Politique de confidentialité

1. Qui sommes-nous et à qui s'adresse cette politique

La présente politique décrit la manière dont la société AKTIVITI, société par actions simplifiée au capital de 1 000 €, immatriculée au RCS de Bourg-en-Bresse sous le numéro 990 508 863, dont le siège social est situé 71 impasse du Petit Chemin, 01400 Châtillon-sur-Chalaronne, France (ci-après « AKTIVITI », « nous »), traite les données personnelles dans le cadre de la plateforme Aktiviti (site www.aktiviti.fr, espace professionnel et applications mobiles, ci-après la « Plateforme »).

AKTIVITI est responsable de traitement au sens du règlement (UE) 2016/679 du 27 avril 2016 (ci-après le « RGPD ») et de la loi n° 78-17 du 6 janvier 1978 modifiée, pour l'ensemble des traitements décrits ci-après.

Cette politique s'adresse :

• aux utilisateurs particuliers qui consultent la Plateforme, créent un compte, réservent une activité, achètent une carte cadeau ou publient un avis ;
• aux représentants et contacts des établissements qui créent un compte professionnel ou dont l'établissement est référencé sur la Plateforme ;
• aux participants inscrits à une activité par un utilisateur.

AKTIVITI n'a pas désigné de délégué à la protection des données. Toute question relative à vos données peut être adressée à contact@aktiviti.fr ou par courrier au siège social.

2. Les rôles respectifs d'AKTIVITI et des établissements

Lorsque vous réservez une activité, AKTIVITI transmet à l'établissement organisateur les données nécessaires à l'exécution de l'activité (article 4.3). À compter de cette transmission, l'établissement traite ces données pour son propre compte, en qualité de responsable de traitement distinct, et est tenu de ses propres obligations d'information à votre égard. AKTIVITI a contractuellement encadré l'usage que les établissements peuvent faire de ces données : exécution de la réservation, gestion de la relation avec le participant et respect de leurs obligations légales, à l'exclusion de toute prospection sans base légale propre et de toute cession à des tiers.

Les données de paiement sont traitées par notre prestataire de paiement, Stripe, en qualité de responsable de traitement pour les traitements qu'il met en œuvre au titre de la réglementation des services de paiement (article 6).

3. Quelles données collectons-nous

3.1 Données que vous nous communiquez

• Compte utilisateur : nom, prénom, adresse électronique, mot de passe (conservé sous forme chiffrée), numéro de téléphone (facultatif), date de naissance ou tranche d'âge lorsqu'elle est demandée pour vérifier les conditions d'accès, photographie de profil (facultative).
• Réservation : activité, date, nombre et nom des participants, âge des participants lorsque l'établissement le requiert, informations facultatives que vous choisissez de transmettre à l'établissement (contraintes, besoins particuliers), montant payé.
• Carte cadeau : montant, adresse électronique du bénéficiaire, message et date d'envoi.
• Préférences : centres d'intérêt, types d'activités favorites, favoris, périmètre géographique, lorsque vous les renseignez.
• Avis et contenus : note, texte de l'avis, photographies publiées.
• Échanges : messages adressés aux établissements via la Plateforme, demandes au service client, réponses aux enquêtes de satisfaction.
• Compte professionnel : identité du représentant, fonction, adresse électronique et téléphone professionnels, informations de l'établissement (dénomination, SIREN, adresse, activité), justificatifs demandés lors de la vérification.

3.2 Données collectées automatiquement

• Données de connexion et de sécurité : adresse IP, identifiants de session, horodatage, type d'appareil, système d'exploitation, navigateur, journaux d'activité.
• Données d'usage : pages et fiches consultées, recherches effectuées, filtres utilisés, interactions avec les résultats.
• Position : géolocalisation approximative déduite de l'adresse IP ; position précise de l'appareil uniquement si vous l'autorisez dans les réglages de votre appareil, et uniquement pendant l'utilisation de l'application, pour afficher les activités autour de vous.
• Identifiants techniques : jeton de notification de l'appareil, si vous acceptez les notifications.

3.3 Données relatives aux établissements collectées auprès de sources publiques

Afin d'offrir un annuaire complet, AKTIVITI référence des établissements de loisirs à partir de sources accessibles au public : sites internet des établissements, registres officiels (répertoire SIRENE, registre national des associations), annuaires et cartographies en ligne, offices de tourisme. Ces données comprennent des données d'entreprise et, le cas échéant, le nom du dirigeant ou de l'exploitant lorsqu'il figure dans un registre public ou sur le site de l'établissement, ainsi que les coordonnées professionnelles publiées. Conformément à l'article 14 du RGPD, les personnes concernées sont informées de ce traitement par la présente politique et par la mention figurant sur la fiche de l'établissement, et peuvent à tout moment revendiquer, corriger ou faire retirer la fiche (article 9).

