Politique de Confidentialité

Politique de Confidentialité — Vicatoo

Version : 1.0

Dernière mise à jour : 29 mars 2026

Key changes in v2.0:

• Added §17 — GCC Personal Data Protection Law (Saudi PDPL + UAE Federal Decree-Law 45/2021)
• Added §13.1 — Data Protection Officer (DPO) and dedicated contact channels
• Added detailed Retention Periods table (§7)
• Added §9.1 — Children Protection (COPPA / GDPR-K)
• Added §16.1 — Right to Human Review of automated decisions (GDPR Article 22)
• Clarified Microsoft Clarity input masking in Cookie Policy
• Unified communication channels: privacy@ for privacy, legal@ for legal, support@ for support

Cette Politique de Confidentialité explique comment Vicatoo, Inc. (opérant sous le nom « Vicatoo ») (« Société », « nous », « notre ») collecte, utilise, partage et protège vos informations lorsque vous utilisez www.vicatoo.com (le « Site ») et nos services.

En utilisant le Site, en créant un compte, en remplissant un formulaire de contact ou en communiquant avec nous via WhatsApp/Email, vous acceptez les pratiques décrites dans cette politique. Veuillez également consulter nos Conditions d'Utilisation et notre Politique de Réservation et d'Annulation.

Canaux Officiels : [email protected] pour les questions générales, [email protected] pour les demandes de confidentialité et de protection des données, et [email protected] pour les questions juridiques, ainsi que le numéro WhatsApp mentionné dans la section « Nous Contacter ». Toute communication provenant d'autres canaux n'est pas considérée comme officielle.

1. Informations que Nous Collectons

Nous collectons les informations que vous nous fournissez directement et les informations collectées automatiquement.

1.1 Informations que Vous Fournissez

Nous pouvons collecter :

• Données de Compte : Nom (le cas échéant), email, numéro de téléphone/WhatsApp, nom d'utilisateur et mot de passe (chiffré).
• Formulaire de Contact : Nom, email, numéro de téléphone, objet du message et contenu.
• Données de Demande de Réservation : Destination, dates de séjour, nombre de personnes, préférences (ex. : type de vue, chambre calme, disponibilité de cuisine...) et tout détail que vous nous envoyez via WhatsApp/Email.
• Communications de Support : Contenu des chats et correspondance avec notre équipe.

Avis : Veuillez ne pas partager de données sensibles (telles que les informations de carte de paiement ou de santé). Si nous recevons de telles données par erreur, nous nous efforcerons de les supprimer dans la mesure du possible et du raisonnable.

1.2 Informations Collectées Automatiquement (Cookies et Analytiques)

Lors de l'utilisation du Site, nous pouvons collecter :

• Adresse IP, type de navigateur et appareil, système d'exploitation, pages visitées, durée de visite et source de référence.
• Données via les Cookies et technologies similaires.

Nous utilisons Google Analytics pour comprendre l'utilisation du site et améliorer ses performances. Google peut utiliser des cookies et identifiants similaires pour collecter des données d'utilisation sous forme agrégée.

Nous utilisons Google Tag Manager (GTM) pour gérer et déployer des outils d'analyse et de marketing. GTM ne collecte pas de données personnelles en soi.

Nous utilisons Meta (Facebook) Pixel pour mesurer l'efficacité de nos campagnes publicitaires et diffuser des publicités ciblées. Cet outil est activé uniquement avec votre consentement.

Nous utilisons TikTok Pixel pour mesurer et optimiser nos campagnes publicitaires sur TikTok. Activé uniquement avec votre consentement.

Nous utilisons Microsoft Clarity pour comprendre l'interaction des utilisateurs via des enregistrements de sessions et des cartes thermiques. Activé uniquement avec votre consentement.

Nous utilisons Sentry pour surveiller les erreurs techniques sur le site et les corriger rapidement. Lorsqu'une erreur se produit, des données techniques sont automatiquement envoyées à Sentry, notamment : l'adresse IP, le type de navigateur, l'URL où l'erreur s'est produite, et les informations de session (le cas échéant). Ces données sont utilisées exclusivement pour le débogage technique et l'amélioration de votre expérience. Politique de confidentialité de Sentry : https://sentry.io/privacy/

Important : Meta Pixel, TikTok Pixel et Microsoft Clarity sont chargés uniquement après votre consentement aux cookies non essentiels.

