Politique de confidentialité

Préambule

La société AURAE (ci-après « Aurae », « nous ») attache une importance particulière à la protection des données personnelles des personnes qui utilisent sa plateforme aurae-events.fr (ci-après « la Plateforme ») ou qui entrent en contact avec elle. La présente Politique de confidentialité a pour objet d'informer, conformément au Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD ») et à la loi n°78-17 du 6 janvier 1978 modifiée, toute personne concernée des traitements de données personnelles mis en œuvre par Aurae, de leurs finalités, de leur base légale, de leurs destinataires, de leur durée de conservation, ainsi que des droits dont elle dispose.

Les termes définis à l'Article 2 des Conditions Générales d'Utilisation (« Plateforme », « Utilisateur », « Prestataire », « Membre du Cercle », « Services Premium ») s'appliquent à la présente Politique de confidentialité.

1. Identité du responsable de traitement

Le responsable des traitements décrits dans la présente Politique de confidentialité est :

AURAE, Société par Actions Simplifiée Unipersonnelle au capital social fixe de 1 000 euros, immatriculée au Registre du Commerce et des Sociétés de Poitiers sous le numéro 107 049 322, dont le siège social est situé 73 rue du Marchais, 86530 Availles-en-Châtellerault, France.

Pour toute question relative à la présente Politique de confidentialité ou à l'exercice de vos droits, vous pouvez contacter Aurae à l'adresse rgpd@aurae-events.fr.

Compte tenu de la taille et de l'activité d'Aurae, la désignation d'un Délégué à la Protection des Données (DPO) n'est pas obligatoire au sens de l'article 37 du RGPD. Aurae assure elle-même le point de contact pour toute question relative à la protection des données personnelles, à l'adresse ci-dessus.

2. Champ d'application

La présente Politique de confidentialité s’applique à l’ensemble des traitements de données personnelles réalisés par Aurae dans le cadre de l’exploitation de la Plateforme et de la conclusion de ses contrats, qu’il s’agisse des données des Utilisateurs, des Prestataires (candidats ou référencés), des Membres du Cercle, des personnes contactant Aurae via le formulaire de contact du Site sans disposer de compte, des personnes signataires d’un accord de confidentialité ou d’un autre contrat conclu avec Aurae, ou de leurs représentants, ou des personnes ayant simplement manifesté un intérêt pour Aurae sans créer de compte (« Prospects »).

Elle ne régit pas les traitements de données personnelles mis en œuvre par un Prestataire pour son propre compte, notamment à l’égard des Utilisateurs avec lesquels il est mis en relation. Dans le cadre d’une Mise en relation, le Prestataire accède, via la messagerie de la Plateforme, au nom et au prénom de l’Utilisateur, aux informations relatives à son projet et à leurs échanges. Aurae ne lui communique jamais l’adresse e-mail, le numéro de téléphone ni l’adresse postale de l’Utilisateur, qui reste libre de les lui transmettre directement. Le Prestataire est responsable de traitement autonome pour les traitements qu’il réalise à partir de ces données, dans les conditions qui lui sont propres.

3. Données collectées et finalités des traitements

3.1 Utilisateurs

Dans le cadre de la création et de la gestion d'un compte Utilisateur, Aurae collecte : identité (nom, prénom), adresse e-mail, mot de passe (sous forme chiffrée), informations relatives au projet événementiel (type d'événement, date, budget envisagé, préférences), historique des Mises en relation, des Commandes de Services Premium et des avis déposés.

Les avis déposés par un Utilisateur sur le Profil d'un Prestataire, dans les conditions de l'Article 8 des CGU, sont publiés et visibles publiquement par l'ensemble des visiteurs de la Plateforme. Le prénom de l'Utilisateur, tel que renseigné sur son compte, est susceptible d'être affiché aux côtés de son avis. L'Utilisateur en est informé au moment du dépôt de chaque avis.

• Finalité : création, gestion et sécurisation du compte Utilisateur — base légale : exécution du contrat (CGU) ;

• Finalité : mise en relation avec les Prestataires — base légale : exécution du contrat (CGU) ;

• Finalité : souscription et exécution des Services Premium — base légale : exécution du contrat (CGV Particuliers) ;

• Finalité : gestion de la relation client, réponse aux réclamations — base légale : intérêt légitime d'Aurae à assurer un service de qualité ;

• Finalité : établissement des factures et respect des obligations comptables et fiscales — base légale : obligation légale.

