PC/RGPD

POLITIQUE DE CONFIDENTIALITÉ ET DE PROTECTION DES DONNÉES PERSONNELLES — BROMÉLIA VENTE EN LIGNE
Version V0.3 — 20 septembre 2026
1. Objet
La présente politique décrit la manière dont Bromélia Production SARL (« Bromélia Production ») collecte, utilise, conserve et protège les données à caractère personnel traitées dans le cadre du service « Bromélia Vente en ligne » (« BVEL »). Elle s’applique notamment aux visiteurs, acheteurs et bénéficiaires de billets lorsque des données les concernant sont traitées.
Elle est établie conformément au règlement (UE) 2016/679 (« RGPD »), à la loi n° 78-17 du 6 janvier 1978 modifiée et aux dispositions françaises applicables.
La présente politique est un document d’information. Son acceptation ne constitue pas, à elle seule, le consentement à l’ensemble des traitements décrits. Chaque traitement repose sur sa propre base juridique. Lorsqu’un consentement est requis, notamment pour le suivi publicitaire Meta ou la prospection, il est recueilli séparément.
2. Responsable du traitement
Bromélia Production SARL — SARL au capital de 1 000 euros 1, place de l’Église — 94370 Sucy-en-Brie — France SIREN : 939 756 540 — SIRET : 939 756 540 00018 RCS : Créteil 939 756 540 — TVA : FR 37 939756540 Contact général et RGPD : contact@bromelia-production.com
Bromélia Production n’a pas désigné de délégué à la protection des données (DPO).
3. Données collectées
3.1 Identification et contact
Nom, prénom, adresse électronique et numéro de téléphone.
3.2 Panier, commandes et billets
Contenu du panier ; spectacle et représentation ; catégorie ou tarif ; quantités ; montant ; droits de location ; référence, dates et statut de commande ; billets émis ; identifiant et code-barres unique ; informations relatives aux tarifs particuliers, remboursements, annulations et reports ; historique nécessaire au suivi.
Un justificatif peut être demandé à l’entrée pour un tarif soumis à condition. Sauf nécessité particulière, BVEL n’a pas vocation à en conserver une copie.
3.3 Paiement
Le paiement est réalisé sur une page Stripe Checkout hébergée par Stripe. BVEL ne collecte ni ne conserve le numéro complet de carte ni le cryptogramme.
BVEL reçoit et peut conserver : statut du paiement ; type de moyen de paiement ; marque et réseau de carte ; quatre derniers chiffres ; pays ; wallet éventuel ; résultat et flux 3D Secure ; ECI lorsqu’il est disponible ; identifiants techniques Stripe liés notamment à Checkout, Payment Intent, charge, remboursement ou contestation ; informations nécessaires aux remboursements et contestations.
3.4 Données techniques
Adresse IP lorsqu’enregistrée par les systèmes concernés ; user-agent ; identifiant de session Django (« session_key ») ; dates et heures ; pages ou chemins techniques ; journaux ; événements applicatifs ; informations de détection d’incidents et opérations d’administration.
3.5 Preuve contractuelle
BVEL conserve notamment la version des CGV applicable et acceptée, la version de la politique de confidentialité présentée et, lorsque le parcours le prévoit, sa prise en compte, ainsi que date, heure, IP, user-agent et rattachement à la commande. La conservation de cette version ne signifie pas que tous les traitements reposent sur le consentement.
3.6 Fréquentation interne
BVEL réalise un comptage interne minimal. Lors de la première visite publique d’une journée, la session Django peut permettre d’enregistrer session_key, date, premier chemin, dernier chemin et user-agent. L’unicité « session_key + date » permet de compter une session une fois par jour.
Ce dispositif n’utilise pas l’IP comme identifiant de visiteur, ne fait pas de fingerprinting, n’est pas publicitaire et ne suit pas l’utilisateur sur des sites tiers. Un mécanisme analogue peut mesurer les visites de campagnes internes.
