Politique de confidentialité

1. Que faisons-nous ?

La société Secret Mission Eventline DKS OG (Sapphogasse 20/3, 1100 Vienne, Autriche) organise des expériences immersives en direct à Vienne et exploite à cet effet le site web secretmission.at ainsi que les services de réservation, de compte client et d’assistance qui y sont associés (ci-après « nous »).

La protection de vos données à caractère personnel nous tient particulièrement à cœur. Dans la présente politique de confidentialité, nous vous informons de manière transparente et compréhensible sur les données que nous collectons et sur la manière dont nous les traitons.

2. Sur quoi vous informons-nous ?

• qui est responsable du traitement des données ;
• quelles données sont collectées ;
• à quelle fin ces données sont collectées ;
• sur quelle base juridique nous collectons ces données ;
• à qui nous transmettons ces données et si elles sont transférées vers un pays tiers ;
• combien de temps nous conservons les données ;
• comment vous pouvez vous opposer à un traitement de données ;
• quels sont vos droits et comment vous pouvez les exercer.

3. Définitions

Que sont les données à caractère personnel ?

Les données à caractère personnel sont toutes les informations se rapportant à une personne physique identifiée ou identifiable. Il s’agit par exemple du nom, de l’adresse, de la date de naissance, de l’adresse e-mail ou du numéro de téléphone, ainsi que de l’adresse IP. Les données relatives à des préférences personnelles, telles que les loisirs ou les adhésions, font également partie des données à caractère personnel.

Que sont les catégories particulières de données à caractère personnel ?

Les catégories particulières de données à caractère personnel (art. 9 du RGPD) sont :

• les données qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale ;
• les données génétiques et biométriques aux fins d’identifier une personne de manière unique ;
• les données concernant la santé ainsi que les données concernant la vie sexuelle et l’orientation sexuelle.

Dans la mesure où cela est nécessaire et où vous nous communiquez vous-même ces données – par exemple des restrictions de santé avant un événement –, nous pouvons traiter de telles données. Dans ce cas, leur traitement est soumis à une confidentialité renforcée et repose exclusivement sur votre consentement explicite conformément à l’art. 9, par. 2, point a) du RGPD.

Qu’est-ce que le traitement de données à caractère personnel ?

Le traitement désigne toute opération portant sur des données à caractère personnel, quels que soient les moyens et procédés utilisés, notamment la collecte, l’enregistrement, la conservation, l’utilisation, la modification, la communication, l’archivage, l’effacement ou la destruction de données à caractère personnel.

Qu’est-ce que la communication de données à caractère personnel ?

Il s’agit de la transmission de données à caractère personnel ou du fait de les rendre accessibles, par exemple par leur publication ou leur divulgation à un tiers.

4. Responsable du traitement et contact

Le responsable du traitement au sens de l’art. 4, point 7) du RGPD est :

Secret Mission Eventline DKS OG
Sapphogasse 20/3, 1100 Vienne, Autriche
Registre du commerce : FN 67176 3m, tribunal de commerce de Vienne (Handelsgericht Wien) · N° TVA (UID) : ATU83282127
Représentants légaux : Alexander Datzer, Clemens Kaufmann, Michael Schabereiter
Téléphone : +43 670 1984 234
E-mail général : info@secretmission.at
E-mail protection des données : datenschutz@secretmission.at

Délégué à la protection des données

Nous ne sommes pas tenus de désigner un délégué à la protection des données conformément à l’art. 37 du RGPD et n’en avons pas désigné. L’interlocuteur pour toutes les questions relatives à la protection des données est Michael Schabereiter, joignable à l’adresse datenschutz@secretmission.at ou à l’adresse postale indiquée ci-dessus.

5. Sécurité des données

Nous conservons vos données en toute sécurité et prenons toutes les mesures techniques et organisationnelles appropriées pour protéger vos données contre la perte, l’accès non autorisé, l’utilisation abusive ou la modification.

Nos partenaires contractuels et nos collaborateurs qui ont accès à vos données sont tenus de respecter les dispositions relatives à la protection des données. Dans certains cas, il est nécessaire, dans le cadre de la sous-traitance, que nous transmettions vos demandes à des entreprises qui nous sont liées. Dans ces cas également, vos données sont traitées de manière confidentielle.

La transmission entre votre navigateur et nos serveurs est intégralement chiffrée via TLS (HTTPS), au niveau de chiffrement le plus élevé pris en charge par votre navigateur. L’accès à nos systèmes de gestion est limité à un cercle de personnes défini et sécurisé par une authentification multifacteur ainsi que par un concept de rôles et de droits d’accès.

6. Vos droits

Droit d’accès (art. 15 du RGPD)

Vous pouvez à tout moment demander à obtenir des informations sur les données que nous conservons à votre sujet. Nous vous prions d’envoyer votre demande d’accès, accompagnée d’une preuve d’identité crédible, à datenschutz@secretmission.at.

Les informations sont fournies par écrit ou sous une autre forme, le cas échéant par voie électronique. Si vous le demandez, nous pouvons également vous fournir les informations oralement, à condition que vous prouviez votre identité d’une autre manière. Si vous présentez votre demande d’accès par voie électronique, nous mettons les informations à votre disposition dans un format électronique d’usage courant, sauf indication contraire de votre part.

Les informations sont en règle générale fournies gratuitement. Si des copies supplémentaires sont demandées, des frais raisonnables peuvent être exigés. Le droit d’obtenir une copie des données traitées ne doit pas porter atteinte aux droits et libertés d’autrui. En cas de demandes manifestement infondées ou excessives, nous nous réservons le droit, dans les limites prévues par la loi, de refuser de fournir les informations ou d’exiger des frais raisonnables à cet effet.

