POLITIQUE DE CONFIDENTIALITÉ ET DE PROTECTION DES DONNÉES PERSONNELLES —
BROMÉLIA VENTE EN LIGNE
1. Objet
La présente politique décrit la manière dont Bromélia Production SARL (« Bromélia Production ») collecte, utilise, conserve et protège les données à caractère personnel traitées dans le cadre du service « Bromélia Vente en ligne » (« BVEL »). Elle s’applique notamment aux visiteurs, acheteurs et bénéficiaires de billets lorsque des données les concernant sont traitées.
Elle est établie conformément au règlement (UE) 2016/679 (« RGPD »), à la loi n° 78-17 du 6 janvier 1978 modifiée et aux dispositions françaises applicables.
La présente politique est un document d’information. Son acceptation ne constitue pas, à elle seule, le consentement à l’ensemble des traitements décrits. Chaque traitement repose sur sa propre base juridique. Lorsqu’un consentement est requis, notamment pour la prospection, il est recueilli séparément.
2. Responsable du traitement
Bromélia Production SARL — SARL au capital de 1 000 euros 1, place de l’Église — 94370 Sucy-en-Brie — France SIREN : 939 756 540 — SIRET : 939 756 540 00018 RCS : Créteil 939 756 540 — TVA : FR 37 939756540 Contact
général et RGPD : contact@bromelia-production.com
Bromélia Production n’a pas désigné de délégué à la protection des données (DPO).
3. Données collectées
3.1 Identification et contact
Nom, prénom, adresse électronique et numéro de téléphone.
3.2 Panier, commandes et billets
Contenu du panier ; spectacle et représentation ; catégorie ou tarif ; quantités ; montant ; droits de location ; référence, dates et statut de commande ; billets émis ; identifiant et code-barres unique ; informations relatives aux tarifs particuliers, remboursements, annulations et reports ; historique nécessaire au suivi.
Un justificatif peut être demandé à l’entrée pour un tarif soumis à condition. Sauf nécessité particulière, BVEL n’a pas vocation à en conserver une copie.
3.3 Paiement
Le paiement est réalisé sur une page Stripe Checkout hébergée par Stripe. BVEL ne collecte ni ne conserve le numéro complet de carte ni le cryptogramme.
BVEL reçoit et peut conserver : statut du paiement ; type de moyen de paiement ; marque et réseau de carte ; quatre derniers chiffres ; pays ; wallet éventuel ; résultat et flux 3D Secure ; ECI lorsqu’il est disponible ; identifiants techniques Stripe liés notamment à Checkout, Payment Intent, charge, remboursement ou contestation ; informations nécessaires aux remboursements et contestations.
3.4 Données techniques
Adresse IP lorsqu’enregistrée par les systèmes concernés ; user-agent ; identifiant de session Django (« session_key ») ; dates et heures ; pages ou chemins techniques ; journaux ; événements applicatifs ; informations de détection d’incidents et opérations d’administration.
3.5 Preuve contractuelle
BVEL conserve notamment la version des CGV applicable et acceptée, la version de la politique de confidentialité présentée et, lorsque le parcours le prévoit, sa prise en compte, ainsi que date, heure, IP, user-agent et rattachement à la commande. La conservation de cette version ne signifie pas que tous les traitements reposent sur le consentement.
3.6 Fréquentation interne
BVEL réalise un comptage interne minimal. Lors de la première visite publique d’une journée, la session Django peut permettre d’enregistrer session_key, date, premier chemin, dernier chemin et user-agent. L’unicité « session_key + date » permet de compter une session une fois par jour.
Ce dispositif n’utilise pas l’IP comme identifiant de visiteur, ne fait pas de fingerprinting, n’est pas publicitaire et ne suit pas l’utilisateur sur des sites tiers. Un mécanisme analogue peut mesurer les visites de campagnes internes.
4. Finalités et bases juridiques
4.1 Panier et préparation
Finalités : panier, tarifs et préparation de commande. Base : mesures précontractuelles et mécanismes nécessaires au service.
4.2 Commandes et billets
Finalités : commande, paiement, émission/transmission des billets, accès, SAV, annulations, reports et remboursements. Base : exécution du contrat.
