Confidentialité et cookies

Responsable du traitement

Paul Abensour (EI), éditeur du site — voir les mentions légales. Contact : contact@onypar.fr.

Ce que le serveur reçoit

Comme tout site web, le serveur d'Onypar reçoit ton adresse IP à chaque page affichée. Elle sert à protéger le site contre les abus, notamment à limiter le nombre de pages, de messages et de tentatives de connexion d'un même visiteur en peu de temps, pour protéger le site contre la copie automatisée et les abus. Elle reste en mémoire vive le temps de ce comptage, une demi-heure au plus après ton dernier passage, et n'est jamais enregistrée en base de données.

Les journaux techniques du serveur (requêtes reçues, erreurs, dépassements de cette limite, créations et suppressions de comptes, repérées par un identifiant interne) peuvent contenir une adresse IP, le navigateur utilisé, le chemin demandé, la date et le résultat de la requête. Les paramètres des adresses, qui peuvent contenir des jetons de connexion, sont masqués dans les journaux d’accès, ainsi que les cookies et les en-têtes d’autorisation. Ces journaux servent à diagnostiquer les pannes et les abus ; leur rotation est au moins quotidienne et les fichiers archivés sont conservés six jours au plus. Les autres journaux techniques sont conservés 30 jours.

Base légale : l'intérêt légitime de l'éditeur à assurer la sécurité et le bon fonctionnement du site (article 6.1.f du RGPD).

Ton compte

Le compte est facultatif : tout le site se consulte sans. Si tu as moins de 15 ans, demande l'accord d'un de tes parents ou de ton tuteur avant d'en créer un. Il contient :

• ton adresse e-mail, la seule information obligatoire : elle sert à te connecter ;
• si tu les donnes, ton nom affiché, ton genre et ton année de naissance. Ce sont des déclarations, jamais vérifiées, et rien n'en est montré à qui que ce soit pour l'instant ;
• tes recherches enregistrées (catégorie et filtres) et ton agenda (les dates gardées avec « Ça m'intéresse ») : personne d'autre ne les voit ;
• les noms d'artistes que tu suis, et les dates déjà signalées pour eux (pour ne jamais te prévenir deux fois de la même) : personne d'autre ne les voit ;
• la langue de ta dernière connexion (pour t'écrire dans la bonne langue), les dates de création du compte, de ta dernière connexion et de ta dernière visite (une seule date, sans historique : elle sert aussi à compter, sans savoir qui, les comptes actifs de la semaine), les dates du premier et du dernier de tes « Ça m'intéresse », alertes ou artistes suivis (même usage, sans le détail), et, le cas échéant, la date à laquelle un e-mail envoyé à ton adresse est revenu en échec ou a été signalé comme indésirable (voir « Connexion par e-mail »).

Ces informations servent à te connecter, à garder tes recherches, tes artistes et ton agenda d'une visite à l'autre, à t'envoyer les e-mails que tu as demandés, et à rien d'autre : elles ne sont ni vendues, ni partagées, ni utilisées pour de la publicité.

Combien de temps. Tant que ton compte existe. Tu peux modifier ton profil et supprimer ton compte toi-même, à tout moment : tout est alors effacé tout de suite (profil, recherches, artistes suivis, agenda, notifications, sessions). Un compte sans connexion pendant 3 ans est effacé de la même façon, après un e-mail qui te prévient un mois avant. Si les e-mails envoyés à ton adresse reviennent en échec ou ont été signalés comme indésirables, cet avertissement ne peut pas partir et le compte est effacé aux 3 ans ; s'il échoue pour une autre raison, au plus tard 2 mois après. Une date de ton agenda est effacée lors de la purge quotidienne, sept jours après la fin de l’événement. L’historique des dates déjà signalées pour tes artistes est conservé 30 jours après la préparation de l’alerte, ou moins si la séance est supprimée ou terminée depuis sept jours. Il disparaît aussi avec ton compte. Les sauvegardes peuvent encore contenir ces données 30 jours de plus.