Le traitement de votre demande est soumis au délai légal d’un mois. Nous pouvons prolonger ce délai de deux mois supplémentaires, si nécessaire, compte tenu de la complexité et du nombre de demandes. Vous serez informé(e) de cette prolongation dans un délai d’un mois à compter de la réception de votre demande d’accès. Les motifs de la prolongation vous seront communiqués en même temps.

Effacement et rectification (art. 16 et 17 du RGPD)

Vous avez à tout moment la possibilité de demander l’effacement ou la rectification, voire le complément de vos données, dans la mesure où aucune obligation légale de conservation ni aucune autre autorisation légale ne s’y oppose.

Veuillez noter que l’exercice de vos droits peut, le cas échéant, entrer en conflit avec des accords contractuels et avoir des répercussions correspondantes sur l’exécution du contrat (par exemple résiliation anticipée du contrat ou frais).

Limitation du traitement (art. 18 du RGPD)

Vous avez en outre le droit d’obtenir la limitation du traitement lorsque vous contestez l’exactitude des données, lorsque le traitement est illicite, lorsque les données ne sont plus nécessaires ou lorsque vous vous êtes opposé(e) au traitement.

Lorsque le traitement des données est limité, celles-ci ne peuvent plus qu’être conservées. Tout autre traitement ne peut avoir lieu qu’avec votre consentement, pour la constatation, l’exercice ou la défense de droits en justice, pour la protection des droits d’une autre personne ou pour des motifs importants d’intérêt public. En cas de levée de la limitation, vous en serez informé(e).

Droit à la portabilité des données (art. 20 du RGPD)

Vous avez le droit de recevoir les données à caractère personnel vous concernant que vous nous avez fournies, dans un format structuré, couramment utilisé et lisible par machine, et de transmettre ces données à un autre responsable du traitement sans que nous y fassions obstacle, lorsque le traitement est fondé sur un consentement conformément à l’art. 6, par. 1, point a) ou à l’art. 9, par. 2, point a) du RGPD, ou sur un contrat conformément à l’art. 6, par. 1, point b) du RGPD, et que le traitement est effectué à l’aide de procédés automatisés. Vous avez en outre le droit d’obtenir que les données à caractère personnel soient transmises directement par nous à un autre responsable du traitement, lorsque cela est techniquement possible.

Droit d’opposition selon l’art. 21 du RGPD

Vous avez le droit de vous opposer à tout moment, pour des raisons tenant à votre situation particulière, au traitement des données à caractère personnel vous concernant fondé sur nos intérêts légitimes (art. 6, par. 1, point f) du RGPD). Nous ne traitons alors plus vos données à caractère personnel, à moins que nous ne démontrions qu’il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur vos intérêts, droits et libertés, ou que le traitement ne serve à la constatation, à l’exercice ou à la défense de droits en justice.

Lorsque vos données à caractère personnel sont traitées à des fins de prospection, vous avez le droit de vous opposer à tout moment et sans avoir à motiver votre décision à ce traitement. Après une telle opposition, nous n’utilisons plus vos données à des fins de prospection.

Un simple message sans formalité particulière à datenschutz@secretmission.at suffit pour exercer votre droit d’opposition.

Retrait d’un consentement (art. 7, par. 3, du RGPD)

Si vous avez donné votre consentement au traitement de vos données, vous pouvez le retirer à tout moment avec effet pour l’avenir. La licéité du traitement effectué jusqu’au retrait n’en est pas affectée.

Droit d’introduire une réclamation (art. 77 du RGPD)

Vous avez le droit d’introduire une réclamation auprès d’une autorité de contrôle en matière de protection des données concernant le traitement de vos données à caractère personnel par nos soins. L’autorité de contrôle compétente pour nous est :

Autorité autrichienne de protection des données (Österreichische Datenschutzbehörde)
Barichgasse 40–42, 1030 Vienne, Autriche
Téléphone : +43 1 52 152-0 · E-mail : dsb@dsb.gv.at
Web : www.dsb.gv.at

7. Principes généraux

Quelles données traitons-nous et d’où proviennent-elles ?

Nous traitons en premier lieu les données à caractère personnel que vous nous transmettez ou que nous collectons dans le cadre de l’exploitation de notre site web. Il peut arriver que nous recevions également des données à caractère personnel vous concernant de la part de tiers.

Il peut s’agir des catégories suivantes :

• données d’identification (nom, adresse, date de naissance) ;
• coordonnées (numéro de téléphone, adresse e-mail) ;
• données contractuelles et de réservation (mission, date, nombre de participants, codes de bons cadeaux) ;
• données financières et de paiement (adresse de facturation, mode de paiement, statut du paiement) ;
• identifiants en ligne (identifiant de cookie, adresse IP, données relatives à l’appareil et au navigateur) ;
• données de communication (messages adressés à notre service d’assistance, historiques de conversation avec notre assistant).

Ces données peuvent provenir des sources suivantes :

• informations issues de sources accessibles au public (par exemple médias, Internet) ;
• informations issues de registres publics (par exemple registre du commerce, registre foncier, fichier des publications judiciaires) ;
• informations en lien avec des procédures administratives ou judiciaires ;
• informations concernant vos fonctions et activités professionnelles (par exemple réseaux professionnels) ;
• informations vous concernant contenues dans la correspondance et les réunions avec des tiers ;
• informations sur la solvabilité (dans la mesure où nous concluons des transactions personnelles avec vous) ;
• informations vous concernant que nous communiquent des personnes de votre entourage – par exemple lorsqu’une réservation est effectuée pour un groupe ou qu’un bon cadeau est acheté pour vous ;
• données liées à l’utilisation du site web.

