1. Responsable du traitement
Le responsable du traitement des données personnelles est :
- FusionStack (Thomas Thierry POIRIER, entrepreneur individuel)
- SIRET : 79302688100045
- Adresse : 17 rue des Hablets, 77440 Dhuisy, France
- Email : contact@evenements-createurs.fr
En l'absence de DPO désigné (effectif < 250 personnes, pas de traitement systématique à grande échelle de données sensibles), le contact RGPD est directement le représentant légal.
2. Données collectées et finalités
| Catégorie | Données | Finalité | Base légale | Durée |
|---|---|---|---|---|
| Compte utilisateur | Email, mot de passe (haché Argon2), prénom, nom, nom d'affichage, origine de l'inscription | Authentification et identification sur la plateforme | Exécution du contrat | Tant que le compte est actif + 3 ans (prescription civile) |
| Profil exposant | Bio, photos d'atelier, liens réseaux sociaux, ville, code postal | Mise en avant publique sur la plateforme, mise en relation avec les organisateurs | Consentement explicite (publication choisie) | Tant que le profil est publié |
| Source de référencement | Nom de l'organisation, email professionnel, ville couverte | Validation administrative + référencement de leurs évènements | Exécution du contrat | Tant que le compte source est actif + 3 ans |
| Géolocalisation des évènements | Adresse, ville, code postal des évènements | Recherche par proximité, affichage sur carte | Exécution du contrat | Pendant la durée de publication |
| Géolocalisation du visiteur (optionnelle) | Coordonnées GPS (latitude / longitude) du terminal au moment de la recherche | Afficher les évènements dans un rayon autour du visiteur après son consentement explicite via la fenêtre native du navigateur | Consentement explicite (API Geolocation du navigateur) | Aucune conservation : les coordonnées ne servent qu'au calcul du rayon de la requête en cours et ne sont stockées ni en base ni dans les logs applicatifs |
| Paiements | Identifiants Stripe (customer_id, subscription_id), historique d'abonnement | Gestion des abonnements payants et des versements de la cagnotte de parrainage (Stripe Connect) | Obligation légale (comptable) | 10 ans (obligation comptable) |
| Logs et audit | Adresse IP, user-agent, journal des actions sensibles (connexion, ban, paiement) | Sécurité, prévention de la fraude, audit légal | Intérêt légitime + obligation légale | 1 an (logs techniques) / 5 ans (audit financier) |
| Pièces justificatives d'exposant | Numéro SIRET et, s'il est vérifié, dénomination et état de l'établissement au répertoire Sirene ; attestation d'assurance (fichier PDF ou image) | Permettre aux organisateurs Pro d'étudier les candidatures qui leur sont adressées | Exécution du contrat (pièces fournies par l'exposant pour ses candidatures) | Jusqu'à leur suppression par l'exposant, et au plus tard à la suppression du compte |
| Offre Pro organisateur | Achats (offre, date, montant, identifiants Stripe), demandes de remboursement, historique des messages groupés (objet, texte, nombre de destinataires) | Fournir l'offre Pro, facturer, honorer la garantie de 14 jours | Exécution du contrat ; obligation légale pour les pièces comptables | Durée de l'abonnement ; 10 ans pour les pièces comptables |
| Mesure d'audience | Page consultée, code de réponse, domaine référent, type d'appareil, empreinte non réversible de l'adresse IP (sel renouvelé chaque jour), le cas échéant le paramètre de campagne de l'URL d'arrivée, et pour chaque page : durée d'affichage de la page, page précédente sur le site, affichage dans l'application installée ou dans le navigateur, clics vers d'autres sites (nom du site seulement), vers une adresse e-mail ou un numéro de téléphone (sans l'adresse ni le numéro), partages et installation de l'application | Comprendre la fréquentation du site et savoir quelles publications amènent des visites et des inscriptions | Intérêt légitime — mesure d'audience de première partie, sans traceur tiers | 25 mois |
| Outreach institutionnel | Email professionnel d'organismes publics (mairies, OT, CMA) | Prospection B2B pour accès gratuit à la plateforme | Intérêt légitime (CNIL : prospection B2B autorisée si opt-out clair) | 3 ans après dernier contact |
2 bis. Précisions sur la géolocalisation du visiteur
La plateforme propose un bouton « Utiliser ma position » sur les pages de recherche d'évènements et d'exposants. Lorsque vous cliquez sur ce bouton, votre navigateur affiche sa propre fenêtre de demande d'autorisation : aucune position n'est transmise tant que vous n'avez pas donné votre accord explicite.
- Les coordonnées (latitude / longitude) sont obtenues par l'API Geolocation standard du navigateur ; elles ne sont utilisées que pour calculer les évènements dans le rayon que vous avez sélectionné.
- Aucune adresse précise n'est dérivée des coordonnées (pas de reverse-geocoding) : seul le label « Ma position » est affiché.
