Base de travail. Ce texte décrit le traitement réel de Rakatanga Tour Europe S.L. Il devra être relu par un conseil avant d’être présenté comme une « conformité totale ».
Rakatanga Tour Europe S.L., CIF B37569829, C/ Altamira 11, 36002 Pontevedra, Espagne.
Contact : contact@rakatanga-tour.com.
Rakatanga organise des voyages moto d’aventure (Népal, Mongolie, Mustang, Inde, et d’autres itinéraires hors Union européenne). Le site public, l’espace voyageur et le back-office d’agence servent cette activité.
Il n’existe pas, à ce jour, d’inscription à une newsletter, d’application mobile, ni de publicité ciblée. Aucun programme marketing n’est décrit ici faute d’opt-in déjà en place. Holded (comptabilité) est prévu, pas encore branché.
Identité et coordonnées ; données de réservation et de paiement (montants, références Redsys, pas le numéro de carte complet) ; documents déposés dans l’espace voyageur ; messages échangés avec l’agence ; journaux techniques. Les scans de pièces sont chiffrés au repos (AES-256-GCM).
Holded n’est pas destinataire tant qu’il n’est pas branché.
Oui, lorsque le voyage se déroule hors de l’Espace économique européen (Népal, Mongolie, Mustang, Inde, etc.) : communication aux partenaires locaux nécessaire au contrat, dont vous êtes informé avant le départ. Les sauvegardes chiffrées restent aujourd’hui sur le serveur. Un envoi vers un stockage objet Cloudflare R2 (société établie aux États-Unis, bucket en juridiction Union européenne, fichier déjà chiffré chez nous) n’est activé que si ce bucket UE existe ; ce n’est pas le cas sur cette copie.
Les factures que nos fournisseurs nous adressent sont lues par un service automatique : OpenRouter, société établie aux États-Unis, qui transmet le document au modèle de Google. Chaque envoi demande l’option qui interdit au service de conserver le document et de s’en servir pour entraîner ses modèles. Nous ne garantissons pas le pays où le document est traité. Ces factures ne contiennent pas de données de voyageurs, et rien n’est enregistré sans qu’une personne de l’agence ait relu et validé à l’écran.
Le back-office comporte aussi un assistant juridique réservé à l’équipe de l’agence. Les questions de droit et de fiscalité que l’équipe lui pose partent vers le même service, qui les transmet au modèle choisi par la personne (Google, OpenAI ou Mistral). Chaque envoi demande la même option, qui interdit de conserver les échanges et de s’en servir pour entraîner les modèles. Avant l’envoi, un filtre refuse toute question qui contient une adresse e-mail, un numéro de téléphone, un numéro de pièce d’identité ou le nom d’un client. Les échanges ne sont pas conservés au-delà de la session de travail. Seul le coût de chaque question est noté, jamais son contenu.
Accès, rectification, opposition, limitation, portabilité, suppression dans les limites légales (notamment l’obligation de conserver les éléments comptables). Délai de réponse : un mois. Réclamation auprès de l’Agence espagnole de protection des données (AEPD). Vous pouvez exercer ces droits depuis votre espace voyageur (formulaire dédié) : la demande est transmise à l’agence, qui la traite à la main. Elle ne détruit pas toute seule vos informations de facturation.
À votre première visite, un bandeau vous demande ce que vous acceptez. Tant que vous n’avez pas répondu, ou si vous refusez, aucun outil de mesure n’est chargé : rien ne part vers Google ni vers Microsoft. Vous pouvez changer d’avis à tout moment par le lien « Gérer mes cookies » en pied de page. Votre choix est conservé six mois dans un cookie qui ne contient que ce choix.
Cookies nécessaires au fonctionnement du site. Ils ne demandent pas de consentement et ne servent à aucun suivi.
| Cookie | Rôle | Durée |
|---|---|---|
PHPSESSID |
session de navigation sur le site public | fin de la session |
rkclient |
session de votre espace voyageur | fin de la session |
rk_resa_… |
protège le lien de création de votre espace après une réservation | 30 jours |
rk_consentement |
mémorise votre réponse au bandeau | 6 mois |
Mesure d’audience (seulement si vous l’acceptez). Google Analytics 4, chargé par Google Tag Manager, édités par Google Ireland Limited. Nous l’utilisons pour savoir quelles pages sont lues, d’où viennent les visites et sur quel type d’appareil, et pour comprendre le parcours des visiteurs entre les pages. Les données sont rattachées à un identifiant aléatoire, pas à votre nom ; Google indique ne pas conserver l’adresse IP des visiteurs européens. Cookies posés : _ga et _ga_…, deux ans. Nous réglons la conservation des données de visite chez Google sur la durée la plus courte proposée, deux mois. Aucune publicité n’est achetée ni ciblée à partir de ces données.
Cartes de chaleur et enregistrement de session (seulement si vous l’acceptez, séparément). Microsoft Clarity, édité par Microsoft Ireland Operations Limited. Clarity ne sépare pas les cartes de chaleur et l’enregistrement de session : c’est un seul outil, une seule case. Il enregistre les mouvements de souris, les clics et le défilement, et reconstitue l’écran tel que vous l’avez vu, pour nous aider à repérer ce qui bloque dans une page. Les champs de formulaire sont masqués. Cet outil n’est jamais activé dans l’espace voyageur, sur les pages de paiement ni sur les pages de dossier, quel que soit votre choix. Cookies posés sur notre domaine : _clck (un an) et _clsk (un jour) ; Microsoft pose aussi des cookies sur ses propres domaines (MUID, CLID, ANONCHK, MR, SM), que nous ne contrôlons pas. Selon la documentation Microsoft, les enregistrements sont conservés 30 jours et les cartes de chaleur 13 mois.
Transferts hors Union européenne. Google et Microsoft sont des sociétés établies aux États-Unis. Les données de ces deux outils peuvent y être traitées dans le cadre du Data Privacy Framework UE-États-Unis, auquel les deux sociétés sont inscrites, et des clauses contractuelles types.
Retirer votre consentement. Par le lien « Gérer mes cookies ». Le site cesse alors de charger ces outils et efface, dans la mesure du possible, les cookies qu’ils avaient posés sur notre domaine. Les cookies posés sur les domaines de Google ou de Microsoft se suppriment depuis votre navigateur.
Balises de vérification. La page contient une balise de vérification Google Search Console et une balise Bing Webmaster Tools. Elles prouvent que nous administrons le site ; elles ne posent aucun cookie et ne transmettent rien sur votre visite.
Accès aux scans réservé à l’agence et au voyageur concerné ; chiffrement AES-256-GCM des pièces d’identité au repos ; téléchargement déchiffré en mémoire, sans fichier clair dans un dossier web ; sauvegarde quotidienne chiffrée (base et dossiers documents), conservée hors de la racine web, 7 jours. Le dépôt d’une pièce est refusé si la clé de chiffrement manque (on n’écrit pas le scan en clair « en attendant »).