3.4 Données que nous ne collectons pas

AKTIVITI ne collecte ni ne conserve les numéros de carte bancaire ; ils sont saisis directement dans l'interface sécurisée de Stripe. AKTIVITI ne collecte aucune donnée dite « sensible » (santé, opinions, etc.). Les informations facultatives que vous choisissez de transmettre à un établissement concernant une contrainte particulière (par exemple une restriction alimentaire pour un atelier de cuisine) sont transmises telles quelles à l'établissement et ne sont pas exploitées par AKTIVITI à d'autres fins.

4. Pourquoi et sur quelle base traitons-nous vos données

4.1 Tableau des traitements

4.2 Personnalisation et absence de décision automatisée

Lorsque vous activez la personnalisation, l'ordre des résultats et les suggestions sont adaptés selon vos recherches, vos favoris, vos réservations passées, les préférences que vous avez déclarées et les prévisions météorologiques au lieu et à la date recherchés (par exemple, des activités en intérieur sont proposées en priorité un jour de pluie). Ce traitement constitue un profilage au sens de l'article 4 du RGPD. Il ne produit aucun effet juridique et n'affecte ni les prix ni les conditions des activités ; il ne relève donc pas de l'article 22 du RGPD. Vous pouvez le désactiver à tout moment dans les paramètres de votre compte, ou vous y opposer en écrivant à contact@aktiviti.fr. Sans personnalisation, les résultats sont ordonnés selon les seuls critères non personnalisés publiés dans les Conditions Générales d'Utilisation.

4.3 Données transmises aux établissements

Pour chaque réservation, l'établissement reçoit : votre nom et prénom, le nombre de participants et leurs noms, l'âge des participants lorsqu'il le requiert, les informations facultatives que vous avez choisies de lui transmettre, votre adresse électronique et, le cas échéant, votre numéro de téléphone pour les besoins de la réservation. Il ne reçoit aucune donnée de paiement. Pour les demandes de contact adressées à un établissement non réservable en ligne, il reçoit les informations que vous saisissez dans le formulaire de contact.

5. Qui a accès à vos données

Vos données sont accessibles, dans la limite de leurs besoins :

• aux membres de l'équipe d'AKTIVITI habilités ;
• aux établissements auprès desquels vous réservez ou que vous contactez, dans les conditions de l'article 4.3 ;
• à nos sous-traitants et prestataires techniques, qui agissent sur nos instructions et sont liés par des obligations contractuelles de confidentialité et de sécurité conformes à l'article 28 du RGPD ;
• aux autorités administratives ou judiciaires, lorsque la loi l'exige, ainsi qu'au médiateur de la consommation en cas de saisine ;
• à nos conseils (avocats, experts-comptables) et, en cas de restructuration, à l'acquéreur éventuel de la Plateforme, sous engagement de confidentialité.

Les sous-traitants auxquels AKTIVITI recourt à ce jour sont les suivants :

L'affichage d'une carte transmet à Mapbox l'adresse IP du visiteur ainsi que la zone géographique consultée, ce qui est techniquement nécessaire à la fourniture des fonds de carte. Aucune donnée de compte ni de réservation ne lui est transmise.

Sentry reçoit uniquement le détail technique des erreurs rencontrées : message, pile d'appels et adresse de la page, sans les paramètres de l'URL. Ni cookie, ni jeton de connexion, ni adresse IP ne lui sont transmis.

Slack reçoit les notifications internes d'exploitation adressées aux équipes d'AKTIVITI : inscription, réservation, paiement. Les adresses électroniques y figurent masquées, à l'exception des demandes d'exercice de droits, pour lesquelles l'adresse est nécessaire au traitement de la demande.

AKTIVITI ne vend pas et ne loue pas vos données personnelles et ne les communique à aucun tiers à des fins de prospection.

6. Transferts en dehors de l'Union européenne

Nos données sont hébergées en France, dans la région parisienne d'Amazon Web Services. Certains de nos prestataires peuvent toutefois traiter des données en dehors de l'Union européenne, en particulier aux États-Unis (Stripe pour certaines opérations de traitement des paiements, Vercel pour la diffusion des interfaces web, Mapbox pour la fourniture des fonds de carte, Cloudinary pour l'hébergement des images, Slack pour les notifications internes d'exploitation, Cloudflare pour la protection et la diffusion du trafic). Ces transferts sont encadrés par la décision d'adéquation de la Commission européenne relative au cadre de protection des données UE-États-Unis, pour les prestataires qui y ont adhéré, et par les clauses contractuelles types adoptées par la Commission européenne, complétées le cas échéant de mesures supplémentaires. Une copie des garanties applicables peut être obtenue sur demande à contact@aktiviti.fr.

