Politique de confidentialité — bornes.photos

Le site bornes.photos est exploité par :

MONSIEUR SÉBASTIEN ROLAY
Auto-entrepreneur
Adresse : 619 Boulevard Frédéric Mistral, 84420 Piolenc, France
SIRET : 797 712 486 00019
E-mail : legal@bornes.photos
Téléphone : 07 81 01 81 05

Dans le cadre des traitements de données personnelles décrits ci-dessous, MONSIEUR SÉBASTIEN ROLAY agit en qualité de responsable du traitement.

Aucun délégué à la protection des données (DPO/DPD) n’est désigné à ce jour. Le point de contact pour les demandes relatives aux données personnelles est : legal@bornes.photos.

La présente politique de confidentialité a pour objet d’informer les utilisateurs de bornes.photos sur la manière dont leurs données personnelles sont collectées, utilisées, conservées et protégées lors de l’utilisation du site et de ses services.

Conformément au Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD ») et à la loi Informatique et Libertés, bornes.photos s’engage à traiter les données personnelles de manière licite, loyale, transparente et proportionnée. Les personnes doivent recevoir une information concise, transparente, compréhensible et aisément accessible.

Les traitements décrits dans la présente politique peuvent concerner notamment :

• les visiteurs du site ;
• les clients ou prospects recherchant une borne photo / photobooth ;
• les loueurs, prestataires ou prospects loueurs ;
• les personnes qui contactent bornes.photos ;
• les utilisateurs disposant d’un compte ;
• les personnes échangeant via la messagerie de la plateforme ;
• les organisateurs qui connectent leur compte Google Drive et créent une collecte « QR code photos » ;
• les invités ou contributeurs qui déposent des photos ou vidéos au moyen d’un lien ou d’un QR code de collecte, sans créer de compte bornes.photos.

Selon les fonctionnalités utilisées, bornes.photos peut traiter les catégories de données suivantes :

4.1 Données d’identification et de contact

• nom et prénom ;
• adresse e-mail ;
• numéro de téléphone ;
• statut utilisateur (client, loueur, visiteur, prospect, support) ;
• informations de profil.

4.2 Données liées à l’activité sur la plateforme

• informations saisies dans les formulaires de recherche, de contact ou de demande ;
• date et lieu d’événement ;
• type de besoin ;
• contenu des demandes envoyées ;
• contenu des messages échangés via la plateforme ;
• historique des demandes et échanges ;
• favoris, préférences et interactions avec les fiches.

4.3 Données liées aux fiches loueurs

• informations professionnelles publiées par les loueurs ;
• descriptifs, prix indicatifs, zones desservies, disponibilités ;
• contenus, visuels et informations fournis pour les fiches ;
• informations relatives au compte et à la gestion des demandes.

4.4 Données techniques

• adresse IP ;
• journaux techniques et de sécurité ;
• données de connexion ;
• données relatives au navigateur, au terminal et à l’utilisation du site ;
• cookies et traceurs selon les paramétrages applicables.

4.5 Données liées aux collectes QR et à Google Drive

L’organisateur connecte volontairement son compte Google Drive lorsqu’il souhaite activer une collecte QR. Dans ce cas, bornes.photos traite uniquement les données nécessaires au fonctionnement de cette intégration :

• l’adresse e-mail du compte Google connecté ;
• le périmètre d’autorisation accordé, l’état de la connexion et les dates de contrôle ou de révocation ;
• un jeton de renouvellement OAuth chiffré, nécessaire à l’accès hors ligne, ainsi que des jetons d’accès temporaires ;
• les informations de capacité de stockage fournies par Google, telles que l’espace total, utilisé et restant ;
• les identifiants et métadonnées techniques des dossiers et fichiers créés ou gérés par bornes.photos pour les collectes ;
• les paramètres de la collecte : titre, type et date d’événement, message destiné aux invités, statut, fermeture programmée et autorisation éventuelle des vidéos ;
• des données techniques d’envoi : catégorie du fichier, type MIME déclaré, taille, état de la session, horodatages, codes d’erreur limités, empreintes pseudonymisées et compteurs agrégés.

Le périmètre OAuth demandé est exclusivement https://www.googleapis.com/auth/drive.file. Il permet à bornes.photos de créer et de gérer les fichiers et dossiers créés par l’application ou explicitement ouverts avec elle. Il ne donne pas un accès général aux fichiers déjà présents dans le Google Drive de l’organisateur.

