Politique de confidentialité

Responsable du traitement

Le responsable du traitement des données collectées sur etaperia.com est Kylian Surget, entrepreneur individuel, siège 6 rue d'Armaillé, 75017 Paris, France.

Pour toute question ou demande relative à vos données : contact@etaperia.com.

Aucun délégué à la protection des données n'a été désigné : l'activité ne relève d'aucun des cas rendant cette désignation obligatoire.

Le principe : le strict nécessaire

Le site ne collecte que les données que vous saisissez vous-même, et pour les seuls usages qui les justifient : vous envoyer les annonces de sortie auxquelles vous vous êtes inscrit, vous livrer un itinéraire que vous avez acheté, et répondre aux demandes que vous adressez par email, dont les demandes d'itinéraire sur mesure.

Aucune donnée n'est vendue, louée ou échangée. Aucun profilage publicitaire, aucune décision automatisée, aucune revente à des courtiers en données.

Inscription aux annonces de sortie

Quand vous laissez votre adresse dans le formulaire d'annonce des prochaines destinations, cette adresse est enregistrée avec la date de l'inscription et la langue de la page au moment de l'inscription, qui fixe la langue des messages. Pour plafonner le nombre d'inscriptions par connexion et écarter les robots, votre adresse IP sert de clé à un compteur éphémère d'une minute, qui n'est ni enregistré ni conservé au-delà, sur la base de l'intérêt légitime du responsable de traitement (sécurité, article 6.1.f du RGPD). Rien d'autre.

Finalité : vous prévenir de la sortie de nouveaux itinéraires. Base légale : votre consentement, article 6.1.a du RGPD. Vous pouvez le retirer à tout moment : par le lien de désinscription présent dans chaque message, ou par simple demande à contact@etaperia.com.

Durée de conservation : jusqu'au retrait de votre consentement, exercé par le lien de désinscription de chaque message ou une simple demande à contact@etaperia.com, et au plus tard trois ans après votre inscription : une tâche automatique hebdomadaire supprime alors l'adresse de la liste.

Achat d'un itinéraire

Le paiement est traité par Stripe sur une page hébergée par Stripe. Vos coordonnées bancaires sont saisies chez Stripe, transitent chez Stripe, et ne sont à aucun moment reçues ni stockées par le vendeur.

Le vendeur reçoit de Stripe les données nécessaires à la commande : adresse email, nom, pays de facturation, montant, date et référence de la transaction.

Finalités : livrer l'itinéraire acheté, éditer la facture, répondre au service client, respecter les obligations comptables et fiscales. Bases légales : l'exécution du contrat, article 6.1.b du RGPD, et une obligation légale pour la conservation des pièces comptables, article 6.1.c.

Durée de conservation : les données de commande sont conservées pendant la durée de la relation commerciale, puis archivées dix ans au titre des obligations comptables (article L123-22 du code de commerce).

Compte client

L'accès aux itinéraires achetés passe par un compte client, créé avec votre adresse email et un mot de passe. Le mot de passe n'est jamais lisible par le vendeur : seule une empreinte cryptographique en est conservée.

Vous pouvez aussi vous connecter via Google, fournisseur d'identité optionnel : Google communique alors au site votre adresse email et vos données de profil de base (nom, photo de profil), et aucune autre donnée de votre compte Google n'est collectée. L'usage de ce bouton reste soumis à la politique de confidentialité de Google.

À chaque connexion, le service d'authentification (Clerk) enregistre également l'adresse IP et le navigateur utilisés, dans la liste de vos sessions actives et dans un journal d'audit : ces données servent uniquement à sécuriser le compte et à repérer un accès anormal. Base légale : l'intérêt légitime du responsable de traitement (sécurité), article 6.1.f du RGPD.

Finalité : vous identifier pour vous donner accès aux itinéraires que vous avez achetés. Base légale : l'exécution du contrat, article 6.1.b du RGPD.

