Politique de Confidentialité

Préambule

La présente Politique de Confidentialité (ci-après « la Politique ») a pour objet d'informer les utilisateurs de l'application mobile BookCrew et du site bookcrew.app (ci-après « la Plateforme ») de la manière dont leurs données à caractère personnel sont collectées, traitées et protégées.

La Politique est conforme au Règlement Général sur la Protection des Données (RGPD - Règlement UE 2016/679) et à la Loi Informatique et Libertés modifiée.

L'utilisation de la Plateforme implique l'acceptation pleine et entière de la présente Politique.

1. Responsable du traitement

Le responsable du traitement des données personnelles est :

Meyado Studio, SASU au capital de 100 €

• Siège social : 47 rue Vivienne, 75002 Paris, France
• RCS : Paris 105 050 355
• Représentée par son Président

2. Délégué à la Protection des Données (DPO)

Pour toute question relative à vos données personnelles ou pour exercer vos droits :

Email DPO : dpo@bookcrew.app

Vous pouvez également écrire par courrier postal à l'adresse du siège social mentionnée ci-dessus, à l'attention du Délégué à la Protection des Données.

3. Données personnelles collectées

3.1 Données fournies directement par l'utilisateur

Lors de l'inscription et de l'utilisation de la Plateforme, les utilisateurs nous communiquent les données suivantes :

Données d'identification

• Nom, prénom
• Adresse email
• Numéro de téléphone (au format E.164)
• Mot de passe (stocké sous forme de hash, jamais en clair)
• Photo de profil (facultative)
• Nom d'utilisateur public (« handle ») choisi par l'utilisateur

Données professionnelles

• Pour les prestataires : métiers / rôles, styles musicaux ou compétences, niveau d'expérience, bio, liens vers sites externes (réseaux sociaux, portfolios)
• Pour les organisateurs : raison sociale, type d'organisateur, description, ville, site web
• Données légales des organisateurs : SIRET / SIREN (saisi à l'inscription), raison sociale, forme juridique et adresse fiscale (pré-remplies, le cas échéant, depuis le répertoire public Sirene de l'INSEE à partir du SIRET saisi)

Données de rémunération des prestataires (facultatives)

Ces données ne sont renseignées que si le prestataire choisit de configurer un mode de rémunération, afin de permettre aux organisateurs avec lesquels il s'engage d'accomplir leurs obligations déclaratives et de paiement :

• Mode « Facture » : SIRET / SIREN, IBAN ;
• Mode « GUSO » : identité civile (nom, prénom), date et lieu de naissance, adresse postale, numéro de sécurité sociale (NIR), numéro Congés Spectacles (CCS), IBAN.

Le NIR est un identifiant strictement encadré : il n'est collecté que sur saisie volontaire du prestataire ayant choisi le mode GUSO, exclusivement afin de permettre aux organisateurs avec lesquels un engagement est confirmé d'établir leurs déclarations GUSO, et n'est jamais utilisé à une autre fin. Ces données sont supprimables à tout moment par le prestataire depuis son profil, et ne sont visibles que des organisateurs engagés sur un même événement confirmé.

Données de localisation

• Ville déclarée
• Adresse personnelle (UNIQUEMENT pour les prestataires ayant configuré une zone de déplacement, jamais affichée publiquement, utilisée serveur uniquement pour le calcul de distance ; la saisie d'adresse est assistée par le service d'autocomplétion Google Places, cf. section 6)
• Rayon de déplacement maximal (en km)

Données de paiement des abonnements

Les offres d'abonnement sont actives. Les paiements sont traités par des prestataires dédiés (Apple, Google, Stripe) : Meyado Studio ne collecte ni ne stocke aucun numéro de carte bancaire. Nous recevons uniquement l'état de l'abonnement (actif, expiré, renouvelé) et les identifiants techniques de transaction nécessaires à la facturation et au support.

