1. Objet et champ d’application
La présente Politique explique comment les sociétés Museum of Illusions en France et les fonctions centrales du groupe collectent, utilisent, partagent et conservent vos données personnelles lorsque vous consultez nos sites, achetez ou utilisez un billet, visitez un Musée, contactez nos équipes, participez à un événement, vous inscrivez à des communications, utilisez une fonctionnalité numérique ou exercez vos droits.
Elle est établie conformément au règlement (UE) 2016/679 (RGPD), à la loi française Informatique et Libertés et aux règles françaises applicables aux communications électroniques, cookies, marketing et vidéoprotection. Elle ne constitue pas un consentement général: lorsque votre consentement est nécessaire, il vous est demandé séparément.
2. Responsables du traitement
Pour les réservations, ventes de billets, visites, demandes locales, incidents et autres traitements propres à un Musée, la société française qui exploite le Musée concerné demeure responsable des traitements qui lui incombent en tant qu’exploitant, cocontractant, employeur ou entité soumise à une obligation légale.
| Ville | Exploitant | SIREN | SIRET | Adresse du Musée | Adresse de contact |
|---|---|---|---|---|---|
| Paris | PARIS & CRO SAS | 848 130 605 | 84813060500027 | 98 rue Saint-Denis, 75001 Paris | 40 rue Alexandre Dumas, 75011 Paris |
| Lille | MI LILLE SAS | 981 993 363 | 98199336300028 | 101 Avenue Le Corbusier, 59800 Lille | 40 rue Alexandre Dumas, 75011 Paris |
| Bordeaux | MI BORDEAUX SAS | 920 319 480 | 92031948000025 | Rue du Château d'Eau - Les Passages Mériadeck, 33000 Bordeaux | 40 rue Alexandre Dumas, 75011 Paris |
| Marseille | MI MARSEILLE SAS | 911 004 489 | 91100448900033 | 96 Rue Paradis, 13001 Marseille | 96 Rue Paradis, 13001 Marseille |
| Lyon | MOI LYON SAS | 889 120 663 | 88912066300022 | 16 Rue Cuvier, 69006 Lyon | 16 Rue Cuvier, 69006 Lyon |
MOI France HoldCo SAS, SIREN 106 176 217, 40 rue Alexandre Dumas, 75011 Paris, est la société holding française. Elle n’est pas responsable du traitement du seul fait de sa qualité de société holding et n’agit comme responsable que pour les traitements dont elle détermine elle-même les finalités et les moyens.
Pour les traitements de niveau groupe dont elles déterminent conjointement les finalités et les moyens essentiels - notamment l’architecture du site et de la billetterie, le CRM, la segmentation, le marketing, le data warehouse, l’administration des systèmes, les standards de conservation et certains reportings groupe - Metamorfoza d.o.o., Radnička cesta 21, 10000 Zagreb, Croatie, et RP Illusions Corp., 7975 N. Hayden Road, Suite D-280, Scottsdale, AZ 85258, États-Unis, agissent en qualité de responsables conjoints au sens de l’article 26 du RGPD. Les sociétés françaises n’acquièrent pas la qualité de responsables conjoints de ces traitements de niveau groupe du seul fait qu’elles utilisent les systèmes ou mettent localement en œuvre les processus définis au niveau du groupe; elles restent toutefois responsables des traitements locaux qui leur sont propres ou qui leur sont imposés par la loi.
Metamorfoza d.o.o. et RP Illusions Corp. ont réparti leurs responsabilités dans le cadre d’un accord de responsables conjoints conformément à l’article 26 du RGPD. En substance, elles déterminent conjointement les finalités et moyens essentiels des traitements de niveau groupe et coopèrent pour la transparence, la sécurité, l’exercice des droits, la gestion des violations, les sous-traitants et les transferts internationaux. Vous pouvez exercer vos droits auprès de l’un ou l’autre des responsables conjoints et, lorsque pertinent, auprès de la société française concernée. Pour simplifier le traitement de votre demande, nous utilisons le point de contact commun indiqué ci-dessous.
3. Contact protection des données
Pour toute question ou demande relative à vos données personnelles: [email protected]. Ce point de contact commun peut recevoir les demandes destinées à Metamorfoza d.o.o., RP Illusions Corp. et, lorsque pertinent, à la société française concernée. Vous pouvez également écrire au Service protection des données, MOI France HoldCo SAS, 40 rue Alexandre Dumas, 75011 Paris, France, qui transmettra la demande au(x) responsable(s) concerné(s).
