Vie privée et conditions

Qui vend des billets traite des données de personnes : un nom, une adresse e-mail, parfois une adresse postale. Des règles s'y rattachent. Cet article explique en langage ordinaire ce que ces règles impliquent, ce que nous avons réglé pour vous, et — la partie la plus souvent oubliée — ce que vous devez écrire vous-même avant que votre premier billet ne soit vendu.

Ceci n'est pas un conseil juridique. C'est un manuel, écrit par des gens qui font du logiciel. S'il s'agit de beaucoup d'argent, de mineurs ou de données sensibles, soumettez-le à un juriste ou à votre fédération.

Qu'est-ce que le RGPD ?

Le RGPD — Règlement général sur la protection des données, en anglais GDPR — est la loi européenne sur les données à caractère personnel. Il s'applique depuis 2018 dans toute l'Union européenne et il vaut aussi pour un cercle d'histoire locale de quatre-vingts membres.

Ce qu'il dit en substance, en cinq phrases :

• Vous ne collectez que les données dont vous avez réellement besoin.
• Vous dites à l'avance à quoi vous les utilisez.
• Vous ne les conservez pas plus longtemps que nécessaire.
• Vous les protégez raisonnablement contre le vol et la perte.
• Qui figure dans votre fichier peut demander ce que vous détenez sur lui, et peut demander à le faire supprimer.

Une donnée à caractère personnel est tout ce qui permet de désigner un être humain : un nom, une adresse e-mail, un numéro de téléphone, parfois même un numéro de commande que vous pouvez relier à une personne. Un compteur « 312 visiteurs » ne l'est pas.

Responsable et sous-traitant

C'est la partie la plus souvent mal comprise, et elle détermine à qui un visiteur doit s'adresser avec une question.

La loi connaît deux rôles :

• Le responsable du traitement décide pourquoi et comment les données sont utilisées.
• Le sous-traitant exécute cela, sur instruction, et n'en fait rien d'autre.

La comparaison qui reste en mémoire : vous êtes le propriétaire des archives, nous sommes l'armoire à archives avec serrure. Vous décidez ce qui y entre, qui peut le consulter et quand cela peut en sortir. L'armoire conserve et garde, mais ne lit pas par-dessus l'épaule et n'appelle pas vos visiteurs.

Une autre manière de le voir : votre association loue une salle. L'exploitant de la salle s'occupe de la porte et de la serrure ; vous décidez qui peut entrer.

Données	Responsable	Sous-traitant
Votre propre compte, vos factures, vos demandes d'assistance	Nous	—
Nom, e-mail, commandes, billets, scans de vos visiteurs	Votre organisation	Nous

En pratique, cela signifie : si un visiteur demande l'accès à ses données ou leur suppression, c'est vous qui en décidez, pas nous. Si une telle demande nous parvient, nous vous la transmettons dans les cinq jours ouvrables et faisons savoir au visiteur à qui il doit s'adresser. Retrouver ce que vous avez sur quelqu'un, vous pouvez le faire vous-même dans l'écran Commandes. Fournir une copie des données de quelqu'un ou les effacer, vous ne pouvez pas le faire vous-même dans l'écran de gestion : demandez-le-nous, et nous le faisons pour vous.

---

Les quatre textes que nous fournissons

Sur le site public figurent quatre documents juridiques. Ils renvoient l'un à l'autre et portent tous la même date de version, pour que vous puissiez dire dans un dossier quelle version vous avez utilisée.

Document	De quoi il s'agit
Mentions légales	Qui exploite le service : nom, adresse, numéro d'entreprise, numéro de TVA, contact
Déclaration de confidentialité	Quelles données personnelles sont traitées, à quelles fins, combien de temps et avec qui elles sont partagées
Conditions générales	Les accords entre votre organisation et nous : abonnement, paiement, disponibilité, responsabilité
Contrat de sous-traitance	Ce que nous faisons des données de vos visiteurs, sur vos instructions

Le contrat de sous-traitance ne doit pas être signé séparément : il fait partie des conditions générales. Si vous les acceptez à votre inscription, vous l'acceptez avec. La version que vous avez acceptée est conservée auprès de votre organisation — vous pouvez donc toujours vérifier ce que vous avez accepté.

Si un dossier de subside ou un marché public exige malgré tout un exemplaire signé sur papier à en-tête, écrivez-nous. Nous le signons.

Attention : ces quatre textes parlent de nous et de vous. Ils ne disent rien à votre visiteur sur votre événement. C'est le chapitre suivant, et c'est votre travail.