2. Comment Nous Utilisons Vos Informations

Nous utilisons les informations pour :

• Gestion de Compte et Fourniture de Services : Créer des comptes, se connecter et gérer les paramètres.
• Coordination des Réservations : Communiquer avec vous, comprendre votre demande, coordonner avec l'hôtel et envoyer le Message de Confirmation.
• Service Client : Répondre aux demandes et résoudre les problèmes.
• Amélioration du Produit et du Site : Analyser les performances, améliorer l'expérience utilisateur et développer des fonctionnalités.
• Sécurité et Prévention de la Fraude : Protéger les comptes et le Site, et vérifier les activités suspectes.
• Marketing et Publicité (avec votre consentement ou lorsque la loi le permet) : Envoyer des newsletters/offres, et gérer les listes de contacts et campagnes publicitaires.

3. Marketing (Newsletters et Offres)

Nous pouvons vous envoyer des messages marketing (newsletters/offres/mises à jour) par email et/ou WhatsApp (selon vos préférences ou consentement). Vous pouvez vous désinscrire à tout moment en :

• Cliquant sur le lien « Se désinscrire » s'il est disponible dans le message, ou
• Nous envoyant un email à [email protected] demandant le retrait des listes.

Même après votre désinscription, nous pouvons envoyer des messages « opérationnels » nécessaires (ex. : liés à votre compte ou à une réservation que vous avez demandée).

4. Où Nous Stockons Vos Données (WhatsApp + Google Sheets)

Certaines conversations WhatsApp peuvent rester au sein de la plateforme WhatsApp elle-même.

Nous pouvons également enregistrer les données de contact et les demandes des clients (telles que Nom/Téléphone/Email et résumé de la demande) dans des outils internes comme Google Sheets ou des systèmes CRM pour organiser le travail, les suivis et le marketing.

Nous mettons en place des contrôles d'accès internes pour que les données ne soient accessibles qu'aux membres autorisés de l'équipe. Nous limitons les autorisations d'accès en fonction des besoins et pouvons réviser/mettre à jour les autorisations périodiquement.

5. Partage d'Informations

Nous ne vendons pas vos informations personnelles. Nous ne les partageons que dans les cas suivants :

5.1 Avec les Hôtels

Nous partageons les informations nécessaires pour confirmer la réservation (Nom, dates de séjour, nombre de personnes, préférences) avec l'hôtel ou son représentant.

5.2 Avec les Prestataires de Services (Sous-traitants)

Nous pouvons partager des données limitées avec des prestataires qui nous aident à exploiter le Site et le Service, tels que :

• Hotel suppliers and booking partners — to fulfill reservations,
• Payment service providers — to process transactions securely,
• Fournisseurs d'hébergement, d'infrastructure et d'email,
• Outils d'analyse et de suivi (Google Analytics, Google Tag Manager, Meta Pixel, TikTok Pixel, Microsoft Clarity),
• Outils d'envoi de newsletters (si utilisés),

Ces prestataires traitent les données en notre nom, selon nos instructions, et uniquement dans la mesure nécessaire à la fourniture du service.

5.3 Raisons Légales

Nous pouvons divulguer des données si nécessaire pour respecter la loi, protéger les droits de la Société/de l'Utilisateur, prévenir la fraude ou pour la sécurité du système.

5.4 Transactions Commerciales

En cas de fusion, acquisition ou vente d'actifs, les données peuvent être transférées dans le cadre du processus conformément à la loi, avec un préavis approprié le cas échéant.

6. Gestion des Cookies et du Suivi

Vous pouvez contrôler les cookies via les paramètres de votre navigateur. La désactivation des cookies peut affecter certaines fonctions du Site (ex. : connexion).

Nous pouvons afficher un avis ou une bannière pour gérer les préférences de cookies selon le pays ou les exigences réglementaires, vous permettant d'accepter/refuser certains types de cookies.

7. Conservation des Données

Nous conservons les données uniquement pendant la période nécessaire à la réalisation des objectifs énoncés. Le tableau ci-dessous décrit les durées spécifiques de conservation :

Catégorie de données	Durée de conservation
Données de compte actif	Tant que vous utilisez le service
Données après suppression du compte	Jusqu'à 30 jours (fenêtre de récupération)
Réservations & factures	7 ans (obligations comptables et fiscales)
Journaux de sécurité	12 mois
Cookies	Jusqu'à 13 mois (selon la directive ePrivacy)
Données marketing après désinscription	6 mois (pour éviter une réinscription accidentelle)
Support & litiges	3 ans à compter de la dernière interaction

À l'expiration de la période, nous supprimons, minimisons ou anonymisons les données dans la mesure du possible. Pour demander une suppression immédiate, contactez [email protected].

