Politique de confidentialité

1. Responsable du traitement et champ d’application

Asfar Sahraoui, agence de voyages établie à Casablanca, détermine les finalités et les moyens des traitements décrits dans cette politique.

La politique couvre l’application mobile Asfar Sahraoui ainsi que les fonctions de compte et de réservation associées. Lorsqu’une pratique concerne uniquement le site web, nous l’indiquons expressément.

2. Données que nous collectons

• Compte et coordonnées. Nom, adresse e-mail, numéro de téléphone, état de vérification et identifiant utilisateur interne. L’e-mail sert notamment à l’authentification par code et le téléphone à la gestion opérationnelle des réservations.

• Photo de profil. La photo que vous choisissez dans votre photothèque. Nous ne téléversons pas le reste de votre photothèque.

• Réservations et préférences de voyage. Service réservé, référence et statut, dates, nombre de voyageurs et tranches d’âge, hôtel, chambre, repas, ville et heure de départ, excursions, bagages, options, demandes et remarques que vous saisissez.

• Paiement. Moyen de paiement sélectionné, montant, acompte, devise, état du paiement et, pour un paiement en ligne sur le site, identifiant de transaction Payzone. L’application mobile ne collecte pas de numéro de carte ni de coordonnées bancaires de paiement.

• Budget facultatif. Montant indicatif que vous choisissez de communiquer lorsque vous envoyez une demande de voyage VIP sur mesure.

• Favoris et interactions. Éléments ajoutés ou retirés des favoris, type et identifiant de l’offre, date d’enregistrement, préférences de notifications et événements nécessaires à l’historique d’une réservation, par exemple sa création, sa confirmation ou son annulation.

• Notifications et appareil. Jeton de notification Expo, identifiant aléatoire propre à l’installation, plateforme, version de l’app, date de dernière activité et état d’activation. Après connexion, ces éléments sont liés à votre identifiant utilisateur afin d’envoyer les notifications au bon compte. L’identifiant aléatoire n’est pas l’identifiant publicitaire Apple et n’est pas utilisé pour le suivi publicitaire.

• Sign in with Apple. Identifiant stable fourni par Apple, jeton d’identité et, selon votre choix, nom et adresse e-mail réelle ou adresse de relais privée Apple. Nous ne recevons jamais votre mot de passe Apple.

• Communications et contenu libre. Codes de connexion à usage unique, e-mails transactionnels, demandes adressées au support et contenu que vous choisissez de saisir dans les champs de remarques ou de demandes spéciales.

• Données techniques. Adresses IP, informations de requête, journaux de sécurité et données techniques limitées pouvant être traités par nos prestataires pour acheminer une requête, sécuriser le service, distribuer une mise à jour ou diagnostiquer un incident.

• Site web uniquement. Le site public utilise Google Analytics et Meta Pixel afin de mesurer son audience, l’usage des pages et l’efficacité des campagnes. Ces outils peuvent traiter des identifiants de cookies, l’adresse IP, des informations sur le navigateur ou l’appareil, les pages consultées et les interactions. Ils ne sont pas intégrés dans l’application mobile native.

3. Autorisations de l’appareil

• Photothèque. L’accès est demandé uniquement lorsque vous souhaitez créer ou remplacer votre photo de profil. L’app ne demande pas l’accès à l’appareil photo. Vous pouvez refuser l’accès et utiliser l’app sans photo.

• Notifications. L’autorisation système est facultative. Vous pouvez la retirer à tout moment dans les réglages iOS ou Android et gérer les catégories de notifications dans l’app.

• Stockage sécurisé local. La session, la langue choisie et l’identifiant aléatoire d’installation peuvent être conservés dans le stockage sécurisé de l’appareil. Les données qui restent uniquement sur l’appareil ne sont pas envoyées à Asfar Sahraoui, sauf lorsque cela est nécessaire à une fonction décrite ci-dessus.

4. Finalités et fondements du traitement

• Fournir le service et exécuter votre demande. Créer et sécuriser le compte, afficher le profil et les favoris, préparer, confirmer, modifier et suivre les réservations, enregistrer le moyen de paiement choisi et assurer le service client.

• Communiquer avec vous. Envoyer les codes de connexion, confirmations, changements de statut, informations importantes relatives au voyage et, si vous les avez activées, notifications promotionnelles.

• Mesurer le site et les campagnes. Sur le site web uniquement, comprendre l’audience et l’utilisation des pages, établir des statistiques et mesurer l’efficacité de nos campagnes au moyen de Google Analytics et de Meta Pixel.

