Politique de confidentialité et de protection des données personnelles

La présente politique est établie par Velvora Lab SARL, SARL, exploitant le site velvoralab.digital sous l'enseigne Velvora Lab, dont le siège social est situé 14 Rue du Taur, 31000 Toulouse, France, immatriculée sous le numéro 542 026 935 auprès de RCS Toulouse, numéro de TVA intracommunautaire FR91395968597. Elle est rédigée conformément au Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, dans sa version en vigueur.

I. Définitions

Au sens de la présente politique, les termes ci-après ont la signification suivante. « Site » désigne le site internet accessible à l'adresse velvoralab.digital, ainsi que l'ensemble de ses pages et fonctionnalités. « Éditeur » ou « Responsable du traitement » désigne Velvora Lab SARL, qui détermine les finalités et les moyens des traitements décrits aux présentes. « Utilisateur » désigne toute personne physique qui consulte le Site, remplit le formulaire de contact ou s'abonne à la lettre d'information. « Données personnelles » désigne toute information se rapportant à une personne physique identifiée ou identifiable. « Traitement » désigne toute opération portant sur des données personnelles, telle que la collecte, l'enregistrement, la conservation, la consultation, l'utilisation ou l'effacement. « Sous-traitant » désigne toute personne qui traite des données pour le compte de l'Éditeur. « Autorité de contrôle » désigne, pour la France, la Commission nationale de l'informatique et des libertés (CNIL). « Services » désigne les contenus et prestations de Velvora Lab dans le domaine du voyage, notamment l'information et l'inspiration de voyage, la conception d'itinéraires et la réponse aux demandes de renseignements adressées par les Utilisateurs.

II. Responsable du traitement et contact

Le responsable du traitement est Velvora Lab SARL, SARL, dont le siège est situé 14 Rue du Taur, 31000 Toulouse, France. Toute question relative à la protection des données personnelles, ainsi que toute demande d'exercice de droits, peut être adressée par courrier électronique à [email protected], par téléphone au +33 5 4961 6654 ou par courrier postal à l'adresse du siège, à l'attention de Velvora Lab. L'Éditeur n'a pas désigné de délégué à la protection des données, une telle désignation n'étant pas obligatoire au regard de la nature et du volume de ses traitements ; le contact ci-dessus tient lieu d'interlocuteur pour toute question en la matière.

III. Données collectées, finalités et fondements juridiques

L'Éditeur ne collecte des données personnelles que par deux voies déclaratives, le formulaire de contact et l'abonnement à la lettre d'information, auxquelles s'ajoutent les données techniques collectées automatiquement lors de la navigation. Chaque traitement repose sur un fondement juridique distinct, exposé ci-après.

A. Le formulaire de contact

Lorsque l'Utilisateur écrit à Velvora Lab au moyen du formulaire de contact du Site, par exemple pour obtenir des informations sur un voyage, un itinéraire ou une prestation, sont collectés : ses nom et prénom, son adresse électronique, l'objet de sa demande et le contenu du message qu'il rédige librement, ainsi que, le cas échéant, son numéro de téléphone s'il choisit de le renseigner. Les champs obligatoires sont signalés comme tels ; l'absence de réponse à ces champs empêche le traitement de la demande. Ces données sont utilisées exclusivement pour lire, traiter et répondre à la demande, et, le cas échéant, pour préparer une proposition de prestation. Le traitement est fondé sur l'article 6, paragraphe 1, point b) du RGPD (mesures précontractuelles prises à la demande de la personne concernée ou exécution du contrat) et, à défaut de relation contractuelle envisagée, sur l'article 6, paragraphe 1, point f) (intérêt légitime de l'Éditeur à répondre aux sollicitations qui lui sont adressées). Il est demandé à l'Utilisateur de ne pas inscrire dans son message de données sensibles au sens de l'article 9 du RGPD, telles que des informations de santé ou des convictions religieuses, sauf nécessité pour sa demande ; dans ce cas, il y consent par l'acte volontaire de les communiquer.

