Politique de confidentialité

La protection de vos données nous tient à cœur. La présente politique de confidentialité vous informe, conformément au règlement général sur la protection des données (RGPD), à la loi autrichienne sur la protection des données (DSG), à la loi autrichienne sur les télécommunications de 2021 (TKG 2021) ainsi que, dans la mesure où elle s’applique, à la loi allemande sur la protection des données dans les télécommunications et les services numériques (TDDDG), des données à caractère personnel que nous traitons, des finalités de ce traitement et des droits dont vous disposez.

Version : octobre 2026

1. Responsable du traitement

Mag. (FH) Jürgen Neuhuber
Obere Höllstraße 20d
4451 Garsten
Autriche
E-mail : service@albumora.de

2. Principes fondamentaux d’Albumora

Albumora est une plateforme en ligne permettant de collecter et de partager des photos et des vidéos d’événements par QR code.

Les contenus des albums sont conservés sur des serveurs situés dans l’Union européenne. Le serveur principal est exploité chez Hetzner en Finlande ; les sauvegardes chiffrées sont conservées en Allemagne.

Sur la page d’envoi destinée aux invités, nous n’utilisons ni cookies ni technologies de suivi. Les invités n’ont pas à s’inscrire.

Lors du traitement des photos, nous supprimons les données GPS et de localisation, dans la mesure où elles figurent sous forme de données EXIF dans les fichiers envoyés.

Nous ne vendons aucune donnée à caractère personnel. Nous n’affichons aucune publicité dans les albums, les galeries et sur les pages des invités. Pour Albumora lui-même, nous diffusons des annonces chez Meta (Facebook, Instagram) et dans la recherche Google ; la manière dont nous en mesurons les résultats est décrite aux sections 3 g et 3 g2.

Dans la mesure où certains prestataires, en particulier les prestataires de paiement ou d’e-mail, traitent des données à caractère personnel en dehors de l’UE/de l’EEE ou y donnent accès, cela n’a lieu que dans le respect des art. 44 et suivants du RGPD et, si nécessaire, sur la base de garanties appropriées telles que les clauses contractuelles types de l’UE.

3. Données traitées, finalités et bases juridiques

a) Création d’un album et compte organisateur

Lorsque vous achetez ou créez un album, nous traitons notamment votre adresse e-mail, le titre de l’album, l’occasion, la formule choisie, la date et l’heure de l’achat ainsi que des données techniques d’accès. L’accès se fait au moyen d’un lien de connexion envoyé par e-mail. Aucun mot de passe n’est nécessaire.

Le traitement a pour finalité la création, la mise à disposition et la gestion de votre album. La base juridique est l’exécution d’un contrat ou l’exécution de mesures précontractuelles conformément à l’art. 6, paragraphe 1, point b) du RGPD.

b) Envois des invités

Les invités peuvent envoyer des photos et des vidéos dans un album. Nous traitons alors notamment les fichiers photo et vidéo envoyés, les noms de fichiers, la date et l’heure de l’envoi, des métadonnées techniques, la date et l’heure de prise de vue EXIF ainsi que, de manière facultative, le nom indiqué par l’invité. Les données GPS et de localisation issues des données EXIF sont supprimées de tous les fichiers image visibles par les invités (aperçus, galerie).

Dans le fichier original conservé sans modification, nous lisons les coordonnées EXIF de prise de vue et les enregistrons dans notre base de données, exclusivement pour que l’organisateur puisse créer des pages de carte facultatives dans le livre photo. Ces coordonnées ne sont pas montrées aux invités, ne sont pas transmises à des tiers et sont supprimées avec l’album. Pour l’affichage de la carte, notre serveur récupère des tuiles cartographiques auprès d’OpenStreetMap ; aucune donnée à caractère personnel des invités n’est alors transmise à OpenStreetMap. La base juridique est l’art. 6, paragraphe 1, point b) du RGPD (fonction livre photo pour l’organisateur) ou l’art. 6, paragraphe 1, point f) du RGPD.