Base légale : le service que tu demandes en créant un compte (exécution du contrat, article 6.1.b du RGPD) ; pour le nom, le genre et l'année de naissance, facultatifs, ton consentement (article 6.1.a), que tu retires en effaçant ces champs.

Connexion par e-mail

Onypar n'utilise pas de mot de passe : pour te connecter, tu reçois par e-mail un lien et un code, valables 15 minutes et une seule fois. La demande (ton adresse, une empreinte du lien et du code, la page où revenir, la langue et, si tu demandes le programme du jeudi depuis une page catégorie, la recherche de cette page) est effacée au plus tard deux jours après, le temps de limiter le nombre de demandes par adresse.

L'e-mail est envoyé par Resend (Resend, Inc., États-Unis), qui reçoit ton adresse et le contenu du message, et les garde 30 jours. Ses données sont stockées aux États-Unis ; Resend est certifié au Data Privacy Framework UE–États-Unis, reconnu par la Commission européenne, et agit comme sous-traitant d'Onypar.

Resend signale à Onypar les e-mails revenus en échec définitif (adresse inexistante, par exemple) et ceux marqués comme indésirables. Dans le premier cas, Onypar n'envoie plus d'e-mail d'alerte à l'adresse jusqu'à ta prochaine connexion, ou jusqu'à ce que tu relances les envois depuis ton compte. Dans le second, Onypar garde la date du signalement et ne t'écrit plus : ni l'e-mail du jeudi, ni les alertes, ni les liens de connexion. Si c'était une erreur, écris-nous.

Pour bloquer les robots qui enverraient des e-mails en masse, le formulaire de connexion utilise Turnstile de Cloudflare (Cloudflare, Inc., États-Unis), un captcha le plus souvent invisible. Cloudflare reçoit ton adresse IP et des informations techniques sur ton navigateur, seulement pour distinguer un humain d'un robot, sans publicité ni cookie publicitaire. Cloudflare est lui aussi certifié au Data Privacy Framework.

Base légale : le service demandé pour l'e-mail (article 6.1.b du RGPD) ; l'intérêt légitime de l'éditeur à protéger le site contre les abus pour Turnstile, et à ne pas écrire à une adresse qui ne reçoit pas ou ne le souhaite pas pour les retours de Resend (article 6.1.f).

E-mail du jeudi

Chaque jeudi matin, Onypar t'envoie le programme des jours qui viennent pour tes recherches en alerte et tes artistes suivis, et les dates de ton agenda ; rien n'est envoyé s'il n'y a rien à te dire. Tu ne le reçois que si tu le demandes : en cochant « M'envoyer le programme par e-mail chaque jeudi » (jamais cochée d'avance) quand tu enregistres une recherche ou à l'accueil, ou depuis ton compte. Pour ne plus recevoir l'e-mail : le lien en bas de chaque e-mail (un clic, sans connexion), ou ton compte.

Tu peux aussi le demander depuis une page catégorie (« Reçois ce programme chaque jeudi ») : ton adresse reçoit un lien ; après confirmation par le bouton de connexion ou le code reçu par e-mail, ton compte est créé s’il n’existe pas et la recherche de la page est enregistrée avec son alerte. Sans confirmation, rien n'est créé ni envoyé d'autre, et la demande est effacée au plus tard deux jours après.

Pour le préparer, Onypar utilise ton adresse e-mail, ta langue, ton nom affiché, tes recherches en alerte, tes artistes suivis et ton agenda. L'e-mail préparé est gardé 30 jours, puis effacé, et il est envoyé par Resend (voir « Connexion par e-mail »). Le logo et les images de l'e-mail sont chargés depuis le serveur d'Onypar, aux mêmes adresses pour tout le monde, sans identifiant personnel. Onypar ne mesure pas l'ouverture des e-mails et ne sait pas qui clique : les liens vers le site portent seulement une étiquette commune à tous (« vient de l'e-mail du jeudi »), qui permet de compter, de façon anonyme, les visites venues des e-mails (voir « Mesure d'audience »).

Base légale : le service que tu demandes en créant un compte et en enregistrant tes recherches (exécution du contrat, article 6.1.b du RGPD).

