Déclaration de confidentialité

Responsable du traitement et étendue

Nostium B.V., Bogert 1, 5612 LX Eindhoven, Pays‑Bas, est responsable du traitement des données dont il détermine les finalités et les moyens. Cette déclaration s’applique au site public et, lorsque Nostium en est responsable, aux comptes Nostium, environnements de réservation, portails, intégrations, support et services commerciaux. Utilisez dataprotection@nostium.com pour les questions ou demandes relatives à la confidentialité ; les questions générales peuvent être envoyées à support@nostium.com ou au +31 (0)40 8200 194.

Rôles avec organisations connectées

Lorsque vous réservez auprès d’une organisation qui utilise Nostium, cette organisation est généralement responsable de son service, du contenu de la réservation et de ses propres communications clients. Nostium traite les données en tant que sous‑traitant lorsqu’il agit uniquement sur instruction de cette organisation, en tant que responsable autonome pour ses propres finalités telles que la sécurité et l’administration de la plateforme, ou en tant que co‑responsable lorsque les parties déterminent effectivement ensemble les finalités et moyens. L’accord applicable enregistre la répartition des rôles ; vous pouvez exercer vos droits auprès de toute partie concernée.

Catégories et sources de données

Selon le service, Nostium peut traiter votre nom, adresse, date de naissance, adresse e‑mail, numéro de téléphone, relation à une organisation ou un lieu, données de compte et d'autorisation, détails de réservation, participants, préférences ou commentaires, statut de paiement et de facturation, correspondance, informations de support et journaux techniques. Les données proviennent de vous, de votre employeur ou organisation, du lieu avec lequel vous réservez, d'une plateforme de billetterie, bons, paiement ou vente connectée, ou sont générées techniquement lors de l'utilisation. Nous ne demandons pas plus de données que raisonnablement nécessaire pour la finalité concernée.

Visites du site et données techniques

Pour le fonctionnement nécessaire, une adresse IP, des informations sur l’appareil et le navigateur, le paramètre de langue, la date et l’heure, la route demandée, la page référente et des données d’erreur ou de sécurité peuvent être traités pour maintenir le service disponible et sécurisé. Après votre consentement distinct, Google Analytics et Microsoft Clarity peuvent en outre traiter un identifiant en ligne, une région approximative, des données de session et de campagne, des vues de page et des interactions telles que clics, défilement et comportement de rendu. Clarity peut créer des enregistrements de sessions masqués et des heatmaps ; les champs de saisie et le contenu sensible sont masqués. Après consentement marketing, Tracklution peut traiter des paramètres de campagne et des événements de conversion. Ces traitements optionnels n’ont pas lieu sans consentement.

Demandes de contact, démo et partenariat

Lorsque vous soumettez un formulaire, Nostium traite les données de contact, d’entreprise et le message que vous saisissez nécessaires pour enregistrer, affecter, répondre et assurer le suivi de votre demande de contact, de démonstration ou de partenariat. Le champ société est facultatif pour une demande de contact, et le nom de famille ainsi que le numéro de téléphone sont facultatifs pour une démo ; évitez les textes libres non requis pour votre demande. Chaque demande est d’abord stockée dans le CMS de Nostium. Après approbation et activation du traitement pertinent, les demandes de contact et de démo peuvent être envoyées par e‑mail à l’équipe responsable, transmises à Nostium Hub et, si activé, soumises au formulaire HubSpot existant. Les demandes de partenariat peuvent être envoyées par e‑mail après approbation du traitement des mails. Le CMS efface les demandes ouvertes au plus tard 24 mois après réception et les demandes complétées ou archivées au plus tard 12 mois après clôture. Une demande de suppression est également transmise aux destinataires lorsque requis. Ce traitement a lieu pour répondre à votre demande et pour notre intérêt légitime à une gestion ordonnée des relations et des demandes.

