Mentions Légales et Politique de Confidentialité

Dernière mise à jour : 19 octobre 2026.

Cette page présente l’éditeur du site bigcitynantes.fr et de l’application « Que Faire ? », puis la façon dont vos données personnelles sont traitées : ce qui est collecté, pourquoi, combien de temps, par qui, et comment exercer vos droits.

1. Mentions légales

Éditeur

Le site bigcitynantes.fr et l’application « Que Faire ? » sont édités par BRUITS MEDIAS, société par actions simplifiée au capital de 5 000 €, dont le siège social est situé 59 boulevard Gustave Roch, 44200 Nantes, immatriculée au Registre du commerce et des sociétés de Nantes sous le numéro 942 563 081 (SIRET 942 563 081 00010), numéro de TVA intracommunautaire FR60942563081, représentée par sa Présidente, la société ENDURANCE, elle-même représentée par son gérant, Enzo Mérand. BRUITS MEDIAS exploite les médias Big City Nantes et Big City Angers.

Directeur de la publication : Enzo Mérand.

Contact : contact@bigcitynantes.fr.

Hébergement

Le site est hébergé par o2switch, Chemin des Pardiaux, 63000 Clermont-Ferrand, France. Téléphone : 04 44 44 60 40.

Conception

Le site est conçu et développé par Studio Palan (palan.studio).

Propriété intellectuelle

Les textes, photographies, vidéos, visuels, logos et éléments techniques du site et de l’application sont protégés par le droit de la propriété intellectuelle. Toute reproduction ou exploitation, totale ou partielle, sans autorisation écrite préalable de l’éditeur est interdite. Les conditions d’utilisation du site et de l’application figurent dans les conditions générales d’utilisation.

2. Responsable du traitement

Les données personnelles sont traitées par BRUITS MEDIAS (coordonnées ci-dessus), qui en est responsable. Pour toute question sur vos données : contact@bigcitynantes.fr.

BRUITS MEDIAS n’a pas désigné de délégué à la protection des données, n’y étant pas tenue.

Aucune donnée n’est vendue ni utilisée pour de la publicité ciblée. Les encarts publicitaires du site et de l’application ne sont pas personnalisés.

3. Ce que nous traitons, pourquoi et combien de temps

3.1 Mesure d’audience

Le site et l’application mesurent leur fréquentation avec Matomo, un outil installé sur nos propres serveurs (o2switch, France). Sur le site, Matomo fonctionne sans cookie et l’adresse IP est tronquée de deux octets dès la collecte. Les données recueillies sont les pages vues, la durée de visite, la page d’origine (sans ses paramètres), le type d’appareil et de navigateur et le pays. Lorsqu’une commande est payée, son numéro et son montant sont rattachés à la visite pour mesurer les ventes. Les affichages et clics des encarts publicitaires sont comptés de la même façon. Aucun identifiant de compte n’est transmis.

Base légale : notre intérêt légitime à mesurer l’audience, dans les conditions qui dispensent de consentement selon la CNIL. Durée : 25 mois au plus pour les données détaillées. Les statistiques agrégées, qui ne permettent plus d’identifier personne, sont conservées sans limite.

Vous pouvez vous opposer à cette mesure sur ce site en cochant la case ci-dessous. Pour l’application, écrivez-nous.

Ne pas mesurer mes visites sur ce site. Ce choix est enregistré dans un cookie de votre navigateur, mtm_consent_removed, valable 13 mois.

3.2 Compte client

Vous pouvez créer un compte sur le site, depuis la page « Mon compte » (votre adresse e-mail est confirmée par un lien), ou dans l’application « Que Faire ? ». Un compte est aussi créé automatiquement lors d’une première commande payée sur le site, avec l’adresse e-mail utilisée, pour vous permettre de suivre vos commandes. Les comptes partenaires sont traités au point 3.7.

Connexion : lien ou code reçu par e-mail, mot de passe, clé d’accès enregistrée sur votre appareil (Face ID, Touch ID, Windows Hello…), « Se connecter avec Apple » et, sur la page de connexion du site, « Se connecter avec Facebook ». Avec Apple, nous recevons un identifiant Apple et, si vous l’acceptez, votre nom et votre e-mail (éventuellement masqué par Apple). Avec Facebook, nous recevons votre identifiant Facebook et votre nom, sans votre e-mail. Une clé d’accès ne nous transmet qu’une clé publique : vos données biométriques restent sur votre appareil.

Données : e-mail, nom, prénom, téléphone (vérifié par SMS dans l’application), adresse de livraison mémorisée, choix d’inscription à la newsletter, identifiants techniques de connexion et journal de sécurité du compte (connexions, modifications).

