Jet.Guide · Rechercher des expériences

Politique de confidentialité

Traduction de la version 2026-10-28 ; en cas de divergence, la version anglaise prévaut. La traduction est fournie à titre d'information uniquement. Les dispositions impératives de protection des consommateurs de l'État dans lequel vous résidez ne sont pas affectées.

Dernière mise à jour : 2026-10-28 (le conseil juridique a approuvé la présente politique ; les mentions indiquant qu'un paragraphe attendait l'avis du conseil juridique précisent désormais qu'il s'applique uniquement tant que la fonctionnalité est activée)

Responsable du traitement

Jet.Guide (coordonnées dans les Mentions légales) est le responsable du traitement des données décrites ici. Lorsque vous réservez, l'opérateur de votre expérience reçoit les informations dont il a besoin pour la réaliser et est un responsable du traitement distinct pour l'usage qu'il en fait.

Contact pour toute question concernant vos données : legal@jet.guide. Vous pouvez également introduire une réclamation auprès de la Commission bulgare de protection des données à caractère personnel (Комисия за защита на личните данни, www.cpdp.bg) ou de l'autorité de votre propre pays de l'UE.

Données collectées et finalités

| Données | Finalité | Base juridique (art. 6 du RGPD) | |---|---|---| | Nom, e-mail, téléphone figurant sur une réservation ; réponses aux questions de l'opérateur (p. ex. hôtel, régime alimentaire) ; demandes particulières ; adresse de prise en charge | Effectuer et exécuter la réservation, vous envoyer votre bon et vos rappels | Contrat (6(1)(b)) | | Données d'identité dont un opérateur a besoin pour chaque participant : numéro de carte d'identité ou de passeport, nationalité, date de naissance, date d'expiration du passeport (uniquement pour les offres dont l'opérateur les demande, p. ex. un site qui vend des billets nominatifs ou un bateau qui tient une liste des passagers) | Permettre à l'opérateur de contrôler les billets au regard des pièces d'identité et de respecter ses obligations légales ou les règles du site ; la date de naissance permet aussi de vérifier que le type de billet correspond à l'âge le jour même. Le propriétaire et les responsables de l'opérateur voient les numéros en entier ; ses guides et son e-mail quotidien n'en voient que les quatre derniers caractères. Jamais transmises aux assistants d'IA | Contrat (6(1)(b)) ; obligation légale de l'opérateur lorsqu'une loi impose la liste (6(1)(c)) | | Compte : e-mail, nom, mot de passe (conservé uniquement sous forme de hachage), langue et devise, paramètres d'authentification à deux facteurs | Vous fournir un compte | Contrat | | Paiement | Traité par Stripe ou, pour certaines réservations en Bulgarie, par ePay.bg (une carte, le micro-compte ePay ou des espèces dans un bureau EasyPay) ; nous ne voyons jamais le numéro complet de votre carte | Contrat ; obligation légale | | Avis, questions et signalements que vous envoyez | Les publier / traiter le signalement | Contrat ; obligation légale (DSA) | | Expériences enregistrées (liste de souhaits) et listes partagées | Vous permettre de planifier | Contrat | | Sécurité de connexion : nombre de tentatives de connexion échouées (l'e-mail n'étant conservé que sous forme de hachage à clé), journal infalsifiable des événements de sécurité | Protéger les comptes et la plateforme | Intérêt légitime (6(1)(f)) | | Sessions connectées : date de début et de dernière utilisation de chaque session, navigateur et système d'exploitation, et réseau d'origine (les trois premières parties de l'adresse IP, jamais l'adresse complète) | Vous permettre de voir où vous êtes connecté et de déconnecter un appareil, et mettre fin aux sessions inutilisées depuis 90 jours | Intérêt légitime (6(1)(f)) | | Adresses IP | Conservées uniquement sous forme de hachages à clé, pour la prévention de la fraude et la limitation du débit — sauf en tant que preuve en cas de rétrofacturation (ligne suivante) | Intérêt légitime | | Preuves en cas de rétrofacturation (uniquement lorsque nous activons cette option) : l'adresse réseau (adresse IP) et le navigateur depuis lesquels une réservation a été payée | Répondre à une contestation de paiement par carte (rétrofacturation) portant sur cette réservation : transmises à Stripe avec les autres preuves | Intérêt légitime (6(1)(f)) : défense d'un droit en justice ; conservées 180 jours | | E-mails que nous vous envoyons | Conservés comme preuve d'envoi | Contrat ; intérêt légitime | | Messages texte (SMS, WhatsApp) relatifs à une réservation : votre numéro de téléphone, le texte, le statut de remise et tout « STOP » que vous envoyez | Uniquement si vous cochez « m'envoyer des messages concernant cette réservation » (ou, pour un opérateur, si vous activez les messages) : heures de prise en charge, coordonnées du chauffeur, modifications. Jamais de prospection de notre part ; les messages commerciaux d'un opérateur uniquement avec le consentement distinct et confirmé décrit sous « Textes des opérateurs, listes d'invités et fidélité » ci-dessous | Consentement (6(1)(a)) pour l'envoi ; intérêt légitime pour le respect du STOP | | Numéro de vol et date d'arrivée que vous indiquez pour une prise en charge à l'aéroport | Suivre le vol et décaler la prise en charge en cas d'atterrissage anticipé ou tardif, et en informer le chauffeur et l'opérateur | Contrat | | Réponses relatives à la santé figurant sur la décharge d'un opérateur (uniquement si l'opérateur les demande, et uniquement si vous cochez le consentement distinct) | Permettre à l'opérateur de mener une activité à risque en toute sécurité. Sans ce consentement, la décharge est tout de même signée, sans réponses relatives à la santé | Consentement explicite (art. 9(2)(a)) | | Besoins alimentaires par participant (végétarien, végan, halal, casher, sans gluten, sans lactose, allergie aux fruits à coque, autre) et une note facultative sur les allergies, lors du paiement ou ultérieurement sur la réservation — uniquement pour les offres qui servent des repas, et uniquement si vous cochez le consentement distinct relatif à l'alimentation (qui ne fait pas partie de l'acceptation des conditions). Les allergies et intolérances sont des données de santé ; halal ou casher peut révéler une conviction religieuse | Permettre à l'opérateur de préparer des repas adaptés. L'opérateur de cette réservation voit les besoins et la note dans sa liste des participants ; son e-mail quotidien n'indique que des totaux (« 3 végétariens »). Jamais montrés aux autres voyageurs, sur les liens de partage ni aux assistants d'IA. Vous pouvez les supprimer à tout moment sur la page de la réservation (retrait du consentement) | Consentement explicite (art. 9(2)(a)) | | La position en temps réel du chauffeur pendant un transfert (chauffeurs uniquement, avec leur consentement) | Permettre au voyageur qui attend une prise en charge de voir où se trouve la voiture et quand elle arrivera. Voir « Position du chauffeur en temps réel » ci-dessous | Consentement du chauffeur (6(1)(a)) | | « Qui participe » (uniquement si vous l'activez pour une réservation, pour les offres dont l'opérateur le propose) : le prénom et, si vous le souhaitez, le pays que vous choisissez d'afficher | Les montrer aux autres voyageurs du même départ qui ont également choisi d'afficher les leurs. Désactivé sauf si vous l'activez ; la désactivation les supprime immédiatement. Voir « Qui participe » ci-dessous | Consentement (6(1)(a)) | | « Recommandé pour vous » : les expériences que vous avez consultées (envoyées depuis ce navigateur), enregistrées et réservées | Vous suggérer des expériences similaires. Calculé à chaque chargement de la page ; aucun profil n'est conservé. Vous pouvez le désactiver — voir « Recommandations » ci-dessous | Intérêt légitime (6(1)(f)) | | Alertes de prix : l'offre, les dates et le prix cible que vous fixez, le prix que vous avez vu | Vous envoyer un e-mail une seule fois lorsque le prix baisse réellement | Contrat (à votre demande) | | Notifications push : l'abonnement que votre navigateur nous transmet (une adresse auprès du service push de votre navigateur et ses clés), les types de messages choisis, votre langue | Vous envoyer les notifications que vous avez activées (réservation confirmée, rappels, heure de départ, votre chauffeur, modifications) | Consentement (6(1)(a)) | | Lettre d'information et e-mails commerciaux (uniquement si vous vous abonnez et confirmez le lien que nous vous envoyons par e-mail) : votre e-mail, votre langue, les thèmes choisis, le texte que vous avez accepté et la date ; si vous avez également accepté de recevoir des e-mails sur les expériences consultées, les offres que vous avez regardées pendant 30 jours au maximum. Partagées avec notre prestataire d'e-mailing (Brevo, Mailchimp ou Klaviyo, selon celui que nous utilisons) uniquement après confirmation | Vous envoyer les e-mails que vous avez demandés, y compris avant et après un voyage réservé. Désabonnement depuis n'importe quel e-mail ou depuis la page des préférences | Consentement (6(1)(a)) | | Provenance d'une visite : balises de campagne dans le lien (utm_*), site référent et — uniquement avec votre consentement à la publicité — identifiant de clic d'une annonce ou d'un réseau d'affiliation ; pour une réservation, le canal auquel elle est attribuée | Savoir quels canaux génèrent des réservations et rémunérer les affiliés et les réseaux. Sans consentement à la mesure d'audience, rien n'est conservé au sujet de la visite, seul le canal est enregistré avec la réservation | Consentement (6(1)(a)) pour les identifiants de clic et l'identifiant de visite ; intérêt légitime pour le canal de la réservation | | Conversions côté serveur vers Google et Meta (uniquement pour une réservation effectuée avec votre consentement à la publicité) : la référence de la réservation, sa valeur et sa devise, l'identifiant de clic publicitaire et un hachage à sens unique de votre e-mail | Mesurer l'efficacité de nos publicités. Jamais sans ce consentement, jamais lorsque Global Privacy Control est activé | Consentement (6(1)(a)) | | Connexion avec Google ou Apple : l'identifiant de compte chez le fournisseur, votre e-mail, le fait que le fournisseur l'a vérifié ou non, votre nom | Vous connecter. Nous ne recevons jamais votre mot de passe Google ou Apple | Contrat | | Récompenses et parrainages (uniquement lorsque l'option est activée) : remises en argent obtenues, code de parrainage, demandes de parrainage ; hachages salés du réseau et d'un identifiant aléatoire de votre navigateur (tg_device) — jamais l'adresse IP ni l'identifiant lui-même | Verser les remises en argent et les récompenses de parrainage et empêcher qu'une même personne les réclame plusieurs fois | Contrat ; intérêt légitime (prévention de la fraude) | | Contrôles anti-fraude sur les réservations : hachages salés de votre e-mail, de l'adresse réseau depuis laquelle vous avez réservé et de l'empreinte de votre carte (jamais l'adresse, le numéro de carte ni aucune autre donnée de la carte hormis le pays d'émission), le pays depuis lequel vous avez réservé, l'évaluation du risque propre à Stripe, ainsi que le score et les signaux que nous avons calculés | Protéger les voyageurs, les opérateurs et nous-mêmes contre les cartes volées et les fausses réservations. Voir « Contrôles anti-fraude sur les réservations » ci-dessous | Intérêt légitime (6(1)(f) ; considérant 47 du RGPD : prévention de la fraude) | | Avis rédigés après une visite gratuite de créateur (créateurs uniquement) | Un créateur invité par Jet.Guide à une visite gratuite rédige un avis comme tout voyageur ; celui-ci est affiché avec la mention « Testé par un partenaire de voyage (visite gratuite) » | Contrat | | Guides travaillant pour un opérateur (guides uniquement) : nom, e-mail, langues, compétences, licences, horaires de travail, congés et départs qui vous sont attribués | Permettre à l'opérateur de planifier quel guide encadre quel départ et de vous envoyer par e-mail une affectation à confirmer ou à refuser. L'opérateur décide des affectations ; les suggestions ne décident jamais seules | Intérêt légitime de l'opérateur et de nous-mêmes (6(1)(f)) ; l'opérateur est le responsable du traitement des données de son personnel | | Pass et abonnements annuels : le nom du titulaire et, lorsque le pass de l'opérateur l'exige, une photo du titulaire ; l'e-mail de l'acheteur ; le code du pass, ses conditions et ses paiements, le consentement au renouvellement automatique s'il a été donné, et chaque scan du pass à l'entrée | Vendre et renouveler le pass et permettre l'entrée de son titulaire : le personnel de l'opérateur voit le nom et la photo lors du scan, y compris sans réseau, à partir d'une liste d'entrée hors ligne sur son appareil dans laquelle la photo n'est conservée que sous forme chiffrée et est supprimée avec cette liste. La photo n'est jamais montrée publiquement ni aux autres voyageurs | Contrat (6(1)(b)) | | Rémunération des guides (guides uniquement) : les départs que vous avez encadrés, leurs horaires et leurs participants, les règles de rémunération de l'opérateur, les suppléments et pourboires ajoutés par l'opérateur, et vos relevés de rémunération mensuels | Permettre à l'opérateur de calculer et d'approuver votre rémunération, et à vous de consulter un relevé approuvé via votre lien ou « Ma rémunération ». L'opérateur est le responsable du traitement de la rémunération de son personnel ; nous la conservons pour son compte | Intérêt légitime de l'opérateur (6(1)(f)) et son contrat avec vous | | Propriétaires et membres de l'équipe des opérateurs : connexions depuis un nouvel appareil et modifications du mot de passe ou des paramètres de vérification en deux étapes, avec une désignation de l'appareil et du réseau | Présentées au propriétaire de l'entreprise sous forme de flux de sécurité, afin de repérer une connexion qui n'était pas la sienne. Conservées 180 jours | Intérêt légitime (6(1)(f)) | | Rémunération des chauffeurs (chauffeurs uniquement) : les trajets que vous avez effectués, leurs horaires et leur distance, les règles de rémunération du transporteur, les pourboires qui vous sont crédités, et vos relevés de rémunération mensuels | Permettre au transporteur de calculer et d'approuver votre rémunération et, s'il le souhaite, de vous montrer votre rémunération par trajet et par mois sur la page du chauffeur. Le transporteur est le responsable du traitement de la rémunération de ses chauffeurs ; nous la conservons pour son compte | Intérêt légitime du transporteur (6(1)(f)) et son contrat avec vous |

Nous ne vendons pas vos données et ne les utilisons pas pour constituer des profils publicitaires.

Recommandations

« Recommandé pour vous » sur la page d'accueil est calculé à chaque fois à partir de ce que vous avez consulté (la liste que conserve ce navigateur, tg_recent), enregistré et réservé. Rien n'est conservé de notre côté à ce sujet. La fonction est désactivée lorsque votre navigateur envoie le signal Global Privacy Control, lorsque vous vous êtes opposé à la « vente ou au partage » sur Vos choix en matière de confidentialité, ou lorsque vous la désactivez — avec Désactiver sur le bandeau ou l'interrupteur Recommandations sur Vos choix en matière de confidentialité. La désactivation est mémorisée dans ce navigateur (tg_personalise), elle fonctionne donc sans compte ; tant qu'elle est désactivée, rien ne nous est envoyé à des fins de recommandation. La manière dont les suggestions sont classées est décrite sur notre page de transparence.

