Politique de confidentialité

TICKTS LTD (Company No. 17029682), dont le siège est situé 124-128 City Road, Londres, EC1V 2NX, Royaume-Uni (« nous »), est responsable du traitement des données personnelles collectées via la plateforme tickts. Nous sommes enregistrés au Royaume-Uni auprès de l’Information Commissioner’s Office (ICO) sous le numéro ZC108275. Cette politique de confidentialité explique comment nous collectons, utilisons, partageons et protégeons vos données lorsque vous utilisez notre plateforme.

Si vous résidez en France, le Règlement général sur la protection des données (RGPD) et la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés s’appliquent à vos données personnelles. Vous exercez vos droits auprès de nous (voir l’article 6) et vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL) (voir l’article 13).

1. Les données que nous collectons

Nous collectons les catégories de données personnelles suivantes :

• Données de compte : nom, adresse e-mail, mot de passe (enregistré sous forme de hachage irréversible ; nous n’enregistrons jamais de mots de passe lisibles) et téléphone (facultatif) lorsque vous créez un compte. Si vous vous connectez avec Google ou Apple, nous recevons votre nom et votre adresse e-mail de ce fournisseur. Nous ne recevons ni n’enregistrons votre mot de passe Google ou Apple.
• Données de profil : nom de l’organisation, informations sur le club, liens vers les réseaux sociaux et photos de profil des comptes organisateurs. Pour un organisateur établi en France, le cas échéant, son numéro SIREN, SIRET ou RNA, son numéro de licence d’entrepreneur de spectacles et le médiateur de la consommation dont il relève, qui sont affichés aux acheteurs.
• Données de votre compte de paiement : si vous êtes organisateur, l’identifiant et le statut du compte Stripe ou PayPal que vous connectez pour recevoir l’argent de vos billets, et la date à laquelle vous l’avez connecté et à laquelle il a pu commencer à recevoir des paiements, afin de vous verser les paiements des acheteurs et de vous aider à finaliser la connexion.
• Données de transaction : billets achetés, montants payés, historique des commandes et échéanciers. Nous n’enregistrons pas les données complètes de votre carte ; elles sont traitées de façon sécurisée par Stripe. Pour les événements en France, le registre de billetterie prévu par la réglementation fiscale (numéro du billet, séance, catégorie de places, prix payé, date et lieu de vente) est tenu pour le compte de l’organisateur.
• Déclarations Gift Aid : si vous faites un don via la plateforme à une association caritative britannique vérifiée et choisissez le Gift Aid, nous collectons votre nom, votre adresse, votre code postal et votre déclaration selon laquelle vous payez des impôts au Royaume-Uni, afin que l’association puisse demander le Gift Aid au HMRC. Ces données s’ajoutent à un achat de billets ordinaire.
• Données de listes d’attente et d’inscription : si vous vous inscrivez sur la liste d’attente d’un événement, nous collectons votre adresse e-mail, votre nom si vous l’indiquez et, si l’organisateur le demande, un téléphone, qui reste toujours facultatif. Si vous vous inscrivez sur une page d’inscription propre à un organisateur (une page pour manifester votre intérêt avant l’ouverture des ventes), nous collectons ce que demande cet organisateur : votre adresse e-mail, généralement votre nom, un téléphone s’il est demandé et vos réponses aux questions qu’il a ajoutées. Si la page comporte une case de consentement, nous enregistrons le texte que vous avez vu et le moment où vous avez donné votre consentement. L’organisateur peut voir ces données pour vous contacter comme indiqué lors de l’inscription, par exemple pour vous proposer une place ou vous prévenir de l’ouverture des ventes. Si vous arrivez par le lien de l’un des représentants (promoteurs) de l’organisateur ou par l’un de ses liens de suivi, nous enregistrons quel représentant ou quel lien vous a envoyé. Un organisateur peut décider que chaque représentant voie les personnes inscrites avec son propre lien ; dans ce cas, le formulaire l’indique avant votre inscription, et un représentant ne voit jamais quelqu’un qui n’en a pas été informé (voir l’article 5).
• Données de scan et de présence : journaux du scan des billets, avec l’heure, le lieu, l’appareil de scan et le résultat (valable, non valable ou déjà scanné).
• Preuves de consentement : vos préférences en matière de cookies, le moment de votre consentement et un hachage SHA256 de votre adresse IP et de votre agent utilisateur, afin de pouvoir démontrer notre conformité.
