Confidentialité et effacement

#Les données personnelles exigent people:read

Noms, adresses e-mail, entreprises, numéros de téléphone, réponses aux questions d’inscription, acheteurs sur les commandes et les factures : tout ce qui dit qui est quelqu’un exige l’autorisation people:read. Sans elle, l’API répond quand même, avec les personnes réduites à des identifiants :

{
  "attendeeId": "b3ac0008-0000-4000-8000-000000000000",
  "ticketTypeName": "Conference pass",
  "firstName": null,
  "lastName": null,
  "email": null,
  "answers": null,
  "status": "active",
  "valid": true,
  "personalData": "withheld"
}

Un tableau de bord qui compte les billets, une synchronisation du programme ou un assistant IA qui rend compte des ventes n’a donc besoin d’aucune donnée personnelle, et ne doit pas en recevoir. Un appel dont tout l’objet est une personne, comme rechercher des participants par nom ou consulter les prospects, est refusé sans cette autorisation (peopleScope).

Les intervenants et les sponsors figurent sur la page publique de l’événement : leurs noms ne sont donc pas des données personnelles ici ; l’adresse e-mail d’un intervenant en est une, et exige people:read.

#Une personne qui a supprimé ses données

Un participant peut supprimer ses données depuis l’application de l’événement (Plus › Supprimer mes données). À partir de ce moment :

• l’API le renvoie avec "erased": true, "personalData": "erased" et rien de personnel, quelles que soient les autorisations de la clé ;
• la recherche ne le trouve jamais ;
• les réponses conservées pour un Idempotency-Key qui le nommaient sont supprimées ;
• le webhook attendee.erased prévient aussitôt chaque point de terminaison, uniquement par identifiant.

Quand vous recevez attendee.erased, supprimez ou anonymisez votre propre copie de ce participant. Son billet a été annulé si l’événement était encore à venir (ticketCancelled), et aucun attendee.cancelled distinct n’est envoyé. Les factures conservent l’acheteur tel qu’il a été imprimé, car la loi impose de conserver les factures sept ans.

#Modules désactivés

Un organisateur peut désactiver des fonctionnalités par événement, sous Modules dans l’événement. Tant qu’un module est désactivé, ses points de terminaison répondent 409 avec "code": "moduleOff" et le nom du module, et ses outils MCP disent la même chose. Rien n’est supprimé : une fois le module réactivé, les données sont de retour.

#Jamais dans une réponse

• Les clés API, les secrets de signature des webhooks (sauf une fois, à leur création), les clés des prestataires de paiement.
• Le code d’un billet, qui permet à son détenteur d’entrer, et les codes d’accès des types de billets.
• Le jeton personnel d’un lien du kit de partage.
• L’adresse complète d’un point de terminaison webhook : la chaîne de requête est masquée, car une adresse Power Automate y porte sa clé.
• Le journal des clés n’enregistre jamais de chaîne de requête, de corps ni de réponse.

#Où se trouvent les données

AttendBeacon fonctionne dans l’Union européenne (Sweden Central). Ce que votre intégration copie vous appartient et relève de votre responsabilité : ne le gardez pas plus longtemps que nécessaire, et réagissez à attendee.erased.