---
title: "Confidentialité"
url: https://tourcockpit.com/fr/privacy
lang: fr
description: "Ce que TourCockpit collecte, où cela est traité, qui d'autre y touche, et comment le récupérer ou le faire supprimer. Écrit pour être lu et non pour être subi : les détails y sont, y compris la région où se trouve la base de données et chaque entreprise dont nous dépendons."
---

# Confidentialité

Ce que TourCockpit collecte, où cela est traité, qui d'autre y touche, et comment le récupérer ou le faire supprimer. Écrit pour être lu et non pour être subi : les détails y sont, y compris la région où se trouve la base de données et chaque entreprise dont nous dépendons.

## Qui est responsable de quoi ?

TourCockpit est exploité par IdeaPlaces. Pour les données qui concernent votre entreprise et les personnes qui s'y connectent, c'est nous qui décidons ce qui est collecté et pourquoi : nous sommes donc le responsable du traitement. Pour les données opérationnelles que votre bureau saisit dans le produit, en premier lieu les voyageurs de vos excursions, c'est votre entreprise qui décide ce qui y entre et à quoi cela sert, et nous les conservons et agissons sur vos instructions : vous êtes donc le responsable du traitement et nous sommes le sous-traitant.

Concrètement : le nom d'un passager sur une liste des participants appartient à l'entreprise d'excursions qui l'a saisi. Nous ne l'utilisons pour rien d'autre que faire fonctionner le produit pour cette entreprise.