3.2 Prestataires

Lors de la création d'un compte Prestataire, librement ouvert à toute personne exerçant une activité professionnelle événementielle, Aurae collecte les données d'identité et de coordonnées professionnelles du candidat. Lors de la complétion du Profil Prestataire, préalable à l'engagement du processus de sélection décrit à l'Article 6 des CGU, Aurae collecte en complément les informations relatives à l'activité professionnelle (SIRET, assurances, portfolio, tarification indicative, zone géographique) et, le cas échéant, les pièces justificatives nécessaires à l'évaluation de la candidature.

Ces données sont conservées que le processus de sélection aboutisse ou non à un référencement. Le Profil Prestataire n'est publié sur la Plateforme qu'en cas de décision favorable d'Aurae et de signature de la Convention de Référencement.

• Finalité : gestion du compte et évaluation de la candidature — base légale : mesures précontractuelles prises à la demande du candidat ;

• Finalité : gestion du Profil Prestataire publié et de la relation contractuelle — base légale : exécution de la Convention de Référencement ;

• Finalité : facturation de la commission prévue par la Convention de Référencement — base légale : exécution du contrat et obligation légale.

3.3 Échanges entre Utilisateurs et Prestataires

La Plateforme met à disposition des Utilisateurs et des Prestataires une messagerie intégrée leur permettant d'échanger dans le cadre d'une Mise en relation. En l'absence de signalement, Aurae n'a pas accès au contenu de ces échanges.

• Finalité : traitement des signalements relatifs à un échange entre un Utilisateur et un Prestataire via la messagerie intégrée à la Plateforme — base légale : intérêt légitime d'Aurae à assurer la sécurité de la Plateforme, le respect des CGU et la bonne résolution des litiges entre Membres.

En cas de signalement portant sur un tel échange, Aurae peut accéder au contenu de la conversation concernée, dans la stricte mesure nécessaire à l'examen du signalement et à la vérification du respect des CGU. Cet accès est limité à la conversation visée par le signalement et n'est conservé que pour la durée nécessaire au traitement de celui-ci.

3.4 Membres du Cercle

Lorsqu'un Utilisateur invite un proche à rejoindre son Cercle dans les conditions de l'Article 20 des CGU, Aurae traite les données transmises par l'Utilisateur à cette fin (prénom, nom, adresse e-mail, lien déclaré avec l'Utilisateur), ainsi que les données générées par l'usage que le Membre du Cercle fait des fonctionnalités qui lui sont déléguées.

• Finalité : fonctionnement du Cercle de confiance et délégation d'accès aux fonctionnalités de gestion de l'événement — base légale : exécution du contrat conclu entre Aurae et l'Utilisateur, dans l'intérêt du Membre du Cercle.

Conformément à l'article 14 du RGPD, applicable lorsque des données personnelles sont collectées auprès d'un tiers plutôt que directement auprès de la personne concernée, le Membre du Cercle est informé de ce traitement dès réception de son invitation, par un lien vers la présente Politique de confidentialité inséré dans l'e-mail d'invitation et rappelé avant tout premier accès aux fonctionnalités partagées.

Lors de l'acceptation de l'invitation, le Membre du Cercle peut cocher une case optionnelle, distincte de l'acceptation des CGU, par laquelle il consent à recevoir des communications d'Aurae relatives à ses propres projets événementiels futurs. Ce consentement, spécifique à cette finalité de prospection, est distinct de celui régissant l'accès au Cercle et peut être retiré à tout moment dans les conditions prévues à l'Article 3.6.

3.5 Personnes contactant Aurae

Aurae collecte les données transmises par toute personne qui la contacte via le formulaire de contact du Site, qu'elle dispose ou non d'un compte Utilisateur ou Prestataire. Ces données comprennent la qualité du contact (particulier, prestataire ou autre), son nom et son prénom, son adresse e-mail, le contenu de son message, ainsi que, le cas échéant, son numéro de téléphone et la date de son événement — ces deux derniers champs étant facultatifs et n'étant demandés que dans la mesure nécessaire pour permettre à Aurae de répondre utilement à la demande.