B. L'abonnement à la lettre d'information

Lorsque l'Utilisateur saisit son adresse électronique, et le cas échéant son prénom, dans le formulaire d'abonnement afin de recevoir la lettre d'information de Velvora Lab (idées de destinations, actualités de voyage, offres et nouveautés des Services), ces informations sont enregistrées dans la liste d'envoi. Elles servent uniquement à l'envoi des communications éditoriales et promotionnelles de l'Éditeur et à la mesure agrégée de leur performance, telle que le taux d'ouverture et de clic, lorsque l'Utilisateur y a consenti. Le traitement est fondé sur le consentement de l'Utilisateur, conformément à l'article 6, paragraphe 1, point a) du RGPD et à l'article L. 34-5 du Code des postes et des communications électroniques. Le consentement est recueilli par une action positive, sans case précochée, et peut être confirmé par un message de validation (double adhésion). Il peut être retiré à tout moment, sans frais, au moyen du lien de désinscription figurant dans chaque envoi ou par message à [email protected], sans que le retrait ne compromette la licéité du traitement antérieur.

C. Données techniques de navigation

Lors de la consultation du Site, certaines données techniques sont automatiquement traitées : adresse IP, type de navigateur et de terminal, système d'exploitation, pages consultées, date et heure de connexion, ainsi que page de provenance. Ces données sont indispensables à la fourniture du Site, à sa sécurité et à la prévention des fraudes, sur le fondement de l'intérêt légitime de l'Éditeur (article 6, paragraphe 1, point f). Les journaux de connexion sont également conservés pour satisfaire à une obligation légale lorsqu'elle s'applique à l'Éditeur ou à son hébergeur.

IV. Cookies et traceurs

Le Site utilise des traceurs répartis en trois catégories : nécessaires, statistiques (analytiques) et marketing. Les traceurs strictement nécessaires au fonctionnement du Site, notamment ceux mémorisant les choix de l'Utilisateur en matière de consentement, sont déposés sans consentement préalable, conformément à l'article 82 de la loi du 6 janvier 1978. Les traceurs de mesure d'audience et les traceurs publicitaires ou marketing ne sont déposés qu'après recueil du consentement de l'Utilisateur, exprimé par l'intermédiaire du bandeau affiché à la première visite. Le refus est aussi simple que l'acceptation, et le choix peut être modifié à tout moment. Le consentement est conservé pour une durée maximale de treize mois, après quoi il est de nouveau sollicité. Le détail des traceurs, de leurs finalités et de leurs durées figure dans la politique relative aux cookies, accessible sur le Site, qui fait partie intégrante de la présente politique.

V. Destinataires des données et sous-traitants

Les données personnelles sont destinées aux seuls personnels habilités de l'Éditeur. Elles peuvent être communiquées à des Sous-traitants agissant sur instruction documentée de l'Éditeur et liés à lui par un contrat conforme à l'article 28 du RGPD : l'hébergeur du Site, le prestataire d'envoi des lettres d'information, le prestataire de messagerie électronique et, le cas échéant, les prestataires de mesure d'audience. L'Éditeur ne vend ni ne loue les données personnelles. Elles ne sont transmises à des tiers que si la loi l'exige, sur réquisition d'une autorité judiciaire ou administrative compétente, ou pour la constatation, l'exercice ou la défense de droits en justice.

VI. Hébergement et transferts hors de l'Union européenne

Le Site est hébergé par un prestataire dont l'identité et les coordonnées figurent dans les mentions légales. L'Éditeur privilégie l'hébergement et le traitement des données au sein de l'Espace économique européen. Lorsqu'un Sous-traitant, notamment un prestataire d'envoi de courriels ou d'analyse, est susceptible de transférer des données vers un pays tiers n'offrant pas un niveau de protection reconnu comme adéquat par la Commission européenne, ce transfert est encadré par les garanties appropriées prévues au chapitre V du RGPD, en particulier les clauses contractuelles types de la Commission européenne, complétées si nécessaire par des mesures supplémentaires. L'Utilisateur peut obtenir une copie de ces garanties en écrivant à [email protected].

