Ce que Hapfly sait, et surtout ce qu’il ne sait pas.

Hapfly traite peu de données, et l’essentiel de ce qu’il aurait pu collecter, il ne le collecte pas. Trois points valent d’être lus avant le détail :

• Les images de la caméra ne quittent jamais le téléphone. La reconnaissance de l’affiche est faite dans le navigateur du visiteur. Aucune image n’est envoyée à un serveur, ni enregistrée, ni analysée ailleurs que sur l’appareil.
• La mesure est anonyme. L’identifiant d’un visiteur est un nombre tiré au sort par son navigateur. L’adresse IP n’est jamais écrite, et l’en-tête du navigateur est réduit à une classe d’appareil dès l’arrivée de la requête, puis jeté.
• Rien n’est vendu ni recoupé. Aucune régie publicitaire, aucun profilage, aucun rapprochement avec une autre base. Les seuls tiers qui reçoivent des données sont les prestataires nécessaires au fonctionnement, listés plus bas.

Le responsable de traitement est à compléter, dont l’identité complète figure dans les mentions légales. Toute question ou demande relative aux données personnelles s’adresse à donnees@hapfly.io.

L’éditeur n’est pas tenu de désigner un délégué à la protection des données : il n’a pas pour activité de base un suivi régulier et systématique à grande échelle, et ne traite aucune donnée sensible. L’adresse ci-dessus reste le point de contact unique.

Chaque ligne correspond à une finalité déterminée. Aucune donnée n’est réutilisée pour une finalité qui ne figure pas ici.

Les traitements fondés sur l’intérêt légitime peuvent faire l’objet d’une opposition — voir la section consacrée aux droits.

Une affiche imprimée est un investissement aveugle : une fois collée, plus personne ne sait si quelqu’un s’est arrêté devant. Hapfly le dit à l’organisateur, et six mesures y suffisent : l’ouverture de l’expérience, la reconnaissance de l’affiche, la vue sans caméra, le clic vers la billetterie, la lecture d’une piste et le partage d’un clip.

L’organisateur ne voit que des nombres agrégés : des totaux, des taux, une courbe par jour, les pistes les plus lancées. Il n’a accès à aucune ligne individuelle, à aucun identifiant, et à aucune donnée permettant de remonter à une personne.

• L’identifiant de visiteur est un nombre aléatoire tiré par le navigateur et rangé dans le stockage local du site. Il ne désigne personne, ne circule sur aucun autre site, et n’est rapproché d’aucune autre donnée. Sans lui, « cent visiteurs » et « un visiteur qui revient cent fois » rendraient le même nombre.
• L’adresse IP n’est jamais enregistrée en base. L’en-tête du navigateur est lu à l’arrivée de la requête, réduit à quatre valeurs possibles — mobile, tablette, ordinateur, inconnu — puis jeté. Un en-tête complet est suffisamment discriminant pour désigner quelqu’un, ce qui n’est pas le cas d’une classe d’appareil.
• L’heure est celle constatée par le serveur, jamais celle annoncée par le téléphone.

Le détail de ce mécanisme, et ce qu’il dépose sur l’appareil, sont décrits dans la page Cookies et traceurs.

• Aucune image de la caméra. Le flux est analysé dans le navigateur et affiché à l’écran ; il n’est ni transmis, ni stocké. Aucune reconnaissance dans le nuage n’est employée : une affiche Hapfly porte son propre identifiant, il n’y a donc rien à envoyer à un serveur pour savoir laquelle on regarde.
• Aucune localisation. La géolocalisation est explicitement refusée par la configuration du service, et le catalogue ne propose pas de recherche par proximité.
• Aucun clip. La vidéo enregistrée par un visiteur est composée sur son appareil et n’est envoyée nulle part : seul le fait qu’un partage a eu lieu est compté, jamais son contenu ni sa destination.
• Aucune donnée sensible, aucun profilage, aucune prospection. Ni provenance, ni paramètre de campagne, ni empreinte de navigateur.