• Finalité : répondre à la demande formulée et assurer le suivi de l'échange qui en découle — base légale : intérêt légitime d'Aurae à traiter les demandes qui lui sont adressées par l'intermédiaire de son Site.

Les modalités de conservation de ces données sont précisées à l'Article 7 de la présente Politique.

3.6 Prospects

Aurae collecte l'adresse e-mail et, le cas échéant, le prénom des personnes ayant manifesté un intérêt pour Aurae sans être Utilisateur, Prestataire ou Membre du Cercle, notamment : (i) via des campagnes ponctuelles de collecte menées sur les réseaux sociaux d'Aurae (Instagram, LinkedIn, ou tout autre réseau sur lequel Aurae est présente) ; ou (ii) via la case newsletter, facultative et non cochée par défaut, proposée dans le formulaire de contact du Site ou, plus généralement, sur le Site.

• Finalité : information sur le lancement de la Plateforme, actualités d'Aurae et prospection commerciale — base légale : consentement de la personne concernée, recueilli au moment de la collecte.

Conformément au principe de minimisation, ces données ne sont conservées que le temps nécessaire à cette finalité de prospection. La personne concernée peut à tout moment retirer son consentement et demander la suppression de ses données, sans que cela affecte la licéité du traitement effectué avant ce retrait, en écrivant à rgpd@aurae-events.fr ou en utilisant le lien de désinscription figurant dans chaque communication.

3.7 Enquêtes de satisfaction

Aurae peut inviter les Utilisateurs et les Prestataires à répondre à un questionnaire portant sur leur expérience de la Plateforme, par e-mail à l'adresse associée à leur compte, et analyse les réponses obtenues afin de faire évoluer le service. Les réponses recueillies ne sont pas nominatives. Si la personne interrogée accepte d'être citée en témoignage ou d'être recontactée, Aurae recueille en complément son nom ou son prénom, le nom de son entreprise le cas échéant, ainsi que son adresse e-mail ou son numéro de téléphone.

• Finalité : invitation à répondre à un questionnaire de satisfaction et analyse des réponses afin d'améliorer la Plateforme — base légale : intérêt légitime d'Aurae à faire évoluer son service. Vous pouvez vous opposer à ce traitement à tout moment en écrivant à rgpd@aurae-events.fr.

3.8 Ordre d’affichage en recherche standard

En dehors de l'utilisation des Services Premium Filtrage avancé et Projet visés à l'Article 3.9 ci-après, et à défaut de tri explicite sélectionné par l'Utilisateur parmi les options proposées par la Plateforme, l'ordre d'affichage des Prestataires dans les résultats de recherche est aléatoire. Ce mode d'affichage ne repose sur aucune pondération liée à la note moyenne, à l'ancienneté d'inscription ou à tout autre critère, et n'est influencé par aucune contrepartie financière versée par un Prestataire. Cette information est communiquée conformément aux exigences de transparence sur le classement prévues par le Règlement (UE) 2019/1150 (« Règlement P2B »). Ce mode de classement par défaut est susceptible d'évoluer, notamment pour améliorer la pertinence des résultats proposés aux Utilisateurs ; toute évolution substantielle fera l'objet d'une mise à jour de la présente Politique.

3.9 Absence de décision entièrement automatisée

Les Services Premium Filtrage avancé et Projet mettent en œuvre un classement algorithmique des Prestataires, fondé exclusivement sur la correspondance entre le cahier des charges ou les critères saisis par l'Utilisateur et les caractéristiques déclarées par les Prestataires dans leur Profil. Conformément à l'Article 6 des CGU, ce classement ne repose sur aucun autre paramètre, notamment les avis, le taux de réponse ou l’ancienneté du référencement, et n'est en rien influencé par le versement d'une contrepartie financière par un Prestataire. Ce traitement constitue un profilage au sens de l'article 4(4) du RGPD, dont l'unique finalité est d'ordonner les résultats affichés à l'Utilisateur.