Dans le fonctionnement normal du service, les octets des photos et vidéos sélectionnées par un contributeur sont transférés directement depuis son navigateur vers le Google Drive privé de l’organisateur. bornes.photos ne stocke pas ces médias sur son infrastructure, n’en crée pas d’aperçu et ne constitue pas de catalogue local des fichiers.

La présente politique indique les finalités poursuivies, les catégories de données traitées, les destinataires, les bases légales, les transferts éventuels hors Union européenne et les durées ou critères de conservation applicables.

Les données personnelles peuvent être traitées pour les finalités suivantes :

5.1 Gestion du site et de la relation avec les utilisateurs

Finalités :

• gérer les demandes envoyées via le site ;
• répondre aux messages adressés à bornes.photos ;
• assurer le support utilisateur ;
• communiquer avec les utilisateurs au sujet du fonctionnement du service.

Base légale : intérêt légitime ou exécution de mesures précontractuelles / contractuelles selon le cas.

5.2 Création et gestion des comptes utilisateurs

Finalités :

• créer un compte ;
• authentifier l’utilisateur ;
• gérer l’accès aux espaces client, loueur ou administrateur ;
• assurer la sécurité des comptes.

Base légale : exécution du contrat ou de mesures précontractuelles.

5.3 Mise en relation entre clients et loueurs

Finalités :

• permettre l’envoi de demandes ;
• transmettre les informations utiles au loueur concerné ;
• permettre les échanges entre utilisateurs ;
• assurer le suivi de l’historique de contact et des demandes.

Base légale : exécution du service demandé par l’utilisateur.

5.4 Publication et gestion des fiches loueurs

Finalités :

• afficher les fiches sur la plateforme ;
• modérer, vérifier et gérer les contenus publiés ;
• organiser la visibilité des offres.

Base légale : exécution du contrat et intérêt légitime lié au bon fonctionnement de la plateforme.

5.5 Sécurité, prévention des abus et journaux techniques

Finalités :

• prévenir les usages frauduleux ;
• détecter les incidents ;
• assurer la sécurité du site et des comptes ;
• conserver des journaux techniques en cas d’attaque, tentative d’intrusion ou anomalie.

Base légale : intérêt légitime.

5.6 Respect des obligations légales

Finalités :

• répondre à une obligation légale ou réglementaire ;
• traiter les demandes d’exercice de droits ;
• conserver certains éléments lorsque la loi l’impose.

Base légale : obligation légale.

5.7 Mesure d’audience et amélioration du service

Finalités :

• mesurer l’utilisation du site ;
• améliorer l’ergonomie, les parcours et les performances ;
• produire des statistiques d’usage.

Base légale : intérêt légitime ou consentement lorsque celui-ci est requis.

5.8 Connexion Google Drive et collectes QR de photos ou vidéos

Finalités :

• connecter le compte Google choisi par l’organisateur et maintenir l’autorisation hors ligne strictement nécessaire ;
• créer les dossiers privés de collecte et déposer dans ces dossiers les fichiers envoyés par les contributeurs ;
• initialiser et vérifier les transferts directs vers Google Drive ;
• afficher l’état de la connexion et la capacité disponible ;
• fournir les compteurs d’activité, assurer la reprise technique, prévenir les abus et diagnostiquer les incidents sans consulter le contenu des médias.

Base légale : exécution du service demandé par l’organisateur pour la connexion Drive et la gestion de la collecte ; intérêt légitime de bornes.photos pour la sécurité, la prévention des abus et la production de statistiques techniques agrégées. L’autorisation OAuth Google reste sous le contrôle de l’organisateur et peut être retirée à tout moment.

Lorsqu’un organisateur invite des tiers à déposer des médias, il détermine la finalité de sa collecte et doit informer les personnes concernées. Selon le contexte, il peut agir en qualité de responsable du traitement pour les contenus qu’il reçoit. bornes.photos intervient comme prestataire technique pour le transfert et traite, pour ses propres besoins de sécurité, les seules données techniques strictement nécessaires.

Lorsque des champs sont obligatoires, cela est en principe indiqué au moment de la collecte.