## Quelles données sont collectées ?

| Catégorie | De quoi il s'agit | Pourquoi |
| --- | --- | --- |
| Compte | Nom, adresse e-mail, rôle, l'entreprise, la langue que la personne a choisie et quand elle l'a choisie, les alertes qu'elle reçoit dans chaque entreprise pour laquelle elle travaille et la façon dont chacune lui parvient, la façon dont elle a envoyé le tableau du jour la dernière fois : le fichier, les journées et ceux de ses propres collègues à qui il est parti, et, dans l'agence d'un revendeur, si elle a déjà vu ou fermé l'invitation à faire venir ses collègues | Pour connecter une personne, décider ce qu'elle peut voir, lui écrire dans sa langue, ouvrir la fenêtre d'export comme elle l'a laissée et ne pas redemander à une agence ce à quoi elle a déjà répondu |
| Identifiants | Une empreinte du mot de passe (Argon2id, jamais le mot de passe), la date de la dernière connexion avec Google là où c'est ainsi que l'on se connecte, le jour où une personne est arrivée pour la première fois, et les sessions qu'une personne a ouvertes | Pour se connecter, pour savoir qu'une invitation a été acceptée et que les rappels peuvent s'arrêter, et pour fermer toutes les autres sessions quand un mot de passe change |
| Opérationnel | Réservations, passagers, heures de ramassage, hôtels, véhicules, guides, tour-opérateurs, les notes qu'un bureau écrit | C'est le produit : le tableau du jour, les listes des participants et le règlement de fin de mois en sont construits |
| Messages | Les e-mails que le produit envoie, conservés tels qu'écrits, et chaque message WhatsApp qu'il envoie, sous la forme du message et des mots insérés dedans. Dans la copie qui part, chaque lien passe par TourCockpit et une image d'un pixel est ajoutée, afin que nous enregistrions quand la personne a ouvert l'e-mail, sur quels liens elle a cliqué, et le nom que donne son navigateur ou son logiciel de messagerie | Pour qu'un bureau puisse répondre à la question « qu'a exactement reçu cette personne », et pour que nous puissions savoir quels e-mails sont lus et quels liens sont utilisés |
| Conversations avec Faro | Ce que quelqu'un a demandé à Faro et ce qu'il a répondu, conservé avec les données propres de l'entreprise. À côté d'une réponse qui a dessiné un morceau du tableau, une journée, un départ ou une seule réservation, les lignes à partir desquelles ce morceau a été dessiné sont conservées avec elle : les clients, les chambres, les numéros de téléphone et les espèces tels qu'ils étaient à cet instant, et rien de plus que ce que la personne qui posait la question pouvait déjà voir. Elles ne sont relues que lorsque quelqu'un examine cette conversation : un Propriétaire de l'entreprise, pour les conversations du bureau lui-même et jamais pour celles de l'agence d'un revendeur, ou le staff de TourCockpit, qui peut toutes les lire et réécouter le son de leurs appels, chaque écoute et chaque téléchargement étant enregistré au nom de la personne qui l'a fait | Pour qu'une réponse fausse puisse s'expliquer à partir de ce qui a réellement été montré à la personne, et pas seulement de ce que Faro en a dit |
| Conversations WhatsApp | Chaque message WhatsApp entre le numéro du produit et les personnes d'une entreprise qui l'utilisent, dans les deux sens : ce qui a été écrit, qui l'a écrit (la personne, Faro ou le produit lui-même), quand, et s'il est arrivé et a été lu. Conservé avec les données de l'entreprise elle-même et jamais effacé de lui-même. Les conversations du bureau de l'entreprise ne sont relues que par la personne à qui appartient la conversation et par un propriétaire de l'entreprise | Pour qu'un bureau puisse voir ce que ses personnes ont demandé sur WhatsApp et ce qu'on leur a répondu, et si un message leur est parvenu |
| Audit | Qui a changé quoi et quand, à l'intérieur d'une entreprise | Parce qu'une réservation qui a bougé doit pouvoir s'expliquer le lendemain matin |
| Technique | Journaux de requêtes avec les temps et les traces d'erreur, pendant une courte période. Un message envoyé au numéro WhatsApp du produit lui-même depuis un numéro rattaché à aucun compte ne reçoit aucune réponse, et laisse une ligne contenant ce numéro, le type de message dont il s'agissait et sa longueur | Pour trouver ce qui est lent ou cassé, et pour pouvoir dire qui a écrit à un numéro que personne dans l'entreprise ne reconnaît |
| Utilisation | Quels écrans sont ouverts et où vont les clics, et sur le tableau du jour les recherches faites (combien de voyageurs, quelle langue, quel lieu de ramassage) et le temps que prend une réservation, comme analyse produit, lié au numéro de compte interne de la personne, à son entreprise, à son rôle et à son agence. Jamais son nom ni son adresse e-mail, et le texte de ce sur quoi elle clique est masqué. | Pour voir quelles parties du produit sont utilisées et par qui (le bureau ou une agence), et où les gens rencontrent des difficultés, jamais pour dresser le profil d'un voyageur. |

Il n'y a aucune publicité sur TourCockpit, aucun réseau publicitaire à l'intérieur, et rien de ce qui concerne un voyageur n'est vendu ni partagé pour le marketing de qui que ce soit. C'est une propriété du produit, pas une promesse d'intention.

## Quels cookies TourCockpit dépose-t-il ?

Uniquement ce dont le produit a besoin pour fonctionner. Aucun cookie publicitaire, aucun réseau publicitaire, et rien qui vous suive sur un autre site.

| Cookie | À quoi il sert |
| --- | --- |
| tp_session | Vous garde connecté. Sans lui, il n'y a pas de produit |
| tp_co | L'entreprise dans laquelle vous travaillez en ce moment, pour que le bon sous-domaine réponde |
| tp_company | L'entreprise à proposer en premier lors de votre prochaine connexion |
| tp_view_as | Posé pendant qu'un responsable regarde le produit comme l'un de ses propres opérateurs, pour que l'application sache quelle vue elle affiche |
| tp_oauth_req | Déposé pendant dix minutes lorsque vous connectez une application comme Claude ou ChatGPT à TourCockpit. Il contient la demande que l'on vous propose d'autoriser, pour que l'écran affiche exactement ce que l'application a demandé |
| tp_google | Déposé pendant dix minutes lorsque vous vous connectez avec Google, là où cela est proposé. Il relie la réponse de Google à ce navigateur, afin qu'une connexion commencée ailleurs ne puisse pas se terminer dans le vôtre |
| tp_theme | Clair ou sombre, pour que la page n'affiche pas brièvement le mauvais thème |
| tp_nav | Si la barre latérale est ouverte ou repliée |
| tp_faro | Si vous avez Faro, pour que la page réserve la place de sa bande latérale au lieu de se décaler une fois chargée |
| locale | La langue que vous avez choisie, pour que chaque page la garde |
| locale_at | Qui a choisi la langue dans ce navigateur, et quand, pour qu'un choix plus récent fait sur un autre appareil l'emporte ici aussi |
| tp_tz | Votre fuseau horaire, tel que votre navigateur le signale, pour qu'une heure affichée à l'écran soit donnée selon votre propre horloge |