Ce classement ne produit, à lui seul, aucun effet juridique ou similaire à l'égard de l'Utilisateur ou du Prestataire : il ne constitue qu'une aide à la décision, et le choix final d'entrer en contact avec un Prestataire, ou d'accepter une Mise en relation, appartient exclusivement à l'Utilisateur et au Prestataire concernés. Aurae ne met en œuvre aucune décision entièrement automatisée, au sens de l'article 22 du RGPD, produisant des effets juridiques ou affectant significativement les personnes concernées.

3.10 Signature électronique des conventions et contrats

Aurae fait signer électroniquement la Convention de Référencement et ses avenants, ainsi que les accords de confidentialité et les autres contrats qu’elle conclut, au moyen de la solution de signature électronique de Youtrust SAS, société établie en France, qui agit en qualité de sous-traitant d’Aurae.

Ce traitement concerne les Prestataires et, lorsque le Prestataire est une personne morale, la personne qui signe pour son compte ; les cocontractants d’Aurae signataires d’un accord de confidentialité ou d’un autre contrat, ou leur représentant ; ainsi que le représentant d’Aurae.

Les données traitées sont : l’identité (nom, prénom), la fonction ou qualité, la dénomination de la société, le numéro SIREN ou SIRET, l’adresse professionnelle, l’adresse e-mail, le numéro de téléphone mobile auquel est envoyé le code de confirmation de la signature, la signature électronique, ainsi que les éléments techniques de preuve générés lors de la signature (adresse IP, horodatage, journal des opérations, empreinte du document). Le document signé contient en outre les informations qui y figurent.

• Finalité : préparation, signature électronique et conservation probatoire des conventions et contrats conclus par Aurae — base légale : exécution du contrat ou mesures précontractuelles prises à la demande de la personne concernée, lorsque celle-ci est partie au contrat ; intérêt légitime d’Aurae à conclure valablement le contrat avec la personne morale représentée et à s’en ménager la preuve, lorsque le signataire agit pour le compte d’une personne morale ;
• Finalité : conservation des contrats signés après leur terme — base légale : intérêt légitime d’Aurae à constater, exercer ou défendre ses droits en justice.

Pour ses propres obligations de prestataire de services de confiance, notamment la conservation de la preuve du processus de signature, la lutte contre la fraude et la sécurité de son service, Youtrust traite également certaines données des signataires en qualité de responsable de traitement autonome. Ces traitements sont décrits dans la politique de confidentialité de Youtrust, accessible sur youtrust.com.

Les durées de conservation sont précisées à l’Article 7 ; les destinataires et les éventuels transferts hors de l’Union européenne, aux Articles 4 et 6.

4. Destinataires et sous-traitants

Les données personnelles traitées par Aurae sont destinées aux services internes d'Aurae habilités, ainsi qu'aux sous-traitants suivants, chacun intervenant dans la limite de ce qui est nécessaire à l'exécution de sa mission et dans le cadre d'un contrat de sous-traitance conforme à l'article 28 du RGPD :

Par ailleurs, dans le cadre d’une Mise en relation, le Prestataire concerné accède, via la messagerie de la Plateforme, aux seules informations décrites à l’Article 2 ; Aurae ne lui communique pas les coordonnées de contact de l’Utilisateur. Le Prestataire est responsable de traitement autonome pour l’usage qu’il fait des données auxquelles il accède ou que l’Utilisateur lui transmet directement.

Aurae ne vend ni ne loue à des tiers les données personnelles qu'elle traite, et ne les communique à aucun autre destinataire que ceux mentionnés ci-dessus, sauf obligation légale ou décision de justice.

5. Transfert des données en cas de cession d'activité

Conformément à l'Article 21.3 des CGU, Aurae peut céder ou transférer son activité, en tout ou partie, à un successeur dans le cadre d'une cession, d'une fusion, d'une acquisition ou d'une restructuration. Dans une telle hypothèse, les données personnelles traitées par Aurae pourraient être transférées à ce successeur, qui poursuivrait leur traitement pour des finalités identiques ou compatibles avec celles décrites dans la présente Politique de confidentialité.

Les personnes concernées seraient informées d'une telle opération, ainsi que de tout changement de responsable de traitement en résultant, par e-mail ou par tout moyen approprié, et conserveraient l'ensemble des droits décrits à l'Article 10 de la présente Politique.

