Politique de confidentialité

Responsable de traitement : SharingTrip Group, SASU — 45 rue Paul Bert, 92600 Asnières-sur-Seine.
Contact RGPD : privacy@sharingtrip.com

1. Qui sommes-nous ?

SharingTrip (sharingtrip.fr) est une plateforme française de coordination de voyages de groupe entre amis. Nous facilitons le partage de réservations existantes et la recherche de prestations auprès de partenaires. SharingTrip agit comme intermédiaire technique et n'est pas une agence de voyage.

2. Données collectées, finalités et bases légales

2.1 Compte utilisateur

• Email, prénom, nom — gestion du compte — exécution du contrat (art. 6.1.b RGPD) — conservées le temps du compte + 3 ans.
• Photo de profil (optionnelle) — personnalisation — consentement (art. 6.1.a) — le temps du compte.
• Mot de passe haché — authentification — exécution du contrat — le temps du compte.

2.2 Données de voyage de groupe

• Nom du groupe, destination, dates, listings partagés, dépenses — fonctionnement du service — exécution du contrat — durée du groupe + 1 an.
• Membres du groupe et répartition des frais — coordination entre co-voyageurs — exécution du contrat.

2.3 Données de paiement (partage des frais)

Les paiements liés au partage des frais sont traités par notre prestataire de paiement agréé, Stripe. SharingTrip ne détient jamais vos fonds et n'a pas accès à vos coordonnées bancaires complètes, qui sont collectées et conservées directement par Stripe. Nous traitons uniquement les données nécessaires au suivi du partage (montants, statut). Base légale : exécution du contrat.

2.4 Données de navigation

• Adresse IP, user-agent, pages vues — sécurité, débogage, mesure — intérêt légitime (art. 6.1.f) — 90 jours environ.

2.5 Critères de recherche (dont présence d'enfants)

Le moteur de recherche permet d'indiquer des critères de voyage, dont la présence éventuelle d'enfants et leur tranche d'âge (critère « adapté aux enfants »). Utilisés dans le moteur de recherche, ces critères servent uniquement à filtrer les résultats affichés et ne sont pas conservés à ce titre. La composition du groupe que vous déclarez pour rejoindre un voyage relève, elle, de l'article 2.6 ci-dessous. Le Service est réservé aux personnes majeures (voir CGU) : aucun compte n'est créé pour un mineur.

2.6 Composition du groupe (occupants)

Lorsque vous rejoignez un voyage, vous déclarez le nombre d'occupants que vous amenez(nombre d'adultes et nombre d'enfants). Ces compteurs sont conservés sur votre participation au voyage. Finalité : calculer votre quote-part au coût réel et vérifier la capacité du logement. Base légale : exécution du contrat (art. 6.1.b). Durée : le temps du voyage puis archivage avec les données du voyage. Il s'agit de simples compteurs rattachés à votre compte (personne majeure) : aucune donnée nominative ni d'identité d'un mineur n'est collectée. Ces données figurent dans votre export RGPD (art. 20).

2.7 Vérification d'identité (Stripe Identity)

Dans le cadre du paiement protégé (Pilier 1), une vérification d'identité peut être requise. Elle est déclenchée uniquement lorsque le voyage est complet et payé, avant le séjour. Le document d'identité et le selfie sont traités exclusivement par Stripe (notre prestataire de paiement, agissant en qualité de sous-traitant), via son service Stripe Identity : SharingTrip ne reçoit ni ne conserve jamais les pièces d'identité. Nous ne conservons que : le statut de vérification, un identifiant technique de session, le prénom vérifié et un indicateur de majorité (18 ans ou plus). Les documents sont supprimés chez Stripe via l'API Redact après la vérification (principe « zéro rétention »). Bases légales : exécution du contrat (art. 6.1.b) et intérêt légitime (prévention de la fraude, art. 6.1.f).

3. Partenaires et sous-traitants

• Vercel Inc. (hébergement, USA) — encadré par des clauses contractuelles types (SCC).
• Supabase Inc. (base de données, région UE eu-west-3 Paris) — pas de transfert hors UE des données utilisateurs.
• Stripe (paiement et, le cas échéant, vérification d'identité via Stripe Identity) — prestataire certifié.
• Anthropic (recherche IA — les requêtes de recherche formulées en langage naturel sont envoyées à l'API Claude, États-Unis) — encadré par le cadre EU-US Data Privacy Framework (DPF) et des clauses contractuelles types (SCC).
• Sentry (monitoring d'erreurs — adresse IP, user-agent ; les replays de session sont masqués) — DPF / SCC.
• OVH (envoi des emails transactionnels, France) — pas de transfert hors UE.
• Partenaires affiliés (Booking.com, GetYourGuide, Viator, Expedia…) — un cookie peut être déposé par le partenaire lors d'un clic, si vous avez consenti à la catégorie « Affiliation ».

4. Transferts hors Union européenne

• Vercel (USA) — clauses contractuelles types (SCC) / cadre EU-US Data Privacy Framework.
• Supabase — données hébergées en France (eu-west-3), pas de transfert hors UE.
• Anthropic (USA) — requêtes de recherche IA — cadre EU-US Data Privacy Framework (DPF) / clauses contractuelles types (SCC).
• Sentry (USA) — données techniques de monitoring d'erreurs — DPF / SCC.
• Stripe (USA) — paiement et vérification d'identité — DPF / SCC.

5. Cookies et traceurs

Trois catégories : essentiels (exemptés de consentement : session, sécurité, préférences), analytics (consentement requis) et affiliation (consentement requis, cookies de suivi des partenaires). Vous pouvez accepter, refuser ou paramétrer chaque catégorie, et modifier votre choix à tout moment via le lien « Gérer mes cookies ». La durée de conservation du consentement n'excède pas 13 mois.

6. Vos droits (RGPD, art. 15 à 22)

• Accès (art. 15) — obtenir une copie de vos données.
• Rectification (art. 16) — corriger vos données, depuis votre compte ou par email.
• Effacement (art. 17) — supprimer votre compte (fonction self-service prévue dans les paramètres).
• Portabilité (art. 20) — exporter vos données (format JSON/CSV).
• Opposition (art. 21) — vous opposer aux traitements fondés sur l'intérêt légitime.
• Retrait du consentement — via « Gérer mes cookies » ou par email.

Pour exercer vos droits : privacy@sharingtrip.com. Réponse sous 1 mois maximum (art. 12 RGPD). Vous pouvez introduire une réclamation auprès de la CNIL (3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 — cnil.fr).

7. Sécurité

• Chiffrement en transit (HTTPS / TLS) et au repos.
• Row Level Security (RLS) activé sur l'ensemble des tables de la base de données.
• Mots de passe hachés ; accès restreint aux fonctions sensibles.

8. Modifications

En cas de modification substantielle, vous serez informé au moins 30 jours avant l'entrée en vigueur. La poursuite de l'utilisation du service vaut acceptation.