Pour la mise en page du livre photo, nos propres serveurs analysent techniquement les images : qualité de l’image, images similaires ainsi que position et nombre de visages, afin que le cadrage ne coupe aucun visage. Nous n’identifions aucune personne, ne comparons pas les visages entre eux et ne créons aucun gabarit biométrique ; seuls le nombre et la position des visages détectés sont enregistrés. Aucun tiers n’intervient.

Le traitement a pour finalité la mise à disposition technique de l’album, la conservation, l’affichage, la sauvegarde et la suppression ultérieure des contenus.

Dans la mesure où Albumora est lui-même responsable du traitement, la base juridique est l’art. 6, paragraphe 1, point b) du RGPD pour la fourniture du service à l’organisateur, ainsi que l’art. 6, paragraphe 1, point f) du RGPD pour la mise à disposition technique à l’égard des invités. Notre intérêt légitime réside dans l’exploitation d’une plateforme économe en données destinée à collecter et à mettre à disposition des souvenirs d’événements. Dans la mesure où des contenus sont traités pour le compte de l’organisateur concerné, ce traitement a lieu conformément à un accord de sous-traitance correspondant. L’organisateur décide quels invités ont accès à l’album et quels contenus sont collectés.

b2) Invitation numérique et réponse des invités

Les organisateurs peuvent créer une page d’invitation pour un album. Lorsqu’un invité y répond, nous traitons le nom qu’il a lui-même saisi, sa réponse (présent, absent ou peut-être), le nombre de personnes indiqué et un message facultatif. Aucune adresse e-mail n’est nécessaire ni collectée ; les adresses IP ne sont pas enregistrées à cette fin et aucun cookie n’est déposé.

La finalité est la préparation de la fête par l’organisateur. La base juridique est l’art. 6, paragraphe 1, point f) du RGPD ; l’intérêt légitime réside dans l’organisation de l’événement. Seul l’organisateur de l’album concerné voit les réponses. Il peut supprimer chaque réponse à tout moment ; elles sont supprimées au plus tard avec l’album.

c) Traitement des paiements

Les paiements sont traités par Stripe. Vous saisissez vos données de paiement, en particulier les données de carte, directement chez Stripe. Nous ne recevons pas de données de paiement complètes en clair, mais notamment le statut du paiement, le montant, la date et l’heure, des informations sur la transaction et l’adresse e-mail nécessaire au rattachement.

Le traitement a pour finalité le traitement du paiement et l’exécution du contrat. La base juridique est l’art. 6, paragraphe 1, point b) du RGPD. Dans la mesure où il existe des obligations de documentation en matière fiscale, la base juridique est l’art. 6, paragraphe 1, point c) du RGPD.

d) Mesure d’audience sur les pages marketing et les pages du compte

Sur les pages marketing publiques et dans l’espace organisateur, nous utilisons Plausible Analytics dans une version auto-hébergée au sein de l’UE. Plausible est utilisé sans cookies, sans suivi personnel et sans conservation durable d’adresses IP complètes. Sont notamment traités des consultations de pages agrégées, le référent, le type d’appareil, le navigateur et des informations approximatives sur la provenance. Les adresses des pages sont enregistrées sous forme abrégée : les identifiants d’album dans le chemin sont remplacés par des valeurs génériques et les paramètres tels que les codes de connexion ou de confirmation sont supprimés. Sur les espaces destinés aux invités (page d’envoi, galerie, diaporama et galerie intégrée), nous n’utilisons pas Plausible, ni dans le navigateur ni côté serveur.

La base juridique est notre intérêt légitime, conformément à l’art. 6, paragraphe 1, point f) du RGPD, à disposer de statistiques agrégées et économes en données pour améliorer notre offre.