6. Transferts de données hors Union européenne

Tous transferts de données à des sous-traitants ou partenaires commerciaux hors de l'Union européenne sont soumis à des garanties appropriées permettant de protéger les droits et libertés des personnes concernées.

S'agissant de Supabase Pte. Ltd. (hébergement de la base de données et de l'authentification), ces garanties résultent de l'acceptation de ses Conditions d'Utilisation, qui emportent de plein droit signature des clauses contractuelles types de la Commission européenne (Module Two, responsable de traitement à sous-traitant), conformément à l'article 12.2 du Data Processing Addendum de Supabase.

S'agissant de Microsoft France SAS (messagerie professionnelle Microsoft 365 Business Standard), ces garanties résultent de l'Addendum sur la Protection des Données pour les Services et Produits Microsoft, incorporé de plein droit au Microsoft Customer Agreement souscrit par Aurae, qui soumet tout transfert de données hors de l'Union européenne, de l'Espace économique européen, du Royaume-Uni et de la Suisse aux clauses contractuelles types 2021 mises en œuvre par Microsoft.

S'agissant de Vercel Inc. (hébergement de la partie front-end de la Plateforme), ces garanties résultent du Data Processing Addendum de Vercel, accepté de plein droit lors de la souscription de l'abonnement Pro sur lequel repose le compte de l'agence Nocode Factory utilisé pour l'hébergement de la Plateforme.

S’agissant de Youtrust SAS (signature électronique des conventions et contrats), Youtrust indique que l’infrastructure de sa plateforme est située en France. Son accord de traitement des données prévoit qu’en l’absence de décision d’adéquation de la Commission européenne, tout transfert de données hors de l’Union européenne vers l’un de ses sous-traitants ultérieurs est encadré par les clauses contractuelles types de la Commission européenne ou par une autre garantie appropriée au sens du RGPD. La liste de ses sous-traitants ultérieurs est publiée sur son site.

7. Durées de conservation

À l'expiration de ces durées, les données sont supprimées ou anonymisées, sauf obligation légale de conservation plus longue ou nécessité de faire face à un contentieux en cours.

Lorsqu'un Membre supprime son compte dans les conditions de l'Article 16 des CGU, ses données ne sont pas supprimées instantanément : elles sont conservées selon les durées indiquées ci-dessus, propres à chaque catégorie de données, notamment pour permettre le traitement des réclamations en cours et le respect des obligations comptables et fiscales d'Aurae. Les données non soumises à une obligation de conservation spécifique sont supprimées dans un délai raisonnable suivant la suppression du compte.

8. Sécurité des données

Aurae met en œuvre les mesures techniques et organisationnelles raisonnables au regard de l'état de l'art, du coût de mise en œuvre et de la nature des données traitées, afin de préserver la sécurité, l'intégrité et la confidentialité des données personnelles, et notamment d'empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès.

En cas de violation de données personnelles susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées, Aurae s'engage à notifier cette violation à la Commission Nationale de l'Informatique et des Libertés (CNIL) et, le cas échéant, aux personnes concernées, conformément aux articles 33 et 34 du RGPD.

Ces mesures comprennent notamment : le chiffrement des échanges de données et des données au repos ; une authentification sécurisée, sans stockage ni manipulation des mots de passe en clair par Aurae ; une gestion des sessions par jetons à durée limitée ; un contrôle d'accès strict aux données au niveau de la base de données, garantissant qu'aucune donnée n'est accessible sans autorisation explicite ; un accès restreint et sécurisé aux documents privés (dossiers de certification, devis, factures) ; une validation systématique des données saisies ; ainsi qu'un recueil du consentement préalable à toute mesure d'audience, conformément à l'Article 11 de la présente Politique.

S'agissant des données hébergées par Supabase Pte. Ltd., ces mesures sont complétées par les engagements attestés par ce sous-traitant dans son Data Processing Addendum, incluant notamment le chiffrement des données au repos et des sauvegardes, une protection renforcée des clés de chiffrement, une authentification renforcée pour les accès privilégiés, des tests de sécurité réalisés régulièrement par des tiers, et une notification de toute violation de sécurité dans les délais réglementaires.

