance. Personne d’autre sur la photo n’est identifié ni conservé — ni les personnes qui ne se sont pas inscrites, ni les membres qui ont désactivé la reconnaissance, ni les personnes inscrites qui ne font pas partie de l’album : aucune signature faciale n’est créée pour elles, et les positions des visages, les recadrages de visages et les résultats de comparaison sont supprimés dès que la photo est traitée, sans jamais être conservés, affichés ni journalisés. Les photos d’un album où aucun membre ne s’est inscrit avec la reconnaissance activée ne sont pas analysées ; elles pourront l’être plus tard, si un membre s’inscrit ou réactive la reconnaissance, ou si une personne inscrite rejoint l’album. Les photos déjà analysées le sont de nouveau lorsqu’un membre réactive la reconnaissance, s’inscrit ou rejoint l’album en étant déjà inscrit, afin que ce membre puisse y être identifié. Les vidéos ne sont jamais analysées, et la personne qui ajoute une photo dans l’application peut désactiver la reconnaissance pour celle-ci.

L’analyse est limitée par des allocations : les albums gratuits comprennent une allocation unique d’un nombre déterminé de photos pour que vous puissiez l’essayer (un album est gratuit tant qu’aucune amélioration ni aucun abonnement ne le paie) ; une amélioration d’album donne à cet album une allocation unique qui comprend les photos déjà reconnues ; et un album couvert par Unframed Plus ou Max utilise plutôt l’allocation mensuelle de son abonné, partagée entre les albums qu’il couvre et renouvelée chaque mois. Des limites à l’échelle du service, comme une limite quotidienne par personne qui téléverse, maintiennent aussi la reconnaissance dans les limites de notre capacité ; une photo qu’elles retiennent est soumise à la reconnaissance plus tard. Lorsqu’une allocation est épuisée, les photos et les vidéos se téléversent toujours normalement ; les photos ne sont simplement pas soumises à la reconnaissance tant qu’une nouvelle allocation n’est pas disponible. Les données faciales servent uniquement à faire fonctionner le filtrage par personne dans vos propres albums. Elles ne sont jamais utilisées à des fins publicitaires, jamais vendues et jamais partagées avec d’autres utilisateurs, et elles ne vous identifient que dans les albums dont vous êtes membre. Vous pouvez supprimer votre signature faciale à tout moment — dans l’application sous Profil → Reconnaissance faciale, ou sur ce site sous Réglages du compte → Signature faciale (ou en supprimant votre compte) — et elle est retirée de nos systèmes, avec les identifications qu’elle a produites.

Commentaires, réactions et noms d’albums. Les commentaires et les réactions que vous publiez sur des photos et des vidéos, les noms que vous donnez aux albums et tout signalement que vous faites au sujet d’une photo, d’une vidéo ou d’un commentaire sont conservés avec votre compte. Les commentaires, les réactions et les noms d’albums sont visibles par les membres de l’album. Vous pouvez supprimer vos commentaires et vos réactions à tout moment, et la suppression de votre compte les retire, de même que vos signalements.

Achats. Les paiements sont traités par Apple (App Store) ou Google (Google Play), selon l’endroit où vous avez acheté. Nous recevons des reçus d’achat ou des jetons d’achat (jamais votre carte ni vos renseignements de paiement) pour vous accorder ce que vous avez acheté, et la boutique nous envoie des avis sur le cycle de vie de l’abonnement — renouvellement, expiration, remboursement — afin que les droits restent conformes à ce que vous payez réellement.

Données d’appareil et d’utilisation. Les jetons de notification push (avec la langue et la plateforme de l’appareil, afin qu’une notification arrive dans la bonne langue par le bon service), des renseignements de base sur l’appareil, une courte liste autorisée d’événements d’activité dans l’application (application ouverte, écran d’abonnement affiché, invitation partagée, ouverte ou refusée, et autres événements semblables — jamais le contenu de vos photos), un relevé des jours où votre compte a été actif, les rapports de plantage et d’erreur (le texte de l’erreur, l’écran où elle s’est produite, la version de l’application et l’appareil ou le navigateur) et les journaux de serveur nécessaires pour faire fonctionner et sécuriser le service (p. ex. limitation du débit, prévention des abus). Les événements d’activité, les jours d’activité et les rapports de plantage sont conservés avec l’identifiant de votre compte.