4.3 Paiement
Finalités : règlement Stripe Checkout, vérification, rapprochement et remboursement. Bases : contrat et, selon les opérations, obligations légales.
4.4 Fraude, sécurité des paiements et contestations
Finalités : prévenir/détecter la fraude, sécuriser les transactions, vérifier le paiement, traiter les contestations, constituer des preuves et défendre les droits de Bromélia Production. Base : intérêt légitime à sécuriser l’activité, prévenir fraude et impayés et défendre ses droits.
BVEL ne met pas en œuvre pour ces finalités une décision produisant des effets juridiques fondée exclusivement sur un traitement automatisé au sens de l’article 22 du RGPD. Les mécanismes propres à Stripe relèvent également de Stripe.
4.5 Facturation et obligations légales
Finalités : justificatifs, comptabilité, fiscalité et demandes légalement fondées des autorités. Base : obligation légale.
4.6 Communications transactionnelles
Finalités : billets, justificatifs, confirmations, informations de commande/représentation, report, annulation, remboursement et informations pratiques. Base : contrat et, selon le message, intérêt légitime au suivi du service. Ce n’est pas de la prospection.
4.7 Sécurité, journalisation et administration
Finalités : sécurité, diagnostic, incidents, traçabilité, administration, remboursements, réconciliations, contestations et opérations d’administration. Base : intérêt légitime à assurer sécurité, intégrité, disponibilité et traçabilité et à défendre les droits de Bromélia Production.
4.8 Mesure interne de fréquentation
Finalités : fréquentation, sessions distinctes par jour, pages/campagnes internes, pilotage et amélioration. Base : intérêt légitime à mesurer et piloter le service. Le dispositif est interne, sans régie publicitaire, recoupement inter-sites ni transmission publicitaire.
4.9 Prospection future
Le MVP n’utilise pas Brevo pour la prospection et ne collecte actuellement aucun consentement marketing. Si cette fonction est activée, les consentements email et SMS seront distincts, libres, spécifiques, éclairés, univoques, positifs et séparés des CGV. Leur refus n’empêchera ni la commande ni les communications transactionnelles. Base : consentement lorsque requis, retirable à tout moment.
5. Caractère obligatoire ou facultatif
Les informations signalées comme nécessaires lors de la commande sont indispensables à sa conclusion ou son exécution. Leur absence peut empêcher la commande ou la fourniture du service. Les données de prospection sont facultatives.
6. Destinataires
Au sein de Bromélia Production, les données ne sont accessibles qu’aux personnes habilitées qui en ont besoin pour leurs missions. L’accès aux données de paiement, remboursement ou contestation est limité aux personnes devant réaliser une opération déterminée.
Bromélia Production ne vend pas les données de ses clients et ne les transmet pas à des tiers à des fins de prospection pour leur propre compte. Elles peuvent être traitées par les prestataires nécessaires au fonctionnement de BVEL dans la limite de leurs missions, et communiquées aux autorités légalement habilitées lorsqu’une obligation, décision judiciaire ou demande juridiquement contraignante l’impose.
7. Prestataires
7.1 Scalingo
Scalingo héberge l’application Django BVEL et fournit PostgreSQL et Redis managés. BVEL utilise la région osc-fr1. Selon le DPA de Scalingo vérifié lors de la rédaction, les données de cette région sont stockées en France dans des centres exploités par 3DS OUTSCALE, notamment à Paris-Pantin et Magny-les-Hameaux. PostgreSQL et Redis sont des technologies, non des sous-traitants distincts.
7.2 OVHcloud
Les médias téléversés dans BVEL, notamment affiches et photographies, sont stockés sur OVHcloud Object Storage, région Paris EU-WEST-PAR, déploiement 3-AZ.
7.3 Stripe
Stripe fournit Stripe Checkout. L’utilisateur est redirigé vers une page hébergée par Stripe. Stripe traite les données nécessaires à la transaction et à sa sécurité. Bromélia Production reçoit les informations nécessaires au suivi, aux remboursements, à la prévention de la fraude et aux contestations. BVEL ne conserve pas le numéro complet de carte ni le cryptogramme.
