Politique de confidentialité

1. Éditeur de l'application

L'application est éditée par Thibault FAVRE, entrepreneur individuel (EI) exerçant sous le nom commercial « Agora », 31 chemin du Cimetière, 01800 Bourg-Saint-Christophe, France, immatriculé sous le numéro 522 732 775 R.C.S. Bourg-en-Bresse. Les informations complètes figurent dans les mentions légales.

Contact pour toute question relative aux données personnelles : agorapps14@gmail.com.

2. Données que nous traitons

Seuls les organisateurs et les membres de leur équipe utilisent l'application. Peuvent être traitées :

• Données de compte : adresse e-mail, nom et identifiants de connexion des organisateurs et des membres de leur équipe (avec, s'ils l'activent, la double vérification à la connexion), rôle dans l'organisation, nom et logo de l'organisation.
• Données saisies sur les exposants par l'organisateur : nom, prénom, raison sociale, enseigne, numéro SIRET, activité, adresse, téléphone, e-mail, emplacement et métrage, besoins (électricité, véhicule), souhaits de voisinage, présences et absences (avec leur justification), tarifs et montants à facturer, notes internes et historique des actions. L'organisateur peut aussi y joindre des documents (Kbis, attestation d'assurance, pièce d'identité, carte de commerçant non sédentaire…).
• Préinscriptions reçues de Pass Place (lorsque cette connexion sera activée) : lorsqu'un commerçant se préinscrit à un événement depuis Pass Place, Agora reçoit son nom, la date choisie et, s'il l'a accepté, son identité professionnelle (raison sociale, SIRET, activité, coordonnées). Ses documents sont consultés à la demande par l'organisateur, sans être copiés dans Agora.
• Vérification des numéros SIRET : le numéro saisi est vérifié auprès de l'annuaire public des entreprises de l'État (recherche-entreprises.api.gouv.fr). Seul le numéro est transmis.
• Messages aux exposants : e-mails et SMS que l'organisateur envoie depuis l'application (contenu, destinataires, date d'envoi).
• Plans et discussion d'équipe : images de plans importées par l'organisateur, messages et photos échangés entre les membres d'une organisation pendant un événement.
• Données de facturation (lorsque l'abonnement sera payant) : informations nécessaires à la gestion de l'abonnement, traitées par notre prestataire de paiement. Aucune donnée de carte bancaire n'est conservée par Agora.
• Données techniques : journaux du serveur (adresse IP, date, page demandée, navigateur), utilisés uniquement pour la sécurité et le bon fonctionnement du service. Aucune mesure d'audience n'est réalisée.

Si un organisateur ouvre à ses exposants un formulaire d'inscription en ligne, les informations et documents qu'ils y déposent sont traités pour le compte de cet organisateur, dans les mêmes conditions que les données qu'il saisit lui-même.

3. Finalités et bases légales

• Fournir et faire fonctionner le service de gestion d'événements (exécution du contrat).
• Permettre à l'organisateur de gérer ses exposants, ses plans, ses présences et sa facturation (exécution du contrat, pour le compte de l'organisateur).
• Gérer l'abonnement et sa facturation, lorsque le service sera payant (exécution du contrat et obligations légales).
• Assurer la sécurité du service et prévenir les abus (intérêt légitime).
• Répondre aux demandes et assurer l'assistance (intérêt légitime).

4. Rôles : responsable de traitement et sous-traitant

Pour les données de compte des organisateurs et les données techniques, l'éditeur d'Agora agit en qualité de responsable de traitement.

Pour les données concernant les exposants, l'organisateur de l'événement (collectivité, placier, comité, association ou exploitant) est le responsable de traitement : il décide des données enregistrées et des finalités, et informe les exposants. L'éditeur d'Agora agit alors comme sous-traitant au sens de l'article 28 du RGPD. À ce titre, il s'engage à :

• traiter ces données uniquement pour fournir le service, selon les instructions de l'organisateur ;
• veiller à la confidentialité des données et à la sécurité du service (voir l'article 8) ;
• n'avoir recours qu'aux prestataires listés à l'article 5 ;
• aider l'organisateur à répondre aux demandes d'exercice des droits des exposants ;
• informer l'organisateur dans les meilleurs délais de toute violation de données qui le concerne ;
• supprimer les données à la fin du service, après avoir permis à l'organisateur de les exporter, et lui fournir les informations nécessaires pour démontrer le respect de ces engagements.

