Vos données.
Un cadre à comprendre.

Dernière mise à jour : 2 novembre 2026.

1. Exploitant et contact

AlfaBoard est exploitée par DialloHooks, nom commercial d’une entreprise individuelle sous le régime de la micro-entreprise. Les informations de l’établissement figurent dans les conditions d’utilisation et mentions de l’exploitant.

Pour les demandes relatives à vos données : [email protected].

L’exploitant est responsable des traitements liés à la gestion des comptes, à ses échanges avec les utilisateurs et à la sécurité du service. Pour les données personnelles ajoutées aux contenus par une organisation, celle-ci détermine les finalités et demeure responsable du traitement ; l’exploitant intervient pour son compte dans le cadre de la fourniture du service. Ces obligations doivent être précisées dans l’accord de sous-traitance conforme à l’article 28 du RGPD, à intégrer au contrat signé après vérification des prérequis.

2. Données utilisées

• Compte : identifiant, adresse e-mail et informations de profil que vous renseignez. L’authentification est assurée par le fournisseur d’identité configuré pour le service.
• Organisation : informations de l’espace, membres, rôles, invitations et clés d’accès API.
• Contenus : médias importés, annonces, événements, produits, playlists et références de compositions.
• Sondages : questions et choix définis par l’organisation, réponses à choix unique et empreinte d’un identifiant aléatoire propre au navigateur et au sondage pour limiter les doubles participations. Aucun nom ni e-mail n’est demandé au votant. Seuls les résultats agrégés sont publiés, après fermeture du vote. Le navigateur conserve l’identifiant et la confirmation de participation dans son stockage local, nécessaires au service demandé, jusqu’à leur effacement par l’utilisateur. Les réponses sont supprimées lors de la suppression du contenu ou de l’organisation. Les organisations ne doivent pas demander d’informations sensibles ou permettant d’identifier les participants.
• Écrans : nom, organisation, contenu assigné, identité technique et date du dernier contact avec le serveur.
• Traces techniques : les logs HTTP du backend enregistrent un identifiant de requête, la méthode, le modèle de route, le statut et la durée. Ils n’enregistrent pas les corps, en-têtes, paramètres de requête ou valeurs des paramètres d’URL. Les autres logs applicatifs et ceux de l’infrastructure peuvent contenir des informations de diagnostic et doivent également être contrôlés pour éviter l’exposition de données personnelles.
• Historique d’audit : certaines actions de gestion sont enregistrées en base avec leur date, l’action, l’entité et l’acteur concernés. Selon l’action, des détails de modification, une adresse IP ou des informations sur le navigateur peuvent être enregistrés. Cet historique est distinct des logs techniques.

3. Utilisation des données

Ces informations servent à authentifier les utilisateurs, séparer les espaces de travail, gérer les permissions, diffuser les contenus assignés et consulter le statut des écrans. Les clés API permettent les accès programmatiques autorisés par l’organisation.

La gestion des comptes et la fourniture des fonctions demandées reposent sur l’exécution du contrat ou de mesures précontractuelles. La sécurité, la prévention des abus et le diagnostic reposent sur l’intérêt légitime de l’exploitant à protéger le service, dans le respect des droits des utilisateurs. Les traitements imposés par la loi reposent sur une obligation légale. Tout futur traceur facultatif soumis au consentement devra être bloqué jusqu’à votre accord.

Hébergement et destinataires

La plateforme est hébergée en France sur des serveurs de Contabo, prestataire d’hébergement technique : contabo.com. Les données sont accessibles aux personnes habilitées de l’exploitant, aux membres de votre organisation selon leurs droits et aux prestataires nécessaires au fonctionnement du service, dans les limites de leurs missions.

Certains formats peuvent charger des ressources de services tiers (pages web, flux ou médias externes). Ces services peuvent recevoir des informations techniques du navigateur. Leurs lieux de traitement, ainsi que ceux des prestataires d’authentification et de messagerie, doivent être documentés séparément. Tout transfert hors de l’Espace économique européen doit reposer sur un mécanisme autorisé par le RGPD ; aucune absence de transfert n’est affirmée sur la seule base de l’hébergement en France.

4. Stockage dans le navigateur

L’administration utilise le stockage local du navigateur pour conserver l’état d’authentification et l’organisation sélectionnée. Le lecteur conserve une identité d’écran dans son stockage local pour maintenir sa liaison entre deux ouvertures.

N’utilisez pas un poste partagé sans précaution. Déconnectez votre compte après utilisation. Effacer les données du lecteur nécessite un nouvel appairage ; copier son stockage peut copier son identité.