Si certaines données obligatoires ne sont pas renseignées, bornes.photos peut ne pas être en mesure :

• de créer le compte ;
• de traiter une demande ;
• de transmettre un message ;
• ou de fournir correctement le service demandé.

Peuvent accéder à tout ou partie des données, dans la limite de ce qui est nécessaire à leurs missions :

• l’éditeur de bornes.photos ;
• les personnes habilitées chargées du support, de l’administration ou de la modération ;
• les loueurs ou clients concernés par une demande ou une conversation ;
• l’organisateur d’une collecte QR, qui reçoit dans son propre Google Drive les fichiers volontairement envoyés par les contributeurs ;
• Google, en tant qu’opérateur du compte Google Drive choisi par l’organisateur et destinataire direct des transferts de médias ;
• les sous-traitants techniques intervenant pour l’hébergement, la base de données, l’envoi d’e-mails, la sécurité, l’analyse d’audience ou le bon fonctionnement du service.

Les données ne sont pas vendues à des tiers.

Dans le cadre du fonctionnement de la plateforme, bornes.photos peut recourir à des prestataires techniques agissant en qualité de sous-traitants, notamment pour :

• l’hébergement du site et des services ;
• la base de données ;
• le stockage de fichiers et images ;
• l’authentification ;
• l’envoi d’e-mails transactionnels ;
• la sécurité et le bon fonctionnement du service.

À la date de la présente version, les principaux prestataires techniques identifiés par bornes.photos sont notamment :

• Contabo GmbH pour l’infrastructure serveur ;
• Supabase, utilisé pour tout ou partie de la base de données, de l’authentification, du stockage ou des services techniques associés, avec un hébergement configuré en Union européenne ;
• Google, pour le service Google Drive et les API Google activés uniquement à la demande de l’organisateur.

Cette section devra être mise à jour si de nouveaux sous-traitants techniques sont intégrés au fonctionnement du service.

Les données sont conservées pendant une durée n’excédant pas celle nécessaire aux finalités poursuivies, sous réserve des obligations légales applicables et des nécessités de preuve ou de sécurité.

À ce jour, le fonctionnement général de bornes.photos repose sur les principes suivants :

• les données de compte sont conservées tant que le compte utilisateur reste actif ;
• les données liées aux demandes, messages, favoris, fiches et interactions sur la plateforme sont conservées tant qu’elles sont nécessaires au fonctionnement du compte et du service ;
• le jeton de renouvellement Google est conservé sous forme chiffrée tant que la connexion Drive reste active ; lors d’une déconnexion, bornes.photos demande sa révocation à Google et efface le secret de sa base ;
• les métadonnées de connexion Google, de dossiers et d’événements QR sont conservées tant qu’elles sont nécessaires au fonctionnement du compte et des collectes, puis supprimées ou anonymisées selon les règles applicables ;
• les sessions techniques d’envoi terminées, échouées ou expirées sont destinées à être purgées rapidement, en principe dans un délai maximal de 23 heures après leur passage dans un état terminal ; seuls des compteurs agrégés de fichiers et de volume peuvent rester associés à l’événement ;
• les fichiers enregistrés dans Google Drive ne sont pas supprimés par l’archivage d’une collecte ni par la déconnexion de Google Drive ; leur durée de conservation et leur suppression sont gérées par l’organisateur directement dans son compte Google ;
• lorsque l’utilisateur supprime lui-même son compte ou exerce valablement son droit à l’effacement, les données concernées sont supprimées ou traitées conformément aux obligations légales applicables et aux contraintes techniques ou de sécurité ;
• certains éléments techniques, journaux ou données nécessaires à la sécurité, à la preuve ou au respect d’une obligation légale peuvent être conservés pour une durée supérieure lorsque cela est nécessaire.

À ce jour, bornes.photos n’a pas mis en place de politique de suppression automatique générale des comptes inactifs ou des données liées à un compte tant que l’utilisateur ne procède pas lui-même à la suppression de son compte ou n’en demande pas l’effacement, sauf obligation légale contraire ou nécessité technique, de sécurité ou de preuve.

Cette section pourra être précisée ou mise à jour ultérieurement si des règles internes de conservation plus détaillées sont définies.

Les services techniques principaux de bornes.photos, notamment la base de données lorsqu’elle est opérée via Supabase, sont configurés avec un hébergement en Union européenne.