À quelles conditions traitons-nous vos données ?

Nous traitons vos données conformément aux lois applicables en matière de protection des données, en particulier le RGPD et la loi autrichienne sur la protection des données (DSG). Le traitement est effectué à chaque fois aux fins définies dans la présente politique de confidentialité. Nous veillons ce faisant à la transparence et à la proportionnalité.

Le traitement de vos données est licite dès lors qu’une condition de licéité prévue par le RGPD est remplie. Peuvent notamment entrer en ligne de compte comme conditions de licéité :

• votre consentement (art. 6, par. 1, point a) du RGPD) ;
• l’exécution d’un contrat ou de mesures précontractuelles (art. 6, par. 1, point b) du RGPD) ;
• le respect d’obligations légales auxquelles nous sommes soumis (art. 6, par. 1, point c) du RGPD) ;
• la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique (art. 6, par. 1, point d) du RGPD) ;
• nos intérêts légitimes, à condition que vos intérêts ne prévalent pas (art. 6, par. 1, point f) du RGPD).

Pour le stockage d’informations sur votre terminal et l’accès à celles-ci, le § 165, al. 3, de la loi autrichienne sur les télécommunications (TKG 2021) s’applique en outre : nous n’utilisons les cookies et technologies comparables qui ne sont pas techniquement nécessaires qu’avec votre consentement.

Il peut être nécessaire que vous nous communiquiez certaines données à caractère personnel afin que des obligations contractuelles puissent être remplies. Sans ces données, nous ne sommes normalement pas en mesure d’exécuter un contrat. De même, le site web ne peut normalement pas être utilisé si certaines informations nécessaires pour garantir la transmission des données, telles que votre adresse IP, ne sont pas communiquées.

Dans quels cas transmettons-nous vos données à des tiers ?

a) Principe

Il peut arriver que nous devions recourir aux services de tiers ou d’entreprises liées et les charger du traitement de vos données (sous-traitants). Les catégories de destinataires sont notamment :

• comptabilité, fiduciaire et conseil fiscal ;
• sociétés de conseil (conseil juridique, fiscalité) ;
• prestataires informatiques (hébergement web, assistance, services cloud, conception de sites web) ;
• prestataires de services de réservation et de paiement ;
• fournisseurs de services de suivi, de conversion et de publicité ;
• assurances (en cas de sinistre).

Nous avons conclu avec tous nos sous-traitants des contrats conformément à l’art. 28 du RGPD. Nous veillons à ce que ces tiers respectent les exigences en matière de protection des données et traitent vos données à caractère personnel de manière confidentielle. Il se peut également que nous soyons tenus de communiquer vos données à caractère personnel à des autorités.

b) Transmission à des partenaires et entreprises coopérantes

Nous collaborons en partie avec différentes entreprises et différents partenaires qui présentent leurs offres sur notre site web. Il vous est possible de reconnaître qu’il s’agit d’une offre de tiers (signalée comme « publicité »). Si vous faites appel à une telle offre, nous transmettons vos données à caractère personnel au partenaire concerné (par exemple nom, fonction, communication). Ces partenaires sont responsables, de manière autonome, des données à caractère personnel reçues. Après la transmission des données, ce sont les dispositions en matière de protection des données du partenaire concerné qui s’appliquent.

c) Transfert à l’étranger

Dans le cadre de la sous-traitance, vos données à caractère personnel peuvent être transférées à des entreprises situées en dehors de l’Espace économique européen (EEE) – en particulier aux États-Unis. Ces entreprises sont tenues à la protection des données dans la même mesure que nous-mêmes.

Si le niveau de protection des données ne correspond pas à celui de l’EEE, nous procédons au préalable à une évaluation des risques et garantissons contractuellement le même niveau de protection que dans l’EEE – en règle générale au moyen des clauses contractuelles types de la Commission européenne (décision d’exécution (UE) 2021/914), assorties de mesures complémentaires. Lorsqu’un destinataire relève de l’EU-US Data Privacy Framework, nous fondons en outre le transfert sur la décision d’adéquation de la Commission européenne du 10 juillet 2023. Si notre évaluation des risques devait être négative, nous prenons des mesures techniques supplémentaires pour protéger vos données. Vous pouvez demander une copie des garanties correspondantes à l’adresse datenschutz@secretmission.at.

d) Combien de temps conservons-nous vos données ?

Nous ne conservons les données à caractère personnel que le temps nécessaire à la réalisation des finalités respectives. Nous conservons les données contractuelles plus longtemps, car nous y sommes tenus par des dispositions légales : conformément au § 132 BAO (code fiscal fédéral autrichien) et au § 212 UGB (code de commerce autrichien), nous devons conserver la correspondance commerciale, les contrats conclus et les pièces comptables pendant sept ans ; en cas de procédure en cours, plus longtemps en conséquence. Dans la mesure où nous n’avons plus besoin de ces données pour la fourniture des prestations, leur traitement ultérieur est limité et nous ne les utilisons plus qu’à des fins comptables et fiscales. Vous trouverez un aperçu des délais concrets à la section 10.

