Politique de confidentialité

CVL Travel attache une attention particulière à la protection de vos données personnelles. Cette page explique quelles données nous collectons — que vous remplissiez simplement notre formulaire de contact ou que vous utilisiez votre carnet de voyage —, pourquoi, avec qui elles sont partagées, et comment vous pouvez exercer vos droits, conformément au Règlement Général sur la Protection des Données (RGPD) et à la loi Informatique et Libertés.

1. Responsable du traitement

Le responsable du traitement des données est[À COMPLÉTER : raison sociale, forme juridique, siège social de CVL Travel], joignable à l'adresse[À COMPLÉTER : email de contact dédié RGPD].

2. Données que nous collectons

2.1 Formulaire de contact

Si vous nous écrivez via notre formulaire de contact, nous collectons :

• Prénom, nom, email, téléphone (facultatif) ;
• Destination(s) envisagée(s), période de voyage, occasion, budget indicatif, durée de séjour envisagée ;
• Le message que vous nous adressez ;
• Votre consentement explicite à être recontacté(e) (case à cocher, jamais pré-cochée).

2.2 Compte client et carnet de voyage

Si vous créez un compte, nous collectons progressivement, selon les fonctionnalités que vous utilisez :

• Identité et connexion : email, mot de passe (chiffré, jamais accessible en clair), code d'authentification à deux facteurs (2FA/TOTP — nous ne stockons que le secret nécessaire à sa vérification) ;
• Profil : prénom, nom, genre, nationalité(s), pays et ville de résidence, indicatif et numéro de téléphone ;
• Préférences de voyage : réponses au questionnaire voyageur, style de voyage, hébergement et gamme de service privilégiés, alliance aérienne, aéroports/gares privilégiés, modes de transport privilégiés, pays déjà visités ou envisagés (avec années), programmes de fidélité (numéro d'adhérent, solde de points le cas échéant) ;
• Documents de voyage : type de document (passeport, carte d'identité, titre de séjour, permis de conduire) et sa date d'expiration — nous ne collectons jamais le numéro du document lui-même, ni sa photo ou une copie ;
• Autorisations de voyage électroniques (ESTA, AVE, ETA...) : pays concerné et date d'expiration de l'autorisation obtenue ;
• Itinéraires : titre, destination(s), dates, budget cible, devise, éléments détaillés de votre planning (hébergements, activités, transports, restaurants — y compris, si vous les renseignez, les coordonnées d'un contact sur place) ;
• Voyageurs et compagnons de voyage : prénom, date de naissance, nationalité des personnes qui vous accompagnent — voir la section 2.3 ci-dessous concernant les mineurs ;
• Partage collaboratif : si vous invitez d'autres personnes à consulter ou modifier un itinéraire, nous collectons leur adresse email ; les commentaires échangés sur un itinéraire partagé sont associés à votre nom ;
• Copilote de planification (assistant IA) : si vous utilisez notre assistant conversationnel pour construire un itinéraire, obtenir des suggestions, ou faire analyser une photo de reçu, le contenu de vos échanges (et, le cas échéant, l'image transmise) est envoyé à notre prestataire d'intelligence artificielle pour générer une réponse — voir section 5 ;
• Boutique : les commandes passées sur notre boutique sont traitées par Shopify ; nous consultons votre historique de commandes (associé à votre email) dans votre espace client pour vous offrir une vue unifiée.

2.3 Données concernant des mineurs

Si vous ajoutez un enfant comme compagnon de voyage, vous nous transmettez son prénom, sa date de naissance et sa nationalité, ainsi que — si vous le souhaitez — ses documents de voyage (type et date d'expiration). Ces données sont saisies par vous, en tant que titulaire du compte et représentant légal de l'enfant, et non collectées directement auprès du mineur. Elles ne sont utilisées que pour organiser le voyage familial (vérification des formalités, tarifs applicables) et ne sont jamais partagées à d'autres fins.

2.4 Cookies

Voir la section 9 ci-dessous.

3. Pourquoi nous les utilisons

• Répondre à vos demandes de devis et vous accompagner dans l'organisation de votre voyage ;
• Gérer votre compte client, sécuriser votre connexion (2FA) et personnaliser nos recommandations ;
• Faire fonctionner votre carnet de voyage : suivi d'itinéraire, budget, documents et formalités, partage avec vos compagnons de route ;
• Générer les réponses de notre copilote de planification lorsque vous choisissez de l'utiliser ;
• Assurer le suivi de vos commandes boutique ;
• Prévenir les abus (spam, robots) sur nos formulaires publics ;
• Respecter nos obligations légales et comptables.

4. Base légale

Le traitement repose sur votre consentement (formulaire de contact, création de compte, utilisation volontaire du copilote IA), sur l'exécution d'un contrat (organisation de votre voyage, fonctionnement du carnet de voyage, commandes boutique), sur notre intérêt légitime(prévention de la fraude et du spam, sécurité du compte), ou sur nos obligations légales(facturation, comptabilité).