• Journaux d’activité de gestion : si vous avez un compte organisateur, nous enregistrons les actions par lesquelles vous modifiez quelque chose dans votre tableau de bord (chemin, adresse IP, agent utilisateur, noms des champs modifiés et modifications de chaque champ) et les conservons 30 jours au maximum, pour la sécurité, la correction d’erreurs et le règlement de litiges. Les valeurs sensibles (mots de passe, champs de paiement, jetons CSRF) sont masquées lors de l’enregistrement.
• Actions du personnel de tickts : si une personne de tickts effectue une action avec des droits étendus sur votre compte (par exemple se connecter en tant que vous pour vous aider, un remboursement manuel ou le blocage d’un compte), nous enregistrons l’action, la personne, le moment et le compte concerné. Si vous êtes organisateur et qu’un membre de notre équipe se connecte en tant que vous pour vous aider, nous vous en informons par e-mail.
• Données d’utilisation : la façon dont vous utilisez notre plateforme, comme les pages consultées, les fonctionnalités utilisées et le temps passé sur le site.
• Données de l’appareil : adresse IP, type de navigateur, système d’exploitation et identifiants de l’appareil.
• Liens de suivi et de représentants : si vous arrivez par un lien de suivi (lien d’affiliation) d’un organisateur, nous enregistrons le code du lien, votre adresse IP et votre agent utilisateur pour attribuer la recommandation. Si vous arrivez par le lien d’un représentant, nous comptons la visite pour ce représentant et l’événement ouvert ; pour cela, nous n’enregistrons pas votre adresse IP (nous en conservons une forme chiffrée une heure au maximum, uniquement pour ne pas compter deux fois la même visite). Si vous avez accepté les cookies, un cookie mémorise le lien pendant 30 jours dans les deux cas (voir notre politique de cookies) ; sinon, nous ne mémorisons le lien que pendant votre visite, sans rien enregistrer sur votre appareil. Une inscription ou un achat pendant cette période peut être attribué au représentant ou au lien qui vous a envoyé. Si vous vous êtes inscrit sur la liste d’attente ou la page d’inscription d’un organisateur avec le lien d’un représentant et que vous achetez plus tard un billet de cet organisateur sans lien de représentant, nous utilisons l’adresse e-mail de votre commande pour attribuer la vente à ce représentant jusqu’à 90 jours après votre inscription. Cela détermine uniquement à qui l’organisateur verse une commission ; cela ne change ni le prix que vous payez ni ce que vous voyez.
• Communications : les messages que vous nous envoyez via notre formulaire de contact ou nos canaux d’assistance.
• Commandes non finalisées : si vous commencez une commande et indiquez votre adresse e-mail sans finaliser l’achat, nous enregistrons votre adresse e-mail et un instantané de votre panier, afin de pouvoir rattacher à votre commande un paiement qui arriverait plus tard. Pour les événements en France, nous ne vous envoyons aucun rappel pour une commande non finalisée : la prospection par e-mail sans consentement n’est permise qu’auprès de personnes déjà clientes (article L34-5 du code des postes et des communications électroniques).
• Jetons d’appareil de l’application : si vous utilisez l’application tickts et autorisez les notifications, nous enregistrons un jeton push de votre appareil (plateforme et date de dernière utilisation) pour vous envoyer les notifications que vous avez activées.
• Besoins d’accessibilité : si un événement le demande, les besoins d’accès ou d’accessibilité que vous indiquez vous-même au paiement (un champ de texte libre de 1 000 caractères au maximum), pour que l’organisateur puisse en tenir compte. Comme ils peuvent révéler des informations sur votre santé ou un handicap, nous les traitons comme une catégorie particulière de données personnelles et uniquement avec votre consentement explicite (voir l’article 2a). C’est facultatif ; si vous laissez le champ vide, cela n’affecte pas votre achat.
• Cartes enregistrées pour Call Dibs et les promesses : si vous utilisez Call Dibs (demander en priorité une place pour un événement complet) ou une promesse Make it happen, vous enregistrez une carte via Stripe (un SetupIntent Stripe), pour qu’elle puisse être débitée plus tard si une place se libère ou si l’événement a lieu. Comme pour tout paiement, nous n’enregistrons pas les données de votre carte : Stripe conserve la carte et nous n’enregistrons qu’une référence et son statut.