Cookies et préférences

Le site et l’administration n’intègrent actuellement aucun traceur facultatif de publicité ou de mesure d’audience. Le stockage local nécessaire reste actif pour permettre la connexion et les fonctions demandées. « Tout accepter » et « Tout refuser » n’activent donc actuellement que ce stockage nécessaire. Un nouveau traceur facultatif nécessiterait un nouveau choix avant son activation.

• Connexion et espace de travail : les clés accessToken, refreshToken, userData, currentOrganisation, currentOrganization et organizations conservent l’accès et le contexte de travail dans le stockage local.
• Guichet et tickets : le poste opérateur conserve ses préférences locales ; la page de ticket public utilise le stockage de session pour retrouver le ticket demandé.
• Votre choix :alfaboard.cookie-preferences.v1 conserve la décision et sa date pendant 180 jours, que vous acceptiez ou refusiez. Aucun cookie publicitaire n’est créé pour mémoriser ce choix.

Vous pouvez modifier votre choix à tout moment. Refuser les traceurs facultatifs ne déconnecte pas votre compte et ne supprime pas les préférences nécessaires. Si le navigateur empêche l’enregistrement, un message vous en informe et le choix peut être redemandé à la prochaine ouverture.

Ces préférences s’appliquent uniquement au site et à l’administration sur ce navigateur. Elles ne modifient pas le lecteur BoardPage ni son identité de liaison. Le fournisseur d’authentification peut utiliser son propre stockage sur son domaine, selon sa politique.

5. Visibilité des médias et écrans

Les contenus diffusés sont visibles par les personnes présentes devant l’écran. De plus, les fichiers importés sont accessibles par leur URL dans la configuration de stockage actuelle : ne les utilisez pas pour des documents confidentiels ou des données personnelles sensibles.

La séparation des bibliothèques dans l’administration ne rend pas les URL des fichiers privées. Vérifiez les informations présentes sur vos visuels, calendriers et annonces avant leur diffusion.

6. Conservation et suppression

Journaux techniques et audits

Pour les données personnelles confiées par une organisation sous un contrat incorporant l’accord RGPD, les engagements de fin de contrat sont décrits dans l’accord : demande de restitution sous 30 jours, suppression des données actives sous 60 jours et expiration des sauvegardes sous 90 jours. Les procédures correspondantes doivent être opérationnelles avant signature. Ces délais ne définissent pas la conservation des données utilisées par DialloHooks pour ses propres finalités.

Dans le déploiement Docker fourni, les logs de chaque service font l’objet d’une rotation limitée à cinq fichiers de 10 Mio, avec compression. Cette limite de taille ne garantit pas une durée de conservation : celle-ci dépend du volume de logs et doit être définie pour l’environnement réellement déployé, y compris les éventuels systèmes de centralisation ou sauvegardes.

La durée de conservation des audits en base reste à définir. Leur suppression automatique n’est pas mise en place à ce stade. L’accès aux logs techniques est réservé aux personnes habilitées à exploiter le service ; les audits sont accessibles selon les droits d’administration prévus par la plateforme.

Contenus et appareils

La suppression d’un contenu retire son enregistrement et ses affectations directes, sous réserve qu’il ne soit pas référencé par un autre contenu. Les fichiers associés sont actuellement conservés dans le stockage. La durée de rétention des fichiers, journaux et sauvegardes doit être définie par l’exploitant.

Une dissociation révoque l’identité de l’écran. Elle ne constitue pas un effacement des données locales de l’appareil ni des médias précédemment chargés par le navigateur.

7. Vos demandes et vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez, selon les conditions applicables au traitement, de droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Lorsqu’un traitement repose sur votre consentement, vous pouvez le retirer sans remettre en cause les traitements antérieurs à ce retrait.

Adressez vos demandes au contact indiqué en haut de cette page. Pour les données publiées par votre organisation, contactez également son administrateur. Une vérification proportionnée de votre identité peut être nécessaire. Le délai de réponse prévu par le RGPD est d’un mois, avec une prolongation possible de deux mois en cas de demande complexe ou de demandes nombreuses ; vous en serez alors informé.

Vous pouvez introduire une réclamation auprès de la CNIL si vous estimez que vos droits ne sont pas respectés.

Vous pouvez modifier les informations disponibles dans votre profil. Les demandes nécessitant une intervention sur le compte, les sauvegardes ou les journaux doivent être traitées par l’exploitant.

8. Bonnes pratiques

Utilisez HTTPS en production, un mot de passe unique et des appareils sous votre contrôle. Limitez les droits d’administration, protégez vos clés API et révoquez les écrans que vous ne maîtrisez plus.