Politique de Confidentialité

1. Qui traite vos données

Aucun délégué à la protection des données n'a été désigné : cette désignation n'est pas obligatoire au regard de la nature et de l'échelle des traitements réalisés. Les demandes sont traitées directement par la responsable de traitement. Cette position est réexaminée à mesure de la croissance de l'activité.

2. Nos deux rôles — et pourquoi cela vous concerne

Les engagements pris envers nos utilisatrices en qualité de sous-traitant figurent dans l'accord de sous-traitance.

3. Ce que nous traitons, et pourquoi

4. Les données que vous saisissez pour vos propres clients

Vous déposez dans Bloomara Event des données concernant vos clients, vos invités, vos prestataires et vos intervenants : identité, coordonnées, fonction, société, contraintes logistiques, montants de prestation, et parfois des informations libres pouvant inclure des données sensibles telles que des allergies alimentaires ou des besoins d'accessibilité.

Nous traitons ces données uniquement sur vos instructions, pour vous fournir le service. Nous ne les exploitons à aucune autre fin, nous ne les vendons pas, nous ne les utilisons ni à des fins publicitaires ni pour entraîner un modèle d'intelligence artificielle. Vous en restez seule responsable au sens du RGPD : il vous appartient de disposer d'une base légale pour les collecter et d'informer les personnes concernées.

5. Intelligence artificielle — l'assistant Bloom

Bloomara Event intègre un assistant conversationnel nommé Bloom. Nous devons être précises sur son fonctionnement, parce que c'est le traitement qui présente le plus d'enjeux.

• Bloom repose sur l'API Claude d'Anthropic PBC, société de droit américain.
• Les contenus que vous soumettez à Bloom sont transmis aux États-Unis. Il n'existe pas, à ce jour, de région européenne pour cette interface. Ce transfert est encadré par les clauses contractuelles types de la Commission européenne, modules 2 et 3, prévues par la décision d'exécution (UE) 2021/914.
• Anthropic ne peut contractuellement pas entraîner ses modèles sur les contenus que nous lui transmettons.
• Anthropic supprime les entrées et les sorties de l'API sous trente jours. Par exception, un contenu signalé par ses systèmes de sécurité peut être conservé jusqu'à deux ans. Cette durée échappe à notre contrôle et nous vous le signalons en toute transparence : elle peut limiter notre capacité à faire aboutir une demande d'effacement portant sur un tel contenu.
• Nous appliquons un principe de minimisation : nous limitons les données personnelles transmises à ce qui est strictement nécessaire à la tâche demandée.

Si vous ne souhaitez pas qu'une donnée soit traitée par l'assistant, ne la saisissez pas dans une conversation avec Bloom. Le reste de la Plateforme fonctionne sans faire appel à cette interface. Les conditions détaillées figurent dans les conditions d'utilisation de Bloom.

6. Qui accède à vos données

Nous ne vendons ni ne louons vos données. Elles sont accessibles à la responsable de traitement et à des prestataires techniques agissant sur nos instructions, dans les limites de leur mission.

La liste à jour est disponible sur simple demande à contact@bloomara-event.com. Nos utilisatrices sont informées avant tout ajout d'un nouveau sous-traitant, dans les conditions de l'accord de sous-traitance.

7. Transferts hors de l'Union européenne

Certains de nos prestataires sont établis hors de l'Union européenne, principalement aux États-Unis. Ces transferts sont encadrés par :

• les clauses contractuelles types adoptées par la Commission européenne (décision d'exécution (UE) 2021/914) ;
• le cadre de protection des données UE–États-Unis pour les prestataires qui y sont certifiés ;
• la décision d'adéquation du 15 janvier 2024 concernant la Suisse.

Nous privilégions systématiquement, lorsqu'elle existe, l'option d'hébergement européenne de nos prestataires. Nous suivons l'évolution du cadre de protection des données UE–États-Unis et avons vérifié que nos principaux prestataires prévoient un basculement contractuel vers les clauses contractuelles types en cas d'invalidation de ce cadre.