Selon la nature des opérations, Stripe peut agir comme sous-traitant et/ou assumer des responsabilités propres pour certains traitements. Ses traitements directs sont également régis par sa documentation de confidentialité.
7.4 Brevo
Brevo est utilisé dans le MVP exclusivement pour les emails transactionnels : billets, justificatifs, confirmations et communications nécessaires concernant une commande ou une représentation. Il n’est utilisé pour des newsletters ou campagnes de prospection que lorsque la personne a fourni le consentement requis pour le canal concerné.
8. Localisation et transferts hors EEE
L’application, PostgreSQL, Redis et l’infrastructure principale BVEL sont configurés chez Scalingo en région osc-fr1, en France. Les médias sont configurés chez OVHcloud en région Paris EU-WEST-PAR.
Certains prestataires internationaux, en particulier Stripe, peuvent néanmoins conduire à des traitements ou transferts hors de l’EEE. À la date de rédaction, Stripe indique participer au cadre UE–États-Unis de protection des données (« EU-U.S. Data Privacy Framework ») et intégrer des mécanismes complémentaires, notamment les clauses contractuelles types de la Commission européenne lorsqu’applicables.
Bromélia Production s’appuie sur les garanties contractuelles et mécanismes de transfert proposés par ses prestataires et vérifie périodiquement les conditions applicables.
9. Durées de conservation
Bromélia Production applique le principe de limitation : les données sont conservées pendant la durée nécessaire à leur finalité, puis supprimées ou placées, lorsque justifié, en archivage intermédiaire à
accès restreint.
9.1 Comptabilité et justificatifs
Les documents comptables et pièces justificatives soumis à l’article L.123-22 du Code de commerce sont conservés dix ans. Les informations non nécessaires à cette obligation ne sont pas automatiquement
conservées dix ans du seul fait de leur association à une commande.
9.2 Exécution de la commande
Les données sont conservées en base active pendant la durée nécessaire à la commande, au spectacle, au SAV, aux remboursements, reports ou contestations. Ensuite, seules les données nécessaires à une obligation légale, à la preuve ou à la défense de droits sont archivées pour la durée correspondante.
9.3 Preuve et défense des droits
Les éléments nécessaires à la preuve d’une commande, de l’acceptation des CGV, des informations présentées, des paiements, remboursements et contestations peuvent être conservés pendant la durée nécessaire à la constatation, l’exercice ou la défense de droits en justice, compte tenu des délais de prescription applicables, avec archivage intermédiaire lorsqu’ils ne sont plus nécessaires à l’activité courante.
9.4 Paiements et contestations
Les informations reçues de Stripe sont conservées pendant la durée nécessaire à la transaction puis, pour les seules informations pertinentes, pendant la durée nécessaire à la prévention ou au traitement des contestations, à la preuve, à la comptabilité ou à la défense des droits. BVEL ne conserve ni numéro complet de carte ni cryptogramme.
9.5 Logs et sécurité
Les journaux techniques et de sécurité sont conservés pour une durée proportionnée. Pour une journalisation standard sous le contrôle de Bromélia Production, l’objectif est une période glissante comprise entre six mois et un an, conformément à la recommandation de la CNIL, sauf nécessité documentée justifiant une durée différente.
Les logs natifs Scalingo sont également soumis aux caractéristiques du service souscrit. Bromélia Production n’ayant pas configuré de durée spécifique, leur durée effective doit être vérifiée et documentée avant publication définitive.
Les traces métier/applicatives en base (événements Stripe, réconciliations, remboursements, contestations, administration) suivent la durée de leur finalité et non automatiquement celle des logs d’infrastructure.
9.6 Mesure interne de fréquentation
Les données de mesure interne sont limitées au strict nécessaire. Afin de rester dans le cadre d’une mesure d’audience susceptible d’être exemptée de consentement, Bromélia Production fixe une durée maximale de conservation des informations collectées à vingt-cinq mois et réexamine périodiquement cette durée.
Le cookie ou identifiant de session utilisé pour le fonctionnement du service est géré selon les besoins techniques de la session et n’est pas utilisé comme identifiant publicitaire.