7. Combien de temps conservons-nous vos données

Les durées de conservation sont indiquées, pour chaque finalité, dans le tableau de l'article 4.1. Au terme de la durée d'utilisation courante, les données sont soit supprimées, soit anonymisées, soit placées en archivage intermédiaire à accès restreint lorsqu'une obligation légale ou un intérêt légitime (preuve, contentieux) l'impose, pour la durée strictement nécessaire. Les comptes inactifs pendant trois ans font l'objet d'une information préalable, puis sont supprimés.

8. Comment protégeons-nous vos données

AKTIVITI met en œuvre des mesures techniques et organisationnelles adaptées aux risques, notamment : chiffrement des communications (TLS), stockage des mots de passe sous forme hachée et salée, cloisonnement des accès et authentification renforcée des comptes administrateurs, journalisation des accès, sauvegardes régulières, mises à jour de sécurité, délégation du traitement des cartes bancaires à un prestataire certifié PCI-DSS, et sensibilisation des personnes ayant accès aux données. En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits, AKTIVITI vous en informe dans les conditions de l'article 34 du RGPD et notifie la CNIL dans les 72 heures.

9. Quels sont vos droits et comment les exercer

Vous disposez des droits suivants sur vos données :

• accès : obtenir la confirmation que vos données sont traitées et en recevoir une copie ;
• rectification : faire corriger des données inexactes ou incomplètes ; la plupart des données de votre compte sont modifiables directement depuis vos paramètres ;
• effacement : obtenir la suppression de vos données dans les cas prévus par l'article 17 du RGPD, sous réserve de nos obligations légales de conservation ;
• limitation : obtenir le gel temporaire du traitement dans les cas prévus par l'article 18 du RGPD ;
• opposition : vous opposer, pour des raisons tenant à votre situation particulière, aux traitements fondés sur notre intérêt légitime, et vous opposer sans motif à la prospection commerciale et à la personnalisation ;
• portabilité : recevoir les données que vous nous avez fournies, dans un format structuré et couramment utilisé, pour les traitements fondés sur le contrat ou le consentement ;
• retrait du consentement : à tout moment, sans que cela remette en cause la licéité des traitements antérieurs ;
• directives post-mortem : définir des directives relatives au sort de vos données après votre décès.

Pour exercer ces droits, écrivez à contact@aktiviti.fr ou à AKTIVITI, 71 impasse du Petit Chemin, 01400 Châtillon-sur-Chalaronne, en précisant l'objet de votre demande. En cas de doute raisonnable sur votre identité, un justificatif pourra vous être demandé. Nous répondons dans un délai d'un mois, prolongeable de deux mois pour les demandes complexes, auquel cas vous en êtes informé. L'exercice de vos droits est gratuit.

Les représentants d'établissements référencés à partir de sources publiques peuvent, en outre, revendiquer la gestion de leur fiche, la faire corriger ou en obtenir le retrait dans un délai de dix jours ouvrés, à la même adresse.

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 - www.cnil.fr.

10. Mineurs

La Plateforme n'est pas destinée aux enfants de moins de quinze ans. La création d'un compte est réservée aux personnes d'au moins quinze ans ; en dessous de cet âge, le consentement conjoint du mineur et du titulaire de l'autorité parentale est requis conformément à l'article 45 de la loi Informatique et Libertés. La réservation d'une activité payante est réservée aux personnes majeures. Les données des participants mineurs inscrits par un adulte sont limitées à celles requises par l'établissement (prénom, âge) et sont transmises à ce seul établissement. Le titulaire de l'autorité parentale peut exercer les droits de l'article 9 au nom du mineur.

11. Cookies et traceurs

L'utilisation des cookies et autres traceurs sur le site, l'espace professionnel et les applications, ainsi que vos moyens de les paramétrer, sont décrits dans la Politique cookies accessible depuis le pied de page du site et le menu des applications.

12. Modifications de la présente politique

AKTIVITI peut modifier la présente politique pour tenir compte des évolutions de la Plateforme, de nos prestataires ou de la réglementation. Toute modification substantielle est portée à votre connaissance par courrier électronique ou par notification au moins quinze jours avant son entrée en vigueur. La date de dernière mise à jour figure en tête du document ; les versions antérieures peuvent être obtenues sur demande.