Analyse des sessions : sur ces mêmes pages, à l’exclusion des espaces destinés aux invités et de la vue de l’album (donc jamais là où des photos sont visibles), nous enregistrons sous forme pseudonymisée, avec le service auto-hébergé OpenReplay sur nos propres serveurs dans l’UE, la manière dont la page est utilisée (mouvements de la souris, clics, défilement, erreurs techniques), afin de repérer les problèmes d’utilisation. Les saisies dans les champs de formulaire, les adresses e-mail et les chiffres sont rendus illisibles dès le navigateur. À cette fin, un identifiant de session aléatoire est déposé dans le stockage du navigateur ; aucun cookie n’est déposé et aucune donnée n’est transmise à des tiers. Sur albumora.fr, cet enregistrement n’a lieu qu’avec votre accord (art. 6, paragraphe 1, point a) du RGPD), donné dans le bandeau de consentement ; sans accord, le script n’est pas chargé. Vous pouvez retirer votre accord à tout moment dans les réglages ci-dessous.

e) E-mails transactionnels

Pour les e-mails transactionnels nécessaires, par exemple les liens de connexion, les confirmations de commande ou les informations relatives à la mise à disposition d’un album, nous utilisons le service d’envoi SMTP2GO de Sand Dune Mail Ltd, Nouvelle-Zélande. En cas de défaillance de celui-ci, nous envoyons à titre de remplacement par Brevo. Sont notamment traités l’adresse e-mail, le contenu du message concerné, la date et l’heure de l’envoi et des informations techniques d’envoi. Selon ses propres indications, SMTP2GO conserve les données à caractère personnel des clients de l’EEE au sein de l’EEE et garde les en-têtes des e-mails envoyés pendant 35 jours. La Nouvelle-Zélande fait l’objet d’une décision d’adéquation de la Commission européenne (art. 45 du RGPD). La base juridique est l’art. 6, paragraphe 1, point b) du RGPD.

f) Communication avec les clients et informations aux clients existants

Lorsque vous achetez un album, nous enregistrons votre adresse e-mail et les données clés de votre commande dans notre système Mautic auto-hébergé au sein de l’UE. Il s’agit notamment de la formule, de l’occasion, du titre de l’album, du montant et de la date. Nous utilisons ces données pour la communication avec les clients et, le cas échéant, pour vous informer de nos propres offres similaires.

La base juridique est notre intérêt légitime conformément à l’art. 6, paragraphe 1, point f) du RGPD. L’envoi de publicité par voie électronique n’a lieu que dans le respect des conditions légales applicables à la publicité adressée aux clients existants, en particulier le § 174 TKG 2021 en Autriche et le § 7, al. 3 UWG en Allemagne. Vous pouvez vous opposer à cette utilisation à tout moment, par exemple au moyen du lien de désinscription figurant dans chaque e-mail ou par message à service@albumora.de. Aucun suivi du site n’est effectué au moyen de Mautic.

g) Mesure des conversions pour les annonces publicitaires (Meta)

Lorsque nous diffusons des annonces publicitaires chez Meta (Facebook, Instagram), nous en mesurons les résultats au moyen de l’API Conversions de Meta. Celle-ci fonctionne côté serveur et sans cookies dans votre navigateur. Sont exclusivement transmis des événements tels qu’une commande commencée ou un achat, avec le montant et la devise, ainsi que, pour le rattachement, votre adresse e-mail exclusivement sous forme hachée (SHA-256, non réversible). Nous ne transmettons aucune adresse e-mail en clair ni aucun contenu de vos photos. La base juridique est notre intérêt légitime à mesurer et à optimiser notre publicité conformément à l’art. 6, paragraphe 1, point f) du RGPD ; vous pouvez vous y opposer à tout moment par message à service@albumora.de.

En outre, exclusivement avec votre consentement exprès donné au moyen de notre bandeau cookies, nous utilisons le pixel Meta dans votre navigateur. Le pixel charge un script de Meta, dépose des cookies (en particulier « _fbp » et « _fbc », d’une durée pouvant aller jusqu’à 90 jours) et transmet à Meta les consultations de pages et les événements de commande, accompagnés de données techniques (adresse IP, informations sur le navigateur). Les événements du navigateur et ceux du serveur sont rapprochés au moyen d’un identifiant d’événement commun, afin que rien ne soit compté deux fois. La base juridique est votre consentement conformément à l’art. 6, paragraphe 1, point a) du RGPD, en liaison avec le § 165, al. 3 TKG 2021 ou le § 25, al. 1 TDDDG. Sans consentement, le pixel n’est pas chargé et aucun cookie n’est déposé. Vous pouvez retirer votre consentement à tout moment, avec effet pour l’avenir, au moyen des paramètres de cookies ci-dessous sur cette page ; les cookies du pixel sont alors supprimés.