---

Ce dont vous avez besoin au préalable

• Une demi-journée pour écrire deux textes : vos propres conditions et votre propre déclaration de confidentialité.
• Un endroit où publier ces textes, en général votre propre site web. Dans l'écran de gestion, vous n'indiquez que le lien vers vos conditions, pas le texte lui-même.
• Le nom, l'adresse et le numéro d'entreprise ou d'association de votre organisation, plus une adresse e-mail où quelqu'un peut s'adresser.
• Une décision de votre comité sur deux questions : que faites-vous en cas d'annulation, et jusqu'à quand peut-on annuler.
• Le rôle Propriétaire, pour indiquer ce lien sous Paramètres → Organisation.
• En cas de doute sur la TVA : le numéro de votre comptable.

---

Ce que vous réglez vous-même

Si vous vendez des billets à des visiteurs, c'est vous qui êtes le vendeur face à ce visiteur. Cela entraîne quatre choses que nous ne pouvons pas faire à votre place.

1. Vos propres conditions générales

Ce sont les accords entre vous et votre visiteur. Mettez-les sur une page de votre propre site web et collez le lien sous Paramètres → Organisation, onglet Identité visuelle, dans le champ Lien vers vos conditions. Votre visiteur voit ce lien au moment du paiement, à côté de la case par laquelle il accepte vos conditions, et en bas de votre billetterie. Si vous n'indiquez rien, il accepte toujours « les conditions de » votre organisation, mais ne peut les lire nulle part.

Ce qui doit y figurer, avec chaque fois un exemple de ce qu'une petite association y met :

Quoi	Exemple
En cas d'annulation	« Si le spectacle n'a pas lieu, nous remboursons intégralement le prix du billet dans les 30 jours. Les frais de réservation ne sont pas remboursés. »
En cas de report	« Si la date est reportée, votre billet reste valable pour la nouvelle date. Si vous ne pouvez pas venir, faites-le savoir avant la nouvelle date et vous serez remboursé. »
Revente	« Vous pouvez transmettre votre billet à quelqu'un d'autre. Nous n'autorisons pas la revente à un prix supérieur au prix du billet. »
Annulation jusqu'à quand	« L'annulation est possible jusqu'à 7 jours avant le repas via repas@votreassociation.be. Ensuite, votre billet n'est plus remboursable, car les achats sont faits. »
Arrivée tardive	« La visite guidée commence à 14 h précises. Qui arrive plus tard rejoint le groupe mais n'a pas droit au remboursement de la partie manquée. »
Règlement intérieur	« Les chiens sont les bienvenus en laisse, sauf dans la salle de la cave. On ne fume qu'à l'extérieur. L'organisation peut refuser l'accès en cas d'ivresse ou de comportement gênant. »
Responsabilité	« L'organisation n'est pas responsable de la perte ou du vol d'objets personnels. »
Qui vous êtes	« Cercle de théâtre La Navette asbl, Rue du Village 3, 9000 Quelque-part, numéro d'entreprise 0123.456.789. »

Attention : écrivez-les dans la langue dans laquelle vous vendez et gardez-les courtes. Trois écrans de texte, personne ne les lit ; dix lignes claires, oui. Et gardez-les honnêtes — une condition manifestement déraisonnable envers un consommateur ne tiendra de toute façon pas devant un juge.

2. Votre propre déclaration de confidentialité

C'est vous qui déterminez pourquoi vous collectez les données de vos visiteurs et combien de temps vous les conservez. Notre déclaration de confidentialité dit ce que la plateforme fait de ces données ; elle ne remplace pas la vôtre. Au moment du paiement, nous renvoyons vers la nôtre ; il n'y a pas de champ séparé pour la vôtre. Mettez-la sur votre propre site web et renvoyez-y depuis vos conditions — ou mettez les deux sur la même page.

Cinq questions auxquelles vous répondez, avec un exemple :

Question	Exemple pour une petite association
Que collectez-vous ?	« Lors d'une commande : votre nom, votre adresse e-mail et ce que vous avez commandé. Lors d'un repas, aussi votre choix de menu et vos éventuelles allergies. »
Pourquoi ?	« Pour pouvoir vous remettre votre billet, pour vous avertir si quelque chose change, et pour savoir combien de portions préparer. »
Combien de temps ?	« Nous conservons vos données de commande 7 ans parce que notre comptabilité l'exige. Votre adresse e-mail pour la newsletter, nous la conservons jusqu'à votre désinscription. »
Avec qui les partagez-vous ?	« Avec notre plateforme de billetterie, qui les traite sur nos instructions, et avec notre prestataire de paiement pour le paiement. Avec personne d'autre. Nous ne vendons pas d'adresses. »
Où peut-on s'adresser ?	« Écrivez à confidentialite@votreassociation.be ou à Cercle de théâtre La Navette asbl, Rue du Village 3, 9000 Quelque-part. Vous pouvez demander vos données, les faire corriger ou les faire effacer. »

Cette dernière adresse n'est pas facultative. Une déclaration de confidentialité sans endroit où poser une question n'est pas une déclaration de confidentialité.

