Politique de confidentialité
Dernière mise à jour : 12 septembre 2026
Cette page distingue deux publics. Le loueur est notre client : il a un compte, il a lu ces conditions. L’invité n’a rien signé, il s’est mis devant une borne à un mariage, et c’est pourtant lui dont on photographie le visage. La distinction commande tout le reste.
1. Rôles
Pour les données du loueur (compte, abonnement), l’éditeur est responsable de traitement.
Pour les données des invités (photographies, adresses e-mail, consentements), le loueur est responsable de traitement et l’éditeur agit comme sous-traitant : il n’exploite ces données que pour fournir le service, sur instruction du loueur.
2. Données traitées
Compte loueur
- adresse e-mail et nom affiché ;
- état d’abonnement et identifiant de paiement ;
- bornes appairées : nom donné à la machine, état de santé, dernière activité.
Invités
- photographies et vidéos produites par la borne ;
- adresse e-mail, uniquement si l’invité la saisit pour recevoir sa photo ;
- preuve de consentement lorsque l’écran de consentement est activé : horodatage et texte intégral affiché à cet invité. Le texte est conservé avec chaque enregistrement pour qu’une preuve ne renvoie jamais à un texte modifié depuis ;
- réponses au questionnaire lorsqu’il est activé par le loueur ;
- journal des partages : quel canal, à quelle heure, avec quel résultat.
Aucun traceur publicitaire n’est installé, ni sur le site, ni sur la borne. Le site compte ses visites avec Vercel Web Analytics, sans cookie ni identifiant persistant : les pages vues sont agrégées, et aucun visiteur ne peut être suivi d’un jour ou d’un site à l’autre. La borne, elle, ne mesure rien.
3. Ce que l’export au client ne contient pas
Le journal remis en fin de prestation masque les adresses : l***a@gmail.com. Assez pour reconnaître une adresse déjà connue, pas assez pour en reconstituer une liste. Ce fichier quitte notre périmètre pour atterrir chez un tiers qui n’a pas à recevoir le carnet d’adresses des invités.
4. Où sont les données
| Sous-traitant | Rôle | Localisation |
|---|---|---|
| Supabase / AWS | Base de données et stockage des photos | Paris, France (eu-west-3) |
| Vercel | Hébergement du site et du tableau de bord, mesure d’audience anonyme | États-Unis, clauses contractuelles types |
| Stripe | Paiement de l’abonnement | Irlande |
| Resend | Envoi des e-mails aux invités | États-Unis, clauses contractuelles types |
Les photographies elles-mêmes ne quittent pas l’Union européenne. Une adresse e-mail d’invité transite par Resend le temps de l’envoi.
5. Durées de conservation
- Galerie d’événement : 90 jours par défaut, réglable par le loueur événement par événement. Passé ce délai le lien ne donne plus accès aux photos.
- Photographies sur la borne : conservées localement jusqu’à purge par l’exploitant depuis la console.
- Consentements et journal de partage : conservés avec l’événement, car ils en sont la preuve.
- Compte loueur : jusqu’à sa suppression, puis effacé sous 30 jours, hors pièces comptables conservées 10 ans par obligation légale.
6. Bases légales
- Compte et abonnement : exécution du contrat.
- Photographie d’un invité et envoi de sa photo : consentement, recueilli par le loueur au moyen de l’écran prévu à cet effet.
- Sécurité et journaux techniques : intérêt légitime à maintenir le service en état de marche.
7. Vos droits
Toute personne dispose d’un droit d’accès, de rectification, d’effacement, d’opposition, de limitation et de portabilité.
Vous êtes un invité et souhaitez faire retirer une photographie : adressez-vous au prestataire qui tenait la borne, il est responsable de ce traitement. Si vous ne parvenez pas à l’identifier, écrivez-nous à privacy@froozbooth.com avec le lien de la galerie : nous relaierons la demande et pouvons procéder au retrait techniquement.
Vous êtes loueur : la suppression du compte s’effectue depuis Réglages, ou sur demande à la même adresse.
Une réclamation peut être portée devant la CNIL, 3 place de Fontenoy, 75007 Paris, cnil.fr.
8. Sécurité
Les accès à la base sont cloisonnés par compte au niveau du moteur de base de données : une requête ne peut atteindre que les événements du compte qui l’émet. Les galeries publiques peuvent être protégées par un code, avec limitation du nombre de tentatives. Les échanges sont chiffrés en transit.
Chaque borne dispose d’un code d’accès opérateur qu’il appartient à l’exploitant de modifier après installation.
9. Modifications
Toute évolution de cette politique est publiée sur cette page, dont la date de mise à jour figure en tête. Une modification substantielle est notifiée par e-mail aux titulaires de compte.