Le produit garde aussi quelques petites choses dans le stockage du navigateur lui-même. Elles ne nous sont jamais envoyées : elles restent sur votre appareil et existent pour que le produit ne se répète pas.

| Ce que le navigateur garde | Pourquoi |
| --- | --- |
| tp_learn | Si vous avez activé le mode apprentissage |
| tp_inbox_toasted | Quelles notifications vous ont déjà été montrées une fois, pour que la même ne réapparaisse pas deux fois |
| tp_deployment_reload_at | Quand la page s'est rechargée d'elle-même pour la dernière fois après une mise à jour, pour qu'elle ne puisse pas rester bloquée dans une boucle de rechargement |
| tp_install_dismissed_at | Quand vous avez fermé pour la dernière fois le bandeau qui propose d'ajouter l'app à votre écran d'accueil, pour qu'il ne revienne pas pendant trois jours, ou que l'app est installée, pour qu'il ne revienne plus jamais |
| tp_launch_recorded | Que cette visite a déjà été comptée comme ouverte depuis l'écran d'accueil ou depuis le navigateur, pour qu'elle ne soit comptée qu'une fois |
| tc.gridView.planning | Si vous avez lu Planning des excursions par semaine ou par mois la dernière fois, pour qu'une visite s'ouvre comme vous l'avez laissée |
| tc.gridView.availability | La même chose pour Disponibilité des chauffeurs |
| tp_history_layout | Si vous avez lu l'Historique d'une journée par départ ou par heure la dernière fois |
| assistant:open | Si le panneau de Faro est ouvert |
| assistant:width | La largeur à laquelle vous avez fait glisser le panneau de Faro |

## Où les données sont-elles traitées, et par qui ?

L'application et la base de données tournent sur Microsoft Azure, dans la région Canada Central. C'est là que vivent vos réservations et vos passagers. Le Canada est reconnu par la Commission européenne comme offrant un niveau de protection adéquat pour les données à caractère personnel, ce qui rend ce transfert licite pour une entreprise établie dans l'Union européenne.

Voici toutes les entreprises que vos données peuvent atteindre à travers le produit, et il n'y en a pas d'autres. Toutes sauf la dernière sont des entreprises sur lesquelles nous nous appuyons pour le faire fonctionner. La dernière est une application que connecte quelqu'un de vos propres équipes, donc rien ne lui parvient si personne ne le fait.