8. Sécurité des Informations

Nous utilisons des mesures de sécurité raisonnables (ex. : contrôles d'accès, technologies de protection, chiffrement des mots de passe). Cependant, aucune méthode de transmission ou de stockage n'est sécurisée à 100%.

9. Vos Droits et Choix

Selon les lois applicables, vous pouvez avoir le droit de :

• Demander l'accès, la correction ou la suppression de vos données,
• Retirer votre consentement pour le marketing,
• Demander la limitation de certains traitements.

Nous pouvons demander des informations supplémentaires pour vérifier votre identité avant d'exécuter les demandes, afin de protéger votre compte et d'empêcher tout accès non autorisé.

Pour soumettre une demande relative aux données, contactez [email protected]. Nous répondrons à toutes les demandes vérifiées dans un délai maximum de 30 jours.

9.1 Enfants (COPPA / RGPD-K)

Nos services ne sont pas destinés aux personnes de moins de 13 ans (ou l'âge minimum fixé par votre juridiction EEE locale, généralement 16 ans). Nous ne collectons pas sciemment leurs données. Si vous pensez qu'un enfant nous a fourni des informations personnelles, veuillez nous en informer immédiatement à [email protected] et nous les supprimerons rapidement.

10. Liens vers des Tiers

Le Site peut contenir des liens vers d'autres sites web. Nous ne sommes pas responsables des pratiques de confidentialité de ces sites.

11. Transferts Internationaux de Données

Les données peuvent être traitées dans d'autres pays (ex. : États-Unis) selon les emplacements d'hébergement ou les prestataires de services (ex. : Google). En utilisant le Site, vous comprenez que le traitement des données peut s'effectuer au-delà des frontières conformément à cette politique.

12. Modifications de cette Politique de Confidentialité

Nous pouvons mettre à jour cette politique de temps en temps. Nous mettrons à jour la date de « Dernière mise à jour » en haut de page. L'utilisation continue du Site après les mises à jour constitue l'acceptation de la politique mise à jour.

13. Nous Contacter

13.1 Data Protection Officer (DPO)

In accordance with GDPR Article 37, Saudi PDPL Implementing Regulation Article 32, and UAE Federal Decree-Law 45/2021 Article 11, we have appointed a Data Protection Officer (DPO) as the official contact point for all privacy and data protection inquiries.

DPO dedicated email: [email protected]

Postal address: Vicatoo, Inc., Attn: Data Protection Officer, 1111B S Governors Ave, STE 55694, Dover, DE 19904, USA

Response time: The DPO will respond to all verified inquiries within 30 calendar days maximum (per GDPR Art. 12(3) and PDPL Art. 8).

For data-related rights (access, rectification, erasure, portability), you may also use our online Data Subject Request form.

Security breach reporting: If you notice any leak or unauthorized access to your data, please notify the DPO immediately at [email protected]. We will notify the relevant regulators (SDAIA / UAE Data Office / EU DPA) within 72 hours as required by law.

14. Droits de confidentialité en Californie (CCPA)

Si vous êtes résident de Californie, vous disposez des droits suivants en vertu du California Consumer Privacy Act (CCPA) :

• Le droit de savoir quelles données personnelles nous collectons à votre sujet
• Le droit de supprimer vos données personnelles
• Le droit de refuser la vente de vos données personnelles
• Le droit à la non-discrimination pour l'exercice de vos droits

Nous ne vendons pas vos informations personnelles à des tiers. Nous partageons les données uniquement avec les prestataires de services nécessaires au fonctionnement de notre plateforme (traitement des paiements, infrastructure de réservation hôtelière, analyses).

Pour exercer l'un de vos droits, contactez-nous à : [email protected]

Nous répondrons à toutes les demandes vérifiées dans un délai de 45 jours, conformément à la loi californienne.

15. Legal Bases for Processing (GDPR)

If you are located in the European Economic Area (EEA), we process your personal data based on the following legal grounds under the General Data Protection Regulation (GDPR):

• Performance of a Contract: Processing necessary to fulfill our obligations to you, such as processing bookings, managing your account, and providing customer support.
• Consent: Where you have given us explicit consent, such as subscribing to our newsletter, accepting non-essential cookies, or enabling marketing communications. You may withdraw consent at any time.
• Legitimate Interests: Processing necessary for our legitimate business interests, such as improving our services, preventing fraud, ensuring platform security, and conducting analytics — provided these interests do not override your rights.
• Legal Obligation: Processing required to comply with applicable laws, regulations, or legal proceedings.