4. Données que nous pouvons traiter
- Identité et coordonnées: nom, prénom, e-mail, téléphone, adresse ou code postal lorsque nécessaire.
- Réservation et transaction: Musée, date et heure, catégorie et nombre de billets, numéro de commande, montant, remises, historique, statut, annulation, remboursement et réclamation.
- Paiement: statut, montant, référence, moyen de paiement et informations limitées transmises par le prestataire. Les données complètes de carte sont traitées par le prestataire de paiement et ne sont pas conservées par MOI.
- Compte, service client et B2B: identifiants de compte, préférences, demandes, réclamations, coordonnées professionnelles, groupes, écoles et événements.
- Marketing et profilage: choix de consentement, source et date du choix, historique de désinscription, achats et visites, segments fondés notamment sur la localisation, les dépenses, la fréquence et le comportement, ainsi que des audiences publicitaires lorsque vous avez donné les choix requis.
- Navigation et appareils: adresse IP, identifiants techniques, appareil, navigateur, pages consultées, événements et données de cookies ou traceurs selon vos choix.
- Photographies, vidéos et contenus: uniquement dans les conditions portées à votre connaissance au moment de la collecte.
- Sécurité: images de vidéoprotection, journaux de sécurité et informations nécessaires à la gestion d’un incident.
- Santé et accessibilité: uniquement si vous choisissez de communiquer une information nécessaire pour répondre à une demande d’accessibilité ou gérer une urgence.
- Jeux-concours, tirages au sort et enquêtes: lorsque nous proposons ces activités, données de participation, réponses, préférences, informations d’éligibilité et coordonnées nécessaires à l’administration de l’activité et, le cas échéant, à la remise d’un lot.
Informations obligatoires et facultatives / Mandatory and optional information. Lorsque certaines données sont nécessaires pour conclure ou exécuter un contrat, respecter une obligation légale ou fournir un service que vous demandez, les champs concernés sont identifiés comme obligatoires au point de collecte. Si vous ne fournissez pas ces données, nous pourrions ne pas être en mesure de finaliser votre réservation ou de fournir le service demandé. Les consentements marketing et les autres informations facultatives ne conditionnent pas l’achat d’un billet ni la visite.
5. Finalités et bases juridiques
| Finalité | Base juridique |
|---|---|
| Réservation, achat, délivrance des billets, contrôle d’accès, modifications et remboursements | Exécution du contrat ou mesures précontractuelles |
| Paiement, facturation, comptabilité et obligations fiscales | Contrat et obligations légales |
| Service client, réclamations, objets perdus, sécurité de la visite | Contrat, obligations légales et intérêt légitime |
| Jeux-concours, tirages au sort et enquêtes lorsque proposés | Exécution du règlement ou des conditions de participation lorsque nécessaire; intérêt légitime à améliorer nos services pour les enquêtes de satisfaction non promotionnelles; consentement distinct pour toute prospection commerciale |
| Sécurité des systèmes, prévention de la fraude et journalisation | Intérêt légitime et obligations de sécurité |
| Newsletter, e-mail, SMS et prospection téléphonique B2C | Consentement préalable; MOI France n’utilise pas le soft opt-in comme pratique opérationnelle |
| Segmentation, retargeting, audiences publicitaires et cookies non essentiels | Consentement lorsque requis; intérêt légitime uniquement lorsque la loi le permet |
| Mesure d’audience | Consentement, sauf outil configuré pour bénéficier légalement d’une exemption CNIL |
| Santé/accessibilité volontaire | Consentement explicite lorsque requis; intérêts vitaux ou autres bases prévues par la loi en situation d’urgence |
| Vidéoprotection | Intérêt légitime de protéger les personnes et les biens, dans le cadre du Code de la sécurité intérieure |
| Audit préalable, financement, restructuration, fusion, acquisition ou cession | Intérêt légitime à organiser et réaliser les opérations de l’entreprise, sous réserve des droits et libertés des personnes; obligation légale lorsque applicable |
| Défense des droits, audits, conformité et obligations réglementaires | Obligation légale ou intérêt légitime |
6. Marketing et communications
Les visiteurs ne sont pas automatiquement inscrits à une newsletter. Les consentements e-mail, SMS et téléphone sont distincts, facultatifs et non précochés. Le refus n’empêche pas l’achat d’un billet ou la visite. Vous pouvez retirer votre consentement à tout moment.
