Trumba

Qu'est ce que Trumba et comment fonctionne il

Trumba est une plateforme hébergée de calendrier d'événements et d'inscription, éditée par Trumba Corporation, société américaine basée à Seattle et détenue majoritairement par Spectrum Equity. Elle est utilisée par des universités, musées, collectivités, paroisses, bibliothèques et organisateurs d'événements pour publier les agendas, accepter les inscriptions, gérer les listes d'attente, envoyer les confirmations et collecter les paiements. Trumba s'intègre dans le site hôte sous forme d'iframe (Spud, Promotion Spud ou Combo Spud) chargée depuis calendar.trumba.com ou www.trumba.com, avec un petit wrapper JavaScript pour le redimensionnement et l'abonnement aux événements.

Cookies et données collectées

L'iframe Trumba dépose des cookies propriétaires sur le domaine trumba.com pour maintenir la session d'inscription : ASP.NET_SessionId pour la session serveur, TrumbaCalendarUser pour suivre le visiteur entre les pages du calendrier, et un jeton CSRF pour les formulaires protégés. Lors de l'inscription, Trumba traite les données saisies (en général nom, email, adresse postale, téléphone, organisme, besoins spécifiques et données de paiement le cas échéant). Trumba enregistre également l'IP et l'agent utilisateur dans ses journaux serveurs.

Implications RGPD et ePrivacy

L'iframe Trumba est un embed tiers chargé depuis un domaine contrôlé par Trumba Corporation. Sa requête initiale transmet l'URL du référent, l'agent utilisateur et l'IP à un destinataire américain et dépose des cookies. Ces deux éléments déclenchent l'article 5(3) ePrivacy : l'iframe ne doit pas se charger avant l'acceptation de la catégorie de consentement adéquate. Lorsque le calendrier sert effectivement à des inscriptions, la relation est partagée : l'éditeur du site est responsable des données d'inscription, Trumba est sous traitant pour l'exploitation technique de la plateforme et un contrat de sous traitance article 28 est obligatoire.

Consentement et minimisation

Bloquez l'iframe Trumba jusqu'à ce que le visiteur accepte la catégorie embed tiers dans la CMP. Un placeholder précisant que le calendrier Trumba est hébergé aux États Unis et listant les données partagées (référent, IP, cookies) est la bonne pratique recommandée par la CNIL pour les contenus intégrés. Dans Trumba, configurez le formulaire pour ne collecter que les données strictement nécessaires à l'événement (minimisation, article 5(1)(c) du RGPD) et désactivez par défaut toute case marketing optionnelle, l'opt in par cases pré cochées étant interdit.

Transferts vers les États Unis

Trumba traite toutes les données aux États Unis. Trumba Corporation est certifiée au Data Privacy Framework UE États Unis depuis septembre 2023, ce qui constitue le mécanisme principal de transfert. Les clients doivent également signer le DPA Trumba qui inclut les CCT 2021/914 en complément, et documenter une analyse d'impact des transferts. Les données contenant en règle générale nom, email, adresse postale et parfois paiement, le TIA doit évaluer le risque lié à l'accès des autorités américaines pour un jeu de données permettant l'identification directe.

Checklist de conformité

Étapes concrètes : 1) conditionner l'iframe Trumba à la CMP et ne la charger qu'après acceptation de la catégorie embed tiers ; 2) afficher un placeholder avant consentement mentionnant Trumba et le transfert États Unis ; 3) configurer le formulaire d'inscription pour ne capturer que les données strictement nécessaires ; 4) désactiver toute case marketing pré cochée ; 5) signer le DPA Trumba avec CCT et vérifier la certification DPF ; 6) documenter le TIA ; 7) inscrire Trumba au registre article 30 ; 8) mettre à jour la politique de confidentialité (responsable, sous traitant Trumba Corporation, finalités, durée, destinataires, droits des inscrits).