Contrôles anti-fraude sur les réservations

Chaque réservation effectuée sur le site web reçoit un score de risque établi à partir de quelques signaux : le nombre de réservations commencées depuis le même e-mail ou le même réseau au cours des dernières heures, les paiements abandonnés, un domaine d'e-mail jetable, une carte utilisée avec plusieurs e-mails, une carte émise dans un pays différent de celui depuis lequel vous avez réservé, une réservation de montant élevé commençant dans la journée, et l'évaluation du paiement par Stripe Radar.

invite à contacter notre service d'assistance : une personne l'examine et peut finaliser la réservation avec vous. La page propose également « Demander l'examen par une personne » : un clic ouvre une demande d'assistance comprenant ce que le contrôle a relevé, y ajoute vos observations si vous les rédigez, et un membre de notre équipe vous répond dans notre délai de réponse ; il peut vous permettre de réserver. C'est ainsi que vous obtenez une intervention humaine, exprimez votre point de vue et contestez la décision (art. 22(3) du RGPD).

attente, votre argent étant conservé comme pour toute réservation, jusqu'à ce qu'un membre de notre équipe l'ait examinée — généralement en quelques heures — et l'ait soit laissée se poursuivre, soit annulée avec remboursement intégral. Vous êtes informé par e-mail dans les deux cas et pouvez demander qu'une autre personne réexamine la décision. Il s'agit de notre examen humain au titre de l'art. 22 du RGPD : aucune décision concernant votre réservation n'est prise sur la seule base du score.

ci-dessus, et non l'adresse e-mail ou l'adresse réseau elles-mêmes (celles-ci restent sur la réservation comme pour toute réservation). Les hachages sont supprimés au bout de 180 jours ; le score reste dans le dossier de la réservation. (Une exception, uniquement lorsque nous activons cette option : les preuves en cas de rétrofacturation figurant dans le tableau ci-dessus.)

rétrofacturation pour fraude de la banque émettrice de la carte, une alerte précoce de fraude transmise par Stripe, ou une confirmation par un membre de notre équipe — nous inscrivons sur une liste de refus des hachages salés de l'empreinte de la carte, de l'e-mail, du réseau (uniquement les trois premières parties de l'adresse) de cette réservation et, si votre navigateur dispose de l'identifiant aléatoire décrit sous tg_device, de cet identifiant, conservés pendant 3 ans au lieu des 180 jours ci-dessus. Une réservation ultérieure correspondante reçoit un score élevé et est traitée comme décrit ci-dessus : une personne décide, rien n'est annulé du seul fait de la liste. Une entrée est retirée lorsque la banque tranche le litige pour fraude en notre faveur ou lorsque notre équipe constate qu'il s'agissait d'une erreur. Intérêt légitime (6(1)(f) ; considérant 47 du RGPD : prévention de la fraude).

compte, nous conservons des hachages salés du numéro de téléphone figurant sur la réservation, de l'identifiant aléatoire du navigateur décrit sous tg_device (si votre navigateur en possède un) et, une fois le paiement effectué, de l'empreinte de la carte, pendant 3 ans. Un autre compte qui correspond à l'un d'eux ne peut pas utiliser un tel code ; une personne de notre équipe examine toute correspondance constatée seulement après le paiement, rien n'est annulé de ce fait. Intérêt légitime (6(1)(f) : une seule offre de bienvenue par personne).

l'activons, le contrôle du paiement interroge également SEON (SEON Technologies, UE) ou Sift (Sift Science, Inc., États-Unis) pour obtenir une évaluation du risque, une seule fois, lors du paiement de la réservation. Nous n'envoyons que ce dont le contrôle a besoin : à SEON votre adresse e-mail, un hachage salé de celle-ci en tant qu'identifiant, le numéro de réservation, le montant et la devise, et un hachage salé de la carte ; à Sift le même hachage, le numéro de réservation, le montant et la devise et le fait qu'il s'agissait d'un paiement par carte via Stripe — pas même votre e-mail. Jamais votre nom, votre numéro de téléphone, votre adresse, votre adresse réseau ou votre numéro de carte. Le fournisseur agit en tant que sous-traitant en vertu d'un accord de traitement des données. Nous ne conservons que son score et sa catégorie de risque avec le contrôle anti-fraude de la réservation ; ils sont pris en compte comme les autres signaux ci-dessus, et c'est toujours une personne qui décide de toute mesure après le paiement.

opérateurs contre la fraude, nous pouvons le poursuivre lorsque notre intérêt légitime prévaut sur le vôtre, et nous vous en indiquerons les raisons.

Position du chauffeur en temps réel

Lorsqu'un chauffeur a accepté de partager sa position, son téléphone la transmet pendant qu'il est en route vers une prise en charge, ou en attente sur place, — jamais à d'autres moments. Nous ne conservons que la dernière position (arrondie à environ un mètre, avec sa précision et son horodatage) pour chacune des missions de ce chauffeur se trouvant dans cet état, au plus une toutes les 10 secondes. Le voyageur de cette réservation et le répartiteur de l'opérateur la voient tant qu'elle date de moins de 10 minutes. Elle est supprimée lorsque le trajet passe à l'étape suivante (prise en charge effectuée, absence du client, trajet terminé) ou dès qu'elle date de 30 minutes (une vérification a lieu toutes les 10 minutes), et immédiatement pour toutes les missions lorsque le chauffeur retire son consentement. Nous ne conservons aucun historique d'itinéraire.

Partager mon trajet ou mon voyage

Depuis votre bon, vous pouvez créer un lien pour une réservation payée et l'envoyer à une personne de confiance. Toute personne qui l'ouvre voit l'activité, son heure de début et de fin, son lieu de rendez-vous (pour un transfert, les deux zones, et non votre adresse) et si elle a bien lieu — pour un transfert, le statut indiqué par le chauffeur. Il n'affiche jamais votre nom, votre numéro de téléphone, le prix ou la référence de la réservation. Le lien expire six heures après la fin de la réservation, et vous pouvez le désactiver à tout moment ; trois liens au maximum peuvent être actifs par réservation. Nous comptons le nombre de fois où il a été ouvert. Le lien est supprimé avec votre compte ou les données de votre réservation.

Qui participe

Pour certains circuits de plusieurs jours, croisières et départs en petit groupe, l'opérateur peut proposer « Qui participe ». Cette fonction est désactivée sauf si vous l'activez pour votre réservation. Si vous le faites, le prénom que vous saisissez et, si vous en choisissez un, un pays sont montrés aux autres voyageurs du même départ — et uniquement à ceux qui ont également choisi d'afficher les leurs. Aucun nom de famille, aucune photo, aucune coordonnée ni aucun détail de réservation n'est affiché, et rien n'est utilisé pour classer ou recommander quoi que ce soit. Désactivez-la à tout moment sur la page de votre réservation : ce que vous avez partagé est supprimé immédiatement. Ces données sont également supprimées lorsque la réservation est annulée, lorsque l'opérateur cesse de proposer la fonction, et 30 jours après le départ.

Assistants d'IA, le concierge et les réponses d'IA des opérateurs

Ces fonctions sont désactivées jusqu'à ce que nous les activions ; chacune indique qu'il s'agit d'une IA avant que vous ne l'utilisiez.

Uniquement si vous l'autorisez sur notre page de consentement. L'assistant reçoit alors un jeton (jamais votre mot de passe) qui lui permet de faire ce que vous avez autorisé : préparer des réservations à vos nom et e-mail, consulter vos réservations, et en annuler ou en modifier une — une annulation ou une modification uniquement après vous en avoir montré les détails et obtenu votre accord. Il ne paie que lorsque nous avons activé le paiement par les assistants d'IA (voir le paragraphe suivant) ; sinon, vous payez sur notre site. Nous enregistrons ce qu'il a fait (l'action, la référence de la réservation et le résultat, et non la conversation que vous avez eue avec l'assistant) et vous le montrons dans les paramètres de sécurité, où vous pouvez supprimer l'accès immédiatement. Le fournisseur de l'assistant traite votre conversation selon ses propres conditions de confidentialité. Base juridique : le contrat conclu avec vous, à votre demande.

Certaines plateformes d'IA vous permettent de réserver chez nous sans les quitter : Google (le Universal Commerce Protocol, UCP) et ChatGPT d'OpenAI (le Agentic Commerce Protocol, ACP). La plateforme nous transmet alors ce que vous lui avez fourni pour la réservation : vos nom, e-mail et numéro de téléphone, l'expérience, la date et les billets. La plateforme est un responsable du traitement distinct pour ce que vous lui communiquez, selon ses propres conditions de confidentialité ; nous lui transmettons le statut de la réservation (confirmée, modifiée, annulée, remboursée) afin qu'elle puisse vous l'afficher. Vous payez au moyen d'un jeton de paiement que votre portefeuille sur la plateforme remet à Stripe pour cette seule réservation, à concurrence de son montant : nous ne voyons jamais le numéro de votre carte. Un assistant associé (ci-dessus) peut payer de la même manière une réservation qu'il a préparée. Tant que ce paiement n'est pas activé, la plateforme vous redirige vers notre propre page de paiement. Nous conservons la session de paiement, avec vos coordonnées, pendant 30 jours après son heure d'expiration si elle n'a pas été menée à terme et pendant 180 jours après sa finalisation (la réservation elle-même comme décrit dans la présente politique) ; notre réponse à chaque requête, qui peut contenir vos coordonnées, pendant 24 heures, afin qu'une requête répétée ne réserve jamais deux fois ; et les messages de statut envoyés à la plateforme pendant 30 jours. Base juridique : le contrat conclu avec vous, à votre demande.

que vous écrivez et ses réponses sont conservés afin que la conversation puisse se poursuivre, pendant 30 jours après votre dernier message, puis supprimés ; vous pouvez les supprimer plus tôt dans la discussion. Le texte est transmis à notre fournisseur d'IA pour rédiger la réponse (voir « Qui reçoit vos données ») ; nos relevés d'utilisation ne conservent que le nombre de mots traités et le coût, jamais le texte. Toute modification d'une réservation nécessite votre clic sur « Oui », en étant connecté.

réponses à vos questions à partir des informations de son offre et de sa propre FAQ. Une réponse envoyée de cette manière commence par une mention indiquant qu'elle a été rédigée par une IA pour le compte de l'opérateur. Le modèle reçoit votre message sans votre nom, e-mail, téléphone ni référence de réservation. Les questions portant sur l'argent, les remboursements, les modifications, la sécurité ou la santé ainsi que les réclamations sont toujours transmises à une personne.

indiquent souvent leur identité dans la requête (les en-têtes Signature-Agent, UCP-Agent et l'identifiant de la clé de signature, le nom du client et son agent utilisateur). Nous les enregistrons pour chaque agent, avec le nombre de requêtes effectuées et les réservations créées, à des fins de sécurité, pour reconnaître les partenaires que nous avons vérifiés, et à des fins statistiques. Lorsqu'un agent signe ses requêtes, nous vérifions la signature au moyen des clés que l'agent publie sur son propre site. Cela concerne l'agent, et non vous : ces données ne servent pas à profiler les voyageurs. Base juridique : intérêt légitime (6(1)(f)).

d'identité ni de données de carte : les questions de ce type sont traitées sur notre propre site.

Outils de planification et de réservation

Ces outils sont désactivés jusqu'à ce que nous les activions, et chacun n'est utilisé que si vous le choisissez.

vous réservez : nom, date de naissance (si vous l'indiquez), type de billet habituel et une note. Ces informations ne remplissent un formulaire de réservation, de décharge ou de transfert que si vous les y sélectionnez. Les notes alimentaires (allergies, besoins) sont des informations de santé : nous ne les conservons qu'avec votre consentement explicite donné en même temps (art. 9(2)(a) du RGPD), sous forme chiffrée, et vous pouvez retirer ce consentement à tout moment, ce qui entraîne leur suppression. Les données d'un enfant ne sont conservées que dans le compte du parent qui les a enregistrées. Toutes ces données sont chiffrées au repos et dans votre export de données, et supprimées avec votre compte. Base juridique : votre consentement ; le contrat lorsque vous les utilisez pour réserver. Un assistant d'IA associé à votre compte (voir ci-dessus) ne peut lire vos voyageurs enregistrés que si vous avez également autorisé « voyageurs enregistrés » sur la page de consentement, et seulement les noms des adultes, l'âge et le type de billet de chacun : jamais le nom d'un enfant, une date de naissance, une note ou des notes alimentaires.

carte est alors conservée par Stripe, notre prestataire de paiement, dans un dossier client associé à votre compte ; nous ne voyons que la marque, les quatre derniers chiffres et la date d'expiration. Supprimez une carte dans Compte → Cartes enregistrées ; la suppression de votre compte supprime le dossier client chez Stripe avec toutes les cartes enregistrées.

voyage partagé (par un lien ou par e-mail), les membres voient uniquement les prénoms des autres et ce que chacun a écrit : notes, votes et messages. Les messages entre voyageurs ne sont ni modifiés ni masqués, mais un message invitant à payer ou à réserver en dehors de Jet.Guide est refusé, et tout membre peut signaler un message ; nos modérateurs peuvent le supprimer et en indiquer le motif à son auteur (règlement sur les services numériques). Les membres reçoivent un e-mail concernant les nouveaux messages au plus une fois par heure. Vos messages, notes et votes sont supprimés lorsque vous les supprimez, lorsque l'organisateur cesse le partage, ou avec votre compte.

e-mail, votre téléphone, le sujet, votre note, la plage horaire, nos tentatives d'appel et la note de notre agent, et ouvrons une demande d'assistance. Si nous appelons via Twilio (Voice), Twilio reçoit votre numéro pour l'appel ; sinon, notre agent compose le numéro manuellement. Nous n'enregistrons pas les appels. La demande est supprimée avec votre compte ; la demande d'assistance est conservée sans vos coordonnées.

avis tel qu'il figure sur l'offre (votre nom public, vos étoiles et votre texte) avec une image d'aperçu que nous générons nous-mêmes. Aucun script de réseau social n'est chargé sur nos pages.

(tg_recent_searches), et seulement tant que « Recommandé pour vous » est activé ; rien à leur sujet ne nous est envoyé. Les suggestions « Populaires » sont les mêmes pour tous dans un pays.

d'accueil ne demandent votre position à votre navigateur que lorsque vous appuyez sur « Près de moi », jamais à l'ouverture d'une page. La position est transmise avec cette seule requête pour trouver des départs et des expériences à proximité, et n'est pas conservée.

réservations et de votre liste de souhaits, établi selon des règles (sans IA). Si vous déplacez une expérience de votre liste de souhaits vers un autre jour ou une autre heure, ou si vous la retirez du programme, nous conservons ces choix (quelle expérience, le jour et l'heure, retirée ou non) avec votre compte, afin que le programme se présente de la même manière la fois suivante. Les temps de trajet entre les lieux sont des estimations fondées sur la distance et sont présentés comme tels. Base juridique : contrat (6(1)(b)). Conservé jusqu'à la suppression de votre compte.

Position approximative déduite de votre adresse IP

(Ce paragraphe s'applique uniquement tant que l'option est activée : GEOIP_ENABLED.)

et vous suggérer l'édition de votre pays, nous recherchons votre adresse IP dans un fichier de base de données conservé sur notre propre serveur (« IP to City Lite » de DB-IP ; aucun service extérieur n'est interrogé). Nous n'utilisons que le pays, la région et un point arrondi à environ 11 km — à l'échelle de la ville, jamais de votre rue. Ni votre adresse IP ni cette position ne sont conservées ou inscrites dans nos journaux : elles servent pour cette seule page puis sont oubliées, et une page qui les a utilisées est marquée comme privée afin qu'aucun cache partagé ne la conserve. Base juridique : notre intérêt légitime à vous montrer des expériences pertinentes (art. 6(1)(f) du RGPD). Vous pouvez vous y opposer à tout moment (voir Vos droits) ; la position n'est qu'une estimation, et vous pouvez toujours choisir une autre destination ou appuyer plutôt sur « Près de moi ». Géolocalisation IP par DB-IP (CC BY 4.0).

Saisie vocale

Lorsque votre navigateur propose la reconnaissance vocale, un bouton micro vous permet de dicter une recherche ou une question au concierge. L'audio ne nous est pas transmis : votre navigateur l'enregistre et le service de reconnaissance vocale de son éditeur le convertit en texte (par exemple Google pour Chrome, Apple pour Safari ; certains navigateurs effectuent la reconnaissance vocale sur l'appareil). Nous ne recevons que le texte, comme si vous l'aviez saisi. Le navigateur vous demande d'abord l'autorisation d'utiliser le micro, et vous pouvez la retirer dans ses paramètres.

(Les deux paragraphes ci-dessous s'appliquent uniquement tant que l'option correspondante est activée.)

ou appuyez sur le bouton haut-parleur à côté d'une réponse ou d'un programme de voyage, la synthèse vocale propre à votre navigateur en fait la lecture. Rien ne nous est transmis ; certains navigateurs utilisent les voix en ligne de leur éditeur, qui reçoivent alors le texte lu. Ce choix est conservé uniquement dans votre navigateur.

le bouton micro enregistre un extrait de 30 secondes au maximum et nous l'envoie ; un fournisseur de transcription agissant en tant que sous-traitant (OpenAI, OpenAI L.L.C., États-Unis, ou un autre fournisseur compatible que nous nommerons ici avant tout changement) le convertit en texte, que nous plaçons dans le champ pour que vous le relisiez et l'envoyiez. L'extrait et le texte ne sont utilisés qu'à cette fin et ne sont pas conservés par nous, et le fournisseur ne peut ni les conserver ni les utiliser pour l'entraînement. Base juridique : l'exécution de ce que vous avez demandé (art. 6(1)(b) du RGPD).

Clés d'accès, billets à tarif réduit, paiement sur notre page et liens de réseaux sociaux

(Chacun de ces paragraphes s'applique uniquement tant que l'option correspondante est activée.)

publique, un identifiant de l'identifiant de connexion, un compteur, le mode de connexion de votre appareil à celle-ci et le nom que vous lui avez donné, avec les dates d'ajout et de dernière utilisation. La clé privée et votre empreinte digitale, votre visage ou votre verrouillage d'écran ne quittent jamais votre appareil. Nous vous envoyons un e-mail lorsqu'une clé d'accès est ajoutée ou supprimée. Base juridique : contrat (6(1)(b)) ; supprimées lorsque vous supprimez la clé d'accès ou fermez votre compte.

votre réservation. Le bon indique le justificatif à apporter et le personnel de l'opérateur le contrôle à l'entrée ; nous ne collectons ni ne conservons jamais ce justificatif. Un billet handicap peut révéler une information de santé : il est conservé avec la réservation, montré à l'opérateur de cette réservation uniquement pour le contrôle à l'entrée, et effacé ou anonymisé avec la réservation. Base juridique : contrat (6(1)(b)) et, pour un billet handicap, votre choix explicite de ce billet (9(2)(a)).

page de paiement est celui de Stripe (Stripe Payments Europe Ltd) : les données de votre carte sont transmises directement à Stripe et nous ne voyons jamais le numéro de carte. Le script de Stripe dépose ses propres cookies (par exemple __stripe_mid et __stripe_sid) pour prévenir la fraude, uniquement sur la page de paiement. Apple Pay et Google Pay sont proposés par votre appareil via Stripe.