2. Bases juridiques du traitement

Nous traitons vos données personnelles sur les bases juridiques suivantes de l’article 6 du RGPD :

• Contrat (art. 6.1.b) : votre inscription, vos achats de billets, le traitement et la remise des commandes, les échéanciers, la cession de billets et la gestion des abonnements.
• Intérêt légitime (art. 6.1.f) : la sécurité de la plateforme et la prévention de la fraude, l’analyse et la mesure des performances, l’attribution des inscriptions et des ventes au lien ou au représentant qui vous a envoyé, le rapprochement des paiements avec des commandes non finalisées, l’amélioration de nos services et l’information sur les changements du service.
• Obligation légale (art. 6.1.c) : la conservation des données de transaction pour la comptabilité (exigences de l’administration fiscale britannique, HMRC), la tenue du registre de billetterie pour les événements en France (article 290 quater du code général des impôts), les réponses aux demandes des autorités, la tenue des journaux d’audit et des preuves de consentement, et le traitement des déclarations Gift Aid selon les exigences du HMRC (pour lesquelles l’association caritative est responsable du traitement, sur sa propre base juridique).
• Consentement (art. 6.1.a) : le dépôt de cookies d’analyse et publicitaires (Google Analytics, Meta, TikTok), le dépôt des cookies qui mémorisent un lien de suivi ou de représentant pendant 30 jours, la mesure des conversions depuis notre serveur pour ces plateformes publicitaires, l’envoi d’e-mails de marketing et la communication de vos données à des tiers à d’autres fins que la fourniture du service.

2a. Catégories particulières de données personnelles (article 9 du RGPD)

Si vous indiquez au paiement des besoins d’accès ou d’accessibilité, ils peuvent révéler des informations sur votre santé ou un handicap. Il s’agit d’une catégorie particulière de données personnelles au sens de l’article 9 du RGPD. Nous ne traitons ces données qu’avec votre consentement explicite (article 9.2.a du RGPD), que vous donnez en les renseignant, et uniquement pour les transmettre à l’organisateur, afin qu’il puisse procéder à des aménagements raisonnables lors de l’événement. Les renseigner est facultatif, elles ne sont partagées qu’avec l’organisateur de cet événement (qui devient responsable du traitement de ces données) et vous pouvez nous demander, ou demander à l’organisateur, de les effacer à tout moment. Nous ne les utilisons à aucune autre fin et ne traitons pas de catégories particulières de données à grande échelle.

3. Cookies

Nous utilisons des cookies et des technologies similaires pour améliorer le fonctionnement de notre plateforme. Les cookies que nous utilisons et leur finalité sont expliqués dans notre politique de cookies.

4. Tiers et sous-traitants

Nous partageons vos données avec les entités suivantes, qui agissent en tant que sous-traitants ou en tant que responsables de traitement indépendants :