3.7 Suivi publicitaire Meta facultatif
Pour les spectacles dont le suivi Meta est activé et après acceptation de ce suivi, BVEL traite des événements de consultation, de début de commande et d’achat, des identifiants techniques et des informations de navigation. Les modes disponibles sont Pixel uniquement, Conversions API (« CAPI ») uniquement, ou Pixel et CAPI associés. La présence de ces fonctions dans BVEL ne signifie pas qu’elles sont toutes actives : CAPI n’est pas activée à la date de cette version. Les mentions CAPI ci-dessous décrivent le traitement lorsqu’il sera activé pour le spectacle concerné.
Les données comprennent, selon le canal et l’événement : nom, date et heure de l’événement, identifiant stable event_id, identifiant du spectacle, identifiant du jeu de données Meta (« Dataset »), valeur rattachée au spectacle et devise, identifiant de clic fbclid, identifiants fbc/fbp, adresse IP, User-Agent et URL décrites à l’article 3.9. Le journal BVEL conserve également les états Pixel/CAPI, les tentatives et les erreurs techniques de transmission.
Le Pixel reçoit de BVEL le Dataset, le nom de l’événement, event_id et l’identifiant technique du spectacle ; ViewContent comporte aussi le nom du spectacle ; InitiateCheckout et Purchase comportent la valeur et la devise. BVEL n’ajoute aucun nom de client, e-mail ou téléphone, en clair ou haché, à cette charge Pixel. Le script Meta s’exécutant dans le navigateur peut utiliser les informations techniques et traceurs qui y sont disponibles, dont l’URL de la page ; la connexion permet également à Meta de recevoir des informations réseau telles que l’IP.
CAPI peut recevoir le nom, la date et l’heure de l’événement, event_id, l’origine « website », l’URL source, l’IP et le User-Agent constatés par BVEL, fbc/fbp disponibles, l’identifiant du spectacle et le type de contenu. InitiateCheckout et Purchase ajoutent la valeur, la devise et les empreintes des coordonnées décrites à l’article 3.8. Le prénom et le nom du client ne sont pas transmis. L’IP, le User-Agent, fbc et fbp ne sont pas hachés.
3.8 Coordonnées et rapprochement CAPI
BVEL conserve l’e-mail et le téléphone en clair pour gérer la commande, transmettre les billets et contacter le client au sujet de celle-ci. Bromélia Production ne les utilise actuellement pas pour envoyer des communications commerciales.
Lorsque le consentement Meta a été accepté et que CAPI est activée, BVEL peut transmettre à Meta une empreinte SHA-256 de l’e-mail et du téléphone pour rapprocher l’événement d’un utilisateur Meta. L’e-mail est débarrassé de ses espaces périphériques et converti en minuscules ; le téléphone est réduit à ses chiffres, avec conversion du zéro initial en préfixe 33 pour un numéro français à dix chiffres, avant hachage.
Seuls les événements CAPI InitiateCheckout et Purchase liés à une commande comportent ces empreintes ; ViewContent n’en comporte pas. BVEL ne place jamais l’e-mail ou le téléphone en clair dans ses charges Pixel ou CAPI. Le hachage ne rend pas ces données anonymes : elles demeurent des données personnelles permettant un rapprochement.
3.9 Identifiants et URL du suivi Meta
fbclid est l’identifiant d’un clic reçu dans l’URL. Il peut être conservé temporairement en session avant le choix, puis dans le contexte d’acquisition après consentement. Il n’est pas transmis dans un champ CAPI autonome, mais peut être intégré à fbc et rester présent dans certaines URL.
_fbc représente un clic Meta applicable ; il n’est pas fabriqué en l’absence de clic ou de contexte applicable. _fbp identifie de manière pseudonyme une instance de navigateur, indépendamment du clic. event_id identifie l’événement logique et sert notamment à éviter son double comptage entre Pixel et CAPI ; ce n’est pas un identifiant de clic ou de navigateur.
BVEL distingue quatre URL :
- URL de clic / point d’entrée Meta : adresse effectivement appelée avant une éventuelle redirection du lien court BVEL ;
- page d’atterrissage BVEL : première page du spectacle après cette redirection éventuelle, pouvant contenir _bvel_campaign et fbclid ;
- URL source CAPI (event_source_url) : copie de la page serveur ayant constaté l’événement ; pour Purchase, il s’agit actuellement de l’URL du checkout BVEL mémorisée lors de la création de la commande. Les paramètres internes _bvel_* sont retirés de cette copie ;
- page de déclenchement Pixel : première page réelle où BVEL présente l’événement au navigateur, par exemple la fiche spectacle, le checkout ou la page de succès du paiement.