TikTok, Instagram ou YouTube sur la page de votre liste enregistrée, notre serveur envoie ce lien (sans ses paramètres de suivi) à la plateforme dont il provient — TikTok, Meta (Instagram) ou Google (YouTube) — via le service oEmbed public de la plateforme, afin de lire le titre public et le nom de l'auteur de la publication, et n'utilise ce texte que pour suggérer des expériences de notre catalogue. Nous ne conservons ni le lien ni la réponse au-delà d'un cache temporaire de 10 minutes au maximum dans la mémoire du serveur et ne les rattachons pas à votre compte. Base juridique : votre demande (6(1)(b)).

sur le billet, le personnel à l'entrée peut le comparer à une pièce d'identité, et un billet que vous envoyez à un ami porte le nom de cet ami. Il est conservé avec la réservation et effacé avec elle. Base juridique : contrat (6(1)(b)).

Voyages, paiement partagé, discussions et réservations Google

(Chacun de ces paragraphes, à l'exception de vos propres éléments de voyage, s'applique uniquement tant que l'option correspondante est activée.)

restaurant, une note ou autre chose : un titre, les horaires et le fuseau horaire et, si vous le souhaitez, un lieu, une adresse, une référence de réservation et des notes. Ils apparaissent dans votre voyage, dans son fichier de calendrier et dans la copie que votre navigateur conserve pour une utilisation hors ligne. Une personne avec qui vous partagez le lien du voyage ne voit que le titre, le type et l'heure d'un élément — jamais la référence, les notes, le lieu ou l'adresse. Base juridique : contrat (6(1)(b)). Conservés jusqu'à ce que vous supprimiez l'élément ou votre compte.

(trips+…) et y transférer des confirmations de réservation. Nous ne lisons un tel e-mail que s'il provient de l'adresse vérifiée de votre propre compte, telle que confirmée par les contrôles d'expéditeur (DMARC, DKIM, SPF) de notre fournisseur de messagerie entrante ; tout autre message est écarté sans être lu. Nous lisons d'abord les données de réservation structurées que contiennent de nombreuses confirmations (vols, hébergements, tables de restaurant). À défaut, notre fournisseur de modèle d'IA lit l'objet et jusqu'à 8 000 caractères du texte pour trouver les réservations ; les éléments ainsi trouvés indiquent qu'ils ont été lus par une IA. Tout ce qui est trouvé est enregistré sous forme de brouillon que vous vérifiez, puis confirmez ou supprimez. L'e-mail lui-même n'est pas conservé : une confirmation peut nommer les personnes avec qui vous voyagez, et seul ce qui figure dans un élément est conservé. La création d'une nouvelle adresse désactive immédiatement l'ancienne. Base juridique : contrat (6(1)(b)), à votre demande.

à 20 parts, chacune payée via son propre lien avant une date limite. Si vous saisissez les adresses e-mail de vos amis, nous leur envoyons leur lien par e-mail. Chaque part est payée via Stripe ; nous voyons qu'elle a été payée, jamais la carte. Nous conservons les montants, le statut de paiement de chaque part et les adresses que vous avez saisies, avec la réservation. Si des parts restent impayées à la date limite, chaque part payée est remboursée et la réservation est libérée — ou, uniquement si vous l'avez accepté sur la page de votre part, la carte avec laquelle vous avez payé votre part est conservée chez Stripe et débitée du solde impayé ; une fois le partage terminé (payé, libéré ou solde débité), cette carte est supprimée chez Stripe. Stripe reçoit l'adresse que vous avez saisie pour une part avec son paiement. Nous conservons les adresses de vos amis pendant 30 jours après la fin du partage, pour les reçus et les e-mails de résultat, puis nous les supprimons. Base juridique : contrat (6(1)(b)) avec vous, et avec chaque ami pour sa part ; envoi à un ami du lien que vous nous avez demandé d'envoyer : notre intérêt légitime à exécuter votre demande (6(1)(f)).

peuvent discuter entre eux et avec l'équipe de l'opérateur, de 48 heures avant le début jusqu'à 7 jours après la fin ; la discussion passe ensuite en lecture seule. Les autres voient le prénom que vous avez choisi pour « Qui participe ». Les numéros de téléphone, adresses e-mail et autres coordonnées sont masqués dans les messages, et un message invitant à payer ou à réserver en dehors de Jet.Guide est refusé. Vous pouvez signaler tout message (règlement sur les services numériques) et bloquer un voyageur, dont vous ne voyez alors plus les messages. Vous pouvez supprimer vos propres messages, et la désactivation de « Qui participe » met fin à votre participation à la discussion. Les messages sont supprimés 30 jours après la fin du départ ; un message signalé est conservé avec le signalement. La discussion n'est pas proposée au Royaume-Uni. Base juridique : votre consentement à « Qui participe » (6(1)(a)) et le contrat (6(1)(b)) ; traitement des signalements : obligation légale (6(1)(c)).

cours et séances de bien-être sur Google Maps ou Google Search. Google nous transmet alors vos nom, adresse e-mail et numéro de téléphone, le nombre de personnes, l'horaire choisi et l'identifiant pseudonyme que Google vous attribue ; nous effectuons la réservation auprès de l'opérateur en tant que réservation payable sur place, et communiquons à Google son statut, avec les mêmes informations, lorsque Google le demande. Google est un responsable du traitement distinct pour ce que vous lui fournissez, selon sa propre politique de confidentialité. Base juridique : contrat (6(1)(b)). La réservation est conservée comme toute autre ; l'identifiant de Google est supprimé avec les données personnelles de la réservation.

connectés ou, tant que notre programme de fidélité est en cours, uniquement à ses niveaux Gold ou Platinum. Lorsque vous êtes connecté, le prix est calculé avec votre compte : si vous êtes membre et, pour un niveau, les réservations que vous avez effectuées. Aucune donnée nouvelle n'est conservée ; le prix que vous payez reste attaché à la réservation. Lorsque vous n'êtes pas connecté, un prix peut indiquer ce que paient les membres. Base juridique : contrat (6(1)(b)).

ou appuyez sur « Parler à une personne » dans l'Aide, vous discutez avec notre service d'assistance. Nous conservons votre nom et votre adresse e-mail (en tant qu'invité, vous les saisissez et passez le contrôle anti-robot), votre langue, la réservation concernée, ce que vous et le concierge vous êtes dit jusque-là, les messages et le moment où ils ont été lus. En dehors des heures d'ouverture de la discussion, lorsque personne n'est disponible, lorsque personne ne prend la discussion en charge en quelques minutes, et à la fin de la discussion, la conversation est versée dans une demande d'assistance afin que nous puissions répondre par e-mail. La discussion est supprimée 90 jours après sa clôture ; la copie figurant dans la demande d'assistance est conservée comme les demandes d'assistance (voir « Durée de conservation »). Base juridique : le contrat et notre intérêt légitime à vous répondre (6(1)(b) et (f)).

Planificateur de voyage, préférences de voyage et concierge

(Chacun de ces points s'applique uniquement tant que l'option correspondante est activée.)

chaque enfant (jamais un nom ni une date de naissance), vos centres d'intérêt, ce que vous souhaitez éviter, le rythme, un budget et vos besoins de mobilité (sans marche, poussette, marche limitée). Nous l'utilisons pour établir un programme à partir d'offres disposant de places et de sites ouverts ces jours-là. Lorsque notre fournisseur de modèle d'IA est utilisé (voir « Qui reçoit vos données »), il reçoit cette description et les offres candidates, choisit parmi elles et rédige de courtes justifications signalées comme produites par l'IA ; à défaut, des règles établissent le programme. Les besoins de mobilité peuvent révéler des informations sur votre santé : ne les indiquez que si vous souhaitez qu'ils soient pris en compte ; ils ne sont utilisés que pour ce programme. Vous pouvez aussi partir d'une capture d'écran, d'une photo, d'un PDF ou d'un texte collé. Un fichier est lu une seule fois par le fournisseur de modèle d'IA afin d'y trouver des noms de lieux et d'activités (une photo est d'abord réencodée, ce qui supprime ses données de localisation et d'appareil photo) et n'est pas conservé ; un texte collé est analysé sans IA. Un programme que vous n'enregistrez pas n'est pas conservé de notre côté. Un programme enregistré contient votre description et le programme : dans votre compte, jusqu'à ce que vous le supprimiez ou supprimiez votre compte ; sans compte, derrière un lien privé dont nous ne conservons qu'une empreinte (hash), et il est supprimé 30 jours après sa dernière modification. Un lien de partage affiche le programme en lecture seule et cesse de fonctionner lorsque vous annulez le partage. Rien de ce que vous saisissez, téléversez ou planifiez n'est inscrit dans nos journaux. Base juridique : votre demande (6(1)(b)) ; pour les besoins de mobilité, votre choix explicite de les communiquer (9(2)(a)).

d'intérêt, un rythme, une tranche de budget, ce que vous souhaitez éviter et l'âge de vos enfants : choisis dans des listes fixes, jamais en texte libre, et jamais déduits de votre comportement. Les besoins d'accessibilité (fauteuil roulant, sans marche, audition, vue, etc.) peuvent constituer des données de santé : ils ne sont conservés qu'avec un consentement explicite distinct, donné en même temps, et le retrait de ce consentement entraîne leur suppression. Le concierge utilise vos préférences pour choisir ses suggestions, et la recherche peut classer les résultats selon les centres d'intérêt que vous avez enregistrés. Elles ne sont pas utilisées lorsque votre navigateur envoie le signal Global Privacy Control ou lorsque vous avez désactivé les recommandations, ne sont jamais utilisées pour les prix, ne sont jamais montrées aux opérateurs et ne sont jamais transmises aux assistants liés à votre compte. La désactivation de la mémorisation les supprime immédiatement. Base juridique : consentement (6(1)(a) ; pour les besoins d'accessibilité, 9(2)(a)).

Préférences de voyage), le concierge peut consulter vos réservations confirmées, vos propres éléments de voyage et votre programme du jour, votre liste d'envies, vos alertes de prix et de nouvelles dates et, lorsque cette fonctionnalité est active, vos voyageurs enregistrés, afin de répondre au sujet de votre voyage. Il peut proposer d'enregistrer une expérience ou de créer une alerte ; seul votre clic sur le bouton de confirmation effectue la modification. Chaque consultation et chaque modification sont enregistrées comme pour les assistants liés. La désactivation de l'accès au voyage y met fin immédiatement.

ci-dessus) peut, uniquement si vous avez également autorisé la « liste d'envies » sur la page de consentement, consulter votre liste d'envies et vos alertes et les modifier après votre accord donné dans l'assistant, et enregistrer un panier pour vous : un lien signé valable 7 jours, sauf si nous fixons une autre durée (30 au maximum), et supprimé un jour après son expiration. Son ouverture recalcule tous les prix ; rien n'est bloqué ni débité.

la réponse, le motif choisi, votre remarque (coordonnées supprimées), la langue et, si vous êtes connecté(e), votre compte ; jamais votre adresse réseau ni votre nom. Notre équipe s'en sert pour corriger les réponses de l'IA. Un signalement est conservé 180 jours après sa clôture par notre équipe (un an au maximum tant qu'il est ouvert) ; l'effacement de votre compte en retire votre compte et votre remarque. Base juridique : intérêt légitime à fournir des réponses d'IA exactes et sûres (6(1)(f)).

Planifier en groupe, liens entre participants et réservations de groupe

(Chacun de ces points s'applique uniquement tant que l'option correspondante est activée. La planification en groupe et les liens entre participants ne sont pas proposés au Royaume-Uni.)

ci-dessus), les membres peuvent ajouter des expériences à une présélection, voter, proposer des dates et répondre à un sondage de dates ; les membres voient les prénoms, les votes et les réponses des autres. Un membre peut poser une question à l'assistant IA pour le groupe : celui-ci reçoit la question ainsi que les dates du groupe, le nombre de participants, la présélection et le sondage, jamais le nom ou l'adresse d'un membre ni les réservations de quiconque, et sa réponse, signalée comme produite par l'IA, reste dans le groupe. Les questions et réponses sont supprimées au bout de 30 jours, et l'ensemble du projet du groupe 30 jours après la fin du partage du groupe. Le propriétaire choisit ensuite un départ et le réserve ; le prix peut être réparti entre les membres (voir « Payer ensemble »). Base juridique : contrat (6(1)(b)).

distincte, et que vous vous êtes affiché(e) dans « Qui participe » pour un départ, alors pendant 14 jours après la fin de celui-ci vous voyez les autres participants de ce départ qui ont fait de même et pouvez proposer à l'un d'eux de rester en contact. L'autre participant reçoit un seul e-mail contenant uniquement le prénom que vous avez choisi et le titre de l'expérience, et accepte ou refuse. Les participants en contact peuvent s'écrire selon les règles de la conversation du départ : un message demandant de payer ou de réserver en dehors de Jet.Guide est refusé, et vous pouvez signaler un message et bloquer un participant. Nous conservons votre consentement avec le texte que vous avez accepté, vos liens (avec qui, pour quel départ, quand) et les messages. Le retrait de votre consentement met fin aux nouvelles demandes ; la fin d'un lien, ou l'effacement de l'un ou l'autre compte, le supprime ainsi que ses messages pour les deux participants. Base juridique : consentement (6(1)(a)) ; traitement des signalements : obligation légale (6(1)(c)).

accepté), ceux de vos liens entre participants qui l'ont aussi activée peuvent voir ce que vous choisissez, chaque élément séparément : les expériences que vous avez faites (le lieu de l'offre, le mois et l'année, jamais le jour, les participants ni le prix), les listes que vous partagez une par une, et la mention « recommandé par » avec le prénom choisi sur une offre que vous avez notée 4 ou 5 étoiles ou ajoutée à une liste partagée, cette dernière uniquement auprès des liens qui ont choisi de voir les recommandations. Personne d'autre n'en voit rien, et cette fonctionnalité n'est pas proposée au Royaume-Uni. Vous pouvez masquer une expérience ; bloquer un lien ou y mettre fin masque tout à cette personne. Nous conservons vos choix, les expériences que vous avez masquées et le texte que vous avez accepté ; la désactivation de la carte, ou l'effacement de votre compte, les supprime. Base juridique : consentement (6(1)(a)).

communiquer à l'opérateur les noms des voyageurs avant la date limite fixée par l'opérateur, indiquer les adresses e-mail des membres afin que chacun paie sa propre part au moyen d'un lien (nous ne conservons qu'une empreinte de chaque lien), et faire établir les reçus au nom d'une société (sa dénomination, son adresse, son pays et, s'ils sont indiqués, ses numéros de TVA et d'immatriculation et une adresse e-mail de facturation). L'opérateur voit les noms, sans adresses, dans son portail ; la liste n'est jamais envoyée par e-mail. Les parts sont payées via Stripe. Les noms et les adresses des membres sont effacés 30 jours après l'activité (voir « Durée de conservation »). Base juridique : le contrat conclu avec l'organisateur (6(1)(b)) ; l'envoi par e-mail à un membre du lien que l'organisateur nous a demandé de transmettre : intérêt légitime (6(1)(f)).

Alignement de prix, le club et autres moyens de paiement

(Chacun de ces points s'applique uniquement tant que l'option correspondante est activée.)

la demande : votre compte ou l'adresse e-mail de la réservation, le lien et le prix de l'autre site, le moment où vous l'avez vu, votre remarque, une capture d'écran si vous en ajoutez une (conservée avec la réservation ; n'y faites pas figurer les données d'autres personnes) et la décision de notre équipe. Nous n'ouvrons pas le lien automatiquement ; notre équipe peut consulter la page. Une demande acceptée donne lieu au remboursement de la différence ou à un avoir ; ses montants, dates et décision restent dans le dossier financier de la réservation, et l'effacement supprime le compte, l'adresse, la remarque et la capture d'écran. Les demandes sont comptabilisées par compte et par adresse e-mail au titre de la limite annuelle. Base juridique : contrat (6(1)(b)).

paiement et le consentement au renouvellement). L'accès anticipé à un départ vous donne un code d'accès dont nous ne conservons qu'une empreinte. Si vous utilisez la garantie annulation, nous conservons la réservation et le montant crédité ; cet avoir constitue une pièce comptable (10 ans) et perd son lien avec votre compte lors de l'effacement. Le club n'accorde jamais à quiconque un prix personnalisé. Base juridique : contrat (6(1)(b)).

laquelle vous réglez la première échéance soit conservée par Stripe et débitée aux dates indiquées. Nous conservons cet accord (sa date et le libellé accepté), la marque de la carte et ses quatre derniers chiffres, l'échéancier et chaque paiement. La carte est supprimée chez Stripe dès que plus rien n'est dû. Lors de l'effacement, les données de la carte disparaissent ; l'échéancier, les montants et l'accord restent conservés en tant que pièces financières. Base juridique : contrat (6(1)(b)).

formulaire de paiement de Stripe : vous êtes redirigé(e) vers le prestataire de paiement, qui reçoit ce dont il a besoin pour ce paiement selon ses propres conditions et sa propre politique de confidentialité ; nous apprenons seulement si le paiement a été effectué. Scalapay et Alma, qui permettent de payer plus tard, sont des responsables du traitement distincts pour l'arrangement que vous concluez avec eux.