Your GDPR Rights

In addition to the rights listed in Section 9, EEA residents may also:

• Request data portability (receive your data in a structured, machine-readable format)
• Object to processing based on legitimate interests
• Lodge a complaint with your local Data Protection Authority (DPA)

To exercise any of these rights, contact us at [email protected].

16. Use of Artificial Intelligence & Automated Decision-Making

Vicatoo uses artificial intelligence (AI) technologies to enhance your experience:

• Smart Search: AI-powered natural language search to help you find hotels matching your preferences (e.g., "family hotel near the beach with a pool").
• Content Generation: AI may assist in generating or translating hotel descriptions and room summaries to provide you with relevant information in your preferred language.
• Personalized Suggestions: AI may analyze your search patterns and preferences to suggest hotels and destinations that may interest you.
• Third-party AI providers (sub-processors): To power these features, limited data may be processed by external AI providers: OpenAI (to understand your search queries and to assist our customer-support chat) and Anthropic (Claude) (used together with our human team for post-booking customer support). We never share your name, email, or payment details with them. They act as data processors under their own privacy and security terms and do not use API data to train public AI models.

No Automated Decisions with Legal Effect: We do not use AI or automated processing to make decisions that produce legal effects or similarly significant effects on you (such as credit decisions or pricing discrimination). All booking confirmations and payment decisions involve human oversight or direct user action.

Droit à un examen humain (Article 22 RGPD) : Si vous êtes affecté(e) de manière significative par une décision automatisée, vous avez le droit de demander un examen humain, d'exprimer votre point de vue et de contester la décision. Envoyez votre demande à [email protected], nous répondrons dans un délai de 30 jours.

AI features process your search queries and interaction data. This data is handled in accordance with the data protection principles described throughout this policy.

17. Protection des Données Personnelles dans les pays du CCG (PDPL)

Si vous résidez au Royaume d'Arabie Saoudite, aux Émirats Arabes Unis ou dans tout pays du CCG, les droits suivants vous sont applicables en vertu de :

• Arabie Saoudite : Loi sur la Protection des Données Personnelles (PDPL) — Décret Royal n° M/19 de 2021 et amendements de 2023.
• Émirats Arabes Unis : Décret-loi fédéral n° (45) de 2021 sur la protection des données personnelles.

Vos droits incluent :

• Droit à l'information : Connaître la base légale de la collecte de vos données et leur finalité.
• Droit d'accès : Consulter vos données personnelles stockées.
• Droit de rectification : Demander la correction de données inexactes.
• Droit à l'effacement : Demander la suppression de vos données (sous réserve d'obligations légales).
• Droit d'opposition : S'opposer au traitement contraire à vos attentes légitimes.
• Droit de retirer le consentement : Retirer votre consentement au traitement à tout moment.
• Droit à la portabilité : Demander le transfert de vos données dans un format structuré à un autre prestataire.

Pour déposer une plainte auprès des régulateurs : Arabie Saoudite : Saudi Data & AI Authority (SDAIA) — sdaia.gov.sa. EAU : UAE Data Office — uaedo.gov.ae.

Pour exercer ces droits, contactez-nous à [email protected]. Nous répondrons dans les 30 jours.

17.2 UAE Federal Decree-Law on Personal Data Protection (45/2021)

If you are a resident or citizen of the United Arab Emirates, the processing of your data is also governed by UAE Federal Decree-Law No. 45 of 2021 on the Protection of Personal Data, supervised by the UAE Data Office.

We commit to:

• Obtaining your explicit consent (Article 6): before any processing of your personal data unless another legal basis applies.
• Guaranteeing your rights (Articles 13-19): right of access, rectification, erasure, restriction of processing, data portability, and objection.
• Security breach reporting (Article 9): We will notify the UAE Data Office and affected users within 72 hours of discovering any breach.
• Cross-border data transfer (Articles 22-23): We apply strict contractual and technical safeguards when transferring your data to overseas processors (such as Stripe in the US, ETG (RateHawk) in Turkey, HostGator/cPanel for server hosting).
• Parental consent for minors: UAE law sets the age of consent at 21 years — we do not accept registrations from minors without verified parental consent.

Filing a complaint: For any complaint regarding the processing of your data, you may contact the UAE Data Office or write to our DPO at [email protected].

Penalties under UAE law may reach AED 5 million (~USD 1.36M) per violation, plus service suspension. We take our obligations toward UAE users with utmost seriousness.