Sur les espaces destinés aux invités (page d’envoi, galerie, diaporama), aucune mesure des conversions n’a lieu : le pixel n’y est pas chargé et aucun bandeau de consentement n’y est affiché.

Le destinataire est Meta Platforms Ireland Ltd. ; un traitement aux États-Unis par Meta Platforms, Inc. n’est pas exclu et a lieu dans le respect des art. 44 et suivants du RGPD (notamment le cadre de protection des données UE–États-Unis, EU-US Data Privacy Framework, et les clauses contractuelles types).

g2) Mesure des conversions pour les annonces de recherche (Google)

Lorsque vous arrivez sur Albumora par l’une de nos annonces dans la recherche Google, Google ajoute un identifiant de clic à l’adresse (paramètre « gclid », « gbraid » ou « wbraid »). Nous enregistrons cet identifiant dans le stockage local de votre navigateur (localStorage, pas de cookie) pendant 90 jours au maximum. Nous ne chargeons aucun script de Google, et Google n’apprend ainsi rien de vos consultations de pages ultérieures.

Si vous achetez un album pendant cette période, nous enregistrons l’identifiant de clic avec la commande et communiquons à Google une fois par jour : l’identifiant de clic, la date et l’heure de l’achat ainsi que le montant et la devise. Nous ne transmettons ni votre nom, ni votre adresse e-mail, ni les contenus de votre album. La base juridique est notre intérêt légitime à mesurer et à optimiser notre publicité conformément à l’art. 6, paragraphe 1, point f) du RGPD ; vous pouvez vous y opposer à tout moment par message à service@albumora.de.

Les liens vers les espaces destinés aux invités (page d’envoi, galerie, diaporama) ne contiennent pas d’identifiant de clic ; rien n’y est donc enregistré. Le destinataire est Google Ireland Ltd. ; un traitement aux États-Unis par Google LLC n’est pas exclu et a lieu dans le respect des art. 44 et suivants du RGPD (notamment le cadre de protection des données UE–États-Unis, EU-US Data Privacy Framework, et les clauses contractuelles types).

g3) Assistante IA « Alba » dans l’espace d’aide

Dans l’espace d’aide, vous pouvez écrire à « Alba », une assistante IA. Son utilisation est facultative ; le formulaire de contact et notre adresse e-mail restent toujours à votre disposition. Alba est un modèle de langage (Claude) du fournisseur Anthropic. Vos messages et les réponses d’Alba sont transmis à Anthropic pour y répondre et y sont traités pour notre compte.

Si vous êtes connecté ou si vous vous identifiez dans le chat avec un code que nous envoyons à votre adresse e-mail, Alba peut, en réponse à votre question, consulter des informations relatives à votre propre compte : le titre, le statut et la formule de vos albums, le nombre de photos et de vidéos, vos achats et le statut de remise de nos e-mails qui vous sont adressés. Seul ce qui est nécessaire à la réponse est alors transmis à Anthropic. Nous ne transmettons ni photos, ni vidéos, ni données de vos invités. Sans connexion ni code, Alba ne donne aucune information sur les comptes.

Nous conservons l’historique d’une conversation pendant 30 jours, afin de pouvoir répondre aux questions complémentaires et détecter les abus, puis nous le supprimons. Si Alba nous transmet votre demande, l’historique devient partie intégrante de la demande d’assistance. Pour nous protéger contre les abus, nous traitons votre adresse IP sous une forme tronquée et non réversible. Dans le chat, nous n’utilisons ni cookies ni suivi.

