Charte de protection des données personnelles

La présente charte de protection des données personnelles (ci-après la « Charte») décrit les engagements mis en œuvre par LUMA/Arles, en tant que responsable de traitement, afin de veiller au respect de vos données personnelles. A travers cette Politique, LUMA Arles souhaite vous informer clairement de la manière dont vos données personnelles sont collectées et utilisées lorsque vous utilisez notre site internet www.luma.org (le « Site ») et/ou notre application mobile LUMA (« l’Application »), ainsi que dans le cadre de vos relations, de quelque nature qu’elles soient, avec LUMA Arles.

Dès lors, LUMA Arles s’engage à respecter le Règlement européen relatif à la protection des données personnelles dit RGPD (n° 2016/679), ainsi que la loi informatique et libertés n° 78-17.

Cette Charte est susceptible de faire l’objet de mises à jour. Dans ce cas, nous indiquerons la date de la dernière mise à jour en bas de la présente Charte. Votre consentement sera systématiquement requis si la mise à jour de cette déclaration de confidentialité affecte de quelque manière que ce soit les droits d'utilisation de vos informations personnelles par rapport aux dispositions prévues dans la présente Charte au moment de la collecte des informations.

2. LES PRINCIPES APPLIQUÉS EN MATIÈRE DE PROTECTION DES DONNÉES

Conformément aux réglementations en vigueur, LUMA Arles respecte les principes suivants :

1. Licéité

LUMA Arles ne traite des données personnelles que si l’un des fondements juridiques suivants est respecté :

Le consentement explicite de la personne concernée a été recueilli, ou
Le traitement est nécessaire à l’exécution d’un contrat auquel la personne est partie, ou
Le traitement est requis pour respecter une obligation légale, ou
Le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée, ou
LUMA Arles poursuit un intérêt légitime qui ne porte pas atteinte aux droits et libertés fondamentaux des personnes concernées.

2. Loyauté

Les données personnelles sont collectées de manière loyale, et leur usage est expliqué de façon claire, en précisant leur utilité.

3. Finalité et minimisation

Les données sont collectées pour des objectifs déterminés, explicites et légitimes. Seules les données strictement nécessaires à la réalisation de ces objectifs sont recueillies. Si le même résultat peut être obtenu avec moins de données, seules ces dernières sont utilisées.

4. Transparence

LUMA Arles informe les personnes concernées de la manière dont leurs données sont collectées, traitées et conservées.

5. Droits des personnes

LUMA Arles facilite l’exercice des droits des personnes concernées, notamment :

Le droit d’accès aux données,
Le droit de rectification,
Le droit à l’effacement,
Le droit d’opposition au traitement.

6. Durée de conservation

Les données personnelles sont conservées uniquement pendant la durée strictement nécessaire aux finalités pour lesquelles elles ont été collectées.

7. Sécurité

LUMA Arles veille à l’intégrité et à la confidentialité des données personnelles, en mettant en place les mesures techniques et organisationnelles appropriées pour prévenir toute violation.

8. Partage avec des tiers

Lorsque les données sont transmises à des tiers, LUMA Arles s’assure que ceux-ci respectent des garanties suffisantes en matière de protection des données.

9. Transferts hors Union européenne

En cas de transfert de données personnelles en dehors de l’Union européenne, LUMA Arles veille à ce que ce transfert soit encadré par les dispositifs juridiques adéquats (clauses contractuelles types, décision d’adéquation, etc.).

10. Violation de données

En cas de compromission des données personnelles (perte, vol, altération, indisponibilité…), LUMA Arles notifie l’incident à l’autorité de protection des données compétente et, si nécessaire, aux personnes concernées, notamment lorsque la violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés.

3. QUELLES DONNÉES FONT L’OBJET D’UN TRAITEMENT ET COMMENT SONT-ELLES RECUEILLIES ?

1. Les données vous concernant

LUMA Arles veille à ne collecter que les données strictement nécessaires à la finalité des traitements mis en œuvre.

Le terme « données » désigne toute information permettant de vous identifier, directement ou indirectement, en tant que personne physique, et que vous nous communiquez dans le cadre de vos interactions avec notre organisation.