- Les coordonnées ne sont pas stockées côté serveur : ni en base de données, ni dans des logs applicatifs persistants.
- Vous pouvez révoquer l'autorisation à tout moment dans les paramètres de votre navigateur, ou simplement cesser d'utiliser le bouton.
3. Destinataires des données
Vos données ne sont jamais vendues. Elles peuvent être transmises uniquement à :
- Stripe (sous-traitant, traitement des paiements) - Politique Stripe
- Hébergeur du site (sous-traitant technique)
- Service SMTP (sous-traitant pour l'envoi des emails transactionnels)
- INSEE (API Sirene) : seul le numéro SIRET saisi par un exposant lui est transmis, pour vérifier l'existence et l'activité de l'établissement
- Organisateurs abonnés à l'offre Pro : les pièces justificatives d'un exposant, pour les seuls évènements où il a une candidature en cours ou acceptée ; elles sont stockées hors de tout accès public
- Autorités administratives ou judiciaires sur réquisition légale
Aucune donnée n'est transférée hors de l'Union Européenne sans garanties appropriées (clauses contractuelles types, décision d'adéquation).
4. Vos droits
Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :
- Droit d'accès : obtenir la confirmation que vos données sont traitées et en obtenir une copie
- Droit de rectification : corriger vos données inexactes ou incomplètes (modifiable directement depuis votre profil)
- Droit à l'effacement (« droit à l'oubli ») : sous réserve de nos obligations légales (comptabilité, audit)
- Droit à la limitation du traitement
- Droit à la portabilité : recevoir vos données dans un format structuré
- Droit d'opposition au traitement (notamment pour la prospection)
- Droit de retirer votre consentement à tout moment pour les traitements basés sur le consentement
Pour exercer ces droits : contact@evenements-createurs.fr. Réponse sous 1 mois (pouvant être prolongée de 2 mois en cas de complexité).
Ce que « effacer votre compte » signifie exactement
À votre demande, nous effaçons ce qui vous identifie : adresse électronique, nom, biographie, photo de profil, bannière, ville, liens, et — si vous êtes créateur — le nom de votre atelier, ses descriptions, sa galerie et ses réseaux sociaux. Votre compte cesse d'exister publiquement et vous ne pouvez plus vous y connecter. Si votre compte n'est rattaché à aucune activité, il est purement et simplement supprimé de la base.
Trois catégories sont conservées, et l'article 17.3 du RGPD le prévoit :
- Vos abonnements et paiements : ce sont des pièces comptables, que l'article L123-22 du code de commerce nous impose de conserver dix ans.
- Vos participations à des évènements : elles disent à un organisateur qui il a accepté sur son marché. Elles ne sont pas seulement vos données.
- Le journal d'audit, qui perd votre identité mais garde la trace des actions.
Enfin, nos sauvegardes contiennent encore vos données pendant une durée bornée après l'effacement : 30 jours pour les sauvegardes quotidiennes de la base, et jusqu'à 4 semaines pour les images disque du serveur. Passé ces délais, elles disparaissent définitivement, sans intervention.
En cas de réponse insatisfaisante ou d'absence de réponse, vous pouvez introduire une réclamation auprès de la CNIL : www.cnil.fr/fr/plaintes.
5. Cookies
Le site n'utilise que des cookies de première partie, déposés par evenements-createurs.fr lui-même : fonctionnement du compte et de la navigation (session de connexion, jeton CSRF, préférences d'affichage, « se souvenir de moi »), et provenance de la visite. Aucun cookie publicitaire, aucun traceur tiers — ni Meta Pixel, ni Google Analytics, ni aucun autre.
Provenance de la visite. Si vous arrivez par un lien portant
un paramètre de campagne (?utm_source=…, typiquement depuis un
réseau social), cette seule valeur est retenue dans le cookie de session, le
temps de votre visite, pour savoir quelle publication amène des inscriptions.
Elle n'est associée à aucun identifiant permettant de vous suivre d'un site à
l'autre, n'est transmise à personne, et disparaît à la fermeture du navigateur
si vous ne créez pas de compte. Si vous en créez un, elle y reste comme
origine de l'inscription.
Cette mesure d'audience est faite sans aucun tiers et relève à ce titre de l'exemption de consentement prévue par la CNIL pour la mesure d'audience de première partie.
6. Sécurité
Les mots de passe sont stockés hachés (Argon2id, paramètres OWASP). Les communications sont chiffrées (HTTPS/TLS). L'accès aux données est limité aux personnels strictement nécessaires. Un journal d'audit trace les actions sensibles (connexions, modifications administratives).
7. Modifications
La présente politique peut être mise à jour. Les utilisateurs sont informés par email lors de modifications substantielles, au moins 15 jours avant l'entrée en vigueur.
