Aller au contenu

Politique de confidentialité

Les dispositions sur lesquelles nous nous fondons sont citées entre parenthèses : la loi albanaise n° 124/2024 « relative à la protection des données personnelles » (« loi 124/2024 ») et, pour les visiteurs de l’Union européenne, le Règlement général sur la protection des données (UE) 2016/679 (« RGPD »).

Qui est responsable de vos données

Juli Elezi, entrepreneur individuel, exerçant sous le nom de Visit Këlcyra / Kelcyra Rafting Team, SH75 6401, Këlcyrë, Albanie, e-mail visitkelcyra@gmail.com, est le responsable du traitement des données personnelles décrites ici (« nous »). Écrivez à cette adresse pour toute question concernant vos données.

Ce que ce site ne fait pas

  • Vous n’avez pas besoin de compte pour utiliser le site, et vous ne pouvez pas en créer. Seuls Juli et les personnes qui gèrent le site pour son compte se connectent, à l’interface d’administration.
  • Nous ne vendons pas vos données et ne les utilisons ni à des fins publicitaires ni pour du profilage.
  • Aucun cookie publicitaire n’est utilisé. Les statistiques (Google Analytics) ne sont chargées que si vous les acceptez.
  • Nous n’acceptons pas de paiement en ligne. Vous payez le jour même.

Demandes de réservation et de voyage

Les formulaires des pages d’excursion et de « Préparer mon voyage » vous demandent votre nom et votre e-mail (obligatoires), votre numéro WhatsApp (facultatif), l’excursion, la date et le nombre de personnes si vous les indiquez, ainsi que votre message ; nous enregistrons aussi la langue de la page utilisée et l’heure de réception de la demande.

Finalité : répondre à votre demande et, si vous réservez, organiser votre voyage. Base juridique : les mesures précontractuelles prises à votre demande, et le contrat lui-même (loi 124/2024, art. 7(1)(b) ; RGPD, art. 6(1)(b)). Durée de conservation : 2 ans après la date de la sortie (ou 2 ans après la réception de la demande, si elle ne comporte pas de date), puis suppression automatique.

La décharge de responsabilité du participant

Avant l’activité, chaque participant signe une décharge, en ligne sur /fr/waiver ou sur papier. En ligne, elle recueille :

  • vous concernant : nom complet, date de naissance, adresse postale, téléphone, e-mail ;
  • une personne à contacter en cas d’urgence : son nom et son téléphone (merci de l’informer que vous les avez communiqués) ;
  • la sortie : la date, l’excursion si vous en choisissez une, et la réservation si vous avez utilisé le lien propre à votre réservation ;
  • les enfants de moins de 18 ans qui vous accompagnent : le nom et la date de naissance de chaque enfant ;
  • vos déclarations : que vous acceptez la déclaration, que vous êtes en bonne santé et avez informé (ou informerez) le guide de tout problème de santé susceptible d’affecter votre sécurité, que vous remplissez les conditions requises (savoir nager, avoir au moins 12 ans, peser au maximum 120 kg) et, si des enfants vous accompagnent, que vous êtes leur parent ou tuteur et acceptez la déclaration en leur nom ;
  • votre signature : tracée avec le doigt ou la souris, et votre nom saisi au clavier ; la date et l’heure sont enregistrées par notre serveur ;
  • une copie du texte exact que vous avez signé, dans la langue dans laquelle vous l’avez lu et en anglais, avec sa version, afin que des modifications ultérieures du texte ne changent jamais ce que vous avez signé ;
  • le consentement aux photos, uniquement si vous cochez la case facultative.

Le formulaire ne demande aucun détail sur un éventuel problème de santé ; vous en informez directement le guide. Votre déclaration concernant votre santé (et celle de vos enfants) reste néanmoins une donnée concernant la santé, qui relève des catégories particulières de données.

Finalité : s’assurer que chaque participant remplit les conditions pour participer en toute sécurité, pouvoir joindre quelqu’un en cas d’urgence, conserver la preuve que le participant (ou son parent ou tuteur) a lu et accepté la déclaration, et assurer la gestion administrative.

