POLITIQUE DE CONFIDENTIALITÉ

Date de la dernière mise à jour : 26 septembre 2025

1. Introduction

La présente Politique de confidentialité décrit la manière dont NABOO GROUP et ses sociétés affiliées NABOO ESP, S.L. et NABOO CA Événements, Inc. (collectivement « Naboo », « nous », « nos/notre ») collectent, utilisent, protègent et partagent les données à caractère personnel liées à votre utilisation de notre plateforme accessible à l'adresse https://www.naboo.app (la « Plateforme ») et des services associés (les « Services »).

Cette politique s'applique à l'ensemble des données à caractère personnel collectées par Naboo dans le cadre de la fourniture de ses Services, que ce soit via la Plateforme, par téléphone, par email ou par tout autre moyen de communication.

Les termes présents dans la présente politique, tels que « Données à caractère personnel », « Traitement », « Responsable du traitement » et les références aux bases légales (ex: « Intérêt légitime », « Exécution du contrat ») doivent être interprétés conformément à la législation sur la protection des données applicable à votre lieu de résidence (y compris, sans s'y limiter, le RGPD pour l'Europe, la LPD pour la Suisse, la Loi 25 pour le Québec/Canada, la LFPDPPP pour le Mexique ou le CCPA/CPRA pour la Californie).

Nous vous invitons à consulter nos Conditions Générales d'Utilisation pour les définitions des termes utilisés avec une majuscule initiale. Pour plus d'informations concernant l'utilisation des cookies et technologies similaires, veuillez consulter notre Politique relative aux Cookies.

2. Identité et coordonnées des responsables du traitement

2.1 NABOO GROUP en tant que responsable du traitement

Pour l'ensemble des données à caractère personnel que vous nous fournissez directement ou que nous collectons dans le cadre de votre utilisation de la Plateforme, NABOO GROUP, société par actions simplifiée immatriculée au Registre du Commerce et des Sociétés de Paris sous le numéro 904 443 462, dont le siège social est situé 10 rue de Penthièvre, 75008 Paris, France, agit en qualité de responsable du traitement au sens de la réglementation applicable en matière de protection des données, selon votre localisation.

En cette qualité, nous déterminons les finalités et les moyens du traitement de vos données à caractère personnel, notamment pour :

• La gestion et l'exécution de vos demandes de réservation et l'organisation de vos événements professionnels ;
• L'exploitation, la maintenance et l'amélioration continue de notre Plateforme et de nos Services ;
• Le respect de nos obligations légales, réglementaires et contractuelles ;
• La gestion de notre relation commerciale et le maintien de nos registres d'activité.

2.2. Les Prestataires en tant que responsables de traitement distincts

Dans le cadre de la fourniture des Services, nous sommes amenés à communiquer certaines de vos données à caractère personnel aux prestataires tiers qui réalisent les prestations que vous avez sélectionnées, notamment les établissements hôteliers, les lieux de séminaire, les sociétés de transport, les traiteurs et les prestataires d'activités (ci-après les « Prestataires »).

Ces Prestataires agissent en qualité de responsables de traitement distincts pour les données qu'ils collectent et traitent dans le cadre de l'exécution de leurs propres prestations. Ils déterminent de manière autonome les finalités et les moyens de ces traitements, notamment pour l'enregistrement des participants, le respect des exigences de sécurité, la facturation de leurs services ou la gestion de leur propre relation client.

Chaque responsable de traitement est tenu d'assurer sa conformité aux dispositions applicables en matière de protection des données à caractère personnel et de fournir aux personnes concernées une information transparente sur ses propres traitements. Nous vous recommandons de prendre connaissance des politiques de confidentialité des Prestataires impliqués dans votre réservation.

3. Catégories de données à caractère personnel collectées

3.1. Données collectées automatiquement

Lors de votre navigation sur la Plateforme, nous collectons automatiquement :

• Données de connexion et de navigation : adresse IP, type et version du navigateur, système d'exploitation, pages consultées, durée de consultation, actions effectuées, source du trafic, mots-clés de recherche utilisés ;
• Données de localisation : localisation géographique approximative déduite de votre adresse IP ;
• Données relatives aux terminaux : identifiants uniques d'appareil, caractéristiques techniques de votre terminal.