Ces URL peuvent différer. BVEL ne réécrit pas l’URL affichée dans le navigateur pour Meta : l’URL naturellement transmise par le Pixel peut contenir fbclid et des paramètres internes. Les URL de clic et d’atterrissage conservées par BVEL ne sont pas automatiquement l’URL source CAPI. Une URL absente d’un ancien enregistrement n’est pas reconstituée artificiellement.
3.10 Choix relatif au suivi Meta
BVEL conserve un identifiant visiteur, la décision d’acceptation ou de refus, sa date d’expiration, l’adresse IP et le User-Agent afin de mémoriser et tracer le choix. Le cookie bvel_meta_consent contient un identifiant signé, sans coordonnées du client ; il n’est pas lisible par les scripts du navigateur. Les durées et modalités de modification sont précisées aux articles 9 et 10.
4. Finalités et bases juridiques
4.1 Panier et préparation
Finalités : panier, tarifs et préparation de commande. Base : mesures précontractuelles et mécanismes nécessaires au service.
4.2 Commandes et billets
Finalités : commande, paiement, émission/transmission des billets, accès, SAV, annulations, reports et remboursements. Base : exécution du contrat.
4.3 Paiement
Finalités : règlement Stripe Checkout, vérification, rapprochement et remboursement. Bases : contrat et, selon les opérations, obligations légales.
4.4 Fraude, sécurité des paiements et contestations
Finalités : prévenir/détecter la fraude, sécuriser les transactions, vérifier le paiement, traiter les contestations, constituer des preuves et défendre les droits de Bromélia Production. Base : intérêt légitime à sécuriser l’activité, prévenir fraude et impayés et défendre ses droits.
BVEL ne met pas en œuvre pour ces finalités une décision produisant des effets juridiques fondée exclusivement sur un traitement automatisé au sens de l’article 22 du RGPD. Les mécanismes propres à Stripe relèvent également de Stripe.
4.5 Facturation et obligations légales
Finalités : justificatifs, comptabilité, fiscalité et demandes légalement fondées des autorités. Base : obligation légale.
4.6 Communications transactionnelles
Finalités : billets, justificatifs, confirmations, informations de commande/représentation, report, annulation, remboursement et informations pratiques. Base : contrat et, selon le message, intérêt légitime au suivi du service. Ce n’est pas de la prospection.
4.7 Sécurité, journalisation et administration
Finalités : sécurité, diagnostic, incidents, traçabilité, administration, remboursements, réconciliations, contestations et opérations d’administration. Base : intérêt légitime à assurer sécurité, intégrité, disponibilité et traçabilité et à défendre les droits de Bromélia Production.
4.8 Mesure interne de fréquentation
Finalités : fréquentation, sessions distinctes par jour, pages/campagnes internes, pilotage et amélioration. Base : intérêt légitime à mesurer et piloter le service. Ce dispositif reste distinct du suivi Meta. L’attribution interne des campagnes BVEL (CampaignLink) continue quel que soit le choix Meta. Les règles relatives aux traceurs de mesure d’audience sont précisées à l’article 10.2.
4.9 Prospection future
BVEL n’utilise pas Brevo pour la prospection et ne collecte actuellement aucun consentement marketing. Si cette fonction est activée, les consentements email et SMS seront distincts, libres, spécifiques, éclairés, univoques, positifs et séparés des CGV. Leur refus n’empêchera ni la commande ni les communications transactionnelles. Base : consentement lorsque requis, retirable à tout moment.
4.10 Mesure publicitaire, attribution et rapprochement Meta
Finalités : mesurer les consultations et conversions, apprécier les résultats des campagnes des spectacles concernés et rapprocher les événements des utilisateurs Meta. Base : consentement préalable, distinct de la commande, des CGV et d’un éventuel consentement à la prospection par e-mail ou SMS. Le passage par le serveur avec CAPI ne dispense pas de ce consentement.
ViewContent correspond à une consultation éligible de la fiche spectacle constatée par le serveur. Dans une même session, des rafraîchissements en continuité de trente minutes réutilisent le même événement logique. InitiateCheckout intervient après validation des coordonnées et des documents légaux, contrôle du stock et création effective de la commande en attente de paiement ; la simple consultation du panier ou l’ajout au panier ne le déclenche pas. Purchase n’est créé qu’après confirmation réelle du paiement par Stripe.
