Comment GetMyHotels gère la confidentialité, les paiements et la réglementation du voyage

RGPD et UK GDPR

UE / Royaume-Uni / Suisse

Le règlement (UE) 2016/679 et le UK GDPR régissent la manière dont nous traitons les données personnelles des utilisateurs situés dans l'EEE, au Royaume-Uni et en Suisse. Nos bases légales, nos durées de conservation, nos mécanismes de transfert (CCT + décision d'adéquation lorsqu'elle existe) ainsi que vos droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition sont documentés dans la politique de confidentialité.

• Consentement granulaire à l'inscription + bandeau cookies persistant
• Accès / portabilité / effacement en libre-service pour la personne concernée
• Analyse d'impact relative à la protection des données pour chaque nouveau traitement
• Inventaire des sous-traitants ultérieurs avec clauses contractuelles types (CCT) pour tous les transferts

CCPA / CPRA et lois d'États sur la vie privée

Californie, Colorado, Virginie, Texas, Floride + 16 autres États américains

Nous respectons l'opt-out « Do-Not-Sell-or-Share » pour la publicité ciblée, traitons l'en-tête Global Privacy Control (Sec-GPC: 1) comme un opt-out implicite et proposons des mécanismes d'accès et de suppression conformes au CCPA à tous les résidents de Californie — étendus à tous les utilisateurs américains par souci de parité.

• Opt-out via /privacy-choices (sans connexion requise)
• Signal navigateur Sec-GPC respecté côté serveur
• Traitement des informations sensibles limité à ce que chaque réservation exige strictement
• Délai de réponse de 45 jours pour les demandes vérifiables

Digital Personal Data Protection Act (DPDPA)

Inde

Les DPDPA Rules 2025 indiennes ont été notifiées en novembre 2025 ; nous considérons la loi comme contraignante dès aujourd'hui pour tous les utilisateurs résidant en Inde. Les obligations de fond (responsable des réclamations, SLA en cas de violation, intégration d'un Consent Manager) entreront en vigueur en novembre 2026 et mai 2027.

• Le registre de consentement enregistre chaque octroi et chaque retrait avec horodatage et version de la politique
• Parcours de consentement parental vérifiable pour les utilisateurs identifiés comme mineurs indiens
• Notices de confidentialité en hindi et en langues régionales
• Jalons suivis dans notre feuille de route DPDPA interne

LGPD

Brésil

La Lei Geral de Proteção de Dados (loi 13.709/2018) s'applique aux utilisateurs brésiliens. Notre registre de confidentialité, notre procédure de notification des violations et les droits des personnes concernées s'alignent sur le socle du RGPD — les exigences de la LGPD en sont un sous-ensemble.

• Notice de confidentialité en portugais (locale pt-BR)
• Processus de signalement des violations aligné sur l'ANPD
• Registre des bases légales tenu à jour

Règle FTC « Junk Fees »

États-Unis (FTC)

Le 16 CFR Part 464 (« Trade Regulation Rule on Unfair or Deceptive Fees »), entré en vigueur le 12 mai 2025, s'applique à l'hébergement de courte durée. Nous affichons le prix total ainsi que les éventuels frais obligatoires dès le premier point du parcours de recherche où le fournisseur nous les a transmis ; lorsqu'il ne l'a pas fait, nous affichons une mention « + taxes & fees » sans ambiguïté à côté du tarif principal.

• Prix par nuit tout compris affiché sur les fiches d'hôtel lorsque le fournisseur le transmet
• Mention « + taxes & fees » adjacente lorsqu'ils ne sont pas encore connus
• Détail complet, poste par poste, au paiement et dans la confirmation de réservation

US DOT 14 CFR 399.84 et règlement (CE) 261/2004

Régulateurs du voyage

Les fiches de résultats de vols mettent en avant le tarif total (taxes et redevances publiques incluses), conformément à la règle du DOT sur la publicité au tarif complet. Pour les vols au départ de l'EEE, du Royaume-Uni ou de la Suisse, nous affichons une mention sur les droits des passagers renvoyant à la page explicative de la Commission européenne consacrée au règlement 261.

• Tarif total (et non tarif de base) mis en avant sur chaque fiche de vol
• Lien vers les droits au titre du règlement 261 affiché au point de vente pour les départs concernés
• Conditions d'annulation et de remboursement affichées avant le paiement

PCI DSS

Paiements

Nous ne voyons jamais de numéros de carte en clair. Stripe traite chaque paiement dans le cadre de sa certification PCI DSS Level 1. Notre intégration repose sur des éléments de paiement hébergés et des références tokenisées, ce qui nous place dans le périmètre PCI le plus faible (SAQ-A).

• Paiements Stripe tokenisés uniquement
• Aucune donnée de carte dans les journaux applicatifs, les bases de données ou les sauvegardes
• TLS 1.2+ imposé sur toutes les surfaces de paiement

Règles des plateformes mobiles

App Store / Play Store

L'application mobile GetMyHotels embarque un manifeste de confidentialité (Apple PrivacyInfo.xcprivacy), cible Android API 36 avant l'échéance Play du 31 août 2026 et permet la suppression du compte depuis l'application (Apple 5.1.1(v) / obligation d'URL de suppression de compte de Play).

• Sign in with Apple proposé aux côtés de Google (Apple 4.8)
• Suppression du compte dans l'application et sur /account/delete sur le web
• Possibilité de signaler les messages de chat générés par les utilisateurs (Apple 1.2)
• Le manifeste de confidentialité déclare l'usage des API à raison requise et les domaines de suivi

Objectif WCAG 2.2 niveau AA

Accessibilité

Notre design system vise le niveau AA des WCAG 2.2 sur le web comme sur mobile. Les nouveaux écrans sont contrôlés avant fusion sur le contraste des couleurs, la navigation au clavier, la structure sémantique, les états de focus et l'étiquetage pour les lecteurs d'écran. Les écrans existants sont mis en conformité au fil de l'eau.

• HTML sémantique et libellés ARIA sur chaque surface interactive
• Contraste des couleurs vérifié par rapport aux design tokens
• Navigation au clavier testée à chaque version
• Libellés VoiceOver et TalkBack sur mobile