Politique de confidentialité

La présente politique décrit la manière dont COSTEA Constantin, entrepreneur individuel exerçant sous la marque BoothX, collecte, utilise, conserve et protège les données personnelles dans le cadre du site boothx.org, du logiciel BoothX, de l'application web et des services associés.

Elle est établie conformément au Règlement (UE) 2016/679 (RGPD) et à la loi Informatique et Libertés du 6 janvier 1978 modifiée.

Elle regroupe en un seul document l'ensemble de l'information relative aux données : traitements, cookies et traceurs, exploitation statistique des données d'usage, et intelligence artificielle. L'article 12.1 du RGPD impose une information concise et aisément accessible : un document unique sert mieux cet objectif que plusieurs pages qui se renvoient les unes aux autres.

Cette politique décrit les traitements effectivement mis en œuvre. Les services encore en développement n'y figurent pas : elle sera mise à jour à leur mise en production.

COSTEA Constantin Entrepreneur individuel (micro-entreprise) — marque BoothX 3 Rue Chanoine Pierre Rachet, 13200 Arles, France SIRET : [À COMPLÉTER] Téléphone : 07 83 57 11 36 Contact données personnelles : dpo@boothx.org

Aucun délégué à la protection des données n'est désigné, les conditions de l'article 37 du RGPD n'étant pas réunies.

Données traitées

La consultation de boothx.org ne nécessite aucune inscription et ne donne lieu à aucune collecte de notre part.

L'hébergeur du site (Vercel) enregistre automatiquement des journaux techniques nécessaires à la fourniture et à la sécurité du service : adresse IP, date et heure de la requête, page demandée, code de réponse, agent utilisateur.

Données traitées

• Adresse email
• Mot de passe — jamais stocké en clair, géré et haché par Supabase Auth
• Acceptation horodatée des conditions d'utilisation
• Données de session et jetons d'authentification
• Facteur d'authentification à deux facteurs (TOTP), si activé
• En cas de connexion via un fournisseur tiers : identifiant, adresse email et nom transmis par Google ou Apple

Finalité, base légale, conservation

Connexion via Google ou Apple

L'utilisation de la connexion Google ou Apple est facultative : un compte peut être créé avec une simple adresse email. En y recourant, vous transmettez des données à Google LLC et Apple Inc., dont les traitements relèvent de leurs propres politiques de confidentialité.

Données traitées

• Identité et adresse de facturation
• Historique des commandes, abonnements et factures
• Statut des paiements

Les données de carte bancaire ne transitent jamais par nos serveurs et ne sont jamais stockées par nous : elles sont traitées directement par le prestataire de paiement.

[À COMPLÉTER — aucun prestataire de paiement n'est encore intégré dans le code. Confirmer Stripe, sa configuration et sa localisation avant l'ouverture de la boutique.]

C'est le traitement le plus sensible des services BoothX : les photos permettent d'identifier des personnes physiques.

Rôles

• Lorsqu'un professionnel utilise BoothX pour un événement, il est responsable du traitement des photos des participants. BoothX agit comme sous-traitant au sens de l'article 28 du RGPD. Voir l'Accord de sous-traitance.
• Lorsqu'un particulier utilise BoothX pour un usage strictement personnel, il relève de l'exception domestique (art. 2.2.c du RGPD) ; BoothX reste responsable de l'hébergement de ces contenus.

Données traitées

• Photos capturées par le logiciel
• Métadonnées associées : horodatage, paramètres techniques de capture
• Adresses email des destinataires, lorsqu'un partage de galerie est demandé

Obligations de l'organisateur

Il appartient à l'organisateur de l'événement d'informer les participants, de recueillir leur consentement lorsqu'il est requis, et de respecter le droit à l'image. Les photos de personnes mineures requièrent l'autorisation des titulaires de l'autorité parentale.

Le site public boothx.org ne dépose aucun cookie.

Il n'utilise ni mesure d'audience, ni pixel publicitaire, ni bouton de partage de réseau social, ni vidéo embarquée, ni carte, ni police de caractères chargée depuis un service externe.

C'est pourquoi aucun bandeau de consentement ne vous est présenté : il n'y a rien à vous demander. Un bandeau qui ne protège de rien est une gêne, pas une garantie.

Ce qui est enregistré sur votre appareil

Deux préférences d'affichage sont enregistrées dans le stockage local de votre navigateur (localStorage), et non dans des cookies. Elles ne sont jamais transmises à un serveur, ni au nôtre, ni à celui d'un tiers.