3.2. Données que vous nous communiquez directement

Dans le cadre de votre utilisation de nos Services, vous êtes amené à nous communiquer :

• Données d'identification : civilité, nom, prénom, fonction, nom de votre employeur ;
• Données de contact : adresse email professionnelle, numéro de téléphone professionnel ;
• Données de connexion au compte : identifiant, mot de passe crypté ;
• Données transactionnelles : historique des réservations, détails des événements organisés, préférences en matière d'organisation d'événements ;
• Données de paiement : informations relatives aux moyens de paiement (traitées de manière sécurisée par notre prestataire de services de paiement certifié PCI-DSS) ;
• Données de communication : contenu des échanges avec notre service client, notre équipe commerciale ou notre support technique ;
• Données relatives aux participants : nombre de participants, besoins spécifiques en matière d'accessibilité ou de régimes alimentaires (collectées de manière non nominative).

3.3. Données collectées via SMS/messagerie texte

Lorsque vous choisissez de recevoir des SMS ou des messages texte de la part de Naboo, nous collectons et utilisons votre numéro de téléphone mobile uniquement dans le but de vous envoyer ces messages. Nous ne vendons, partageons ni ne transférons vos données d’inscription aux SMS ou votre numéro de téléphone mobile à des tiers à des fins de marketing ou de promotion. La livraison des messages SMS peut être facilitée par nos fournisseurs de services de télécommunications, qui traitent ces données uniquement afin de livrer les messages en notre nom dans le cadre d'accords de traitement des données.

3.4. Données collectées via la connexion aux réseaux sociaux

Si vous choisissez de vous connecter via Google ou Microsoft Azure :

• Données d’authentification : prénom, nom, adresse e-mail – selon les autorisations que vous accordez.

3.5. Données issues des enregistrements

Sous réserve de votre consentement préalable

• Enregistrements d’appels : Enregistrements des échanges avec nos équipes commerciales ou le service client à des fins de formation et d’amélioration du service ;
• Transcriptions de conversations : Enregistrements des échanges via notre système de messagerie instantanée d’assistance.

3.6. Données obtenues auprès de tiers

• Données d’enrichissement : Informations professionnelles publiques obtenues via des bases de données B2B légitimes pour compléter votre profil professionnel.

4. Finalités et bases juridiques des traitements

Nous traitons vos données à caractère personnel sur les bases juridiques suivantes :

Lorsque le traitement repose sur notre intérêt légitime, nous avons procédé à une mise en balance pour nous assurer que nos intérêts, droits et libertés légitimes ne prévalent pas sur vos intérêts ou vos droits et libertés fondamentaux.

5. Destinataires des données à caractère personnel

5.1. Catégories de destinataires

Vos données à caractère personnel sont susceptibles d'être communiquées aux catégories de destinataires suivantes :

Au sein de NABOO GROUP :

• Les membres habilités de nos équipes (commerciale, support client, technique, juridique, finance) dans la limite de leurs attributions respectives et selon le principe du besoin d'en connaître ;
• Nos filiales, dans le respect des finalités décrites dans la présente politique.

Sous-traitants techniques : Nous faisons appel à des prestataires de services soigneusement sélectionnés, liés par des clauses contractuelles strictes de protection des données :

• Infrastructure et hébergement : Amazon Web Services (datacenter Europe - région Paris)
• Services d'authentification : Google Cloud Platform, Microsoft Azure (connexion SSO)
• Services de paiement : Stripe (certifié PCI-DSS niveau 1)
• Gestion de la relation client : HubSpot
• Communications : Prestataires d'emailing et de messagerie
• Analytics et mesure de performance : Solutions d'analyse d'audience

Prestataires de services événementiels : Les Prestataires que vous sélectionnez pour votre événement reçoivent uniquement les informations nécessaires à l'exécution de leurs prestations.

Autorités et organismes publics : Nous pouvons être amenés à divulguer vos données aux autorités administratives ou judiciaires lorsque leur divulgation est nécessaire à l'identification, l'interpellation ou la poursuite en justice de tout individu susceptible de porter préjudice à nos droits, ou lorsque la loi l'exige.

5.2. Garanties exigées des destinataires

L'ensemble de nos sous-traitants sont tenus par des accords de traitement de données conformes à l'article 28 du RGPD, garantissant notamment :

• Le traitement des données selon nos instructions documentées ;
• La confidentialité des données ;
• La mise en œuvre de mesures de sécurité appropriées ;
• Le respect des conditions de sous-traitance ultérieure ;
• L'assistance dans le respect de nos obligations RGPD ;
• La suppression ou le retour des données à l'issue de la prestation.

6. Transferts de données hors de l'Union européenne

Vos données à caractère personnel sont prioritairement stockées au sein de l'Union européenne.

Certains de nos sous-traitants peuvent néanmoins être amenés à traiter vos données en dehors de l'Espace Économique Européen, notamment aux États-Unis. Dans ce cas, nous nous assurons de la mise en place de garanties appropriées conformément aux exigences du RGPD :

• Clauses contractuelles types adoptées par la Commission européenne (2021/914) ;
• Certification au cadre de protection des données le cas échéant ;
• Mesures techniques supplémentaires (chiffrement, pseudonymisation) lorsque nécessaire.

