Politique de confidentialité

1. Introduction et responsable du traitement

Placewave (« nous », « notre », « nos ») est un assistant de voyage propulsé par l'intelligence artificielle, exploité par Boris Tomilin, entrepreneur individuel établi en Géorgie. La présente Politique de confidentialité a pour objet d'expliquer comment nous collectons, utilisons, conservons et protégeons vos données à caractère personnel lorsque vous utilisez :

• Notre bot Telegram @WorldAudioGuideBot
• Notre site internet et notre application web accessibles à l'adresse placewave.pro
• Tout bot en marque blanche fonctionnant sur la plateforme Placewave

La présente politique est conforme au Règlement Général sur la Protection des Données (RGPD) de l'Union européenne ainsi qu'au California Consumer Privacy Act (CCPA) (loi californienne sur la protection des consommateurs). Si vous résidez dans l'UE/EEE ou en Californie, des droits supplémentaires s'appliquent à votre situation — veuillez vous reporter aux sections 9 et 10.

Responsable du traitement : Boris Tomilin · placewave.info@gmail.com · @placewave_support_bot

2. Données que nous collectons

Nous ne collectons que les données nécessaires à la fourniture du service. Le tableau ci-dessous précise, pour chaque catégorie de données, leur source, leur lieu de conservation et leur durée de conservation :

Catégorie de données	Source	Lieu de conservation	Durée de conservation
Identifiant utilisateur Telegram	API Telegram (automatique)	PostgreSQL	Pendant la durée d'activité du compte
Prénom	API Telegram (automatique)	PostgreSQL	Pendant la durée d'activité du compte
Nom d'utilisateur Telegram	API Telegram (si public)	PostgreSQL	Pendant la durée d'activité du compte
Préférence linguistique	API Telegram / choix de l'utilisateur	PostgreSQL	Pendant la durée d'activité du compte
Dernière position connue	Partage volontaire de la position GPS par l'utilisateur	PostgreSQL (PostGIS)	Pendant la durée d'activité du compte
Messages et requêtes de la conversation	Saisie de l'utilisateur dans le bot	Redis (en mémoire vive)	1 heure (TTL de session)
Horodatage du consentement	Acceptation des Conditions par l'utilisateur	PostgreSQL	Pendant la durée d'activité du compte
Événements d'utilisation (analytique)	Automatique (clics sur les boutons, consultations de catégories)	PostgreSQL	30 jours, puis anonymisation
Agrégats mensuels	Calcul automatique à partir des événements d'utilisation	PostgreSQL	Indéfiniment (entièrement anonymisés)

Nous ne collectons pas de numéros de cartes de paiement, de pièces d'identité officielles, de données biométriques ni de données à caractère personnel sensibles au sens de l'article 9 du RGPD.

3. Base juridique du traitement (RGPD)

Pour les utilisateurs situés dans l'UE/EEE, nous traitons les données à caractère personnel sur les bases juridiques suivantes, conformément à l'article 6 du RGPD :

• Consentement (art. 6, § 1, a) — Données de localisation (vous partagez volontairement votre position GPS) ; acceptation des Conditions. Vous pouvez retirer votre consentement à tout moment, sans que cela ne porte atteinte à la licéité du traitement effectué antérieurement.
• Intérêt légitime (art. 6, § 1, f) — Fourniture des réponses du bot, sécurité, prévention de la fraude, amélioration du service au moyen d'analyses anonymisées. Nous avons mis en balance nos intérêts et vos droits, et avons conclu que ces intérêts ne portent pas atteinte à vos libertés fondamentales.
• Exécution d'un contrat / mesures précontractuelles (art. 6, § 1, b) — Conservation de votre identifiant Telegram et de votre préférence linguistique aux fins de l'exploitation du service que vous avez sollicité.

4. Utilisation que nous faisons de vos données

• Fournir des recommandations personnalisées de restaurants, d'attractions et d'itinéraires en fonction de votre localisation et de vos préférences.
• Traiter vos requêtes au moyen de notre moteur d'intelligence artificielle (Groq LLaMA 3.3 70B) et y répondre dans votre langue de prédilection.
• Mémoriser votre langue et la ville sélectionnée au sein d'une session et d'une session à l'autre.
• Vous adresser des messages liés au service au sein de Telegram (aucune communication commerciale n'est envoyée sans consentement exprès préalable).
• Détecter et prévenir les abus, le spam et les menaces de sécurité (limitation du débit).
• Fournir aux partenaires B2B des tableaux de bord d'analyses agrégées et anonymisées uniquement — les partenaires ne reçoivent en aucun cas des données individuelles d'utilisateurs.
• Nous conformer à nos obligations légales.