Selon la configuration du spectacle, le suivi vise les visiteurs provenant explicitement de Meta ou l’ensemble des visiteurs consentants. BVEL distingue l’acquisition liée au dernier clic Meta explicite de la mesure générale consentie ; cette dernière n’est pas présentée comme une vente acquise par Meta. Une acquisition concernant un spectacle A n’est pas transformée en acquisition B par une navigation interne ; seul un nouveau clic explicite peut remplacer l’acquisition active. Pour une commande comportant plusieurs spectacles, chaque Dataset reçoit uniquement la valeur de ses propres lignes.
En mode Pixel uniquement, les événements sont présentés au navigateur, qui les transmet à Meta ; Purchase peut ne pas être reçu si le client ne revient pas après Stripe. En mode CAPI uniquement, le serveur transmet les événements sans charger le script Pixel. En mode combiné, le même nom d’événement et le même event_id sont fournis aux deux canaux pour permettre leur déduplication par Meta. La présentation d’un événement au navigateur ne prouve pas sa réception par Meta.
5. Caractère obligatoire ou facultatif
Les informations signalées comme nécessaires lors de la commande sont indispensables à sa conclusion ou son exécution. Leur absence peut empêcher la commande ou la fourniture du service. La prospection et le suivi Meta sont facultatifs. Refuser ou retirer son consentement Meta ne bloque ni le panier, ni le paiement, ni les billets, ni les e-mails transactionnels.
6. Destinataires
Au sein de Bromélia Production, les données ne sont accessibles qu’aux personnes habilitées qui en ont besoin pour leurs missions. L’accès aux données de paiement, remboursement ou contestation est limité aux personnes devant réaliser une opération déterminée.
Bromélia Production ne vend pas les données de ses clients. Avec le consentement Meta, les données décrites dans cette politique sont toutefois transmises à Meta pour le suivi publicitaire, l’attribution et le rapprochement ; ce partage est distinct de l’envoi de fichiers de contacts pour une prospection par e-mail ou SMS. Elles peuvent être traitées par les prestataires nécessaires au fonctionnement de BVEL dans la limite de leurs missions, et communiquées aux autorités légalement habilitées lorsqu’une obligation, décision judiciaire ou demande juridiquement contraignante l’impose.
7. Prestataires
7.1 Scalingo
Scalingo héberge l’application Django BVEL et fournit PostgreSQL et Redis managés. BVEL utilise la région osc-fr1. Selon le DPA de Scalingo vérifié lors de la rédaction, les données de cette région sont stockées en France dans des centres exploités par 3DS OUTSCALE, notamment à Paris-Pantin et Magny-les-Hameaux. PostgreSQL et Redis sont des technologies, non des sous-traitants distincts.
7.2 OVHcloud
Les médias téléversés dans BVEL, notamment affiches et photographies, sont stockés sur OVHcloud Object Storage, région Paris EU-WEST-PAR, déploiement 3-AZ.
7.3 Stripe
Stripe fournit Stripe Checkout. L’utilisateur est redirigé vers une page hébergée par Stripe. Stripe traite les données nécessaires à la transaction et à sa sécurité. Bromélia Production reçoit les informations nécessaires au suivi, aux remboursements, à la prévention de la fraude et aux contestations. BVEL ne conserve pas le numéro complet de carte ni le cryptogramme.
Selon la nature des opérations, Stripe peut agir comme sous-traitant et/ou assumer des responsabilités propres pour certains traitements. Ses traitements directs sont également régis par sa documentation de confidentialité.
7.4 Brevo
Brevo est utilisé exclusivement pour les emails transactionnels : billets, justificatifs, confirmations et communications nécessaires concernant une commande ou une représentation. Il n’est utilisé pour des newsletters ou campagnes de prospection que lorsque la personne a fourni le consentement requis pour le canal concerné.
7.5 Meta et gestion des campagnes
Meta Platforms Ireland Limited est destinataire des données du suivi publicitaire lorsque celui-ci est accepté et activé pour le spectacle concerné. Meta peut rapprocher les événements des informations dont il dispose sur ses utilisateurs et les traiter selon ses conditions et sa politique de confidentialité.