Entité	Finalité	Données partagées	Localisation
Stripe	Traitement des paiements (Stripe Connect)	Données de paiement, nom, adresse e-mail, données de transaction	États-Unis (clauses contractuelles types de l’UE)
PayPal (Europe) S.à r.l. et Cie, S.C.A.	Traitement des paiements lorsque l’organisateur encaisse avec PayPal (l’organisateur est alors le vendeur)	Nom, adresse e-mail, données de transaction, adresse IP	UE (Luxembourg)
TicketPlan	Protection remboursement facultative proposée au paiement sur certains événements (gestion de la protection et des demandes), uniquement si vous la choisissez ; non proposée sur les événements en France	Nom, adresse e-mail, données des billets, nom et date de l’événement	Royaume-Uni
Google Analytics (GA4) et Measurement Protocol	Analyse du site et mesure des performances ; si un organisateur l’a activé, mesure des achats depuis le serveur (Measurement Protocol)	Adresse IP (anonymisée), données d’utilisation, données de l’appareil ; pour un achat finalisé, si c’est activé, un hachage SHA-256 de votre adresse e-mail (Measurement Protocol)	États-Unis (clauses contractuelles types de l’UE)
Brevo (Sendinblue)	Envoi des e-mails transactionnels et de marketing, y compris la mesure des ouvertures et des clics au moyen de pixels intégrés et de liens personnalisés	Nom, adresse e-mail, événements liés aux e-mails (ouverture, clic, rebond)	UE
Sentry	Surveillance des erreurs et rapports d’incidents	Données de l’erreur, adresse IP, données du navigateur	États-Unis (clauses contractuelles types de l’UE)
Cloudflare	CDN, protection contre les attaques DDoS, DNS	Adresse IP, métadonnées des requêtes	Monde (clauses contractuelles types de l’UE)
Apple Wallet	Billets dans le portefeuille numérique	Données du billet (nom de l’événement, date, lieu), nom du participant s’il est indiqué, jeton du code-barres, métadonnées PassKit pour l’affichage sur l’écran verrouillé	États-Unis (clauses contractuelles types de l’UE)
Google Wallet	Billets dans le portefeuille numérique	Données du billet (nom de l’événement, date, lieu), nom du participant s’il est indiqué, jeton du code-barres, métadonnées Google Wallet pour l’affichage sur l’écran verrouillé	États-Unis (clauses contractuelles types de l’UE)
Google Places API	Recherche et vérification des adresses des lieux	Recherches, données de localisation	États-Unis (clauses contractuelles types de l’UE)
Google OAuth	Connexion avec un compte social (« Continuer avec Google »)	Nom, adresse e-mail	États-Unis (clauses contractuelles types de l’UE)
Se connecter avec Apple	Connexion avec un compte social (« Continuer avec Apple »)	Nom, adresse e-mail (vous pouvez choisir de masquer votre adresse)	États-Unis (clauses contractuelles types de l’UE)
Google reCAPTCHA v3	Détection des robots et prévention de la fraude à l’inscription	Adresse IP, comportement du navigateur, données de l’appareil	États-Unis (clauses contractuelles types de l’UE)
Meta (Facebook) Pixel et Conversions API	Mesure des conversions et attribution des publicités, dans le navigateur (Pixel) et depuis le serveur (Conversions API) ; uniquement avec consentement	Pages vues et données de l’appareil (Pixel) ; pour un achat finalisé, un hachage SHA-256 de votre adresse e-mail et votre adresse IP (Conversions API)	États-Unis (clauses contractuelles types de l’UE)
TikTok Pixel et Events API	Mesure des conversions et attribution des publicités, dans le navigateur (Pixel) et depuis le serveur (Events API) ; uniquement avec consentement	Pages vues et données de l’appareil (Pixel) ; pour un achat finalisé, un hachage SHA-256 de votre adresse e-mail et votre adresse IP (Events API)	États-Unis / Singapour (clauses contractuelles types)
Companies House	Vérification de l’identité d’entreprise des comptes organisateurs	Numéro d’immatriculation de l’entreprise, nom de l’entreprise	Royaume-Uni
Cloudways (DigitalOcean)	Hébergement de l’application et infrastructure cloud gérée	Toutes les données enregistrées sur la plateforme (chiffrées au repos)	Royaume-Uni / UE (région de Londres)
Anthropic (Claude)	Aide à la rédaction par IA pour les organisateurs (amélioration des descriptions d’événements) et outils d’IA pour les organisateurs	Données de l’événement et brouillons de texte saisis par l’organisateur ; non utilisés pour entraîner les modèles d’Anthropic	États-Unis (UK IDTA / clauses contractuelles types)
Klarna / Clearpay	Moyens de paiement facultatifs pour payer plus tard, proposés au paiement via Stripe	Données de paiement et de solvabilité que vous fournissez au prestataire si vous choisissez ce moyen de paiement	UE / États-Unis (via Stripe)
Stay22	Carte des hébergements sur certaines pages d’événements	Adresse IP et contexte de la page si vous utilisez la carte	Canada (décision d’adéquation)
Mailchimp (Intuit)	Intégration facultative pour les organisateurs : si un organisateur connecte son propre compte Mailchimp, les données de ses acheteurs sont synchronisées avec sa propre liste (pour le compte de l’organisateur ; l’organisateur est le responsable du traitement)	Nom, adresse e-mail, données de commande	États-Unis (UK IDTA / clauses contractuelles types)

Mesure des conversions depuis le serveur. Si un organisateur l’a activée et que vous avez accepté les cookies publicitaires, nous envoyons un enregistrement de chaque achat finalisé directement depuis notre serveur à Meta, Google ou TikTok, pour mesurer les performances des publicités de cet organisateur. Cela fonctionne en parallèle des pixels du navigateur, avec dédoublonnage. Ces messages du serveur contiennent un hachage SHA-256 (pseudonymisé) de votre adresse e-mail et, pour Meta et TikTok, votre adresse IP ; ils ne contiennent jamais votre nom lisible ni les données de votre carte. Cela n’a lieu qu’avec votre consentement aux cookies publicitaires, et jamais pour les organisateurs qui ne l’ont pas activé. Meta, Google et TikTok sont responsables indépendants des mesures publicitaires qu’ils effectuent avec ces données, selon leurs propres politiques de confidentialité.

