Dernière mise à jour : 4 octobre 2026
La présente politique de confidentialité décrit comment Festival Captain collecte, utilise, partage et protège les données à caractère personnel dans le cadre de son service. Elle s'applique au service Festival Captain, à ses interfaces d'administration (dashboard.festivalcaptain.com), au portail d'audit client (audit.festivalcaptain.com, fonctionnalité optionnelle, voir §4b) et aux canaux de conversation connectés (Facebook Messenger, Instagram, email, widget web).
Identité du responsable
ID-18021715837).Cadre légal applicable. Arobaz étant établie en Suisse, le traitement des données est soumis à la Loi fédérale suisse sur la protection des données (nLPD). Par ailleurs, lorsque des données concernent des personnes situées dans l'Union européenne (par exemple le public d'un festival européen), le Règlement général sur la protection des données (RGPD) s'applique également. La présente politique est rédigée pour respecter ces deux cadres.
Festival Captain est un service (SaaS) destiné aux organisateurs de festivals. Il centralise les demandes de leur public (messages Messenger, Instagram, emails, chat web) et propose des réponses assistées par intelligence artificielle. Il prévoit également un portail d'audit, fonctionnalité optionnelle, permettant à un festival client d'analyser la qualité des réponses de son assistant et d'en optimiser la configuration. À ce titre, les rôles au sens du RGPD sont les suivants :
Chaque festival client est isolé dans son propre espace ; un client ne peut pas accéder aux données d'un autre client. Ce cloisonnement est appliqué au niveau de la base de données, y compris pour le portail d'audit.
Selon le canal utilisé par la personne qui contacte un festival, les données suivantes peuvent être traitées :
| Canal / contexte | Données concernées |
|---|---|
| Facebook Messenger | Nom du profil, identifiant de profil (PSID), photo de profil, contenu des messages échangés, horodatage. |
| Instagram (messagerie) | Nom d'utilisateur, identifiant, contenu des messages, horodatage. |
| Adresse email, nom éventuel, objet et contenu des messages, pièces jointes. | |
| Widget web / chat | Messages saisis, coordonnées communiquées volontairement, données techniques (adresse IP, navigateur), identifiant de session. |
| Portail d'audit client | Configuration de l'assistant du festival (consignes de réponse, garde-fous, base de FAQ, sans donnée personnelle) et extraits de conversations passées soumis par le client pour analyse, pouvant contenir le nom ou pseudonyme de la personne et le contenu libre de ses messages. |
| Comptes organisateurs et comptes du portail | Nom, email professionnel, mot de passe (stocké sous forme de condensat), journaux de connexion, préférences. |
Nous ne collectons pas volontairement de données sensibles au sens de l'article 9 du RGPD. Le contenu des messages étant libre, nous ne pouvons toutefois pas garantir qu'aucune donnée de cette nature ne soit transmise spontanément par une personne. Nous invitons les utilisateurs à ne pas communiquer de telles informations via les canaux de conversation, et nous appliquons à ces contenus les mêmes mesures de sécurité et de minimisation qu'au reste des données.
| Finalité | Base légale (RGPD art. 6) |
|---|---|
| Recevoir, router et répondre aux demandes du public d'un festival | Traitement effectué sur instruction documentée du festival responsable, qui détermine la base légale applicable (en règle générale, son intérêt légitime à assurer son support) |
| Générer des réponses assistées par IA | Instruction documentée du festival responsable |
| Analyser la qualité des réponses et recommander des optimisations de configuration (portail d'audit) | Instruction documentée du festival responsable |
| Gérer les comptes organisateurs et la relation contractuelle | Exécution du contrat |
| Sécurité, prévention des abus, journalisation | Intérêt légitime / obligation légale |
| Statistiques et amélioration du service (données agrégées ou anonymisées uniquement) | Intérêt légitime |
Nous n'utilisons pas le contenu des conversations d'un festival pour développer, entraîner ou améliorer nos propres modèles ou ceux d'un autre client. Les statistiques d'amélioration du service reposent exclusivement sur des données agrégées ou anonymisées.
Festival Captain met en œuvre deux traitements distincts recourant à l'intelligence artificielle. Ils ne poursuivent pas la même finalité et ne s'adressent pas aux mêmes destinataires.
L'assistant peut proposer à un agent du festival, ou envoyer directement au public, une réponse générée automatiquement. À cette fin, le contenu des messages entrants est transmis au prestataire de modèles de langage indiqué au §6 (fonction « Captain »), uniquement pour produire cette réponse.
Fonctionnalité optionnelle. Aucune donnée n'est transmise au prestataire concerné tant qu'un festival n'a pas souscrit cette fonctionnalité.
Le personnel d'un festival client peut soumettre, depuis le portail d'audit, la configuration de son assistant ainsi que des extraits de conversations passées, afin d'obtenir des recommandations d'amélioration (consignes de réponse, garde-fous, contenu de la base de FAQ). Ces éléments sont transmis au prestataire indiqué au §6 pour cette finalité. Les destinataires des recommandations sont exclusivement les collaborateurs du festival concerné ; aucune donnée n'est communiquée au public à ce titre, et aucune configuration n'est modifiée automatiquement : l'application d'une recommandation relève d'une décision humaine du client.
Lorsqu'un festival connecte sa page Facebook ou son compte Instagram, Festival Captain reçoit les messages et informations de profil nécessaires via les API officielles de Meta (Messenger Platform, Instagram Messaging), conformément aux conditions des plateformes Meta. Ces données ne sont utilisées que pour permettre au festival de gérer et de répondre à ses conversations. Elles ne sont ni vendues, ni utilisées à des fins publicitaires.
