Politique de confidentialité

4.1 Paiements

Vous choisissez votre mode de paiement. Selon le mode choisi, les intervenants suivants sont concernés ; la base juridique est l'exécution du contrat (art. 6, § 1, b) du RGPD). Nous ne voyons jamais les données de votre carte ni vos identifiants de connexion.

Carte, Apple Pay, Google Pay et prélèvement SEPA : Stripe
Ces paiements sont traités par Stripe Payments Europe, Limited (1 Grand Canal Street Lower, Dublin 2, Irlande) sur sa propre page de paiement chiffrée. Nous transmettons à Stripe le montant, l'objet du paiement, le numéro de réservation, le logement et les dates du séjour, ainsi que votre adresse e-mail ; vous saisissez les données de votre carte ou de votre compte directement chez Stripe. De Stripe, nous recevons le statut du paiement, le montant et le mode de paiement et, pour les cartes, également la marque, le type de carte (crédit, débit ou prépayée) et le pays d'émission ; nous utilisons le pays d'émission pour déterminer et vérifier les frais de carte applicables aux cartes émises hors de l'Espace économique européen, et les autres données de carte uniquement pour l'analyse interne de nos frais de paiement. Pour la prévention de la fraude et le respect de ses propres obligations légales, comme la lutte contre le blanchiment d'argent, Stripe agit en tant que responsable du traitement indépendant. Stripe peut transférer des données à Stripe, LLC aux États-Unis ; Stripe est certifiée au titre du cadre de protection des données UE-États-Unis (Data Privacy Framework) et utilise en outre des clauses contractuelles types. Pour Apple Pay et Google Pay, les politiques de confidentialité d'Apple et de Google s'appliquent également. Si vous déposez la caution par empreinte bancaire, Stripe ne fait que bloquer le montant sur votre carte. Pour que la caution reste couverte jusqu'après votre départ, Stripe peut enregistrer votre carte à cette fin et, si nécessaire, renouveler automatiquement l'empreinte pour le même montant ; nous ne recevons qu'un identifiant de la carte chez Stripe, jamais le numéro de carte. Nous utilisons la carte enregistrée exclusivement pour la caution de cette réservation.

PayPal
Avec PayPal, vous payez directement sur notre compte PayPal (info@thebalearian.com). PayPal (Europe) S.à r.l. et Cie, S.C.A. (22-24 Boulevard Royal, L-2449 Luxembourg) traite le paiement en tant que responsable du traitement indépendant, conformément à sa propre déclaration de confidentialité. Nous recevons votre nom, votre adresse e-mail PayPal, le montant, la date et le message que vous joignez au paiement.

Virement bancaire, y compris depuis Wise ou Revolut
Vous virez le montant sur notre compte professionnel auprès de Banco Santander, S.A. ou, lorsque la page de paiement l'indique, sur notre compte chez Wise (Wise Europe SA, Bruxelles, Belgique) ou Revolut (Revolut Bank UAB, Vilnius, Lituanie). Nous ne recevons que le nom du titulaire, l'IBAN ou le numéro de compte, le montant et le libellé du virement. Votre propre banque ou application, par exemple Wise ou Revolut, est elle-même responsable du traitement de vos données ; il en va de même des établissements qui tiennent nos comptes.

4.2 Prestataires techniques

Hébergement et journaux du serveur : Hetzner
Ce site et notre gestion des réservations fonctionnent sur un serveur de Hetzner Online GmbH (Gunzenhausen, Allemagne) situé dans un centre de données de l'UE. À chaque consultation d'une page, le serveur enregistre l'adresse IP, la date et l'heure, l'adresse consultée, le code de statut et l'identifiant du navigateur. Ce journal sert à la sécurité et à la correction des erreurs (art. 6, § 1, f) du RGPD) ; nous le supprimons au bout de 14 jours. Les polices et les images sont fournies depuis notre propre serveur.

Base de données : Supabase
Notre base de données est fournie par Supabase Pte. Ltd. (Singapour). Les données sont stockées dans un centre de données à Francfort-sur-le-Main (Allemagne). Tout accès depuis l'extérieur de l'UE, par exemple pour l'assistance technique, est encadré par des clauses contractuelles types.

Envoi d'e-mails : MailerSend
Nous envoyons les e-mails tels que confirmations de réservation, liens de paiement, e-mail de confirmation de l'inscription à la newsletter, bons de bienvenue et, uniquement avec votre consentement, notre newsletter par l'intermédiaire de MailerSend, Inc. (New York, États-Unis). Les données sont stockées dans l'UE ; les transferts vers les États-Unis sont encadrés par des clauses contractuelles types. Vous pouvez vous désabonner de la newsletter à tout moment grâce au lien figurant dans chaque envoi.

