Informations légales · Plateforme événements live

Confidentialité plateforme événements live

Dernière mise à jour : octobre 2026

La présente politique décrit comment Nomacast traite les données personnelles des participants aux événements live diffusés via sa plateforme événementielle (URLs /i/<token>, /chat/<slug> et /event-admin/<slug>). Cette politique est distincte de la politique de confidentialité du site marketing nomacast.fr, qui couvre uniquement les demandes de devis et la navigation sur le site commercial.

Périmètre de cette politique

Tout traitement de données personnelles dans le cadre d'un événement live organisé par un client de Nomacast et diffusé via la plateforme événementielle (chat live, Q&A modéré, sondages, quiz, boîte à idées, réactions, citations, suivi de présence, statistiques d'engagement).

Rôles : responsable de traitement et sous-traitant

Pour chaque événement diffusé via la plateforme, deux rôles RGPD distincts sont en jeu :

Le client organisateur (entreprise qui commande l'événement, indiquée comme « organisé par » sur la page participant) est le responsable de traitement au sens de l'article 4.7 du RGPD. C'est lui qui décide de la tenue de l'événement, choisit les participants à inviter, définit les outils interactifs activés et exploite les statistiques produites.
Nomacast agit en qualité de sous-traitant au sens de l'article 4.8 du RGPD. La plateforme est mise à disposition du client organisateur pour la durée de l'événement et la période de conservation associée, sur la base d'un contrat de sous-traitance (DPA) annexé au devis.

Le participant à un événement live est donc invité à contacter en priorité le client organisateur pour toute demande relative à ses données. Nomacast prête assistance au responsable de traitement pour répondre à ces demandes dans les délais légaux.

Coordonnées du sous-traitant

MatLiveProd, exerçant sous le nom commercial Nomacast

EURL au capital de 1 000 €, RCS Paris 909 103 335

Siège social : 49 rue de Ponthieu, 75008 Paris, France

Représentée par Jérôme Bouquillon, gérant

Email : [email protected]

Téléphone : +33 6 60 54 17 32

Coordonnées complètes dans les mentions légales.

Données collectées par la plateforme événementielle

Selon les outils interactifs activés par le client organisateur pour son événement, les données suivantes peuvent être collectées et traitées :

Identité du participant : nom et prénom, adresse email. Données transmises par le client organisateur (événement privé sur invitation) ou saisies par le participant (événement public).
Contenu généré par le participant : messages envoyés dans le chat live ou en Q&A modéré, questions soumises en amont de l'événement, votes aux sondages et quiz, idées partagées sur le boîte à idées, citations sélectionnées, réactions emoji.
Données techniques d'usage : adresse IP stockée uniquement sous forme de hash cryptographique HMAC-SHA-256 (la valeur originale n'est jamais conservée), user-agent du navigateur, horodatages de connexion et d'envoi.
Statistiques de présence : durée de connexion (watchtime), historique de présence agrégé via heartbeats périodiques.
Propos des intervenants : lorsque le sous-titrage en direct ou le compte-rendu écrit est activé pour l'événement, l'audio diffusé est transcrit automatiquement (et le cas échéant traduit) afin de produire les sous-titres, la transcription, le résumé et les chapitres du replay.
Statistiques d'engagement : nombre de messages envoyés, votes émis, réactions cliquées, ressources consultées, CTAs cliqués, citations partagées (selon les outils activés).

Aucune donnée sensible au sens de l'article 9 du RGPD (santé, opinions politiques, religion, vie sexuelle, données biométriques, etc.) n'est collectée. Aucun cookie publicitaire ou de profilage tiers n'est déposé sur les pages de la plateforme événementielle.

Finalités du traitement

Vos données sont utilisées exclusivement pour :

L'animation en direct de l'événement (affichage des messages, votes, réactions, présence) pour le compte du client organisateur.
La modération technique du chat et la prévention des abus (filtres anti-spam, détection de comportements anormaux).
La production de statistiques agrégées d'engagement et de présence destinées au client organisateur (reporting post-événement).
Le rejeu (replay) de l'événement pendant la période de conservation, lorsqu'il est activé par le client organisateur.
La sécurité et la traçabilité technique des accès (logs d'authentification, traçabilité des actions par invité, horodatage).

Aucune donnée n'est utilisée à des fins de prospection commerciale, de profilage publicitaire ou de revente à des tiers.

