Accueil / Conformité RGPD
Vendre un lead sans trahir le voyageur
Deux principes ont dicté la conception de la plateforme : personne ne voit une donnée personnelle sans en avoir le droit, et aucune donnée ne survit à son utilité. Cette page dit comment, et ce que cela implique pour votre agence.
Qui est responsable de quoi
| Acteur | Rôle | Pour quel traitement |
|---|---|---|
| Tissora CO OÜ | Responsable de traitement | Recevoir la demande, la contrôler, l'anonymiser, la transmettre à la ou aux agences acheteuses dans la limite choisie par le voyageur (trois au plus), la supprimer |
| Chaque agence acheteuse | Responsable de traitement distinct | Répondre à la demande du voyageur à partir du lead acquis |
| Le site partenaire | Responsable de traitement distinct | Collecter la demande sur son propre site et recueillir le consentement |
Il n'y a ni sous-traitance ni responsabilité conjointe entre nous et l'agence, ni entre les agences qui reçoivent une même demande partagée : l'accord de traitement des données signé par chaque agence est un accord entre responsables distincts.
Base légale : un consentement explicite et prouvé
Le voyageur choisit, dans le formulaire même, d'être recontacté par une, deux ou trois agences, et consent à la transmission de sa demande à ce nombre d'agences partenaires au plus, y compris hors Union européenne. Si la question ne lui est pas posée, la demande est transmise à une seule agence. La case est dédiée à cet usage et n'est jamais pré-cochée (article 6, paragraphe 1, a du RGPD).
Le texte exact accepté, sa version, l'horodatage et le nombre d'agences choisi sont conservés avec la demande, puis remis à chaque agence acheteuse avec le lead : vous disposez de la preuve pour votre propre registre. Une demande sans consentement n'est jamais vendue. Le voyageur peut retirer son consentement à tout moment, ce qui entraîne l'effacement de sa demande.
Avant toute mise en vente, le voyageur confirme lui-même sa demande par un lien reçu par SMS (valable 72 heures, une relance au plus). Cette vérification repose sur l'intérêt légitime de la plateforme et des agences à ne recevoir que des demandes réelles et des coordonnées exactes ; le prestataire d'envoi des SMS, établi dans l'Union européenne, ne reçoit que le numéro et le texte du message. Une demande non confirmée n'est jamais vendue et elle est détruite.
Le formulaire peut aussi proposer une case facultative, distincte et jamais pré-cochée, d'inscription à la newsletter de Tissora Travel (offres de voyages). Elle repose sur un consentement séparé, que le voyageur retire par le lien présent dans chaque e-mail ; son adresse n'est jamais transmise aux agences, et sa demande de voyage n'en dépend pas.
Trois niveaux de données, strictement séparés
| Où | Quoi | Qui y accède |
|---|---|---|
| Système de gestion, isolé, non indexé | La demande complète, chiffrée au repos | Nos seuls administrateurs, avec identifiant, mot de passe et second facteur |
| Place de marché | La fiche anonyme : régions, tranches, quinzaines, listes fermées | Les agences agréées |
| Client Leads de l'acheteur | Le lead complet, dans un coffre local chiffré, après l'achat seulement | Chaque agence acheteuse, une à trois selon le choix du voyageur |
La place de marché ne stocke aucune donnée personnelle de voyageur. Un contrôle automatique refuse toute fiche anonyme contenant une adresse email, un numéro ou un texte libre. Une demande n'est jamais vendue à plus d'agences que le voyageur n'en a choisi : une (demande exclusive), deux ou trois ; une agence n'en acquiert qu'une place, et aucune ne connaît les autres.