| Qui | Ce qu'ils font, et ce qui leur est envoyé | Où |
| --- | --- | --- |
| Microsoft Azure | Fait tourner l'application et la base de données ; envoie l'e-mail du produit ; garde une copie de chaque tableau qu'un bureau exporte pendant douze mois, pour que la trace de ce qui a été téléchargé ou envoyé puisse dire quel fichier c'était ; garde le son d'un appel à Faro pendant 120 jours, dans un stockage privé, pour que la personne qui a passé l'appel, le propriétaire de son entreprise et le staff de TourCockpit puissent le réécouter. Son service vocal est aussi l'oreille et la voix d'un appel à Faro : votre voix lui est envoyée à mesure que vous parlez, il transforme ce que vous avez dit en mots et prononce la réponse dans la voix de votre propre langue. Les mots qu'il a entendus reçoivent ensuite une réponse comme une question tapée, dans la ligne ci-dessous | Canada |
| Microsoft Azure OpenAI | Répond Faro, l'assistant intégré au produit. Lui sont envoyés votre question, la conversation à laquelle cette question appartient, et les pages d'aide, et, quand Faro cherche quelque chose pour vous, les réservations et les données de référence que votre propre compte a déjà le droit de voir, dans votre entreprise uniquement. Quand vous demandez qui a changé quelque chose, l'historique de cette fiche lui est envoyé aussi : ce qui a changé, de quelle valeur à quelle valeur, quand, et le nom du collègue, ou de la personne au comptoir d'un revendeur, qui a fait chaque changement. C'est le même historique que le produit vous montre sur la fiche elle-même, et jamais plus que ce que vous pouvez y voir. Une question tapée dans le panneau de Faro emporte aussi une image de l'écran depuis lequel vous l'avez posée, pour que Faro voie ce que vous voulez dire ; cette image part avec la question et n'est jamais conservée. Une image que vous lui donnez, collée, déposée, choisie ou envoyée en photo sur WhatsApp, part avec la question et n'est jamais conservée. Aucune image n'est conservée, mais une ligne ou deux de ce qu'elle montrait, si : Faro note les éléments qu'il y a lus, le jour, l'excursion, les noms et les chiffres, parce que l'image a disparu à la question suivante et que la question suivante porte le plus souvent sur elle. Cette ligne est conservée avec la conversation à laquelle elle appartient, et traitée exactement comme le reste de cette conversation. Une note vocale que vous enregistrez sur WhatsApp au lieu d'écrire, ou un extrait sonore que vous lui transférez, part pour être transformé en mots afin que la question puisse recevoir une réponse ; l'enregistrement lui-même n'est pas conservé. Quand une question renvoie à quelque chose que vous avez demandé avant, lui est envoyé un extrait de vos propres conversations précédentes, les vôtres seules et aucune de plus de 90 jours, et quelques lignes chiffrées sur votre usage du produit, comme les écrans depuis lesquels vous posez le plus de questions. Lors d'un appel, les mots de chaque question lui sont envoyés, une fois que le service vocal ci-dessus les a entendus, exactement comme une question tapée ; votre voix elle-même ne lui est pas envoyée, et le son de l'appel est conservé 120 jours, comme le dit la ligne ci-dessus. Il écrit aussi les autres langues du texte que votre propre bureau saisit pour que les revendeurs et les clients le lisent : la description d'un siège enfant, ainsi que le nom d'une excursion, sa description et les détails qu'un revendeur lit sur l'excursion. Ces mots partent avec les autres noms d'excursion de votre entreprise comme contexte, pour qu'un nom de lieu ne soit pas traduit, et la réponse est réécrite dans les langues de votre entreprise. Aucune réservation, aucun client et aucun voyageur n'est envoyé pour faire traduire du texte | États-Unis pour le texte, ce qui comprend les mots d'une question posée à voix haute lors d'un appel ; Canada pour le son d'un appel, son enregistrement et une note vocale |
| PostHog | Analyse produit : quels écrans sont ouverts et où vont les clics, et sur le tableau du jour les recherches faites et le temps que prend une réservation, chacun lié au numéro de compte interne de la personne, à son entreprise, à son rôle et, au comptoir d'un revendeur, à son comptoir. Jamais son nom ni son adresse e-mail, et le texte de ce sur quoi elle clique est masqué | États-Unis |