Contenus utilisateurs

• Messages échangés dans les chats (privés et de groupe)
• Pièces jointes (photos, vidéos, audios, documents) partagées dans les chats
• Commentaires et notes internes sur les événements
• Avis et signalements
• Réponses au questionnaire de satisfaction post-événement (facultatif — cf. article 3.4)

3.2 Données collectées automatiquement

Données techniques

• Adresse IP (traitée dans les journaux techniques de nos sous-traitants d'hébergement et d'authentification)
• Type d'appareil, modèle, système d'exploitation, version
• Langue du système
• Fuseau horaire
• Jeton d'attestation d'intégrité de l'application (Firebase App Check / Apple App Attest) — donnée technique anti-fraude, non identifiante

Données d'usage

• Date et heure de connexion (journaux d'authentification)
• Journaux techniques des appels serveur (horodatage, fonction appelée)

L'application mobile (versions distribuées, hors mode développement) embarque Firebase Analytics (Google) à des fins de mesure d'audience et d'amélioration du produit : quels parcours sont utilisés, à quelle fréquence (inscription aboutie, création d'événement, lancement d'un SOS, activation de la synchronisation calendrier, etc.). Ce traitement est conçu pour être non nominatif :

• aucune donnée personnelle n'est transmise en paramètre (ni nom, ni email, ni téléphone, ni adresse, ni montant) — seuls des faits anonymisés sont enregistrés (« un événement a été créé ») ;
• l'identifiant de mesure est l'identifiant pseudonyme Firebase (uid) et l'identifiant d'instance d'application, jamais une donnée d'identité directe ;
• aucun identifiant publicitaire n'est collecté et aucun suivi publicitaire n'est effectué.

La mesure d'audience est désactivée en mode développement et sur la version web.

Rapports de plantage et journaux d'erreurs

Les versions distribuées de l'application mobile embarquent Firebase Crashlytics (Google), actif en dehors du mode développement, afin d'identifier et de corriger les plantages et les erreurs non gérées. Sont transmis, au moment d'un incident : la trace technique de l'erreur (« stack trace »), le modèle d'appareil, la version du système d'exploitation et de l'application, l'état de l'appareil au moment de l'incident (mémoire, orientation, connectivité) et un identifiant d'installation pseudonyme généré par Firebase. Aucun contenu de message, de fiche événement ou de formulaire n'est transmis, et aucun identifiant publicitaire n'est collecté. Crashlytics est désactivé en mode développement et n'est pas présent sur la version web.

La version web (my.bookcrew.app), sur laquelle Crashlytics n'existe pas, dispose d'un dispositif interne équivalent : en cas d'erreur, un enregistrement est écrit dans notre propre base de données et contient le message d'erreur, la trace technique, le chemin de la page concernée (jamais les paramètres d'URL), l'identifiant du compte connecté et le numéro de version de l'application. Ces enregistrements sont plafonnés (10 au maximum par session de navigation) et accessibles au seul support technique de Meyado Studio, aux seules fins de correction.

Données de communication

• Coches d'envoi, de réception et de lecture des messages
• Statut « en ligne » / « dernière connexion »

3.3 Données collectées avec consentement explicite

Les données suivantes ne sont collectées qu'après consentement explicite de l'utilisateur, recueilli au moment de l'activation de la fonctionnalité concernée (jamais en bloc au lancement) :

• Carnet de contacts — pour retrouver les prestataires déjà inscrits, inviter les non-inscrits et gérer la visibilité « Mes contacts ». Les contacts sont lus localement sur l'appareil ; le carnet n'est pas copié sur nos serveurs.
• Caméra et galerie photo — pour la photo de profil, le logo d'organisateur, les bannières d'événement et l'envoi de photos dans les chats
• Notifications push — pour les rappels d'événements et nouveaux messages (lorsque cette fonctionnalité sera disponible)
• Calendrier — pour l'export des événements vers le calendrier de l'appareil (lorsque cette fonctionnalité sera disponible)

3.4 Questionnaire de satisfaction post-événement

Après un événement terminé pour lequel un engagement ferme a été conclu, le prestataire concerné peut être invité, par une notification, à répondre à une question unique portant sur l'organisateur avec lequel il a travaillé (« Tu retravaillerais avec [Organisateur] ? », trois réponses possibles). Si la réponse est réservée ou négative, un second écran, lui aussi facultatif, propose de préciser ce qui n'a pas fonctionné parmi trois motifs prédéfinis (organisation, engagements non tenus, ambiance et respect). Aucun champ de texte libre n'est proposé.