8. Durées de conservation

Les durées figurent dans le tableau de la section 3. Deux principes les gouvernent.

Au-delà de la durée d'utilisation courante, les données qui doivent être conservées pour une obligation légale ou en prévision d'un contentieux sont placées en archivage intermédiaire, avec un accès restreint. Elles ne sont plus utilisées pour la gestion courante.

Les pièces comptables sont conservées dix ans, conformément à l'article L. 123-22 du code de commerce. Cela ne signifie pas que votre fiche client reste active dix ans : seules les données strictement comptables — facture, montant, identité du cocontractant — sont archivées. Le reste est purgé à trois ans.

Le dossier de preuve d'une signature électronique est conservé cinq ans, correspondant au délai de prescription civile. Sur ce point précis, une demande d'effacement peut être refusée sur le fondement de l'article 17.3.e du RGPD tant que ce délai court ; nous vous en expliquons alors les raisons par écrit.

9. Cookies et traceurs

Nous déposons des traceurs strictement nécessaires au fonctionnement du service — authentification, sécurité, mémorisation de vos préférences — qui ne requièrent pas votre consentement, ainsi que des traceurs de mesure d'audience et d'analyse produit, qui le requièrent dès lors qu'ils permettent un suivi individuel.

Notre bandeau vous permet de refuser aussi simplement que d'accepter, finalité par finalité. Vos choix — refus comme acceptation — sont conservés six mois, puis nous vous les redemandons. Vous pouvez les modifier à tout moment depuis le lien « Gérer mes cookies » en pied de page.

10. Vos droits

Pour exercer ces droits : contact@bloomara-event.com. Nous répondons dans un délai d'un mois, prolongeable de deux mois si la demande est complexe, auquel cas nous vous en informons. Un justificatif d'identité peut être demandé en cas de doute raisonnable.

Si vous êtes client, invité ou prestataire d'une utilisatrice de Bloomara Event, adressez votre demande à l'organisatrice de votre événement : c'est elle qui décide de vos données. Nous l'assistons pour y répondre et vous orientons vers elle si vous nous écrivez directement.

Vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr/fr/plaintes.

11. Sécurité

• Chiffrement des données en transit (TLS 1.2 minimum) et au repos (AES-256).
• Cloisonnement strict entre comptes : chaque enregistrement est rattaché à un identifiant utilisateur et protégé par des règles de sécurité au niveau de la base de données, actives sur l'intégralité des tables.
• Stockage de fichiers privé, cloisonné par utilisateur, avec restriction des types et des tailles de fichiers acceptés.
• Aucune donnée bancaire n'est stockée par Bloomara Event : les paiements sont intégralement délégués à Stripe, certifié PCI DSS de niveau 1.
• Clés d'interface et secrets techniques conservés dans un coffre dédié, jamais exposés côté navigateur.
• Sauvegardes quotidiennes chiffrées et supervision continue des erreurs.
• Audits de sécurité périodiques et politique de correctifs sur les dépendances logicielles.

12. Violation de données

Nous tenons un registre interne de tout incident de sécurité affectant des données personnelles, quelle que soit sa gravité. Lorsqu'une violation présente un risque pour vos droits et libertés, nous la notifions à la CNIL dans les soixante-douze heures suivant sa découverte. Lorsque le risque est élevé, nous vous en informons directement, en termes clairs.

Lorsque nous agissons comme sous-traitant, nous alertons l'utilisatrice concernée sans délai et au plus tard sous quarante-huit heures, afin qu'elle puisse tenir ses propres obligations.

13. Modification

Cette politique peut évoluer, notamment en cas d'ajout de fonctionnalité ou de changement de prestataire. La date de dernière mise à jour figure en tête. En cas de modification substantielle, nos utilisatrices sont informées par courriel avant l'entrée en vigueur.