Politique de confidentialité

1. Responsable du traitement

Le site villarochal-agadir.com et la gestion des réservations qu'il permet sont exploités pour le compte de la villa Rochal (Agadir, Maroc).

Raison sociale, forme juridique, adresse du siège et numéro d'immatriculation de l'entité exploitante : À COMPLÉTER AVANT PRODUCTION (voir aussi les mentions légales).

Contact pour toute question relative à cette politique : contact@villarochal-agadir.com.

2. Données collectées

Seules les données suivantes sont réellement collectées par le site, et uniquement lorsqu'elles sont fournies volontairement par la personne qui fait une demande de séjour :

Le site ne demande jamais et ne stocke jamais de numéro de carte bancaire, de date d'expiration ni de cryptogramme — ces informations sont saisies directement sur la page de paiement hébergée par Stripe (voir §4).

Aucune donnée n'est collectée à des fins de prospection commerciale au-delà de ce consentement facultatif, et aucune newsletter ni campagne d'emailing n'existe encore sur ce site à ce jour.

3. Finalités et bases juridiques

Chaque traitement repose sur une base juridique correspondant à son usage réel — jamais le consentement par défaut lorsqu'une autre base s'applique :

• Traiter une demande de réservation et le paiement de l'acompte : mesures précontractuelles puis exécution du contrat (article 6.1.b du RGPD).
• Gérer une annulation et, le cas échéant, le remboursement automatique de l'acompte : exécution du contrat.
• Sécuriser l'accès à l'espace d'administration, prévenir la fraude et les abus (limitation de fréquence, journalisation technique minimale) : intérêt légitime de l'exploitant à protéger le service et ses utilisateurs.
• Conserver certaines données au-delà du séjour lorsqu'une obligation comptable ou fiscale l'impose : obligation légale, dans les limites précisées au §10.
• Vous envoyer occasionnellement des offres et actualités de Villa Rochal par email : consentement (article 6.1.a du RGPD) — uniquement si vous avez coché la case prévue à cet effet sur le formulaire de réservation.

Ce consentement marketing est entièrement facultatif : cocher ou non cette case n'a aucune conséquence sur le traitement de votre demande de réservation. Vous pouvez le retirer à tout moment en nous écrivant à contact@villarochal-agadir.com — aucun email d'offres ou d'actualités ne sera envoyé sans ce consentement, et le fait de nous avoir communiqué votre email pour une réservation ne vaut jamais, à lui seul, consentement à en recevoir.

4. Paiement et acompte (Stripe)

Le paiement de l'acompte de réservation est traité par Stripe, via une page de paiement hébergée par Stripe (Stripe Checkout). Au moment de la rédaction, ce paiement fonctionne en mode test (aucune transaction réelle).

• Le site Rochal ne collecte jamais directement le numéro de carte bancaire, la date d'expiration ou le cryptogramme via son propre formulaire : ces informations sont saisies uniquement sur la page Stripe.
• Le site conserve uniquement des informations techniques nécessaires au suivi métier de l'acompte : le montant, la devise, le statut du paiement, l'identifiant de session de paiement et l'identifiant d'intention de paiement Stripe. Ces identifiants ne sont jamais affichés dans l'interface d'administration ni inclus dans les exports (voir §8).
• La confirmation d'un paiement n'est jamais déduite d'un simple retour de navigation : elle repose exclusivement sur une notification signée envoyée par Stripe (webhook), vérifiée cryptographiquement avant toute mise à jour de la réservation.

Stripe agit comme prestataire de paiement indépendant et est susceptible de traiter des données conformément à sa propre politique de confidentialité (stripe.com/fr/privacy).

5. Annulation et remboursement

Une réservation confirmée peut être annulée par le voyageur lui-même, avant une date limite précisée dans l'email de confirmation, via un lien à usage personnel. Ce lien contient un jeton sécurisé à usage personnel, qui ne peut déclencher l'annulation de la réservation qu'une seule fois ; seule son empreinte cryptographique est conservée en base de données, jamais le jeton lui-même.

Lorsqu'une annulation est effectuée par le voyageur lui-même sur une réservation dont l'acompte a déjà été réglé, un remboursement automatique de cet acompte est demandé auprès de Stripe. Le résultat réel de ce remboursement (réussi ou non) est confirmé par Stripe via une notification signée, avant toute mise à jour du statut affiché.