• Consentement et choix facultatifs. La photo, l’accès à la photothèque et les notifications reposent sur votre choix. Vous pouvez retirer ce choix sans remettre en cause les traitements déjà licites.

• Intérêts légitimes. Prévenir les abus et la fraude, protéger les comptes, maintenir la disponibilité du service, résoudre les incidents et améliorer l’expérience sans effectuer de suivi publicitaire entre entreprises.

• Obligations légales. Tenir les documents comptables et transactionnels requis, répondre aux demandes légalement valides et établir, exercer ou défendre nos droits.

5. Sign in with Apple

Sign in with Apple est une méthode de connexion facultative proposée sur iOS. Apple authentifie votre identité et transmet à notre système d’authentification Convex un jeton, un identifiant de compte et les informations que vous avez accepté de partager. Apple peut masquer votre e-mail au moyen de son service de relais privé.

Apple ne transmet généralement le nom qu’à la première autorisation. Vous pouvez aussi vous connecter avec votre e-mail et un code à usage unique. Si vous supprimez un compte lié à Apple, une authentification Apple récente est demandée et l’autorisation accordée à Asfar Sahraoui est révoquée avant la suppression locale. La gestion de votre compte Apple relève également des conditions et de la politique de confidentialité d’Apple.

6. Destinataires et partage

Seuls les membres autorisés de notre équipe, nos prestataires agissant pour notre compte et les partenaires indispensables à votre réservation accèdent aux données nécessaires à leur mission. Nous ne leur permettons pas d’utiliser ces données pour leur propre publicité ciblée.

Nous pouvons transmettre les informations strictement nécessaires aux hôtels, transporteurs, organisateurs d’activités, guides, assureurs ou autres fournisseurs choisis pour exécuter la réservation. Nous pouvons aussi communiquer des données à une autorité, un tribunal, un conseil ou un assureur lorsque la loi l’exige ou pour protéger nos droits.

7. Prestataires utilisés

Les prestataires ci-dessous peuvent traiter les catégories de données nécessaires au service concerné. Leurs propres politiques décrivent aussi leurs pratiques :

• Convex: backend cloud, base de données, authentification, stockage de la photo de profil, réservations, favoris et registre des appareils.

• Expo (Expo Application Services): mises à jour de l’application et service de relais des notifications; Expo peut traiter le jeton push, le système d’exploitation et des identifiants techniques aléatoires liés aux mises à jour.

• Apple: Sign in with Apple, Apple Push Notification service (APNs), distribution de l’app et services du système iOS.

• Google / Firebase: Firebase Cloud Messaging (FCM) pour acheminer les notifications Android et Google Analytics pour mesurer l’audience du site web uniquement.

• Meta / Facebook: Meta Pixel mesure l’audience et l’efficacité des campagnes sur le site web uniquement et peut recevoir des identifiants de cookies, l’adresse IP, des informations sur le navigateur ou l’appareil et les interactions avec les pages. Aucun SDK Meta Pixel n’est intégré dans l’application mobile native.

• Resend: envoi des codes de connexion et des e-mails transactionnels; traitement de l’adresse du destinataire, du contenu du message et des métadonnées de délivrance.

• Payzone (Vantage Payment Systems): paiements par carte proposés sur le site web. Payzone collecte directement les données de carte; Asfar Sahraoui reçoit le statut et l’identifiant de la transaction, pas le numéro complet de la carte.

• WhatsApp (Meta): uniquement lorsque vous choisissez d’ouvrir WhatsApp pour contacter l’agence ou envoyer volontairement un message ou un justificatif. Vous quittez alors notre app et les règles de WhatsApp s’appliquent.

8. Transferts internationaux

Certains prestataires technologiques disposent d’infrastructures ou de sous-traitants situés hors du Maroc. Vos données peuvent donc être traitées dans d’autres pays, notamment pour l’hébergement cloud, l’envoi d’e-mails, les mises à jour, les notifications et la mesure d’audience du site web.

Nous limitons les données transférées à ce qui est nécessaire et nous nous appuyons sur les engagements contractuels, mesures de sécurité et mécanismes de transfert applicables proposés par nos prestataires. Vous pouvez nous demander des informations complémentaires sur un transfert précis.

9. Durées de conservation

• Compte, profil et favoris. Pendant la durée de vie du compte, puis jusqu’au traitement de sa suppression, sous réserve des exceptions légales et techniques décrites ci-dessous. La photo de profil stockée dans le service actif est supprimée avec le compte ; une copie de sauvegarde peut subsister jusqu’à l’expiration du cycle concerné.