9.7 Prospection future
Lorsque la fonctionnalité sera activée, les données clients utilisées à des fins de prospection pourront être conservées pendant la relation commerciale puis jusqu’à trois ans à compter de sa fin ou du dernier contact pertinent. Les données d’un prospect non client pourront être conservées jusqu’à trois ans après leur collecte ou le dernier contact émanant du prospect. Les informations nécessaires à une liste d’opposition pourront être conservées au minimum trois ans.
9.8 Exercice des droits
Les données nécessaires au traitement d’une demande d’exercice de droits sont conservées pendant la durée nécessaire à son traitement et, lorsque justifié, à la preuve de sa bonne prise en charge selon les délais
applicables.
10. Cookies et autres traceurs
10.1 Traceurs strictement nécessaires
BVEL utilise des mécanismes techniques nécessaires au fonctionnement du service, notamment pour la session, le panier, la sécurité et la continuité de navigation. Ils n’ont pas de finalité publicitaire. Lorsque les conditions de l’article 82 de la loi Informatique et Libertés sont remplies, leur dépôt ou lecture ne requiert pas de consentement préalable.
10.2 Mesure d’audience interne
BVEL utilise sa session Django pour le comptage interne décrit ci-dessus. Bromélia Production entend limiter ce traitement aux conditions permettant l’exemption de consentement : mesure pour son compte exclusif, finalité strictement limitée à l’audience et au pilotage, absence de suivi inter-sites, absence de recoupement à des fins commerciales/publicitaires et absence de transmission à des tiers à ces fins.
Si le dispositif évolue de manière à ne plus remplir les conditions d’exemption, Bromélia Production mettra en place le recueil du consentement préalable requis.
10.3 Absence de tracking publicitaire
BVEL n’intègre pas Google Analytics, Meta Pixel, TikTok Pixel ni autre régie publicitaire ou outil tiers de suivi d’audience. Tout ajout futur d’un outil non strictement nécessaire donnera lieu à une réévaluation des obligations de consentement et, si nécessaire, à une mise à jour de cette politique et du mécanisme de gestion des traceurs.
11. Sécurité
Bromélia Production met en œuvre des mesures techniques et organisationnelles adaptées aux risques afin de protéger les données contre destruction, perte, altération, divulgation ou accès non autorisé.
Ces mesures comprennent notamment la limitation des habilitations, l’utilisation de prestataires d’hébergement et de paiement spécialisés, la journalisation de certaines opérations sensibles, la séparation des
rôles lorsque pertinente, l’utilisation de connexions sécurisées et la non-conservation par BVEL du numéro complet de carte et du cryptogramme.
Aucun système ne pouvant être présenté comme absolument invulnérable, Bromélia Production réévalue les mesures de sécurité en fonction des risques et de l’évolution du service.
En cas de violation de données à caractère personnel, Bromélia Production applique les obligations prévues aux articles 33 et 34 du RGPD, notamment en matière de documentation, de notification à la CNIL et, lorsque les conditions sont réunies, d’information des personnes concernées.
12. Droits des personnes
Selon le traitement concerné et sa base juridique, toute personne peut disposer des droits suivants :
- droit d’accès à ses données ;
- droit de rectification ;
- droit à l’effacement dans les cas prévus par la réglementation ;
- droit à la limitation du traitement ;
- droit d’opposition lorsque le traitement repose sur l’intérêt légitime, sous réserve des motifs légitimes impérieux pouvant justifier sa poursuite;
- droit à la portabilité pour les traitements répondant aux conditions légales ;
- droit de retirer à tout moment un consentement, lorsque le traitement repose sur celui-ci, sans remettre en cause la licéité du traitement antérieur au retrait.
Certains droits ne s’appliquent pas à tous les traitements. Par exemple, l’effacement ne peut imposer à Bromélia Production de supprimer des données qu’elle doit conserver en vertu d’une obligation légale.
La personne peut également définir des directives relatives au sort de ses données après son décès dans les conditions prévues par la législation française.
13. Exercice des droits
Les demandes peuvent être adressées à : contact@bromelia-production.com ou par courrier à Bromélia Production SARL, 1 place de l’Église, 94370 Sucy-en-Brie, France.