8. Traitements de données en détail

8.1 Mise à disposition du site web et création de fichiers journaux

Si vous vous contentez de visiter notre site web, c’est-à-dire si vous ne vous inscrivez pas et ne communiquez pas d’autres informations, seules sont collectées les données que votre navigateur transmet automatiquement à notre serveur. Ces données sont techniquement nécessaires au fonctionnement du site web.

Sont notamment traités : le nom du fournisseur d’accès à Internet, l’adresse IP, des informations techniques telles que le navigateur, le système d’exploitation ou la résolution d’écran, la date et l’heure de l’accès, le fichier consulté ainsi que l’URL de provenance (referrer). Ces données ne sont pas regroupées avec d’autres sources de données.

8.2 Cookies et technologies similaires

Les cookies sont de petits fichiers texte qui sont déposés sur votre terminal à l’aide du navigateur. Ils ne causent aucun dommage. Nous utilisons en outre la mémoire locale de votre navigateur ( localStorage et sessionStorage). Nous utilisons sans consentement distinct les enregistrements techniquement nécessaires ou déclenchés par vous-même ; au-delà, nous utilisons, après votre consentement, des cookies pour la mesure d’audience (Microsoft Clarity et Google Analytics 4, voir 8.14) ainsi que, à des fins de marketing, le pixel Meta, le pixel TikTok et le pixel Snapchat (voir 8.14).

Vous pouvez configurer votre navigateur de manière à être informé(e) du dépôt de cookies et à ne l’autoriser qu’au cas par cas, ou de manière à ce que les cookies soient refusés de manière générale et supprimés à la fermeture du navigateur. La désactivation des cookies peut limiter les fonctionnalités de notre site web.

8.3 Prise de contact et demandes d’assistance

Vous pouvez nous contacter via nos formulaires de contact et de demande, par e-mail, par téléphone ou par WhatsApp. Les demandes issues des formulaires sont enregistrées sous forme de ticket et traitées dans notre propre système de gestion (« SMOC », exploité sur notre infrastructure dans l’UE).

Sont traitées les données que vous avez indiquées – en règle générale le nom, l’adresse e-mail, le cas échéant le numéro de téléphone, le nom de l’entreprise ainsi que le contenu de votre message – ainsi que la date et l’heure de la transmission.

Pour la communication via WhatsApp, WhatsApp Ireland Ltd. intervient conjointement avec nous. Veuillez noter que les métadonnées de votre message sont alors transmises à l’exploitant. Utilisez l’e-mail ou le téléphone si vous souhaitez éviter cela.

8.4 Réservation et exécution du contrat

Lors d’une réservation, nous collectons : nom et prénom, adresse e-mail et numéro de téléphone, adresse de facturation, détails de la réservation (date, mission, nombre de participants) ainsi que les informations de paiement.

Bokun (plateforme de réservation)

Nous utilisons Bokun, une plateforme de réservation de Bokun ehf., Borgartún 27, 105 Reykjavík, Islande (une société du groupe Tripadvisor), pour la gestion et le traitement des réservations en ligne. Depuis août 2026, aucune fenêtre de réservation de Bokun n’est plus intégrée à notre site web : le choix de la date et le paiement se déroulent entièrement sur secretmission.at. Bokun fonctionne en arrière-plan en tant que système de réservation – l’échange a lieu entre nos serveurs et Bokun, et non dans votre navigateur. Par conséquent, aucun script de widgets.bokun.io n’est plus chargé, votre adresse IP n’est plus transmise à Bokun lors de la visite de nos pages et Bokun ne dépose plus de cookies dans votre navigateur. Nous continuons de transmettre les données de votre réservation à Bokun afin que la date, le contingent de places et la confirmation de réservation y soient gérés.

Sont traités le nom, le prénom, l’adresse et les coordonnées, les détails de la réservation (expérience choisie, date, heure, nombre de participants), les informations de paiement (directement par le prestataire de paiement intégré) ainsi que les données de communication (confirmations de réservation, rappels, annulations).

8.5 Traitement des paiements

Les paiements sont traités au moyen des modes de paiement proposés lors de la réservation – notamment carte de crédit et de débit, virement eps, Klarna, Apple Pay et Google Pay. Vous saisissez les données de paiement (en particulier le numéro de carte) directement auprès du prestataire de paiement concerné ; nous ne collectons ni ne conservons les données complètes de carte. Nous recevons uniquement l’information indiquant si un paiement a abouti et pour quel montant, ainsi que les informations nécessaires à la facturation.

8.6 Compte client « Agentenakte » (dossier d’agent)

Vous pouvez créer un compte client personnel sur notre site web. Vous y voyez vos réservations, vos bons cadeaux, vos sauf-conduits et votre grade. Pour la connexion, nous traitons votre adresse e-mail, votre nom ainsi qu’un mot de passe sous forme chiffrée (hachage) – ou, si vous vous connectez via un service de connexion, l’identifiant transmis par celui-ci.

Pour la connexion, nous proposons en outre Google Sign-In (Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irlande) et Apple Sign-In (Apple Distribution International Ltd., Hollyhill Industrial Estate, Cork, Irlande). Si vous utilisez cette possibilité, nous recevons du fournisseur concerné votre adresse e-mail, votre nom et un identifiant utilisateur unique. Le service de connexion apprend à cette occasion que vous vous êtes connecté(e) chez nous. L’utilisation d’un tel service est facultative – vous pouvez tout aussi bien vous inscrire avec une adresse e-mail et un mot de passe.

8.7 Assistant IA « Agent Harlan »

Un assistant textuel est à votre disposition sur notre site web ; il répond aux questions sur les missions, les prix, les dates et les bons cadeaux. L’assistant ne s’ouvre que lorsque vous cliquez dessus ; sans saisie de votre part, aucun contenu n’est transmis.

