Politique de confidentialité

Le responsable du traitement est NAZE Noham, entrepreneur individuel exploitant le service Adekio Events, dont les coordonnées complètes figurent dans les mentions légales.

Pour toute question relative à vos données, vous pouvez écrire à contact@adekio.fr.

Le service n'est pas soumis à l'obligation de désigner un délégué à la protection des données au sens de l'article 37 du RGPD, son activité n'impliquant ni suivi systématique à grande échelle, ni traitement à grande échelle de données sensibles.

La répartition des responsabilités diffère selon les données concernées.

Données du compte organisateur. L'éditeur agit en qualité de responsable de traitement pour l'identité, l'adresse électronique et les données de facturation des titulaires de comptes.

Contenus et données des invités. Pour les photographies, prénoms et adresses de rappel collectés au sein d'une galerie, l'organisateur de l'événement est responsable de traitement et l'éditeur intervient comme sous-traitant, dans les conditions prévues à l'article 9 des conditions générales d'utilisation.

Organisateurs. Adresse électronique, prénom éventuellement renseigné, mot de passe sous forme chiffrée ou identifiant du fournisseur d'authentification externe, historique des commandes, adresse IP de connexion.

Invités. Photographies et vidéos déposées, prénom si renseigné lors du dépôt, adresse électronique si communiquée pour recevoir le rappel.

Données techniques. Journaux de connexion, type de navigateur, pages consultées sous forme agrégée et anonyme via la mesure d'audience.

Attention aux données sensibles. Une photographie peut révéler des informations relevant de l'article 9 du RGPD : appartenance religieuse lors d'une cérémonie, état de santé, origine. L'éditeur ne procède à aucune analyse, indexation ou reconnaissance faciale des contenus. Aucun traitement automatisé n'est appliqué aux images, en dehors du redimensionnement technique.

Lorsque le traitement repose sur le consentement, celui-ci peut être retiré à tout moment, sans que ce retrait n'affecte la licéité du traitement effectué auparavant.

• Compte organisateur : pendant toute la durée d'utilisation, puis trois ans après la dernière connexion.
• Photographies et vidéos : selon l'offre souscrite, un mois, six mois, un an ou deux ans à compter de la date de l'événement. Suppression définitive à l'échéance.
• Adresses de rappel des invités : supprimées avec l'événement, ou dès l'envoi du rappel si l'invité demande leur effacement.
• Factures et pièces comptables : dix ans, en application de l'article L.123-22 du Code de commerce.
• Journal d'activité du service : quatorze jours. Il enregistre les actions effectuées sur les événements (création, modification, ajout et suppression de contenus, changement d'offre, partage d'accès) avec la date, l'action, l'événement concerné et l'adresse email ou le prénom de son auteur, à seule fin de traiter les demandes d'assistance et de détecter les usages anormaux. Aucune adresse IP n'y est enregistrée. Ce journal n'est accessible qu'à l'éditeur et est purgé automatiquement chaque nuit.
• Journaux de connexion : douze mois, conformément aux obligations de conservation applicables aux hébergeurs.
• Preuves de consentement à la rétractation : cinq ans, durée de la prescription en matière contractuelle.

Les données ne sont ni vendues, ni louées, ni cédées à des tiers à des fins commerciales. Elles sont accessibles à l'éditeur et aux sous-traitants suivants, strictement pour les besoins du service :

Accès de l'éditeur à des fins de support. L'éditeur dispose d'une interface d'administration lui permettant de consulter les contenus déposés sur un événement et d'en supprimer. Cette faculté est réservée aux seuls besoins du support et n'est mise en œuvre qu'à la demande du client ou de la personne concernée : retrait d'une photographie, exercice du droit à l'image, signalement d'un contenu manifestement illicite.

Elle ne donne lieu à aucune consultation systématique ni à aucune surveillance des galeries. Les contenus ne sont ni copiés, ni exportés, ni exploités à quelque autre fin que ce soit, conformément aux engagements pris à l'article 7 des conditions générales d'utilisation. S'agissant des données dont l'organisateur est responsable de traitement, cette intervention constitue un traitement effectué sur instruction documentée de celui-ci, au sens de l'article 28, paragraphe 3, point a) du RGPD.

Journalisation. Chaque suppression réalisée depuis cette interface est enregistrée dans un journal comportant l'identité de son auteur, l'horodatage de l'opération et le motif invoqué. Ce journal est conservé douze mois et peut être communiqué au client concerné sur simple demande adressée à contact@adekio.fr.

L'accès à cette interface est subordonné à une authentification et à une habilitation nominative enregistrée en base de données. Une seule personne en est titulaire : l'éditeur lui-même.