Bromélia Production est responsable de la configuration du suivi sur BVEL, de l’information des visiteurs et du recueil de leur choix. Pour les opérations de collecte et de transmission relevant d’une responsabilité conjointe avec Meta, la répartition des obligations est encadrée par l’annexe Meta relative aux responsables du traitement. Les traitements ultérieurs réalisés par Meta pour ses propres finalités relèvent de sa responsabilité. Les demandes relatives aux traitements BVEL peuvent être adressées au contact indiqué à l’article 13.
Les prestataires de communication éventuellement chargés des campagnes peuvent accéder aux informations nécessaires à leur mission, dans les limites de leurs habilitations et de leur cadre contractuel.
Politique de confidentialité Meta : https://www.facebook.com/privacy/policy/ .
Conditions des outils professionnels : https://www.facebook.com/legal/terms/businesstools .
Annexe relative aux responsables du traitement : https://www.facebook.com/legal/controller_addendum .
8. Localisation et transferts hors EEE
L’application, PostgreSQL, Redis et l’infrastructure principale BVEL sont configurés chez Scalingo en région osc-fr1, en France. Les médias sont configurés chez OVHcloud en région Paris EU-WEST-PAR.
Le recours à des prestataires et destinataires internationaux, notamment Stripe et Meta, peut entraîner des traitements hors de l’Espace économique européen, en particulier aux États-Unis.
Ces transferts sont soumis aux garanties prévues par le RGPD : décision d’adéquation pour les transferts entrant dans son champ ou garanties appropriées, notamment les clauses contractuelles types de la Commission européenne et, lorsque nécessaire, des mesures complémentaires. Le cadre UE–États-Unis de protection des données s’applique aux organismes certifiés et aux traitements couverts par leur certification. Le consentement au suivi Meta ne constitue pas à lui seul une garantie de transfert.
Les informations sur les lieux de traitement et les garanties applicables, ainsi que les moyens d’en obtenir copie, peuvent être demandées à contact@bromelia-production.com. Les traitements directs de Stripe et de Meta sont également décrits dans leurs politiques de confidentialité.
9. Durées de conservation
Bromélia Production applique le principe de limitation : les données sont conservées pendant la durée nécessaire à leur finalité, puis supprimées ou placées, lorsque justifié, en archivage intermédiaire à accès restreint.
9.1 Comptabilité et justificatifs
Les documents comptables et pièces justificatives soumis à l’article L.123-22 du Code de commerce sont conservés dix ans. Les informations non nécessaires à cette obligation ne sont pas automatiquement conservées dix ans du seul fait de leur association à une commande.
9.2 Exécution de la commande
Les données sont conservées en base active pendant la durée nécessaire à la commande, au spectacle, au SAV, aux remboursements, reports ou contestations. Ensuite, seules les données nécessaires à une obligation légale, à la preuve ou à la défense de droits sont archivées pour la durée correspondante.
9.3 Preuve et défense des droits
Les éléments nécessaires à la preuve d’une commande, de l’acceptation des CGV, des informations présentées, des paiements, remboursements et contestations peuvent être conservés pendant la durée nécessaire à la constatation, l’exercice ou la défense de droits en justice, compte tenu des délais de prescription applicables, avec archivage intermédiaire lorsqu’ils ne sont plus nécessaires à l’activité courante.
9.4 Paiements et contestations
Les informations reçues de Stripe sont conservées pendant la durée nécessaire à la transaction puis, pour les seules informations pertinentes, pendant la durée nécessaire à la prévention ou au traitement des contestations, à la preuve, à la comptabilité ou à la défense des droits. BVEL ne conserve ni numéro complet de carte ni cryptogramme.
9.5 Logs et sécurité
Les journaux techniques et de sécurité sont conservés pour une durée proportionnée. Pour une journalisation standard sous le contrôle de Bromélia Production, l’objectif est une période glissante comprise entre six mois et un an, conformément à la recommandation de la CNIL, sauf nécessité documentée justifiant une durée différente.
Les journaux d’infrastructure Scalingo suivent la durée de disponibilité du service d’hébergement souscrit, distincte des durées des traces métier conservées par BVEL. Des précisions peuvent être demandées au contact indiqué à l’article 13.
