Politique de confidentialité

1. Qui nous sommes

Converstay est un service exploité par Rodrigo Valle Pinto, entrepreneur individuel immatriculé au Mexique, dont l’adresse est Donceles 95, 06020 Cuauhtémoc, Mexico, Mexique (« Converstay », « nous »).

Pour toute question ou demande relative à la confidentialité, écrivez à contact@converstay.com.

2. Nos deux rôles

Nous sommes responsables (en tant que « responsable du traitement ») des données des membres du personnel hôtelier qui utilisent Converstay, des personnes qui nous contactent ou demandent un essai, et des visiteurs de converstay.com.

Pour les données des clients d’un hôtel, c’est l’hôtel qui est responsable, et nous agissons pour son compte et sur ses instructions (en tant que « sous-traitant », ou encargado en droit mexicain). Si vous êtes client d’un hôtel, c’est la politique de confidentialité de l’hôtel qui s’applique à vous, et c’est d’abord auprès de l’hôtel que vous exercez vos droits ; nous aidons l’hôtel à répondre, et vous pouvez aussi nous écrire : nous transmettrons votre demande.

3. Données des équipes hôtelières et de nos clients

Lorsqu’un hôtel utilise Converstay, nous traitons :

• Données de compte : nom, adresse e-mail, rôle dans l’équipe de l’hôtel, mot de passe haché, clés d’accès (passkeys) et paramètres de double authentification si vous les activez, et votre langue.
• Sessions de connexion : l’adresse IP et le navigateur (user agent) de chaque session, pour sécuriser les comptes.
• Données de facturation : nom, e-mail et adresse de facturation et, si vous le fournissez, votre numéro d’identification fiscale (RFC). Les paiements sont gérés par Stripe ; les numéros de carte vont directement à Stripe et nous ne les voyons ni ne les conservons jamais.
• L’activité dans le tableau de bord, comme les modifications de paramètres, que nous enregistrons pour qu’un hôtel puisse voir qui a modifié quoi.
• La connexion Cloudbeds de votre hôtel. Sa clé API est stockée chiffrée (AES-256-GCM).

4. Données des visiteurs et des personnes qui nous contactent

Nos pages publiques (la page d’accueil, nos guides, la connexion et ces pages juridiques) utilisent Google Analytics pour compter les visites, voir d’où viennent les visiteurs et quelles pages mènent aux inscriptions ; il dépose des cookies (_ga et _ga_*, jusqu’à deux ans) et reçoit votre adresse IP et des informations sur votre navigateur. Google Analytics ne fonctionne pas dans le tableau de bord connecté, et nous n’utilisons aucun traceur publicitaire. Lors de votre visite, nous déposons aussi un cookie qui mémorise votre langue (converstay-locale, un an) et nous enregistrons votre thème clair ou sombre dans votre navigateur. Nos pages chargent des polices depuis Google Fonts, qui reçoit votre adresse IP dans le cadre de cette requête.

Si vous demandez un essai ou un appel, nous conservons l’adresse e-mail, le site web et la préférence d’appel que vous nous indiquez, et nous les envoyons par e-mail à notre équipe pour pouvoir vous répondre.

5. Données des clients des hôtels

Un hôtel ajoute notre script à son moteur de réservation Cloudbeds. Pendant qu’un client utilise ce moteur de réservation, le script nous envoie :

• L’adresse e-mail et le prénom que le client saisit dans le formulaire de réservation, au fur et à mesure de la saisie, même s’il ne termine pas la réservation, ainsi que toute adresse e-mail saisie dans le champ « Send My Stay » de l’hôtel.
• Le séjour consulté : dates, nombre d’adultes et d’enfants, chambre, tarif, prix, devise, code promotionnel et langue du moteur de réservation.
• Comment il est arrivé : l’adresse de la page, la page de provenance et les balises de campagne (utm).
• Des identifiants que notre script enregistre dans le stockage local et le stockage de session du navigateur pour reconnaître une même visite (par exemple ba_booking_session_id). Nous ne déposons pas de cookies sur le moteur de réservation.

L’adresse IP du client est utilisée brièvement pour limiter les abus et n’est pas conservée avec ces données.

De Cloudbeds, avec l’autorisation de l’hôtel, nous recevons les réservations de l’hôtel (nom et e-mail du client, dates, montant, statut et provenance) afin de savoir quels clients sont revenus réserver.

Lorsque nous envoyons un e-mail à un client pour le compte de l’hôtel, nous enregistrons si l’e-mail a été délivré, ouvert et cliqué. Les ouvertures sont mesurées par notre fournisseur d’e-mail ; pour les clics, nous conservons le navigateur (user agent) et une empreinte irréversible (hachage) de l’adresse IP, pas l’adresse elle-même. Avant le premier e-mail envoyé à une adresse, nous vérifions qu’elle peut recevoir du courrier au moyen d’un service de vérification d’adresses.

Si un client se désabonne, ou si un e-mail est rejeté ou signalé comme spam, nous conservons l’adresse dans la liste d’exclusion de cet hôtel afin de ne plus lui écrire.