Base légale : l’exécution des conditions générales d’utilisation et de vente. Durée : tant que le compte existe. Vous pouvez le supprimer depuis votre espace « Mon compte » sur le site : après confirmation par e-mail, la suppression a lieu 15 jours plus tard, délai pendant lequel vous pouvez l’annuler. Vous pouvez aussi le supprimer depuis l’application (onglet Moi, « Supprimer mon compte ») ou en nous écrivant. Vos commandes et vos factures sont alors conservées, détachées du compte, pour nos obligations comptables. Les sessions de connexion expirent d’elles-mêmes : de 2 à 30 jours sur le site, après 6 mois sans utilisation dans l’application. Le journal de sécurité suit la durée des commandes (point 3.3).

3.3 Commandes

Données : identité, e-mail, téléphone, adresses de livraison et de facturation, produits commandés, montant, mode de livraison ou de retrait, suivi d’acheminement, échanges avec le service client, et, si vous en demandez une, les informations de facture (société, numéro de TVA).

Finalités : traiter et livrer la commande, gérer le retrait en point de retrait (code envoyé par SMS), répondre à vos demandes, établir les factures, prévenir la fraude et respecter nos obligations comptables.

Le paiement est réalisé par Stripe, sur sa page de paiement (site) ou dans son formulaire sécurisé et Apple Pay (application). Nous ne voyons jamais votre numéro de carte. Stripe traite aussi certaines données pour ses propres obligations (lutte contre la fraude, réglementation bancaire), en tant que responsable de traitement distinct : voir sa politique de confidentialité.

Base légale : l’exécution du contrat de vente et nos obligations légales. Durée : les commandes sont anonymisées 3 ans après l’achat. Les factures et pièces comptables sont conservées 10 ans, comme l’exige le Code de commerce.

3.4 Newsletter

Données : adresse e-mail et, le cas échéant, prénom, ville de la newsletter choisie et date d’inscription. L’inscription se fait en double opt-in : elle n’est effective qu’après clic sur le lien de confirmation reçu par e-mail. Chaque envoi contient un lien de désinscription. L’envoi est assuré par Brevo, qui peut mesurer l’ouverture des e-mails et les clics pour nos statistiques d’envoi.

Base légale : votre consentement. Durée : jusqu’à votre désinscription.

3.5 Contact, propositions d’événements et candidatures

Formulaire de contact : nom, téléphone, e-mail, objet et message, transmis par e-mail à l’équipe. Les messages sont conservés 3 ans au plus après le dernier échange.

Proposition d’événement, sur le site ou dans l’application : informations sur l’événement, nom et e-mail de l’organisateur, message, ainsi que la date et l’adresse IP de vos accords (droits sur les visuels, traitement de vos données), gardées comme preuve. Elles servent à la modération et à la publication de l’événement ; les coordonnées de l’organisateur ne sont pas publiées. La fiche de l’événement reste ensuite consultable dans les archives de l’agenda. Le nom et l’e-mail de l’organisateur, son message et les adresses IP sont effacés 20 mois après la date de l’événement.

Candidatures envoyées par e-mail (page « On recrute ») : CV, lettre et échanges, conservés 2 ans au plus après le dernier contact, sauf si vous nous demandez de les supprimer plus tôt.

Base légale : notre intérêt légitime à répondre aux demandes et à publier l’agenda, et les mesures précontractuelles pour les candidatures.

3.6 Réservations et privatisations dans les établissements partenaires

Données : prénom, nom, e-mail, téléphone, nombre de personnes, date et heure, message facultatif et, pour une privatisation, budget, occasion et options souhaitées. L’adresse IP est enregistrée pour limiter les abus.

Ces informations sont transmises à l’établissement concerné, qui les utilise pour gérer votre réservation. Vous recevez un e-mail de confirmation, un rappel par e-mail la veille et un SMS quelques heures avant. Si l’établissement demande une empreinte bancaire, votre carte est enregistrée par Stripe sur le compte de l’établissement : nous n’y avons pas accès, et seul l’établissement peut la débiter, dans les cas prévus par les conditions de réservation.

Base légale : l’exécution de votre demande de réservation. Durée : 90 jours après la date réservée (90 jours après la demande pour une privatisation). Seuls des compteurs anonymes sont ensuite conservés.

3.7 Espace partenaire et relations professionnelles

Données : nom, e-mail, téléphone et structure du titulaire du compte, informations de facturation (raison sociale, adresse, SIRET, TVA, e-mail de facturation), lieux rattachés, événements proposés, achats et abonnements. Le numéro SIREN est vérifié dans l’annuaire public des entreprises (recherche-entreprises.api.gouv.fr). Les paiements passent par Stripe et les factures sont émises par Pennylane.