| Meta (WhatsApp Business) | Distribue les messages WhatsApp qu'une entreprise choisit d'envoyer à ses propres opérateurs et à ses voyageurs, les avis que chaque personne choisit, sur son propre profil, de recevoir par WhatsApp plutôt que par e-mail, et le tableau du jour lui-même quand un bureau l'envoie par cette voie à ses propres guides et chauffeurs, ou à un propriétaire ou un responsable qui a demandé à recevoir chaque soir le tableau de demain. Elle transporte aussi un appel passé à TourCockpit depuis la discussion WhatsApp, celui auquel Faro répond : les voix de cet appel passent par WhatsApp, comme lors de n'importe quel appel WhatsApp. Ce que Faro répond à quelqu'un dans sa propre discussion WhatsApp passe par la même voie, qu'il ait tapé la question ou qu'il l'ait posée à voix haute pendant l'appel, et de même le tableau d'une journée qu'il lui demande de lui envoyer : une réponse longue part en quelques messages, ou en un seul fichier texte quand il en faudrait plus que quelques-uns, et cette réponse porte ce sur quoi il a posé sa question, dont une liste de réservations avec ses voyageurs | États-Unis et Irlande |
| Stripe | Facture l'abonnement : la facture mensuelle et son paiement. Elle reçoit les coordonnées de facturation de votre entreprise et un nombre pour chaque jour, la valeur des réservations que la plateforme a enregistrées pour vous, que son compteur ajoute à la ligne d'usage de la facture de ce mois-là. Aucune réservation, aucun client et aucun voyageur ne lui est jamais envoyé | États-Unis et Irlande |
| Cloudflare | Service de noms de domaine et réseau placé devant le site | Réseau mondial |
| Discord | Prévient notre propre équipe quand une personne connectée ouvre dans TourCockpit une adresse qui n'existe pas, pour qu'un lien cassé soit trouvé et réparé. Lui sont envoyés cette adresse, la page de TourCockpit d'où la personne venait, le moment où c'est arrivé, ainsi que le nom, le rôle et l'entreprise de la personne. Rien sur vos réservations, vos clients ou vos voyageurs ne lui est envoyé | États-Unis |
| Google | Connecte une personne lorsqu'elle appuie sur Continuer avec Google au lieu d'utiliser un mot de passe : le navigateur de cette personne se connecte chez Google, et Google ne dit à TourCockpit que l'adresse que porte ce compte et s'il l'a vérifiée, si bien que Google sait que cette adresse s'est connectée ici, et quand. Google héberge aussi les boîtes aux lettres de TourCockpit, si bien qu'une réponse à n'importe quel e-mail envoyé par TourCockpit y arrive, tout comme un message envoyé depuis la page de contact et une question que quelqu'un transmet de Faro à une personne, avec la conversation dont elle vient | États-Unis |
| Une application que vous connectez vous-même (Claude, ChatGPT) | Rien, jusqu'à ce que quelqu'un de votre bureau en connecte une, ce qu'il fait depuis cette application : il se connecte ici et l'autorise. L'application travaille alors en tant que cette personne : lui est envoyé tout ce qu'elle lui demande, c'est-à-dire les mêmes réservations, les mêmes données de référence et le même historique des modifications que son propre compte a déjà le droit de voir, et ses propres conversations précédentes avec Faro quand elle en demande une, dans votre entreprise uniquement, et le tableau d'une journée avec les noms et les chambres de ses voyageurs quand elle en demande un. Ces réponses restent dans sa conversation avec l'application, entre les mains de l'entreprise qui l'exploite et sous l'accord que cette personne a elle-même avec elle, pas sous le nôtre. Rien n'est jamais modifié sans que l'application le lui montre d'abord et attende son oui. Déconnecter, sur Mon profil, l'arrête aussitôt, et désactiver le compte de cette personne aussi. Votre propre bureau n'a à attendre ni l'un ni l'autre : un responsable ou un propriétaire met fin depuis l'écran Entreprise à toute application connectée à votre entreprise, elle reste hors de votre entreprise même si cette personne la connecte à nouveau, et seul votre bureau peut la laisser revenir | Les États-Unis, pour Claude et ChatGPT |