Mesure de l’utilisation des e-mails. Les événements d’ouverture et de clic des e-mails enregistrés par Brevo sont conservés sur votre compte pour mesurer les résultats du marketing. Vous pouvez vous désabonner des e-mails de marketing à tout moment avec le lien de désabonnement présent dans chacun ; la mesure cesse alors aussi pour les e-mails suivants. Les e-mails transactionnels (confirmations de commande, réinitialisation du mot de passe, avis concernant les échéanciers et les billets cédés) ne comportent pas de lien de désabonnement marketing et sont envoyés en exécution du contrat.

Changements de sous-traitants. La liste actuelle des sous-traitants est celle du tableau ci-dessus. Nous la mettons à jour lorsque nous ajoutons ou remplaçons un sous-traitant. Les organisateurs responsables du traitement peuvent s’opposer, pour des motifs raisonnables liés à la protection des données, à un nouveau sous-traitant en écrivant à [email protected].

5. Données partagées avec les organisateurs

Si vous achetez un billet, l’organisateur de cet événement reçoit votre nom, votre adresse e-mail et les données de votre commande. C’est nécessaire pour vous remettre votre billet, gérer l’accès à l’événement (y compris le scan des QR codes) et vous envoyer des informations importantes sur l’événement.

Les organisateurs sont responsables indépendants du traitement des données des acheteurs qu’ils reçoivent et c’est à eux de respecter la réglementation sur la protection des données. Nous exigeons des organisateurs qu’ils traitent les données des acheteurs conformément à nos conditions organisateurs, mais nous ne sommes pas responsables de la manière dont ils les traitent.

Listes d’attente et pages d’inscription. Si vous vous inscrivez sur la liste d’attente d’un événement ou sur la page d’inscription d’un organisateur, vous vous inscrivez auprès de cet organisateur. L’organisateur reçoit les données que vous indiquez et est responsable de leur traitement, sur sa propre base juridique (votre consentement, si la page le demande) ; tickts héberge la page et conserve les données pour le compte de l’organisateur en tant que sous-traitant. Une page d’inscription affiche les questions, le texte de consentement et les conditions propres à l’organisateur, qu’il rédige lui-même et dont il est responsable. Si vous souhaitez quitter la liste d’un organisateur ou savoir quelles données il détient sur vous, contactez l’organisateur, ou nous-mêmes ; nous transmettrons votre demande et l’aiderons à y répondre.

Représentants (promoteurs). Certains organisateurs font la promotion de leurs événements avec des représentants. Un représentant voit toujours ses propres totaux (combien de personnes ont ouvert son lien, se sont inscrites ou ont acheté). Un représentant ne voit le nom, les coordonnées et les réponses d’une personne inscrite avec son lien que si l’organisateur l’a activé et que le formulaire a informé cette personne, avant son inscription, que le représentant verrait ses données. Les données sont partagées pour que le représentant puisse vous contacter au sujet des événements de cet organisateur. Le représentant agit pour le compte de l’organisateur, doit accepter nos conditions de données pour les représentants avant de voir les données de quiconque et perd l’accès dès que l’organisateur désactive l’option. Avec cette option, les représentants ne voient jamais les données des acheteurs de billets.