Les traces métier/applicatives en base (événements Stripe, réconciliations, remboursements, contestations, administration) suivent la durée de leur finalité et non automatiquement celle des logs d’infrastructure.
9.6 Mesure interne de fréquentation
Les données de mesure interne sont limitées au strict nécessaire. Afin de rester dans le cadre d’une mesure d’audience susceptible d’être exemptée de consentement, Bromélia Production fixe une durée maximale de conservation des informations collectées à vingt-cinq mois et réexamine périodiquement cette durée.
Le cookie ou identifiant de session utilisé pour le fonctionnement du service est géré selon les besoins techniques de la session et n’est pas utilisé comme identifiant publicitaire.
9.7 Prospection future
Lorsque la fonctionnalité sera activée, les données clients utilisées à des fins de prospection pourront être conservées pendant la relation commerciale puis jusqu’à trois ans à compter de sa fin ou du dernier contact pertinent. Les données d’un prospect non client pourront être conservées jusqu’à trois ans après leur collecte ou le dernier contact émanant du prospect. Les informations nécessaires à une liste d’opposition pourront être conservées au minimum trois ans.
9.8 Exercice des droits
Les données nécessaires au traitement d’une demande d’exercice de droits sont conservées pendant la durée nécessaire à son traitement et, lorsque justifié, à la preuve de sa bonne prise en charge selon les délais applicables.
9.9 Durées propres au suivi Meta
Avant le choix : le contexte nécessaire à la présentation du choix après une navigation interne peut rester en session pendant une heure au maximum, sans déclencher Pixel ni CAPI.
Choix Meta : le cookie bvel_meta_consent et la validité du choix sont de 183 jours. L’expiration du choix ne supprime pas automatiquement les éléments de preuve enregistrés en base.
Cookies _fbp et _fbc : durée maximale de 90 jours pour les cookies créés par BVEL avec le Parameter Builder actuellement utilisé. Leur valeur peut être renouvelée ou mise à jour, notamment lors d’un nouveau clic explicite. Ils sont expirés par BVEL en cas de refus ou de retrait.
Contexte d’acquisition : validité de 90 jours, avec désactivation lors du retrait. L’expiration met fin à l’utilisation du contexte pour l’acquisition ; elle ne supprime pas automatiquement son historique ni les copies conservées dans les événements et données de commande.
Journaux Meta : les événements et leurs états sont conservés en base pour éviter les doublons, permettre les reprises et assurer l’audit. Ces journaux ne font actuellement pas l’objet d’une suppression automatique. Les durées de 90 jours des cookies et de 183 jours du choix ne constituent donc pas leur durée de conservation. Les demandes d’accès ou d’effacement sont exercées selon les articles 12 et 13.
Les durées appliquées par Meta aux données déjà reçues relèvent de ses traitements et de sa politique de confidentialité. Elles ne se confondent pas avec les durées des cookies ou journaux BVEL.
10. Cookies et autres traceurs
10.1 Traceurs strictement nécessaires
BVEL utilise des mécanismes techniques nécessaires au fonctionnement du service, notamment pour la session, le panier, la sécurité et la continuité de navigation. Ils n’ont pas de finalité publicitaire. Lorsque les conditions de l’article 82 de la loi Informatique et Libertés sont remplies, leur dépôt ou lecture ne requiert pas de consentement préalable.
10.2 Mesure d’audience et attribution internes
BVEL utilise sa session Django pour le comptage interne décrit ci-dessus. Ce dispositif est distinct du suivi Meta et ne transmet pas de données publicitaires à Meta en l’absence de consentement.
L’exemption de consentement pour les traceurs de mesure d’audience est limitée aux dispositifs répondant aux conditions applicables : finalité strictement limitée à l’audience pour le compte exclusif de l’éditeur, statistiques anonymes, absence de recoupement avec d’autres traitements et de suivi inter-sites. Elle ne s’étend pas automatiquement à l’attribution commerciale des campagnes aux commandes. Le consentement requis pour un traitement publicitaire reste distinct du fonctionnement de la billetterie.