Lors de la collecte de vos données via un formulaire numérique, le caractère obligatoire de certaines informations est signalé par un astérisque (*) ou tout autre indicateur équivalent.

Les données non marquées comme obligatoires sont facultatives. Elles nous permettent d’améliorer la connaissance de nos publics et la qualité de nos services et communications. Vous restez toutefois libre de ne pas les renseigner.

La collecte de données relatives à des personnes mineures de moins de 18 ans est limitée. Elle ne peut concerner que le nom, la nationalité et la date de naissance du mineur, et uniquement dans le cadre d’une nécessité avérée. Ces données ne peuvent être transmises que par un représentant légal. Nous vous demandons de veiller à ce que vos enfants ne nous communiquent pas de données personnelles sans votre autorisation (notamment via Internet). Si une telle transmission avait lieu, vous pouvez contacter notre délégué à la protection des données (voir article 12 « Quels sont vos droits et comment les exercer ? ») pour demander leur suppression.

2. Modes de collecte des données

Données que vous nous fournissez directement
Nous collectons les données à caractère personnel que vous nous transmettez de manière volontaire, notamment :

vos données d'identité (nom, prénom, date de naissance, nationalité),
vos coordonnées (adresse e-mail, numéros de téléphone, adresses postales personnelle et professionnelle),
les informations liées à votre activité ou votre profil socio-professionnel,
les données de paiement nécessaires à la réservation ou à l’achat de produits et services (dont les numéros de carte de crédit/débit via nos prestataires de paiement).

Ces données peuvent être collectées dans les cas suivants :

lors d’un achat ou de l’utilisation de nos services,
lors de votre inscription sur notre site internet,
lors de votre connexion à notre réseau Wi-Fi,
lors de votre participation à un sondage, une newsletter ou une opération promotionnelle,
lors de votre recours à notre rubrique d’aide ou à d'autres fonctionnalités proposées en ligne.

Données collectées automatiquement
Lors de votre navigation sur notre site internet ou de votre connexion à notre Wi-Fi, certaines données techniques peuvent être recueillies automatiquement, telles que :

le type d’appareil utilisé,
le système d’exploitation,
l’adresse IP,
le type de navigateur,
les données de localisation (si activées),
les informations de diagnostic, de performance et d’usage liées à l’accès à nos contenus.

Nous pouvons également enregistrer les interactions que vous avez avec nos équipes (échanges de courriels, appels téléphoniques, historiques de réservation, etc.), dans le cadre du suivi de la relation avec vous.

Données provenant de partenaires
Sous réserve de garanties adéquates, nous pouvons également recevoir des données vous concernant de la part de partenaires de confiance. Ces données sont partagées uniquement lorsque ces partenaires ont un fondement juridique valide pour ce faire (consentement, contrat, obligation légale ou intérêt légitime). Ces informations peuvent avoir été recueillies par ces tiers directement auprès de vous, ou dans le cadre de leurs propres traitements.

4. QUELLES SONT LES BASES JURIDIQUES DU TRAITEMENT DE VOS DONNÉES ?

La collecte et le traitement de vos données personnelles reposent sur l’une ou plusieurs des bases juridiques prévues à l’article 6 du Règlement Général sur la Protection des Données (RGPD). Selon les cas, vos données peuvent être traitées sur la base :

1. Du consentement explicite

Lorsque cela est requis, LUMA Arles sollicite votre accord préalable pour la collecte et l’utilisation de certaines données, en particulier :

pour l’envoi de communications marketing,
pour l’inscription à une newsletter,
ou pour l’utilisation de cookies non essentiels.

Vous pouvez retirer votre consentement à tout moment, sans que cela ne compromette la licéité du traitement effectué avant ce retrait.

2. De l’exécution d’un contrat

Certaines données sont indispensables pour l’exécution d’un contrat ou de mesures précontractuelles, notamment :

lors de la gestion d’une commande ou d’une réservation,
pour l’inscription à un service,
ou dans le cadre de la fourniture d’une assistance ou d’un service client.