Klarna, Afterpay/Clearpay, Scalapay ou Alma vous prêtent le prix et nous paient intégralement. Si vous choisissez l'un d'eux, il reçoit votre nom, votre adresse e-mail, le montant et la date de la réservation afin de décider s'il vous accorde le crédit, et peut vérifier votre solvabilité selon ses propres conditions et sa propre politique de confidentialité. Il est un responsable du traitement distinct pour le crédit, qui est conclu entre vous et lui, et non avec Jet.Guide ou l'opérateur. Nous apprenons seulement si le paiement a abouti. Base juridique : contrat (6(1)(b)).

Le jour même et sur votre téléphone

(Chacun de ces points s'applique uniquement tant que l'option correspondante est activée.)

signalement de votre part encore ouvert), la page de votre réservation affiche vos options et jusqu'à trois alternatives disposant de places ce jour-là, choisies selon le lieu, le type et l'horaire, jamais selon un profil vous concernant. Nous vous envoyons un e-mail et une notification push une fois par réservation et par motif, et nous enregistrons cet envoi. Base juridique : contrat (6(1)(b)).

l'opérateur que vous êtes arrivé(e). Uniquement avec votre consentement, la position de votre navigateur est lue une seule fois, arrondie à environ 100 mètres et conservée avec l'enregistrement de votre arrivée ; l'opérateur voit qui est arrivé, et une arrivée enregistrée empêche que vous soyez déclaré(e) absent(e) sans vérification par une personne. La position est effacée au bout de 30 jours. Base juridique : consentement (6(1)(a)).

avec les widgets activés, l'application reçoit un jeton en lecture seule (nous n'en conservons que l'empreinte, cinq au maximum par compte, révoqués lorsque vous vous déconnectez) et affiche le titre, l'horaire, le point de rendez-vous et le lien du bon de votre prochaine réservation sur votre écran d'accueil et, dans les 4 heures précédant le début, sur votre écran de verrouillage, où toute personne qui voit votre téléphone peut les lire. Aucun nom, numéro de téléphone ni prix n'est affiché. Supprimez le widget, ou déconnectez-vous, pour y mettre fin.

et l'heure avec votre réservation, afin que l'équipage puisse contrôler le pass et que vous puissiez voir combien de temps il reste valable. La liste hors ligne de l'équipage ne contient que des codes sous forme d'empreintes, sans noms. Les positions des véhicules sur la page de l'itinéraire concernent les bus et les bateaux, non votre personne. Ces enregistrements restent liés à la réservation et ne renvoient plus à personne une fois celle-ci anonymisée.

l'assistant compte seulement le nombre de fois où il a été ouvert : aucun identifiant de visiteur, aucune adresse, aucun cookie. La question est inscrite dans la zone de saisie de l'assistant pour que vous la lisiez, la modifiiez et l'envoyiez vous-même.

virement bancaire, notre e-mail renvoie à une page où vous indiquez le nom du titulaire du compte et l'IBAN (ou, avec un compte, choisissez plutôt un avoir sur votre compte). Le lien ne fonctionne qu'une fois ; nous conservons l'IBAN chiffré, et seule notre équipe financière y a accès, pour effectuer le virement ; nous le supprimons une fois le paiement effectué et ne conservons que ses quatre derniers chiffres avec la demande. Nous vous envoyons un e-mail lorsque les coordonnées ont été communiquées et lorsque l'argent a été envoyé. Base juridique : contrat (6(1)(b)).

tester différentes versions d'une page : le texte, une option mise en avant ou, pour un opérateur, un prix plus bas pour une part aléatoire des visiteurs (jamais un prix plus élevé, jamais en fonction de qui vous êtes, et la page indique que des prix sont testés). Uniquement si vous avez accepté les mesures d'audience dans le bandeau cookies, votre identifiant de visite aléatoire (tg_vid) détermine la version qui vous est présentée, toujours la même ; à défaut, vous voyez la page habituelle et n'êtes pas comptabilisé(e). Nous comptons les affichages par version et par jour sans aucun identifiant de visiteur, ainsi que les réservations issues des visites incluses dans le test. Base juridique : consentement (6(1)(a)).

SMS des opérateurs, listes de participants et fidélité

(Chacun de ces points s'applique uniquement tant que l'option correspondante est activée.)

lui est propre, via Twilio, Vonage ou MessageBird (selon celui que nous utilisons). Les SMS relatifs à votre réservation ne sont envoyés qu'à un téléphone pour lequel des SMS concernant cette réservation ont été demandés. Les SMS de prospection de l'opérateur, tels qu'un rappel concernant un paiement non finalisé ou une demande d'avis, ne sont envoyés qu'après que vous les avez demandés (sur la page de réservation ou au comptoir de l'opérateur) et confirmés en répondant OUI ou en utilisant le lien figurant dans l'unique SMS de confirmation que nous envoyons (valable 48 heures). Chacun indique le nom de l'opérateur et comporte un lien de désinscription ; répondre STOP met fin à tous les SMS de cet opérateur vers ce téléphone, et un STOP envoyé au numéro propre de Jet.Guide les arrête tous. Lorsque vous envoyez un SMS au numéro de l'opérateur, votre message arrive dans la boîte de réception de l'opérateur, qui peut répondre pendant 30 jours. Nous conservons le consentement (le numéro, le texte que vous avez accepté, la date), les STOP et les SMS (numéro et texte) ; les SMS sont supprimés 90 jours après leur envoi (OPERATOR_SMS_RETENTION_DAYS). Base juridique : consentement (6(1)(a)) pour les SMS de prospection ; le contrat pour les SMS relatifs à votre réservation.

actualités par e-mail (voir « Confirmation des e-mails d'un opérateur » ci-dessous) et que l'opérateur connecte son propre compte Mailchimp, Klaviyo ou HubSpot, nous transmettons à cet outil votre adresse e-mail, votre nom et votre langue en tant que contact ; aucune personne n'ayant pas donné ce consentement confirmé n'est transmise. Le retrait du consentement auprès de nous vous désinscrit de cet outil, et la désinscription de cet outil le retire chez nous. Nous ne conservons qu'une empreinte salée de l'adresse et l'indication de l'inscription. L'opérateur est le responsable du traitement de son propre outil.

offres sont comptées au moyen d'une empreinte salée de votre adresse e-mail, et toutes les quelques visites donnent droit à un code à usage unique, qui ne vous est envoyé par e-mail que si vous avez accepté les e-mails de l'opérateur. À son comptoir, l'opérateur peut vous reconnaître comme client régulier grâce à votre adresse e-mail ou à votre numéro de téléphone, parmi ses propres réservations uniquement, et peut regrouper en un foyer des participants qui voyagent ensemble (des participants partageant un numéro de téléphone, ou portant le même nom de famille sur le même départ, peuvent lui être présentés). L'effacement supprime les décomptes de visites et l'appartenance aux foyers. Base juridique : l'intérêt légitime de l'opérateur (6(1)(f)) ; l'opérateur est le responsable du traitement.

et son widget), si vous acceptez le bandeau de cette page, les balises Google Analytics, Google Tag Manager et Meta de l'opérateur peuvent se charger et, après votre réservation, notre serveur peut transmettre l'achat aux propres comptes Meta, Google Analytics et Google Ads de l'opérateur : la valeur, la devise, un numéro d'événement qui n'est pas votre référence de réservation, votre adresse e-mail et votre numéro de téléphone uniquement sous forme d'empreintes à sens unique (SHA-256) et, lorsque ces balises les déposent, leurs identifiants de navigateur (par exemple _fbp) et le clic publicitaire dont vous provenez. Les mesures d'audience nécessitent votre consentement à la mesure d'audience ; Meta et Google Ads nécessitent votre consentement à la publicité ; lorsque Global Privacy Control est activé, ou après « Non merci », rien n'est transmis, et un « Non merci » ultérieur arrête ce qui n'a pas encore été envoyé. Nous conservons votre choix et ces identifiants pendant 90 jours. Base juridique : consentement (6(1)(a)). L'opérateur est le responsable du traitement de ses comptes publicitaires.

Accueil IA, réceptionniste téléphonique et assistants des opérateurs

(Chacun de ces points s'applique uniquement tant que l'option correspondante est activée, et un opérateur ne l'utilise que s'il le choisit.)

dans sa boîte de réception (messages sur Jet.Guide, e-mail, WhatsApp, Instagram et SMS) et au téléphone. Chaque réponse indique qu'elle a été rédigée par une IA. L'IA ne répond qu'à partir des offres de l'opérateur, de sa FAQ et des disponibilités en temps réel ; les remboursements, modifications, réclamations, questions de sécurité et demandes de parler à une personne sont transmis à l'équipe de l'opérateur. Notre fournisseur de modèle d'IA reçoit vos messages après suppression des adresses e-mail, des numéros de téléphone et des liens. Si vous souhaitez des places, l'IA peut les bloquer à votre nom et vous envoyer un lien de paiement, dès que vous avez indiqué votre nom et votre adresse e-mail. Nous conservons la conversation, les réponses et décisions de l'IA (que l'équipe de l'opérateur examine) et, pour un appel, votre numéro de téléphone : le tout est supprimé 30 jours après le dernier message. Base juridique : l'intérêt légitime de l'opérateur et le nôtre à vous répondre, et le contrat lorsque vous réservez (6(1)(f) et (b)).

d'abord qu'un assistant IA automatisé vous parle et que dire « personne » vous met en relation avec un humain. Le fournisseur de téléphonie (Twilio ou Vonage) achemine l'appel, convertit votre voix en texte et lit les réponses à voix haute. Les appels ne sont jamais enregistrés. Le contenu de la conversation n'est conservé que si l'opérateur conserve les transcriptions et que vous acceptez lorsque la question vous est posée ; à défaut, seuls le fait que vous avez appelé, le moment de l'appel et la manière dont il s'est terminé sont conservés. Un lien de paiement est envoyé par SMS au numéro depuis lequel vous avez appelé.

dans Claude ou ChatGPT) à l'espace de gestion de l'entreprise, au niveau autorisé par le rôle de ce membre. L'assistant peut alors consulter les départs et réservations de l'opérateur, y compris votre nom et vos coordonnées, et, à un niveau plus élevé, bloquer, déplacer ou annuler des réservations, une annulation n'étant possible qu'après confirmation. Le fournisseur de l'assistant traite ce qu'il consulte dans le cadre de l'arrangement conclu entre l'opérateur et lui, et l'opérateur en est responsable. Nous enregistrons l'outil utilisé, le moment et la réservation ou le départ concerné, jamais vos données.

l'IA se contente de choisir l'un de nos rapports prédéfinis, que nous calculons. La question elle-même n'est pas conservée, seulement le rapport exécuté.

Décharges de responsabilité, pass, revente et canaux de vente

(Chacun de ces points s'applique uniquement tant que l'option correspondante est activée.)

l'une de ses offres vaut à nouveau pour une nouvelle réservation de la même offre pendant la durée de validité fixée par l'opérateur (deux ans au maximum), lorsque votre nom et votre adresse e-mail correspondent et que le texte de la décharge n'a pas changé. Rien n'est copié ; la signature antérieure est conservée jusqu'à la fin de la durée de conservation de la nouvelle activité.

votre téléphone sans réservation. Elle est conservée, avec l'adresse e-mail que vous avez indiquée, afin que l'opérateur la rattache à votre réservation lors de l'enregistrement : 7 jours, sauf si l'opérateur fixe une durée comprise entre 1 et 30. Une fois rattachée, elle est traitée comme toute décharge ; à défaut, elle est supprimée.

limites de sécurité. L'opérateur les voit avec la décharge ; elles sont supprimées avec les champs personnels de la décharge (voir « Durée de conservation »).

iVenture, Turbopass ou un autre accepté par l'opérateur), le scanner de l'opérateur le vérifie auprès de cette société, qui reçoit le numéro du pass. Nous conservons le numéro du pass, une empreinte et les quatre derniers caractères de son code, la catégorie et le tarif, afin que l'opérateur puisse facturer la société émettrice du pass ; jamais votre nom ni vos coordonnées. Les bons de GetYourGuide, Viator et d'autres revendeurs sont vérifiés par rapport à la réservation qu'ils nous ont transmise.

page boutique, son widget ou à son comptoir ; vous êtes informé(e) de qui la vend et de qui la fournit. L'opérateur vendeur reçoit votre nom et vos coordonnées et peut vous envoyer un lien de paiement par e-mail ; l'opérateur qui la réalise reçoit votre nom et la réservation. Chacun est responsable de l'usage qu'il en fait.

Expedia, Klook, Tiqets, Musement, Google Things to Do ou chez un revendeur OCTO, et que son opérateur gère ces canaux via Jet.Guide, le canal nous transmet la réservation avec le nom du voyageur principal et le nombre de participants, et nous la conservons pour l'opérateur ; les modifications et annulations sont transmises dans les deux sens. Le canal est un responsable du traitement distinct, soumis à sa propre politique de confidentialité. Une réservation qui ne peut pas être placée automatiquement conserve le nom 30 jours au maximum (voir « Durée de conservation »).

Photos après la visite

(Chacun de ces points s'applique uniquement tant que l'option correspondante est activée.)

de ce départ. Dans votre réservation, vous choisissez si les photos sur lesquelles vous figurez peuvent être partagées avec les autres participants (« partager ») ou non (« ne pas me montrer ») ; un enfant figurant sur une réservation n'est pas montré, sauf si l'adulte qui a réservé choisit « partager ». Avant que l'album ne soit affiché, un membre de l'équipe doit confirmer qu'aucune personne ne devant pas être montrée n'est reconnaissable ; nous conservons l'identité de la personne qui l'a confirmé et la date. Seuls les participants de ce départ voient l'album, via leur propre réservation. Vous pouvez faire retirer n'importe quelle photo (« Je suis sur cette photo ») : elle est retirée immédiatement pour tous et ses fichiers sont supprimés ; l'opérateur voit qu'elle a été retirée, mais pas par qui. Les données de localisation et d'appareil photo sont supprimées de chaque photo. Les photos et votre choix sont supprimés 30 jours après le départ (nous pouvons fixer une durée comprise entre 7 et 180 jours). Si l'opérateur vend un lot de photos, son achat vous donne accès aux photos en pleine résolution ; sans achat, vous voyez de petits aperçus. Les 30 jours courent à compter de la fin du départ. Un lot de photos acheté après la visite vous donne accès aux photos en pleine résolution jusqu'à la suppression de l'album ; il n'est pas vendu pendant les 48 dernières heures de l'album, et une photo retirée l'est aussi pour les acheteurs : téléchargez donc celles que vous souhaitez garder.

remplir le planificateur de voyage ; nous n'en conservons rien.

Injonctions des autorités et contrôles relatifs aux sanctions

(Le contrôle relatif aux sanctions s'applique uniquement tant que l'option correspondante est activée.)

retirer des contenus, de lui communiquer des informations vous concernant, ou de produire ou conserver des données (règlement sur les services numériques, art. 9 et 10 ; règlement (UE) 2023/1543 relatif aux preuves électroniques). Notre équipe juridique enregistre chaque injonction, la vérifie et y répond. Tant qu'une injonction nous demande de conserver des données, les comptes, réservations et messages qu'elle vise sont exclus de nos délais de suppression habituels, une copie scellée en est conservée et votre compte ne peut pas être effacé (nous vous indiquons seulement qu'une obligation légale s'y oppose). Nous vous informons d'une injonction lorsque la loi et l'injonction le permettent : qui l'a émise, ce que nous avons fait et comment la contester. Base juridique : obligation légale (6(1)(c)). L'injonction est conservée pendant 5 ans après sa clôture ; la copie seulement jusqu'à la fin de la mesure de conservation.

sur les listes de sanctions de l'UE et de vendre des services touristiques en Crimée, à Sébastopol et dans les zones occupées de l'Ukraine. Chaque nuit, nous comparons les noms des opérateurs, de leurs propriétaires et des partenaires (affiliés, créateurs) avec la liste publiée par l'UE. Une correspondance possible suspend leurs versements et leur approbation jusqu'à ce que notre personnel l'ait vérifiée ; la correspondance et la décision sont conservées en tant que pièce de conformité. Les noms des voyageurs ne sont pas contrôlés. Base juridique : obligation légale (6(1)(c)).

modifie ou les perd alors qu'il ne le devrait pas), nous l'inscrivons dans notre registre des incidents : ce qui s'est passé, quelles données et combien de personnes sont concernées, le risque pour vous et les mesures que nous avons prises. Nous conservons cette inscription même lorsque l'incident n'a pas à être notifié. Nous le notifions à l'autorité de contrôle de la protection des données dans les 72 heures suivant le moment où nous en avons pris connaissance, sauf s'il est peu probable qu'il engendre un risque pour quiconque, et nous vous en informons directement, dans votre langue, lorsqu'il est susceptible d'engendrer un risque élevé pour vous : ce qui s'est passé, ce que cela peut signifier pour vous et ce que vous pouvez faire. Si des participants d'un opérateur sont concernés, nous en informons aussi l'opérateur. Base juridique : obligation légale (6(1)(c)). L'inscription est conservée pendant 5 ans après la clôture de l'incident.