10.3 Activation du suivi Meta
Aucun script Meta n’est chargé pour un spectacle sans configuration active. En mode « Visiteurs provenant de Meta uniquement », la demande de consentement apparaît après une arrivée explicite comportant un fbclid identifiable pour ce spectacle. En mode « Tous les visiteurs du spectacle », elle peut apparaître pour toute visite du spectacle.
Sans consentement Meta accepté, BVEL ne crée pas d’événement publicitaire Meta, ne charge pas le Pixel et n’envoie pas d’événement à CAPI. La poursuite de navigation ou l’acceptation des CGV ne vaut pas acceptation du suivi. Le contexte temporaire d’une heure décrit à l’article 9.9 ne déclenche aucun de ces envois.
10.4 Cookies utilisés pour Meta
bvel_meta_consent : cookie fonctionnel de mémorisation du choix pendant 183 jours, contenant un identifiant visiteur signé, sans coordonnées, et protégé contre la lecture par les scripts (HttpOnly). Sa finalité est de respecter le choix, non de mesurer la publicité.
_fbp : identifiant pseudonyme de navigateur utilisé pour la mesure et le rapprochement Meta, créé ou reconnu après consentement seulement ; durée maximale de 90 jours pour le cookie créé par BVEL.
_fbc : identifiant rattaché à un clic Meta applicable, créé ou stabilisé après consentement seulement lorsqu’un tel clic ou contexte existe ; même durée maximale de 90 jours.
BVEL utilise le Parameter Builder officiel Meta pour préparer ces deux cookies first-party avant l’utilisation par Pixel ou CAPI. Il n’invente pas un _fbp absent ni un _fbc sans clic applicable. Ces cookies sont accessibles au Pixel et sécurisés pour HTTPS en production. Leur caractère first-party ne les dispense pas de consentement.
10.5 Refus et retrait
Le lien permanent « Gérer mes cookies » permet de modifier le choix et de refuser le suivi après l’avoir accepté. Le refus ou retrait empêche les nouvelles créations et présentations d’événements Meta. BVEL expire _fbp et _fbc, désactive le contexte d’acquisition actif, supprime les points de suivi actifs et annule les événements CAPI non encore envoyés.
Un événement déjà reçu par Meta ne peut pas être rappelé par ce mécanisme, et un envoi déjà en cours au moment précis du retrait peut avoir été reçu avant son interruption. Le retrait n’efface pas automatiquement les journaux d’audit ni les données déjà reçues par Meta ; les droits d’effacement et autres droits restent exerçables selon les articles 12 et 13. Il ne remet pas en cause la licéité des traitements antérieurs.
Le panier, le paiement, les billets et les e-mails transactionnels restent disponibles. Le choix Meta ne désactive pas l’attribution interne BVEL décrite à l’article 10.2.
10.6 Autres outils
BVEL n’utilise pas Google Analytics ni TikTok Pixel. L’ajout d’un autre outil modifiant les finalités, les données collectées ou leurs destinataires donne lieu à une actualisation de l’information et au recueil du consentement lorsque celui-ci est requis.
11. Sécurité
Bromélia Production met en œuvre des mesures techniques et organisationnelles adaptées aux risques afin de protéger les données contre destruction, perte, altération, divulgation ou accès non autorisé.
Ces mesures comprennent notamment la limitation des habilitations, l’utilisation de prestataires d’hébergement et de paiement spécialisés, la journalisation de certaines opérations sensibles, la séparation des rôles lorsque pertinente, l’utilisation de connexions sécurisées et la non-conservation par BVEL du numéro complet de carte et du cryptogramme.
Aucun système ne pouvant être présenté comme absolument invulnérable, Bromélia Production réévalue les mesures de sécurité en fonction des risques et de l’évolution du service.
En cas de violation de données à caractère personnel, Bromélia Production applique les obligations prévues aux articles 33 et 34 du RGPD, notamment en matière de documentation, de notification à la CNIL et, lorsque les conditions sont réunies, d’information des personnes concernées.
Pour Meta, le token CAPI est chiffré avec une clé distincte de la clé secrète de l’application ; il n’est pas transmis au navigateur ni conservé dans les erreurs. L’accès aux journaux contenant des identifiants et données de navigation doit rester limité aux personnes habilitées.