Durée de conservation : tant que le compte existe. Vous pouvez en demander la suppression à tout moment à contact@etaperia.com ; les données de commande associées restent alors conservées selon les durées indiquées à la section précédente.

Demandes par email et itinéraires sur mesure

Quand vous écrivez à contact@etaperia.com, pour une question, une réclamation ou une demande d'itinéraire sur mesure, le vendeur traite les données que contient votre message : votre adresse email, votre nom si vous le donnez, et le contenu de la demande (pays, dates, durée, contraintes de voyage, composition du groupe).

Finalités : vous répondre, établir un devis et, si vous l'acceptez, exécuter la commande sur mesure. Base légale : les mesures précontractuelles prises à votre demande et l'exécution du contrat, article 6.1.b du RGPD.

Durée de conservation : trois ans après le dernier échange en l'absence de commande. En cas de commande, les échanges et le devis sont conservés pendant la relation commerciale, puis archivés dix ans au titre des obligations comptables (article L123-22 du code de commerce), comme les données de commande.

Journaux techniques du serveur

L'hébergeur du site enregistre automatiquement des journaux de connexion : adresse IP, date et heure, page demandée, type de navigateur.

Finalité : assurer la sécurité et le bon fonctionnement du site. Base légale : l'intérêt légitime du responsable de traitement, article 6.1.f du RGPD. Ces journaux ne sont pas utilisés pour vous identifier ni pour mesurer l'audience.

Durée de conservation : celle appliquée par l'hébergeur, dans la limite de douze mois.

Cookies et mesure d'audience

Le site utilise Google Analytics 4 (Google Ireland Ltd) pour mesurer son audience : pages consultées, provenance des visites, type d'appareil. Ces cookies ne sont déposés qu'après votre accord, donné via la bannière affichée lors de votre première visite. Sans réponse de votre part ou en cas de refus, aucun traceur n'est déposé et le site reste pleinement utilisable.

Base légale : votre consentement, article 6.1.a du RGPD. Votre choix est conservé six mois dans votre navigateur, puis la question vous est reposée. Vous pouvez le modifier à tout moment via le lien « Cookies » en pied de page ; en cas de retrait, les cookies de mesure d'audience sont supprimés. Les cookies déposés expirent au plus tard treize mois après leur dépôt.

Le site utilise aussi le stockage local de votre navigateur (localStorage) : pour mémoriser votre réponse à la bannière de consentement, pour retenir votre préférence de langue et, une fois connecté à l'espace client, pour retenir le dernier itinéraire ouvert ainsi que l'identifiant de votre compte, transmis à Stripe lors de vos achats suivants pour les rattacher à votre espace client. La session de connexion à l'espace client est maintenue par des cookies du service d'authentification (Clerk). Ces informations sont strictement nécessaires au service que vous demandez, ne servent à aucun suivi, et se suppriment en vous déconnectant ou en effaçant les données de navigation.

Aucun pixel publicitaire ni bouton de réseau social n'est présent sur le site. Les polices de caractères sont hébergées sur le site lui-même. Certaines pages du site, dont l'accueil, les pages destination et les fiches itinéraire, affichent une carte interactive dont le fond de carte est fourni par CARTO (données OpenStreetMap) : l'affichage de cette carte transmet votre adresse IP à ce prestataire, comme toute image chargée depuis un serveur tiers. Aucun cookie n'est déposé et aucun identifiant ne lui est communiqué.

Liens d'affiliation vers les sites de réservation

Les liens de réservation qui mènent à Booking.com, sur le site comme dans les itinéraires livrés, sont des liens d'affiliation. Un clic sur l'un d'eux passe d'abord par le réseau d'affiliation CJ (Commission Junction), qui l'enregistre et peut déposer ses propres traceurs pour attribuer une éventuelle réservation, puis vous redirige vers Booking.com. CJ et Booking.com appliquent alors leur propre politique de confidentialité. Rien de cela ne se produit tant que vous ne cliquez pas. Les liens qui mènent au site d'un hôtel vous y emmènent directement.