Alertes de tes artistes

Tu peux suivre des noms d'artistes, de groupes ou de troupes, depuis ton compte ou la fiche d'un événement. Le matin où une nouvelle date à Paris apparaît sur Onypar avec l'un de ces noms dans son titre ou son affiche, Onypar t'envoie un e-mail : un par jour au plus, et jamais deux fois pour la même date. Pour ne plus recevoir ces alertes : le lien en bas de chaque e-mail (un clic, sans connexion), ou ton compte ; tes artistes restent alors enregistrés.

Pour cela, Onypar compare les noms que tu suis aux nouvelles dates du catalogue, sans rien en déduire d'autre sur toi. L'e-mail utilise ton adresse, ta langue, ton nom affiché et ces noms ; il est gardé 30 jours, puis effacé, et il est envoyé par Resend (voir « Connexion par e-mail »). Comme pour l'e-mail du jeudi, Onypar ne mesure pas leur ouverture et ne sait pas qui clique : les liens portent seulement une étiquette commune à tous (« vient de l'alerte des artistes »).

Pour éviter les doublons, Onypar garde le lien entre ton compte et les séances déjà signalées pendant 30 jours après la préparation de l’alerte. Ce lien est effacé plus tôt si tu supprimes ton compte, si la séance est supprimée, ou sept jours après sa fin, lors des purges quotidiennes. Cette durée suffit au rattrapage des nouvelles dates, limité aux trois derniers jours.

Base légale : le service que tu demandes en suivant ces noms (exécution du contrat, article 6.1.b du RGPD).

Suggestions « Pour toi »

Quand tu es sur l'accueil avec ton compte, Onypar te propose jusqu'à 6 idées de sorties, chacune avec sa raison (« Parce que tu suis… », « Parce que tu as enregistré… »). Elles viennent seulement de ce que tu as choisi : tes recherches enregistrées et les artistes que tu suis, les dates de ton agenda étant écartées. Rien d'autre n'est utilisé (ni ta navigation, ni ton profil, ni ta position), et rien n'est gardé : les idées sont recalculées à chaque visite.

C'est un profilage léger, sans effet juridique ni décision qui te concerne. Tu peux t'y opposer à tout moment depuis ton compte (« Me faire des suggestions sur l'accueil ») : plus rien n'est alors calculé.

Base légale : l'intérêt légitime d'Onypar à te montrer des sorties qui correspondent à tes goûts déclarés (article 6.1.f du RGPD), avec ton droit d'opposition (article 21).

Notifications sur le site

Avec ton compte, la cloche en haut des pages te rappelle la veille une date de ton agenda, te signale qu'elle est annulée, reportée ou change d'horaire, ou qu'une nouvelle date apparaît pour un artiste que tu suis. Pour cela, Onypar garde, pour chaque date de ton agenda, son statut et son horaire au moment où tu l'as gardée, et les compare chaque matin au catalogue.

Chaque notification (la date concernée, l'ancien horaire ou le nom suivi, le moment où elle a été créée et celui où tu l'as lue) n'est visible que de toi. Elle est effacée au bout de 3 mois, avec la date concernée (7 jours après l'événement) ou avec ton compte. Rien n'est envoyé par e-mail ni à un service extérieur.

Base légale : le service que tu demandes en gardant des dates et en suivant des noms (exécution du contrat, article 6.1.b du RGPD).

Mesure d'audience

Pour savoir combien de personnes utilisent Onypar, quelles pages servent et comment les améliorer, chaque page vue est comptée avec : l'adresse de la page, le site d'où tu arrives, le type d'appareil, le navigateur et le système, la taille de l'écran, la langue, le pays, la région et la ville déduits de l'adresse IP, et le temps de chargement de la page.

Un clic sur un bouton « Réserver » est compté de la même façon, pour savoir si ces boutons sont bien placés : s'y ajoutent seulement l'endroit de la fiche où se trouve le bouton, la billetterie vers laquelle il mène et le type d'événement. Rien n'est enregistré sur ce que tu fais ensuite sur le site de la billetterie.

