Politique de confidentialité

Casa Venturas, San Juan, Porto Rico. micasaventuras@gmail.com, +1 929 372 4529. Nous sommes le responsable du traitement des données collectées via ce site.

• Données de réservation : nom, email, téléphone, date du tour, nombre de personnes. Transmises via notre formulaire de réservation et traitées par Bókun (notre moteur de réservation).
• Formulaire de contact : nom, email, message.
• Chat avec Cavi (guide AI) : Cavi fonctionne entièrement côté client, dans votre navigateur, comme un détecteur d'intentions déterministe. Aucun appel à une API LLM n'est effectué, aucun contenu de conversation n'est envoyé à nos serveurs, aucune transcription n'est conservée nulle part. Vos messages n'existent que dans cet onglet et disparaissent à sa fermeture.
• Données techniques : adresse IP, type de navigateur, pages visitées. Collectées automatiquement par notre hébergeur (Cloudflare) pour la sécurité et la performance.

Nous ne vendons jamais vos données personnelles. Nous n'utilisons ni cookies publicitaires ni traceurs inter-sites.

• Pour confirmer et opérer votre tour (exécution du contrat, art. 6(1)(b) RGPD).
• Pour répondre aux questions envoyées via notre formulaire de contact ou le chat (intérêt légitime).
• Pour respecter les obligations fiscales et touristiques de Porto Rico (obligation légale).
• Pour protéger le site contre la fraude et les abus (intérêt légitime).

Nous nous appuyons sur un petit nombre de prestataires de confiance qui traitent les données strictement selon nos instructions :

• Bókun (filiale TripAdvisor), moteur de réservation et traitement des paiements (conforme PCI-DSS). Bókun agit en tant que sous-traitant dans le cadre d'un Data Processing Agreement signé.
• Stripe, traitement des paiements par carte (conforme PCI-DSS). Les informations de carte sont saisies dans un iframe hébergé par Stripe et n'atteignent jamais nos serveurs. Stripe agit en tant que sous-traitant dans le cadre de son Data Processing Agreement standard.
• Resend, envoi d'emails transactionnels (confirmations de réservation, réponses aux messages de contact).
• Cloudflare, hébergement du site, CDN et protection DDoS.
• Google Analytics 4, analyse d'audience du site, activé uniquement après votre consentement explicite via la bannière cookies. Identifiant de mesure G-02DN83KF2B, adresses IP anonymisées. Voir notre Politique cookies pour les détails.
• Nominatim (OpenStreetMap), autocomplétion d'adresses géographiques pour le champ de prise en charge des réservations. Les requêtes transitent par notre serveur ; nous ne conservons pas les réponses Nominatim au-delà de la requête en cours. Exploité par la Fondation OpenStreetMap (Royaume-Uni) sous licence Open Data Commons.
• YouTube, intégration vidéo sur nos pages de tour. Les vidéos sont chargées depuis youtube-nocookie.com par défaut pour minimiser le tracking ; youtube.com complet est autorisé en repli pour la compatibilité.

Si vous réservez un de nos tours via une plateforme tierce (Viator, TripAdvisor Experiences, GetYourGuide, Airbnb Experiences), cette plateforme est le responsable du traitement pour vos données de réservation. Leurs propres politiques de confidentialité s'appliquent à ces transactions, nous recevons uniquement les informations nécessaires à l'exécution du tour.

• Dossiers de réservation : 7 ans (obligation fiscale US).
• Messages du formulaire de contact : jusqu'à 2 ans.
• Logs serveur : jusqu'à 30 jours.

Vous disposez des droits suivants :

• Accéder aux données personnelles que nous détenons à votre sujet.
• Nous demander de les corriger ou de les supprimer.
• Vous opposer à tout envoi marketing futur (nous n'en envoyons pas actuellement).
• Recevoir vos données dans un format portable (art. 20 RGPD).
• Déposer une plainte auprès d'une autorité de protection des données (par exemple DACO à Porto Rico, ou votre autorité locale en UE).

Pour exercer l'un de ces droits, écrivez à micasaventuras@gmail.com. Nous répondons sous 30 jours. Les résidents de Californie peuvent demander un opt-out « Do Not Sell or Share » ; à noter que nous ne vendons ni ne partageons de données personnelles à des fins publicitaires.

Si vous résidez en Virginia, Colorado, Connecticut, Utah, Texas, Florida, Oregon, Montana, Iowa, Tennessee, Indiana, Delaware, Nebraska, New Hampshire, New Jersey, Maryland ou Minnesota, votre État peut vous accorder des droits similaires à ceux ci-dessus (accès, rectification, suppression, portabilité, opt-out de la vente / partage / publicité ciblée). Nous traitons ces demandes dans le même délai de 30 jours et via la même adresse email. Nous ne pratiquons ni publicité ciblée, ni profilage à effets juridiques, ni vente de données personnelles.

Nous respectons les signaux « Do Not Track » du navigateur : nous n'utilisons pas de cookies de suivi inter-sites, aucune action supplémentaire n'est donc nécessaire au-delà de notre collecte minimale de base.

Toutes les données sont transmises en HTTPS et stockées sous forme chiffrée par nos sous-traitants. En cas de violation de sécurité affectant les données personnelles de résidents de Porto Rico, nous notifierons les personnes concernées et le Puerto Rico Department of Consumer Affairs (DACO) dans les dix (10) jours suivant la détection, conformément au Act 111-2005. Pour les résidents de Californie, nous notifierons les personnes concernées dans les meilleurs délais et sans retard injustifié, conformément au California Civil Code §1798.82. Pour les résidents UE, nous notifierons également l'autorité de contrôle compétente dans les 72 heures, conformément à l'article 33 du RGPD.

Plusieurs de nos sous-traitants (Bókun, Stripe, Resend, Cloudflare, Google Analytics 4, YouTube) sont basés ou opérés depuis les États-Unis ; chaque nom renvoie à l'accord de traitement des données (DPA) du sous-traitant concerné. Si vous résidez dans l'Espace économique européen, au Royaume-Uni ou en Suisse, vos données peuvent être transférées et traitées aux États-Unis dans le cadre des Clauses Contractuelles Types (CCT) approuvées par la Commission européenne. De plus, Stripe, Google LLC (Google Analytics et YouTube), Resend et Cloudflare sont certifiés au titre du EU-U.S. Data Privacy Framework (DPF) et de son extension Royaume-Uni, ce qui fournit une base légale complémentaire aux CCT ; vous pouvez vérifier la certification en vigueur de toute entreprise sur dataprivacyframework.gov. Bókun s'appuie sur les CCT uniquement. Nominatim est opéré depuis le Royaume-Uni par la Fondation OpenStreetMap sous licence Open Data Commons ; aucun mécanisme de transfert n'est requis pour ce service.

Nos services ne sont pas destinés aux enfants de moins de 13 ans. Nous ne collectons pas sciemment de données personnelles auprès d'enfants de moins de 13 ans (COPPA, 15 U.S.C. 6501-6506). Les tours qui accueillent des enfants (El Yunque, Catamaran) exigent qu'un parent ou tuteur légal effectue la réservation et accompagne le mineur.

Nous pouvons mettre à jour cette politique de temps en temps. La date « Dernière mise à jour » en haut de la page reflète la révision la plus récente. Pour toute modification substantielle, nous publierons un avis sur cette page au moins 30 jours avant la prise d'effet.

Questions sur cette politique ou vos données personnelles :
Casa Venturas, San Juan, Porto Rico
micasaventuras@gmail.com, +1 929 372 4529