1. Qui est responsable
Pour les listes d’invités, les invitations et les entrées, l’organisateur de l’événement détermine les finalités et les moyens du traitement : il en est le responsable, et InviteKey agit pour son compte en tant que sous-traitant, dans les conditions de la section 6 des conditions d’utilisation.
Pour les comptes utilisateurs, la facturation, la sécurité et ce site, InviteKey est responsable du traitement. Nous conseillons aux invités de consulter également la politique de confidentialité de l’organisateur.
2. Données traitées et finalités
Comptes et assistance : nom, adresse email professionnelle, organisation et rôle, données d’authentification et échanges avec l’assistance. Ils servent à fournir les comptes, répondre aux demandes, administrer et protéger le service. Base légale : l’exécution du contrat, notre intérêt légitime à exploiter un service sûr, ou une obligation légale, selon le cas.
Événements et invités : informations et images de l’événement, nom, adresse email et catégorie des invités, tout autre champ saisi par l’organisateur, statut de l’invitation et de sa remise, identifiants de passe, heure, point de contrôle et appareil des entrées. Ces données sont traitées sur instruction de l’organisateur pour créer, envoyer et vérifier les accès ; il lui revient de déterminer et d’expliquer à ses invités sa propre base légale.
Suivi des emails : pour chaque email d’invitation, notre prestataire d’envoi enregistre sa remise et, lorsque la messagerie de l’invité le permet, son ouverture et les clics sur ses liens. Ces informations indiquent à l’organisateur si l’invitation est bien parvenue et permettent de traiter les adresses en erreur.
Usage technique : adresse IP, journaux d’accès et de sécurité, informations de session indispensables et, pour les appareils de vérification des invitations (les téléphones et tablettes qui lisent les QR codes à l’entrée d’un événement) et les passes Apple Wallet, les identifiants techniques de l’appareil, pour faire fonctionner et sécuriser l’application et l’API. Base légale : notre intérêt légitime à la sécurité et à la fiabilité du service.
Contrôle anti-robot : avant une connexion, une inscription, l’acceptation d’une invitation à rejoindre une équipe ou le renvoi d’un code, Cloudflare Turnstile vérifie que la demande est faite par une personne et non par un programme automatique. Il analyse pour cela des informations techniques sur le navigateur et l’appareil, dont l’adresse IP, le plus souvent sans rien demander, parfois en faisant cocher une case. Base légale : notre intérêt légitime à protéger le service et ses utilisateurs contre les abus.
Mesure d’audience Cloudflare du site : sur le seul site vitrine, pages consultées, site de provenance, pays, type d’appareil et de navigateur, sans cookie ni stockage dans votre navigateur et sans suivi d’un site à l’autre, pour savoir comment le site est consulté. L’application, y compris sur les appareils de vérification, et les pages d’invitation ne sont pas mesurées. Base légale : notre intérêt légitime à connaître la fréquentation du site.
Google Analytics : avec votre accord, Google Analytics mesure les pages consultées et les clics vers une offre payante ou un devis sur le seul site vitrine. Google peut déposer des cookies et recevoir des données techniques sur votre visite, notamment l’adresse IP et les caractéristiques du navigateur. Cette mesure ne porte pas sur l’application, les pages d’invitation, le contrôle d’accès ou les paiements. Vous pouvez refuser ou retirer votre accord à tout moment avec « Choix des statistiques » dans le pied de page. Base légale : votre consentement.
Facturation : commandes, offres et transactions, en cas d’achat d’une offre payante, pour gérer l’achat et respecter nos obligations comptables et fiscales. Les paiements par carte sont encaissés par Paypercut (section 3).
Aucune décision produisant des effets juridiques à votre égard ou vous affectant de manière significative n’est prise sur le seul fondement d’un traitement automatisé.
3. Destinataires et prestataires
Nous ne vendons pas de données personnelles et ne communiquons pas de listes d’invités à des annonceurs ou à des partenaires sans lien avec le service. L’accès est réservé aux utilisateurs autorisés de l’organisateur, aux personnes qui en ont besoin pour le service, et aux prestataires suivants :
Brevo envoie les emails d’invitation et de compte ; il reçoit l’adresse email et le contenu du message, et mesure leur remise, leur ouverture et les clics ; il conserve l’historique des envois un mois, sans garder le contenu des messages. Backblaze B2 stocke dans un espace privé les images des événements et, le temps d’un import, le fichier de la liste d’invités importée, effacé au plus tard trois jours après son dépôt. Railway héberge l’API, les traitements et la base de données ; ses journaux techniques conservent trente jours les requêtes reçues, dont l’adresse IP de l’appareil. Cloudflare diffuse le site et l’application, mesure l’audience du site vitrine et vérifie, avant une connexion ou une inscription, que la demande ne vient pas d’un programme automatique. Paypercut encaisse les paiements par carte des offres achetées en ligne ; il reçoit l’adresse email de l’acheteur, pour préremplir sa page de paiement, et les données de la carte, saisies directement sur cette page et jamais transmises à InviteKey. Google : lorsqu’un invité choisit « Ajouter à Google Wallet », les informations de son passe — nom, événement, catégorie, QR code — sont transmises à Google, qui les traite selon ses propres règles. Apple : lorsqu’un invité choisit « Ajouter à Apple Wallet », le passe est téléchargé directement sur son appareil, sans que son contenu soit transmis à Apple par InviteKey ; les services d’Apple, comme iCloud, peuvent ensuite le synchroniser entre ses appareils, selon les règles d’Apple.
Pour un passe ajouté à un Wallet, consultez la politique de confidentialité d’Apple ou les règles de confidentialité de Google. Elles décrivent les traitements de ces entreprises ; cette page reste celle des traitements d’InviteKey.