4 bis. Traitement par intelligence artificielle et prise de décision automatisée

Placewave a recours à des grands modèles de langage (LLM) et à d'autres systèmes d'intelligence artificielle pour générer des recommandations de voyage personnalisées et pour répondre à vos questions formulées en langage naturel. Les prestataires suivants interviennent en qualité de sous-traitants pour les opérations d'inférence par IA :

• Groq, Inc. (États-Unis) — LLaMA 3.3 70B pour les réponses de chat principales.
• OpenAI, L.L.C. (États-Unis) — modèles de la famille GPT utilisés en solution de repli ou pour des tâches d'agent spécifiques lorsque le modèle principal est indisponible.
• Google LLC (Gemini 2.0 Flash) — utilisé en solution de repli secondaire lorsque les autres fournisseurs atteignent leurs limites de débit.

Les données transmises à ces prestataires se limitent au texte de votre requête ainsi qu'à un contexte minimal (votre langue et la ville sélectionnées). Nous ne transmettons pas votre identifiant Telegram, votre nom, vos coordonnées, vos données de paiement, ni d'identifiants persistants aux fournisseurs d'IA dans le cadre des requêtes d'inférence.

Portée du traitement automatisé. Notre IA génère des recommandations, des descriptions narratives et des réponses conversationnelles. Ces résultats peuvent être personnalisés en fonction des préférences que vous avez exprimées et de la position que vous avez partagée, ce qui peut s'analyser comme du profilage au sens de l'article 4, point 4, du RGPD. Toutefois :

• Les résultats produits par l'IA ont une valeur strictement informative (suggestions de restaurants, points d'intérêt, narration des guides audio).
• Nous ne prenons aucune décision produisant des effets juridiques ou affectant de manière significative votre situation (pas de scoring de crédit, pas de décision relative à l'emploi, pas de refus d'accès, pas de tarification automatisée individualisée) au sens de l'article 22, § 1, du RGPD.
• Vous disposez du droit, en vertu de l'article 21 du RGPD, de vous opposer à tout moment à un traitement fondé sur l'intérêt légitime, y compris au profilage. Pour exercer ce droit, veuillez nous contacter par les moyens indiqués à la section 14. Nous cesserons les opérations de profilage, à moins de démontrer l'existence de motifs légitimes et impérieux prévalant sur vos intérêts.
• Vous pouvez à tout moment désactiver le partage de localisation dans Telegram, modifier la langue du bot, ou cesser d'utiliser les fonctionnalités d'IA en n'engageant simplement aucune conversation — le bot continuera à fournir des recommandations statiques.

Fiabilité de l'IA. Les résultats produits par les LLM peuvent occasionnellement contenir des inexactitudes factuelles ou des informations obsolètes. Il vous appartient de toujours vérifier les horaires d'ouverture, les prix et les informations de sécurité auprès des sources officielles avant de donner suite à une recommandation.

5. Partage des données et sous-traitants tiers

Nous ne vendons, louons ou échangeons en aucun cas vos données à caractère personnel. Nous ne les partageons qu'avec les sous-traitants énumérés ci-après, chacun étant lié par les conventions de traitement appropriées :

Sous-traitant	Finalité	Données partagées	Politique de confidentialité
Telegram Messenger Inc.	Plateforme d'acheminement des messages	Messages, profil utilisateur	telegram.org/privacy
Groq, Inc. (USA)	Inférence IA — LLaMA 3.3 70B	Texte des requêtes utilisateur (sans données identifiantes au-delà du contenu de la requête)	groq.com/privacy-policy
Google LLC	Données de lieux (restaurants, attractions)	Coordonnées de localisation aux fins de la recherche de lieux	policies.google.com/privacy
Amazon Web Services (AWS)	Stockage des guides audio (S3, eu-central-1)	Aucune donnée à caractère personnel — fichiers audio uniquement	aws.amazon.com/privacy
Google Analytics 4 (Google LLC)	Mesure d'audience du site internet (chargé uniquement après recueil du consentement aux cookies)	Données d'utilisation anonymisées (pages consultées, événements de clic)	policies.google.com/privacy
GetYourGuide	Liens d'affiliation pour la réservation d'excursions	Aucune donnée — uniquement des liens (le clic est suivi par GYG)	getyourguide.com/privacy
Tripster	Liens d'affiliation pour la réservation d'excursions (utilisateurs russophones)	Aucune donnée — uniquement des liens	tripster.ru/privacy

Les clients B2B (hôtels, agences de voyage utilisant notre solution en marque blanche) ne reçoivent que des analyses agrégées et anonymisées relatives à leurs utilisateurs. Ils ne reçoivent ni profils individuels d'utilisateurs, ni identifiants Telegram, ni messages.

