Menu
Contact

Informations légales

Politique de confidentialité

Politique de confidentialité d'Obscura Catalog : données traitées par le site et par l'application.

SommaireSupport

En bref

Obscura Catalog ne vend aucune donnée et ne contient ni publicité, ni mesure d’audience, ni rapport de plantage automatique. Vos fichiers, votre bibliothèque et votre catalogue restent sur votre Mac : Oorun n’y a pas accès. L’analyse des photos (objets, texte, visages, ressemblance) se fait sur le Mac, avec le framework Vision d’Apple, et ses résultats restent dans la bibliothèque. Les seules données qu’Oorun reçoit de l’application sont celles de votre compte et de votre licence, décrites ci-dessous. Le site, lui, mesure sa fréquentation sans cookie (voir « Mesure d’audience du site »).

Compte et licence

Pour activer une licence, vous vous connectez avec l’adresse e-mail et le mot de passe de votre compte Obscura. Obscura Catalog échange alors avec le serveur de licences d’Oorun (api.obscuraflow.app) :

  • à la connexion : votre adresse e-mail et votre mot de passe ; « Mot de passe oublié ? » envoie votre adresse e-mail pour recevoir un lien de réinitialisation ;
  • à l’enregistrement de ce Mac pour la licence : un identifiant propre à cette installation (tiré au hasard), le nom de ce Mac, la plateforme (macos), la version d’Obscura Catalog, une empreinte à sens unique (SHA-256) de l’identifiant matériel du Mac — l’identifiant lui-même ne quitte jamais le Mac — et le produit concerné (obscura-catalog) ;
  • au lancement, lorsque le réseau revient et lorsque vous choisissez « Vérifier maintenant » : la demande de la licence en cours, de vos limites et de la liste de vos appareils, avec de nouveau les informations de ce Mac décrites ci-dessus (dont le nom de ce Mac et la version d’Obscura Catalog) ;
  • lorsque vous retirez un appareil : l’identifiant de cet appareil.

Oorun voit, pour chaque appareil, la version d’Obscura Catalog et la date de la dernière vérification, afin de vous assister et de savoir quels appareils doivent être mis à jour.

Ces échanges n’envoient aucun fichier, aucune image, aucune empreinte de fichier et aucun contenu de votre catalogue : le nombre de vos œuvres est compté sur le Mac. La licence signée renvoyée par le serveur est gardée dans le dossier License de la bibliothèque, pour être vérifiée hors connexion.

Oorun traite ces données pour gérer votre compte et votre licence. Ce traitement repose sur l’exécution du contrat de licence (ou des mesures précontractuelles prises à votre demande) et sur le respect des obligations légales d’Oorun.

  • Hébergement : le serveur de licences est hébergé par Oracle Cloud Infrastructure (Oracle Corporation, 2300 Oracle Way, Austin, Texas 78741, États-Unis) et joint à travers le réseau de Cloudflare, Inc. (101 Townsend Street, San Francisco, Californie 94107, États-Unis). Lorsqu’un transfert hors de l’Union européenne a lieu, il est encadré par des garanties appropriées (clauses contractuelles types de la Commission européenne ou cadre d’adéquation applicable).
  • Durée de conservation : les données du compte et des appareils sont conservées tant que votre compte existe. Elles sont supprimées à sa clôture ; un appareil que vous retirez est effacé aussitôt.
  • Vos droits : conformément au RGPD et à la loi Informatique et Libertés, vous pouvez demander l’accès, la rectification, l’effacement, la limitation ou la portabilité de vos données, et vous opposer à leur traitement. Écrivez à mtay@oorun.fr en précisant votre demande et l’adresse e-mail de votre compte ; une réponse vous est apportée dans les délais légaux. Vous pouvez aussi saisir la CNIL (www.cnil.fr) si vous estimez que vos droits ne sont pas respectés.

Sans compte, Obscura Catalog ne contacte jamais le serveur de licences.