Réseau de partenaires

(Le réseau de partenaires s'applique uniquement tant que l'option correspondante est activée : AFFILIATE_NETWORK_ENABLED.)

Réseau de partenaires (partenaires uniquement). Lorsqu'un partenaire postule avec le lien ou le code d'invitation d'un autre partenaire, nous conservons l'identité de la personne qui l'a invité (son parrain), fixée lors de l'approbation de la candidature, ainsi que toute correction apportée par notre personnel, avec son motif. Pour préserver l'intégrité du réseau, nous comparons un partenaire avec les partenaires situés au-dessus de lui : le domaine d'une adresse e-mail professionnelle vérifiée, le compte de versement, le numéro fiscal ou de TVA, et des empreintes salées de l'adresse réseau (et de l'adresse associée au navigateur) depuis laquelle il a postulé — jamais l'adresse elle-même. Une correspondance suspend les commissions dérogatoires concernées jusqu'à leur examen par une personne de notre personnel ; rien n'est décidé sur la seule base de la comparaison. Un partenaire voit les noms des partenaires qu'il a invités et seulement des totaux pour les niveaux inférieurs ; personne dans le réseau ne voit les voyageurs. Base juridique : le contrat conclu avec le partenaire (6(1)(b)) et notre intérêt légitime à prévenir la fraude (6(1)(f)). Conservation tant que le compte partenaire est ouvert ; les commissions dérogatoires avec les pièces de versement (droit comptable).

Nous comparons également l'adresse réseau depuis laquelle un partenaire a utilisé notre site pour la dernière fois (une empreinte salée) et, lorsque Stripe la communique, une empreinte salée du compte bancaire de versement, et nous vérifions si une réservation qui donnerait lieu à une commission dérogatoire a été achetée par un partenaire situé au-dessus (même compte, même adresse e-mail ou même carte) ; une telle commission est elle aussi suspendue pour examen. Les empreintes salées de l'inscription sont supprimées 180 jours après la candidature, les autres lors de la clôture et de l'effacement du compte partenaire. Les totaux des ventes ne sont affichés que pour les niveaux comptant au moins trois partenaires, de sorte que personne ne puisse lire les ventes d'un partenaire en particulier.

Outils pour les partenaires

Liste « Ouverture prochaine ». Tant que notre programme de partenaires est fermé, vous pouvez laisser votre adresse e-mail sur la page du programme (et, si vous le souhaitez, le type de partenaire que vous êtes, un site web et un pays) afin d'être informé(e) une seule fois de son ouverture. Nous envoyons d'abord un lien de confirmation ; une adresse non confirmée dans un délai de 7 jours est supprimée. Une adresse confirmée reçoit un seul e-mail à l'ouverture du programme et est supprimée 30 jours plus tard, et toute adresse au plus tard au bout de 18 mois. Nous conservons le texte que vous avez accepté et une empreinte salée de l'adresse réseau depuis laquelle vous avez envoyé le formulaire (pour prévenir les abus), jamais l'adresse elle-même. L'adresse e-mail n'est utilisée à aucune autre fin. Base juridique : votre consentement (6(1)(a)), que vous pouvez retirer à tout moment au moyen du lien figurant dans notre e-mail.

LinkSwitcher et la barre partenaire. Le script LinkSwitcher d'un partenaire, placé sur son propre site, lit uniquement les adresses des liens pointant vers notre site et les transforme en liens suivis du partenaire ; il ne dépose aucun cookie, ne conserve rien et ne transmet rien concernant le lecteur. Suivre un tel lien constitue un clic partenaire ordinaire (tg_clid, ci-dessous). La barre partenaire de nos pages, affichée uniquement aux partenaires connectés, mémorise sur ce navigateur uniquement si le partenaire l'a repliée (tg_partner_bar).

Coordonnées de versement des opérateurs et des partenaires

(Le choix d'un versement par virement bancaire ou via Revolut s'applique uniquement tant que l'option correspondante est activée : PAYOUT_METHOD_CHOICE_ENABLED.)

Coordonnées bancaires pour les versements (opérateurs et partenaires). Un opérateur ou un partenaire qui choisit d'être payé par virement bancaire ou via notre compte Revolut Business nous communique le nom du titulaire du compte, l'IBAN et, s'il le souhaite, le BIC. Nous conservons l'IBAN chiffré et n'en affichons que les quatre derniers chiffres, y compris à notre personnel ; il n'est déchiffré que pour effectuer un paiement, et une empreinte salée de celui-ci est comparée à celles des autres bénéficiaires afin de repérer un même compte derrière plusieurs entreprises. Notre personnel vérifie les coordonnées au moyen d'une lettre ou d'un relevé bancaire avant le premier paiement. Toute modification est confirmée par le mot de passe et notifiée par e-mail, y compris à une adresse que le compte a récemment abandonnée. Pour un paiement via Revolut, Revolut reçoit le nom du titulaire et l'IBAN. Base juridique : le contrat conclu avec le bénéficiaire (6(1)(b)) et notre intérêt légitime à prévenir la fraude (6(1)(f)). Conservation tant que le compte est ouvert ; lors de l'effacement, le nom du titulaire et l'IBAN sont supprimés et seuls les quatre derniers chiffres restent avec les pièces de versement (droit comptable).

Contrôles des avis

(La comparaison des empreintes de carte, de réseau et d'appareil prévue au deuxième paragraphe s'applique uniquement tant que l'option correspondante est activée : REVIEW_FRAUD_LINKS_ENABLED. Le masquage automatique prévu au troisième paragraphe s'applique uniquement tant que l'option correspondante est activée : REVIEW_FRAUD_AUTO_HIDE_ENABLED.)

Contrôles des avis. Afin de garantir l'authenticité des avis, nous contrôlons les avis nouveaux et récents pour y déceler des signes de faux avis : de nombreux avis sur une offre ou un opérateur en peu de temps par rapport à son rythme habituel, le même texte publié sous un autre compte, des comptes qui attribuent la même note aux mêmes opérateurs, uniquement 5 étoiles pour un opérateur et 1 étoile pour ses concurrents dans la même ville, et un auteur d'avis qui est le propriétaire de l'opérateur, un membre de son équipe ou l'un de ses partenaires (même compte ou même adresse e-mail). Nous n'utilisons que les avis ainsi que les données de compte et de réservation dont nous disposons déjà. Un nouvel avis présentant un tel signe est mis en attente jusqu'à ce qu'une personne de notre personnel l'ait examiné ; un avis publié reste publié, sauf décision contraire d'une personne. Rien n'est supprimé et rien n'est décidé sur la seule base du contrôle (à l'exception du masquage automatique prévu au dernier paragraphe, une fois activé) ; si nous masquons un avis, son auteur en reçoit les motifs et peut contester la décision. Base juridique : notre intérêt légitime, et celui des voyageurs et des opérateurs, à disposer d'avis fiables (6(1)(f)). Les signes sont conservés avec l'avis ; le texte d'un avis est également conservé sous forme d'empreintes à sens unique de ses parties, afin de détecter les copies, et supprimé avec le texte de l'avis.

Lorsque nous l'activons, les contrôles comparent également les empreintes salées déjà conservées par le contrôle anti-fraude des réservations (de la carte et du réseau depuis lesquels une réservation a été payée et effectuée) et, pour les comptes créés au moyen d'une invitation, de l'appareil : différents auteurs d'avis sur un même opérateur payant avec la même carte, s'inscrivant depuis le même appareil ou, à partir de trois, réservant depuis le même réseau. Jamais le numéro de carte, l'adresse réseau ou l'identifiant de l'appareil eux-mêmes. Les empreintes ne sont pas conservées plus longtemps que ce qui est indiqué ci-dessus (180 jours pour le contrôle des réservations).

Masquage automatique. Lorsque nous l'activons, et à compter d'une date que nous annonçons, un nouvel avis présentant de forts signes de fausseté (par exemple le même texte que l'avis d'un autre compte, rédigé depuis un compte de l'équipe même de l'opérateur) est immédiatement masqué par le contrôle, sans décision préalable d'une personne. Il s'agit d'une décision fondée exclusivement sur un traitement automatisé. Son auteur est immédiatement informé, en termes simples, des signes relevés et du caractère automatisé de la décision, et peut la contester ; une personne de notre personnel l'examine ensuite et peut publier l'avis. Les avis présentant un score plus faible restent en attente d'un examen humain. Base juridique : comme ci-dessus (6(1)(f)) ; vous avez le droit d'obtenir une intervention humaine, d'exprimer votre point de vue et de contester la décision (art. 22(3)).

Cookies et stockage du navigateur

Balises de mesure d'audience et de publicité — uniquement avec votre consentement. Lorsque nous les activons, le site peut charger Google Analytics 4 et Google Ads (Google Ireland Ltd / Google LLC) ainsi que le pixel Meta (Meta Platforms Ireland Ltd). Elles ne se chargent qu'après votre accord dans le bandeau cookies — dans tous les pays, y compris les États-Unis — et jamais lorsque Global Privacy Control est activé. Elles déposent leurs propres cookies (par exemple _ga, _gcl_au et _fbp) et reçoivent votre adresse IP, les pages que vous consultez et, pour une réservation effectuée avec votre consentement à la publicité, la conversion décrite ci-dessus. Refuser, ou changer d'avis ultérieurement via Paramètres des cookies en pied de page, les maintient désactivées. (Un modèle d'opposition pour les visiteurs des États-Unis, US_TRACKING_OPT_OUT, s'applique uniquement tant que l'option correspondante est activée.)

Mesure des performances — uniquement avec votre consentement à la mesure d'audience. Lorsque nous l'activons (RUM_ENABLED), votre navigateur mesure la vitesse de chargement et de réaction de chaque page (Core Web Vitals) et nous envoie ces valeurs une fois par page, avec la version du site, le type de page, l'indication qu'il s'agit d'un téléphone ou d'un ordinateur et le pays d'où provient votre connexion (tel que notre fournisseur réseau le voit). Rien qui vous identifie, vous ou votre visite, n'est conservé avec elles : ni compte, ni identifiant de visite, ni adresse IP, ni données du navigateur. Nous conservons ces mesures pendant 35 jours pour connaître la vitesse du site pour tous.

Comptage de la provenance des visites — anonyme, sans identifier quiconque. Lorsque nous l'activons (TRAFFIC_SOURCES_ENABLED), la première page que vous ouvrez dans un onglet nous envoie, une seule fois, l'adresse de cette page, l'adresse de la page d'où vous venez et les paramètres de campagne du lien (par exemple utm_source). Nous les utilisons uniquement pour ajouter une unité à un décompte quotidien : le type de source (un moteur de recherche, un assistant IA, un réseau social, un partenaire, une annonce, un e-mail, un autre site ou aucune), le nom de ce moteur de recherche, assistant, réseau ou site, le type de page, la version du site, le pays d'où provient votre connexion et l'indication qu'il s'agit d'un téléphone, d'une tablette ou d'un ordinateur. Nous ne conservons ni adresse IP, ni données du navigateur, ni identifiant de visite, ni adresse complète de la page d'où vous venez, et les décomptes ne permettent pas de distinguer un visiteur d'un autre. L'onglet conserve le type de source (tg_src) afin qu'une réservation effectuée dans cet onglet puisse être comptée pour cette source. Si vous refusez la mesure d'audience dans le bandeau cookies ou exercez votre droit d'opposition dans Vos choix en matière de confidentialité, rien n'est envoyé ni compté.

Tout le reste ci-dessous est soit strictement nécessaire à un service que vous avez demandé, soit une préférence que vous avez définie. (Audit du 2026-10-02, docs/22 phase 2 ; vague Y.)