3. Du respect d’une obligation légale

LUMA Arles peut être tenue de traiter certaines données afin de répondre à ses obligations légales, notamment en matière :

fiscale (ex. : conservation des justificatifs de paiement),
comptable,
ou de lutte contre la fraude et le blanchiment d’argent.

4. De l’intérêt légitime

Enfin, certains traitements sont fondés sur l’intérêt légitime poursuivi par LUMA Arles, sous réserve qu’ils ne portent pas atteinte aux droits et libertés fondamentaux des personnes concernées. Ces traitements peuvent avoir pour finalité :

d’assurer la sécurité des systèmes informatiques,
de prévenir et détecter les fraudes,
d’améliorer nos services,
de réaliser des études ou enquêtes de satisfaction.

5. À QUELLES OCCASIONS VOS DONNÉES PERSONNELLES SONT-ELLES COLLECTÉES ?

LUMA Arles est susceptible de collecter vos données personnelles dans les situations suivantes, en lien avec ses missions culturelles, commerciales, pédagogiques ou administratives :

1. Dans le cadre de vos visites

Achat de billets (sur site ou via la billetterie en ligne)
Réservation de visites de groupe
Participation à des visites commentées

2. Dans le cadre de la vente de produits ou services

Réservation d’espaces dans le cadre d’une privatisation
Achat de produits via la boutique en ligne

3. Dans le cadre des activités pédagogiques

Inscription et participation à des ateliers, événements éducatifs ou scolaires

4. Dans le cadre de l’usage du parking

Utilisation du parking sur site
Réservation de places via une plateforme en ligne

5. Dans le cadre d’actions marketing ou de relation client

Inscription à une newsletter ou à des communications promotionnelles
Participation à des enquêtes de satisfaction
Participation à des programmes ou animations promotionnels

6. Dans le cadre du traitement des candidatures

Réception et gestion des dossiers de candidature (emploi, stage, bénévolat…)

7. Dans le cadre de la vidéoprotection

Captation d’images via les caméras installées sur le site, à des fins de sécurité des personnes et des biens.

6. COMBIEN DE TEMPS VOS DONNÉES SONT-ELLES CONSERVÉES ?

Vos données personnelles ne sont conservées que pour la durée strictement nécessaire aux finalités pour lesquelles elles ont été collectées, ou conformément aux obligations légales applicables.

Durées de conservation

La durée de conservation varie selon :

Les textes législatifs et réglementaires en vigueur (Code du commerce, Code civil, Code du travail, Code de la consommation, etc.)
Les référentiels de la CNIL
Les besoins opérationnels du responsable de traitement, en lien avec la finalité poursuivie et dans le respect du principe de proportionnalité

Les principales durées appliquées sont les suivantes

Données de réservation et d'achat : Conservées jusqu'à 3 ans après le dernier séjour
Factures et preuves de paiement : Conservées pendant 10 ans
Questionnaires de satisfaction : Conservés 1 an après le traitement
Enregistrements vidéoprotection : Conservés 1 mois
Données collectées via cookies : Conservées 13 mois
Logs de connexion au réseau wifi : 12 mois
Candidatures non retenues : Conservées 2 ans après le dernier contact avec le candidat
Liste des impayés : 48h suivant la régularisation ou 5 ans à compter de la survenance de l’impayé en cas de non-régularisation

Passé ces délais, les données sont supprimées ou anonymisées.

Archivage intermédiaire

Certaines données peuvent faire l’objet d’un archivage intermédiaire à l’issue de la durée de conservation, dans le but :

de satisfaire à des obligations légales, fiscales ou comptables ;
de répondre à d’éventuels délais de prescription légale.

Droit à l’effacement

Vous pouvez demander à tout moment l’effacement de vos données personnelles, dans les limites imposées par nos obligations légales.

7. QUI EST LE RESPONSABLE DE LA COLLECTE ET DU TRAITEMENT DES DONNÉES ?

Les entités mentionnées à l’article 1 sont conjointement responsables des traitements de données à caractère personnel.