Données traitées : l'identifiant du compte du prestataire répondant, l'identifiant de l'organisateur concerné, l'identifiant de l'événement concerné, la réponse choisie, le cas échéant les motifs cochés, et la date de la réponse. La réponse est donc rattachée au compte de son auteur : il s'agit d'une donnée personnelle au sens du RGPD.

Finalité : mesurer la qualité de l'expérience des prestataires avec les organisateurs et détecter les comportements abusifs répétés (engagements non tenus, conditions de travail dégradées).

Base légale : intérêt légitime de Meyado Studio (qualité et sécurité du service rendu aux prestataires), mis en balance avec les droits des personnes concernées par les garanties décrites ci-dessous.

Qui peut lire une réponse individuelle : personne. Les réponses sont enregistrées dans un espace dont la lecture est techniquement refusée à tous les comptes, y compris aux comptes d'administration et de support de Meyado Studio ; les règles de sécurité de la base de données rejettent toute tentative de lecture. L'organisateur concerné n'a accès ni au contenu d'une réponse, ni à l'identité de ses auteurs, ni au fait qu'une réponse la concernant existe. Seuls des compteurs agrégés (nombre de réponses par type et motifs cumulés) sont calculés automatiquement par un traitement serveur et rattachés à l'organisateur ; ils ne sont consultés en interne qu'à partir d'un seuil de 5 réponses, en deçà duquel aucune restitution n'est possible. Ces compteurs ne sont ni affichés publiquement, ni transmis à des tiers, et n'alimentent aucune note publique.

Aucune décision automatisée : les compteurs agrégés peuvent éclairer une décision humaine (attribution ou retrait d'un badge d'organisateur, vérification, avertissement). Aucune sanction, aucune baisse de visibilité et aucune attribution ou retrait de badge n'est déclenché automatiquement sur la seule base de ces compteurs.

Caractère facultatif : répondre est libre. Ne pas répondre n'a aucune conséquence : aucune relance n'est envoyée (une sollicitation = une notification, sans rappel), l'absence de réponse est traitée comme neutre et n'affecte ni le profil, ni l'indice de fiabilité, ni les badges, ni la visibilité du prestataire. Un prestataire n'est pas sollicité plus d'une fois tous les 14 jours pour un même organisateur. Les notifications de ce type peuvent être désactivées à tout moment dans les réglages de notifications de l'application.

Conservation : les réponses individuelles sont conservées 24 mois à compter de leur enregistrement, puis supprimées. Les compteurs agrégés, qui ne permettent pas d'identifier leurs auteurs, sont conservés tant que l'organisateur concerné est actif.

Vos droits : une réponse est enregistrée de manière définitive et ne peut être modifiée après envoi, ni par son auteur ni par nous. Vous pouvez néanmoins, en écrivant à dpo@bookcrew.app, obtenir confirmation de l'existence d'une réponse vous concernant, en demander la suppression, et vous opposer à ce traitement pour des raisons tenant à votre situation particulière — auquel cas vous ne serez plus sollicité. La suppression d'une réponse ne modifie pas les compteurs agrégés déjà calculés, ceux-ci ne permettant pas de remonter à leur auteur.

Enfin, pour éviter qu'un même événement donne lieu à deux sollicitations, la réservation concernée porte un marqueur technique indiquant qu'un questionnaire a été proposé puis clos. Ce marqueur ne contient pas la réponse et ne permet pas de savoir si le prestataire a répondu ou simplement écarté la proposition.