Les données peuvent être traitées par les prestataires techniques suivants, agissant comme sous-traitants ultérieurs :
| Prestataire | Rôle | Localisation du traitement | Encadrement du transfert |
|---|---|---|---|
| Hetzner Online GmbH | Hébergement des serveurs, de la base de données et des pièces jointes | Union européenne (Allemagne / Finlande) | Aucun transfert hors EEE |
| Meta Platforms Ireland Ltd | Fourniture des canaux Messenger et Instagram | Union européenne et États-Unis | Clauses contractuelles types |
| OpenAI Ireland Ltd | Génération de réponses assistées par IA (fonction Captain) ; analyse et recommandations d'optimisation de la configuration IA (portail d'audit client, fonctionnalité optionnelle) | Union européenne (résidence des données activée) et États-Unis | Clauses contractuelles types intégrées à l'accord de traitement des données |
| Twilio Inc. (SendGrid) | Réception et envoi des emails | États-Unis | Clauses contractuelles types |
La liste à jour des sous-traitants ultérieurs figure en annexe de l'accord de sous-traitance conclu avec chaque festival client. Tout ajout ou remplacement fait l'objet d'une information préalable du client, qui dispose d'un droit d'opposition motivé dans les conditions prévues à cet accord.
Nous ne vendons ni ne louons les données personnelles à des tiers.
Arobaz étant établie en Suisse, les données peuvent être traitées en Suisse. La Suisse bénéficie d'une décision d'adéquation de la Commission européenne : les transferts de données de l'UE vers la Suisse sont donc autorisés sans formalité supplémentaire.
Certains sous-traitants ultérieurs, notamment les fournisseurs de modèles d'intelligence artificielle, Meta et le prestataire d'emailing, peuvent traiter des données en dehors de la Suisse et de l'Espace économique européen, en particulier aux États-Unis. Ces transferts sont encadrés par les clauses contractuelles types adoptées par la Commission européenne, intégrées aux accords de traitement des données conclus avec chacun de ces prestataires, complétées le cas échéant par les clauses reconnues par le Préposé fédéral suisse à la protection des données et à la transparence. Une analyse d'impact des transferts est tenue à jour par l'éditeur et communicable au client sur demande.
Pour la fonction de génération de réponses, l'éditeur a activé les options de résidence européenne des données et de rétention minimale proposées par le prestataire concerné, afin de limiter autant que possible le traitement de données hors de l'Union.
Nous mettons en œuvre des mesures techniques et organisationnelles appropriées : chiffrement des échanges (HTTPS/TLS), pare-feu et filtrage des ports, protection contre les tentatives d'intrusion, isolation stricte des espaces clients au niveau de la base de données, accès administratifs restreints et authentifiés par clé, mots de passe stockés sous forme de condensat, sauvegardes régulières et versions logicielles maintenues à jour. Le détail de ces mesures figure en annexe de l'accord de sous-traitance.
Aucun système n'étant infaillible, nous ne pouvons garantir une sécurité absolue, mais nous nous engageons à réagir sans délai en cas d'incident, à notifier le festival responsable dans les meilleurs délais et au plus tard 24 heures après en avoir pris connaissance, et à informer les personnes et autorités concernées lorsque la réglementation l'exige.
Conformément au RGPD et à la nLPD suisse, toute personne dispose des droits suivants : accès, rectification, effacement, limitation, opposition, portabilité, et le droit de définir des directives post-mortem.
Comme Festival Captain agit le plus souvent comme sous-traitant pour le compte des festivals, les demandes relatives aux conversations sont idéalement adressées au festival concerné (responsable de traitement). Vous pouvez néanmoins nous contacter à contact@festivalcaptain.com et nous transmettrons votre demande au responsable concerné, ou y répondrons directement lorsque nous en sommes responsables.
Si vous êtes situé dans l'Union européenne, vous pouvez également déposer votre demande via notre représentant, sur le portail https://app.prighter.com/portal/18021715837, en rappelant la référence ID-18021715837.
Vous avez également le droit d'introduire une réclamation auprès d'une autorité de contrôle. En Suisse, il s'agit du Préposé fédéral à la protection des données et à la transparence (PFPDT) : www.edoeb.admin.ch. Si vous êtes situé dans l'Union européenne, vous pouvez saisir l'autorité de votre pays (par exemple la CNIL en France, www.cnil.fr, ou l'Autorité de protection des données en Belgique, www.autoriteprotectiondonnees.be).
Pour demander la suppression des données vous concernant collectées via Facebook Messenger ou Instagram :
Nous traitons ces demandes dans les meilleurs délais, et au plus tard dans le délai légal applicable. Les données correspondantes sont supprimées de nos systèmes, sauf obligation légale de conservation. Voir également notre page dédiée à la suppression des données.
L'interface d'administration, le portail d'audit et le widget web utilisent des cookies strictement nécessaires à leur fonctionnement (session, sécurité). Aucun cookie publicitaire ou de suivi tiers n'est déposé sans base appropriée. Aucun pixel de suivi d'ouverture ou de clic n'est inséré dans les emails envoyés au public via le service. Le cas échéant, un bandeau de consentement est présenté ; lorsque le widget est intégré au site d'un festival, il appartient à ce dernier de le couvrir dans son propre dispositif de consentement.
Le service n'est pas destiné à collecter sciemment des données de personnes mineures en dessous de l'âge du consentement numérique applicable. Si de telles données étaient transmises, elles seraient supprimées sur demande.
Nous pouvons mettre à jour cette politique. Toute modification substantielle sera signalée par la mise à jour de la date en haut de page et, le cas échéant, par une information directe des clients concernés.
Pour toute question relative à cette politique ou à vos données : contact@festivalcaptain.com.