Recherche de mises à jour

Au lancement, puis à intervalles réguliers, Obscura Catalog télécharge la liste des versions publiées (un fichier appcast.xml) depuis GitHub (github.com, service de GitHub, Inc. ; dépôt ctay/obscura-catalog-releases), puis, si vous acceptez d’installer une nouvelle version, son image disque. Comme toute requête Internet, elle transmet à GitHub l’adresse IP de votre Mac et un en-tête technique (nom et version de l’app et du composant Sparkle). Elle n’envoie aucun contenu de votre bibliothèque, aucun identifiant de votre Mac ni de votre compte, et aucun profil du système. GitHub traite ces données selon sa propre déclaration de confidentialité (https://docs.github.com/site-policy/privacy-policies/github-general-privacy-statement) ; Oorun n’y a pas accès.

Une mise à jour ne s’installe qu’avec votre accord, après vérification de sa signature. Vous pouvez couper la recherche automatique dans Réglages › Mises à jour (« Rechercher automatiquement les mises à jour ») : Obscura Catalog › Rechercher les mises à jour… ne lance alors une recherche que lorsque vous la choisissez. Une copie qui n’est pas la version publiée, signée et notarisée, ne fait aucune recherche.

Services que vous configurez

  • Horodatage des certificats : si vous indiquez une autorité d’horodatage (RFC 3161, facultative, vide par défaut), Obscura Catalog lui envoie, à chaque émission, l’empreinte SHA-256 de la signature du certificat, et rien d’autre. Sans autorité, l’émission n’établit aucune connexion.
  • Publication de votre clé : la clé publique des certificats est publiée par vous, à l’adresse que vous choisissez. Obscura Catalog prépare le fichier (Exporter la clé publique…) mais ne l’envoie nulle part.

La vérification d’un certificat dans l’application se fait hors ligne.

Le site

Le site catalog.obscuraflow.app est hébergé par Cloudflare (Cloudflare Pages).

Formulaire de contact

Les champs que vous remplissez dans le formulaire de contact nous parviennent par e-mail, par l’intermédiaire de Resend, service d’envoi d’e-mails. Ils ne sont enregistrés dans aucune base du site et ne servent qu’à vous répondre.

Pour freiner les envois automatisés, le site compte les messages par adresse IP : il n’enregistre que l’empreinte SHA-256 de cette adresse, effacée au bout de deux heures au plus, chez Cloudflare.

Vérification en ligne d’un certificat

La page de vérification du site (/c) lit le PDF dans votre navigateur, sans l’envoyer ; la vérification fait au plus deux requêtes : la première va chercher la clé publique de l’émetteur à l’adresse signée dans le certificat ; la seconde interroge l’annuaire des clés d’Obscura (keys.obscuraflow.app, tenu par Oorun), qui donne la clé si cette adresse ne la donne pas et dit si elle a été révoquée, en ne lui envoyant que l’empreinte de la clé, qui est publique. Comme sur toutes les pages du site, le script de mesure d’audience décrit ci-dessous peut s’y charger : il envoie à Cloudflare l’adresse de la page, donc le numéro du certificat qu’elle porte, mais jamais le PDF ni le résultat de la vérification. L’adresse signée est choisie par l’émetteur : son hébergeur reçoit, comme l’annuaire et comme pour toute requête Internet, l’adresse IP de votre navigateur.

Mesure d’audience du site

Le site mesure sa fréquentation et ses performances avec Cloudflare Web Analytics. Ce n’est pas le code du site qui l’intègre : Cloudflare ajoute aux pages un script (beacon.min.js, chargé depuis static.cloudflareinsights.com), qui envoie ses mesures au site lui-même (adresse /cdn-cgi/rum). L’application, elle, ne contient aucune mesure d’audience.