Lorsque vous envoyez une question, le texte de votre message est transmis, avec l’historique de la conversation et la langue choisie, à notre service à l’adresse assistent.secretmission.at. Celui-ci fonctionne sur l’infrastructure de Cloudflare, Inc. et transmet la demande, pour y répondre, à un modèle de langage d’ Anthropic PBC, 548 Market St, San Francisco, CA 94104, États-Unis. Afin de limiter les abus, nous traitons en outre une forme abrégée de votre adresse IP.

Veuillez ne saisir aucune donnée sensible dans le chat – en particulier aucune donnée de santé, donnée de paiement, mot de passe ou information concernant des tiers. Pour vos demandes personnelles, vous pouvez nous joindre par téléphone ou par WhatsApp du lundi au vendredi, de 9 h 00 à 17 h 30 ; la possibilité de contacter un être humain est proposée dans chaque fenêtre de réponse.

8.8 Newsletter

Vous avez la possibilité de vous abonner à notre newsletter via notre site web. Pour cela, nous avons besoin de votre adresse e-mail et de votre déclaration indiquant que vous acceptez de recevoir la newsletter.

L’inscription s’effectue selon la procédure de double opt-in : après votre inscription, vous recevez un e-mail contenant un lien de confirmation. Ce n’est qu’après votre confirmation que nous vous ajoutons à la liste de diffusion. Pour prouver l’inscription, nous enregistrons la date et l’heure de l’inscription et de la confirmation ainsi que l’adresse IP utilisée à cette occasion.

Vous pouvez vous désabonner à tout moment – via le lien de désabonnement figurant à la fin de chaque e-mail de newsletter ou par simple message à datenschutz@secretmission.at. En cas de désabonnement, vos données liées à l’envoi de la newsletter sont immédiatement effacées ; nous conservons les journaux d’inscription à titre de preuve pendant trois ans au maximum. La licéité du traitement effectué jusqu’au retrait n’en est pas affectée.

8.9 Notifications push

Si vous l’autorisez expressément dans votre navigateur, nous vous envoyons des notifications concernant vos réservations (par exemple des rappels de date). Pour cela, un identifiant anonyme de l’appareil ou du navigateur est enregistré. Vous pouvez retirer cette autorisation à tout moment dans les paramètres de votre navigateur ou de votre compte ; l’identifiant est alors supprimé.

8.10 Contenus vidéo (YouTube)

Sur certaines pages, nous intégrons des vidéos. Nous les chargeons selon la procédure en deux clics : vous ne voyez d’abord qu’une image fixe fournie par nos soins. Ce n’est que lorsque vous cliquez dessus qu’une connexion est établie avec youtube-nocookie.com (Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irlande) et que votre adresse IP ainsi que des informations sur le navigateur et l’appareil sont transmises à Google. Tant que vous ne lancez aucune vidéo, aucune transmission à Google n’a lieu.

Nous diffusons les bandes-annonces et nos productions propres – dans la mesure du possible – directement depuis nos propres serveurs. Dans ces cas, aucune connexion avec des tiers n’est établie. Nous chargeons également nos polices de caractères depuis notre propre serveur ; aucune connexion avec Google Fonts n’a lieu.

8.11 Participation à l’événement

Lors de la participation à un événement, les données suivantes peuvent en outre être traitées :

• signatures apposées sur des décharges de responsabilité et des déclarations de consentement ;
• informations relatives à la santé (allergies, restrictions de santé) – exclusivement sur la base de votre consentement explicite conformément à l’art. 9, par. 2, point a) du RGPD et uniquement dans la mesure où cela est nécessaire à votre sécurité pendant l’expérience ;
• justificatifs d’âge pour les mineurs, accompagnés de la déclaration de consentement des titulaires de l’autorité parentale ;
• à titre exceptionnel, des informations relatives à un incident sur place (accident, dommage matériel) aux fins de son règlement avec notre assurance.

8.12 Photos et vidéos lors de nos expériences

Nous filmons et photographions nous-mêmes lors de nos missions. Notre équipe enregistre régulièrement le déroulement – cela fait partie de la production et n’a rien d’exceptionnel. Les participants y sont reconnaissables. Pour des raisons dramaturgiques, il ne vous est pas permis de filmer ou de photographier vous-même pendant l’expérience (voir les conditions de participation) ; les enregistrements sont réalisés exclusivement par nos soins.

a) Enregistrements pendant l’expérience

Sont traités des enregistrements d’image et de son de votre personne dans le cadre de l’expérience réservée.

b) Publication à des fins publicitaires

Nous utilisons également les enregistrements sur lesquels vous êtes reconnaissable pour notre présence en ligne et notre publicité – en particulier sur notre site web, sur nos profils Instagram, Facebook, TikTok, LinkedIn et YouTube, dans nos newsletters ainsi que dans du matériel de presse et publicitaire. Une publication a lieu exclusivement sur la base de votre consentement préalable, distinct et révocable à tout moment (art. 6, par. 1, point a) du RGPD en liaison avec le § 78 UrhG, loi autrichienne sur le droit d’auteur – droit à l’image). Nous recueillons ce consentement par écrit avant le début de l’expérience, en même temps que la décharge de responsabilité ; il est facultatif et ne constitue pas une condition de votre participation.