Attention : vous envoyez des newsletters ? C'est alors une finalité distincte, et vous demandez un consentement distinct pour cela. Une adresse e-mail reçue pour remettre un billet n'est pas un consentement pour y envoyer quelque chose trois fois par an.

3. Le droit de rétractation

Qui achète quelque chose en ligne dispose normalement de quatorze jours de réflexion. Pour les événements à date fixe, il n'existe généralement pas, dans l'Union européenne, de droit de rétractation de quatorze jours — sinon quelqu'un pourrait acheter une place, aller voir le spectacle et se faire rembourser ensuite.

Dites-le explicitement dans vos conditions, car sinon un visiteur partira du principe qu'il dispose bien de ce droit.

Une phrase qui suffit : « Pour les billets d'un événement à une date déterminée, il n'existe pas de droit légal de rétractation de 14 jours. Votre achat est définitif, sauf ce qui est prévu ci-dessus en matière d'annulation. »

Si vous vendez quelque chose qui n'a pas de date fixe — un bon cadeau, un abonnement annuel qui démarre à n'importe quel moment — ne partez pas du principe que la même exception s'applique. Renseignez-vous.

4. TVA et comptabilité

C'est vous qui déterminez si et quelle TVA vous appliquez à vos billets. La plateforme calcule ce que vous réglez ; elle ne donne pas de conseil fiscal.

Ce qu'une petite association y met en pratique : beaucoup d'associations relèvent d'une exonération et appliquent 0 %, avec une mention du type « Exonéré de TVA » sur le billet. D'autres associations sont bien assujetties à la TVA pour leur repas mais pas pour leur spectacle. Cette différence est exactement le genre de question pour laquelle vous appelez une fois votre comptable plutôt que de deviner.

Tenez compte aussi du fait que, comme vendeur, vous devez pouvoir justifier votre chiffre d'affaires. Si vous vendez à l'entrée, le journal de caisse y aide ; voir La caisse du guichet.

---

Nous ne traitons pas les données de paiement

Les numéros de carte, les numéros de compte et tout ce qui relève encore d'un paiement vont directement au prestataire de paiement que vous connectez vous-même. Nous voyons seulement si un paiement a réussi et de quel montant il s'agissait. L'argent arrive également directement sur votre compte ; nous ne sommes pas entre les deux. Voir Connecter votre prestataire de paiement.

---

Durées de conservation

La liste complète figure dans la déclaration de confidentialité. Les durées dont vous avez le plus souvent besoin :

Quoi	Combien de temps	Pourquoi
Commandes, billets et scans	Tant que vous êtes client, plus ce que vous indiquez vous-même	Vous en décidez comme responsable
Vos données après la fin de votre abonnement	30 jours pour exporter, ensuite effacées	Assez de temps pour faire votre export
Factures	10 ans	Loi comptable bulgare, applicable à nous
Vos propres pièces comptables en Belgique	7 ans	Code de droit économique belge, applicable à vous
Journaux du serveur	90 jours	Assez longtemps pour enquêter sur un incident

Si vous avez besoin d'une durée plus stricte pour votre propre secteur, faites-le-nous savoir.

---

Qui voit encore vos données ?

Uniquement les fournisseurs dont nous avons besoin pour faire fonctionner la plateforme. La liste complète, avec nom, pays et finalité, figure dans la déclaration de confidentialité et dans le contrat de sous-traitance. Ces deux listes proviennent de la même source, elles ne peuvent donc pas diverger.

Si un fournisseur s'ajoute ou disparaît, nous vous le faisons savoir par e-mail au moins trente jours à l'avance. Si vous n'êtes pas d'accord, vous pouvez résilier sans frais.

Vos données restent dans l'Union européenne, à trois exceptions près que vous avez vous-même en main : un billet dans Apple Wallet ou Google Wallet, et Stripe comme prestataire de paiement. Pour ces trois cas s'appliquent les clauses contractuelles types de la Commission européenne ou l'EU-US Data Privacy Framework.

---

Cookies

Uniquement fonctionnels : la session, le jeton CSRF et le cookie qui vous garde connecté — et, sur une tablette que vous avez appairée comme caisse, un cookie qui reconnaît cet appareil. Pas d'analyse, pas de publicité, pas de traceurs, et aucune police de caractères ni aucun script venant d'un serveur étranger. Votre choix de langue se trouve dans l'adresse de la page et non dans un cookie.

C'est pourquoi il n'y a pas non plus de bandeau cookies sur le site. Ce n'est pas un oubli : pour les cookies strictement nécessaires à la fourniture du service, aucun consentement n'est requis.