Si vous êtes représentant. L’organisateur pour lequel vous êtes représentant peut conserver un numéro de téléphone, un compte Instagram et des notes à votre sujet, pour pouvoir vous joindre au sujet de votre lien. L’organisateur est responsable du traitement de ces données. Elles sont visibles par l’organisateur et, si vous faites partie de l’équipe d’un chef d’équipe, par votre chef d’équipe, qui doit d’abord accepter la partie équipe des conditions de données pour les représentants. Les autres représentants ne les voient jamais, pas plus que tout autre organisateur pour lequel vous êtes représentant. Vous pouvez voir et modifier votre propre numéro de téléphone et votre compte Instagram sur votre tableau de bord de représentant. Elles sont supprimées automatiquement 12 mois après la dernière mise en pause de votre lien. Nous enregistrons aussi quand votre lien a été ouvert et utilisé pour la dernière fois, afin que l’organisateur et votre chef d’équipe voient qui est actif et soient alertés lorsqu’un représentant est inactif ; rien ne vous arrive automatiquement pour autant. Si l’organisateur active un classement d’équipe, votre prénom et les billets que vous avez vendus pour l’équipe sont montrés aux autres membres de votre équipe uniquement, et vous pouvez vous en retirer. Un organisateur peut aussi créer un lien privé de tableur vers les chiffres de ses représentants ; il contient uniquement des noms et des chiffres, jamais une adresse e-mail, un numéro de téléphone ou une note.

Statistiques des organisateurs sur les pages d’événements. Les organisateurs disposant d’une formule payante peuvent connecter leur propre propriété Google Analytics ou leur Meta Pixel à leurs pages d’événements et à la confirmation après paiement. Ils ne fonctionnent que si vous avez consenti aux cookies d’analyse ou de marketing, et les données collectées vont à l’organisateur (et à Google ou Meta) selon la politique de confidentialité de l’organisateur, qui est responsable de ce traitement.

Intégrations pour le compte de l’organisateur (API, webhooks et Zapier). Les organisateurs disposant d’une formule payante peuvent connecter leurs événements à leurs propres systèmes via notre API pour développeurs, des webhooks ou Zapier. Si un organisateur le fait, les données des commandes de ses acheteurs (comme le nom, l’adresse e-mail et les données de commande) sont envoyées pour le compte de l’organisateur à l’adresse ou au service qu’il a configuré (par exemple son propre CRM, une feuille de calcul ou une automatisation). Cet envoi est décidé et contrôlé par l’organisateur en tant que responsable du traitement, selon sa propre politique de confidentialité et ses accords avec les systèmes qu’il utilise ; tickts envoie les données en tant que sous-traitant selon les instructions de l’organisateur et ne répond pas de ce que fait de ces données le système qui les reçoit. Cela n’a lieu que si un organisateur a configuré une telle intégration pour ses événements.

Si vous faites un don à un organisateur qui est une association caritative britannique et choisissez le Gift Aid, votre nom et votre adresse sont partagés avec cette association pour qu’elle puisse demander le Gift Aid au HMRC. L’association est responsable du traitement de ces données Gift Aid, de la demande au HMRC et de la conservation des déclarations ; tickts traite les données pour le compte de l’association.

5a. Revente de billets

Si vous mettez en vente ou vendez un billet avec notre revente entre fans, nous traitons votre nom, votre adresse e-mail et l’opération de revente pour effectuer la revente, transférer le billet et vous payer. Pour être payé, vous connectez un compte de paiement Stripe Express ; Stripe collecte et vérifie les données d’identité et bancaires nécessaires pour vous payer (y compris, lorsque la loi l’exige, des données permettant de vérifier votre identité). Stripe est ici notre sous-traitant pour les paiements, comme indiqué à l’article 4. Si un organisateur encaisse avec PayPal, votre nom, votre adresse e-mail et l’opération sont partagés avec PayPal pour qu’il puisse traiter le paiement à cet organisateur ; PayPal traite en outre ces données selon sa propre politique de confidentialité. Si vous achetez un billet revendu, le vendeur ne reçoit pas vos données personnelles ; le transfert et le nouveau billet vous sont émis automatiquement par la plateforme.

6. Vos droits selon le RGPD

Selon le Règlement général sur la protection des données (RGPD) et la loi Informatique et Libertés, vous disposez des droits suivants sur vos données personnelles :

