Politique de confidentialité organisateur

1. Répartition des rôles

La plateforme met en présence deux traitements distincts, qu’il est essentiel de ne pas confondre :

• Données du compte organisateur — identité, coordonnées, informations de reversement, journaux de connexion. VIBZ agit en qualité de responsable du traitement : elle détermine seule les finalités et les moyens.
• Données des acheteurs de billets — identité, e-mail, téléphone, commandes et statut d’entrée. VIBZ les traite en qualité de responsable pour l’exploitation de la billetterie. Lorsque l’organisateur y accède, les exporte ou les utilise pour communiquer avec son public, il devient responsable de traitement autonome pour les usages qu’il en fait, et répond seul de leur conformité.

Autrement dit : VIBZ répond de la plateforme, l’organisateur répond de ce qu’il fait des données auxquelles la plateforme lui donne accès.

2. Données traitées côté organisateur

• Identification : nom, prénom, raison sociale, forme juridique, numéro d’immatriculation, adresse.
• Contact : adresse e-mail, numéro de téléphone.
• Compte et sécurité : mot de passe (stocké sous forme de condensat), secret de double authentification, sessions et appareils connectés.
• Reversement : coordonnées bancaires ou numéro mobile money, historique des versements.
• Activité : événements publiés, ventes, journaux d’audit des actions sensibles, comptes scanner créés.
• Technique : adresse IP, type d’appareil et de navigateur, journaux de connexion et d’erreur.

3. Finalités et bases juridiques

• Fourniture du service (création de compte, publication d’événements, billetterie, scan, reversement) — exécution du contrat.
• Sécurité de la plateforme (authentification, limitation du nombre de tentatives, journaux d’audit, détection de fraude) — intérêt légitime de VIBZ à protéger son service et ses utilisateurs.
• Obligations légales et comptables (facturation, conservation des pièces, réponses aux autorités) — obligation légale.
• Support et relation commerciale — exécution du contrat et intérêt légitime.
• Mesure d’audience et supervision technique — intérêt légitime, dans une configuration limitée à ce qui est nécessaire au bon fonctionnement du service.

4. Accès de l’organisateur aux données des acheteurs

Pour chaque événement qu’il publie, l’organisateur accède aux données nécessaires à sa tenue : identité et coordonnées des acheteurs, billets émis, statut d’entrée. Cet accès est strictement limité à ses propres événements et journalisé.

En exploitant ces données, l’organisateur s’engage à :

• ne les utiliser que pour des finalités liées à l’événement concerné (information pratique, contrôle d’accès, gestion des remboursements) ;
• ne pas les céder, louer ou transmettre à des tiers, ni les réutiliser pour promouvoir des événements non concernés sans base juridique valable ;
• répondre lui-même aux demandes d’exercice de droits qui lui sont directement adressées pour les traitements qu’il met en œuvre ;
• mettre en place des mesures de sécurité appropriées sur les exports qu’il réalise et les supprimer lorsqu’ils ne sont plus nécessaires ;
• n’habiliter au contrôle d’accès que les agents qui en ont besoin, et révoquer leurs comptes scanner à l’issue de l’événement.

Le non-respect de ces engagements constitue un manquement aux conditions générales de service organisateur et peut entraîner la suspension du compte.

5. Durées de conservation

• Compte organisateur : pendant toute la durée de la relation, puis trois ans à compter du dernier contact, sauf obligation légale contraire.
• Données de commande et de billetterie : la durée requise par les obligations comptables et fiscales applicables.
• Journaux d’audit et de sécurité : douze mois, sauf incident nécessitant une conservation plus longue.
• Jetons de connexion et de réinitialisation : le temps de leur validité, puis suppression.
• Comptes scanner : jusqu’à leur révocation par l’organisateur ou la clôture de son compte.

6. Destinataires et sous-traitants

Les données ne sont ni vendues ni louées. Elles sont accessibles aux personnels habilités de VIBZ et aux prestataires techniques suivants, tenus par des engagements de confidentialité et de sécurité :

Des données peuvent également être communiquées aux autorités administratives ou judiciaires lorsque la loi l’exige.

7. Transferts hors du Sénégal

Certains prestataires opèrent depuis l’Union européenne ou les États-Unis. Ces transferts sont encadrés par les engagements contractuels de ces prestataires et limités à ce qui est nécessaire au fonctionnement du service. VIBZ privilégie, lorsque l’option existe, un hébergement au plus près des utilisateurs.

8. Sécurité

VIBZ met en œuvre des mesures techniques et organisationnelles adaptées : chiffrement des échanges en HTTPS, condensation des mots de passe, double authentification disponible sur les comptes de gestion, cloisonnement des accès par rôle, signature cryptographique des billets et des liens de téléchargement, limitation du nombre de tentatives d’authentification et journalisation des actions sensibles.

Aucun système n’étant infaillible, VIBZ s’engage à notifier sans délai injustifié l’organisateur et, le cas échéant, l’autorité compétente, en cas de violation de données susceptible d’engendrer un risque pour les personnes concernées.

9. Cookies et traceurs

La plateforme utilise des cookies strictement nécessaires à son fonctionnement (authentification, sécurité, préférences d’affichage), qui ne requièrent pas de consentement. Elle recourt également à des outils de mesure d’audience et de supervision technique configurés de manière limitée. Un outil de relecture de session peut enregistrer les interactions lors d’erreurs afin d’en faciliter le diagnostic.

L’organisateur peut configurer son navigateur pour bloquer les cookies ; le blocage des cookies nécessaires empêche toutefois la connexion à l’espace organisateur.

10. Vos droits

Conformément à la loi n° 2008-12 du 25 janvier 2008 sur la protection des données à caractère personnel, vous disposez des droits d’accès, de rectification, d’opposition, de suppression et, le cas échéant, de limitation et de portabilité sur vos données.

Pour les exercer, écrivez à contact@vibz.africa. Une preuve d’identité pourra être demandée. Une réponse vous sera apportée dans un délai d’un mois. Vous pouvez également introduire une réclamation auprès de la Commission de Protection des Données Personnelles (CDP) du Sénégal.

11. Évolution de cette politique

Cette politique peut être mise à jour pour refléter l’évolution du service ou de la réglementation. La date de dernière mise à jour figure en tête de page ; les organisateurs disposant d’un compte actif sont informés des modifications substantielles.