Prise de rendez-vous avec l’équipe (pages /rdv/) : société, nom, e-mail, téléphone et motif. Une invitation Google Agenda avec un lien Google Meet vous est envoyée et le rendez-vous est suivi dans notre outil de gestion commerciale (Notion). Ces données sont supprimées 12 mois après le rendez-vous.

Base légale : l’exécution du contrat ou des mesures précontractuelles, et nos obligations comptables. Durée : la durée de la relation commerciale, puis 3 ans. Les comptes jamais confirmés sont supprimés automatiquement, et les factures conservées 10 ans.

3.8 Invitations à nos événements

Lorsque vous vous inscrivez à un événement sur invitation : prénom, nom, e-mail et entreprise. Ils servent à gérer votre inscription et à vous envoyer votre invitation (e-mail, fichier agenda, carte Apple Wallet ou Google Wallet si vous l’ajoutez). Ces données sont supprimées 6 mois après l’événement.

3.9 Jeux-concours

Données : celles demandées par le règlement du jeu (en général e-mail, nom, prénom et téléphone). Elles servent à gérer les participations, à désigner les gagnants et à leur remettre leur lot. Base légale : l’exécution du règlement. Durée : la durée du jeu, puis 6 mois pour la remise des lots et les réclamations.

3.10 Messages privés Facebook et Instagram

Lorsque vous écrivez à nos comptes Facebook ou Instagram, Meta nous transmet votre message, votre nom de profil, votre photo de profil et un identifiant propre à notre page. Notre équipe les lit et y répond depuis un outil interne, également accessible sur téléphone.

Pour gagner du temps, un membre de l’équipe peut demander une proposition de réponse à Claude, l’assistant d’Anthropic. Les derniers messages de la conversation (20 au plus) et votre nom de profil lui sont alors envoyés. La proposition est toujours relue avant envoi. Anthropic agit comme sous-traitant et n’utilise pas ces données pour entraîner ses modèles.

Chaque appareil de l’équipe dispose d’une clé d’accès personnelle. Un journal enregistre, pour chaque appareil autorisé, la date et l’heure, le membre de l’équipe, l’action effectuée ou la conversation ouverte et l’adresse IP de connexion. Il sert à détecter l’usage d’une clé perdue ou recopiée et, en cas de perte ou de vol d’un appareil, à savoir si vos messages ont été consultés et à vous en informer. Il porte sur les membres de notre équipe, pas sur les visiteurs.

Base légale : notre intérêt légitime à répondre aux messages et à sécuriser nos outils. Durées : 12 mois après le dernier message de la conversation, 30 jours pour les notifications techniques reçues de Meta, 90 jours pour le journal d’accès.

3.11 Application « Que Faire ? »

L’application traite en plus des données propres au téléphone : notifications, localisation utilisée sur l’appareil, rapports de plantage, favoris synchronisés par iCloud, contenus Instagram. Elles sont détaillées dans la politique de confidentialité de l’application.

3.12 Sécurité du site

Les formulaires (contact, newsletter, proposition d’événement, réservation, rendez-vous, compte client, suivi de commande, espace partenaire) sont protégés par reCAPTCHA, un service de Google. Lors de leur utilisation, reCAPTCHA analyse des informations techniques sur l’appareil et la navigation (notamment l’adresse IP, le navigateur et les interactions avec la page) pour distinguer un humain d’un robot. Google agit comme sous-traitant, selon nos instructions et les conditions de traitement des données de Google Cloud. Conformément à ses règles d’utilisation, la mention « Ce site est protégé par reCAPTCHA. » figure en pied de page.

Nos serveurs enregistrent aussi des journaux techniques (adresse IP, page demandée, navigateur, date) pour détecter les attaques et corriger les erreurs : 30 jours pour les événements de sécurité, 90 jours pour les adresses bloquées et le journal d’envoi des e-mails, quelques semaines au plus pour les journaux de l’API de l’application.

Base légale : notre intérêt légitime à sécuriser le site et nos services.

4. Destinataires et prestataires

Vos données sont accessibles aux seules personnes de l’équipe qui en ont besoin. Elles sont aussi transmises, pour ce qui les concerne, à :

o2switch (France) : hébergement du site, des bases de données et de Matomo ;
Stripe (Stripe Payments Europe, Irlande) : paiements, et empreintes bancaires pour le compte des établissements ;
Brevo (France) : e-mails transactionnels, SMS et newsletter ;
Google (Irlande et États-Unis) : reCAPTCHA, messagerie et agenda de l’équipe (Google Workspace, y compris l’envoi de secours des e-mails du site), Google Meet, Google Maps si vous affichez une carte, Google Wallet si vous y ajoutez une invitation ;
Apple (Irlande et États-Unis) : connexion avec Apple, notifications de l’application, Apple Wallet ;
Meta (Meta Platforms Ireland) : messages privés Facebook et Instagram, connexion avec Facebook ;
Anthropic (États-Unis) : propositions de réponse aux messages privés, relues par l’équipe ;
Pennylane (France) : facturation et comptabilité ;
La Poste (France) : acheminement et suivi des envois ;
Notion (États-Unis) : suivi des rendez-vous professionnels ;
Sentry (données hébergées dans l’Union européenne) : rapports de plantage de l’application ;
OpenStreetMap (Royaume-Uni) : fond de carte de la recherche de lieux, qui reçoit votre adresse IP lorsque la carte s’affiche ;
les établissements partenaires : vos réservations, et le retrait d’une commande dans un point de retrait.