| Nom | Emplacement | Finalité | Durée | |---|---|---|---| | tg_clid | cookie interne, et localStorage | Lorsque vous arrivez via le lien ou le code QR d'un partenaire, un identifiant de clic aléatoire permettant de créditer le partenaire si vous réservez. Il ne contient aucune donnée personnelle. | la période du programme de partenaires, généralement 30 jours | | tg_token | localStorage | maintient votre connexion | jusqu'à votre déconnexion | | tg_seat_ctx | cookie interne (HttpOnly, envoyé uniquement à notre API) | uniquement pour un départ avec places attribuées : une valeur aléatoire qui lie les places que vous bloquez à ce navigateur, afin que personne d'autre ne puisse utiliser ou prolonger votre blocage ; nous n'en conservons qu'une empreinte, ainsi qu'une empreinte à clé de votre adresse réseau jusqu'au lendemain de la fin du blocage, pour limiter le nombre de places qu'un même réseau peut bloquer | 4 heures | | tg_locale, tg_currency, tg_market | localStorage | votre langue, votre devise et la version du site (pays) | jusqu'à ce que vous les changiez | | tg_wishlist | localStorage | les expériences enregistrées lorsque vous n'êtes pas connecté(e) | jusqu'à ce que vous l'effaciez | | tg_compare | localStorage | jusqu'à quatre expériences choisies pour comparaison (uniquement leurs identifiants ; rien n'est envoyé avant que vous n'ouvriez la comparaison) | jusqu'à ce que vous l'effaciez | | tg_queue_pass | sessionStorage | uniquement dans une salle d'attente pour une mise en vente très demandée : votre place dans la file (un laissez-passer signé), afin que le rechargement de la page la conserve | jusqu'à la fermeture de l'onglet | | tg_play_code:<booking reference> | sessionStorage | le code du billet qui a ouvert une visite autoguidée, afin que le lecteur reste ouvert pendant que vous marchez | jusqu'à la fermeture de l'onglet | | tg_play_quests:<booking reference> | localStorage | les énigmes d'une visite autoguidée résolues sans réseau (l'étape et votre réponse, jamais une photo), conservées seulement jusqu'à leur envoi | jusqu'à votre retour en ligne | | tg_cart | localStorage | le panier, tant que l'option est activée | jusqu'au paiement ou jusqu'à ce que vous le vidiez | | tg_recent | localStorage | les expériences consultées récemment, affichées uniquement pour vous | jusqu'à ce que vous l'effaciez | | tg_recent_searches | localStorage | vos recherches récentes, affichées uniquement pour vous dans la zone de recherche, et uniquement tant que « Recommandé pour vous » est activé | jusqu'à ce que vous les effaciez ou désactiviez les recommandations | | tg_cookie_notice, tg_install_dismissed | localStorage | le fait que vous avez fermé ce bandeau (ou, avec le bandeau d'une ligne, que vous êtes passé(e) à une autre page après l'avoir vu) ou l'invitation « installer l'application » | jusqu'à ce que vous l'effaciez | | tg_theme | localStorage | l'apparence choisie (clair ou sombre) ; rien n'est conservé tant qu'elle suit votre appareil | jusqu'à ce que vous la changiez | | tg_app_review_asked | localStorage | uniquement dans notre application mobile : la date à laquelle l'application a affiché pour la dernière fois l'invitation à noter dans la boutique, afin qu'elle ne s'affiche pas plus d'une fois tous les 120 jours | jusqu'à ce que vous l'effaciez | | tg_privacy_country, tg_privacy_optout | localStorage | le pays que vous nous avez indiqué dans Vos choix en matière de confidentialité, et votre choix « Ne pas vendre ni partager » | jusqu'à ce que vous les changiez | | tg_oidc_key, jetons des liens de réservation | sessionStorage | une clé à usage unique pour la connexion avec Google ou Apple ; le lien de gestion d'une réservation ouvert depuis un e-mail | jusqu'à la fermeture de l'onglet | | tg_personalise | localStorage | défini sur « 0 » lorsque vous désactivez « Recommandé pour vous » ; rien n'est conservé tant que l'option est activée | jusqu'à ce que vous réactiviez les recommandations | | tg_concierge | sessionStorage | l'identifiant de votre conversation avec notre concierge, afin que cet onglet puisse la poursuivre ; la conversation elle-même est conservée de notre côté comme décrit ci-dessus | jusqu'à la fermeture de l'onglet | | tg_live_chat | sessionStorage | uniquement pendant une conversation avec notre équipe d'assistance : le numéro de la conversation et la clé qui l'ouvre dans cet onglet ; la conversation est conservée de notre côté et est versée dans votre demande d'assistance à la fin de la conversation | jusqu'à la fermeture de l'onglet | | tg_kiosk | localStorage | uniquement sur la tablette-borne libre-service d'un opérateur : le jeton d'appareil de la borne, défini lorsque l'opérateur associe la tablette ; aucun nom, e-mail ni réservation de participant n'est conservé sur la tablette | jusqu'à ce que l'opérateur retire ou associe à nouveau la borne | | tg_promo | sessionStorage | un code promotionnel issu du lien par lequel vous êtes arrivé(e) (?promo=), afin que les prix puissent l'afficher | jusqu'à la fermeture de l'onglet | | tg_family_mode | sessionStorage | uniquement lorsque vous activez le mode famille dans la recherche : le fait qu'il est activé, l'âge de vos enfants et votre éventuel besoin d'accès poussette, envoyés uniquement avec vos recherches pour les filtrer ; nous ne conservons rien de notre côté | jusqu'à la fermeture de l'onglet | | tg_creator_code | sessionStorage | le code créateur de la page d'un créateur que vous avez ouverte (/c/…), afin que le champ de code au moment du paiement le contienne d'emblée ; vous pouvez l'y supprimer | jusqu'à la fermeture de l'onglet | | tg_partner_consent | localStorage | uniquement sur la page de transfert d'un hôtel, d'une compagnie aérienne ou d'une agence (/h/…) : votre choix concernant les balises de mesure d'audience et de publicité propres à ce partenaire. Elles ne se chargent qu'après votre acceptation, jamais sur la page où vous saisissez votre nom, votre e-mail ou votre téléphone, et avec leur collecte automatique des données de formulaire désactivée | jusqu'à ce que vous l'effaciez | | tg_bt:<booking reference> | sessionStorage | le lien signé de gestion d'une réservation ouvert depuis un e-mail, retiré de la barre d'adresse | jusqu'à la fermeture de l'onglet | | tg_ticket_link_<id> | sessionStorage | le lien signé vers un billet qu'un ami vous a envoyé | jusqu'à la fermeture de l'onglet | | tg_device | localStorage | un identifiant aléatoire de ce navigateur, uniquement lorsque vous ouvrez la page de parrainage d'un ami ; nous n'en recevons qu'une empreinte salée, pour distinguer l'ami invité de la personne qui invite | jusqu'à ce que vous l'effaciez | | tg_supplier_account | localStorage | pour les opérateurs disposant de plusieurs comptes professionnels : celui pour lequel le portail agit | jusqu'à modification ou déconnexion | | tg_supplier_all_tools | localStorage | pour les opérateurs : le fait que vous avez choisi d'afficher tous les outils du tableau de bord avant votre première réservation | jusqu'à modification | | tg_oauth_nonce | cookie (HttpOnly) | uniquement pour les opérateurs et notre personnel qui connectent Xero ou QuickBooks : une valeur aléatoire qui lie le consentement au navigateur qui l'a initié, afin qu'un lien de consentement envoyé à quelqu'un d'autre ne puisse pas connecter sa comptabilité ; indispensable | 10 minutes, supprimé au retour du consentement | | tg_consent | localStorage | votre choix concernant nos balises de mesure d'audience et de publicité (oui ou non pour chacune, et la version du texte que vous avez vu) ; indispensable, pour mémoriser votre choix | jusqu'à ce que vous le changiez ou que le texte change | | tg_vid | localStorage | un identifiant de visite aléatoire, afin qu'une réservation effectuée quelques jours plus tard puisse être attribuée à la campagne ou au lien à l'origine de la visite. Défini uniquement avec votre consentement à la mesure d'audience ; supprimé lorsque vous le retirez | 90 jours | | tg_touch | sessionStorage | la campagne d'origine de la visite (utm_* et, uniquement avec le consentement à la publicité, un identifiant de clic publicitaire), envoyée avec une réservation ; défini uniquement avec votre consentement à la mesure d'audience. Sans ce consentement, la campagne est conservée dans la mémoire de la page et disparaît à la fermeture de l'onglet | jusqu'à la fermeture de l'onglet | | tg_src | sessionStorage | le type de source d'où provient votre visite (un mot, tel que moteur de recherche ou réseau social, rien vous concernant), envoyé avec une réservation effectuée dans cet onglet afin que les réservations puissent être comptées par source ; non défini si vous avez refusé la mesure d'audience | jusqu'à la fermeture de l'onglet | | tg_sub | localStorage | le lien signé vers vos préférences de lettre d'information, conservé uniquement si vous avez accepté de recevoir des e-mails sur les expériences consultées, afin que ce navigateur puisse nous indiquer les offres que vous avez regardées ; fondé sur ce consentement | jusqu'à votre désinscription, la désactivation de ces e-mails ou son effacement | | tg_pseudo | sessionStorage | un commutateur de langue de test pour nos développeurs ; jamais défini sur le site public | jusqu'à la fermeture de l'onglet | | tg_scan_sound, tg_scan_venue, tg_scan_auto | localStorage | réglages du scanner de bons de l'opérateur | jusqu'à modification | | tg_editor_preview | localStorage | l'affichage ou non de l'aperçu voyageur dans l'éditeur d'offres de l'opérateur | jusqu'à modification | | tg_trip_plans | localStorage | les liens privés des programmes de voyage enregistrés sans compte (jusqu'à 20, avec leurs titres), afin que vous puissiez les rouvrir sur ce navigateur ; nous ne conservons qu'une empreinte de chaque lien | jusqu'à ce que vous retiriez le programme ou l'effaciez | | tg_first_launch | localStorage | uniquement dans notre application mobile : la date de première ouverture de l'application sur cet appareil, afin qu'une page choisie avant l'installation (son code court, que Google Play transmet à l'application sous la forme tg_link) soit ouverte une seule fois, au premier lancement. Seule une page publique est conservée de cette manière (jamais un lien de réservation, de paiement ou de connexion), avec uniquement ses paramètres de campagne et de recherche. Sur un iPhone, qui ne dispose pas d'un tel code, et uniquement lorsque nous l'activons, une page choisie par un appui dans l'App Store est retrouvée au moyen d'une empreinte à clé de l'adresse réseau d'où provient l'appui, pendant 2 heures au maximum et sans aucun paramètre d'affilié. Nous supprimons le code et la page 7 jours après l'appui | jusqu'à ce que vous effaciez les données de l'application | | tg_bdraft:<listing> | sessionStorage | ce que vous avez saisi dans un formulaire de réservation, conservé lorsque vous passez à la page de paiement, afin qu'après un paiement annulé le formulaire réapparaisse tel que vous l'avez laissé, avec la réservation qui bloque vos places ; jamais envoyé à nos serveurs ; pour les questions de l'opérateur, seuls vos choix sont conservés (jamais de texte libre, de nombres ou de dates, tels qu'un numéro de document ou une date de naissance) | jusqu'au paiement de la réservation, à votre déconnexion ou à la fermeture de l'onglet (proposé à nouveau pendant une heure au maximum, puis supprimé) | | tg.r23p5.gift | sessionStorage | une expérience offerte que vous utilisez : son code, l'expérience, les participants et leurs options, afin que le formulaire de réservation de l'offre puisse la réserver ; en cas de nouvelle réservation après une annulation, également ce que cette réservation avait choisi (occasion et message, options, langue du guide, prise en charge ; vos demandes particulières et une adresse de prise en charge saisie uniquement lorsque vous êtes connecté(e) au compte qui l'a effectuée) ; jamais inséré dans un lien | jusqu'à la réservation du cadeau, jusqu'à ce que vous choisissiez de réserver sans lui ou jusqu'à la fermeture de l'onglet | | tg_rvdraft:<booking reference> | sessionStorage | l'avis que vous rédigez, afin qu'un rechargement ne fasse rien perdre ; envoyé uniquement lorsque vous le publiez | jusqu'à sa publication, votre déconnexion ou la fermeture de l'onglet | | tg_widget_token | localStorage | uniquement dans notre application mobile, avec les widgets d'écran d'accueil activés : un jeton en lecture seule qui permet au widget d'afficher votre prochaine réservation (il ne peut rien lire d'autre) ; révoqué lorsque vous vous déconnectez | jusqu'à votre déconnexion | | billets conservés par l'application | le stockage propre à l'application (trousseau iOS sur cet appareil uniquement ; Android, chiffré avec une clé qui ne quitte jamais le téléphone) | uniquement dans notre application mobile, en étant connecté(e) : les billets de vos réservations que vous avez ouverts (titre, horaire, lieu, code et code-barres de chaque billet), afin qu'ils s'affichent sans réseau ; conservés pour votre compte uniquement, jamais pour un lien de réservation ouvert sans connexion, et oubliés lorsque vous vous déconnectez, lorsque votre session prend fin (par exemple « se déconnecter partout » après la perte de votre téléphone), lorsqu'un autre compte se connecte et après réinstallation de l'application | jusque-là, et chaque réservation au plus deux jours après son début | | tg_concierge_seed | sessionStorage | une première question pour l'assistant apportée par un lien que vous avez suivi ; affichée dans la zone de saisie de l'assistant pour que vous la modifiiez ou l'envoyiez vous-même, jamais envoyée à votre place | jusqu'à l'ouverture de l'assistant ou la fermeture de l'onglet | | tg_voice_read_aloud | localStorage | le fait que vous avez demandé au concierge de lire ses réponses à voix haute (« 1 ») ; rien d'autre | jusqu'à ce que vous désactiviez l'option ou effaciez les données de votre navigateur | | tg_hop_pack_<listing>, tg_hop_queue_<listing> | sessionStorage, localStorage | uniquement sur le téléphone de l'équipage d'un opérateur hop-on/hop-off : la liste signée des pass pour scanner sans réseau (codes de pass sous forme d'empreintes et leur validité, sans noms), et les montées à bord scannées hors ligne jusqu'à leur téléversement | la liste : jusqu'à la fermeture de l'onglet ; les montées à bord : jusqu'à leur téléversement | | abonnement push | le service push du navigateur | uniquement si vous activez les notifications : nous permet de vous envoyer les notifications que vous avez choisies | jusqu'à ce que vous les désactiviez ou que le navigateur le supprime | | file d'attente hors ligne du contrôle d'accès | IndexedDB | les scans de bons d'un opérateur effectués sans réseau, jusqu'à leur téléversement | jusqu'au téléversement ou à la déconnexion | | structure de l'application | cache du service worker | les fichiers propres au site, afin qu'il s'ouvre hors ligne | remplacée à chaque nouvelle version | | tg_ad_clicks | localStorage | uniquement après l'ouverture d'une offre depuis une carte marquée « Annonce » : une note signée de ce clic pour cette offre (quelle campagne publicitaire et quelle offre, rien vous concernant), envoyée avec une réservation de l'offre afin que l'opérateur paie sa commission publicitaire plus élevée ; votre prix est le même avec ou sans elle | 7 jours | | tg_partner_bar | localStorage | uniquement pour un partenaire connecté : le fait qu'il a replié la barre partenaire de nos pages (« 0 ») ; rien d'autre | jusqu'à ce qu'il la rouvre ou l'efface | | tg_chunk_reload | sessionStorage | l'heure à laquelle notre page s'est rechargée d'elle-même pour la dernière fois parce qu'une nouvelle version du site a été publiée pendant qu'elle était ouverte, afin qu'elle ne se recharge qu'une fois au maximum puis affiche un message ; rien d'autre | jusqu'à la fermeture de l'onglet |

Deux éléments que la page charge depuis l'extérieur, sans cookies : les polices (Google Fonts) et les fonds de carte (OpenStreetMap, ou le fournisseur que nous configurons). Tous deux voient votre adresse IP lorsque votre navigateur les récupère.

Contrôle de sécurité (projet — ajouté lors de la vague O) : lors de l'inscription, sur le formulaire de mot de passe oublié, le formulaire de signalement de contenu, les demandes de devis et la page de réservation de transfert d'un partenaire, nous pouvons charger Cloudflare Turnstile (Cloudflare, Inc., États-Unis) — ou, à la place, hCaptcha (Intuition Machines, Inc., États-Unis) — afin de distinguer les personnes des robots. Il n'est chargé que lorsque vous ouvrez l'un de ces formulaires, jamais ailleurs sur le site, et fonctionne la plupart du temps de manière invisible. Il reçoit votre adresse IP et des caractéristiques de votre navigateur et de l'utilisation de la page, et nous indique seulement si le contrôle a été réussi ; nous n'en conservons rien. Nous le considérons comme strictement nécessaire à un formulaire que vous avez demandé à envoyer (exemption de l'art. 5(3) de la directive ePrivacy ; RGPD 6(1)(f) : protection du service contre les abus), de sorte qu'aucun consentement n'est demandé. Turnstile ne dépose aucun cookie ; hCaptcha peut déposer les siens.

Global Privacy Control est respecté partout : si votre navigateur l'envoie, nous le traitons comme une demande de ne pas vendre ni partager vos données (nous ne faisons ni l'un ni l'autre) et l'enregistrons sur votre compte si vous êtes connecté(e). Vos choix en matière de confidentialité indique ce que nous avons reçu.

Selon votre lieu de résidence

Les compléments suivants s'appliquent en plus de la présente politique, selon votre lieu de résidence (nous retenons le pays de votre connexion, ou celui que vous choisissez dans Vos choix en matière de confidentialité) :

catégories, « Do Not Sell or Share », Global Privacy Control, réponses sous 45 jours.

Qui reçoit vos données

vos demandes et votre prise en charge — ce dont il a besoin pour l'assurer. Un opérateur peut également écrire en une seule fois à toutes les personnes ayant réservé un départ : vos réponses ne parviennent qu'à l'opérateur, et les voyageurs ne voient jamais les coordonnées les uns des autres. Vous pouvez désactiver, pour une réservation, les copies par e-mail de ces messages de groupe (le lien figurant dans chacun d'eux, ou le bon de réservation) ; le message apparaît toujours dans votre conversation. Ce choix est conservé avec la réservation et effacé avec elle. Si nous activons les statistiques sur les participants, un opérateur voit également des chiffres sur ses participants en tant que groupe (langues, pays déduits de l'indicatif du numéro de téléphone, types de groupes, nombre de clients qui reviennent), jamais pour moins de 5 participants.

Postmark, Mailgun ou Amazon SES, selon celui que nous utilisons), l'hébergement, et DeepL (DeepL SE, Allemagne) pour la traduction automatique. DeepL traduit le texte des annonces et — uniquement lorsque vous ou l'opérateur appuyez sur Traduire — le texte d'un message ou d'un avis. Seul ce texte est transmis : jamais votre nom, votre e-mail ni les détails de votre réservation. Pour les messages, DeepL agit en tant que notre sous-traitant en vertu d'un accord de traitement des données et ne conserve pas le texte pour entraîner ses modèles (conditions de DeepL API Pro). La traduction est conservée avec le message et effacée avec lui. Les messages et les avis ne sont transmis qu'à DeepL. Le texte des annonces peut à la place être traduit par Google Cloud Translation (Google Ireland Ltd / Google LLC), par exemple lorsque DeepL n'est pas disponible : Google ne reçoit que ce texte, agit en tant que notre sous-traitant en vertu de son Cloud Data Processing Addendum et n'utilise pas le texte pour entraîner ses modèles. Une exception à « uniquement lorsque vous appuyez sur Traduire » : un message que l'opérateur vous adresse (y compris un message adressé à tous les participants d'un départ) est traduit automatiquement par DeepL dans la langue de votre réservation pour l'e-mail que nous vous envoyons, avec la mention qu'il s'agit d'une traduction automatique et l'original de l'opérateur en dessous (seul le texte du message est transmis ; MESSAGE_AUTO_TRANSLATE_ENABLED). La traduction est conservée avec le message et effacée avec lui.

service d'e-mails marketing (Brevo, Mailchimp ou Klaviyo — les deux derniers aux États-Unis) reçoit l'e-mail, la langue, le pays et les thèmes d'un abonné à la lettre d'information ; les réseaux d'affiliation Awin et Travelpayouts reçoivent, pour une réservation issue de leur lien, la référence de la réservation, le montant et l'identifiant de clic du réseau ; notre service de signalement d'erreurs (Sentry ou un service compatible) reçoit des rapports d'erreur dont les noms, adresses e-mail, jetons et données de paiement ont été supprimés ; et, pour les réservations aux États-Unis, un calculateur de taxe sur les ventes (Stripe Tax, TaxJar ou Avalara) reçoit le montant et les lieux de la prestation — jamais votre nom ni vos coordonnées. Chacun agit en tant que notre sous-traitant.