  • Ce qui est mesuré : l’adresse de la page consultée (sans ses paramètres), la page d’où vous venez (référent) et des temps de chargement et d’affichage (dont les Core Web Vitals). Cloudflare en déduit le pays, le type d’appareil, le navigateur et le système d’exploitation, et compte des pages vues et des visites (une visite est une page atteinte depuis un autre site ou par un lien direct).
  • Ce qui ne l’est pas : aucun cookie n’est déposé et rien n’est enregistré dans votre navigateur (ni stockage local, ni stockage de session, ni IndexedDB). Cloudflare ne vous suit pas d’un site à l’autre et ne fait pas d’empreinte (« fingerprinting ») à partir de votre adresse IP, de l’en-tête User-Agent ou d’une autre donnée. Votre adresse IP est écartée dans le centre de données Cloudflare le plus proche et n’est enregistrée ni dans ses bases ni dans ses journaux.
  • Visiteurs de l’Union européenne : la mesure est réglée en mode « lite » : pour les visiteurs qui se connectent à un centre de données Cloudflare situé dans l’Union européenne ou l’Espace économique européen, le script n’est pas ajouté aux pages et aucune mesure n’est traitée. Le critère est le centre de données qui vous sert, non votre nationalité ni votre lieu de résidence : servi par un centre de données situé ailleurs, vous êtes mesuré comme les autres visiteurs.
  • Sous-traitant : Cloudflare, Inc. (101 Townsend Street, San Francisco, Californie 94107, États-Unis) traite ces mesures pour le compte d’Oorun. Lorsqu’un transfert hors de l’Union européenne a lieu, il est encadré par des garanties appropriées (clauses contractuelles types de la Commission européenne ou cadre d’adéquation applicable).
  • Durée de conservation : Cloudflare garde les mesures détaillées 7 jours, puis n’en conserve qu’un échantillon d’environ 10 % ; Oorun n’en voit que des statistiques, consultables sur les six derniers mois.
  • Base légale et opposition : ce traitement repose sur l’intérêt légitime d’Oorun à connaître la fréquentation de son site et à en améliorer les performances (article 6, paragraphe 1, point f, du RGPD). Vous pouvez vous y opposer en bloquant le script de static.cloudflareinsights.com (bloqueur de contenu ou réglages du navigateur) : le site fonctionne de la même façon sans lui. Vos droits s’exercent comme indiqué à la section « Compte et licence ».

Où sont vos données

  • La bibliothèque (base de données Catalog.sqlite, vignettes et aperçus, licence signée, réglages du catalogue raisonné et des certificats, certificats émis) est enregistrée sur votre Mac, dans ~/Library/Application Support/Obscura Catalog/.
  • La clé de signature des certificats et la session de votre compte sont gardées dans le trousseau de votre Mac, services com.oorun.obscuracatalog.certificates et com.oorun.obscuracatalog.secrets.
  • Les réglages de l’application sont enregistrés dans les préférences macOS de votre compte.
  • Vos images restent où elles sont : la bibliothèque enregistre leur emplacement, sans les copier.

Fichiers originaux

Lorsque vous importez un dossier, un catalogue Lightroom ou un inventaire CSV, Obscura Catalog lit chaque fichier pour en calculer l’empreinte SHA-256, en extraire les métadonnées (EXIF, XMP) et en tirer vignettes et aperçus. Il ne déplace jamais vos fichiers, et ouvre un catalogue Lightroom en lecture seule. Quand vous enregistrez des métadonnées, il écrit par défaut un sidecar XMP à côté du fichier ; il n’écrit dans le fichier lui-même (JPEG, TIFF, PNG, HEIC) que si vous le choisissez et le confirmez, jamais dans un RAW. macOS peut vous demander d’autoriser l’accès aux dossiers Bureau, Documents, Téléchargements ou aux volumes externes et réseau.

Rapport de problème

Aide › Signaler un problème… prépare un rapport (votre description, la version de l’app et de macOS, l’architecture du Mac) que vous relisez, puis enregistrez ou copiez. Obscura Catalog ne l’envoie à personne : vous décidez de le joindre au formulaire de contact https://catalog.obscuraflow.app/contact.

Données personnelles dans votre catalogue

Votre catalogue peut contenir des données personnelles : agents (artistes, ayants droit, collectionneurs, galeristes…), provenance, déclarants et émetteurs des certificats, personnes que vous nommez dans la section Personnes, visages repérés par l’analyse. Vous, ou l’organisation pour laquelle vous agissez, en êtes le responsable de traitement au sens du RGPD : c’est à vous de définir leur base légale, leur durée de conservation et les conditions d’accès. Effacer… (section Personnes) supprime toutes les données d’analyse, visages et personnes nommées compris. Les exports, rapports et certificats que vous produisez sont des fichiers que vous gérez et diffusez : une fois remis à des tiers, ils ne s’effacent pas depuis l’application.

Contact

Pour toute question : voir les coordonnées d’Oorun dans les mentions légales.