Pourquoi ces éléments ne requièrent pas votre consentement

L'article 82 de la loi Informatique et Libertés soumet à consentement les opérations d'accès ou d'inscription d'informations dans un terminal, sauf lorsqu'elles ont pour finalité exclusive de permettre ou faciliter la fourniture d'un service de communication en ligne expressément demandé par l'utilisateur.

Enregistrer un choix de thème ou de langue que vous venez vous-même d'exprimer relève de cette exemption, telle que retenue par les lignes directrices de la CNIL du 17 septembre 2020. Ces préférences ne permettent ni de vous identifier, ni de vous suivre d'un site à l'autre.

Elles disparaissent lorsque vous effacez les données de site de votre navigateur.

Services connectés

Les services nécessitant une authentification (espace client, boutique, application) utilisent des cookies ou jetons strictement nécessaires à la session et à la sécurité, eux aussi exemptés de consentement : maintien de la connexion, protection contre la falsification de requêtes (CSRF).

[À COMPLÉTER — à la mise en production de l'espace client et de la boutique : établir l'inventaire exact des cookies déposés par Supabase Auth et par le prestataire de paiement, avec leur nom, leur émetteur, leur finalité et leur durée.]

Si un traceur non nécessaire était ajouté un jour

Si une mesure d'audience, un pixel publicitaire ou un contenu tiers embarqué venait à être intégré, les règles suivantes s'appliqueraient, et cette section serait mise à jour avant toute mise en ligne :

• Aucun traceur non nécessaire ne serait déposé avant le recueil du consentement
• Un bouton « Tout refuser » serait présenté au même niveau, dans la même taille et avec la même lisibilité que « Tout accepter »
• Le retrait du consentement serait aussi simple que son recueil, via un lien permanent en pied de page
• Le choix exprimé serait conservé six mois au maximum, puis redemandé
• Chaque traceur serait listé ici avec son émetteur, sa finalité et sa durée

État actuel : aucune exploitation statistique des données d'usage n'est mise en œuvre. Aucune donnée n'est communiquée à un tiers à des fins d'étude, de statistique ou de recherche.

Les règles ci-dessous sont fixées par avance et s'appliqueront sans exception si un tel traitement venait à être proposé.

Consentement libre

Le traitement reposerait sur un consentement libre, spécifique, éclairé et univoque (art. 4.11 du RGPD), recueilli par une case non pré-cochée, désactivée par défaut.

Le refus n'entraînerait aucune conséquence sur le service. Aucune fonctionnalité ne serait restreinte, dégradée ou conditionnée à l'acceptation. Un consentement obtenu en échange d'un accès au service n'est pas libre et serait invalide (art. 7.4 du RGPD, lignes directrices 05/2020 du CEPD).

Le retrait serait aussi simple que le recueil, à tout moment et sans justification.

Données exclues en toute hypothèse

Ne feront jamais l'objet d'une exploitation statistique ni d'une communication à un tiers :

• Les photos et images capturées, ainsi que leur contenu
• Les données d'identification : nom, adresse email, téléphone, adresse postale
• Les données de paiement
• Le contenu des communications et des demandes d'assistance
• Les données relatives à des personnes mineures

Interdictions permanentes

Les données ne seront en aucun cas communiquées à des courtiers en données, à des annonceurs à des fins de ciblage publicitaire, à des employeurs, assureurs ou organismes de crédit, ni utilisées pour du profilage individuel produisant des effets sur les personnes.

Anonymisation

Toute publication externe serait précédée d'une anonymisation effective, rendant l'identification impossible de manière irréversible au sens de l'avis 05/2014 du G29 : résistance à l'individualisation, à la corrélation et à l'inférence.

Une simple suppression du nom et de l'adresse email constitue une pseudonymisation, et non une anonymisation : les données pseudonymisées demeurent des données personnelles soumises au RGPD, et vos droits s'y exercent pleinement.

[À COMPLÉTER avant toute mise en œuvre — décrire la méthode d'anonymisation réellement appliquée, le seuil d'agrégation minimal et la manière dont l'irréversibilité est vérifiée.]

État actuel : aucune fonctionnalité d'intelligence artificielle n'est déployée dans les produits BoothX. Aucune donnée d'utilisateur n'est utilisée pour entraîner un modèle. Aucun traitement de photo par IA n'est effectué.

Engagements permanents

Vos photos ne serviront jamais à entraîner un modèle, ni par BoothX ni par un tiers, quel que soit le type de compte. Ce n'est pas une option désactivable, c'est une règle.

Si l'entraînement portait un jour sur d'autres données, il reposerait sur un consentement explicite désactivé par défaut, dont le refus n'entraînerait aucune restriction du service.