L’organisateur peut donner accès à son équipe et à ses appareils de vérification. Nous pouvons aussi communiquer des informations lorsque la loi l’exige ou pour protéger des droits ou la sécurité de personnes, dans la stricte mesure nécessaire.
4. Transferts hors de l’Union européenne
Nos données sont hébergées dans l’Union européenne. Cependant, certains prestataires, ou leurs infrastructures, peuvent traiter des données hors de l’Espace économique européen. Ces transferts sont alors encadrés par un mécanisme reconnu, comme une décision d’adéquation ou les clauses contractuelles types de la Commission européenne. Contactez-nous pour connaître les garanties applicables à vos données. Apple et Google peuvent aussi traiter les données Wallet selon leurs propres règles.
5. Durées de conservation
La durée de conservation des données d’un événement dépend de l’offre choisie ; elle est affichée dans le service et court à partir du jour de début de l’événement, qui ne peut pas être repoussé au-delà de la période couverte par l’offre. À son échéance, l’accès prend fin et les données sont supprimées de nos systèmes actifs selon notre procédure de suppression automatisée. Tant qu’aucune invitation n’a été envoyée pour un événement, ses données sont conservées jusqu’à l’expiration de l’offre utilisée — avec l’offre gratuite, douze mois après la création de l’événement —, puis supprimées de la même manière. Des copies limitées peuvent subsister temporairement après l’échéance : au plus quatre semaines dans les sauvegardes de la base de données, trente jours dans les journaux techniques de notre hébergeur et un mois dans l’historique d’envoi de notre prestataire d’emails. Si une sauvegarde est restaurée, ces données restent inaccessibles et sont supprimées de nouveau. Nous ne promettons pas l’effacement instantané de chaque copie à l’échéance.
Trois sortes de copies échappent à notre contrôle et peuvent subsister après la fin de l’accès.
Les exports téléchargés par l’organisateur sont conservés sous sa seule responsabilité ; il lui appartient de les supprimer.
La liste des invités gardée hors ligne sur les appareils de vérification (noms, catégories et, si l’organisateur l’active, adresses email) est effacée de l’appareil à sa déconnexion ou, à défaut, dès que l’application y est rouverte après la fin de son accès. Un appareil qui n’est jamais rouvert la conserve jusqu’à ce que les données de son navigateur soient effacées : l’organisateur doit donc déconnecter ses appareils à la fin de l’événement.
Les passes enregistrés dans l’application Wallet d’un invité restent sur son appareil : l’invité peut les supprimer à tout moment, et Apple et Google décident de leur propre conservation des données Wallet. À la suppression des données de l’événement, InviteKey remplace le passe par une version qui ne contient plus le nom de l’invité ni son QR code ; un appareil resté éteint ou hors ligne plus de 30 jours peut en garder l’ancienne version.
Les données de compte et d’assistance sont conservées tant que le compte existe et que les demandes le nécessitent, puis pendant une durée limitée lorsque la sécurité, un litige ou une obligation légale l’exige. Les données de facturation sont conservées pendant les durées comptables et fiscales applicables. Vous pouvez nous demander la durée applicable à une donnée précise.
Le journal de sécurité et d’audit est conservé un an, et au moins six mois après la suppression des données de l’événement qu’il concerne ; les traces des envois, des paiements et des décisions sur les offres sont conservées cinq ans.
6. Vos droits
Selon votre situation et le traitement concerné, vous pouvez demander l’accès à vos données, leur rectification, leur effacement, la limitation de leur traitement ou leur portabilité, vous opposer au traitement, et retirer votre consentement lorsqu’il en est la base. Ces droits peuvent être limités par la loi. Écrivez à support@invitekey.app ; nous pouvons avoir besoin de vérifier votre identité avant d’agir.
Si vous êtes invité à un événement, l’organisateur est en principe le premier interlocuteur pour toute demande sur votre invitation ou votre présence. Vous pouvez aussi nous écrire : nous transmettrons ou traiterons la demande selon le cas. Vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL), www.cnil.fr, ou de l’autorité de protection des données de votre pays.
7. Sécurité et stockage sur votre appareil
Nous appliquons des contrôles d’accès et d’autres mesures techniques et organisationnelles destinées à protéger les données. Aucun service en ligne ne peut garantir une sécurité absolue. Signalez tout abus suspecté à support@invitekey.app.
Le site enregistre dans votre navigateur votre langue, votre préférence de thème clair ou sombre et votre choix sur les statistiques. L’application y enregistre votre langue, votre thème, la méthode de connexion que vous avez choisie, les bandeaux que vous avez masqués et, pendant vingt-quatre heures, l’achat à reprendre après votre connexion ; le temps d’une connexion ou d’une inscription, l’onglet garde aussi la demande en cours — adresse saisie et référence —, effacée à sa fermeture. Elle utilise un cookie de session indispensable pour garder les utilisateurs connectés et sécuriser l’accès, et les appareils de vérification gardent les données de l’événement nécessaires à la vérification hors ligne. Les polices et les images de l’interface sont servies par InviteKey lui-même ; seuls le contrôle anti-robot de Cloudflare, sur les pages de connexion et d’inscription — y compris celle qui permet de rejoindre une équipe —, et Google Analytics, sur le site vitrine et avec votre accord, chargent un script d’un tiers.
8. Modifications et questions
Nous pouvons modifier cette politique lorsque le service ou la réglementation évolue. La version en vigueur et sa date figurent en tête de cette page. Pour toute question ou demande : support@invitekey.app.
Le responsable du traitement est Adrian Tanasescu EI, entrepreneur individuel immatriculé en France (SIREN 529 157 810), 9 rue des Grisemottes, 69220 Belleville-en-Beaujolais, France, qui édite InviteKey.