• Droit d’accès : vous pouvez demander une copie des données personnelles que nous détenons sur vous. Vous pouvez aussi exporter vous-même vos données à tout moment depuis les réglages de votre compte.
• Droit de rectification : vous pouvez nous demander de corriger des données inexactes ou incomplètes. Vous pouvez modifier vous-même la plupart des données dans les réglages de votre compte.
• Droit à l’effacement : vous pouvez supprimer votre compte depuis les réglages de votre compte. Si vous n’avez effectué aucune transaction, votre compte est définitivement supprimé. Si vous avez effectué des transactions (en tant qu’acheteur ou organisateur), votre compte est anonymisé au lieu d’être entièrement supprimé : votre nom est remplacé par « Deleted User », votre adresse e-mail par une adresse de substitution inutilisable, votre mot de passe et votre double authentification sont supprimés, et les identifiants Stripe, de connexion sociale et de facturation associés sont effacés. Les transactions, billets, scans et commandes sous-jacents sont conservés sous leur forme d’origine, pour respecter l’obligation de conservation du HMRC et pouvoir traiter les remboursements et les litiges des acheteurs. Les organisateurs ne peuvent pas fermer leur compte tant qu’ils ont des événements à venir avec des billets vendus, ni dans les 90 jours suivant leur dernière transaction.
• Droit à la limitation du traitement : vous pouvez nous demander de limiter l’utilisation de vos données personnelles.
• Droit à la portabilité : vous pouvez demander une copie de vos données dans un format structuré, couramment utilisé et lisible par machine (JSON).
• Droit d’opposition : vous pouvez vous opposer au traitement de vos données personnelles à certaines fins, notamment la prospection commerciale.
• Droit de retirer votre consentement : si nous traitons des données sur la base de votre consentement (par exemple les cookies d’analyse ou les e-mails de marketing), vous pouvez le retirer à tout moment. Cela n’affecte pas la licéité du traitement effectué avant le retrait.
• Directives post-mortem : vous pouvez définir des directives relatives à la conservation, à l’effacement et à la communication de vos données personnelles après votre décès (article 85 de la loi Informatique et Libertés).

Pour exercer l’un de ces droits, écrivez-nous à [email protected]. Vous pouvez nous écrire en français. Nous répondons dans un délai d’un mois. Si nous avons besoin de plus de temps (pour une demande complexe, deux mois de plus au maximum), nous vous en informons au cours du premier mois.

7. Décisions automatisées

Nous ne prenons pas de décisions automatisées et ne procédons pas à un profilage produisant des effets juridiques vous concernant ou vous affectant de manière significative de façon similaire. Notre prévention de la fraude peut utiliser des vérifications automatiques, mais elles sont toujours examinées par une personne avant toute mesure sur votre compte.

8. Durées de conservation

Nous conservons vos données personnelles tant que votre compte est actif ou aussi longtemps que nécessaire pour vous fournir nos services. Nous pouvons en outre conserver et utiliser vos données dans la mesure nécessaire pour respecter nos obligations légales, régler des litiges et faire appliquer nos accords.

En particulier :

• Données de compte : tant que votre compte existe et jusqu’à 2 ans après sa fermeture.
• Données de transaction : 7 ans, pour respecter les obligations comptables du HMRC ; cela couvre aussi les 6 ans de conservation du registre de billetterie pour les événements en France.
• Comptes supprimés : les données personnelles sont anonymisées au moment de la suppression. Les transactions, l’historique des commandes et les données des événements sont conservés 7 ans (HMRC).
• Déclarations Gift Aid : selon les exigences du HMRC. L’association caritative est responsable du traitement de ces données et de cette obligation de conservation ; tickts conserve les déclarations pour le compte de l’association.
• Données d’utilisation et d’analyse : 26 mois au maximum.
• Journaux de scan : 2 ans, pour régler les litiges et pour la fiabilité de la plateforme.
• Données de listes d’attente et d’inscription : une place sur la liste d’attente d’un événement est effacée 90 jours après la date de cet événement. Une inscription sur la page d’inscription d’un organisateur est effacée 24 mois après votre inscription. L’organisateur peut vous effacer plus tôt et vous pouvez nous demander, ou demander à l’organisateur, de vous effacer à tout moment. Après l’effacement, nous ne conservons qu’un décompte des inscriptions générées par un représentant ou un lien, sans rien qui permette de vous identifier. Un organisateur peut avoir exporté sa liste auparavant ; il est responsable de la copie qu’il conserve.
• Échanges avec notre assistance : jusqu’à 3 ans après le dernier échange.
• Preuves de consentement (cookies, marketing) : 2 ans ; elles sont ensuite effacées automatiquement.
• Journaux d’activité de gestion des organisateurs : 30 jours ; ils sont ensuite effacés automatiquement.
• Journaux d’audit de migration de plateforme (la confirmation par un organisateur que le contenu importé avec l’outil de migration lui appartient) : 6 ans à compter de l’import, pour pouvoir nous défendre contre des réclamations de tiers portant sur le contenu importé.
• Journaux d’erreurs et de sécurité : 90 jours au maximum, sauf enquête en cours.

