Politique de confidentialité

Responsable de traitement : SharingTrip Group, SASU — 45 rue Paul Bert, 92600 Asnières-sur-Seine.
Contact RGPD : privacy@sharingtrip.com

1. Qui sommes-nous ?

SharingTrip (sharingtrip.com) est une plateforme française de coordination de voyages de groupe entre amis. Nous facilitons le partage de réservations existantes et la recherche de prestations auprès de partenaires. SharingTrip agit comme intermédiaire technique et n'est pas une agence de voyage.

2. Données collectées, finalités et bases légales

2.1 Compte utilisateur

• Email, prénom, nom — gestion du compte — exécution du contrat (art. 6.1.b RGPD) — conservées le temps du compte + 3 ans.
• Photo de profil (optionnelle) — personnalisation — consentement (art. 6.1.a) — le temps du compte.
• Mot de passe haché — authentification — exécution du contrat — le temps du compte.

2.2 Données de voyage de groupe

• Nom du groupe, destination, dates, listings partagés, dépenses — fonctionnement du service — exécution du contrat — durée du groupe + 1 an.
• Membres du groupe et répartition des frais — coordination entre co-voyageurs — exécution du contrat.

2.3 Données de paiement (partage des frais)

Les paiements liés au partage des frais sont traités par notre prestataire de paiement agréé, Stripe. SharingTrip ne détient jamais vos fonds et n'a pas accès à vos coordonnées bancaires complètes, qui sont collectées et conservées directement par Stripe. Nous traitons uniquement les données nécessaires au suivi du partage (montants, statut). Base légale : exécution du contrat.

2.4 Données de navigation

• Adresse IP, user-agent, pages vues — sécurité, débogage, mesure — intérêt légitime (art. 6.1.f) — 90 jours environ.

2.5 Critères de recherche (dont présence d'enfants)

Le moteur de recherche permet d'indiquer des critères de voyage, dont la présence éventuelle d'enfants et leur tranche d'âge (critère « adapté aux enfants »). Ces informations sont utilisées uniquement le temps de la recherche pour filtrer les résultats ; elles ne sont pas conservées de manière nominative et ne sont pas rattachées à l'identité d'un mineur. Le Service est réservé aux personnes majeures (voir CGU) : aucun compte n'est créé pour un mineur.

3. Partenaires et sous-traitants

• Vercel Inc. (hébergement, USA) — encadré par des clauses contractuelles types (SCC).
• Supabase Inc. (base de données, région UE eu-west-3 Paris) — pas de transfert hors UE des données utilisateurs.
• Stripe (paiement et, le cas échéant, vérification d'identité via Stripe Identity) — prestataire certifié.
• Partenaires affiliés (Booking.com, GetYourGuide, Expedia, Tiqets…) — un cookie peut être déposé par le partenaire lors d'un clic, si vous avez consenti à la catégorie « Affiliation ».

4. Transferts hors Union européenne

• Vercel (USA) — clauses contractuelles types (SCC) / cadre EU-US Data Privacy Framework.
• Supabase — données hébergées en France (eu-west-3), pas de transfert hors UE.

5. Cookies et traceurs

Trois catégories : essentiels (exemptés de consentement : session, sécurité, préférences), analytics (consentement requis) et affiliation (consentement requis, cookies de suivi des partenaires). Vous pouvez accepter, refuser ou paramétrer chaque catégorie, et modifier votre choix à tout moment via le lien « Gérer mes cookies ». La durée de conservation du consentement n'excède pas 13 mois.

6. Vos droits (RGPD, art. 15 à 22)

• Accès (art. 15) — obtenir une copie de vos données.
• Rectification (art. 16) — corriger vos données, depuis votre compte ou par email.
• Effacement (art. 17) — supprimer votre compte (fonction self-service prévue dans les paramètres).
• Portabilité (art. 20) — exporter vos données (format JSON/CSV).
• Opposition (art. 21) — vous opposer aux traitements fondés sur l'intérêt légitime.
• Retrait du consentement — via « Gérer mes cookies » ou par email.

Pour exercer vos droits : privacy@sharingtrip.com. Réponse sous 1 mois maximum (art. 12 RGPD). Vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr).

7. Sécurité

• Chiffrement en transit (HTTPS / TLS) et au repos.
• Row Level Security (RLS) activé sur l'ensemble des tables de la base de données.
• Mots de passe hachés ; accès restreint aux fonctions sensibles.

8. Modifications

En cas de modification substantielle, vous serez informé au moins 30 jours avant l'entrée en vigueur. La poursuite de l'utilisation du service vaut acceptation.