Plateformes de réservation : Channex
Si vous réservez via une plateforme comme Airbnb ou Booking.com, nous recevons les données de réservation que la plateforme transmet (par exemple nom, dates du séjour, prix et coordonnées) par l'intermédiaire de notre gestionnaire de canaux Channex.io Ltd (Carmarthen, Royaume-Uni). Channex stocke les données dans l'UE ; le Royaume-Uni bénéficie d'une décision d'adéquation de la Commission européenne. La plateforme elle-même est soumise à sa propre politique de confidentialité.

Ancien logiciel de réservation : vOffice
Jusqu'au passage complet à notre nouveau système de réservation, nous conservons également les données de réservation et des voyageurs dans le logiciel de réservation de vOffice GmbH (Neustadt in Holstein, Allemagne).

Fonctions d'IA : Anthropic
Pour la recherche de villas par IA sur ce site ainsi que pour les brouillons de réponses et les traductions internes, nous utilisons le modèle d'IA Claude d'Anthropic (Anthropic Ireland, Limited, Dublin, Irlande, et Anthropic, PBC, États-Unis). Nous transmettons uniquement le texte que vous saisissez dans la recherche ou, pour un brouillon de réponse, le message ou l'avis auquel nous répondons, avec les données essentielles de la demande (civilité et nom, pays d'origine, logement souhaité, dates du séjour, nombre de personnes) et l'historique des échanges. Nous masquons au préalable les adresses e-mail et les numéros de téléphone ; votre adresse IP n'est jamais transmise. Anthropic n'utilise pas ces données pour entraîner ses modèles. Les transferts vers les États-Unis sont encadrés par des clauses contractuelles types. Nous relisons et envoyons nous-mêmes chaque brouillon de réponse. Merci de ne saisir aucune donnée sensible dans la recherche par IA. La base juridique est l'art. 6, § 1, b) et f) du RGPD.

Carte sur les pages des villas : Google Maps
Sur les pages des villas, vous pouvez afficher une carte de Google Maps (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irlande). La carte ne se charge que si vous avez autorisé « Marketing » dans le bandeau cookies ou si vous appuyez sur « Afficher la carte » ; votre navigateur mémorise ce choix sur cet appareil. Lors du chargement, Google reçoit votre adresse IP ainsi que des informations sur votre appareil et votre navigateur, et peut déposer ses propres cookies ; des données peuvent être transférées à Google LLC aux États-Unis (EU-US Data Privacy Framework, clauses contractuelles types). La carte indique la localité de la villa, et non son adresse. La base juridique est votre consentement (art. 6, § 1, a) du RGPD) ; vous pouvez le retirer via « Paramètres des cookies » et effacer le choix mémorisé dans les données de sites de votre navigateur.

WhatsApp
Si vous nous écrivez sur WhatsApp, vos messages et votre numéro de téléphone transitent par WhatsApp Ireland Limited (Dublin, Irlande), société du groupe Meta. Des données peuvent alors être transférées aux États-Unis, et la politique de confidentialité de WhatsApp s'applique. Si vous préférez ne pas utiliser WhatsApp, vous pouvez nous joindre par e-mail ou par téléphone.

4.3 Enregistrement des voyageurs auprès des autorités

La réglementation espagnole (Real Decreto 933/2021) nous oblige à communiquer au ministère de l'Intérieur les données de tous les voyageurs pour chaque séjour (plateforme SES.HOSPEDAJES, Ministerio del Interior). Nous communiquons le nom, le sexe, les données de la pièce d'identité, la date de naissance, la nationalité, l'adresse, les coordonnées, les dates du séjour ainsi que le mode, la date et le titulaire du paiement ; pour les mineurs, également leur lien de parenté avec un adulte accompagnant. La base juridique est l'art. 6, § 1, c) du RGPD. Comme la loi l'exige, nous conservons ces données pendant trois ans, puis nous les supprimons.

4.4 Transferts hors de l'UE

Certains des prestataires cités sont établis hors de l'UE ou peuvent y traiter des données. Cela n'a lieu que si la Commission européenne a reconnu un niveau de protection adéquat (par exemple pour le Royaume-Uni ou pour les entreprises américaines certifiées au titre du Data Privacy Framework UE-États-Unis) ou si des clauses contractuelles types de la Commission européenne ont été conclues (art. 45 et 46 du RGPD). Vous pouvez obtenir une copie de ces garanties sur demande à info@thebalearian.com.