Registres d’utilisation. Nos serveurs enregistrent aussi les moments clés de l’utilisation du service : la création de votre compte (et si vous vous êtes inscrit avec Apple, Google ou une adresse courriel) ; la création d’un album (s’il est scellé et pour combien de temps, et combien d’albums vous avez créés) ; le fait d’en rejoindre un (avec qui vous a invité, qui l’héberge, combien de membres il compte alors et depuis combien de temps vous aviez votre compte) ; votre première photo ou vidéo dans un album ; l’atteinte d’une limite de forfait (laquelle, et si vous hébergez l’album ou l’avez rejoint) ; la révélation d’un album (combien de membres et de contributeurs il compte, et combien de photos et de vidéos il contient) et le délai avant votre premier coup d’œil ; la couverture d’un album par votre abonnement, ou le retrait, faute de financement, d’un album qui attendait un forfait ; et les achats, les renouvellements, les changements de renouvellement automatique, les remboursements (et un remboursement que la boutique annule par la suite) et la fin d’un abonnement (le produit, la boutique, son prix et sa devise, la durée d’un abonnement, et si vous avez acheté pour un album que vous hébergez ou que vous avez rejoint). Ces registres sont liés à votre compte et ne désignent les albums et les autres membres que par des codes, jamais par leur nom. Ils ne contiennent jamais d’adresse courriel, le contenu de vos photos ou vidéos, de commentaires ni de noms d’albums. Lorsqu’un compte est supprimé, un seul registre sans aucun identifiant, daté uniquement au jour près (sans l’heure), indique qu’un compte a été supprimé, combien de temps il a existé, s’il était payant, combien d’albums il hébergeait, et si c’est vous ou nous qui l’avons supprimé.

2. Utilisation des renseignements

Pour fournir le service : stocker et diffuser l’album de votre groupe, gérer le compte à rebours de la révélation, envoyer par notification push et par courriel les notifications auxquelles votre groupe s’attend (par exemple, un courriel lorsqu’un album dont vous faites partie est révélé, envoyé à une adresse vérifiée seulement si vous activez les courriels de révélation dans les réglages de l’application ; ils sont désactivés tant que vous ne le faites pas, et vous pouvez les désactiver de nouveau à cet endroit ou au moyen du lien de désabonnement en un clic présent dans chacun d’eux), vous informer au sujet de vos données (par exemple, un album qui va être supprimé ou réduit — ces avis sont envoyés même si vous avez désactivé les autres notifications ou les courriels de révélation), faire fonctionner le filtrage par personne facultatif, traiter les améliorations et assurer la sécurité du service. Nous utilisons aussi l’identifiant de votre compte, les événements d’activité, les jours d’activité et les registres d’utilisation ci-dessus, ainsi que les registres d’achat, pour nos propres analyses : compter les comptes actifs, voir quelles fonctions les gens utilisent, comment les albums grandissent et pendant combien de temps les gens continuent d’utiliser Unframed, et additionner les ventes, les renouvellements et les remboursements, afin de prendre de meilleures décisions sur le produit et ses prix. Notre fournisseur d’analyse, PostHog, traite ces registres pour nous (section 4). Ils ne sont jamais utilisés à des fins publicitaires ni combinés avec des données d’autres entreprises. Les rapports de plantage servent à corriger ce qui ne fonctionne pas. Nous ne vendons pas vos renseignements personnels, et nous n’utilisons pas vos photos ni vos données faciales à des fins publicitaires ou pour entraîner des modèles sans lien avec le service.

3. Qui peut voir vos photos

Seuls les membres de l’album auquel une photo appartient. Il n’y a ni profils publics, ni fils d’actualité, ni recherche. Tant que le sceau d’un album est actif, personne ne peut voir les photos et les vidéos des autres avant le moment de la révélation fixé par l’administrateur de l’album ; chaque membre peut voir et supprimer uniquement ce qu’il a lui-même ajouté, dans « Tes ajouts », et peut l’enregistrer sur ce site Web, en se connectant depuis un ordinateur (certaines versions des applications pour téléphone ne peuvent pas l’enregistrer avant la révélation). Les administrateurs d’un album peuvent retirer des membres et supprimer toute photo ou vidéo de l’album. Votre photo de profil, si vous en ajoutez une, n’est montrée qu’aux membres des albums dont vous faites partie.

Lorsque vous quittez un album, les photos et les vidéos que vous y avez ajoutées en sont définitivement supprimées, ainsi que les identifications faciales qui vous désignent dans ses autres photos ; vos commentaires et vos réactions restent. Lorsqu’un administrateur retire un membre, les photos et les vidéos de ce membre restent dans l’album, à moins que l’administrateur ne choisisse aussi de les supprimer.