L'adresse du lien ne contient aucune donnée vous concernant : seulement l'identifiant d'Étaperia et l'itinéraire d'où vient le clic. En retour, l'éditeur reçoit de CJ des relevés de commissions (date, montant, itinéraire d'origine), sans votre nom ni votre adresse email.

Qui a accès à vos données

Les données ne sont accessibles qu'à l'éditeur du site et aux prestataires techniques suivants, qui agissent comme sous-traitants au sens de l'article 28 du RGPD :

• Stripe Payments Europe Ltd — traitement des paiements
• Cloudflare, Inc. — hébergement du site, de l'historique d'achats et des itinéraires livrés (stockage en Europe) ; société établie aux États-Unis, 101 Townsend Street, San Francisco, CA 94107
• Clerk, Inc. — gestion des comptes clients (adresse email, empreinte du mot de passe, sessions de connexion) ; société établie aux États-Unis, où les données sont traitées dans le cadre de clauses contractuelles types
• Resend Inc. — gestion de la liste des inscrits à la lettre d'information, envoi des emails de confirmation de commande et de la lettre d'information ; société établie aux États-Unis, où les données sont traitées dans le cadre de clauses contractuelles types
• Google Ireland Ltd — mesure d'audience (Google Analytics 4), uniquement si vous y avez consenti ; les données peuvent être transférées à Google LLC, États-Unis
• CARTO — fond de carte des cartes interactives (données OpenStreetMap) ; reçoit votre adresse IP à l'affichage d'une carte, sans cookie ni identifiant ; transfert possible hors Union européenne, encadré par des clauses contractuelles types

Transferts hors Union européenne

Certains de ces prestataires sont établis hors de l'Union européenne ou peuvent y transférer des données. Ces transferts sont encadrés par les garanties prévues au chapitre V du RGPD : clauses contractuelles types de la Commission européenne, complétées le cas échéant par la certification du prestataire au Data Privacy Framework.

Vous pouvez obtenir une copie des garanties applicables en écrivant à contact@etaperia.com.

Sécurité

Le site est servi exclusivement en HTTPS. La base des inscriptions n'est accessible ni en lecture ni en écriture depuis le navigateur : l'inscription passe par une fonction serveur, seule détentrice de la clé d'écriture, et la liste ne se consulte que depuis l'interface d'administration du responsable de traitement.

Malgré ces mesures, aucune transmission sur internet ne peut être garantie inviolable. En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits, vous en seriez informé conformément à l'article 34 du RGPD.

Vos droits

Conformément au RGPD et à la loi Informatique et Libertés, vous disposez des droits suivants sur vos données :

• Droit d'accès : obtenir la confirmation que vos données sont traitées et en recevoir une copie
• Droit de rectification : faire corriger une donnée inexacte ou incomplète
• Droit à l'effacement : faire supprimer vos données, sous réserve des obligations légales de conservation comptable
• Droit à la limitation du traitement
• Droit à la portabilité : recevoir vos données dans un format structuré et lisible par machine
• Droit d'opposition, notamment à tout traitement fondé sur l'intérêt légitime
• Droit de retirer votre consentement à tout moment, sans que cela remette en cause la licéité du traitement effectué avant ce retrait
• Droit de définir des directives sur le sort de vos données après votre décès

Comment les exercer

Adressez votre demande à contact@etaperia.com, en précisant le droit que vous souhaitez exercer. Une réponse vous est apportée dans un délai d'un mois, porté à trois mois si la demande est complexe, auquel cas vous en êtes informé.

Une preuve d'identité peut être demandée en cas de doute raisonnable sur l'identité du demandeur.

Si la réponse ne vous satisfait pas, vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, cnil.fr.

Mise à jour de cette politique

Cette politique peut évoluer avec le site et ses outils. La date de dernière mise à jour figure en haut de la page. Toute modification substantielle des finalités serait portée à la connaissance des personnes concernées.