4.5 Mesure d'audience et publicité (uniquement avec votre consentement)

Nous n'utilisons les services suivants que si vous y avez consenti dans le bandeau cookies, séparément pour « Mesure d'audience » et « Marketing ». La base juridique est votre consentement (art. 6, § 1, a) du RGPD ; pour le stockage et la lecture d'informations sur votre appareil, art. 22.2 LSSI-CE ou § 25, al. 1 TDDDG). Vous pouvez le retirer à tout moment pour l'avenir via « Paramètres des cookies » en bas de page. Nous ne transmettons jamais à ces services de noms, d'adresses e-mail, de numéros de téléphone ni de messages en clair, ni aucun texte de recherche. Les fournisseurs peuvent transférer des données aux États-Unis ; Google et Meta sont certifiés au titre du EU-US Data Privacy Framework, et des clauses contractuelles types s'appliquent en outre (art. 45 et 46 du RGPD).

Mesure d'audience : Google Analytics 4
Le fournisseur est Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlande). Google Analytics nous montre, de manière pseudonymisée, comment notre site est utilisé : pages consultées, clics sur les éléments de contact, de recherche et de demande, profondeur de défilement, durée de visite, villas consultées, filtres et recherches (sans texte libre), visites répétées, ainsi qu'appareil, navigateur, langue et localisation approximative. Selon Google, l'adresse IP sert uniquement à déterminer la localisation et n'est pas enregistrée dans Google Analytics. Cookies : _ga et _ga_<ID> (durée de 2 ans). Nous conservons les données d'analyse 14 mois. Plus d'informations sur policies.google.com/privacy.

Publicité : Google Ads
Le fournisseur est Google Ireland Limited (Dublin, Irlande). Avec Google Ads, nous mesurons si une demande suit un clic sur l'une de nos annonces (conversion) et nous vous présentons ensuite des annonces adaptées en fonction des pages consultées et des villas vues (remarketing, audiences). Si vous envoyez une demande, nous transmettons, pour une mesure plus précise (conversions améliorées), votre adresse e-mail et votre numéro de téléphone uniquement sous forme de hachage SHA-256, calculé dans votre navigateur et irréversible ; Google le rapproche de ses propres comptes. Cookies : _gcl_au, _gcl_aw et _gcl_dc (durée de 90 jours). À chaque événement, Google reçoit votre adresse IP, des informations sur votre navigateur et votre appareil, ainsi que l'adresse de la page consultée et de la page de provenance (référent) ; Google peut en outre lire et déposer ses propres cookies sur doubleclick.net et google.com, par exemple IDE (durée jusqu'à 13 mois). Plus d'informations sur policies.google.com/technologies/ads.

Publicité : pixel Meta (Facebook et Instagram)
Le fournisseur est Meta Platforms Ireland Limited (Merrion Road, Dublin 4, Irlande). Le pixel Meta transmet à Meta les pages consultées, les villas vues, les recherches, les clics de contact, les demandes ouvertes et envoyées, ainsi que le signal « intérêt marqué ». Meta s'en sert pour mesurer le succès de nos annonces sur Facebook et Instagram, vous présenter des annonces adaptées et constituer des audiences. Si vous envoyez une demande, nous transmettons votre adresse e-mail et votre numéro de téléphone uniquement sous forme de hachage SHA-256 (correspondance avancée). Nous transmettons également depuis notre serveur à Meta (Conversions API) les mêmes événements « demande envoyée » et « newsletter confirmée », là encore uniquement avec votre consentement, accompagnés des mêmes valeurs de hachage, de votre adresse IP, d'informations sur votre navigateur et des valeurs des cookies _fbp et _fbc ; un identifiant d'événement garantit que Meta ne les comptabilise qu'une seule fois. Nous sommes responsables conjoints avec Meta de la collecte et de la transmission à Meta (art. 26 du RGPD ; accord sur facebook.com/legal/controller_addendum) ; Meta est seul responsable du traitement ultérieur. Cookies : _fbp et _fbc (durée de 90 jours). À chaque événement, Meta reçoit votre adresse IP, des informations sur votre navigateur et votre appareil, ainsi que l'adresse de la page consultée et de la page de provenance (référent) ; Meta peut en outre lire et déposer ses propres cookies sur facebook.com, par exemple fr (durée de 90 jours). Plus d'informations sur facebook.com/privacy/policy.