L'outil utilisé, Umami (logiciel libre), est installé sur le serveur d'Onypar, dans l'Union européenne : aucun service de statistiques extérieur ne reçoit ces informations (seule la sauvegarde de la base, décrite plus bas, en garde une copie). Il ne dépose aucun cookie et n'enregistre rien dans ton navigateur. Ton adresse IP n'est pas conservée : à l'arrivée, elle sert à déduire le pays et la ville, puis, mêlée à une clé secrète, à former un identifiant de visite brouillé de façon irréversible et renouvelé chaque mois. Impossible, donc, de te suivre d'un mois à l'autre ou sur d'autres sites. Les statistiques ne sont jamais reliées à ton compte. Les résultats ne servent qu'à des statistiques, ne sont ni vendus ni partagés, et ne sont croisés avec aucune autre donnée.

Les données sont conservées 25 mois, puis effacées ; les sauvegardes peuvent encore les contenir 30 jours de plus (voir « Hébergement et sauvegardes »). Base légale : l'intérêt légitime de l'éditeur à mesurer la fréquentation de son site (article 6.1.f du RGPD) ; cette mesure, strictement limitée, entre dans les cas dispensés de consentement par la CNIL (article 82 de la loi Informatique et Libertés).

Tu peux t'y opposer à tout moment : le réglage « Ne pas me suivre » (Do Not Track) de ton navigateur est respecté, et le bouton ci-dessous arrête le comptage sur ce navigateur.

Messages envoyés par la page de contact

Quand tu écris via la page Contact (ou le lien « Signaler » d'une fiche), Onypar envoie par e-mail à l'éditeur, à l'adresse contact@onypar.fr, le sujet choisi, ton message, la page concernée, la langue du site et, seulement si tu la donnes, ton adresse e-mail. Ces informations servent à lire ton message, à corriger le site ou la fiche et, si tu as laissé une adresse, à te répondre. Elles ne servent à rien d'autre. Rien n'est enregistré dans la base de données du site.

L'e-mail est envoyé par Resend (Resend, Inc., États-Unis), qui le garde 30 jours. Ses données sont stockées aux États-Unis ; Resend est certifié au Data Privacy Framework UE–États-Unis, reconnu par la Commission européenne, et agit comme sous-traitant d'Onypar. Le message arrive dans la boîte de l'éditeur, hébergée dans l'Union européenne par OVHcloud, où il est gardé 12 mois au plus, puis effacé. Ton adresse IP n'est pas transmise avec le message : elle sert seulement, en mémoire vive, à limiter le nombre de messages qu'un même visiteur peut envoyer d'affilée.

Base légale : l'intérêt légitime de l'éditeur à recevoir et traiter les messages qui lui sont adressés (article 6.1.f du RGPD). Écrire depuis le formulaire est facultatif : tu peux aussi écrire directement à contact@onypar.fr.

Cookies

Onypar ne dépose aucun traceur publicitaire. Un seul cookie existe, et seulement si tu te connectes : __Host-onypar-session. Il garde ta session ouverte. Il contient un identifiant tiré au hasard, sans aucune information sur toi, et le JavaScript des pages ne peut pas le lire. Il expire après 30 jours sans visite, au plus tard un an après la connexion, et il est effacé quand tu te déconnectes.

Le navigateur garde aussi, dans son stockage local, deux choses au plus : ton refus d'être compté, si tu le demandes ci-dessus ; et, le temps de te connecter, l'action que tu venais de demander (enregistrer une recherche, garder une date), effacée à ton retour ; au-delà de 30 minutes, cette action n’est plus exécutée et elle est effacée lorsque le navigateur la relit.

Ces trois éléments sont indispensables au service que tu demandes : ils sont dispensés de consentement (article 82 de la loi Informatique et Libertés). C'est pour cela qu'aucun bandeau ne te le demande.

Les liens partenaires Fnac Spectacles et Billet Réduc passent par Awin, qui peut déposer un cookie d’affiliation pour attribuer une commission à Onypar. La billetterie applique ses propres choix de cookies une fois sur son site (voir « Services extérieurs chargés par les pages »). Les liens partenaires Classictic mènent directement à Classictic, avec l’identifiant partenaire d’Onypar dans l’adresse ; Classictic peut déposer son propre cookie d’affiliation.