4. Fournisseurs de services

Nous utilisons Amazon Web Services pour héberger le service, stocker les médias (Amazon S3), faire fonctionner la reconnaissance faciale facultative (Amazon Rekognition) et envoyer des courriels — codes de vérification et de réinitialisation du mot de passe, courriels de révélation, et avis concernant vos albums et vos données (Amazon SES). Ces fournisseurs traitent les données pour notre compte en vertu d’ententes de traitement des données. La connexion est fournie par Apple et Google lorsque vous choisissez ces options ; les notifications push sont transmises par l’intermédiaire du service Apple Push Notification sur iPhone et iPad et de Firebase Cloud Messaging (Google) sur Android ; les achats sont traités par Apple (App Store) ou Google (Google Play) ; et l’analyse de produit est fournie par PostHog (voir ci-dessous). Les photos et les vidéos sont diffusées par Amazon CloudFront, qui conserve des copies temporaires en cache en Amérique du Nord et en Europe pendant au plus 7 jours ; ces copies ne peuvent pas être récupérées sans un lien qui expire dans un délai de 2 heures.

Cartes. La carte d’album de l’application Android charge ses images de carte à partir d’OpenFreeMap (openfreemap.org), un service de cartographie tiers gratuit. Seulement lorsque la carte est ouverte, votre téléphone demande à OpenFreeMap les portions de la carte affichées à l’écran, et chaque requête révèle l’adresse IP de votre appareil et la zone approximative de la carte consultée. Rien sur votre compte, vos albums ou vos photos n’est envoyé, et nous n’avons aucune entente avec OpenFreeMap au sujet de ces données ; ses propres conditions et sa propre politique de confidentialité s’appliquent. Sur iPhone, la carte d’album est Plans d’Apple (Apple Maps), et Apple traite ces requêtes selon sa politique de confidentialité. L’application Web n’affiche aucune carte.

Reconnaissance faciale (Amazon Rekognition). Les selfies d’inscription, et les photos d’album que la reconnaissance faciale analyse, sont traités par Amazon Web Services pour notre compte, uniquement pour trouver et faire correspondre des visages. Les conditions d’AWS permettent que le contenu traité par ses services d’IA soit utilisé pour les améliorer, sauf si le compte s’y oppose ; notre compte AWS a refusé cette utilisation. Ce qui est conservé, c’est un vecteur facial pour chaque selfie d’inscription (un ensemble de nombres qui décrit un visage, et non une image de celui-ci) dans une collection de visages de notre propre compte AWS. Les photos d’album sont comparées à ces vecteurs et ne sont jamais ajoutées à la collection. Les vecteurs sont supprimés lorsque vous supprimez votre signature faciale ou votre compte, ou après 3 ans sans activité sur le compte.

Analyse de produit (PostHog). Nous utilisons PostHog comme fournisseur d’analyse de produit, sur PostHog Cloud US, qui stocke les données aux États-Unis. Seuls nos serveurs lui envoient quoi que ce soit : les applications et ce site Web ne contiennent aucun code PostHog et n’entrent jamais en contact avec lui. Il reçoit les événements d’activité dans l’application (sauf ceux qui concernent la reconnaissance faciale) et les registres d’utilisation décrits à la section 1, y compris les prix d’achat, liés à un code calculé à partir de l’identifiant de votre compte plutôt qu’à l’identifiant lui-même, ainsi que la façon dont vous vous êtes inscrit et à quelle date, le forfait auquel vous êtes abonné, et si vous utilisez iOS, Android ou le Web ; les registres provenant des comptes de test que nous marquons comme les nôtres l’indiquent. Il ne reçoit jamais votre nom, votre adresse courriel, vos photos ou vos vidéos ni leur emplacement, vos commentaires, vos noms d’albums, vos données faciales (pas même le fait que vous ayez configuré la reconnaissance faciale), votre âge, les identifiants de votre appareil ou vos jetons push, vos rapports de plantage, ni votre adresse IP, et la collecte d’adresses IP et la géolocalisation propres à PostHog sont désactivées pour notre projet. PostHog traite ces données uniquement pour notre compte et selon nos instructions, en vertu d’une entente de traitement des données que nous avons signée, et jamais à des fins publicitaires. Comme elles sont stockées aux États-Unis, ces données sont traitées à l’extérieur du Canada et peuvent être consultées par les tribunaux, les autorités chargées de l’application de la loi et les autorités de sécurité nationale des États-Unis en vertu des lois de ce pays.