Réservations, participants et paiements

Une réservation peut inclure des données d’identification et de contact, date, heure, activité, lieu, nombre ou noms des participants, demandes spéciales, montant, moyen de paiement, statut de paiement et identifiants de transaction. Les finalités incluent la création et la modification de réservations, paiements, contrôle d’accès, capacité et planification, confirmations, rappels, remboursements, assistance, prévention de la fraude et conformité aux obligations fiscales ou autres obligations légales. L’organisation connectée reste le contact principal pour le contenu de son offre et son service.

Comptes et administration des utilisateurs

Pour les comptes personnels ou professionnels, Nostium traite des informations telles que le nom, l’adresse e‑mail, les données d’authentification chiffrées, les paramètres à deux facteurs, les relations avec les organisations et les lieux, les rôles, les autorisations, les données de connexion et d’audit ainsi que les paramètres. Cela est nécessaire pour la création de compte, l’authentification, l’autorisation, le support, la sécurité et l’exécution du contrat. Ne partagez jamais vos identifiants ; les administrateurs d’une organisation sont également responsables des autorisations utilisateur correctes dans leur environnement.

Clients, contrats et administration

Pour les clients professionnels, fournisseurs et partenaires, nous traitons les coordonnées, le rôle, la correspondance, les accords, les devis, les factures, l’état des paiements et l’historique du support afin de préparer et d’exécuter les contrats, fournir le service, gérer les relations, établir des droits et respecter les obligations administratives. Les informations nécessaires sont identifiées comme telles ; sans les données de contact, de réservation, de compte ou de paiement requises, le service concerné peut ne pas être disponible.

Newsletter et marketing Nostium

Après une inscription volontaire, Nostium traite votre adresse e‑mail, langue, heure du consentement, version de la politique et statut de l’abonnement pour envoyer des mises à jour produit ou des informations pertinentes. Le nom et l’entreprise sont facultatifs. Le marketing nécessitant un consentement repose uniquement sur ce consentement. L’abonnement et la preuve du consentement restent actifs au maximum 24 mois après la dernière confirmation positive ; ensuite nous cessons l’envoi ou demandons un nouveau consentement. Vous pouvez retirer votre consentement avant via la fonction de désinscription ou dataprotection@nostium.com ; le retrait n’affecte pas les traitements antérieurs licites. En cas de retrait, le CMS du site efface les copies locales de mail en attente, bloque le suivi ordinaire et l’export en masse, et efface la demande archivée au plus tard 12 mois après. Tout service de newsletter utilisé doit aussi appliquer l’opt‑out immédiatement et ne peut conserver qu’une entrée minimale de suppression aussi longtemps que nécessaire pour le respecter.

Communications des organisations connectées

Une organisation connectée peut utiliser Nostium pour envoyer les communications nécessaires liées aux réservations, telles que confirmations, rappels, modifications, annulations ou messages de service. Cette organisation est responsable du contenu et de la base légale de son propre marketing ; Nostium facilite la livraison technique dans le cadre des dispositions applicables en matière de confidentialité et de traitement. Vous pouvez également adresser des questions ou des objections concernant ce marketing à l’expéditeur.

Cookies et consentement

Le site public utilise les technologies nécessaires pour la sécurité des sessions, la protection des formulaires et la mémorisation de votre choix. Google Tag Manager, Google Analytics et les fonctions d’analyse de Microsoft Clarity restent désactivés tant que vous n’autorisez pas Analytics ; Tracklution et les stockages Microsoft liés à la publicité restent désactivés tant que vous n’autorisez pas Marketing. Nostium applique un strict opt‑in et n’envoie aucune mesure cookieless après un refus. Les catégories, technologies, durées de conservation et règles actuelles pour les Pays‑Bas, l’UE et l’Allemagne sont détaillées dans la politique de cookies. Le consentement peut être retiré via le contrôle permanent Paramètres des cookies aussi facilement qu’il a été donné ; les fournisseurs déjà chargés reçoivent alors le refus, le stockage optionnel first‑party accessible est effacé et la page redémarre sans les scripts retirés.