---

Si quelque chose tourne malgré tout mal

Si nous constatons une fuite de données qui touche vos visiteurs, nous vous en informons dans les 48 heures suivant la constatation — pas dans les 72, car ces 72 heures sont le délai dans lequel vous devez informer votre autorité de contrôle, et vous ne le tenez que si vous l'apprenez plus tôt de notre part. Nous vous donnons ce que nous savons à ce moment-là, et nous disons honnêtement ce que nous ne savons pas encore.

---

Déposer une plainte

Si vous n'êtes pas satisfait de la manière dont nous traitons les données, dites-le-nous d'abord — la plupart des choses se rectifient plus vite qu'une procédure ne dure. Vous pouvez aussi vous adresser directement à une autorité de contrôle : à la CPDP bulgare (cpdp.bg), notre autorité chef de file, ou, si vous habitez en Belgique, à l'Autorité de protection des données (gegevensbeschermingsautoriteit.be).

---

Erreurs fréquentes

• Utiliser notre déclaration de confidentialité comme étant la vôtre. Elle porte sur la plateforme. Votre visiteur achète chez vous et doit pouvoir lire votre texte.
• Ne pas indiquer de lien vers vos conditions. Votre visiteur ne peut alors lire nulle part, au moment du paiement, ce qu'il accepte, et à la première annulation vous n'avez aucun accord auquel vous référer.
• Utiliser pour une newsletter des adresses e-mail issues de la vente de billets. C'est une autre finalité. Demandez-en le consentement séparément.
• Affirmer qu'il y a bien quatorze jours de réflexion. Ou n'en rien dire, ce qui revient au même dès que quelqu'un pose la question.
• Demander plus que ce dont vous avez besoin. Une date de naissance, un numéro de registre national ou une adresse pour un billet envoyé par e-mail : laissez tomber. Ce que vous n'avez pas, vous ne pouvez pas le perdre.

---

Et si …

Et si un visiteur demande d'effacer toutes ses données ?

C'est vous qui décidez. Regardez d'abord si vous en avez encore besoin : une commande qui se trouve dans votre comptabilité peut généralement être conservée jusqu'à l'expiration de votre délai légal. Le reste peut partir. Recherchez la personne dans Commandes et dites-nous ce qui peut partir : l'effacement ou l'anonymisation, c'est nous qui nous en chargeons.

Et si je n'ai pas de conditions propres et que j'ai déjà vendu ?

Écrivez-les tout de même, mettez-les en ligne et indiquez le lien sous Paramètres → Organisation, onglet Identité visuelle. À partir de là, elles valent pour les nouvelles commandes. Pour ce qui est déjà vendu, vous vous rabattez sur la loi et sur ce que vous avez promis dans votre communication — une raison de ne pas le remettre à plus tard.

Et si mon événement est annulé ?

Faites ce que prévoient vos propres conditions, et faites-le vite. Envoyez un e-mail à tous ceux qui ont un billet, dites ce qu'il advient de leur argent et quand. Le silence vous coûte plus de bonne volonté qu'un remboursement qui prend deux semaines.

Et si un visiteur a une plainte sur la manière dont nous traitons ses données ?

Renvoyez-le vers vous, pas vers nous : c'est vous le responsable. Si vous n'y arrivez pas, nous vous aidons avec les faits. Un visiteur peut par ailleurs toujours s'adresser à sa propre autorité de contrôle.

Et si un pouvoir subsidiant demande un contrat de sous-traitance signé ?

Écrivez-nous. Nous signons un exemplaire sur papier à en-tête. Le contenu est le même que celui que vous avez déjà accepté à votre inscription.

---

Questions fréquentes

Dois-je signer le contrat de sous-traitance séparément ? Non. Il fait partie des conditions générales que vous avez acceptées à votre inscription. Pour un dossier, nous signons sur demande un exemplaire distinct.

Ma petite association doit-elle vraiment avoir une déclaration de confidentialité ? Oui. Le RGPD ne fait pas d'exception selon la taille. La bonne nouvelle : pour une association qui ne collecte que des noms et des adresses e-mail, une page suffit.

Puis-je reprendre les phrases d'exemple de cet article ? Oui, sans problème — adaptez-les à votre propre situation. Ce sont des exemples pour vous mettre sur la voie et non un texte modèle vérifié par un juriste.

Ai-je besoin d'un bandeau cookies sur ma propre page de billetterie ? Pour les pages que nous fournissons, non : elles ne comportent que des cookies fonctionnels. Si vous intégrez la billetterie dans votre propre site web avec des outils d'analyse, il s'agit alors de vos cookies et de votre bandeau.

Où puis-je voir quelle version des conditions j'ai acceptée ? Elle est conservée auprès de votre organisation. Demandez-la-nous si vous avez besoin de l'exemplaire que vous aviez accepté à l'époque.