9. Modération des contenus et signalement

Aurae assure actuellement une modération humaine de l'ensemble des contenus publiés sur la Plateforme (avis, messages, fiches Prestataires, signalements), sans recourir à un dispositif de modération automatisée, compte tenu de la taille naissante de la Plateforme. Ce dispositif est susceptible d'évoluer avec la croissance de la Plateforme, notamment par l'introduction d'outils de détection automatisée en complément de la modération humaine ; toute évolution substantielle fera l'objet d'une mise à jour de la présente Politique.

Conformément à l'article 16 du Règlement (UE) 2022/2065 (« Digital Services Act »), toute personne peut signaler à Aurae un contenu qu'elle estime illicite en écrivant à l'adresse contact@aurae-events.fr, en précisant la localisation du contenu concerné et les raisons pour lesquelles ce contenu est considéré comme illicite. Aurae traite ces signalements dans des délais raisonnables et informe leur auteur de la suite qui leur est donnée.

10. Droits des personnes concernées

Conformément au RGPD et à la loi n°78-17 du 6 janvier 1978 modifiée, toute personne concernée par un traitement de données mis en œuvre par Aurae dispose des droits suivants :

• Droit d'accès : obtenir la confirmation qu'une donnée la concernant est traitée et en obtenir une copie ;

• Droit de rectification : obtenir la correction d'une donnée inexacte ou incomplète ;

• Droit à l'effacement : obtenir la suppression de ses données, dans les cas prévus par le RGPD ;

• Droit à la limitation du traitement : obtenir la suspension temporaire d'un traitement, dans les cas prévus par le RGPD ;

• Droit d'opposition : s'opposer, pour des motifs tenant à sa situation particulière, à un traitement fondé sur l'intérêt légitime d'Aurae, ou s'opposer sans motif à un traitement à des fins de prospection ;

• Droit à la portabilité : recevoir les données qu'elle a fournies dans un format structuré, couramment utilisé et lisible par machine, ou les faire transmettre à un tiers, lorsque ce droit est applicable ;

• Droit de définir des directives relatives au sort de ses données après son décès ;

• Droit d'introduire une réclamation auprès de la CNIL (3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr), si elle estime que le traitement de ses données constitue une violation du RGPD.

Ces droits peuvent être exercés en écrivant à rgpd@aurae-events.fr, en précisant l'identité du demandeur et l'objet de sa demande. Aurae peut demander la production d'un justificatif d'identité en cas de doute raisonnable sur l'identité de l'auteur de la demande. Aurae s'engage à répondre à toute demande dans un délai d'un (1) mois à compter de sa réception, pouvant être prolongé de deux (2) mois supplémentaires en cas de demande complexe, dans les conditions prévues par le RGPD.

11. Cookies et traceurs

La Plateforme utilise des cookies et traceurs, dont les finalités, la durée de conservation et les modalités de paramétrage sont détaillées dans la Politique de cookies, accessible à l'adresse aurae-events.fr/cookies, qui fait partie intégrante de la présente Politique de confidentialité.

12. Mineurs

La Plateforme n'est pas destinée aux personnes mineures. Conformément à l'Article 4 des CGU, la création d'un compte Utilisateur est réservée aux personnes physiques majeures. Aurae n'a pas vocation à collecter sciemment des données concernant des mineurs, hormis, le cas échéant, à la marge et de manière incidente dans le cadre de la description d'un événement familial.

13. Modification de la Politique de confidentialité

Aurae se réserve le droit de modifier la présente Politique de confidentialité à tout moment, notamment pour l'adapter aux évolutions de la Plateforme, de ses pratiques, ou de la réglementation applicable. Toute modification substantielle fait l'objet d'une information préalable par e-mail ou par tout moyen approprié, au moins trente (30) jours avant son entrée en vigueur, dans les mêmes conditions que celles prévues à l'Article 19 des CGU.

14. Contact

Pour toute question relative à la présente Politique de confidentialité, à l'exercice de vos droits, ou pour toute réclamation, vous pouvez contacter Aurae à l'adresse rgpd@aurae-events.fr.