Bases légales

Nostium traite les données personnelles lorsque cela est nécessaire pour un contrat ou des démarches à votre demande, pour respecter une obligation légale, sur la base de votre consentement ou pour un intérêt légitime tel que la sécurité, la continuité, la prévention de la fraude, le support et la gestion attentive des relations. Pour un intérêt légitime, nous mettons cet intérêt en balance avec vos droits et attentes. Les données sensibles ne sont traitées que lorsqu’une exception GDPR appropriée s’applique ; ne les fournissez pas sauf si le service ou le lieu les demande expressément.

Destinataires, sous‑traitants et Cherry B.V.

L’accès est limité au personnel autorisé, à l’organisation connectée et aux prestataires nécessaires pour l’hébergement, les e‑mails, le support, la sécurité, les paiements, les formulaires, le CRM ou les intégrations. Les formulaires de contact et de démonstration peuvent être transférés vers Nostium Hub et HubSpot comme décrit ci‑dessus. Après le consentement correspondant, Google Ireland Limited, Microsoft Ireland Operations Limited et Tracklution Oy peuvent recevoir les données nécessaires à la mesure décrite ; Tracklution peut envoyer des événements consentis vers des destinations publicitaires inventoriées à l’avance. Nostium peut partager les données nécessaires avec la société mère Cherry B.V., Galvanistraat 23A, 3861 NJ Nijkerk, pour les opérations internes, le support, la sécurité, les audits, la conformité et l’administration. Un processeur externe n’est activé qu’après que son rôle, ses instructions, sa sécurité, ses sous‑processeurs, ses droits de suppression et d’audit ont été contractuellement enregistrés ; lorsque les parties déterminent conjointement les finalités et les moyens, les responsabilités sont enregistrées conformément à l’article 26 RGPD.

Transferts hors de l’EEE

Tracklution traite principalement chez AWS à Stockholm. Google, Microsoft, leurs sous‑traitants et les destinations publicitaires recensées préalablement peuvent également traiter des données depuis ou en dehors de l’EEE, y compris aux États‑Unis. Avant activation, Nostium enregistre pour chaque transfert le pays, le destinataire, la décision d’adéquation applicable ou les Clauses Contractuelles Types de la Commission européenne, l’évaluation du transfert et les mesures techniques et organisationnelles complémentaires. Une liste à jour des sous‑traitants pertinents et des garanties est disponible sur demande à dataprotection@nostium.com.