La SAS LUMA Arles est désignée comme interlocuteur principal pour l’exercice des droits des personnes concernées. Elle est responsable de la mise en place et du maintien des dispositifs permettant de traiter les demandes liées à la protection des données.

Un Délégué à la Protection des Données (DPO) a été désigné.
Vous pouvez le contacter à l’adresse suivante : dpo@luma-arles.org

LUMA Arles s’engage à respecter les engagements décrits dans cette politique dès lors que vous utilisez ses services ou souscrivez à ses offres.

LUMA Arles ne saurait être tenue responsable des pratiques de confidentialité, du contenu ou du niveau de sécurité des sites tiers accessibles via des liens hypertextes depuis ses propres sites.

8. À QUI VOS DONNÉES SONT-ELLES TRANSMISES ?

a) Destinataires externes – Fournisseurs, prestataires et partenaires

LUMA Arles peut transmettre certaines de vos données personnelles à des tiers dans les cas suivants :

Sous-traitants techniques (gestion, hébergement ou analyse de fréquentation du site)
Prestataires de services (plateformes de paiement, solutions marketing ou statistiques)
Partenaires contractuels autorisés

Paiement sécurisé

Les données bancaires nécessaires au traitement des paiements sont collectées et conservées exclusivement par un prestataire de paiement agréé, pour le compte de LUMA Arles.
Les cryptogrammes visuels (CVV) ne sont jamais stockés.

L’identité des sous-traitants peut être communiquée sur demande.

LUMA Arles s’assure que chacun de ses sous-traitants offre des garanties suffisantes en matière de sécurité et de protection des données, conformément à l’article 28 du RGPD.

b) Destinataires internes

Vos données peuvent être consultées, dans la limite de leurs attributions, par les équipes suivantes :

Service Communication
Service Informatique
Service Juridique
Service Comptabilité
Ressources Humaines
Service Développement
Service aux publics
Partenariats et mécénat
Équipe Sécurité/Sûreté

9. COMMENT VOS DONNÉES SONT-ELLES SÉCURISÉES ?

LUMA Arles met en œuvre des mesures techniques et organisationnelles appropriées pour garantir la sécurité, la confidentialité et l’intégrité de vos données :

Cryptage systématique des données personnelles en transit
Stockage sécurisé sur des serveurs localisés dans des espaces protégés à accès restreint
Contrôle des accès logiques limités aux personnes autorisées ou aux systèmes automatisés nécessaires au traitement

10. UTILISATION DE COOKIES

a) Qu’est-ce qu’un cookie ?

Un cookie est un fichier texte déposé sur votre terminal lors de la navigation sur un site ou d’une interaction avec un service en ligne. Il permet de collecter des informations relatives à votre navigation et de vous proposer des services personnalisés.

b) Types de cookies utilisés

Cookies strictement nécessaires : indispensables au bon fonctionnement du site (ex. : préférences, connexion).
Cookies analytiques : permettent de mesurer l’audience et d’améliorer le fonctionnement du site.
Cookies tiers : utilisés à des fins publicitaires ou de personnalisation par des partenaires extérieurs (ex. : régies publicitaires, réseaux sociaux).

c) Consentement

Lors de votre première visite, un bandeau vous informe de la présence de ces cookies et vous permet d’exprimer vos préférences.

Vous pouvez modifier vos choix à tout moment via la page « Gestion des cookies », accessible en bas de page.

d) Liste des cookies

Vous pouvez retrouver toute la liste des cookies ici.

11. LE TRANSFERT DE DONNÉES HORS DE L’UNION EUROPEENNE

En règle générale, LUMA Arles conserve les données à caractère personnel au sein de l’Union Européenne.

Néanmoins, dans la mesure où, par exemple, certains de nos prestataires de service seraient situés dans des pays en dehors de l’Union Européenne (« Pays Tiers »), LUMA Arles pourrait transférer certaines des données à caractère personnel dans des Pays Tiers. Cela peut notamment être le cas vers des Pays Tiers pour lesquels la Commission européenne n’a pas pris une décision de « protection adéquate ». Dans un tel cas, LUMA Arles s’assure que ce transfert soit effectué en conformité avec la réglementation applicable et garantisse un niveau de protection suffisant pour la vie privée et les droits fondamentaux des personnes concernées (notamment par les clauses contractuelles types de la Commission Européenne).