Nous conservons une preuve du choix de marketing, comprenant au minimum le canal, la date et l’heure, la source, l’identifiant concerné et la version du texte présenté. Lorsqu’une personne se désinscrit ou s’oppose, nous conservons uniquement les informations minimales nécessaires dans une liste d’opposition afin d’éviter toute réinscription accidentelle.
Les e-mails transactionnels nécessaires à une réservation, un paiement, un billet, un remboursement ou un service expressément demandé ne sont pas des communications marketing.
7. Cookies et autres traceurs
Les traceurs non strictement nécessaires sont bloqués jusqu’à votre choix. Vous pouvez accepter, refuser ou personnaliser vos préférences et les modifier ensuite via le lien « Gérer mes cookies ». Les catégories, fournisseurs, finalités et durées en vigueur sont accessibles dans le gestionnaire de cookies et dans notre Politique cookies.
8. Enfants, familles et groupes scolaires
Nos services ne sont pas spécifiquement destinés aux jeunes enfants. Nous limitons les données concernant les mineurs au strict nécessaire. Les informations relatives aux anniversaires ou groupes scolaires sont réduites au minimum et supprimées lorsqu’elles ne sont plus nécessaires. Nous n’utilisons pas les données d’enfants pour créer des audiences publicitaires comportementales.
Lorsque le consentement d’un mineur est la base d’un service de la société de l’information directement proposé à celui-ci, les règles françaises applicables sont respectées. Pour un enfant de moins de quinze ans, le consentement conjoint du mineur et du titulaire de l’autorité parentale est recueilli lorsque cette règle s’applique.
9. Destinataires et prestataires
Dans la limite du besoin d’en connaître, les données relevant des traitements de niveau groupe peuvent être traitées par les équipes autorisées de Metamorfoza d.o.o. et RP Illusions Corp. en leur qualité de responsables conjoints. Les données relevant d’un traitement local peuvent être traitées par les équipes autorisées de la société française concernée. Des prestataires peuvent également intervenir pour la billetterie, le paiement, le CRM, l’e-mail/SMS, le cloud, la cybersécurité, l’analytique, la publicité, l’hébergement et le support, selon leur rôle contractuel.
Les systèmes utilisés par le groupe comprennent notamment, selon le traitement, Roller, Microsoft 365/Azure, Klaviyo, HubSpot, Snowflake, Workday, TalentLyft et des plateformes publicitaires telles que Meta, Google ou TikTok. Les fournisseurs et rôles applicables peuvent évoluer; la version en vigueur est tenue dans nos registres internes et, pour les cookies, dans le gestionnaire de consentement.
Nous pouvons également communiquer des données, lorsque cela est nécessaire et dans les limites prévues par la loi, aux juridictions, autorités de contrôle, autorités fiscales, autorités chargées de l’application de la loi et autres autorités publiques compétentes, ainsi qu’à nos avocats, conseils, auditeurs et autres conseillers professionnels pour établir, exercer ou défendre des droits en justice ou satisfaire à des obligations légales.
En cas de projet ou d’opération de financement, restructuration, fusion, acquisition ou cession, nous pouvons communiquer les données strictement nécessaires à des investisseurs, prêteurs, acquéreurs potentiels, contreparties et leurs conseils, sous réserve de mesures de confidentialité et de minimisation appropriées.
Nos sites et communications peuvent contenir des liens vers des sites tiers ou des plateformes de réseaux sociaux. Ces tiers traitent certaines données selon leurs propres politiques de confidentialité. Lorsque vous fournissez des informations directement à une telle plateforme, ses propres règles s’appliquent également; lorsque MOI reçoit ou traite ensuite des données vous concernant via cette plateforme, le traitement effectué par MOI est couvert par la présente Politique.