Bases juridiques :

  • le contrat relatif à l’activité et les mesures précontractuelles (loi 124/2024, art. 7(1)(b) ; RGPD, art. 6(1)(b)) ;
  • pour la déclaration de santé, votre consentement explicite, que vous donnez en cochant cette case (loi 124/2024, art. 9(2)(a) ; RGPD, art. 9(2)(a)). Sans ce consentement, nous ne pouvons pas vous laisser participer, car l’activité ne peut pas se dérouler en toute sécurité sans lui ;
  • pour la personne à contacter en cas d’urgence, et pour l’utilisation des informations en cas d’urgence, notre intérêt légitime à assurer votre sécurité et, en cas d’urgence, les intérêts vitaux de la personne concernée (loi 124/2024, art. 7(1)(ç) et (dh) ; RGPD, art. 6(1)(d) et (f)) ;
  • pour la conservation de la décharge signée à titre de preuve, notre intérêt légitime à pouvoir démontrer ce qui a été convenu en cas de réclamation (loi 124/2024, art. 7(1)(dh) et art. 9(2)(dh) ; RGPD, art. 6(1)(f) et art. 9(2)(f)).

Enfants. Un parent ou un tuteur légal remplit la décharge pour toute personne de moins de 18 ans et fournit les informations concernant l’enfant ; les enfants ne la remplissent jamais eux-mêmes (loi 124/2024, art. 8(6) ; RGPD, art. 8).

Qui y a accès : Juli et les guides qui en ont besoin pour l’activité. Les décharges signées sont conservées dans la base de données du site, jamais dans des fichiers publics, et seules les personnes connectées à l’interface d’administration peuvent les consulter.

Durée de conservation : 2 ans après la date de la sortie, puis suppression automatique, y compris des informations sur les enfants et de la signature. Les décharges papier sont conservées pendant les mêmes 2 ans, puis détruites.

Photos et vidéos

Nous pouvons prendre des photos et des vidéos pendant les activités. Nous partageons les photos et vidéos de vous sur notre site et nos réseaux sociaux uniquement si vous cochez la case de consentement aux photos de la décharge (loi 124/2024, art. 7(1)(a) ; RGPD, art. 6(1)(a)). Elle est facultative et n’est jamais pré-cochée. Vous pouvez retirer ce consentement à tout moment en écrivant à visitkelcyra@gmail.com, aussi facilement que vous l’avez donné (loi 124/2024, art. 8(3) ; RGPD, art. 7(3)) ; nous cessons alors d’utiliser ces photos et les retirons de notre site et de nos propres publications sur les réseaux sociaux. Les photos montrant le visage d’enfants ne sont jamais publiées.

Les e-mails que nous envoyons

Lorsque le service d’e-mail est activé, une demande de réservation nous est envoyée par e-mail et vous recevez une confirmation dans votre langue ; lorsqu’une décharge est signée, vous recevez une copie de ce que vous avez signé et nous recevons une courte notification. Les e-mails passent par Resend, Inc. (États-Unis), qui traite les adresses et le contenu de ces e-mails pour notre compte. Tant que le service n’est pas activé, aucun e-mail n’est envoyé ; votre demande ou votre décharge est tout de même enregistrée.

Protection contre le spam

Les formulaires sont protégés par Cloudflare Turnstile, qui vérifie que c’est une personne, et non un programme, qui les envoie, à l’aide d’informations techniques provenant de votre navigateur et de votre adresse IP. Les formulaires limitent également le nombre d’envois possibles depuis une même adresse en une minute. Base juridique : notre intérêt légitime à protéger les formulaires contre le spam et les abus (loi 124/2024, art. 7(1)(dh) ; RGPD, art. 6(1)(f)).

Nous contacter directement

Si vous nous écrivez par WhatsApp, par e-mail ou par téléphone, les données que vous envoyez sont traitées par ce service et par nous, afin de vous répondre. Les boutons WhatsApp ouvrent seulement WhatsApp avec un message préparé : rien n’est envoyé tant que vous ne l’envoyez pas vous-même, et nos pages ne chargent pas WhatsApp (Meta).