PBC, États-Unis ; ou un autre fournisseur que nous indiquons ici avant d'en changer) génère du texte pour des fonctionnalités signalées comme générées par l'IA : résumés d'avis publiés, brouillons d'annonces à partir des propres notes ou du site web d'un opérateur, et brouillons de réponses et de messages que l'opérateur modifie avant de les envoyer. Pour les avis, seuls le texte de l'avis et la note sont transmis, jamais le nom de son auteur. Pour les brouillons de réponses, seuls les derniers messages de cette seule conversation sont transmis, les noms étant remplacés et les adresses e-mail, numéros de téléphone et liens supprimés, ainsi que les informations publiques de l'annonce et la date et la taille du groupe de la réservation — jamais votre e-mail, votre téléphone, la référence de votre réservation ni vos données de paiement ; rien n'est transmis tant que l'opérateur n'a pas appuyé sur Suggérer une réponse. Le fournisseur agit en tant que notre sous-traitant en vertu de ses conditions commerciales et de son avenant relatif au traitement des données, n'entraîne pas ses modèles sur ces données et ne les conserve que brièvement aux fins de la détection des abus. Nous ne conservons aucune copie de ce qui a été transmis ou répondu pour les brouillons ; nous enregistrons uniquement qu'un brouillon a été créé (fonctionnalité, modèle, taille, coût). Les résumés d'avis sont conservés avec l'annonce et indiquent les avis utilisés. Le même fournisseur identifie également les thèmes des avis publiés (seules les phrases de l'avis sont transmises, jamais le nom de son auteur), traduit et améliore le texte des annonces à la demande d'un opérateur (le texte des annonces peut alors être traduit par lui plutôt que par DeepL ou Google), et lit les pages du propre site web d'un opérateur pour proposer des brouillons d'annonces (l'outil d'importation de catalogue, qui les récupère sous le nom TheGuideBot).

et les messages WhatsApp ; Vonage (Vonage, Royaume-Uni/États-Unis) peut acheminer les SMS à la place, selon notre configuration. Ils reçoivent votre numéro de téléphone et le texte, et nous indiquent si le message a été remis et si vous avez répondu STOP. Les messages WhatsApp transitent également par la plateforme WhatsApp Business de Meta. Les SMS sont supprimés de nos systèmes au bout de 180 jours.

endroit les messages que vous envoyez à son propre numéro WhatsApp (via Twilio), à son compte Instagram (via la messagerie Instagram de Meta Platforms) ou à son adresse e-mail de réservation (via notre prestataire d'e-mails entrants, Postmark, Resend, Mailgun ou Amazon SES ; avec Amazon SES, un message peut également séjourner brièvement dans notre propre espace de stockage chez Amazon Web Services avant que nous ne le lisions). Nous conservons le message, le numéro, l'identifiant propre à Instagram ou l'adresse e-mail depuis lequel vous avez écrit, et le rattachons à votre réservation auprès de cet opérateur lorsque le numéro ou l'e-mail correspond à une réservation payée. Les messages adressés à notre propre numéro WhatsApp ne parviennent à un opérateur que si vous détenez une réservation payée auprès de lui. Nous ne transmettons ces messages à personne d'autre, et une question que vous avez posée sur Jet.Guide avant de réserver reste masquée comme auparavant. Les réponses sont envoyées par le même canal, uniquement dans les 24 heures suivant votre dernier message WhatsApp ou Instagram, et jamais à des fins de marketing. Ces conversations sont supprimées 365 jours après leur dernier message ; vous pouvez demander à l'opérateur ou à nous-mêmes d'en supprimer une plus tôt. La base juridique est l'intérêt légitime de l'opérateur et le nôtre à vous répondre (6(1)(f)) et, pour une réservation, le contrat.

message, transférer votre e-mail ou en téléverser une capture d'écran, et faire rédiger par un modèle d'IA (notre fournisseur d'IA, comme ci-dessus) un brouillon de réservation à partir de celui-ci — votre nom, vos coordonnées, la date et le groupe tels que vous les avez indiqués. L'opérateur vérifie chaque champ et confirme ; l'IA ne réserve rien. Les captures d'écran ne sont pas conservées ; le texte et le brouillon sont effacés 30 jours après la décision de l'opérateur.

ou FlightAware AeroAPI (selon notre configuration) reçoit le numéro de vol, la date d'arrivée et l'aéroport — jamais votre nom, votre e-mail, votre téléphone ni votre réservation.

(points de prise en charge, zones, destinations). Si nous activons un service de géocodage externe — OpenStreetMap Nominatim, Google Places ou Mapbox — il reçoit le texte que vous avez saisi, la langue et, lorsque nous en disposons, un point à proximité pour orienter les résultats ; jamais votre compte ni votre réservation. Les réponses de Nominatim sont mises en cache pendant 30 jours, celles de Google pendant un jour au plus, celles de Mapbox ne sont pas conservées.

départ, nous estimons les temps de trajet sur notre propre serveur. Si nous activons un service de calcul d'itinéraires — OSRM (sur un serveur que nous exploitons ou louons) ou Google Routes — il ne reçoit que les coordonnées des arrêts et du point de départ, qui peuvent inclure la position d'une adresse de prise en charge que vous avez indiquée ; jamais votre nom, le texte de l'adresse, vos coordonnées ni votre réservation.

selon notre configuration), il contient nos annonces et reçoit les mots que vous recherchez et la langue — ni votre compte ni aucune réservation.

qui les délivre — Google (Chrome, Android), Mozilla (Firefox), Apple (Safari) ou Microsoft (Edge). Le message est chiffré de bout en bout (RFC 8291) : le service push ne voit que le texte chiffré, l'adresse que votre navigateur nous a fournie et le moment de l'envoi. Dans notre application (Android et iOS), les notifications sont acheminées par Google Firebase Cloud Messaging (Android) et Apple Push Notification service (iOS) : ils reçoivent le jeton push de l'appareil ainsi que le titre et le texte de la notification — par exemple qu'une réservation est confirmée, un rappel ou les coordonnées de votre chauffeur — et peuvent les lire ; elles ne sont pas chiffrées de bout en bout.

votre réservation change, le service push d'Apple (APNs) indique à votre appareil de récupérer la nouvelle carte auprès de nous. Une carte Google Wallet est créée chez Google lorsque vous appuyez sur « Enregistrer dans Google Wallet » et mise à jour par nos soins via l'API Wallet de Google. Une carte comporte l'expérience, la date, l'heure, le point de rendez-vous ou la prise en charge, la taille du groupe, la référence de la réservation et son code — jamais votre nom, votre e-mail, votre téléphone ni vos réponses.

l'identifiant de votre compte chez ce fournisseur, votre e-mail, s'il l'a vérifié et votre nom ; nous ne lui communiquons rien d'autre que le fait que vous vous connectez à Jet.Guide. Ils sont des responsables du traitement distincts pour votre compte chez eux.

facultative lors du paiement. Pour le devis, le partenaire de distribution de l'assureur reçoit la date, la durée, le pays et le coût du voyage, le nombre de voyageurs et votre pays de résidence — ni votre nom ni vos coordonnées. Une fois la réservation payée, il reçoit vos nom et e-mail et la référence de la réservation, afin d'émettre la police. L'assureur est un responsable du traitement distinct pour la police et tout sinistre, en vertu de sa propre politique de confidentialité (dont le lien figure à côté de l'offre). Nous conservons le devis, votre choix et les termes que vous avez vus.

d'autres entreprises (eSIM, consigne à bagages, location de voitures, hôtels) ne transmettent rien sur vous ni sur votre réservation. L'identifiant d'affiliation d'un partenaire n'est ajouté au lien que si vous avez accepté les cookies publicitaires ; nous ne comptons les clics qu'au total.

nous pouvons afficher des offres vendues par d'autres plateformes — Viator, GetYourGuide, Tiqets, Musement, Klook, Civitatis, Kiwitaxi et GetTransfer, selon celles qui sont activées. Lorsque vous en choisissez une, notre lien compte le clic et vous redirige vers le site du partenaire. Le partenaire ne reçoit qu'un identifiant de clic aléatoire avec notre identifiant de partenaire — jamais votre nom, votre e-mail, votre compte, votre réservation ni votre adresse — et uniquement si vous avez accepté la publicité ; sans ce consentement, vous accédez au partenaire sans aucun identifiant de notre part. Nous conservons le clic (le partenaire, l'offre, la page sur laquelle elle figurait, et un code qui change chaque jour afin qu'un double clic ne compte qu'une fois) sans votre compte, votre adresse réseau ni votre navigateur, pendant 13 mois. Le partenaire nous communique en retour sa référence de réservation, le statut et notre commission, rien sur vous. Ce que vous y réservez relève de vous et du partenaire, selon ses conditions et sa politique de confidentialité.

que de telles offres pourraient être affichées, nous vérifions si vous avez réservé l'un de nos services au cours des dernières 24 heures — uniquement pour écarter un transfert ou une activité d'un partenaire qui pourrait constituer avec celui-ci une prestation de voyage liée. Rien de cette vérification n'est conservé ni transmis à un partenaire, et les offres que vous voyez ne dépendent d'aucun profil vous concernant.

lorsqu'aucun de nos propres transporteurs n'assure un trajet, nous pouvons vous vendre un transfert proposé par un fournisseur grossiste — Mozio, Hoppa ou Suntransfers, selon ceux qui sont activés — assuré par la société indiquée sur l'offre. Pour la recherche, le fournisseur reçoit les lieux, l'heure et le nombre de passagers et de bagages, rien sur vous. Lorsque vous réservez et payez, il reçoit le nom, l'e-mail et le téléphone du passager principal, le numéro de vol si vous en indiquez un (afin que le chauffeur puisse suivre un atterrissage tardif) et votre note au chauffeur, afin de réserver et d'assurer le trajet ; il nous communique le nom, le téléphone et le véhicule du chauffeur. Nous conservons la réservation aussi longtemps que les autres réservations (comptabilité). Le fournisseur et la société qui assure le trajet sont des responsables du traitement distincts pour le trajet.

à votre compte votre adhésion au programme d'un partenaire (les miles d'une compagnie aérienne, les points d'une banque), nous conservons le numéro d'adhérent et le nom que vous indiquez, et transmettons au partenaire, pour chaque réservation réalisée, le numéro, le nom, notre référence de réservation, la date, le montant et les points acquis — via son API ou dans un fichier que notre personnel lui envoie. La conversion de points en crédit chez nous transmet le numéro et les points à déduire. Rien d'autre concernant vos réservations n'est transmis. Supprimez l'adhésion à tout moment : plus rien n'est transmis. Lorsque vous ajoutez un numéro, le partenaire le reçoit d'abord pour vous envoyer un code confirmant que l'adhésion vous appartient ; une fois le code saisi, le partenaire nous remet un jeton de consentement afin que nous puissions afficher votre solde et convertir des points en crédit. Nous conservons le jeton avec l'adhésion, ne l'incluons jamais dans le téléchargement de vos données et l'effaçons avec l'adhésion. Une exception à « plus rien n'est transmis » : le remboursement d'une réservation ayant déjà donné lieu à des points est tout de même signalé au partenaire par notre personnel, afin que ces points soient repris.

Bulgarie, vous pouvez payer une réservation via ePay.bg (ePay AD, Bulgarie) — par carte ou depuis votre micro-compte ePay sur la page propre d'ePay, ou en espèces dans un point EasyPay contre un code à 10 chiffres que nous vous envoyons par e-mail. ePay reçoit de notre part le montant, un numéro de paiement et une brève description (la référence de la réservation et l'expérience), jamais votre nom ni vos coordonnées ; ce que vous saisissez sur sa page est traité par ePay selon ses propres conditions. Un remboursement est effectué via ePay sur la carte ou le micro-compte ; pour un paiement en espèces chez EasyPay, nous vous envoyons par e-mail un lien vers un formulaire sécurisé, utilisable une seule fois et valable 14 jours, où vous saisissez l'IBAN et le nom du titulaire du compte, afin d'effectuer le remboursement par virement bancaire (veuillez ne pas envoyer de coordonnées bancaires par e-mail). L'IBAN est conservé chiffré et utilisé uniquement pour ce virement ; notre équipe financière le voit masqué, réduit à son pays, à sa clé de contrôle et à ses quatre derniers caractères, et ne l'affiche en entier que pour effectuer le virement, ce qui est journalisé. Une fois le remboursement effectué, seuls l'IBAN masqué et le nom sont conservés, avec l'enregistrement du remboursement.

à l'IBAN (vérification du bénéficiaire, règlement (UE) 2024/886). La banque reçoit le nom que nous détenons et l'IBAN ; nous conservons sa réponse, le nom vérifié, le nom qu'elle a renvoyé en cas de correspondance approchante et l'IBAN masqué, réduit à son pays, à sa clé de contrôle et à ses quatre derniers caractères, avec l'enregistrement du versement. Cela concerne les opérateurs et les partenaires, qui sont généralement des professionnels.

annonce ou à un profil de guide, ou que vous ajoutez à votre avis, est transmise à notre prestataire vidéo — Mux (Mux, Inc., États-Unis) ou Cloudflare Stream (Cloudflare, Inc., États-Unis), selon notre configuration — ou est conservée sur notre propre espace de stockage. Le prestataire reçoit le fichier et, lorsque quelqu'un la regarde, l'adresse IP et le navigateur du spectateur, comme tout hébergeur de vidéos ; jamais votre nom ni votre réservation. Une vidéo d'avis n'est affichée qu'avec l'avis publié, peut être masquée par nos modérateurs et est supprimée avec votre avis ou lorsque vous nous demandez d'effacer vos données.

pièces jointes PDF, documents) est contrôlé par un antivirus (ClamAV) fonctionnant sur nos propres serveurs ; rien n'est transmis ailleurs. Un fichier reconnu comme infecté est refusé, et nous conservons son empreinte (un hachage), l'auteur du téléversement et sa date, à titre d'enregistrement de sécurité.

demander à l'un de ses guides ou chauffeurs de prouver son identité via Stripe Identity (Stripe). Le guide ou le chauffeur photographie une pièce d'identité et, si nécessaire, prend un selfie que Stripe compare avec celle-ci. Stripe reçoit ces images et les données qu'il lit sur le document ; nous ne conservons que le résultat (vérifié ou non, et le code de motif de Stripe) et sa date. Cela concerne le personnel des opérateurs, et non les voyageurs.

messages WhatsApp directement via la WhatsApp Business Cloud API de Meta (Meta Platforms Ireland Ltd.). Meta reçoit alors votre numéro de téléphone et le message et nous indique s'il a été remis et lu.

Azure AI Speech transforment les textes de visite d'un opérateur en narration (aucune donnée de voyageur) ; Twilio (Voice) relie l'appel de notre agent à votre numéro lorsque vous avez demandé à être rappelé.

systèmes ou un service d'automatisation (par exemple Zapier) à son compte au moyen d'une clé d'API ; ceux-ci reçoivent alors ses réservations, y compris votre nom et vos coordonnées, comme par les webhooks de l'opérateur. L'opérateur est responsable de ces outils.

comptabilité Xero ou QuickBooks Online. Nous y transmettons alors les ventes de l'opérateur (notre numéro de reçu, la référence de la réservation, l'expérience et le montant), les remboursements, nos factures de commission et nos versements — par défaut sous un seul contact pour tous les clients ; uniquement si l'opérateur le choisit, sous votre nom. Jamais votre e-mail, votre téléphone ni votre adresse. L'opérateur décide de ce transfert et est le responsable du traitement de sa comptabilité ; nous agissons pour son compte.

paiement, qu'un opérateur vous envoie par e-mail ses actualités et ses offres, cet opérateur peut vous adresser des campagnes d'e-mails via Jet.Guide. L'opérateur les rédige, choisit leurs destinataires (par exemple les clients de l'une de ses expériences) et est l'expéditeur et le responsable du traitement de ces e-mails ; nous les envoyons pour son compte en tant que son sous-traitant. Chacun d'eux nomme l'opérateur et comporte un lien de désabonnement en un clic, qui retire votre consentement à l'égard de cet opérateur ; une plainte concernant l'un d'eux a le même effet. Nous conservons quelle campagne a été envoyée à votre adresse et si elle a été remise ou rejetée, ainsi qu'une copie hachée de toute adresse désabonnée, afin qu'elle ne reçoive plus d'e-mails. Nous ne suivons ni les ouvertures ni les clics.

du paiement, la case qui permet à un opérateur de vous envoyer par e-mail ses actualités et ses offres ne suffit pas à lui seul. Une fois la réservation payée, nous envoyons à cette adresse un e-mail contenant un lien de confirmation, et l'opérateur ne peut vous écrire qu'après que vous l'avez utilisé. D'ici là, rien n'est envoyé et votre adresse n'est pas communiquée à l'opérateur à des fins de marketing ; si vous ignorez le lien, elle ne l'est jamais (il fonctionne pendant 30 jours). Nous conservons la date à laquelle la case a été cochée, celle de l'envoi du lien et celle de votre confirmation, comme preuve de votre consentement. Un désabonnement antérieur de cet opérateur reste en vigueur tant que vous n'avez pas de nouveau confirmé de cette manière. Les consentements donnés avant la mise en place de ce contrôle attendent la même confirmation.

avez transférée dans votre voyage ne contient aucune donnée de réservation structurée, son objet et jusqu'à 8 000 caractères de son texte sont transmis à notre fournisseur de modèles d'IA (comme ci-dessus) pour y trouver les réservations. Le fournisseur agit en tant que notre sous-traitant et n'entraîne pas ses modèles sur ces données ; nous ne conservons ni ce qui a été transmis ni la réponse, uniquement les éléments que vous voyez ensuite sous forme de brouillons, et nos registres d'utilisation ne conservent que la taille et le coût.

Google, Google (Google Ireland Ltd / Google LLC) nous transmet les réservations que vous effectuez sur Google Maps ou dans la recherche Google, et reçoit en retour leur statut et les coordonnées qu'elles comportent ; il reçoit également, dans des flux, le nom commercial et l'adresse de l'opérateur ainsi que les cours qu'il propose. Google est un responsable du traitement distinct pour les données de ses utilisateurs.

Certains prestataires sont établis aux États-Unis ; les transferts reposent sur le cadre de protection des données UE–États-Unis (Data Privacy Framework) ou sur des clauses contractuelles types.