La demande doit permettre d’identifier suffisamment la personne et les données concernées. Bromélia Production peut demander des informations supplémentaires ou un justificatif d’identité lorsque cela est nécessaire et proportionné pour éviter une divulgation à une personne non autorisée.
Bromélia Production répond dans les délais prévus par le RGPD, sous réserve des prolongations légalement possibles pour les demandes complexes ou nombreuses.
14. Réclamation auprès de la CNIL
Toute personne estimant, après avoir contacté Bromélia Production, que ses droits ne sont pas respectés peut introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL),
autorité française de contrôle compétente.
CNIL — 3 Place de Fontenoy — TSA 80715 — 75334 Paris Cedex 07 — France.
Les modalités actualisées de saisine sont disponibles sur le site officiel de la CNIL.
15. Mineurs
BVEL n’est pas spécifiquement destiné aux mineurs et ne demande pas de date de naissance dans le parcours standard de commande. Bromélia Production ne prétend donc pas vérifier systématiquement l’âge de
l’acheteur par ce moyen.
Lorsqu’un traitement futur reposerait sur le consentement d’un mineur et serait soumis à des règles particulières, Bromélia Production adapterait le parcours afin de respecter les dispositions applicables.
16. Comptes clients futurs
BVEL peut proposer une fonctionnalité de compte client. Lorsqu’un compte est créé, les données nécessaires à la création, l’authentification, la gestion et la sécurisation du compte pourront être traitées sur la base de l’exécution du service demandé et de l’intérêt légitime à en assurer la sécurité.
La politique sera mise à jour si l’activation de cette fonctionnalité modifie substantiellement les catégories de données, finalités, durées ou destinataires.
17. Évolution de la politique
Bromélia Production peut modifier la présente politique afin de tenir compte d’une évolution du service, de ses prestataires, de ses traitements ou de la réglementation. BVEL assure la gestion et la traçabilité des politiques publiées et conserve, lorsqu’elle est associée à une commande, l’identification de la politique présentée lors du passage en paiement ainsi que les éléments de traçabilité prévus par le service.
Une modification de la politique ne transforme pas rétroactivement la base juridique d’un traitement déjà réalisé.
18. Points à compléter avant publication définitive
- Vérification et documentation de la durée effective de conservation des logs natifs Scalingo et, si nécessaire, adaptation de la configuration ou de l’article 9.5.
- Vérification technique que la durée de conservation du dispositif PublicVisit/CampaignVisit respecte la durée annoncée et que son usage demeure compatible avec les conditions de l’exemption de consentement retenue.
- Lors de l’activation future du marketing : implémenter deux consentements distincts email/SMS, non précochés, conserver la preuve du consentement et offrir un mécanisme simple de retrait.
- Lors de l’ajout futur de tout outil de mesure d’audience, pixel ou régie publicitaire : réévaluer les cookies/traceurs avant déploiement.
19. Références juridiques et documentaires utilisées pour la rédaction
- Règlement (UE) 2016/679 (RGPD), notamment articles 5, 6, 12 à 22, 28, 32 à 34 et 44 et suivants.
- Loi n° 78-17 du 6 janvier 1978 modifiée, notamment article 82 pour les traceurs.
- Code de commerce, article L.123-22 : conservation pendant dix ans des documents comptables et pièces justificatives.
- CNIL : référentiel relatif à la gestion des activités commerciales ; recommandations relatives aux durées de conservation ; droits des personnes ; mesure d’audience et cookies/traceurs ; recommandations de journalisation.
- DPA et documentation de Scalingo relatifs à la région osc-fr1.
- Documentation OVHcloud relative à Object Storage et à la protection des données.
- DPA et Data Transfers Addendum de Stripe.
- DPA et documentation RGPD de Brevo.
Les documents et mécanismes de transfert des prestataires pouvant évoluer, ils doivent être réévalués périodiquement.
FIN DE LA POLITIQUE DE CONFIDENTIALITÉ ET DE PROTECTION DES DONNÉES
PERSONNELLES — BROMÉLIA VENTE EN LIGNE