Si vous ne donnez pas votre consentement, vous participez tout à fait normalement – nous ne publions alors aucun enregistrement sur lequel vous êtes reconnaissable. Si vous réservez en groupe, nous avons besoin du consentement individuel de chaque participant ; l’accord de la personne qui effectue la réservation ne suffit pas à cet effet.

c) Retrait

Vous pouvez retirer votre consentement à tout moment et sans avoir à vous justifier, avec effet pour l’avenir – par simple e-mail à datenschutz@secretmission.at. La licéité de la publication effectuée jusqu’alors n’en est pas affectée.

Après un retrait, nous supprimons sans délai les enregistrements concernés de tous les canaux que nous exploitons nous-mêmes. Veuillez noter que nous n’avons aucun accès au matériel déjà imprimé, aux copies réalisées par des tiers ni aux mémoires cache des moteurs de recherche et des réseaux sociaux – nous ne pouvons donc pas garantir une suppression complète d’Internet.

8.13 Nos profils sur les réseaux sociaux

Nous gérons des profils accessibles au public sur Instagram et Facebook (Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, Irlande), TikTok (TikTok Technology Ltd., Dublin, Irlande), LinkedIn (LinkedIn Ireland Unlimited Company, Dublin, Irlande) et YouTube (Google Ireland Ltd.). Sur notre site web, nous nous contentons de renvoyer vers ces profils par des liens – aucun contenu des réseaux n’est intégré et aucune donnée ne leur est transmise lors d’une simple visite de notre site web.

Lorsque vous visitez l’un de nos profils ou interagissez avec nous sur celui-ci, l’exploitant concerné traite vos données sous sa propre responsabilité ; nous n’avons aucune influence sur la nature et l’étendue de ce traitement. Nous voyons les contenus que vous y publiez (commentaires, messages, réactions) ainsi que des statistiques agrégées et non personnelles sur l’audience. Pour le traitement effectué dans le cadre de ces statistiques de page, nous sommes responsables conjointement avec l’exploitant concerné (art. 26 du RGPD) ; vous pouvez exercer vos droits à l’égard de chacun d’eux.

8.14 Mesure d’audience et publicité

Nous diffusons de la publicité via Google Ads (Google Ireland Ltd.), Meta (Meta Platforms Ireland Ltd.), TikTok et Snapchat afin de faire connaître nos expériences. Pour mesurer la manière dont notre site web est utilisé et quelle publicité conduit à une réservation, nous utilisons – exclusivement après votre consentement préalable via la bannière de consentement – Google Analytics 4 et le pixel Meta, ainsi que Microsoft Clarity pour améliorer notre site web, et le pixel TikTok et le pixel Snapchat pour mesurer les performances de notre publicité sur ces deux réseaux. Ces services sont diffusés via Google Tag Manager.

Google Tag Manager

Google Tag Manager est un outil de Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlande) avec lequel nous gérons les services de mesure mentionnés ci-dessus. Le Tag Manager n’est lui-même pas un service de mesure : il ne dépose pas de cookies, n’enregistre pas d’identifiants et n’analyse pas votre comportement. Il décide uniquement quel service de mesure peut être chargé – et c’est précisément la raison pour laquelle il fonctionne sur chaque page.

Tant que vous n’avez pas répondu dans la bannière de consentement, le Google Consent Mode v2 est réglé sur « refusé » dans le Tag Manager. Dans cet état, aucun service de mesure n’est chargé, aucun cookie n’est déposé et aucune donnée n’est transmise à Google, Meta, TikTok ou Snapchat. Seul votre consentement active la catégorie à laquelle vous avez consenti ; si vous le retirez, l’état « refusé » s’applique à nouveau. Lors du chargement du Tag Manager lui-même – comme lors de tout chargement d’un fichier depuis le réseau – votre adresse IP est transmise à Google.

Google Analytics 4

Google Analytics 4 est un service d’analyse web de Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlande). Nous l’utilisons pour comprendre comment notre site web est utilisé : quelles pages sont consultées, comment les visiteurs nous ont trouvés, combien de temps ils restent et à quel endroit du parcours de réservation ils abandonnent.

Sont enregistrées à cette occasion les pages consultées et l’ordre de consultation, la page de provenance et, le cas échéant, l’identifiant de l’annonce par laquelle vous êtes arrivé(e) chez nous, des informations sur le navigateur, le système d’exploitation et l’appareil, la localisation approximative sur la base de l’adresse IP ainsi qu’un identifiant attribué de manière aléatoire, enregistré dans un cookie. L’adresse IP est abrégée par Google avant d’être enregistrée et n’est pas regroupée avec d’autres données.

Si vous finalisez une réservation, nous transmettons en outre la transaction elle-même : un numéro de transaction, le montant, la devise et l’expérience réservée. Nous ne transmettons pas à Google votre nom, votre adresse e-mail, votre numéro de téléphone ni votre adresse. Sans nos propres systèmes, le numéro de transaction ne permet d’identifier aucune personne ; il sert à ne pas comptabiliser deux fois le même achat.

Pixel Meta

Le pixel Meta est un outil publicitaire et d’analyse de Meta Platforms Ireland Limited (Merrion Road, Dublin 4, D04 X2K5, Irlande). Il nous permet de mesurer combien de personnes visitent notre site web et y réservent après avoir été en contact avec une annonce sur Facebook ou Instagram. Pour le traitement effectué dans le cadre de ces fonctions publicitaires, Meta et nous sommes responsables conjoints du traitement au sens de l’art. 26 du RGPD ; la répartition des obligations est régie par l’accord de responsabilité conjointe mis à disposition par Meta. Pour le traitement ultérieur par Meta, en particulier pour la constitution d’audiences cibles et la diffusion de publicité, Meta est seule responsable.