Liens vers d’autres sites

Les liens vers Google Maps (itinéraires, notre fiche d’établissement Google depuis l’adresse en bas de page), Instagram, TikTok, YouTube, Facebook, Tripadvisor, WhatsApp, les partenaires et entreprises présentés sur le site, et le créateur du site (AM Web Design) n’ouvrent ces sites que lorsque vous cliquez dessus ; nos pages ne chargent rien qui provienne d’eux. Une fois sur ces sites, ce sont leurs propres politiques de confidentialité qui s’appliquent.

Statistiques (Google Analytics), uniquement avec votre consentement

Si vous cliquez sur Accepter dans le bandeau cookies, le site charge Google Analytics 4 (Google Ireland Limited / Google LLC) pour compter les visites et voir quelles pages sont utiles. Il dépose les cookies _ga et _ga_<ID> et envoie à Google des informations sur votre visite : les pages que vous ouvrez, votre appareil et votre navigateur, ainsi qu’une localisation approximative déduite de votre adresse IP (Google Analytics 4 n’enregistre ni ne conserve les adresses IP). Google Consent Mode v2 maintient désactivés le stockage publicitaire, la personnalisation des annonces et les données utilisateur publicitaires.

Si vous cliquez sur Refuser, ou si vous ne faites rien, Google Analytics n’est pas chargé du tout. Vous pouvez modifier votre choix à tout moment avec Paramètres des cookies en bas de chaque page ; un refus supprime alors les cookies _ga. Base juridique : votre consentement (loi 124/2024, art. 7(1)(a) ; RGPD, art. 6(1)(a)). Google conserve les statistiques pendant 14 mois. Le bandeau et les statistiques sont désactivés jusqu’au lancement du site.

Ce que votre navigateur enregistre

  • vk-consent : stockage local de votre navigateur. Finalité : votre réponse au bandeau cookies. Durée : jusqu’à ce que vous l’effaciez
  • vk:favorites : stockage local de votre navigateur. Finalité : les lieux et excursions que vous enregistrez avec le cœur. Ces données ne nous sont jamais transmises. Durée : jusqu’à ce que vous les effaciez
  • NEXT_LOCALE : cookie. Finalité : la langue que vous avez choisie, pour que le site s’ouvre dans cette langue la prochaine fois. Durée : 1 an
  • _ga, _ga_<ID> : cookies. Finalité : Google Analytics, uniquement si vous avez accepté. Durée : jusqu’à 2 ans

Les trois premiers sont nécessaires à des fonctions que vous demandez et ne requièrent pas de consentement. Le cookie de connexion à l’interface d’administration n’est déposé que pour les personnes qui gèrent le site.

Où vos données sont conservées, et qui les traite pour notre compte

  • Cloudflare, Inc. (États-Unis) : le site fonctionne sur Cloudflare. Cloudflare héberge les pages, la base de données (Cloudflare D1, où sont stockées les demandes de réservation et les décharges, signatures comprises) et le stockage des photos (Cloudflare R2), fait fonctionner Turnstile et conserve des journaux techniques de courte durée. Comme tout hébergeur web, il traite votre adresse IP et les détails de vos requêtes pour fournir le site et le protéger contre les attaques. La base de données est située en Europe de l’Est et servie depuis Francfort.
  • Resend, Inc. (États-Unis) : l’envoi des e-mails, une fois activé (voir ci-dessus).
  • Google (Google Ireland Limited / Google LLC) : Google Analytics, uniquement avec votre consentement.

Ces sociétés traitent les données uniquement sur nos instructions, dans le cadre d’un contrat de sous-traitance (loi 124/2024, art. 26 ; RGPD, art. 28). Les polices, la carte et la vidéo du site sont servies depuis notre propre adresse : votre navigateur ne contacte ni Google Fonts, ni un fournisseur de cartes, ni une plateforme vidéo pour les afficher. (La traduction automatique des textes du site, dans l’interface d’administration, envoie ces textes à Google Cloud Translation ; elle n’envoie jamais vos données.)

Transferts hors d’Albanie et de l’UE. Cloudflare, Google et Resend sont établis aux États-Unis, et leurs services peuvent y traiter des données. Le Commissaire albanais à l’information et à la protection des données considère que les États-Unis offrent un niveau de protection adéquat pour les entreprises certifiées au titre du cadre de protection des données UE–États-Unis (« EU–US Data Privacy Framework ») (décision n° 01 du Commissaire du 30 avril 2025, en application de la loi 124/2024, art. 40 ; pour l’UE, décision d’exécution (UE) 2023/1795 de la Commission, en application de l’art. 45 du RGPD). Cloudflare et Google sont certifiés.