Services extérieurs chargés par les pages

• Carte des lieux : les fonds de carte viennent de la Géoplateforme de l'IGN (service public français), qui reçoit ton adresse IP quand une carte s'affiche.
• Images des événements : elles sont normalement téléchargées et redimensionnées par le serveur d’Onypar, puis servies depuis son domaine : la source reçoit alors l’adresse du serveur, pas la tienne. Si une image est chargée directement depuis une source extérieure, cette source reçoit ton adresse IP. Certains de ces sites peuvent être hébergés hors de l’Union européenne.
• Captcha de connexion : le formulaire de connexion charge Turnstile depuis les serveurs de Cloudflare (voir « Connexion par e-mail »).
• Boutons « Réserver » : ils t'emmènent sur le site de l'organisateur ou de la billetterie, dont la propre politique de confidentialité s'applique. Onypar ne reçoit aucune information sur ce que tu y fais.
• Liens partenaires Fnac Spectacles et Billet Réduc : signalés comme tels sous le bouton, ils passent d'abord par Awin, la plateforme d’affiliation de ces billetteries. Quand tu cliques, ton navigateur contacte Awin, qui reçoit notamment ton adresse IP, le navigateur et la date du clic, pour attribuer à Onypar une commission si tu réserves. Awin peut déposer un cookie d’affiliation et transmettre un identifiant de clic à la billetterie pour ce suivi. Awin agit pour son propre compte : sa politique de confidentialité s’applique. Onypar ne transmet aucune donnée de ton compte à Awin et ne reçoit que le relevé de ses commissions (date, montant, statut de la réservation), sans rien qui permette de savoir qui a réservé. Rien ne se passe tant que tu ne cliques pas.
• Liens partenaires Classictic (concerts classiques) : signalés comme tels, ils mènent directement au site de Classictic, sans intermédiaire. L’adresse porte l’identifiant partenaire d’Onypar, pour que Classictic attribue une commission si tu réserves ; Classictic peut déposer un cookie d’affiliation à cette fin. Sa politique de confidentialité s’applique. Onypar ne lui transmet aucune donnée de ton compte.

Les polices de caractères sont servies par Onypar lui-même.

Hébergement et sauvegardes

Le site et sa base de données sont hébergés dans l'Union européenne, en Pologne, par OVHcloud (société française). Chaque nuit, une sauvegarde de la base (comptes et statistiques de visite compris) est faite sur le serveur, et OVHcloud sauvegarde le serveur entier chaque jour, pour pouvoir restaurer le site en cas de panne. Une copie chiffrée de ces sauvegardes est aussi conservée dans l'Union européenne chez Cloudflare (Cloudflare, Inc., États-Unis), qui ne peut pas la lire : seul l'éditeur détient la clé. Chaque sauvegarde est effacée au bout de 30 jours au plus. Les e-mails (connexion, programmes, alertes, avertissements et messages de contact) passent par Resend et le captcha par Cloudflare. Les autres contacts avec des services extérieurs sont décrits plus haut.

Tes droits

Depuis ton compte, tu peux à tout moment modifier ton profil, renommer ou supprimer tes recherches, suivre un nom ou ne plus le suivre, couper chaque e-mail et les suggestions, retirer une date de ton agenda, télécharger toutes tes données (un fichier JSON, sans délai), te déconnecter de tous tes appareils et supprimer ton compte.

Tu peux demander l'accès, la rectification ou l'effacement des données te concernant, une copie de tes données dans un format réutilisable (portabilité), demander la limitation de leur traitement, retirer un consentement donné pour un usage facultatif, ou t’opposer à leur traitement, en écrivant à contact@onypar.fr. Tu recevras une réponse sous un mois. Si tu estimes que tes droits ne sont pas respectés, tu peux saisir la CNIL.

Évolutions

Cette page sera mise à jour avant l'arrivée de toute autre nouveauté qui utilise des données personnelles (connexion avec Google ou Apple). La date de dernière mise à jour figure en haut de la page.