Vous pouvez obtenir une copie de ces garanties en contactant notre Délégué à la Protection des Données.

7. Durée de conservation des données

Nous conservons vos données à caractère personnel uniquement pendant la durée nécessaire aux finalités pour lesquelles elles ont été collectées, dans le respect des durées de prescription légales et réglementaires.

Architecture de rétention des données :

• Base de données active : Données immédiatement accessibles à des fins opérationnelles.
• Archivage intermédiaire : Accès restreint pour les obligations légales ou la gestion des litiges.
• Suppression définitive ou anonymisation irréversible.

Les durées spécifiques sont détaillées dans le tableau des finalités (section 4). À l'issue de ces périodes, vos données sont soit supprimées de manière sécurisée, soit anonymisées de façon irréversible.

8. Vos droits

8.1. Droits reconnus par le RGPD

Conformément aux articles à la réglementation applicable, vous disposez des droits suivants :

• Droit d'accès : Obtenir la confirmation que des données vous concernant sont traitées et accéder à ces données ;
• Droit de rectification : Obtenir la rectification de données inexactes ou incomplètes ;
• Droit à l'effacement : Obtenir l'effacement de vos données dans les cas prévus par la réglementation ;
• Droit à la limitation : Obtenir la limitation du traitement dans les cas prévus par la réglementation ;
• Droit d'opposition : Vous opposer au traitement de vos données, notamment à des fins de prospection ;
• Droit à la portabilité : Recevoir vos données dans un format structuré et les transmettre à un autre responsable de traitement ;
• Droit de retirer votre consentement : Lorsque le traitement est fondé sur votre consentement ;
• Droit de définir des directives post-mortem (France uniquement) : Définir des directives relatives à la conservation, l'effacement et la communication de vos données après votre décès.

8.2. Modalités d'exercice de vos droits

Vous pouvez exercer vos droits par les moyens suivants :

• Email : dpo@naboo.app
• Courrier postal : NABOO GROUP - À l'attention du DPO - 10 rue de Penthièvre, 75008 Paris
• Interface de la Plateforme : Pour la mise à jour de vos informations et la gestion de vos préférences

Nous nous engageons à donner suite à votre demande dans un délai maximum d'un mois à compter de sa réception. Ce délai peut être prolongé de deux mois supplémentaires compte tenu de la complexité et du nombre de demandes.

8.3. Droit de réclamation

Vous disposez du droit d'introduire une réclamation auprès de l'autorité de contrôle compétente (voir la liste en Section 14).

9. Sécurité des données

9.1. Mesures de sécurité mises en œuvre

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, notamment :

• Chiffrement des données sensibles en transit (TLS 1.3) et au repos (AES-256) ;
• Contrôle d'accès strict basé sur les rôles et le principe du moindre privilège ;
• Authentification multi-facteurs pour l'accès aux systèmes critiques ;
• Journalisation et monitoring des accès et des activités ;
• Tests de sécurité réguliers et audits de conformité ;
• Formation et sensibilisation continues de nos équipes ;
• Plan de continuité d'activité et procédures de sauvegarde.

9.2. Notification en cas de violation

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous nous engageons à :

• Notifier l'incident à la CNIL dans les 72 heures ;
• Vous informer dans les meilleurs délais si le risque est élevé ;
• Prendre toutes les mesures nécessaires pour remédier à la violation et en limiter les impacts.

10. Cookies et technologies similaires

Notre Plateforme utilise des cookies et technologies similaires. Pour une information détaillée sur leur utilisation, leurs finalités et vos options de paramétrage, veuillez consulter notre Politique relative aux Cookies.

11. Mineurs

Notre Plateforme et nos Services s'adressent exclusivement aux professionnels et ne sont pas destinés aux personnes âgées de moins de 18 ans. Nous ne collectons pas sciemment de données à caractère personnel auprès de mineurs. Si nous venions à apprendre que nous avons collecté par erreur des données concernant un mineur, nous procéderions à leur suppression dans les meilleurs délais.

12. Modifications de la présente politique

Nous nous réservons le droit de modifier la présente politique de confidentialité à tout moment pour l'adapter aux évolutions législatives, réglementaires, jurisprudentielles et techniques.

Les modifications substantielles feront l'objet d'une notification via la Plateforme ou par email. Votre utilisation continue de nos Services après notification vaut acceptation de ces modifications.

La date de la dernière mise à jour est indiquée en haut du document.