4. Finalités du traitement et bases légales

5. Durée de conservation des données

6. Destinataires et sous-traitants

Vos données peuvent être transmises aux destinataires suivants, dans le strict cadre des finalités énumérées à l'article 4 :

6.1 Au sein de Meyado Studio

• Le Président, seul accès administrateur

6.2 Sous-traitants techniques actuellement actifs

Lors de la saisie d'un SIRET, celui-ci est transmis à l'API Sirene de l'INSEE (Institut national de la statistique, France) pour pré-remplir les informations publiques de l'entreprise (répertoire public, pas de donnée personnelle transmise hors SIRET).

6.2 bis Sous-traitants prévus (non encore actifs)

À l'activation des offres payantes et des fonctionnalités correspondantes, les sous-traitants suivants seront ajoutés, avec mise à jour préalable de la présente Politique :

• Apple / Google Play (achats intégrés) — traitement des abonnements sur mobile ;
• RevenueCat, Inc. (États-Unis) — gestion technique de l'état des abonnements et des reçus d'achat. Ce transfert est encadré par des Clauses Contractuelles Types (CCT) de la Commission européenne, en complément de toute certification Data Privacy Framework (cf. article 7) ;
• Stripe Payments Europe Ltd (Irlande) — le cas échéant, paiements par carte sur le web.

La vérification du numéro de téléphone par SMS (authentification) est assurée par Firebase Authentication (Google), déjà listé à l'article 6.2 ; aucun prestataire SMS tiers distinct (type Twilio) n'est utilisé.

6.3 Autorités

Vos données peuvent être transmises aux autorités judiciaires ou administratives compétentes, sur réquisition légale uniquement.

7. Transferts hors Union Européenne

Vos données sont hébergées dans l'Union Européenne (régions Google Cloud eur3 et europe-west1). Certains sous-traitants appartiennent toutefois à des groupes dont la maison mère est située aux États-Unis (Google LLC, Apple Inc.), ce qui peut impliquer des transferts résiduels (journaux techniques, support).

Ces transferts sont encadrés par :

• En garantie principale, des Clauses Contractuelles Types (CCT / SCC) approuvées par la Commission européenne, conclues avec chaque sous-traitant concerné ;
• À titre complémentaire, le Data Privacy Framework (DPF) UE-USA lorsque le sous-traitant y est certifié ;
• Des mesures de sécurité techniques additionnelles : chiffrement en transit (TLS 1.3) et au repos (AES-256).

Aucun sous-traitant établi hors Union Européenne n'est actif à ce jour (cf. article 6.2 bis) : les transferts éventuels se limitent à des données techniques résiduelles (journaux, support) des groupes Google et Apple, ainsi qu'aux données de mesure d'audience (Firebase Analytics) et de rapports de plantage (Firebase Crashlytics) — données techniques et non nominatives, sans contenu utilisateur — dont l'infrastructure de traitement peut impliquer Google LLC (États-Unis), au titre des CCT conclues avec Google. Tout futur sous-traitant hors UE (ex. RevenueCat) ne sera activé qu'après mise en place des CCT correspondantes.

8. Sécurité des données

Meyado Studio met en œuvre des mesures techniques et organisationnelles appropriées pour garantir la sécurité de vos données :

• Chiffrement des données en transit (TLS 1.3) et au repos (AES-256)
• Authentification forte des accès administrateurs
• Politique de mots de passe robustes (stockage hash + sel)
• Sauvegardes régulières (Point-in-Time Recovery 7 jours + backups managés 14 jours + exports cron multi-region 30 jours)
• Journaux d'accès et d'audit immuables (modifications sensibles tracées : mot de passe, email, téléphone, acceptations légales)
• Tests de sécurité réguliers (audit de configuration, tests de pénétration légers)
• Formation continue du responsable au RGPD et à la cybersécurité

En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits et libertés, vous serez notifié sans délai et la CNIL sera informée dans les 72 heures conformément à l'article 33 du RGPD.

9. Vos droits

Conformément au RGPD (articles 15 à 22), vous disposez des droits suivants sur vos données personnelles :

9.1 Droit d'accès (art. 15)

Obtenir confirmation que vos données sont traitées et en obtenir une copie.

9.2 Droit de rectification (art. 16)

Faire corriger des données inexactes ou compléter des données incomplètes.