5. Conservation

Durée de collecte d’un album. La date de révélation d’un album peut être fixée jusqu’à 10 ans après la création de l’album. Un album gratuit recueille du contenu pendant une durée limitée : scellé, il cesse d’accepter de nouvelles photos et vidéos 14 jours après sa révélation ou 365 jours après sa création, selon la première de ces éventualités, et sans sceau, il cesse 14 jours après le cap des 90 jours suivant sa création. Avec le forfait gratuit, sceller de nouveau un album avec une nouvelle date de révélation peut le rouvrir, mais jamais au-delà de 365 jours après sa création — ainsi, la période pendant laquelle un album gratuit recueille du contenu est limitée dès le départ et ne dépasse jamais un an. Un album amélioré, ou couvert par un abonnement Unframed Plus ou Max, continue d’accepter de nouvelles photos et vidéos aussi longtemps qu’il reste amélioré ou couvert, même si la période permise par le forfait gratuit est écoulée, à moins qu’un administrateur de l’album ne fixe une date de fin ou n’arrête les nouveaux téléversements ; lorsqu’une couverture prend fin, les limites du forfait gratuit s’appliquent de nouveau à un album qui n’est pas amélioré. Les administrateurs d’un album peuvent fixer une date de fin ou arrêter les nouveaux téléversements à tout moment.

Après la fin d’un abonnement. Les albums et les médias qui dépassent les limites du forfait gratuit sont conservés pendant au moins 30 jours après la fin de l’accès payant et de tout délai de grâce de facturation. Ensuite, les albums hébergés en trop et leur contenu sont définitivement supprimés, en conservant les deux albums gratuits admissibles les plus récemment actifs. Les albums conservés et les albums que l’abonnement couvrait pour un autre hôte sont réduits aux limites gratuites de photos, de vidéos et de stockage, en retirant d’abord les téléversements les plus récents. Les albums que ce compte a seulement rejoints, les améliorations d’album uniques permanentes ou les déblocages d’originaux payés antérieurement, et les albums couverts par l’abonnement actif d’un autre membre sont protégés. Un album encore scellé au début de ces 30 jours est mis en attente : rien n’y est supprimé en vertu de cette règle avant 30 jours après sa révélation. Renouveler, améliorer un album ou le couvrir avant son échéance le protège. Profil → Utilisation indique les échéances actuelles et les albums touchés.

Qui est avisé. Nous envoyons des avis d’annulation et de conservation par courriel (à une adresse vérifiée) et par notification push lorsque des données sont menacées : au compte dont l’abonnement a pris fin, et à chaque membre de chaque album qui serait supprimé ou réduit, qui voit aussi un avis sur l’album dans l’application. L’avis d’un membre nomme l’album, l’hôte de l’album et la date, indique que l’album n’est plus couvert par un forfait et ce qui sera retiré, et explique comment l’enregistrer, l’améliorer ou le couvrir. Il n’indique pas à qui appartenait le forfait ni pourquoi il a pris fin, bien que les membres puissent en déduire que le forfait associé à l’album a pris fin. Les membres d’un album mis en attente sont avisés pour la première fois à sa révélation. Lorsqu’un album au sujet duquel nous avons averti est sauvé par un renouvellement, une amélioration ou une couverture, nous en informons les personnes que nous avions averties.

Originaux en pleine qualité. Les albums gratuits font aussi l’objet d’un nettoyage distinct qui ne touche que les originaux : 30 jours après la date de révélation d’un album, les fichiers originaux sont retirés, sauf si l’album a une amélioration permanente, un déblocage d’originaux payé antérieurement ou une couverture Plus ou Max active. Les copies de qualité standard et les miniatures qui restent conformes aux règles de conservation ci-dessus sont conservées. Nous envoyons des rappels environ 7 jours et 1 jour à l’avance aux membres qui ont activé les notifications de l’album. Une amélioration d’album conserve ses originaux aussi longtemps que nous exploitons le service.

Une couverture ne protège les originaux d’un album que tant que l’abonnement est actif (y compris tout délai de grâce de facturation de la boutique). Lorsqu’il prend fin et que personne d’autre dans le groupe ne couvre l’album, celui-ci revient au calendrier ci-dessus : ses originaux sont retirés 30 jours après la révélation ou 30 jours après la fin de la couverture, selon la date la plus tardive, ou à l’échéance prolongée indiquée dans Utilisation, avec les mêmes rappels environ 7 jours et 1 jour à l’avance.