Les données peuvent également être communiquées aux autorités judiciaires ou administratives sur réquisition légale.

Les photographies, la base de données et les courriels sont hébergés au sein de l'Union européenne.

Certains prestataires étant des sociétés de droit américain, des accès techniques depuis les États-Unis ne peuvent être exclus, notamment à des fins de maintenance. Ces transferts éventuels sont encadrés par les clauses contractuelles types adoptées par la Commission européenne et, le cas échéant, par la certification au Data Privacy Framework.

Les mesures suivantes sont mises en œuvre pour protéger vos données :

• chiffrement systématique des communications par HTTPS ;
• mots de passe stockés sous forme de condensats, jamais en clair ;
• accès aux galeries protégé par une clé aléatoire de douze caractères, sans laquelle aucune consultation n'est possible ;
• pages de galerie exclues de l'indexation par les moteurs de recherche ;
• liens de téléchargement signés et valables une heure seulement ;
• cloisonnement des données entre organisateurs au niveau de la base de données ;
• suppression automatisée des contenus arrivés à échéance.

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• Accès : obtenir la confirmation que vos données sont traitées et en recevoir une copie ;
• Rectification : corriger des données inexactes ou incomplètes ;
• Effacement : demander la suppression de vos données, y compris d'une photographie sur laquelle vous figurez ;
• Limitation : demander le gel temporaire d'un traitement ;
• Portabilité : recevoir vos données dans un format structuré et lisible par machine ;
• Opposition : vous opposer à un traitement fondé sur l'intérêt légitime ;
• Directives post-mortem : définir le sort de vos données après votre décès, conformément à l'article 85 de la loi Informatique et Libertés.

Ces droits s'exercent à l'adresse contact@adekio.fr. Une réponse est apportée dans un délai d'un mois, pouvant être prolongé de deux mois en cas de demande complexe. Une preuve d'identité peut être demandée en cas de doute raisonnable.

Co-organisateurs. Lorsque vous invitez une personne à co-organiser un événement, son adresse électronique est conservée au titre de cet événement afin de lui en donner l'accès. Elle est effacée dès que vous retirez cet accès, et au plus tard à la suppression de l'événement. Réciproquement, si vous êtes invité comme co-organisateur, votre adresse est visible de l'organisateur principal de l'événement concerné.

Suppression de votre compte. Vous pouvez exercer votre droit à l'effacement directement depuis la rubrique « Mon compte », sans avoir à nous écrire. La demande est confirmée par la saisie de votre mot de passe — ou du mot « SUPPRIMER » si votre compte utilise la connexion Google — puis un courriel de confirmation vous est adressé.

La suppression devient effective à l'issue d'un délai de vingt-quatre heures, pendant lequel vous pouvez l'annuler depuis votre compte ou depuis le lien figurant dans ce courriel. Ce délai protège contre une suppression accidentelle et contre une demande formulée depuis une session restée ouverte sur un appareil partagé.

Sont alors effacés définitivement : votre compte et vos identifiants, l'ensemble de vos événements, la totalité des photographies et vidéos qu'ils contiennent, les adresses de vos invités inscrits aux rappels, ainsi que les liens et QR codes correspondants, qui cessent immédiatement de fonctionner. Aucune copie de sauvegarde n'est conservée.

Exception : les justificatifs de paiement. Les données de transaction conservées par Stripe (montant, date, moyen de paiement, coordonnées de facturation) ne sont pas supprimées. Leur conservation répond à une obligation légale au sens de l'article 17.3.b du RGPD — obligations comptables et fiscales de l'article L.123-22 du Code de commerce et de l'article L.102 B du Livre des procédures fiscales. Ces enregistrements ne contiennent aucune photographie, aucune vidéo et aucun contenu de galerie.

En cas de réponse insatisfaisante, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, cnil.fr.

La création d'un compte est réservée aux personnes majeures. Un mineur ne peut créer un compte qu'avec l'accord de son représentant légal.

S'agissant des photographies représentant des mineurs, leur dépôt suppose l'accord des titulaires de l'autorité parentale. Toute demande de retrait émanant d'un représentant légal est traitée sans délai et sans qu'il soit besoin de la justifier.

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, la CNIL est notifiée dans les soixante-douze heures conformément à l'article 33 du RGPD.

Si le risque est élevé, les personnes concernées en sont informées individuellement dans les meilleurs délais, avec la description de l'incident, ses conséquences probables et les mesures prises.

Cette politique peut être modifiée pour tenir compte des évolutions du service ou de la réglementation. Toute modification substantielle est notifiée aux organisateurs par courriel. La date de dernière mise à jour figure en tête de page.