La base juridique est l’art. 6, paragraphe 1, point b) du RGPD, dans la mesure où vous êtes cliente ou client ou souhaitez le devenir, et, pour le reste, notre intérêt légitime à apporter une aide rapide conformément à l’art. 6, paragraphe 1, point f) du RGPD. Le destinataire est Anthropic, PBC, États-Unis, en qualité de sous-traitant ; la transmission a lieu dans le respect des art. 44 et suivants du RGPD (notamment le cadre de protection des données UE–États-Unis, EU-US Data Privacy Framework, et les clauses contractuelles types). Alba n’existe pas sur les espaces destinés aux invités.

h) Invitation à donner un avis sur Trustpilot

Si vous avez acheté un album, nous vous invitons une seule fois, après votre fête, à évaluer votre expérience avec Albumora sur Trustpilot. À cette fin, nous transmettons à Trustpilot A/S, Danemark, en même temps que notre e-mail d’après-fête, votre adresse e-mail et un identifiant de votre album. Trustpilot vous envoie alors une invitation pour notre compte. Vous décidez vous-même de donner ou non un avis ; un avis ne donne lieu à aucune contrepartie. Nous n’envoyons pas d’invitation pour les albums offerts ou activés au moyen d’un code promo.

La base juridique est notre intérêt légitime, conformément à l’art. 6, paragraphe 1, point f) du RGPD, à obtenir des avis clients sincères et vérifiables ; l’invitation est envoyée dans le cadre des règles applicables aux clients existants prévues au § 174 TKG 2021 ou au § 7, al. 3 UWG. Vous pouvez vous y opposer à tout moment, par exemple par une brève réponse à l’e-mail ou par message à service@albumora.de ; nous ne transmettons alors pas votre adresse à Trustpilot. Tout avis que vous publiez sur Trustpilot est soumis à la politique de confidentialité de Trustpilot.

i) Application Albumora pour iPhone

Avec l’application, vous pouvez, en tant qu’invité, envoyer des photos dans un album et, en tant qu’organisateur, ajouter à vos albums des photos de votre photothèque. Les règles suivantes s’appliquent :

• Photos : l’application ne lit que les photos de la période que vous choisissez pour un album et les envoie dans cet album. Sont transmises l’image et la date et l’heure de sa prise de vue. Les autres photos restent sur votre iPhone. Vous accordez et retirez l’accès à votre photothèque dans les réglages d’iOS.
• Appareil photo : uniquement pour scanner le QR code de la fête. L’application ne prend alors aucune photo et n’enregistre rien.
• En tant qu’invité, vous n’avez pas besoin de compte. Lorsque vous utilisez le lien d’invité, nous créons un accès d’appareil qui ne vaut que pour cet album et ne permet que l’envoi. Il est conservé dans le trousseau de votre iPhone ; nous n’en enregistrons qu’une valeur de contrôle et la désignation de l’appareil.
• En tant qu’organisateur, vous vous connectez avec votre adresse e-mail et un code que nous vous envoyons par e-mail. La connexion reste valable 90 jours ou jusqu’à ce que vous vous déconnectiez.
• Aucune publicité, aucun outil d’analyse, aucun suivi : l’application ne contient aucune bibliothèque publicitaire ou d’analyse et ne transmet aucune donnée à des réseaux publicitaires ou à des courtiers en données.

La base juridique est l’exécution du contrat avec l’organisateur ou votre consentement au partage de photos (art. 6, paragraphe 1, points a) et b) du RGPD). Les photos envoyées sont soumises aux mêmes durées de conservation que les envois effectués par le site (section 5).

4. Destinataires et sous-traitants

Nous faisons appel à des prestataires sélectionnés avec soin. Nous concluons avec les sous-traitants les accords correspondants conformément à l’art. 28 du RGPD, dans la mesure où cela est nécessaire. Les destinataires ou prestataires sont notamment :