• Réservations et paiements. Pendant le traitement et le suivi de la réservation, puis en archive restreinte pendant les délais nécessaires aux obligations comptables, fiscales, contractuelles, de preuve et de défense de nos droits.

• Codes de connexion. Le code à usage unique expire après 15 minutes. Des journaux limités de délivrance ou de sécurité peuvent être conservés plus longtemps par nos prestataires selon leurs durées contractuelles et les obligations applicables.

• Jetons et identifiants de notification. Jusqu’à la désactivation des notifications, la déconnexion ou la suppression du compte. Les appareils qui n’ont pas été vus depuis 90 jours sont supprimés de notre registre actif.

• Journaux techniques, sécurité et sauvegardes. Pendant une durée limitée proportionnée au diagnostic, à la sécurité et à la continuité du service. Les copies de sauvegarde sont isolées de l’usage courant et sont supprimées ou écrasées selon les cycles techniques applicables.

10. Suppression du compte et données conservées après suppression

Vous pouvez lancer la suppression depuis Profil > Paramètres > Supprimer le compte. Une confirmation explicite et une authentification récente protègent cette action. Si le compte utilise Sign in with Apple, l’app demande également une nouvelle autorisation Apple afin de la révoquer. Le profil et sa photo, les favoris, les réservations et événements d’historique liés, les sessions et données d’authentification ainsi que les enregistrements de notification sont alors supprimés du service actif.

La suppression du compte n’efface pas nécessairement les documents que nous devons conserver séparément pour respecter une obligation comptable, fiscale ou légale, traiter un litige, lutter contre la fraude ou démontrer une transaction. Cela peut inclure une référence de réservation ou de transaction, les montants, dates, pièces comptables, preuves de consentement ou journaux de sécurité strictement nécessaires.

Un journal de suppression non rattaché au compte peut conserver les dates, l’état du traitement et des compteurs agrégés des éléments supprimés afin de prouver l’exécution de la demande. Les autres données résiduelles sont limitées, protégées, séparées du compte actif et ne sont pas utilisées à des fins promotionnelles. Elles sont supprimées ou anonymisées à l’expiration de l’obligation concernée. Des copies peuvent aussi rester temporairement dans les sauvegardes ou chez un prestataire avant l’expiration de son cycle de suppression.

Une réservation effectuée sans compte sur le site ne peut pas être retrouvée par la fonction de suppression de l’app. Contactez-nous avec sa référence pour exercer vos droits sur cette réservation.

11. Vos droits et vos choix

Pour protéger votre compte, nous pouvons vérifier votre identité et demander les informations raisonnablement nécessaires pour retrouver les données concernées. Certaines demandes peuvent être limitées lorsqu’une loi nous impose de conserver les données ou protège les droits d’un tiers.

• Accès et copie. Demander si nous traitons vos données et recevoir les informations ou une copie auxquelles vous avez droit.

• Rectification. Corriger votre nom, votre téléphone et votre photo dans le profil, ou nous demander de corriger une autre donnée inexacte.

• Effacement, limitation et opposition. Demander la suppression ou la limitation d’un traitement et vous opposer à certains usages, sous réserve de nos obligations et motifs légitimes impérieux.

• Portabilité. Recevoir, lorsque ce droit est applicable, les données que vous nous avez fournies dans un format structuré et couramment utilisé.

• Retrait du consentement. Retirer une autorisation dans les réglages de l’appareil, désactiver les catégories de notifications dans l’app ou nous contacter.

• Réclamation. Saisir l’autorité de protection des données compétente, notamment la Commission Nationale de contrôle de la protection des Données à caractère Personnel (CNDP) au Maroc.

12. Sécurité, vente et suivi publicitaire

Nous appliquons des mesures techniques et organisationnelles adaptées, notamment le chiffrement des communications en transit, des contrôles d’accès, l’authentification et la limitation des données. Aucun système n’offre toutefois une sécurité absolue.

Nous ne vendons pas vos données et l’application mobile ne contient pas de SDK publicitaire ni de mécanisme destiné à relier vos données à celles d’autres entreprises pour la publicité ciblée ou sa mesure. L’identifiant d’installation et le jeton de notification servent uniquement au fonctionnement, à la sécurité et à l’acheminement des notifications.

13. Modifications de cette politique

Nous pouvons mettre cette politique à jour si nos fonctionnalités, prestataires ou obligations changent. La date de mise à jour figure en haut de la page. En cas de changement important, nous fournirons un avis approprié dans l’app, sur le site ou par un autre moyen disponible.