Registres d’achat. Lorsque vous supprimez votre compte, nous conservons le registre de chaque achat App Store ou Google Play effectué avec celui-ci — ce qui a été acheté, quand, la référence de transaction de la boutique et le compte auquel il a été appliqué — aussi longtemps que nous exploitons le service. Nous le conservons pour que le même achat ne puisse pas être utilisé de nouveau sur un autre compte, pour qu’un remboursement de la boutique puisse encore être rattaché à ce qu’il a payé, et pour nos dossiers financiers. Il ne contient aucune photo ni aucun renseignement de paiement.

Tout le reste. Les photos que vous supprimez, une photo de profil que vous changez ou retirez, et les comptes supprimés sont retirés rapidement des systèmes de production (la copie analytique de PostHog suit son propre calendrier, ci-dessous). Les registres restants d’un compte supprimé disparaissent de nos sauvegardes glissantes de base de données dans un délai de 35 jours ; ces sauvegardes contiennent des données de compte, et non des fichiers photo ou vidéo. Les photos, les vidéos et les photos de profil supprimées ou retirées peuvent rester dans des sauvegardes de stockage chiffrées pendant au plus 30 jours avant d’être définitivement purgées. Les rapports de plantage et d’erreur sont conservés 30 jours ; les événements d’activité dans l’application et le relevé des jours d’activité sont conservés 90 jours dans nos propres systèmes. Les signatures faciales ne font pas partie de ces sauvegardes résiduelles — leur suppression est immédiate et complète (voir ci-dessous).

Analyse (PostHog). Les registres que nous envoyons à PostHog attendent sur nos serveurs seulement jusqu’à leur livraison, normalement en quelques minutes et au plus en 7 jours : un registre que PostHog n’a pas reçu à ce moment n’est jamais envoyé, et il est plutôt supprimé de nos serveurs (la suppression elle-même peut prendre quelques jours de plus). Avec le forfait PostHog que nous utilisons, nous ne pouvons consulter ces registres que sur une période de 1 an en arrière, mais PostHog ne s’engage pas à effacer les plus anciens à ce moment-là ; ils restent donc chez PostHog jusqu’à ce que vous supprimiez votre compte. Lorsque vous supprimez votre compte, tout ce qui attend encore d’être envoyé est supprimé, et peu après nous demandons à PostHog de supprimer votre profil d’analyse et chaque événement enregistré sous votre code, quel que soit son âge. PostHog retire le profil, habituellement en quelques minutes, et supprime les événements en arrière-plan, généralement en moins d’une semaine ; nous répétons la demande un jour plus tard pour intercepter tout ce qui était encore en route. Ensuite, rien sur votre propre utilisation d’Unframed n’est envoyé à PostHog : pendant 400 jours après la fin de la suppression, nos serveurs conservent un marqueur de suppression ne contenant que votre code et le jour de la suppression (sans l’heure), afin que tout registre tardif pour ce code soit supprimé au lieu d’être envoyé, puis ils suppriment le marqueur, habituellement en quelques jours. Les registres d’autres membres qui ont rejoint un album que vous avez créé, ou au moyen d’une invitation que vous avez faite, avant le début de votre suppression, désignent votre code comme hôte de cet album ou comme la personne qui les a invités ; ils appartiennent à ces membres et restent donc jusqu’à ce que ces membres suppriment leur propre compte. Une adhésion enregistrée après le début de votre suppression ne vous désigne jamais. Le seul registre concernant la suppression elle-même n’a aucun identifiant (section 1).

Journaux et registres de soutien. Les journaux de serveur et d’application sont conservés 60 jours ; les journaux d’accès et notre piste d’audit infonuagique sont conservés 90 jours. Nous conservons aussi un registre des actions de soutien effectuées à partir de notre console interne — ce qui a changé et l’identifiant de compte interne auquel cela s’appliquait — aussi longtemps que nous exploitons le service. Aucun ne contient de photos, de coordonnées ni de renseignements de paiement. Pour vérifier que le service fonctionne comme décrit, nous comptons aussi ce qui s’y passe, par jour et par album (par exemple combien de personnes ont rejoint un album, ou combien de courriels de révélation ont été envoyés) ; ces décomptes ne nomment personne et ne contiennent aucun contenu. Les décomptes quotidiens courants sont conservés 90 jours ; les totaux de chaque jour sont aussi copiés dans notre sommaire quotidien du service, que nous conservons aussi longtemps que nous exploitons le service. Les décomptes par album sont conservés jusqu’à 400 jours après leur dernière modification, y compris après la suppression de l’album.