Sont enregistrés la consultation de nos pages, l’adresse consultée et la page de provenance, des informations sur le navigateur, le système d’exploitation et l’appareil, votre adresse IP ainsi qu’un identifiant enregistré dans le cookie. Si vous arrivez via une annonce Meta, son identifiant (fbclid) est en outre traité. En cas de réservation finalisée, nous transmettons en outre le montant, la devise et un numéro de transaction. Nous ne transmettons pas à Meta les noms, adresses, adresses e-mail, numéros de téléphone ni vos saisies dans nos formulaires ; un rapprochement avec des comptes Meta peut être effectué par Meta elle-même si vous y êtes connecté(e).

Le pixel n’est chargé qu’après que vous avez consenti à la catégorie « Marketing » dans la bannière de consentement. Sans votre consentement, aucun script de Meta n’est demandé et aucun cookie n’est déposé. Dans la caisse sous /checkout/, le pixel n’est pas actif ; nous y mesurons exclusivement le parcours jusqu’à la finalisation, et non l’audience.

Microsoft Clarity

Microsoft Clarity est un service d’analyse web de Microsoft Ireland Operations Limited (One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irlande). Clarity nous aide à comprendre comment notre site web est utilisé : sont enregistrés les pages vues et leur ordre, les clics, les mouvements de souris et le comportement de défilement, la taille de l’écran, le type d’appareil, le navigateur et le système d’exploitation, la localisation approximative sur la base de l’adresse IP abrégée ainsi que la page de provenance. Il en résulte des analyses agrégées – par exemple des cartes de chaleur (heatmaps) qui montrent quelles zones d’une page sont cliquées – ainsi que des relectures de sessions individuelles.

Clarity n’enregistre pas en clair vos saisies dans les champs de formulaire : les saisies de texte sont rendues illisibles dès le navigateur. Ni vos indications dans les formulaires de contact et de réservation, ni les données de paiement ou d’accès ne sont visibles pour nous dans les enregistrements.

Clarity n’est chargé qu’après que vous avez consenti à la catégorie « Statistiques » dans la bannière de consentement. Sans votre consentement, aucun script de Microsoft n’est demandé et aucun cookie n’est déposé. Nous n’utilisons pas Clarity sur la plateforme de réservation ni sur la plateforme de connaissances.

Pixel TikTok

Le pixel TikTok est un outil publicitaire et d’analyse de TikTok Technology Limited (10 Earlsfort Terrace, Dublin 2, D02 T380, Irlande) et de TikTok Information Technologies UK Limited (Kaleidoscope, 4 Lindsey Street, Londres, EC1A 9HP, Royaume-Uni). Pour le traitement effectué dans le cadre de ces fonctions publicitaires, TikTok et nous sommes responsables conjoints du traitement au sens de l’art. 26 du RGPD ; la répartition des obligations est régie par les TikTok Business Products (Data) Terms. Pour le traitement ultérieur des données par TikTok, en particulier pour la constitution d’audiences cibles et la diffusion de publicité, TikTok est seule responsable.

Sont enregistrés à cette occasion la consultation de nos pages, l’adresse consultée et la page de provenance, des informations sur le navigateur, le système d’exploitation et l’appareil, votre adresse IP abrégée ainsi qu’un identifiant enregistré dans le cookie. Si vous arrivez via une annonce TikTok, son identifiant (ttclid) est en outre traité. Nous mesurons ainsi combien de personnes arrivent sur notre site web après avoir vu une annonce. Nous ne transmettons pas à TikTok les noms, adresses, adresses e-mail, numéros de téléphone ni vos saisies dans nos formulaires ; un rapprochement avec des comptes TikTok peut être effectué par TikTok elle-même si vous y êtes connecté(e).

Le pixel n’est chargé qu’après que vous avez consenti à la catégorie « Marketing » dans la bannière de consentement. Sans votre consentement, aucun script de TikTok n’est demandé et aucun cookie n’est déposé. Cela vaut pour toutes les pages de secretmission.at, y compris le parcours de réservation sous /buchung/ : jusqu’en août 2026, celui-ci se trouvait sur un sous-domaine propre sans bannière de consentement propre et c’est précisément pour cette raison qu’il a été déplacé vers le domaine principal — depuis lors, un consentement vaut pour l’ensemble. Nous n’utilisons pas le pixel sur la plateforme de connaissances.

Pixel Snapchat

Le pixel Snapchat est un outil publicitaire et d’analyse de Snap B.V. (Keizersgracht 165, 1016 DP Amsterdam, Pays-Bas), responsable pour les utilisatrices et utilisateurs de l’Espace économique européen, et de Snap Group Limited (77 Shaftesbury Avenue, Londres W1D 5DU, Royaume-Uni). Pour le traitement effectué dans le cadre de ces fonctions publicitaires, Snap et nous sommes responsables conjoints du traitement au sens de l’art. 26 du RGPD ; la répartition des obligations est régie par les Snap Business Tools Terms. Pour le traitement ultérieur des données par Snap, en particulier pour la constitution d’audiences cibles et la diffusion de publicité, Snap est seule responsable.

Sont enregistrés à cette occasion la consultation de nos pages, l’adresse consultée et la page de provenance, des informations sur le navigateur, le système d’exploitation et l’appareil, votre adresse IP abrégée ainsi qu’un identifiant enregistré dans le cookie. Si vous arrivez via une annonce Snapchat, son identifiant (ScCid) est en outre traité. Nous mesurons ainsi combien de personnes arrivent sur notre site web après avoir vu une annonce. Nous ne transmettons pas à Snap les noms, adresses, adresses e-mail, numéros de téléphone ni vos saisies dans nos formulaires ; un rapprochement avec des comptes Snapchat peut être effectué par Snap elle-même si vous y êtes connecté(e).