Lorsqu'une annulation est effectuée par l'administration (et non par le voyageur), le remboursement n'est pas automatique et est traité manuellement.

6. Communications transactionnelles

Les emails suivants peuvent être envoyés dans le cadre strict du suivi d'une demande de séjour, jamais à des fins commerciales : demande reçue, acompte à régler, réservation confirmée, réservation annulée, demande expirée faute de paiement, acompte remboursé.

Ces emails ne contiennent aucun pixel de suivi d'ouverture, aucun lien de traçage marketing, et uniquement les liens nécessaires au bon déroulement de la réservation (par exemple le lien de paiement ou le lien d'annulation).

7. Administration et sécurité

L'accès à l'espace d'administration (gestion des réservations, calendrier, paramètres) est protégé par une authentification par identifiant et mot de passe. La session d'administration repose sur un cookie technique, indispensable au fonctionnement de cet espace protégé : il n'est ni utilisé à des fins de mesure d'audience, ni de publicité, et n'est donc pas soumis à consentement (voir politique cookies).

Les journaux techniques du serveur (logs) sont volontairement minimisés : ils ne contiennent ni nom, ni email, ni téléphone, ni jeton d'annulation, ni identifiant Stripe sensible, ni secret.

8. Destinataires et prestataires

Les données ne sont partagées qu'avec les prestataires techniques strictement nécessaires au fonctionnement du site, jamais revendues ni utilisées à des fins publicitaires :

Identité précise et coordonnées de l'hébergeur du site et du fournisseur SMTP : À COMPLÉTER AVANT PRODUCTION (voir aussi §9 et les mentions légales).

Une section « Avis » du site peut afficher les avis Google de l'établissement une fois cette fonctionnalité configurée par l'exploitant ; elle est actuellement inactive et le site affiche à la place des avis de démonstration clairement identifiés comme tels. Le détail exact de cette intégration figure dans la politique cookies.

9. Transferts hors Union européenne

Stripe et Supabase sont susceptibles de traiter des données en dehors de l'Union européenne, dans le cadre des garanties prévues par leurs propres politiques de confidentialité respectives. Les garanties contractuelles précises applicables à l'exploitant du site (clauses contractuelles types ou équivalent) n'ont pas encore été vérifiées à ce stade : À COMPLÉTER AVANT PRODUCTION.

10. Durée de conservation

Aucune politique de conservation ni de purge automatique n'est aujourd'hui mise en œuvre techniquement : les données de réservation restent en base de données sans limite de durée définie. Une durée précise (ou des critères permettant de la déterminer, par exemple une obligation comptable) doit encore être fixée par l'exploitant : À DÉFINIR AVANT PRODUCTION.

Cette durée sera précisée, et cette politique mise à jour en conséquence, avant la mise en production du site.

11. Vos droits

Conformément au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation et d'opposition, ainsi que, lorsqu'applicable, d'un droit à la portabilité de vos données et à retirer un consentement déjà donné.

Pour exercer ces droits, vous pouvez écrire à contact@villarochal-agadir.com. Contact dédié à la protection des données (le cas échéant, distinct du contact général) : À COMPLÉTER AVANT PRODUCTION.

Vous disposez également du droit d'introduire une réclamation auprès de l'autorité de contrôle compétente (en France, la CNIL — cnil.fr).

12. Sécurité

Des mesures techniques raisonnables sont mises en œuvre : connexion chiffrée, mots de passe d'administration jamais stockés en clair, jetons d'annulation stockés uniquement sous forme d'empreinte cryptographique, vérification systématique de la signature des notifications Stripe, secrets de configuration jamais exposés côté navigateur.

Aucune mesure de sécurité ne peut garantir un risque nul ; en cas d'incident de sécurité avéré affectant des données personnelles, les obligations légales de notification applicables seront respectées.

13. Cookies et traceurs

Le fonctionnement des cookies et technologies de stockage utilisés sur ce site est détaillé dans une page dédiée : politique cookies. En résumé, le site n'utilise aujourd'hui aucun cookie publicitaire ni de mesure d'audience.

14. Modifications de cette politique

Cette politique peut être mise à jour pour refléter une évolution réelle du site ou de ses prestataires. La date de dernière mise à jour figure en haut de cette page.

15. Contact

Pour toute question relative à cette politique ou au traitement de vos données : contact@villarochal-agadir.com.