Compteurs de visites dans votre navigateur
Avec votre consentement à la mesure d'audience ou au marketing, notre site compte dans votre navigateur combien de villas vous avez consultées pendant cette session et quand vous nous avez rendu visite au cours des 30 derniers jours (sessionStorage et localStorage, au maximum 10 moments). Il n'en résulte que le signal « intérêt marqué », transmis aux services que vous avez autorisés ; les compteurs eux-mêmes ne quittent jamais votre appareil. Nous les supprimons lorsque vous retirez votre consentement.

4.6 Conseil personnalisé (historique de visite, uniquement avec votre consentement)

Si vous choisissez « Conseil personnalisé » dans la bannière des cookies, nous enregistrons nous-mêmes votre visite sur ce site, sans prestataire tiers. Le responsable du traitement est Balearian Hospitality Services S.L. (section 1). Les données sont stockées sur notre serveur chez Hetzner et dans notre base de données chez Supabase à Francfort (section 4.2). La base juridique est votre consentement (art. 6, paragraphe 1, point a du RGPD ; pour l’identifiant dans votre navigateur, art. 22, paragraphe 2 de la LSSI-CE ou § 25, alinéa 1 du TDDDG).

Ce que nous enregistrons
Un identifiant aléatoire dans le cookie balearian-jv, lisible uniquement par notre serveur (valable aussi longtemps que votre consentement, 180 jours au plus). Pour chaque visite : pages consultées sans paramètres de recherche, villas consultées, galeries ouvertes, demandes de disponibilité et de prix avec dates et nombre de voyageurs, filtres choisis, recherches, votre liste de favoris, clics sur WhatsApp, le téléphone ou l’e-mail, langue et type d’appareil. Pour la recherche par IA, nous enregistrons uniquement les critères reconnus (par exemple île, nombre de personnes, dates, équipements) et les villas proposées, pas le texte de votre recherche. Pour la provenance, nous enregistrons les informations de campagne de l’adresse (paramètres utm), si vous êtes arrivé par une annonce de Google, Microsoft ou Meta (identifiants de clic tels que gclid ou fbclid, sous forme brute 90 jours au plus, ensuite uniquement leur type) et de quel site vous venez, par exemple un moteur de recherche, ChatGPT ou un autre assistant d’IA (uniquement le nom du site). Nous ne savons pas si vous avez seulement vu une annonce. Nous n’enregistrons pas votre adresse IP à cette fin.

Lien avec votre personne
Si vous nous envoyez une demande, nous associons l’historique à cette demande. Nous ne l’associons à votre fiche dans notre base clients que lorsque vous avez confirmé votre adresse e-mail pour la liste de favoris, lorsque votre demande devient une réservation ou lorsque notre équipe attribue la demande à votre fiche. Nous voyons ainsi quelles villas et quels souhaits vous intéressent et pouvons vous conseiller avec précision. Il s’agit d’un profilage ; nous ne l’utilisons pas pour des décisions automatisées produisant des effets juridiques. Ces données ne sont transmises à personne.

Conservation, retrait et suppression
Un historique qui n’est associé à aucune demande, réservation ni fiche client est supprimé 180 jours après votre dernière visite. Les pages vues et événements individuels sont supprimés 13 mois après la visite ; il ne reste ensuite, pour une demande ou une réservation, que le résumé de la provenance (canal, campagne, page d’entrée, premier et dernier contact), au plus trois ans après votre dernière visite (six ans en cas de réservation, comme les documents de réservation) et uniquement tant que la demande, la réservation ou votre fiche client est conservée chez nous. Vous pouvez retirer votre consentement à tout moment via « Paramètres des cookies » en bas de page. Nous supprimons alors immédiatement l’identifiant et l’intégralité de l’historique de visite, y compris celui associé à une demande, une réservation ou votre fiche client ; seule la provenance de la demande décrite au point 4.7 est conservée. Un historique qui n’est pas associé à votre nom ne peut pas vous être attribué par nous (art. 11 du RGPD) ; vous pouvez le supprimer vous-même à tout moment via « Paramètres des cookies » sur l’appareil concerné.

4.7 Provenance de votre demande (sans consentement)

Pour chaque demande, même sans votre consentement, nous enregistrons la page de notre site depuis laquelle elle a été envoyée, les informations de campagne (par exemple les paramètres utm) figurant dans son adresse et le canal qui en découle (par exemple une annonce Google ou notre newsletter). Votre navigateur transmet ces informations avec la demande ; nous ne déposons aucun cookie à cet effet et n’enregistrons rien dans votre navigateur. La base juridique est notre intérêt légitime à connaître l’effet de notre publicité (art. 6, paragraphe 1, point f du RGPD). Vous pouvez vous y opposer à tout moment (art. 21 du RGPD). Nous conservons ces informations aussi longtemps que la demande.