Pour les transferts vers les États-Unis, nous nous appuyons sur les clauses contractuelles types de la Commission européenne, que ces prestataires proposent dans leurs conditions. Une application que connecte quelqu'un de vos propres équipes n'est pas un de ces transferts : cette personne a accepté elle-même les conditions de cette entreprise en s'y inscrivant, et nous n'y sommes pas partie. Une connexion avec Google n'en est pas un non plus : c'est le compte Google de la personne elle-même, utilisé chez Google, dans le cadre de l'accord qu'elle a déjà avec lui.

## Combien de temps sont-elles conservées ?

- Les données opérationnelles sont conservées tant que votre entreprise utilise TourCockpit. Une réservation est annulée plutôt qu'effacée, parce que la piste d'audit est ce qui rend la journée explicable, et elle part quand partent les données de l'entreprise.
- Les données de votre entreprise sont supprimées dans les 30 jours qui suivent la clôture du compte, sur demande, ou conservées plus longtemps uniquement lorsqu'une facture doit être gardée à des fins fiscales.
- Le tableau d'une journée qui a été exporté, sous la forme du PDF, du tableur ou de l'image qu'un bureau a téléchargé, envoyé par e-mail ou sur WhatsApp à ses propres équipes, est conservé douze mois pour que la trace puisse dire exactement quel fichier quelqu'un avait. Seules la personne qui l'a exporté et les propriétaires de l'entreprise peuvent le rouvrir.
- Le son d'un appel à Faro, passé dans l'application ou sur WhatsApp, est conservé 120 jours puis supprimé, pour qu'un appel puisse être réécouté tant qu'il compte encore. Un appel pendant lequel l'appelant est passé à une autre entreprise est coupé à l'endroit où il est passé, et chaque entreprise ne garde que le temps passé chez elle, si bien qu'aucune entreprise ne détient la part de l'appel d'une autre. Dans le rare appel où cette coupure ne peut pas être faite exactement, aucun de ses sons n'est gardé. La trace écrite de ce qui s'y est dit fait partie des données opérationnelles, et part quand partent les données de votre entreprise.
- Les journaux de requêtes sont conservés 30 jours.
- Les jetons de connexion sont masqués au repos dès leur écriture, si bien qu'un identifiant n'est jamais stocké sous une forme lisible.

## Quels sont mes droits, et comment les exercer ?

Si vous êtes dans l'Union européenne ou au Royaume-Uni, vous pouvez demander une copie de vos données à caractère personnel, les faire rectifier, les faire supprimer, vous opposer à leur utilisation, ou les demander sous une forme portable. Si vous êtes au Canada, les droits équivalents prévus par la PIPEDA s'appliquent. Si vous êtes un voyageur dont le nom figure sur une liste des participants, c'est l'entreprise qui a pris votre réservation qui la détient : écrivez-lui, et si vous nous écrivez, nous transmettrons et nous l'aiderons à répondre.

Écrivez à chip@tourcockpit.com avec Privacy en objet. Nous répondons sous 30 jours. Si nous nous trompons, vous pouvez déposer une réclamation auprès de votre autorité nationale de protection des données.

## Comment les données sont-elles protégées ?

- Deux couches d'isolation entre les entreprises. Chaque requête est restreinte à une seule entreprise par l'application, et la base de données refuse tout le reste en dessous, grâce à la sécurité au niveau des lignes, si bien qu'une erreur dans la première couche est encore rattrapée par la seconde.
- Les mots de passe sont hachés avec Argon2id et ne sont jamais stockés ni journalisés sous une forme lisible.
- Tout circule chiffré en HTTPS, et la base de données est chiffrée au repos.
- Les modifications des réservations, des départs et du référentiel sont auditées à l'intérieur d'une entreprise, avec leur auteur et leur date.
- Une clé d'API n'agit que dans les limites auxquelles elle est liée : une entreprise, ou un seul tour-opérateur, et jamais plus.

Pour signaler une vulnérabilité, voir [/.well-known/security.txt](/.well-known/security.txt).

## Comment saurai-je que cette page a changé ?

Quand ce que nous faisons change, cette page change avec dans la même version, et le changement est listé sur la page [Nouveautés](/whats-new).

Dernière mise à jour le 20 octobre 2026.

Cette page est publiée en sept langues. En cas de différence entre une traduction et l'anglais, c'est la version anglaise qui s'applique.