Ces prestataires agissent comme sous-traitants, sauf Stripe, Apple et Meta pour leurs propres traitements, et les établissements pour l’usage qu’ils font de vos réservations.

5. Transferts hors de l’Union européenne

Certains prestataires (Google, Apple, Meta, Stripe, Anthropic, Notion) peuvent traiter des données aux États-Unis. Ces transferts reposent sur le cadre de protection des données UE–États-Unis (Data Privacy Framework) pour les sociétés certifiées, et sur les clauses contractuelles types de la Commission européenne. Les données envoyées à OpenStreetMap, au Royaume-Uni, bénéficient d’une décision d’adéquation.

6. Cookies et stockage local

Le site n’utilise ni cookie publicitaire ni traceur soumis à consentement. Un visiteur qui ne se connecte pas ne reçoit aucun cookie. Les cookies ci-dessous sont strictement nécessaires au service que vous demandez :

cookies de connexion de WordPress (wordpress_logged_in_…, wordpress_sec_…, wordpress_test_cookie) : vous garder connecté, de 2 à 30 jours selon le mode de connexion ;
__Host-bcn_login_hint_v1 : si vous vous connectez avec une clé d’accès, ce cookie contient une empreinte courte (un hachage) d’au plus cinq adresses e-mail, jamais les adresses elles-mêmes, pour que le bouton « Connexion » vous propose directement votre clé. Il n’est transmis à aucun tiers et expire après 6 mois, délai prolongé à chaque utilisation. Si vous le supprimez, la connexion par lien reçu par e-mail reste disponible ;
__Host-bcn_login_pk, __Host-bcn_login_offer, __Host-bcn_login_apple, __Host-bcn_login_apple_link, bcn_fbl_state et bcn_fbl_redirect : sécuriser une connexion en cours (clé d’accès, Apple, Facebook), de 5 à 10 minutes ;
bcn_pending_session_id : retrouver votre commande au retour de la page de paiement, 1 heure ;
mtm_consent_removed : retenir votre refus de la mesure d’audience, 13 mois, seulement si vous l’avez exprimé ;
reCAPTCHA (_GRECAPTCHA) : cookie technique de Google, déposé lorsque vous utilisez un formulaire protégé.

La page de paiement de Stripe, hébergée par Stripe, utilise ses propres cookies de sécurité. La carte Google Maps des fiches lieux ne se charge que si vous cliquez sur « Afficher la carte » : Google reçoit alors votre adresse IP et peut déposer ses propres cookies.

Le site enregistre aussi dans votre navigateur (stockage local) quelques préférences d’affichage, comme le masquage du bandeau de l’application ou du rappel de clé d’accès, et le brouillon du formulaire de proposition d’événement. Ces informations restent sur votre appareil.

Vous pouvez supprimer les cookies et le stockage local à tout moment dans les réglages de votre navigateur.

7. Vos droits

Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation et de portabilité de vos données, d’un droit d’opposition aux traitements fondés sur notre intérêt légitime, et du droit de retirer votre consentement à tout moment. Vous pouvez aussi définir des directives sur le sort de vos données après votre décès.

Pour les exercer, écrivez à contact@bigcitynantes.fr. Nous répondons dans un délai d’un mois. Une pièce d’identité ne vous sera demandée qu’en cas de doute raisonnable sur votre identité.

Vous pouvez introduire une réclamation auprès de la CNIL (cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07).

8. Mineurs

Le site et l’application sont accessibles aux mineurs. Avant 15 ans, un traitement fondé sur le consentement (la newsletter par exemple) nécessite aussi l’accord d’un titulaire de l’autorité parentale. Les achats et les réservations sont réservés aux personnes majeures ou autorisées par leurs représentants légaux.

9. Sécurité

Les échanges avec le site sont chiffrés (HTTPS), les mots de passe sont stockés sous forme hachée, l’accès aux données est limité aux personnes qui en ont besoin et journalisé pour les outils sensibles.

10. Modifications

Cette page peut évoluer avec nos services. La date de dernière mise à jour figure en haut de page. En cas de changement important, les titulaires d’un compte en sont informés.