Protection des données
Notre métier, c’est de photographier des personnes. La protection des données est notre matière première, pas une formalité.
Responsable du traitement
Michael Wagner — instabox.lu, 18, rue Prince Henri, L-4929 Hautcharage, Luxembourg (RCS Luxembourg A47512 · autorisations d’établissement 10082516/2 et 10082516/3). info@instabox.lu · +352 661 254 125. Vos questions sur vos données m’arrivent directement.
1. Lorsque vous nous contactez
Nos formulaires recueillent votre nom et votre adresse e-mail et, selon le formulaire, votre numéro de téléphone, votre entreprise, le type d’événement, sa date, un objet et votre message — pour vous répondre et préparer votre devis, sur la base de mesures précontractuelles prises à votre demande (art. 6, § 1, b) du RGPD). Pour bloquer les spams, chaque message enregistre aussi l’identifiant de votre navigateur (user agent) et un code dérivé de votre adresse IP, qui change chaque jour et ne permet pas de retrouver l’adresse. Votre message est conservé sur notre propre serveur (voir section 5) et nous parvient par e-mail (Google Workspace). Nous le supprimons 12 mois après notre dernier échange avec vous (vérification le premier de chaque mois) ; les copies dans nos sauvegardes chiffrées disparaissent dans le mois qui suit. Nous ne constituons pas de fichier de prospects. Les pièces comptables et les factures sont conservées dix ans, comme l’exige la loi luxembourgeoise. Nous ne vendons aucune donnée et n’en transmettons aucune à des fins publicitaires.
2. Photos prises lors de votre événement
Vos invités se photographient eux-mêmes. Les images s’affichent sur l’écran de la borne, sont imprimées sur place si vous avez choisi cette option, et envoyées par e-mail, SMS ou QR code aux invités qui le demandent. La participation est volontaire : on est photographié parce qu’on choisit de se placer devant la borne. L’organisateur décide de faire venir un photobooth et en informe ses invités ; nous fournissons le matériel, l’animateur sur place et le traitement des images.
Pas de reconnaissance faciale. Nos bornes n’identifient personne par le visage : pas de recherche de photos par selfie, pas de correspondance de visages, pas de base de données de visages.
Traitement par IA. Le remplacement d’arrière-plan et les photos IA sont réalisés par notre logiciel de photobooth, Snappic (Algoritmo Software Inc.), et ses prestataires techniques, dont certains sont situés hors de l’Union européenne. Les transferts sont encadrés par les clauses contractuelles types de la Commission européenne (décision 2021/914) et par un accord de traitement des données. La liste complète des prestataires est disponible sur demande.
Galeries en ligne. Par défaut, nous ne conservons aucune galerie après l’événement. Si vous en demandez une, elle est créée uniquement avec l’accord des personnes photographiées, protégée par mot de passe et supprimée dès que vous le demandez. Vous voulez qu’une photo disparaisse ? Écrivez-nous. Nous la supprimons — sans justification.
3. Photos que nous publions
Certaines photos d’événements figurent sur ce site, avec l’accord de l’organisateur. Si vous vous reconnaissez et préférez ne pas y figurer, un message à info@instabox.lu suffit pour qu’elle soit retirée.
4. Lorsque vous visitez ce site
Chaque visite passe par Cloudflare, qui protège le site contre les attaques et traite votre adresse IP à cette fin ; notre propre serveur conserve des journaux de sécurité (adresse IP, heure, page demandée) pendant 14 jours. Les deux protègent le site contre les abus, sur la base de notre intérêt légitime (art. 6, § 1, f) du RGPD). Votre navigateur retient votre choix de langue (et si vous avez fermé la barre de langue) dans sa propre mémoire — ce n’est pas un cookie, et rien ne nous en est envoyé.
5. Hébergement et prestataires
Cloudflare, Inc., 101 Townsend Street, San Francisco, États-Unis — diffuse ce site et ses images (Cloudflare Pages, R2) et le protège (réseau, journaux de sécurité), compte les visites sans cookies (Web Analytics) et conserve nos sauvegardes, chiffrées avant de quitter notre serveur, dans son stockage européen (R2).
Si notre système de contenu est momentanément indisponible lors de l'envoi du formulaire, votre demande est conservée chez Cloudflare (déjà mentionné comme sous-traitant) pendant 30 jours au maximum, le temps de la transmettre, puis y est supprimée.
Notre propre serveur au Luxembourg — sans hébergeur : le système de contenus (Directus), les originaux des images et les messages envoyés par nos formulaires.
Google Cloud EMEA Limited, Irlande — notre messagerie (Google Workspace) : vos messages et nos réponses.
Cloudflare et Google travaillent pour nous dans le cadre d’un accord de traitement des données. Lorsque des données peuvent parvenir aux États-Unis, le transfert est couvert par le cadre de protection des données UE-États-Unis (Data Privacy Framework, auquel Cloudflare et Google LLC sont certifiés) et, à défaut, par les clauses contractuelles types de la Commission européenne (décision 2021/914).
Odoo, notre ERP (configurateur, devis, réservations, factures), sur notre propre serveur au Luxembourg — sans hébergeur ; il est joignable via Cloudflare (Cloudflare Tunnel), si bien que l’entrée Cloudflare ci-dessus couvre aussi le trafic du configurateur. Il enregistre ce que vous saisissez dans le configurateur ou nous communiquez pour une réservation : nom, entreprise, coordonnées, date, lieu et options de l’événement, ainsi que les devis, réservations et factures qui suivent. Les factures sont conservées dix ans.
Google Places API — lors de la construction du site, nous récupérons notre note et nos avis Google ; votre visite n’envoie rien à Google.
Le logiciel de photobooth utilisé lors des événements est décrit à la section 2.
6. Vos droits
Vous pouvez demander quelles données nous détenons sur vous, les faire rectifier ou effacer, en limiter l’utilisation ou vous y opposer, et les recevoir dans un format lisible. Un e-mail suffit ; nous répondons dans un délai d’un mois, en général bien plus vite. Si notre réponse ne vous satisfait pas, vous pouvez saisir la CNPD, 15 boulevard du Jazz, L-4370 Belvaux — cnpd.lu. Mais encore une fois : parlez-nous d’abord. C’est presque toujours plus rapide.
7. Modifications
Si nous modifions ce document de manière significative, nous mettrons à jour la date ci-dessous. Dernière mise à jour —