9.3 Droit à l'effacement / « droit à l'oubli » (art. 17)

Demander la suppression de vos données. La suppression du compte est accessible directement depuis l'application (Paramètres → Supprimer mon compte). Une fenêtre de réactivation de 30 jours s'applique avant anonymisation définitive.

⚠️ Certaines données peuvent être conservées plus longtemps si une obligation légale l'exige (factures, historique comptable : 10 ans).

9.4 Droit d'opposition (art. 21)

Vous opposer au traitement de vos données pour motifs légitimes, notamment au traitement à des fins de prospection commerciale. Ce droit s'applique en particulier aux traitements fondés sur l'intérêt légitime, dont le questionnaire de satisfaction post-événement (art. 3.4) : sur simple demande à dpo@bookcrew.app, vous cessez d'être sollicité et les réponses vous concernant sont supprimées.

9.5 Droit à la limitation (art. 18)

Demander la suspension temporaire du traitement de vos données.

9.6 Droit à la portabilité (art. 20)

Recevoir vos données dans un format structuré, couramment utilisé et lisible par machine (JSON ou CSV), et les transmettre à un autre responsable de traitement.

9.7 Droit de retirer son consentement

Pour les traitements basés sur le consentement (notifications marketing, géolocalisation, etc.), vous pouvez retirer votre consentement à tout moment depuis les Paramètres de l'application.

9.8 Droit de définir des directives post-mortem

Conformément à la Loi Informatique et Libertés, vous pouvez définir des directives relatives à la conservation, l'effacement et la communication de vos données après votre décès.

9.9 Modalités d'exercice de vos droits

Pour exercer vos droits, contactez notre DPO :

• Email : dpo@bookcrew.app
• Courrier : Meyado Studio – DPO, 47 rue Vivienne, 75002 Paris

Une vérification d'identité pourra vous être demandée pour traiter votre demande (copie de pièce d'identité partielle, code OTP envoyé sur votre numéro vérifié).

Nous nous engageons à répondre dans un délai maximum de 1 mois à compter de la réception de votre demande, prolongeable de 2 mois pour les demandes complexes.

9.10 Droit d'introduire une réclamation

Si vous estimez que le traitement de vos données ne respecte pas la réglementation, vous avez le droit d'introduire une réclamation auprès de l'autorité de contrôle française :

Commission Nationale de l'Informatique et des Libertés (CNIL)

• Adresse : 3 place de Fontenoy, TSA 80715, 75334 PARIS CEDEX 07
• Téléphone : 01 53 73 22 22
• Site web : https://www.cnil.fr

10. Cookies

L'application mobile BookCrew n'utilise pas de cookies au sens technique. Elle utilise des identifiants techniques nécessaires à son fonctionnement (token d'authentification, paramètres utilisateur stockés localement).

Les pages vitrine du site web bookcrew.app ne déposent aucun cookie ni traceur. L'application web (my.bookcrew.app) utilise uniquement un stockage local strictement nécessaire (session d'authentification Firebase, protection anti-bot reCAPTCHA), exempté de consentement, sans mesure d'audience ni publicité. Le détail figure dans notre Politique de gestion des cookies, publiée sur bookcrew.app/cookies.

11. Données des mineurs

BookCrew est strictement réservé aux professionnels du secteur événementiel majeurs (18 ans minimum). Aucun traitement de données de mineurs n'est effectué intentionnellement. Si vous avez connaissance d'un compte ouvert par un mineur, merci de le signaler à dpo@bookcrew.app pour suppression immédiate.

12. Modification de la Politique de Confidentialité

Meyado Studio se réserve le droit de modifier la présente Politique à tout moment. En cas de modification substantielle (changement des finalités, ajout d'un nouveau sous-traitant majeur, etc.), nous vous notifierons via l'application et vous demanderons votre acceptation explicite des nouvelles conditions avant toute poursuite d'utilisation.

L'historique des versions est conservé et consultable sur demande à dpo@bookcrew.app.

Dernière mise à jour : 3 août 2026

Version : 1.3