Durée de conservation

  • Demandes de réservation : 2 ans après la date de la sortie (ou après leur réception, en l’absence de date), puis suppression automatique
  • Décharges, avec les informations sur les enfants et les signatures : 2 ans après la date de la sortie, puis suppression automatique
  • Décharges papier : 2 ans après la date de la sortie, puis destruction
  • Consentement aux photos : aussi longtemps que la décharge ; pour les photos déjà publiées, jusqu’au retrait de votre consentement
  • E-mails et messages WhatsApp : uniquement le temps nécessaire pour organiser votre sortie, et au plus 2 ans
  • Statistiques (Google Analytics) : 14 mois

Vos droits

Vous pouvez nous demander une copie de vos données et des informations sur la manière dont nous les utilisons (loi 124/2024, art. 14 ; RGPD, art. 15), leur rectification (art. 15 ; RGPD, art. 16), leur effacement (art. 15 et 16 ; RGPD, art. 17), la limitation de leur traitement (art. 17 ; RGPD, art. 18), leur communication dans un format portable (art. 18 ; RGPD, art. 20), et vous opposer au traitement fondé sur nos intérêts légitimes (art. 19 ; RGPD, art. 21). Lorsque nous nous fondons sur votre consentement (déclaration de santé, photos, statistiques), vous pouvez le retirer à tout moment ; cela n’affecte pas les traitements effectués auparavant (loi 124/2024, art. 8(3) ; RGPD, art. 7(3)). Si vous retirez votre consentement à la déclaration de santé avant l’activité, vous ne pouvez pas y participer.

Écrivez à visitkelcyra@gmail.com. Nous répondons dans un délai de 30 jours. Si une demande est complexe, il peut nous falloir jusqu’à 60 jours ; nous vous en indiquons alors la raison dans les 30 premiers jours (loi 124/2024, art. 12(4) ; RGPD, art. 12(3)). Nous pouvons vous demander de confirmer votre identité (loi 124/2024, art. 12(3)). Un parent ou un tuteur peut exercer ces droits pour son enfant.

Réclamations

Si vous estimez que nous n’avons pas traité vos données de manière licite, merci de nous en informer d’abord afin que nous puissions corriger la situation. Vous avez également le droit d’introduire une réclamation auprès d’une autorité de contrôle :

  • en Albanie, le Commissaire à l’information et à la protection des données (Komisioneri për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale), Rruga "Abdi Toptani", Nr. 5, Tirana, idp.al (loi 124/2024, art. 86) ; les décisions du Commissaire peuvent faire l’objet d’un recours devant le tribunal administratif (art. 87) ;
  • si vous résidez dans l’Union européenne, également l’autorité de protection des données de votre pays, de votre lieu de travail ou du lieu de la violation présumée (RGPD, art. 77). La liste figure sur edpb.europa.eu.

Enfants

Le site ne s’adresse pas aux enfants, et nous ne collectons pas sciemment de données concernant des enfants, sauf par le biais de la décharge, lorsqu’un parent ou un tuteur légal les fournit pour un enfant qui participe avec lui (voir ci-dessus). Les réservations sont effectuées par des adultes.

Sécurité

Seules les personnes qui gèrent le site peuvent se connecter à l’interface d’administration, avec leurs propres mots de passe ; personne d’autre ne peut lire les demandes de réservation ou les décharges, ni via le site ni via son interface de programmation. Les connexions au site sont chiffrées (HTTPS). La base de données est sauvegardée par Cloudflare pendant 30 jours : une demande ou une décharge supprimée disparaît donc des sauvegardes dans les 30 jours suivant sa suppression.

Modifications de cette politique

Si ce que nous faisons des données personnelles change, nous mettons à jour cette page et la date indiquée en haut. Cette politique peut être disponible en plusieurs langues ; en cas de divergence entre les versions, c’est la version anglaise qui fait foi.