Durée de conservation

| Données | Conservation | |---|---| | Compte | jusqu'à ce que vous l'effaciez | | Données financières de la réservation (montants, dates, paiement, grand livre) | 10 ans, comme l'exige le droit comptable bulgare (loi sur la comptabilité, art. 12) — sans votre nom ni vos coordonnées une fois votre compte effacé | | Coordonnées et réponses liées à la réservation | tant que votre compte existe ; pour les réservations en tant qu'invité, (durée de conservation à fixer avec le conseil juridique, proposition : 3 ans après l'expérience) | | Avis | tant que l'annonce existe ; après effacement, affichés sous la mention « Ancien voyageur » et plus rattachés à vous | | Traductions automatiques d'un message ou d'un avis (effectuées sur demande, ou automatiquement pour un message d'un opérateur qui vous est envoyé par e-mail) | aussi longtemps que le message ou l'avis lui-même ; supprimées avec lui | | Signalements au titre du DSA | la décision et ses motifs sont conservés ; l'identité de l'auteur du signalement est supprimée lorsqu'il efface son compte | | Journal de sécurité | conservé ; il est infalsifiable, ne peut pas être modifié et enregistre les événements du compte sans votre e-mail | | Sessions connectées | supprimées 90 jours après la fin ou la dernière utilisation de la session, et immédiatement lorsque vous effacez votre compte | | SMS et messages (SMS, WhatsApp) | 180 jours, puis supprimés | | « Qui participe » | jusqu'à ce que vous le désactiviez (suppression immédiate), que la réservation soit annulée, que l'opérateur cesse de le proposer, ou 30 jours après le départ | | Position du chauffeur en direct | uniquement la dernière position ; supprimée lorsque le trajet progresse, au plus tard après 30 minutes, et immédiatement lorsque le chauffeur retire son consentement | | Signatures de décharges de responsabilité | champs personnels (et réponses relatives à la santé) effacés après l'activité augmentée de la durée de conservation de l'opérateur (90 jours, sauf si l'opérateur en fixe une autre) ; immédiatement si la réservation est annulée ou si vous effacez votre compte. Le fait de la signature, la version et les hachages sont conservés | | Besoins alimentaires et indications d'allergies | effacés 7 jours après l'activité ; immédiatement si la réservation est annulée, si vous les supprimez sur la page de réservation ou si vous effacez votre compte | | Données d'identité qu'un opérateur demande pour chaque participant (numéro de carte d'identité ou de passeport, nationalité, date de naissance, date d'expiration du passeport) | effacées 7 jours après l'activité ; dans l'heure si la réservation est annulée ; immédiatement si vous effacez votre compte. Vos autres réponses restent avec la réservation | | Alertes de prix | jusqu'à la fin de l'alerte (une baisse a été signalée par e-mail, 180 jours, ou ses dates sont passées), puis 30 jours ; immédiatement en cas de désabonnement ou d'effacement | | Recommandations | non conservées | | Recherches sans résultat | uniquement les mots, en minuscules, comptés par jour, par marché et par langue — jamais l'auteur de la recherche (ni compte, ni adresse, ni appareil, ni session) ; les mots qui ressemblent à une adresse e-mail, à un numéro de téléphone ou à une référence de réservation ne sont pas conservés du tout ; supprimées au bout de 90 jours | | Conversations avec le concierge | 30 jours après votre dernier message (CONCIERGE_RETENTION_DAYS), puis supprimées avec les éventuelles confirmations en attente ; immédiatement lorsque vous supprimez la conversation | | Discussions en direct avec notre service d'assistance | 90 jours après la clôture de la discussion (LIVE_CHAT_RETENTION_DAYS), puis supprimées ; la transcription figurant dans la demande d'assistance est conservée comme les demandes d'assistance | | Vos propres éléments de voyage et votre adresse de transfert | jusqu'à ce que vous les supprimiez ou effaciez votre compte ; un e-mail transféré n'est pas conservé, seuls les éléments qui en sont extraits le sont | | Paiements partagés | les montants, paiements et remboursements restent avec les données financières de la réservation ; les adresses e-mail de vos amis sont supprimées 30 jours après la fin du partage, ou plus tôt lorsque vous effacez votre compte ou que l'ami le demande ; la carte enregistrée pour le solde est supprimée chez Stripe à la fin du partage, et immédiatement lorsque vous effacez votre compte | | Chat du départ | messages supprimés 30 jours après la fin du départ (un message signalé est conservé avec le signalement) ; les voyageurs que vous avez bloqués, jusqu'à ce que vous annuliez les blocages ou effaciez votre compte | | Réservations via Google | comme les autres réservations ; l'identifiant que Google vous attribue est supprimé avec les données personnelles de la réservation | | Assistants liés à votre compte | jusqu'à ce que vous retiriez l'accès ou effaciez votre compte (les liaisons et leurs jetons sont alors supprimés) ; les jetons d'accès expirent au bout d'une heure, les jetons d'actualisation au bout de 30 jours ; la liste des actions effectuées par un assistant reste avec votre compte, et, après effacement, sans celui-ci | | Contrôles antifraude des réservations | les hachages de votre e-mail, de votre réseau et de votre carte : 180 jours, ou jusqu'à l'effacement de votre compte s'il intervient plus tôt ; le score et les signaux restent avec l'enregistrement de la réservation | | Preuves en cas de rétrofacturation (uniquement lorsque l'option est activée) | l'adresse réseau et le navigateur depuis lesquels une réservation a été payée : 180 jours | | Messages échangés avec les opérateurs, et leurs pièces jointes | conversations par e-mail, WhatsApp et Instagram : 365 jours après le dernier message ; chaque conversation et ses fichiers sont supprimés lorsque vous effacez votre compte ou que nous donnons suite à votre demande vérifiée | | Demandes d'assistance | vos nom, adresse, objet et messages sont supprimés lors de l'effacement ; la catégorie et les dates restent pour nos statistiques de service | | Détails du transfert (adresses de prise en charge et de dépose, numéro de vol, nom sur la pancarte, position en direct) | supprimés lors de l'effacement ; le trajet, ses horaires et son tarif restent avec les données financières de la réservation | | Demandes de devis pour groupes et privatisations | vos nom, coordonnées, informations sur le groupe et notes sont supprimés lors de l'effacement ; les dates, montants et paiements restent | | Réservations de groupe : la liste des noms, les membres invités à payer une part, les reçus au nom d'une société (uniquement tant que l'option est activée) | les noms que l'organisateur indique et l'adresse e-mail d'un membre invité à payer une part : effacés 30 jours après l'activité, ou lors de l'effacement par l'organisateur ou le membre ; le montant et le paiement d'une part payée restent avec les données financières de la réservation. Les informations relatives à la société que l'organisateur fournit pour les reçus : supprimées lors de l'effacement ; les reçus déjà émis restent tels qu'émis | | Cartes cadeaux | la carte, son solde et son paiement : 10 ans (comptabilité) ; les noms et adresses de l'acheteur et du bénéficiaire ainsi que le message sont supprimés lors de l'effacement (une carte achetée pour une autre personne et pas encore remise conserve l'adresse du bénéficiaire jusqu'à son envoi) | | Avoirs et points de fidélité | les soldes et leur grand livre : 10 ans (comptabilité), rattachés après effacement uniquement à un numéro de compte anonyme. Nous n'effaçons pas un compte sur lequel il reste un avoir, sauf si vous déclarez y renoncer | | Factures et reçus | 10 ans, tels qu'émis : une facture émise ne peut pas être modifiée (loi sur la TVA, art. 114 ; loi sur la comptabilité, art. 12) | | Assurance voyage souscrite avec une réservation | l'enregistrement de la police reste avec les données financières de la réservation (tenue des registres de distribution d'assurances) ; l'assureur conserve votre police en tant que responsable du traitement distinct | | Pass et adhésions | le nom et la photo du titulaire, l'adresse de l'acheteur, la carte enregistrée et le consentement au renouvellement sont supprimés lorsque vous effacez votre compte (le pass ne peut alors plus être utilisé) ; les périodes payées, les remboursements et les entrées restent avec les données financières et le registre des entrées de l'opérateur. La liste d'accès hors ligne d'un opérateur ne contient les photos que sous forme chiffrée et est supprimée avec cette liste | | Relevés de rémunération des guides | conservés pour l'opérateur en tant que registre de paie, tant que son compte existe | | Permis de skipper (location de bateaux) | la copie numérisée est supprimée 19 jours après la fin de la location (après le délai de réclamation sur la caution), seuls les trois derniers caractères du numéro de permis étant conservés ; immédiatement lorsque vous effacez votre compte ; une réclamation sur la caution, ses photos et la décision sont conservées comme preuves en vue de réclamations juridiques | | Lettre d'information et e-mails sur les annonces que vous avez consultées | jusqu'à votre désabonnement ou l'effacement de votre compte ; lors de l'effacement, nous vous supprimons également chez notre prestataire d'e-mails | | Preuve du consentement (SMS, choix en matière de cookies) | conservée comme preuve de ce qui a été accepté, sans votre numéro de téléphone, votre compte ni votre adresse réseau une fois votre compte effacé | | Listes d'opposition aux contacts | un numéro ayant répondu STOP, ou un hachage irréversible d'une adresse s'étant désinscrite, conservé afin que nous ne la contactions plus jamais | | Textes juridiques que vous avez acceptés | 5 ans après votre dernière réservation, comme preuve des conditions convenues | | Demandes relatives à la vie privée | le fait qu'une demande a été formulée, sa nature et ses dates : conservés comme preuve que nous y avons répondu ; les notes du personnel sur la manière dont votre identité a été vérifiée : 3 ans après la clôture de la demande ; un lien de téléchargement fonctionne pendant 7 jours | | Clics sur des offres d'autres plateformes | le partenaire, l'offre, la page et un code qui change chaque jour, sans votre compte, votre adresse réseau ni votre navigateur : 13 mois, puis supprimés | | Réservations transmises par un canal de vente d'un opérateur et qui n'ont pas pu être enregistrées automatiquement (GetYourGuide, Viator, Expedia et autres) | le nom du voyageur principal transmis par le canal, le temps que l'opérateur décide : au plus 30 jours après sa transmission par le canal, puis effacé ; le canal, sa référence, le groupe et le montant restent avec le registre des ventes de l'opérateur | | Plans de voyage | un plan enregistré : dans votre compte jusqu'à ce que vous le supprimiez ou supprimiez votre compte ; sans compte, 30 jours après sa dernière modification. Un fichier à partir duquel vous avez commencé n'est jamais conservé | | Préférences de voyage | jusqu'à ce que vous désactiviez la mémoire (suppression immédiate) ou effaciez votre compte ; les besoins d'accessibilité, jusqu'à ce que vous retiriez votre consentement à leur égard | | Signalements qu'une réponse de l'IA est erronée | 180 jours après leur clôture par notre équipe (un an au plus tant qu'ils sont ouverts) ; votre compte et votre note sont supprimés lors de l'effacement | | Paniers enregistrés par un assistant | supprimés un jour après l'expiration du lien (7 jours, sauf si nous fixons une autre durée, 30 au plus) | | Planification en groupe | questions à l'assistant et ses réponses : 30 jours ; la présélection, les votes et le sondage de dates du groupe : 30 jours après que le groupe cesse d'être partagé ; vos propres ajouts et votes, immédiatement lors de l'effacement | | Mises en relation entre participants | l'accord tant que vous ne vous êtes pas désinscrit ; une mise en relation et ses messages jusqu'à ce que l'un des participants y mette fin ou efface son compte | | Demandes d'alignement de prix | les montants, dates et la décision restent avec les données financières de la réservation ; votre compte, votre adresse, votre note et votre capture d'écran sont supprimés lors de l'effacement | | Paiements échelonnés | l'échéancier, les paiements et votre accord restent avec les données financières de la réservation ; les données de la carte sont supprimées lors de l'effacement, et la carte elle-même chez Stripe dès que plus rien n'est dû | | SMS des opérateurs | les SMS (numéro et texte) : 90 jours après leur envoi (OPERATOR_SMS_RETENTION_DAYS) ; un consentement jusqu'à ce que vous le retiriez ou effaciez votre compte ; un STOP conservé afin que l'opérateur n'écrive plus jamais à ce numéro | | Conversations avec l'accueil IA d'un opérateur, et appels à son standard IA | 30 jours après le dernier message ou l'appel ; immédiatement lorsque vous effacez votre compte | | Taille, poids et pointure indiqués dans une décharge ; décharges sur place | les mesures avec les champs personnels de la décharge ; une décharge sur place non rattachée à une réservation, au bout de 7 jours (ou de 1 à 30 jours selon l'opérateur) | | Votre position au point de rendez-vous | effacée 30 jours après l'enregistrement | | Connexions des équipes des opérateurs (flux de sécurité) | 180 jours | | Relevés de rémunération des chauffeurs | conservés pour le transporteur en tant que registre de paie, tant que son compte existe | | Achat via une plateforme d'IA | la session de paiement avec vos données : 30 jours après son heure d'expiration si elle n'a pas été finalisée, 180 jours après sa finalisation ; notre réponse à chaque requête : 24 heures ; les messages de statut envoyés à la plateforme : 30 jours | | Mesure publicitaire propre à un opérateur | votre choix et les identifiants transmis : 90 jours | | Photos après la visite | les photos et votre choix : 30 jours après la fin du départ (nous pouvons fixer de 7 à 180 jours) ; une photo retirée : supprimée immédiatement ; un lot de photos acheté : son paiement reste avec les données financières | | Adhésions aux programmes de fidélité partenaires | le numéro d'adhérent, le nom et le jeton de consentement du partenaire : jusqu'à ce que vous supprimiez l'adhésion ou effaciez votre compte ; les points transmis pour chaque réservation : avec les données financières de la réservation, sans votre compte après effacement | | Transferts proposés par des fournisseurs grossistes | comme les autres réservations : le nom, l'e-mail, le téléphone, le numéro de vol du passager principal et sa note au chauffeur sont supprimés lors de l'effacement ; le trajet et son tarif restent avec les données financières | | La carte de voyage | vos choix, les expériences que vous avez masquées et les termes que vous avez acceptés : jusqu'à ce que vous désactiviez la carte ou effaciez votre compte | | Paiements via ePay.bg et EasyPay | le paiement et ses remboursements : avec les données financières de la réservation ; l'IBAN que vous saisissez pour un remboursement en espèces : chiffré jusqu'à ce que le remboursement soit effectué, puis uniquement masqué, réduit à son pays, à sa clé de contrôle et à ses quatre derniers caractères, avec le nom du titulaire du compte, dans les données financières de la réservation | | Vérification du bénéficiaire (versements aux opérateurs et aux partenaires) | la réponse de la banque, le nom vérifié et l'IBAN masqué, réduit à son pays, à sa clé de contrôle et à ses quatre derniers caractères : avec l'enregistrement du versement |

Vos droits

Vous pouvez accéder à vos données, les rectifier, les télécharger, en limiter le traitement ou vous y opposer, et les effacer.

lié à votre compte sous forme de fichier JSON, ou sous forme de page lisible. Une fois votre adresse e-mail vérifiée, cela inclut également ce que nous détenons sous cette adresse, comme les réservations que vous avez effectuées en tant qu'invité.

déconnectons partout et supprimons vos nom, e-mail, téléphone, messages, fichiers téléversés, listes enregistrées et données de connexion, comme indiqué dans le tableau ci-dessus. Les données financières de vos réservations sont conservées sans vos données personnelles, comme l'exige la loi. Nous ne pouvons pas effacer un compte tant qu'il comporte une réservation payée à venir (l'opérateur a besoin de vos données pour l'assurer), tant qu'une réclamation portant sur l'une de vos réservations est en cours d'examen, ou tant que vous gérez un compte d'opérateur, de partenaire ou de professionnel — contactez-nous pour clôturer ceux-ci au préalable. S'il reste un avoir, nous vous demandons de confirmer que vous y renoncez.

vous avez consultées, le choix relatif à l'analyse et à la publicité sur votre appareil et le Global Privacy Control, chacun avec son bouton de désactivation, ainsi qu'un bouton unique qui les retire tous. SMS marketing d'un opérateur : retirez votre consentement sur la page de réservation, ou répondez STOP à l'un d'eux.

Vos choix en matière de confidentialité. Nous envoyons un lien par e-mail à l'adresse sous laquelle vos données sont conservées, afin de vérifier que la demande émane bien de vous, avant de communiquer ou de supprimer quoi que ce soit. Un membre de notre équipe consigne la manière dont il a vérifié votre identité, puis vous envoie un lien vers vos données (il fonctionne pendant 7 jours) ou les efface selon les mêmes règles que l'effacement du compte lui-même.

utilisons vos données. Nous en accusons réception immédiatement par e-mail, l'examinons et vous informons de l'issue. Vous pouvez également, à tout moment, introduire une réclamation auprès d'une autorité de protection des données (voir ci-dessus).

Nous répondons dans un délai d'un mois. Si nous avons besoin de plus de temps, nous vous en indiquons les raisons dans ce délai d'un mois ; la loi permet une prolongation de deux mois au plus.