Données faciales — calendrier de conservation et de destruction. Votre signature faciale n’est conservée que tant que vous êtes inscrit au filtrage par personne, et elle est définitivement détruite lorsque vous la supprimez (Profil → Reconnaissance faciale dans l’application ; Réglages du compte → Signature faciale sur ce site) ou que vous supprimez votre compte — selon la première de ces éventualités. Elle n’est jamais conservée par la suite à quelque fin que ce soit, y compris pour améliorer le service.

Vous n’avez jamais à le demander : si vous cessez d’utiliser Unframed, votre signature faciale est détruite automatiquement après 3 ans sans aucune activité sur le compte, même si vous n’ouvrez plus jamais l’application. Une tâche quotidienne applique cette règle, et nous ne prolongeons pas ce délai.

Désactiver le filtrage par personne est un contrôle distinct : tant qu’il est désactivé, aucun album ne vous identifie, et vos identifications existantes sont retirées de tous les albums, mais votre signature est conservée pour que vous puissiez réactiver la reconnaissance ; à partir de ce moment, les nouvelles photos, comme celles déjà présentes dans vos albums, pourront de nouveau vous identifier. La suppression de la signature est le moyen de retirer vos données faciales : elle détruit la signature, de sorte qu’aucune nouvelle photo ne peut vous être associée, et les identifications de personnes qu’elle a déjà appliquées à des photos antérieures (quels membres inscrits apparaissent sur quelles photos) sont retirées de ces photos peu après, en arrière-plan.

Lorsque vous supprimez votre compte, votre signature faciale est détruite avant le reste des données de votre compte, et si cette destruction ne peut pas être menée à bien, la suppression s’arrête et recommence plutôt que de continuer sans elle — ainsi, vos données faciales ne peuvent jamais survivre à votre compte. Contrairement aux photos, les signatures faciales ne laissent aucune trace dans les sauvegardes : elles n’existent que dans l’index de reconnaissance actif, de sorte que leur destruction est immédiate et définitive.

6. Vos moyens de contrôle

Vous pouvez, à tout moment, depuis l’application — ou depuis ce site Web, en vous connectant sur un ordinateur :

• Voir et télécharger chaque photo et chaque vidéo auxquelles vous avez accès (tant qu’un album est scellé, certaines versions des applications pour téléphone ne peuvent pas télécharger vos propres ajouts ; ce site Web, sur un ordinateur, le peut).
• Supprimer toute photo ou vidéo que vous avez téléversée — même pendant qu’un album est scellé, dans « Tes ajouts » (les administrateurs d’un album peuvent aussi supprimer toute photo ou vidéo qu’il contient).
• Quitter un album — cela supprime définitivement les photos et les vidéos que vous y avez ajoutées ; on vous indique combien et vous pouvez les enregistrer d’abord (tant que l’album est encore scellé, certaines versions des applications pour téléphone ne le peuvent pas ; ce site Web, sur un ordinateur, le peut).
• Supprimer votre signature faciale et renoncer au filtrage par personne.
• Activer ou désactiver les courriels de révélation.
• Supprimer vos commentaires et vos réactions.
• Ajouter, changer ou retirer votre photo de profil.
• Supprimer votre compte — cela retire votre compte, vos téléversements, votre photo de profil et vos données faciales. Connectez-vous sur un ordinateur pour gérer ou supprimer votre compte.

7. Enfants

Unframed ne s’adresse pas aux enfants de moins de 13 ans (ou de l’âge minimal équivalent dans votre territoire), et nous ne recueillons pas sciemment de données à leur sujet. Si vous croyez qu’un enfant a créé un compte, communiquez avec nous et nous le supprimerons.

8. Sécurité

Les médias sont transférés au moyen de connexions chiffrées et stockés chiffrés au repos. L’accès aux médias d’un album exige une authentification et l’appartenance à cet album. Aucun système n’est parfaitement sûr, mais nous concevons le service selon le principe du moindre accès et vérifions régulièrement nos pratiques.

9. Modifications et contact

Nous publierons ici toute modification de la présente politique et, en cas de modification importante, nous vous en aviserons dans l’application. Questions ou demandes : support@scientsolutions.ca.