Toute fonctionnalité recourant à l'IA serait signalée dans l'interface avant son usage, désactivable individuellement, et documentée ici avant sa mise en production.

BoothX ne mettra en œuvre aucune décision entièrement automatisée produisant des effets juridiques ou affectant significativement les personnes (art. 22 du RGPD) sans information préalable et sans possibilité d'intervention humaine.

Cadre réglementaire

Le règlement (UE) 2024/1689 sur l'intelligence artificielle s'applique par paliers depuis 2025. Deux points appelleraient une attention particulière :

• Reconnaissance faciale : détecter un visage pour cadrer une photo est un traitement technique. En revanche, tout dispositif visant à identifier une personne à partir de ses caractéristiques biométriques relèverait des catégories les plus encadrées du règlement et des données sensibles de l'article 9 du RGPD. Un tel dispositif ne sera pas intégré sans analyse préalable complète.
• Contenus générés ou modifiés par IA : l'article 50 du règlement impose des obligations de transparence et de marquage.

[À COMPLÉTER à l'introduction d'une fonctionnalité d'IA — déterminer et documenter la catégorie de risque, le rôle exact (fournisseur ou déployeur) et les obligations de transparence correspondantes.]

Vos données ne sont ni vendues, ni louées, ni cédées à des tiers à des fins commerciales.

Elles sont accessibles à COSTEA Constantin et aux prestataires techniques strictement nécessaires au fonctionnement du service :

La liste détaillée et les engagements contractuels figurent dans la page Sous-traitance.

Les données peuvent également être communiquées aux autorités administratives ou judiciaires lorsque la loi l'exige.

Oui, certaines données sont traitées hors de l'Union européenne. L'hébergement du site est assuré par Vercel Inc., société de droit américain ; l'authentification tierce facultative implique Google LLC et Apple Inc.

Ces transferts sont encadrés par :

1. Les clauses contractuelles types de la Commission européenne (décision d'exécution (UE) 2021/914)
2. Le cas échéant, la certification des prestataires au titre du EU-U.S. Data Privacy Framework (décision d'adéquation du 10 juillet 2023)

[À COMPLÉTER — vérifier, pour chaque prestataire, la signature du DPA et sa certification DPF, et conserver ces éléments dans le registre des traitements.]

Les mesures techniques et organisationnelles reposent principalement sur le chiffrement des communications (HTTPS/TLS), la gestion des mots de passe et des sessions par Supabase Auth, l'authentification à deux facteurs, la limitation du nombre de requêtes et les en-têtes HTTP de sécurité.

Le détail complet de ces mesures figure en annexe de l'Accord de sous-traitance, à l'endroit où les clauses contractuelles types les attendent.

Violation de données

En cas de violation susceptible d'engendrer un risque pour vos droits et libertés, la CNIL sera notifiée dans les 72 heures (art. 33 du RGPD) et les personnes concernées informées dans les meilleurs délais lorsque le risque est élevé (art. 34).

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Droit d'accès (art. 15) — obtenir une copie de vos données
• Droit de rectification (art. 16) — corriger des données inexactes ou incomplètes
• Droit à l'effacement (art. 17) — supprimer vos données
• Droit à la limitation (art. 18) — geler le traitement
• Droit à la portabilité (art. 20) — recevoir vos données dans un format structuré et lisible par machine
• Droit d'opposition (art. 21) — vous opposer à un traitement fondé sur l'intérêt légitime
• Droit de retrait du consentement — à tout moment, lorsque le traitement repose sur le consentement, sans affecter la licéité du traitement antérieur
• Droit de définir des directives relatives au sort de vos données après votre décès (art. 85 de la loi Informatique et Libertés)

Exercer vos droits

• Email : dpo@boothx.org
• Courrier : COSTEA Constantin, 3 Rue Chanoine Pierre Rachet, 13200 Arles, France
• Délai de réponse : 1 mois, prolongeable de 2 mois en cas de complexité (art. 12.3 du RGPD)

Une pièce justificative d'identité peut être demandée en cas de doute raisonnable sur l'identité du demandeur.

Réclamation

Vous pouvez introduire une réclamation auprès de la CNIL :

• En ligne : cnil.fr/plaintes
• Courrier : CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07

Toute modification substantielle sera notifiée par email et/ou dans l'espace client au minimum 30 jours avant son entrée en vigueur.

La version en vigueur est toujours accessible à l'adresse boothx.org/legal/privacy.

Pour toute question relative à cette politique : dpo@boothx.org