Le pixel n’est chargé qu’après que vous avez consenti à la catégorie « Marketing » dans la bannière de consentement. Sans votre consentement, aucun script de Snap n’est demandé et aucun cookie n’est déposé. Cela vaut pour toutes les pages de secretmission.at, y compris le parcours de réservation sous /buchung/ – il y dépend du même consentement que partout ailleurs. Nous n’utilisons pas le pixel sur la plateforme de connaissances.

Pixels invisibles

Les pixels invisibles – également appelés balises web (web beacons) – sont de petites images, généralement invisibles, qui sont automatiquement chargées lors de la visite d’un site web ou de l’ouverture d’un e-mail. Ils permettent d’enregistrer les mêmes informations que dans les fichiers journaux. Nous n’utilisons actuellement des pixels invisibles que pour mesurer les performances de notre newsletter (voir 8.8). Pour empêcher de manière générale le traitement au moyen de pixels invisibles, vous pouvez installer des extensions de navigateur appropriées et bloquer les images externes dans votre logiciel de messagerie.

8.15 Hébergement, diffusion de contenu et envoi

Nous exploitons nos sites web et notre système de gestion sur des serveurs loués au sein de l’Union européenne. En amont, nous utilisons Cloudflare (Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, États-Unis, ou Cloudflare Germany GmbH) comme réseau de diffusion de contenu (CDN), fournisseur DNS et protection contre les attaques. Les données de connexion, y compris votre adresse IP, sont alors traitées afin de diffuser rapidement les contenus et de repousser les attaques par surcharge (DDoS).

Pour l’envoi d’e-mails système et de réservation ainsi que pour le stockage de fichiers, nous utilisons des services d’Amazon Web Services (Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, 1855 Luxembourg), en particulier Amazon Simple Email Service et Amazon S3.

8.16 Gestion de la relation client (CRM)

Pour la gestion des relations avec nos clients et les personnes intéressées, nous utilisons, en plus de notre propre système, en partie HubSpot (HubSpot Ireland Ltd., 1 Sir John Rogerson's Quay, Dublin 2, Irlande). Y sont enregistrés les coordonnées, le déroulement des demandes et l’historique des communications, afin d’attribuer les demandes et d’y répondre.

9. Aperçu des destinataires

L’aperçu suivant résume les entités externes auxquelles des données peuvent être transmises.

SCC = clauses contractuelles types de la Commission européenne (Standard Contractual Clauses) · DPF = EU-US Data Privacy Framework

10. Aperçu des durées de conservation

11. Pas de prise de décision automatisée

Nous n’utilisons pas vos données à caractère personnel pour une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques à votre égard ou vous affectant de manière significative de façon similaire (art. 22 du RGPD). Aucun profilage visant à évaluer des aspects personnels n’a lieu.

L’assistant IA « Agent Harlan » fournit exclusivement des informations et ne prend aucune décision concernant les réservations, les prix ou les droits. Si un mode de paiement procède à une vérification automatisée de solvabilité, celle-ci relève de la seule responsabilité du prestataire de paiement concerné ; vous recevez les informations correspondantes lors du processus de paiement.

12. Informations particulières concernant les mineurs

Nos offres s’adressent en principe aux adultes. Pour les participantes et participants de moins de 16 ans, le consentement des titulaires de l’autorité parentale est requis ; cela vaut également pour les consentements au traitement des données conformément au § 4, al. 4, de la loi autrichienne sur la protection des données (DSG). Nous ne traitons les données de mineurs que dans la mesure nécessaire à l’exécution du contrat. Si nous apprenons que des données de mineurs nous ont été transmises sans le consentement requis, nous les effaçons sans délai.

13. Vidéosurveillance dans les lieux

Nous n’exploitons pas de système de vidéosurveillance propre.

Dans la mesure où une vidéosurveillance est utilisée pour des raisons de sécurité dans les lieux que nous utilisons, celle-ci est exploitée par l’exploitant du lieu concerné. Celui-ci en est seul responsable ; les installations sont signalées sur place conformément aux exigences légales (§§ 12 et suiv. DSG), et vous y recevez également les informations correspondantes relatives à la protection des données. Nous n’avons aucune influence sur la nature, l’étendue et la durée de conservation de ces enregistrements et n’y avons pas accès.

Il convient de distinguer de la vidéosurveillance les photos et vidéos que nous réalisons nous-mêmes pendant nos expériences. Nous vous informons à ce sujet à la section 8.12.

14. Notre politique de confidentialité reste-t-elle toujours la même ?

Nous pouvons modifier la présente politique de confidentialité à tout moment, par exemple lorsque nous utilisons de nouveaux services ou que la situation juridique évolue. La version applicable est celle consultable au moment de votre visite. La version en vigueur est publiée à l’adresse secretmission.at/datenschutz. Aucune notification séparée n’est effectuée ; en cas de modifications substantielles affectant un consentement, nous recueillons à nouveau celui-ci.

Secret Mission Eventline DKS OG · Sapphogasse 20/3, 1100 Vienne, Autriche · FN 67176 3m (Handelsgericht Wien) · UID ATU83282127
Questions relatives à la protection des données : datenschutz@secretmission.at · Version du 31 août 2026