5. Qui a accès à vos données

Vos données sont traitées par notre équipe et par les sous-traitants suivants, dans le cadre strict de leur mission :

• Supabase — hébergement de la base de données et gestion de l'authentification ;
• Vercel — hébergement technique du site ;
• Shopify — gestion du catalogue produits, des commandes et des paiements de la boutique ;
• Anthropic (éditeur du modèle d'IA Claude) — reçoit le contenu de vos échanges avec le copilote de planification (destinations, dates, budget, titres d'éléments d'itinéraire et, si vous scannez un reçu, l'image de ce reçu) pour générer une réponse. Ces échanges ne sont utilisés que pour vous répondre et ne sont pas conservés dans un historique permanent par CVL Travel ;
• Cloudflare (Turnstile) — vérifie que nos formulaires publics ne sont pas soumis par des robots, sans CAPTCHA intrusif ;
• Stripe — traite le paiement de l'abonnement premium de votre carnet de voyage ; CVL Travel ne stocke jamais vos coordonnées bancaires, qui transitent exclusivement par Stripe ;
• Meta (Facebook Pixel) et Google (Google Ads) — uniquement si vous y avez consenti via le bandeau de cookies (voir section 9) — mesurent l'efficacité de nos campagnes publicitaires (par exemple, savoir qu'une visite provient d'une publicité) et permettent de vous présenter des publicités CVL Travel sur ces plateformes (retargeting) ;
• Des services tiers appelés directement par votre navigateur pour des fonctionnalités ponctuelles de votre carnet de voyage (météo, recherche de ville, taux de change, suggestion de ville depuis un code postal), auxquels seules les données strictement nécessaires à la fonctionnalité concernée sont transmises (par exemple des coordonnées géographiques ou un nom de ville), jamais votre identité.

Nous ne vendons ni ne louons vos données personnelles à des tiers. Les seuls traitements à finalité publicitaire sont ceux décrits ci-dessus (Meta, Google), strictement conditionnés à votre consentement préalable et révocable — voir section 9.

6. Transferts de données hors Union européenne

Certains de nos sous-traitants (notamment Anthropic, ainsi que d'autres prestataires listés ci-dessus) sont situés aux États-Unis. Lorsque c'est le cas, ce transfert s'effectue dans le cadre des garanties prévues par le RGPD (clauses contractuelles types de la Commission européenne ou mécanisme équivalent reconnu).[À VÉRIFIER : confirmer le mécanisme de transfert exact — clauses contractuelles types, certification au Data Privacy Framework UE-États-Unis, etc. — auprès de chaque sous-traitant et le préciser ici].

7. Durée de conservation

Les demandes de contact non suivies d'un projet sont conservées[À COMPLÉTER : durée, ex. 3 ans conformément aux recommandations CNIL pour la prospection commerciale]. Les données de votre compte client et de votre carnet de voyage (itinéraires, documents, préférences...) sont conservées tant que ce dernier est actif, puis supprimées ou anonymisées dans un délai raisonnable après sa clôture. Les échanges avec le copilote IA ne sont pas conservés au-delà du temps nécessaire à générer la réponse. Les données liées aux commandes sont conservées conformément aux obligations légales de conservation des documents commerciaux et comptables (en principe 10 ans).

8. Vos droits

Conformément au RGPD, vous disposez des droits suivants sur vos données personnelles :

• Droit d'accès, de rectification et d'effacement ;
• Droit à la limitation et à l'opposition du traitement ;
• Droit à la portabilité de vos données ;
• Droit de retirer votre consentement à tout moment.

La plupart de ces informations (profil, préférences, documents, itinéraires) sont directement consultables, modifiables et supprimables depuis votre espace client. Pour toute autre demande, contactez-nous à[À COMPLÉTER : email de contact]. Vous pouvez également introduire une réclamation auprès de la CNIL (www.cnil.fr).

9. Cookies

9.1 Cookies strictement nécessaires

Notre espace client utilise un cookie de session strictement nécessaire à votre authentification, protégé (httpOnly, illisible par un script) et transmis uniquement en connexion chiffrée. Nos formulaires publics utilisent également un cookie technique de vérification anti-robot (Cloudflare Turnstile), lui aussi strictement nécessaire au fonctionnement du service. Ces cookies ne nécessitent pas votre consentement (ils sont indispensables au fonctionnement du site) et ne peuvent pas être désactivés sans empêcher la connexion à votre compte.

9.2 Cookies de mesure publicitaire et de tracking

Avec votre consentement préalable, recueilli via le bandeau affiché lors de votre première visite, nous utilisons également :

• Meta Pixel (Facebook/Instagram) — dépose un cookie permettant de mesurer l'efficacité de nos campagnes publicitaires sur les plateformes Meta et, le cas échéant, de vous présenter des publicités CVL Travel sur ces plateformes ;
• Google Ads — dépose un cookie permettant de mesurer les conversions issues de nos campagnes publicitaires Google et d'optimiser leur diffusion.

Ces cookies ne sont chargés qu'après votre acceptation explicite (bouton « Accepter » du bandeau) ; si vous cliquez sur « Refuser », aucun de ces scripts n'est chargé et aucun cookie de ce type n'est déposé. Vous pouvez à tout moment retirer votre consentement en effaçant les cookies et le stockage local de votre navigateur pour ce site, ce qui réaffichera le bandeau lors de votre prochaine visite. Meta et Google, basés aux États-Unis, peuvent recevoir les données associées à ces cookies dans les conditions décrites à la section 6.

10. Sécurité

Vos mots de passe sont chiffrés et nous proposons une authentification à deux facteurs (2FA) pour sécuriser davantage votre compte. Les échanges avec notre site sont chiffrés (HTTPS). L'accès à vos données au sein de notre carnet de voyage est cloisonné par des règles de sécurité appliquées au niveau de la base de données elle-même (Row Level Security) : même en cas de faille applicative, un autre utilisateur ne peut techniquement pas accéder à vos itinéraires sans y avoir été explicitement invité.

11. Modification de cette politique

Cette politique peut évoluer, notamment pour refléter de nouvelles fonctionnalités du carnet de voyage. La date de dernière mise à jour figure en haut de cette page ; nous vous invitons à la consulter régulièrement.