13. Délégué à la Protection des Données

Pour toute question relative à la protection de vos données à caractère personnel ou à l'exercice de vos droits, vous pouvez contacter notre Délégué à la Protection des Données :

Email : dpo@naboo.app

Courrier :
NABOO GROUP
À l'attention du Délégué à la Protection des Données
10 rue de Penthièvre
75008 Paris, France

14. Dispositions Spécifiques par Juridiction

Selon votre lieu de résidence, les dispositions spécifiques ci-dessous s'appliquent et complètent la présente politique.

14.1. Suisse

Pour les utilisateurs situés en Suisse, les références au « RGPD » dans ce document doivent être lues comme des références à la Loi fédérale sur la protection des données (LPD).

Le Conseil fédéral suisse reconnaît l'Union européenne comme disposant d'une législation adéquate. Les transferts vers les États-Unis sont régis par le Cadre de protection des données Suisse-États-Unis.

14.2. Royaume-Uni

Pour les utilisateurs situés au Royaume-Uni, les références au « RGPD » doivent être lues comme le UK GDPR et le Data Protection Act 2018.

Les transferts de données du UK vers nos serveurs dans l'UE sont autorisés. Les transferts vers les États-Unis sont régis par l'Extension britannique au cadre de protection des données UE-États-Unis.

14.3. Canada (Québec)

La présente section s'applique aux résidents du Québec et complète les informations contenues dans cette Politique de confidentialité, conformément à la Loi modernisant des dispositions législatives en matière de protection des renseignements personnels (Loi 25).

• Responsable du traitement : Défini à l'art. 5 let. j LPD.
• Bases Légales (Section 4) : Les références à l'art. 6 RGPD correspondent à l'art. 31 LPD (Motifs justificatifs).

Vos droits en vertu de la Loi 25. En plus des droits énoncés à la section 8, vous disposez des droits suivants :

• Droit à la portabilité renforcée : Vous pouvez demander à recevoir vos renseignements personnels dans un format technologique structuré et couramment utilisé, ou demander leur transfert à un autre organisme ;
• Droit à la désindexation : Vous pouvez demander que cesse la diffusion de vos renseignements personnels ou que soit désactivé le lien permettant d'accéder à ces renseignements, lorsque cette diffusion contrevient à la loi ou à une ordonnance judiciaire ;
• Droit d'être informé des décisions automatisées : Lorsqu'une décision fondée exclusivement sur un traitement automatisé vous concerne, vous avez le droit d'en être informé et de demander qu'une personne physique révise cette décision.

Consentement. Conformément à la Loi 25, nous nous engageons à :

• Obtenir votre consentement de manière manifeste, libre et éclairée pour la collecte et l'utilisation de vos renseignements personnels ;
• Vous informer clairement des fins auxquelles vos renseignements sont collectés ;
• Ne pas utiliser vos renseignements à des fins autres que celles pour lesquelles ils ont été recueillis sans obtenir votre consentement préalable ;
• Permettre le retrait de votre consentement aussi facilement qu'il a été donné.

Responsable de la protection des renseignements personnels. Conformément à la Loi 25, nous avons désigné un responsable de la protection des renseignements personnels. Pour toute question ou demande, vous pouvez le contacter à : dpo@naboo.app

14.4. Mexique

La présente section s'applique aux résidents de Mexique et complète les informations contenues dans cette Politique de confidentialité, conformément à la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP) et ses Règlements.

Vos droits en vertu de la LFPDPPP. Conformément à la LFPDPPP, vous disposez des droits suivants :

• Accès : Connaître les données personnelles que nous détenons à votre sujet, les finalités pour lesquelles nous les utilisons et les conditions de l'usage que nous en faisons ;
• Rectification : Demander la correction de vos données personnelles si celles-ci sont inexactes ou incomplètes ;
• Suppression : Demander que vos données soient supprimées de nos registres ou bases de données lorsque vous considérez qu'elles ne sont pas utilisées conformément aux principes, devoirs et obligations prévus par la réglementation ;
• Opposition : Vous opposer à l'utilisation de vos données personnelles pour des finalités spécifiques.

Comment exercer vos droits ARCO. Pour exercer vos droits ARCO, vous pouvez envoyer une demande à dpo@naboo.app contenant :

• Votre nom complet et votre domicile ou tout autre moyen pour nous permettre de vous communiquer la réponse à votre demande ;
• Les documents prouvant votre identité ou, le cas échéant, votre représentation légale ;
• Une description claire et précise des données personnelles pour lesquelles vous cherchez à exercer l'un des droits mentionnés ;
• Tout autre élément ou document facilitant la localisation des données personnelles.