Durées de conservation
| Donnée | Durée |
|---|---|
| Demande de voyage | 15 jours à compter de sa réception, qu'elle soit vendue ou non |
| Demande sans consentement ou rejetée par nous | 24 heures |
| Demande refusée par le voyageur (« je ne suis pas l'auteur », « ne plus être contacté ») | Détruite dans l'heure, sans transmission à quiconque |
| Demande non confirmée par le voyageur | Refusée sans confirmation dans les 72 heures qui suivent le dernier SMS (une relance est envoyée), puis détruite dans l'heure |
| Fiche anonyme | Retirée à la suppression de la demande ; il ne reste qu'une trace comptable sans donnée personnelle |
| Copie du lead dans le Client Leads | Supprimée automatiquement à J+15, avec un préavis de 48 heures |
| Sauvegardes de l'hébergeur (o2switch, en France) | 90 jours, pour la seule reprise après incident : une demande purgée à J+15 peut y subsister, chiffrée, jusqu'à J+105 ; si une sauvegarde est restaurée, les demandes déjà purgées sont aussitôt détruites de nouveau |
| Identifiant technique attribué par la régie publicitaire (demande déposée dans un formulaire publicitaire en ligne et transmise à une agence) | 90 jours après la réception de la demande, chiffré ; détruit avant en cas d'effacement ou d'opposition |
| Empreinte non réversible de la référence d'une demande détruite (pour qu'elle ne soit jamais reçue une seconde fois) | 90 jours après la destruction |
| Liste d'opposition (empreintes non réversibles des coordonnées d'un voyageur qui s'est opposé au suivi) | 3 ans |
| Inscription à la newsletter (facultative) | Tant que l'abonné reste inscrit ; supprimée 3 ans après sa dernière inscription sans nouvelle demande, ou 30 jours après sa désinscription |
| Journal d'audit et journaux de sécurité | 12 mois, sans donnée personnelle de voyageur |
| Reçus, factures et avoirs | 10 ans ; le lead n'y figure que par sa référence |
| Demande d'accès d'une agence restée sans suite | 12 mois |
| Compte d'agence | Durée de la relation, puis 3 ans |
La suppression n'est pas un simple effacement : le fichier chiffré est écrasé, puis supprimé. Une enchère encore en cours sur ce lead est annulée et les fonds réservés sont libérés.
Ce que chaque agence signe avant tout accès
- Conditions générales d'utilisation
- Version 2027-01. Lire le résumé
- Accord de traitement des données
- Version 2027-01. Finalité unique : répondre à la demande du voyageur. Transmission limitée au nombre d'agences choisi par le voyageur, chacune responsable distincte. Interdiction de céder ou de revendre les données et de s'en servir pour une prospection étrangère à la demande. Information du voyageur au premier contact. Notification de toute violation sous 24 heures. Réponse aux demandes de droits sous un mois. Documentation fournie sous quinze jours et audit possible une fois par an.
- Clauses contractuelles types
- Décision d'exécution (UE) 2021/914, module 1, de responsable à responsable, texte non modifié ; annexes version 2027-01. Exigées des agences établies hors de l'Espace économique européen et hors des pays reconnus adéquats par la Commission. Autorité de contrôle compétente : l'Inspection estonienne de protection des données (Andmekaitse Inspektsioon). Droit et juridictions estoniens, sans priver le voyageur du droit d'agir dans son pays.
La signature se fait en ligne sur une page à usage unique. Sont enregistrés : l'identité et la fonction du signataire, la date, l'adresse IP, la version et l'empreinte SHA-256 de chaque document tel qu'il a été affiché ; chaque document signé est conservé sous cette empreinte, sans modification. Une nouvelle version est notifiée quinze jours avant sa date d'effet ; ensuite, elle doit être signée pour enchérir, acheter ou recharger, tandis que les leads déjà acquis, les factures et les réclamations restent accessibles.
Droits des voyageurs
Accès, rectification, effacement, opposition, limitation et retrait du consentement s'exercent auprès de dpo@tissora-travel.com. Nous répondons dans un délai d'un mois, qui peut être prolongé de deux mois si la demande est complexe (la personne en est alors prévenue dans le premier mois).
Une demande d'effacement est exécutée immédiatement sur toute la chaîne : destruction de la demande, retrait de la vente en cours, et information de chaque agence acheteuse, par une notification dédiée distincte de la suppression ordinaire, pour qu'elle supprime à son tour les données de ses propres outils et nous le confirme. Pour retrouver un voyageur sans conserver ses coordonnées en clair, nous utilisons des empreintes à clé de son email et de son téléphone.
En cas de violation de données
Signalement et qualification
Tout incident est signalé sans délai en interne et qualifié sous 24 heures.
Notification à l'autorité de contrôle
Sous 72 heures après en avoir pris connaissance, lorsque la violation présente un risque pour les personnes.
Information des personnes et des partenaires
Les voyageurs concernés sont informés dans les meilleurs délais si le risque est élevé ; les agences et les sites partenaires concernés le sont sans délai.
De son côté, l'agence nous notifie sous 24 heures toute violation touchant des données acquises sur la plateforme.
Le dossier de conformité
Remis sur demande aux agences, aux sites partenaires et à leurs conseils.
- Extrait du registre des traitements
- Synthèse de l'analyse d'impact relative à la protection des données (AIPD)
- Procédure de notification des violations
- Modèle d'accord de traitement des données
- Clauses contractuelles types, options retenues et évaluation de l'impact des transferts