VII. Durées de conservation

Les données sont conservées pour une durée strictement proportionnée à leur finalité. Les données du formulaire de contact sont conservées le temps nécessaire au traitement de la demande, puis pendant trois ans à compter du dernier échange à des fins de suivi de la relation, avant suppression ou anonymisation ; lorsque la demande donne lieu à un contrat, les données concernées sont conservées pendant la durée de la relation contractuelle, puis archivées pendant les délais de prescription légale et les durées comptables applicables, soit en principe cinq ans pour les actions civiles et dix ans pour les pièces comptables. Les données d'abonnement à la lettre d'information sont conservées jusqu'au retrait du consentement ; en l'absence de toute interaction avec les envois pendant trois ans, l'Utilisateur est sollicité, puis son adresse est supprimée à défaut de réponse. Après désinscription, l'adresse peut être conservée dans une liste d'opposition pour la seule finalité de garantir le respect de sa demande. Les journaux techniques de connexion sont conservés pour une durée maximale de douze mois. Les traceurs et les données qu'ils recueillent sont conservés treize mois au plus.

VIII. Droits des personnes concernées

Conformément aux articles 15 à 22 du RGPD, l'Utilisateur dispose des droits suivants : le droit d'accès à ses données et d'en obtenir copie ; le droit de rectification des données inexactes ou incomplètes ; le droit à l'effacement, dans les cas prévus par la loi ; le droit à la limitation du traitement ; le droit à la portabilité des données qu'il a fournies, lorsque le traitement repose sur le consentement ou sur un contrat et est effectué par des moyens automatisés ; le droit d'opposition, à tout moment et pour des raisons tenant à sa situation particulière, aux traitements fondés sur l'intérêt légitime, et sans motif à la prospection commerciale ; le droit de retirer son consentement à tout moment ; enfin, le droit de définir des directives relatives au sort de ses données après son décès, en application de l'article 85 de la loi du 6 janvier 1978.

Ces droits s'exercent par courrier électronique à [email protected] ou par courrier postal à l'adresse 14 Rue du Taur, 31000 Toulouse, France, en précisant l'objet de la demande. En cas de doute raisonnable sur l'identité du demandeur, l'Éditeur peut solliciter la communication d'un justificatif, qui n'est utilisé que pour cette vérification. L'Éditeur répond dans un délai d'un mois à compter de la réception de la demande, prorogeable de deux mois compte tenu de la complexité et du nombre de demandes, l'Utilisateur en étant alors informé. L'exercice des droits est gratuit, sauf demande manifestement infondée ou excessive.

IX. Réclamation auprès de l'autorité de contrôle

Si l'Utilisateur estime, après avoir contacté l'Éditeur, que ses droits ne sont pas respectés, il peut introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, ou en ligne sur le site www.cnil.fr, sans préjudice de tout recours juridictionnel.

X. Sécurité des données

L'Éditeur met en œuvre des mesures techniques et organisationnelles appropriées, au sens de l'article 32 du RGPD, afin de protéger les données contre la destruction, la perte, l'altération, la divulgation ou l'accès non autorisés : chiffrement des échanges par protocole HTTPS, contrôle des accès limité aux personnes habilitées, authentification des comptes d'administration, sauvegardes et mises à jour régulières des systèmes. En cas de violation de données susceptible d'engendrer un risque pour les droits et libertés des personnes, l'Éditeur en informe la CNIL dans un délai de soixante-douze heures et, lorsque le risque est élevé, les personnes concernées dans les meilleurs délais.

XI. Mineurs

Les Services ne s'adressent pas aux personnes de moins de quinze ans. L'Éditeur ne collecte pas sciemment de données relatives à des mineurs de moins de quinze ans sans l'autorisation du titulaire de l'autorité parentale. Si de telles données lui étaient communiquées, il procéderait à leur suppression sur demande à [email protected].

XII. Absence de décision automatisée

Aucune décision produisant des effets juridiques à l'égard de l'Utilisateur ou l'affectant de manière significative n'est prise sur le seul fondement d'un traitement automatisé, y compris le profilage, au sens de l'article 22 du RGPD.

XIII. Modification de la politique

L'Éditeur peut modifier la présente politique pour tenir compte des évolutions législatives, jurisprudentielles ou techniques, ou de ses Services. La version en vigueur est celle publiée sur le Site, mise à jour pour l'année 2026. Toute modification substantielle, notamment quant aux finalités ou aux fondements des traitements, sera portée à la connaissance des Utilisateurs par un avis approprié sur le Site ou, s'agissant des abonnés, par courrier électronique.