• Hetzner Online GmbH, Allemagne/Finlande – hébergement, exploitation des serveurs et stockage
• BunnyWay d.o.o. (bunny.net), Slovénie – réseau de diffusion de contenu (CDN) pour la diffusion rapide des photos et des vidéos des galeries depuis des serveurs situés en Europe ; traite à cette occasion, pour des raisons techniques, les adresses IP des personnes qui consultent les contenus, ne dépose aucun cookie
• Stripe Payments Europe Ltd., Irlande – traitement des paiements
• Gelato ASA, Norvège – impression et expédition des livres photo et des produits photo commandés, par l’intermédiaire d’imprimeries partenaires (uniquement en cas de commande ; sont transmises les données d’impression et l’adresse de livraison)
• SMTP2GO (Sand Dune Mail Ltd), Nouvelle-Zélande – envoi des e-mails transactionnels ; conservation dans l’EEE pour les clients de l’EEE, décision d’adéquation de la Commission européenne pour la Nouvelle-Zélande
• Brevo / Sendinblue GmbH, Allemagne/France – solution de remplacement pour l’envoi des e-mails transactionnels
• Plausible, auto-hébergé dans l’UE – mesure d’audience économe en données
• OpenReplay, auto-hébergé dans l’UE – analyse des sessions sur les pages marketing et les pages du compte
• Mautic, auto-hébergé dans l’UE – communication avec les clients et informations aux clients existants
• Trustpilot A/S, Danemark – envoi d’invitations à donner un avis après l’achat d’un album
• Meta Platforms Ireland Ltd., Irlande – mesure des conversions pour les annonces publicitaires (côté serveur, exclusivement des données hachées ; pixel dans le navigateur uniquement avec votre consentement)
• Anthropic, PBC, États-Unis – assistante IA « Alba » dans l’espace d’aide (messages du chat et, après connexion ou saisie d’un code, informations relatives à votre propre compte)
• Google Ireland Ltd., Irlande – mesure des conversions pour les annonces de recherche (identifiant de clic, date et heure et montant d’un achat)

Chez les prestataires de paiement et de communication, un traitement ou une possibilité d’accès en dehors de l’UE/de l’EEE peut avoir lieu selon la structure du prestataire. Dans ce cas, le traitement a lieu dans le respect des art. 44 et suivants du RGPD.

5. Durée de conservation

Les contenus des albums sont conservés pendant la durée indiquée dans la formule choisie, actuellement 12 ou 24 mois, puis supprimés automatiquement. Les sauvegardes chiffrées sont écrasées ou supprimées à l’issue du cycle de sauvegarde concerné.

Nous conservons les données de facturation, de paiement et de contrat conformément aux obligations légales de conservation. Nous supprimons les données de compte et de contact sur demande, dans la mesure où aucune obligation légale de conservation ni aucun autre motif légitime ne s’y oppose. Nous conservons les données de marketing et les données des clients existants jusqu’à votre opposition ou tant qu’il existe un intérêt légitime à la communication avec les clients.

6. Vos droits

Conformément au RGPD, vous disposez notamment des droits suivants :

• droit d’accès,
• droit de rectification,
• droit à l’effacement,
• droit à la limitation du traitement,
• droit à la portabilité des données,
• droit d’opposition aux traitements fondés sur des intérêts légitimes,
• droit de retirer un consentement donné, avec effet pour l’avenir.

Vous pouvez exercer vos droits par e-mail à service@albumora.de. Vous avez en outre le droit d’introduire une réclamation auprès de l’autorité de contrôle compétente en matière de protection des données, en particulier auprès de l’autorité autrichienne de protection des données (Österreichische Datenschutzbehörde).

7. Droit à l’image et droits de la personnalité des invités

Il incombe à l’organisateur d’informer les invités de manière appropriée de l’utilisation de l’album et, si nécessaire, de recueillir les consentements ou de s’assurer des autres bases juridiques requises pour l’envoi et le partage de photos et de vidéos. Les invités ne peuvent envoyer que des contenus pour lesquels ils détiennent les droits nécessaires et dont l’utilisation ne viole aucun droit d’autrui.

Si vous souhaitez qu’une photo ou une vidéo soit supprimée, vous pouvez vous adresser à l’organisateur ou à service@albumora.de.

8. Sécurité

Nous prenons des mesures techniques et organisationnelles appropriées pour protéger les données à caractère personnel contre la perte, l’utilisation abusive, l’accès non autorisé et la divulgation non autorisée. En font notamment partie l’hébergement dans l’UE, les sauvegardes chiffrées, les restrictions d’accès et des paramètres par défaut économes en données.