9. Sécurité

Nous appliquons des mesures techniques et organisationnelles appropriées pour protéger vos données personnelles contre l’accès, la modification, la divulgation ou la destruction non autorisés. Notamment :

• le chiffrement en transit (TLS/SSL) de toutes les données échangées avec la plateforme ;
• le hachage sécurisé des mots de passe avec bcrypt ;
• des contrôles de sécurité et des analyses de vulnérabilités réguliers ;
• des contrôles d’accès qui limitent l’accès du personnel et des systèmes aux données personnelles ;
• une protection contre les attaques DDoS et un pare-feu applicatif (WAF) de Cloudflare ;
• une double authentification facultative (TOTP) avec des codes de récupération à usage unique ; les clés secrètes sont enregistrées chiffrées.

10. Transferts hors de l’EEE

tickts.fr est un site de TICKTS LTD, au Royaume-Uni, et les données de l’application sont hébergées au Royaume-Uni chez Cloudways/DigitalOcean (région de Londres). Le transfert de données personnelles depuis l’Espace économique européen vers le Royaume-Uni repose sur la décision d’adéquation de la Commission européenne pour le Royaume-Uni (décision d’exécution (UE) 2021/1772 du 28 juin 2021). Si cette décision était abrogée ou expirait sans être renouvelée, nous signerions des clauses contractuelles types de l’UE (décision d’exécution (UE) 2021/914) ou adopterions une autre garantie appropriée au sens de l’article 46 du RGPD avant tout nouveau transfert.

Certains de nos sous-traitants (Stripe, Google, Sentry, Apple, Meta, TikTok, Cloudflare) sont établis aux États-Unis ou y opèrent (TikTok aussi depuis Singapour). Pour ces transferts, nous appliquons des garanties appropriées au sens de l’article 46 du RGPD, comme les clauses contractuelles types de l’UE, ou nous nous appuyons sur la participation du destinataire à un cadre d’adéquation reconnu (par exemple le cadre de protection des données UE-États-Unis, le cas échéant).

Vous pouvez demander des informations sur la garantie applicable à un sous-traitant donné en écrivant à [email protected].

11. Violations de données

En cas de violation de données susceptible d’engendrer un risque pour vos droits et libertés, nous la notifions à l’autorité de contrôle compétente dans les 72 heures après en avoir pris connaissance, comme l’exige l’article 33 du RGPD. Si elle est susceptible d’engendrer un risque élevé pour vos droits, nous vous en informons aussi directement dans les meilleurs délais.

12. Mineurs

Notre plateforme ne s’adresse pas aux personnes de moins de 16 ans. Nous ne collectons pas sciemment de données personnelles de personnes de moins de 16 ans. Si vous pensez que nous avons collecté des données d’une personne de moins de 16 ans, contactez-nous immédiatement et nous veillerons à leur effacement.

13. Contact et réclamations

Nous ne sommes pas tenus de désigner un délégué à la protection des données (article 37 du RGPD), car nous ne sommes pas une autorité publique et nos activités de base ne consistent ni en un suivi à grande échelle des personnes ni en un traitement à grande échelle de catégories particulières de données. Nous traitons dans une faible mesure des catégories particulières de données lorsque vous indiquez volontairement des besoins d’accessibilité (voir l’article 2a), mais c’est facultatif, occasionnel et non à grande échelle. Toutes les questions relatives à la vie privée sont traitées par l’équipe confidentialité de tickts aux coordonnées ci-dessous ; cette équipe est notre point de contact en matière de protection des données.

Si vous avez des questions sur cette politique de confidentialité ou sur notre traitement des données, souhaitez exercer vos droits ou introduire une réclamation, contactez-nous :

• E-mail : [email protected]
• Téléphone : +44 7723 231454
• Courrier : TICKTS LTD, 124-128 City Road, Londres, EC1V 2NX, Royaume-Uni

Autorité de contrôle. Si vous résidez en France et estimez que nous ne respectons pas vos droits en matière de protection des données, vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL). Le site cnil.fr explique comment procéder. Vous pouvez aussi saisir l’autorité de contrôle du pays où vous vivez ou travaillez.