Base légale du traitement

La base légale est définie par le client organisateur en sa qualité de responsable de traitement, en fonction du contexte de l'événement :

Exécution d'un contrat ou de mesures précontractuelles (article 6.1.b du RGPD) : pour les événements destinés aux clients, prospects ou partenaires de l'organisateur dans un cadre contractuel.
Intérêt légitime du client organisateur (article 6.1.f du RGPD) : pour les événements internes (salariés, équipes), les conférences professionnelles, ou tout événement B2B où le participant est invité dans un cadre professionnel identifié.
Consentement explicite du participant (article 6.1.a du RGPD) : lorsque l'événement collecte des données au-delà du strict nécessaire à sa tenue (par exemple, opt-in pour recevoir des communications post-événement).

Durée de conservation

Les durées de conservation appliquées par la plateforme sont les suivantes :

Données d'événement (messages chat, votes, réactions, présences, statistiques) : 90 jours par défaut après la fin de la diffusion, configurable entre 30 et 365 jours selon le choix du client organisateur. Au-delà, suppression automatique.
Logs d'authentification client (table auth_logs, accès admin) : 90 jours, à des fins de traçabilité et de sécurité, puis suppression automatique.
Hash IP : durée identique à celle des actions associées (messages, votes), puis suppression conjointe.
Replay vidéo (lorsque activé) : 30 jours par défaut à compter de la fin de la diffusion, hébergement Cloudflare Stream (région européenne). Un téléchargement MP4 est fourni en complément pour les besoins d'archivage du client organisateur. Prolongation d'hébergement possible sur demande, facturée par tranche de 30 jours supplémentaires.
Demande d'effacement anticipé : sur demande du client organisateur ou d'un participant exerçant son droit d'effacement, suppression effective sous 30 jours maximum, sans attendre la fin de la période standard de conservation.

Destinataires et sous-sous-traitants

Vos données sont accessibles à :

Le client organisateur de l'événement (responsable de traitement), via son interface d'administration dédiée /event-admin/<slug>, protégée par identifiants login/mot de passe.
Nomacast, en qualité de sous-traitant, pour la maintenance technique de la plateforme et le support à l'organisateur.
Les sous-sous-traitants techniques mentionnés ci-dessous, dans le cadre strict de leurs prestations d'hébergement et d'acheminement, sans accès commercial aux données.

Aucune donnée n'est cédée, vendue ou louée à des tiers à des fins commerciales.

Cloudflare Inc. (101 Townsend Street, San Francisco CA 94107, USA) et sa filiale RGPD Cloudflare Ireland Ltd. (Dublin, Irlande) : hébergement de la plateforme événementielle (Cloudflare Pages), stockage de la base de données événements (Cloudflare D1, juridiction Union européenne contractuelle, zone européenne Cloudflare), stockage des logos clients et ressources (Cloudflare R2, région européenne), stockage des codes partenaires et anti-spam (Workers KV), diffusion vidéo live et replay (Cloudflare Stream, région européenne), signalisation du partage d'écran (Cloudflare Workers), génération des résumés, chapitres et réponses automatiques à partir des transcriptions (Cloudflare Workers AI), protection anti-bot du formulaire de devis (Turnstile). Transferts hors UE encadrés par les Clauses Contractuelles Types adoptées par la Commission européenne et le Data Processing Addendum Cloudflare.

Gladia (Paris, France) : transcription automatique de la parole et traduction en direct, uniquement lorsque le sous-titrage ou le compte-rendu écrit est activé pour l'événement.

Resend Inc. (États-Unis) : envoi des emails d'invitation aux participants depuis l'adresse technique [email protected]. Resend s'appuie sur Amazon SES (région Irlande, eu-west-1) pour la livraison effective. Transferts hors UE encadrés par les Clauses Contractuelles Types et le Resend Data Processing Addendum.

Google Ireland Ltd. : messagerie professionnelle [email protected] utilisée pour recevoir les demandes d'exercice de droits et la correspondance liée aux événements. Aucun usage de Google Analytics ou de Google Ads sur les pages de la plateforme événementielle (pas de tracking publicitaire sur /i/<token>, /chat/<slug>, /event-admin/<slug>). Les pages participant chargent en revanche les polices de caractères depuis Google Fonts, ce qui transmet à Google l'adresse IP du participant.

