Politique de confidentialité

Aurélien Wikart EI, nom commercial Bestoph Adv (SIRET 952 649 903 00012, 262 chemin du Garoutier, 13600 La Ciotat) édite EventPlates. Selon les données, nous intervenons avec deux casquettes :

• Responsable de traitement pour les comptes des professionnels, l’abonnement, la marketplace publique, le formulaire de contact et la sécurité du site.
• Sous-traitant pour les données que les établissements saisissent ou collectent avec le Service (leurs clients, organisateurs et invités), dans les conditions de l’accord de traitement des données annexé à la CGU. L’établissement qui vous a invité est alors responsable de traitement : c’est à lui que s’adressent en priorité vos demandes, nous l’aidons à y répondre.

• Professionnels utilisateurs : nom, e-mail, mot de passe (stocké haché), rôle, établissements rattachés, date de dernière connexion, version et date d’acceptation des CGU, historique des actions sensibles, date de désinscription des annonces de nouvelles versions.
• Établissements : informations de la fiche (nom, adresse, téléphone, site, description, photos, logo), préférences, abonnement (les données bancaires restent chez Stripe).
• Clients et organisateurs saisis par l’établissement : nom, société, e-mail, téléphone, notes, historique des groupes, documents et, si l’organisateur l’a accepté dans son espace, la date de son accord pour une demande d’avis.
• Clients facturés (module Facturation) : nom, adresse, e-mail de facturation, SIREN, numéro de TVA, références Chorus Pro, factures émises (lignes, montants, règlements, PDF, empreinte et journal).
• Invités d’un repas : prénom, nom, e-mail et téléphone si demandés, choix de menu, allergies ou réponse « Aucune allergie », régime alimentaire, commentaire.
• Signataires d’un document (signature électronique) : nom, e-mail, nom tapé, déclaration d’entreprise, date de chaque étape, adresse IP et navigateur chiffrés ; voir la notice des signataires.
• Demandes de devis (marketplace) : nom, e-mail, téléphone et société facultatifs, détails de l’événement, message, la provenance de la demande (liste EventPlates, moteur de recherche, réseau social, autre site ou accès direct).
• Formulaire de contact : nom, e-mail, société facultative, sujet, message.
• Avis (invités et organisateurs du repas) : note, commentaire et prénom avec l’initiale du nom (avec la mention « Organisateur du repas » pour l’organisateur), affichés sur la fiche de l’établissement si celui-ci l’a choisi ; au bout de 3 ans, le nom est remplacé par « Invité ».
• Données techniques : cookie de session, adresse IP utilisée pour limiter les abus et, sous forme pseudonymisée (empreinte non réversible), pour compter les visites des fiches de la marketplace ; navigateur et système de chaque session (sans numéro de version), affichés dans Paramètres › Profil et dans l’e-mail de connexion depuis un nouvel appareil.

Les allergies, la réponse « Aucune allergie » et certains régimes sont des données de santé ou peuvent révéler des convictions (article 9 du RGPD). Elles servent uniquement à préparer le repas : elles sont visibles par l’établissement et, s’il l’a autorisé, par l’organisateur de l’événement ; elles ne sont jamais utilisées à des fins de profilage ou de publicité. L’invité les indique lui-même dans le formulaire ; quand il les communique directement à l’établissement (par téléphone ou sur place), l’établissement peut les saisir pour lui, en attestant que l’invité les lui a données et accepte qu’elles servent à préparer son repas.

Les réponses des invités sont supprimées automatiquement 90 jours après la date de l’événement (voir ci-dessous). Chaque établissement est isolé des autres : aucune donnée n’est partagée entre établissements.

Vos données sont accessibles aux seules personnes qui en ont besoin : l’équipe de l’établissement (selon son rôle), l’organisateur de l’événement pour les réponses de ses invités lorsque l’établissement l’autorise, l’établissement destinataire d’une demande de devis, et nos prestataires techniques ci-dessous. Aucune donnée n’est vendue ni utilisée à des fins publicitaires.

Ces suppressions sont effectuées par une tâche automatique quotidienne. Un établissement peut supprimer lui-même plus tôt les données qu’il gère.

Un traceur est une information lue ou enregistrée dans votre navigateur : cookie, stockage local ou stockage de session. EventPlates n’utilise aucun traceur publicitaire ni de réseau social et n’enregistre pas vos sessions de navigation. Les traceurs ci-dessous servent uniquement à faire fonctionner le service, à le sécuriser, à garder vos préférences et votre saisie en cours, et à mesurer la fréquentation sans cookie ; aucun bandeau de consentement n’est donc affiché.

Les vues des fiches de la marketplace sont comptées une fois par jour et par visiteur, à partir d’une empreinte de l’adresse IP (l’adresse elle-même n’est pas enregistrée), supprimée après 12 mois : chaque établissement voit ainsi le nombre de vues de sa fiche.

Vous pouvez supprimer à tout moment les cookies et les données du site dans les réglages de votre navigateur ; vous serez alors déconnecté et vos préférences seront perdues. Sur un appareil partagé, le bouton « Effacer » du formulaire invité supprime votre brouillon.

• Mots de passe hachés avec bcrypt ; jamais stockés ni transmis en clair.
• Sessions signées (JWT HS256), révocables, dans un cookie HttpOnly et Secure.
• Chiffrement des échanges (HTTPS / TLS) entre votre navigateur, l’application et la base de données.
• Isolation stricte des données de chaque établissement, contrôlée à chaque requête.
• Liens personnels (invités, organisateurs) non devinables ; liens de réinitialisation stockés sous forme hachée et à usage unique.
• Limitation des tentatives sur les formulaires publics et la connexion ; sauvegardes automatiques de la base.
• Copie de sauvegarde, chaque semaine, des factures émises et des documents signés dans un second espace de stockage privé du même hébergeur, à Paris.

La base de données est hébergée dans l’Union européenne (Francfort). Certains prestataires sont établis aux États-Unis (voir la liste ci-dessus) : les transferts sont encadrés par le Data Privacy Framework UE–États-Unis et/ou par les clauses contractuelles types de la Commission européenne.

Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, et pouvez retirer votre consentement à tout moment. Les professionnels exercent la plupart de ces droits directement depuis l’application :

• chaque membre d’une équipe télécharge les données de son compte (Paramètres › Profil › Mes données) et peut quitter un établissement (Paramètres › Profil › Quitter l’établissement) ; un compte qui n’est plus rattaché à aucun établissement est supprimé 30 jours après son départ ;
• le propriétaire exporte ou supprime l’établissement et toutes ses données (Paramètres › Données et confidentialité).

Pour toute demande : rgpd@eventplates.fr. Si vous êtes invité d’un établissement, vous pouvez aussi vous adresser directement à lui. Vous pouvez introduire une réclamation auprès de la CNIL.

Nous mettons cette politique à jour lorsque nos traitements évoluent ; la date figure en haut de la page. Les changements importants sont annoncés par e-mail aux utilisateurs. Voir aussi les mentions légales et les CGU.