Les données ne sont ni vendues, ni louées, ni échangées. Elles ne sont communiquées qu’aux prestataires strictement nécessaires au fonctionnement du service, chacun lié par un contrat conforme à l’article 28 du RGPD et agissant sur instruction de l’éditeur.

Les données peuvent en outre être communiquées à une autorité judiciaire ou administrative sur réquisition régulière.

Certains prestataires sont établis aux États-Unis ou y opèrent une partie de leur infrastructure. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par la certification de l’entité destinataire au cadre de protection des données UE–États-Unis. La base de données et les fichiers des affiches sont hébergés dans l’Union européenne.

• Compte et contenus — conservés tant que le compte existe. La suppression du compte, disponible à tout moment dans l’espace organisateur, efface les événements, les affiches et leurs fichiers, les playlists, les mesures d’audience et l’historique des achats.
• Comptes inactifs — supprimés après trois ans sans connexion, précédés d’une information par courriel.
• Mesures d’audience — vingt-cinq mois au plus, et effacées avec l’événement qu’elles décrivent.
• Facturation — dix ans, durée imposée par les obligations comptables. Ces pièces sont conservées par Stripe et ne sont pas touchées par la suppression d’un compte : elles constituent l’écriture comptable qui fait foi.

Un événement dont la date est passée reste en ligne pour l’édition concernée. Ses données d’identité sont figées 7 jours après sa fin, mais restent supprimables à tout moment par l’organisateur.

• Le cloisonnement entre organisateurs est appliqué par la base de données elle-même, au moyen de politiques de sécurité au niveau de la ligne, et non par les requêtes de l’application. Un organisateur ne peut lire ni écrire les données d’un autre, quel que soit le chemin emprunté.
• Les mots de passe sont hachés par le service d’authentification et ne sont jamais accessibles en clair, ni à l’éditeur ni à quiconque.
• Tous les échanges sont chiffrés en transit. L’expérience en réalité augmentée exige un contexte sécurisé, faute de quoi la caméra n’est pas accordée par le navigateur.
• Les mesures d’audience ne peuvent être ni modifiées ni supprimées ligne à ligne, par personne : elles ne se corrigent pas, elles s’effacent avec leur événement.

En cas de violation de données susceptible d’engendrer un risque pour les droits et libertés des personnes, l’éditeur notifie la CNIL dans les soixante-douze heures et informe les personnes concernées lorsque le risque est élevé.

Toute personne dispose d’un droit d’accès, de rectification, d’effacement, de limitation et de portabilité, ainsi que d’un droit d’opposition aux traitements fondés sur l’intérêt légitime et du droit de définir des directives sur le sort de ses données après son décès.

Ces droits s’exercent auprès de donnees@hapfly.io. Une réponse est apportée dans le mois, prolongeable de deux mois pour une demande complexe. Un justificatif d’identité n’est demandé qu’en cas de doute raisonnable sur l’identité du demandeur.

Un organisateur peut exercer directement l’essentiel de ces droits depuis son espace : corriger ses informations, retirer une affiche, supprimer un événement ou supprimer son compte.

Une réclamation peut être adressée à la Commission nationale de l’informatique et des libertés, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — www.cnil.fr.

Une affiche peut représenter des personnes, et un descriptif peut nommer des artistes. Pour ces contenus, l’organisateur est responsable de traitement et l’éditeur agit comme sous-traitant, dans les limites fixées par les conditions d’utilisation. Un organisateur qui a besoin d’un accord de sous-traitance formalisé au sens de l’article 28 du RGPD peut en faire la demande à donnees@hapfly.io.

L’espace organisateur n’est pas destiné aux mineurs de moins de quinze ans, et aucune donnée n’est sciemment collectée à leur sujet. L’expérience elle-même ne demande ni compte ni identité : un mineur qui scanne une affiche n’est pas identifié, et la seule trace qu’il laisse est un nombre tiré au sort par son navigateur.

Cette politique peut évoluer, notamment si un nouveau prestataire entre en jeu. Toute modification substantielle est portée à la connaissance des organisateurs par courriel avant son entrée en vigueur, et la date de mise à jour figurant en tête de page est actualisée à chaque révision.