Transferts hors Union européenne

La plateforme événementielle est conçue pour minimiser les transferts hors UE. Les données d'événement (messages, votes, statistiques) sont stockées dans l'infrastructure européenne de Cloudflare, avec la base relationnelle (Cloudflare D1) sous juridiction Union européenne contractuelle (zone européenne Cloudflare). Les emails d'invitation transitent par Resend (États-Unis) puis Amazon SES en Irlande avant d'être délivrés. L'ensemble de ces transferts est encadré par les Clauses Contractuelles Types adoptées par la Commission européenne et par les politiques de conformité des sous-sous-traitants concernés.

Sécurité : mesures techniques et organisationnelles

Nomacast met en œuvre les mesures suivantes pour protéger vos données :

Chiffrement en transit : intégralité du trafic en HTTPS / TLS 1.3 via Cloudflare.
Pseudonymisation des IPs : adresses IP stockées exclusivement sous forme de hash cryptographique HMAC-SHA-256, jamais en clair.
Authentification client renforcée : mots de passe hachés via PBKDF2 (100 000 itérations SHA-256, salt aléatoire par utilisateur).
Cookies de session sécurisés : flags HttpOnly + Secure + SameSite=Lax, signés HMAC.
Isolation des événements : étanchéité stricte entre événements (impossibilité d'accéder à des données d'un autre événement avec un token donné).
Traçabilité des accès : journalisation des tentatives de connexion (table auth_logs) pour détection de comportements anormaux.
Protection anti-injection : échappement systématique du contenu utilisateur (escapeHtml en sortie), validation stricte côté serveur des entrées.
Pages plateforme non indexables : meta robots: noindex, nofollow, noarchive sur toutes les pages participant pour éviter l'exposition publique.

Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez sur vos données personnelles des droits suivants :

Droit d'accès : obtenir une copie des données vous concernant traitées dans le cadre de l'événement.
Droit de rectification : faire corriger des données inexactes ou incomplètes (nom, email).
Droit à l'effacement (« droit à l'oubli ») : demander la suppression de vos données, exécutée sous 30 jours maximum.
Droit à la limitation du traitement.
Droit d'opposition au traitement fondé sur l'intérêt légitime.
Droit à la portabilité de vos données dans un format structuré et lisible par machine.
Droit de retirer votre consentement à tout moment lorsque le traitement repose sur cette base, sans remettre en cause la licéité des traitements antérieurs.

Pour exercer ces droits, deux voies sont possibles :

1. Auprès du client organisateur (responsable de traitement, voie prioritaire)

Contactez directement l'entreprise mentionnée comme « organisé par » sur la page de l'événement. Le client organisateur dispose dans son interface d'administration d'une fonction d'effacement anticipé permettant de supprimer immédiatement vos données.

2. Auprès de Nomacast (sous-traitant, en relais)

Écrivez à [email protected] en précisant l'événement concerné (date, titre, organisateur) et l'objet de votre demande. Nomacast transmettra la demande au responsable de traitement et l'assistera dans son exécution. Une réponse vous sera apportée sous un mois maximum, conformément à l'article 12 du RGPD. Une preuve d'identité pourra vous être demandée en cas de doute raisonnable.

Contact données personnelles

MatLiveProd n'a pas désigné de délégué à la protection des données (DPO), cette désignation n'étant pas obligatoire au regard de son activité (article 37 du RGPD). Pour toute question relative à la plateforme événementielle, à l'exercice des droits ou à un incident de sécurité, le contact unique est Jérôme Bouquillon, gérant.

Contact : [email protected]

Délai de réponse maximum : un mois, conformément à l'article 12 du RGPD.

Notification de violation de données

En cas de violation de données personnelles susceptible d'engendrer un risque pour vos droits et libertés, Nomacast s'engage à notifier le client organisateur (responsable de traitement) dans un délai maximum de 72 heures après en avoir pris connaissance, conformément à l'article 33 du RGPD. Le client organisateur, en sa qualité de responsable de traitement, procédera le cas échéant à la notification à la CNIL et à l'information des personnes concernées.

Réclamation auprès de la CNIL

Si vous estimez, après avoir contacté le client organisateur ou Nomacast, que vos droits ne sont pas respectés, vous avez la possibilité d'introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :

3 place de Fontenoy, TSA 80715

75334 Paris Cedex 07

www.cnil.fr/fr/plaintes

Modifications

La présente politique peut être amenée à évoluer pour s'adapter aux évolutions légales, techniques ou organisationnelles de la plateforme. La date de dernière mise à jour figure en haut de la page. Les participants à un événement seront informés des modifications substantielles via la page d'accueil de l'événement.