L’utilisation de Google Drive et des API Google peut toutefois impliquer le traitement de données par Google et ses sous-traitants dans des pays situés en dehors de l’Union européenne ou de l’Espace économique européen. Ces traitements sont encadrés par les conditions et mécanismes de transfert applicables de Google ainsi que, lorsqu’ils sont requis, par les garanties prévues par la réglementation.

D’autres transferts peuvent résulter du choix ou de la configuration personnelle du compte Google de l’organisateur. La présente politique sera mise à jour si l’architecture ou les prestataires évoluent de manière substantielle.

bornes.photos n’accède aux données Google que pour fournir les fonctionnalités clairement présentées à l’organisateur : connexion de son Drive, création des dossiers de collecte, réception des fichiers qu’il a choisi de collecter, vérification des transferts, affichage de la capacité et ouverture du dossier concerné.

Les informations reçues des API Google ne sont pas utilisées pour la publicité, le profilage publicitaire, la détermination de solvabilité, ni pour créer, entraîner ou améliorer un modèle général d’intelligence artificielle. Elles ne sont ni vendues ni cédées à des courtiers en données. Elles ne sont transférées que lorsque cela est nécessaire à la fourniture du service demandé, à la sécurité, au respect de la loi ou avec l’accord explicite de l’utilisateur dans les cas permis.

Dans le fonctionnement normal, aucune personne travaillant pour bornes.photos ne consulte le contenu des photos ou vidéos enregistrées dans le Drive de l’organisateur. Un accès humain à des données Google ne pourrait intervenir que dans les cas strictement nécessaires et permis : avec l’accord explicite de l’utilisateur pour des données précisément identifiées, pour traiter un incident de sécurité ou un abus, ou pour respecter une obligation légale.

L’utilisation par bornes.photos des informations reçues des API Google respecte la Google API Services User Data Policy, y compris les exigences de Limited Use.

L’organisateur peut mettre fin à l’accès depuis son espace bornes.photos au moyen de l’action « Déconnecter », depuis les autorisations de son compte Google, ou en demandant l’effacement des données locales concernées à legal@bornes.photos. La déconnexion empêche les nouveaux transferts mais ne supprime pas les fichiers déjà enregistrés dans Google Drive.

bornes.photos met en œuvre des mesures techniques et organisationnelles raisonnables destinées à préserver la sécurité, la confidentialité et l’intégrité des données personnelles, notamment contre l’accès non autorisé, la perte, l’altération, la divulgation ou la destruction accidentelle.

Les jetons de renouvellement Google sont chiffrés au repos. Les jetons, secrets OAuth et adresses de sessions de transfert sont exclus des réponses publiques et des journaux applicatifs. Les transferts utilisent HTTPS et les médias suivent, dans le fonctionnement normal, un flux direct du navigateur du contributeur vers Google Drive.

Toutefois, aucun système n’offrant une sécurité absolue, bornes.photos ne peut garantir une sécurité parfaite en toutes circonstances.

Conformément à la réglementation applicable, les personnes concernées disposent, selon les cas, des droits suivants :

• droit d’accès ;
• droit de rectification ;
• droit à l’effacement ;
• droit à la limitation du traitement ;
• droit d’opposition ;
• droit à la portabilité ;
• droit de retirer leur consentement lorsque le traitement repose sur celui-ci.

Un moyen de contact électronique est mis à disposition pour permettre l’exercice des droits.

Toute personne peut exercer ses droits en adressant sa demande à : legal@bornes.photos

La demande peut également être envoyée par courrier à l’adresse suivante :

MONSIEUR SÉBASTIEN ROLAY
619 Boulevard Frédéric Mistral, 84420 Piolenc, France

En cas de doute raisonnable sur l’identité du demandeur, un justificatif d’identité peut être demandé.

Si une personne estime, après contact avec bornes.photos, que ses droits ne sont pas respectés ou que le traitement de ses données n’est pas conforme à la réglementation, elle peut adresser une réclamation à la CNIL.

Les informations relatives à l’utilisation des cookies et autres traceurs sont détaillées dans la politique de cookies de bornes.photos, accessible à l’adresse suivante :

https://bornes.photos/politique-de-cookies

bornes.photos se réserve le droit de modifier la présente politique de confidentialité à tout moment.

La version applicable est celle publiée en ligne à la date de consultation.

Pour toute question relative à la présente politique de confidentialité : legal@bornes.photos