Nous répondrons à votre demande dans un délai maximum de 20 jours ouvrés à compter de la date de réception. Ce délai pourra être prolongé dans les conditions prévues par la loi.

Limitations de l'utilisation des données personnelles. Vous pouvez limiter l'utilisation ou la divulgation de vos données personnelles, ou révoquer le consentement que vous nous avez accordé pour leur traitement, en envoyant une demande à dpo@naboo.app.

Transferts de données. Vos données personnelles peuvent être transférées et traitées à l'intérieur et à l'extérieur du pays, par des personnes autres que cette entreprise. À cet égard, vos informations peuvent être partagées avec les catégories de destinataires décrites à la Section 5 de la présente Politique. Nous nous engageons à ne pas transférer vos informations personnelles à des tiers sans votre consentement, sauf dans le cadre des exceptions prévues à l'article 37 de la LFPDPPP.

14.5. États-Unis (Californie)

Cette section s'applique aux résidents de Californie et complète les informations contenues dans la présente Politique de Confidentialité, conformément au California Consumer Privacy Act de 2018 (CCPA), tel que modifié par le California Privacy Rights Act de 2022 (CPRA).

Pour tous les résidents des États-Unis. Si vous résidez aux États-Unis et estimez que nous n'avons pas répondu de manière adéquate à vos préoccupations en matière de confidentialité, vous pouvez contacter la division de protection des consommateurs du bureau du Procureur Général (Attorney General) de votre État. Vous pouvez localiser le Procureur Général de votre État ici.

Pour les résidents de Californie. Outre ce qui précède, les résidents de Californie ont le droit de déposer une plainte concernant nos pratiques de protection des données auprès de l'Agence de Protection de la Vie Privée de Californie (California Privacy Protection Agency - CPPA).

Catégories de données personnelles collectées. Au cours des 12 derniers mois, nous avons collecté les catégories de données personnelles suivantes :

Utilisation des Données Personnelles. Nous utilisons ces données personnelles pour les finalités commerciales décrites à la Section 4 de la présente Politique de Confidentialité.

Divulgation des Données Personnelles. Nous pouvons divulguer des données personnelles aux catégories de destinataires décrites à la Section 5 à des fins commerciales.

Nous ne vendons pas de données personnelles. Nous ne partageons pas de données personnelles à des fins de publicité comportementale contextuelle croisée (cross-context behavioral advertising).

Vos droits en matière de confidentialité en Californie. En tant que résident de Californie, vous disposez des droits suivants :

• Droit de savoir : Vous pouvez demander que nous vous communiquions les catégories et les éléments spécifiques de données personnelles que nous avons collectés à votre sujet, les catégories de sources, les finalités commerciales de la collecte et les catégories de tiers avec lesquels nous les partageons.
• Droit de suppression : Vous pouvez demander la suppression des données personnelles que nous avons collectées auprès de vous, sous réserve de certaines exceptions.
• Droit de rectification : Vous pouvez demander la correction des données personnelles inexactes que nous conservons à votre sujet.
• Droit d'exclusion : Vous avez le droit de refuser la vente ou le partage de vos données personnelles. Comme indiqué ci-dessus, nous ne vendons ni ne partageons de données personnelles.
• Droit de limiter l'utilisation des données personnelles sensibles : Le cas échéant, vous pouvez limiter l'utilisation de vos données personnelles sensibles aux fins nécessaires pour fournir les services que vous avez demandés.
• Droit à la non-discrimination : Nous ne ferons preuve d'aucune discrimination à votre égard pour avoir exercé l'un de ces droits.

Comment soumettre une demande. Pour exercer vos droits, vous pouvez nous contacter par :

• E-mail : dpo@naboo.app
• Courrier : NABOO GROUP - À l'attention du DPO - 10 rue de Penthièvre, 75008 Paris, France

Nous vérifierons votre identité avant de traiter votre demande. Vous pouvez désigner un mandataire autorisé pour soumettre une demande en votre nom en fournissant une autorisation écrite.

Nous répondrons aux demandes vérifiables dans un délai de 45 jours. Si nous avons besoin de plus de temps, nous vous informerons du motif et de la période de prolongation (jusqu'à 45 jours supplémentaires).

Contact pour les demandes relatives à la confidentialité en Californie. Pour toute question spécifique à vos droits en matière de confidentialité en Californie, contactez-nous à l'adresse dpo@naboo.app.

15. Autorités de Contrôle

Si vous résidez dans l'Espace Économique Européen, votre autorité de tutelle principale est la CNIL (France).

Toutefois, vous pouvez contacter votre autorité locale :