Le suivi Meta est conçu pour ne pas bloquer la vente (« fail-open »). La commande et la session Stripe sont créées avant la présentation Pixel ; la page intermédiaire prévoit une redirection automatique, un repli du navigateur et un lien manuel. En cas d’erreur de préparation ou de rendu Meta, BVEL poursuit le parcours métier sans ce suivi.
La confirmation critique du paiement finalise la commande et émet les billets sans contacter Meta ni dépendre du service de traitement différé. Lorsque CAPI est activée, un traitement séparé crée les événements Purchase manquants et tente leur transmission, avec un délai réseau maximal de dix secondes par appel. Une erreur Meta ou une indisponibilité du traitement différé peut retarder ou faire échouer le suivi sans modifier le paiement ni les billets.
12. Droits des personnes
Selon le traitement concerné et sa base juridique, toute personne peut disposer des droits suivants :
- droit d’accès à ses données ;
- droit de rectification ;
- droit à l’effacement dans les cas prévus par la réglementation ;
- droit à la limitation du traitement ;
- droit d’opposition lorsque le traitement repose sur l’intérêt légitime, sous réserve des motifs légitimes impérieux pouvant justifier sa poursuite;
- droit à la portabilité pour les traitements répondant aux conditions légales ;
- droit de retirer à tout moment un consentement, lorsque le traitement repose sur celui-ci, sans remettre en cause la licéité du traitement antérieur au retrait.
Certains droits ne s’appliquent pas à tous les traitements. Par exemple, l’effacement ne peut imposer à Bromélia Production de supprimer des données qu’elle doit conserver en vertu d’une obligation légale.
La personne peut également définir des directives relatives au sort de ses données après son décès dans les conditions prévues par la législation française.
13. Exercice des droits
Les demandes peuvent être adressées à : contact@bromelia-production.com ou par courrier à Bromélia Production SARL, 1 place de l’Église, 94370 Sucy-en-Brie, France.
La demande doit permettre d’identifier suffisamment la personne et les données concernées. Bromélia Production peut demander des informations supplémentaires ou un justificatif d’identité lorsque cela est nécessaire et proportionné pour éviter une divulgation à une personne non autorisée.
Bromélia Production répond dans les délais prévus par le RGPD, sous réserve des prolongations légalement possibles pour les demandes complexes ou nombreuses.
14. Réclamation auprès de la CNIL
Toute personne estimant que ses droits ne sont pas respectés peut introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), autorité française de contrôle compétente.
CNIL — 3 Place de Fontenoy — TSA 80715 — 75334 Paris Cedex 07 — France.
Les modalités actualisées de saisine sont disponibles sur le site officiel de la CNIL.
15. Mineurs
BVEL n’est pas spécifiquement destiné aux mineurs et ne demande pas de date de naissance dans le parcours standard de commande. Bromélia Production ne prétend donc pas vérifier systématiquement l’âge de l’acheteur par ce moyen.
Les traitements concernant des mineurs sont soumis aux règles particulières applicables à leur protection et, lorsque requis, à l’intervention du titulaire de l’autorité parentale. Le suivi publicitaire reste facultatif et peut être refusé sans empêcher l’achat de billets.
16. Comptes clients futurs
BVEL peut proposer une fonctionnalité de compte client. Lorsqu’un compte est créé, les données nécessaires à la création, l’authentification, la gestion et la sécurisation du compte pourront être traitées sur la base de l’exécution du service demandé et de l’intérêt légitime à en assurer la sécurité.
La politique sera mise à jour si l’activation de cette fonctionnalité modifie substantiellement les catégories de données, finalités, durées ou destinataires.
17. Évolution de la politique
Bromélia Production peut modifier la présente politique afin de tenir compte d’une évolution du service, de ses prestataires, de ses traitements ou de la réglementation. BVEL assure la gestion et la traçabilité des politiques publiées et conserve, lorsqu’elle est associée à une commande, l’identification de la politique présentée lors du passage en paiement ainsi que les éléments de traçabilité prévus par le service.
Une modification de la politique ne transforme pas rétroactivement la base juridique d’un traitement déjà réalisé.
FIN DE LA POLITIQUE DE CONFIDENTIALITÉ ET DE PROTECTION DES DONNÉES PERSONNELLES — BROMÉLIA VENTE EN LIGNE