L'éditeur n'accède aux données d'une organisation qu'à sa demande (assistance) ou lorsque c'est nécessaire à la sécurité ou au bon fonctionnement du service.

5. Destinataires et sous-traitants

Les données ne sont jamais vendues. Les données d'une organisation ne sont visibles que par ses membres. Elles sont communiquées uniquement aux prestataires techniques nécessaires au fonctionnement du service, liés par des engagements de confidentialité et de sécurité :

• IONOS (Union européenne) : hébergement du serveur et de la base de données, ainsi que des fichiers tant que le stockage Cloudflare n'est pas activé.
• Clerk, Inc. (États-Unis) : connexion et gestion des comptes des organisateurs et de leur équipe (e-mail, nom, mot de passe chiffré, sessions).
• Cloudflare, Inc. (États-Unis) : vérification anti-robots (Turnstile) à la connexion et à l'inscription ; lorsqu'il sera activé, stockage R2 des fichiers (plans, photos, documents) et des copies de sauvegarde, à un emplacement géré par Cloudflare, possiblement hors de l'Union européenne.
• Brevo (Sendinblue SAS) (France) : envoi des e-mails du service et des e-mails et SMS que l'organisateur adresse aux exposants, lorsque l'envoi est activé.
• Stripe Payments Europe, Ltd. (Irlande, avec des transferts possibles vers les États-Unis) : paiement des abonnements, lorsqu'ils seront activés.
• Pass Place : pour les préinscriptions des commerçants, lorsque la connexion sera activée : la liste des événements ouverts à la préinscription et la réponse de l'organisateur (acceptation ou refus, avec son motif).

Toute modification de cette liste est annoncée sur cette page au moins 30 jours à l'avance.

6. Hébergement et transferts hors de l'Union européenne

Le serveur et la base de données sont hébergés dans l'Union européenne (Allemagne) par IONOS SARL, 7 place de la Gare, BP 70109, 57200 Sarreguemines Cedex, France (431 303 775 RCS Sarreguemines). Les fichiers y sont aussi stockés, jusqu'à l'activation du stockage Cloudflare (voir l'article 5).

Certains prestataires cités à l'article 5 sont situés hors de l'Union européenne (notamment aux États-Unis). Ces transferts sont encadrés par le cadre de protection des données UE–États-Unis (Data Privacy Framework) lorsque le prestataire y adhère, et à défaut par les clauses contractuelles types de la Commission européenne.

7. Durée de conservation

• Données de l'organisation (événements, plans, exposants, documents, messages) : pendant toute l'utilisation du service. L'organisateur peut les modifier ou les supprimer à tout moment. À la fermeture du compte, sur simple demande, elles sont supprimées dans un délai de 30 jours, après qu'il a pu les exporter.
• Documents et notes sur les exposants : conservés tant que l'organisateur ne les supprime pas. Il lui est recommandé de supprimer les documents (notamment les pièces d'identité) et les notes dès qu'ils ne sont plus utiles à l'organisation de l'événement.
• Copies de sauvegarde : 30 jours glissants sur le serveur. Une copie de ces sauvegardes est conservée 90 jours sur un ordinateur de l'éditeur situé en France, puis effacée automatiquement.
• Pièces comptables liées à l'abonnement, lorsqu'il sera payant : 10 ans (article L123-22 du Code de commerce).
• Journaux du serveur : 14 jours. Journaux techniques de l'application : 8 semaines.

8. Sécurité

Des mesures techniques et organisationnelles appropriées sont mises en œuvre pour protéger les données : cloisonnement strict des données par organisation, chiffrement des échanges (HTTPS), comptes protégés par notre prestataire d'authentification avec double vérification possible, documents accessibles aux seuls membres de l'organisation concernée, accès au serveur restreint et sauvegardes quotidiennes.

9. Vos droits

Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données. Pour les données concernant un exposant, la demande doit être adressée à l'organisateur de l'événement concerné, responsable de traitement.

Vous pouvez exercer vos droits en écrivant à agorapps14@gmail.com. Vous disposez également du droit d'introduire une réclamation auprès de la CNIL (www.cnil.fr).

10. Cookies

Agora utilise uniquement les cookies et le stockage du navigateur strictement nécessaires à la connexion et au bon fonctionnement du service (détail dans les mentions légales, article 7). Aucun cookie publicitaire ou de suivi n'est utilisé.

11. Modifications

La présente politique peut être mise à jour. La version applicable est celle publiée sur cette page, identifiée par son numéro de version et sa date d'entrée en vigueur.