Durées de conservation

Les données personnelles ne sont pas conservées plus longtemps que nécessaire au regard de la finalité, des obligations légales et des éventuels litiges. Les demandes ouvertes sur le site sont conservées dans le CMS au maximum 24 mois après réception ; les demandes traitées ou archivées au maximum 12 mois après clôture. Le consentement à la newsletter reste actif au maximum 24 mois après la dernière confirmation affirmative. L’application efface quotidiennement les enregistrements CMS périmés, les jobs de file d’attente échoués contenant des données de formulaire après au plus sept jours, et les audits CMS après un an. Les sauvegardes automatiques temporaires de pages âgées de plus de 24 heures sont effacées chaque heure. Les révisions de pages et de catalogues sont effacées au plus tard après un an et limitées aux vingt instantanés les plus récents par enregistrement ; lorsque la limite de nombre est dépassée plus tôt, les instantanés les plus anciens expirent. Les verrous d’édition temporaires du CMS expirent après 90 secondes et sont supprimés de la base de données au plus tard cinq minutes après. Les limites de fréquence de sécurité pour les formulaires et la connexion CMS expirent après une minute ; les enregistrements de cache de base de données et de cache-lock expirés sont effacés physiquement au plus tard cinq minutes après, et les clés de connexion CMS personnalisées ne contiennent aucune adresse e-mail ou adresse IP lisible. Le CMS ne prévoit pas de connexion persistante : les anciens remember tokens sont invalidés et un cookie recaller restant est supprimé sur l’écran de connexion. Un horodatage d’activité CMS distinct n’est renouvelé que par des requêtes CMS ; après deux heures sans activité CMS, l’utilisateur est déconnecté même s’il consulte le site public. La navigation ordinaire sur le site ne peut donc pas prolonger la limite CMS. Lorsqu’une demande du site est supprimée définitivement, l’application efface également immédiatement ses jobs en file locaux restants et les copies échouées de la file. Pendant une restriction de traitement valide, le CMS marque la demande pour stockage et gestion de la confidentialité, efface les copies locales restantes de la file, bloque les actions de suivi ordinaires et l’exportation en masse, et programme un examen sous 30 jours. L’effacement automatique est suspendu uniquement tant que la restriction exige la conservation et reprend après que la restriction a été levée légalement. Les sessions CMS du site web sont valables au maximum deux heures et les jetons de réinitialisation de mot de passe au maximum une heure ; les enregistrements expirés sont effacés dans les quinze minutes et les journaux d’application locaux sont conservés au plus quatorze jours. Les comptes de personnel CMS désactivés peuvent être effacés définitivement avec les résidus d’authentification et des copies d’audit identifiantes une fois qu’ils ne sont plus nécessaires et lorsqu’aucune obligation de conservation ne s’applique. Un téléchargement CMS public reste disponible tant qu’il est nécessaire à la publication du site ; après son déplacement vers la corbeille, le fichier, les métadonnées médias et les copies d’audit associées sont effacés définitivement dans les 30 jours. Les autres données de compte et client restent généralement pendant la relation puis sont effacées, anonymisées ou soumises à des restrictions d’accès ; les enregistrements de réservation, de transaction et de facture peuvent généralement être conservés pendant sept ans pour l’administration néerlandaise. Les cookies Google Analytics peuvent rester par défaut jusqu’à deux ans ; Nostium configure la conservation des données d’événements Google Analytics à deux mois. Les enregistrements Clarity sont conservés 30 jours et les enregistrements étiquetés ainsi que les données de heatmap/clics jusqu’à neuf mois. Les données d’événements Tracklution sont conservées jusqu’à douze mois. Les durées exactes de stockage dans le navigateur sont indiquées dans l’inventaire des cookies. Un incident, une réclamation judiciaire ou une obligation de conservation peut exiger une période plus longue ; l’accès est restreint et la raison est documentée dans ce cas.

Sécurité et incidents

Nostium utilise des mesures techniques et organisationnelles appropriées, notamment des connexions chiffrées, des rôles et permissions, une authentification forte lorsque nécessaire, la séparation des réseaux et environnements, la journalisation, les sauvegardes, les mises à jour, les revues d’accès et des procédures de développement et de gestion des incidents. Les images téléchargées via le CMS du site sont réencodées avant publication pour que les métadonnées intégrées (localisation, appareil, auteur, commentaires) ne soient pas rendues publiques. L’accès est limité aux personnes qui ont besoin des données pour leurs fonctions et qui sont liées par la confidentialité. Les incidents de sécurité sont investigués et documentés et, lorsque le RGPD l’exige, signalés à l’autorité dans les 72 heures et aux personnes concernées en cas de risque élevé.

Vos droits en matière de confidentialité

Sous réserve des conditions du RGPD, vous pouvez demander l'accès et une copie, la rectification, l'effacement, la limitation ou la portabilité de vos données. Vous pouvez vous opposer à un traitement fondé sur l'intérêt légitime et vous opposer à tout moment au marketing direct. Lorsque le traitement repose sur le consentement, vous pouvez le retirer pour l'avenir. Vous pouvez également demander des informations sur les destinataires, les sources, les durées de conservation et les garanties pertinentes pour les transferts internationaux.

Demandes et réclamations

Envoyez les demandes à dataprotection@nostium.com et incluez suffisamment de contexte pour identifier les données concernées. Pour prévenir les abus, nous pouvons vérifier votre identité de manière proportionnée. Pour une suppression valide, nous effaçons également les copies locales identifiables en file d'attente. Pour une rectification, suppression ou limitation, nous informons les autres destinataires lorsque l'article 19 du RGPD l'exige ; avant de lever une restriction, nous vous en informons. Nostium répond normalement sous un mois ; pour une demande complexe ou volumineuse, le RGPD autorise une extension de deux mois et nous vous en informerons dans le premier mois. Vous pouvez déposer une plainte auprès de l'autorité néerlandaise de protection des données ou auprès de l'autorité du pays de l'UE où vous vivez, travaillez ou où l'infraction alléguée a eu lieu.