10. Transferts internationaux
RP Illusions Corp. est un responsable conjoint établi aux États-Unis et certaines équipes ou certains prestataires peuvent également accéder aux données depuis des pays situés hors de l’Espace économique européen, notamment les États-Unis et le Royaume-Uni. Lorsque le RGPD l’exige, le transfert vers RP Illusions Corp. ou un autre destinataire hors EEE repose sur le mécanisme de transfert applicable documenté par le groupe, notamment une décision d’adéquation lorsqu’elle couvre valablement le destinataire ou des garanties appropriées telles que les clauses contractuelles types de la Commission européenne, complétées si nécessaire par une analyse du transfert et des mesures supplémentaires.
Vous pouvez demander des informations sur les garanties applicables en écrivant à [email protected].
11. Durées de conservation
| Catégorie | Durée |
|---|---|
| Profil client / réservation | En principe 3 ans après le dernier achat, visite ou contact actif, puis suppression ou anonymisation, sous réserve des archives légales |
| Factures et pièces comptables | 10 ans à compter de la clôture de l’exercice concerné |
| Preuves contractuelles et réclamations | Durée nécessaire à la relation puis délai de prescription applicable, généralement jusqu’à 5 ans |
| Marketing clients | Pendant la relation commerciale puis jusqu’à 3 ans après la fin ou le dernier contact actif |
| Marketing prospects | Jusqu’à 3 ans après la collecte ou le dernier contact actif du prospect |
| Liste d’opposition | Au moins 3 ans, avec données minimales uniquement |
| Cookies | Selon la Politique cookies; choix de consentement/refus généralement 6 mois |
| Vidéoprotection | Quelques jours lorsque possible et au maximum 30 jours, sauf extraction pour incident ou procédure |
| Données d’enfant liées à un événement | Supprimées peu après l’événement lorsqu’aucune autre finalité ne subsiste |
| Jeux-concours et enquêtes | Pendant la durée nécessaire à l’organisation de l’activité et, le cas échéant, à la remise du lot, puis conservation limitée des preuves pendant la durée de prescription applicable; les données utilisées séparément à des fins marketing suivent les durées marketing ci-dessus |
| Photo/vidéo promotionnelle | Pendant la durée indiquée dans l’autorisation et revue à son échéance |
| Demandes d’exercice de droits | Pendant le traitement puis preuve conservée 3 ans, sauf contentieux |
| Sauvegardes | Cycle de rotation propre au système; les sauvegardes ne sont pas utilisées pour les traitements actifs et sont écrasées selon le calendrier technique |
12. Vos droits
- droit d’accès et d’obtenir une copie;
- rectification;
- effacement lorsque les conditions sont réunies;
- limitation du traitement;
- opposition aux traitements fondés sur l’intérêt légitime et opposition absolue à la prospection;
- portabilité lorsque les conditions sont réunies;
- retrait du consentement à tout moment, sans effet sur la licéité du traitement antérieur;
- directives relatives au sort de vos données après votre décès conformément au droit français.
Pour exercer vos droits, écrivez à [email protected]. Nous répondons en principe dans un délai d’un mois. Une vérification d’identité proportionnée peut être demandée lorsque cela est nécessaire.
Vous pouvez introduire une réclamation auprès de la CNIL: Commission nationale de l’informatique et des libertés (CNIL), 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France - www.cnil.fr.
13. Sécurité
Nous appliquons des mesures techniques et organisationnelles adaptées aux risques, notamment gestion des habilitations, authentification multifacteur sur les systèmes concernés, chiffrement des équipements et services lorsqu’il est disponible et configuré, sauvegardes, procédures d’arrivée et de départ des utilisateurs, revues d’accès, formation et réponse aux incidents.
14. Décisions automatisées et profilage
Nous utilisons des segments marketing et des audiences pour adapter et mesurer nos campagnes. Nous ne prenons pas, sur la seule base d’un traitement automatisé, de décision produisant des effets juridiques ou vous affectant de manière similaire de façon significative, sauf si nous vous en informons spécifiquement et respectons les garanties prévues par la loi.
15. Modifications de la Politique
Nous pouvons mettre à jour cette Politique pour refléter une évolution légale, organisationnelle, technique ou de nos services. La version en vigueur est publiée avec sa date de mise à jour. Une nouvelle finalité nécessitant un consentement fera l’objet d’une nouvelle demande de consentement.
Les versions française et anglaise sont fournies pour faciliter la compréhension. En cas de divergence, la version française prévaut, sous réserve des dispositions impératives applicables.