6. Pourquoi nous les utilisons

• Pour fournir Converstay : repérer les clients qui ont quitté le moteur de réservation, envoyer les e-mails de relance de l’hôtel et montrer à l’hôtel quelles réservations sont revenues.
• Pour gérer les comptes, la sécurité et l’assistance, et envoyer des e-mails de service tels que les invitations, les rappels de fin d’essai, les résumés hebdomadaires et les alertes.
• Pour facturer les abonnements et respecter nos obligations fiscales et comptables.
• Pour répondre aux personnes qui nous contactent.
• Pour assurer le bon fonctionnement du service et corriger les problèmes, à l’aide de journaux techniques.

Nous ne vendons pas de données personnelles, nous ne les utilisons pas à des fins publicitaires et nous n’utilisons les données des clients d’un hôtel à aucune fin propre autre que la fourniture du service à cet hôtel.

Lorsque la législation sur la protection des données, comme le RGPD (GDPR), exige une base juridique : pour les équipes hôtelières et la facturation, nous nous fondons sur notre contrat avec l’hôtel et sur nos obligations légales ; pour la sécurité et les e-mails de service, sur notre intérêt légitime à exploiter un service fiable ; pour les clients des hôtels, sur la base juridique dont dispose l’hôtel, en tant que responsable du traitement, pour ses propres clients.

7. Qui d’autre traite les données

Nous faisons appel aux prestataires suivants, chacun uniquement pour la finalité indiquée :

• Cloudflare : hébergement, base de données, journaux et envoi de nos propres e-mails (toutes les données).
• Resend : envoi des e-mails de l’hôtel à ses clients (e-mail et nom du client, et le séjour figurant dans l’e-mail).
• Emailable : vérification qu’une adresse e-mail de client peut recevoir du courrier (l’adresse uniquement).
• Stripe : abonnements, paiements et factures (données de facturation).
• Cloudbeds : le logiciel de gestion hôtelière de l’hôtel, que nous consultons avec l’autorisation de l’hôtel.
• Google Fonts : les polices de notre site web et du tableau de bord (adresses IP des visiteurs).
• Google Analytics : les statistiques de visite de nos pages publiques (adresses IP des visiteurs, informations sur le navigateur et cookies de mesure d’audience).

Nous pouvons également communiquer des données lorsque la loi l’exige, ou à l’acquéreur de l’entreprise, qui resterait lié par la présente politique.

8. Transferts internationaux

Nos prestataires traitent des données aux États-Unis et dans d’autres pays. Lorsque des données quittent le Mexique, l’Espace économique européen ou le Royaume-Uni, nous nous appuyons sur les garanties contractuelles de nos prestataires, telles que les clauses contractuelles types de la Commission européenne.

9. Combien de temps nous les conservons

• Visites du moteur de réservation n’ayant pas abouti à une réservation : supprimées après 365 jours sans activité, avec leurs e-mails et leurs clics.
• Visites associées à une réservation, réservations de l’hôtel et résultats que nous présentons : conservés tant que le compte de l’hôtel est ouvert, car ils constituent l’historique des réservations récupérées de l’hôtel.
• Listes d’exclusion : conservées tant que le compte de l’hôtel est ouvert, afin que les désabonnements restent effectifs.
• Diagnostics techniques : 7 jours. Copies des notifications Cloudbeds : 30 jours.
• Données de compte et d’équipe : tant que le compte est ouvert.
• Factures et pièces de facturation : aussi longtemps que l’exige la législation fiscale mexicaine (actuellement cinq ans).

Lorsqu’un hôtel ferme son compte, nous supprimons ses données dans les 30 jours suivant sa demande, à l’exception de ce que la loi nous oblige à conserver. Un hôtel peut à tout moment exporter ses données en fichiers CSV depuis le tableau de bord.

10. Vos droits

Selon votre lieu de résidence, vous pouvez demander à accéder à vos données personnelles, à les rectifier ou à les effacer, vous opposer à leur utilisation ou la limiter, retirer votre consentement et les recevoir dans un format portable. Au Mexique, ce sont les droits ARCO.

Écrivez à contact@converstay.com en indiquant qui vous êtes et ce que vous demandez. Nous pouvons vous demander de confirmer votre identité. Nous répondons dans un délai de 20 jours ouvrables. Si vous êtes client d’un hôtel, nous transmettons votre demande à l’hôtel et l’aidons à y répondre.

Vous pouvez également introduire une réclamation auprès de l’autorité de protection des données de votre pays.

11. Sécurité

Les données circulent chiffrées (HTTPS). Les clés API Cloudbeds sont chiffrées au repos, les mots de passe sont stockés sous forme hachée, les comptes du personnel peuvent utiliser des clés d’accès (passkeys) et la double authentification, et chaque hôtel ne voit que ses propres données. Aucun système n’est parfaitement sûr ; si une violation touche vos données, nous en informerons les hôtels et les personnes concernés conformément à la loi.

12. Enfants

Converstay est un service destiné aux entreprises et ne s’adresse pas aux enfants. Les hôtels ne doivent pas l’utiliser pour envoyer des e-mails à des clients mineurs.

13. Modifications de la présente politique

Lorsque nous modifions la présente politique, nous mettons à jour la date indiquée en haut de page. Si une modification a une incidence sur la manière dont nous utilisons vos données, nous en informons les comptes hôteliers par e-mail avant son entrée en vigueur.