Enfants

Les services Nostium ne sont pas destinés à collecter des données d’enfants sans l’implication appropriée d’un parent, d’un tuteur ou d’une organisation liée. Une activité ou un lieu peut nécessiter des données des participants pour une réservation ; cette organisation détermine ce qui est nécessaire et sa base juridique. Si vous pensez qu’un mineur a vu ses données traitées de manière incorrecte ou sans base appropriée, contactez‑nous afin que la situation puisse être examinée et que les données soient effacées si nécessaire.

Décisions automatisées et profilage

Conformément à la politique actuelle, Nostium ne prend pas de décisions ayant des effets juridiques ou similaires significatifs fondées uniquement sur un traitement automatisé. Les règles opérationnelles, calculs de disponibilité, alertes antifraude et rapports peuvent soutenir des processus, mais ne produisent pas une telle décision individuelle sans implication humaine appropriée. Si cela venait à changer, nous fournirons à l’avance les informations requises sur la logique, la portée, les conséquences et vos droits.

Profils d'équipe publics et avis clients

Nostium peut afficher le prénom, le rôle, les initiales et, le cas échéant, une photo et un lien professionnel partagé volontairement d’un membre de l’équipe afin de préciser qui fournit nos services. Nous minimisons les données, réexaminons les publications en cas de changement de rôle et au moins une fois par an, et supprimons ou modifions un profil après une objection valable ou lorsque la publication n’est plus nécessaire. Nostium affiche également une sélection limitée d’avis clients publiés publiquement sur Google, incluant le nom ou pseudonyme utilisé, la date, la note et le texte de l’avis. Ce contenu est fourni directement par Nostium sans widget Google, image de profil ou demande préalable à Google. Ces publications reposent sur notre intérêt légitime à fournir des informations reconnaissables et fiables et à faire de la promotion, équilibré avec les intérêts des personnes concernées. Vous pouvez vous opposer pour des raisons liées à votre situation particulière ou demander la suppression via dataprotection@nostium.com. Le bouton « plus d’avis » ouvre Google uniquement après votre activation.

Modifications et contact

Nous mettons à jour cette déclaration lorsque les services, fournisseurs, rôles ou lois changent. Pour les changements importants, nous informons les personnes concernées via le site web, le compte ou par e‑mail si approprié. La version la plus récente remplace les précédentes pour les traitements futurs. Questions et demandes relatives à la vie privée : dataprotection@nostium.com. Courrier : Nostium B.V., Bogert 1, 5612 LX Eindhoven, the Netherlands. Dernière mise à jour : 25 août 2026.

Comptes CMS désactivés

Lorsque l’accès au CMS est désactivé, Nostium met immédiatement fin aux sessions concernées ainsi qu’à la possibilité de réinitialiser le mot de passe. Au plus tard 30 jours après, un administrateur doit vérifier si le nom, l’adresse e‑mail professionnelle et les données de compte ou d’audit restantes sont encore nécessaires pour la sécurité, un litige ou une obligation légale de conservation. En l’absence de nécessité enregistrée, le compte, les résidus d’authentification et les copies d’audit identifiantes sont supprimés définitivement ; si une conservation est nécessaire, le motif et une nouvelle date de révision sont consignés dans le registre restreint.

Registres de remise au destinataire

Pour les nouvelles demandes depuis le site web, le CMS enregistre quels canaux de diffusion approuvés ont été mis en file d’attente pour cette demande, en n’utilisant que la catégorie de destinataire, l’objectif, le canal et l’heure. L’enregistrement ne copie pas de nom, d’adresse e‑mail, de numéro de téléphone, de message ni d’autres contenus soumis et suit la même durée de conservation que la demande. Un enregistrement de file d’attente ne prouve pas qu’un destinataire externe a traité les données ; pour une demande relative à la vie privée, Nostium vérifie et enregistre donc séparément la réception, la rectification, la restriction ou l’effacement auprès de chaque destinataire concerné.