Les flux de données vers des pays ne disposant pas d’une protection des données personnelles équivalente à celle exigée au sein de l’Union Européenne sont alors encadrés par les clauses contractuelles types définies par la Commission européenne.

12. QUELS SONT VOS DROITS ET COMMENT LES EXERCER ?

Conformément au Règlement européen 2016/679 du 27 avril 2016 relatif à la protection des données personnelles, à la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles et à la loi nᵒ 78-17 du 6 janvier 1978 dite Loi Informatique et Libertés, vous disposez :

D’un droit d’accès : droit d’obtenir confirmation de LUMA Arles que vos données sont ou ne sont pas traitées ainsi que de recevoir une copie de vos données à caractère personnel en notre possession
D’un droit à la rectification : droit de modifier les données à caractère personnel erronées ou obsolètes en notre possession qui vous concernent
D’un droit à l’effacement ou droit à l’oubli : droit à l’effacement de vos données à caractère personnel en notre possession (sauf lorsque la loi nous impose de conserver ces données ou lorsque nous avons un motif légitime de le faire)
D’un droit d’opposition : vous pouvez vous opposer à tout moment pour des raisons tenant à votre situation particulière, au traitement de vos données à caractère personnel à des fins de prospection.

Vous disposez également de la possibilité de vous opposer à un traitement fondé sur l’intérêt légitime de LUMA Arles en raison de votre situation particulière, sauf motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l'exercice ou la défense de droits en justice ;

D’un droit à la limitation : vous avez le droit de limiter les traitements effectués sur vos données à caractère personnel dans les cas suivants :
Si vous exercez votre droit de rectification, la limitation de traitement peut être exigé pendant la durée nous permettant d’en vérifier l’exactitude ;
Si vous exercez votre droit d’opposition, pendant la durée de vérification portant sur le point de savoir si les motifs légitimes que LUMA Arles poursuit prévalent les vôtres ;
Lors d’un traitement illicite de vos données à caractère personnel, vous pouvez exiger une limitation de leur utilisation plutôt qu’un effacement ;
Pour des données à caractère personnel aux fins du traitement devant être effacées, mais qui sont encore nécessaires pour la constatation, l’exercice ou la défense de droits en justice.
D’un droit à la portabilité : vous avez le droit de recevoir les données à caractère personnel que vous avez fournies à LUMA Arles lorsque ces dernières sont traitées de manière automatisées et ont été collectées sur la base de votre consentement préalable ou de l’exécution d’un contrat conclu avec LUMA Arles. Celles-ci doivent être communiquées dans un format structuré, couramment utilisé et lisible par la machine. Ce droit comprend également le droit de transmettre ces données à un autre responsable du traitement.

Enfin, vous disposez du droit de définir des directives relatives au sort de vos données à caractère personnel après votre mort.

Ces droits peuvent être exercés dans les conditions et les limites visées par la règlementation en vigueur. Une pièce justificative pourra également vous être demandée afin de confirmer votre identité. Toute demande incomplète ne pouvant pas être traitée par LUMA Arles.

À cet effet, vous pourrez à tout moment et sans frais contacter notre Délégué(e) à la Protection des Données en remplissant le formulaire suivant : Formulaire.

Il est précisé qu’une justification d’identité pourra être requise. En cas de défaut de fourniture d’une justification d’identité lorsque cela est nécessaire, nous ne serons pas en mesure de traiter votre demande. Dans telle hypothèse, le délai de réponse sera suspendu jusqu’à la réception des pièces justificatives complémentaires demandées par LUMA Arles.

Si aucune solution satisfaisante n’est trouvée ou si le différend persiste, vous aurez la possibilité d’introduire une réclamation auprès de la Commission Nationale de l’Informatique et des Libertés (CNIL) ou de l’autorité de contrôle de l’Etat Membre de l’Union Européenne au sein duquel vous résidez habituellement.