6. Durée de conservation des données

• Données de profil utilisateur (identifiant Telegram, prénom, langue, dernière position) — conservées pendant la durée d'activité du compte. Supprimées dans un délai de 30 jours suivant la vérification d'une demande d'effacement.
• Historique de la conversation — stocké dans Redis avec un TTL d'1 heure. Supprimé automatiquement à la fin de la session.
• Événements d'utilisation — conservés pendant 30 jours, puis supprimés définitivement. Les agrégats mensuels (entièrement anonymisés) sont conservés indéfiniment à des fins de reporting commercial.
• Registre des consentements (terms_accepted_at) — conservé pendant toute la durée d'existence du compte, conformément aux obligations de responsabilité (accountability) imposées par le RGPD.

7. Transferts internationaux de données

Placewave est exploité depuis la Géorgie (qui n'est pas un État membre de l'UE). Certains de nos sous-traitants sont établis en dehors de l'UE/EEE. Le tableau ci-dessous résume le pays de destination, le mécanisme juridique sur lequel nous nous appuyons et, le cas échéant, les mesures supplémentaires que nous appliquons à la suite de l'arrêt Schrems II rendu par la Cour de justice de l'Union européenne (C-311/18) :

Sous-traitant	Destination	Mécanisme de transfert (RGPD, art. 46)
Groq, Inc.	États-Unis	Clauses contractuelles types (CCT, art. 46, § 2, c) visées dans l'avenant de traitement des données de Groq. Cadre de protection des données UE–États-Unis lorsque Groq y est auto-certifié.
OpenAI, L.L.C.	États-Unis	CCT (art. 46, § 2, c) et Cadre de protection des données UE–États-Unis (OpenAI y est auto-certifié).
Google LLC (Gemini, GA4, Maps)	États-Unis / UE (Maps via des API locales)	CCT et Cadre de protection des données UE–États-Unis (Google LLC y est auto-certifié).
Telegram	Distribution mondiale	Régi par la politique de confidentialité et l'avenant de traitement des données propres à Telegram. Limité aux données dont la plateforme assure elle-même la maîtrise.
AWS S3 (eu-central-1)	UE (Francfort)	Aucun transfert en dehors de l'EEE pour les données que nous stockons via ce service.

7.1 Analyse d'impact des transferts et mesures supplémentaires (Schrems II)

S'agissant des transferts à destination des États-Unis, nous avons réalisé une analyse d'impact des transferts conformément aux Recommandations 01/2020 du Comité européen de la protection des données sur les mesures supplémentaires. Nous avons conclu que, compte tenu (a) du caractère limité et non identifiant des données transmises aux fournisseurs d'IA et (b) des garanties contractuelles et techniques énumérées ci-après, les CCT, combinées à ces mesures supplémentaires, offrent un niveau de protection substantiellement équivalent à celui garanti au sein de l'UE.

Mesures techniques :

• Toutes les données en transit vers les sous-traitants américains sont chiffrées au moyen du protocole TLS 1.2 ou supérieur.
• Nous appliquons le principe de minimisation des données au niveau applicatif : les requêtes d'inférence par IA ne transportent que le texte de votre requête, votre langue d'interface et la ville sélectionnées. Nous ne transmettons ni votre identifiant utilisateur Telegram, ni votre nom, ni votre nom d'utilisateur, ni vos coordonnées, ni aucun identifiant unique persistant.
• Lorsqu'un fournisseur expose un tel paramètre, nous demandons à ce qu'il ne conserve pas les invites (prompts) ni les résultats à des fins d'entraînement.
• Les contenus audio et autres médias générés à votre demande sont stockés sur AWS S3 dans la région eu-central-1 (Francfort), sans être transférés vers un stockage situé aux États-Unis.

Mesures contractuelles :

• Les Clauses contractuelles types sont incorporées par référence dans l'avenant de traitement des données de chacun des fournisseurs.
• Lorsque le fournisseur est certifié au titre du Cadre de protection des données UE–États-Unis, nous nous appuyons en outre sur la décision d'exécution (UE) 2023/1795 de la Commission en tant que fondement d'adéquation.
• Notifications de changement de sous-traitant ultérieur assorties d'un droit d'opposition, tels qu'énoncés dans notre avenant de traitement des données conclu avec les partenaires B2B.

Mesures organisationnelles :

• L'accès aux identifiants de production est réservé au responsable du traitement ; les secrets sont stockés en dehors du dépôt de code source et masqués dans les journaux.
• Nous documentons les catégories de données transmises à chaque fournisseur et révisons cette cartographie à chaque introduction d'un nouveau sous-traitant.
• Nous contesterons toute demande d'accès gouvernementale contraignante par les voies de recours juridiques disponibles, et en informerons les utilisateurs concernés dans la mesure permise par la loi applicable.

Vous pouvez nous demander une copie des CCT, de l'avenant de traitement des données applicable ou du résumé de notre analyse d'impact des transferts en nous contactant aux coordonnées indiquées à la section 14.

En utilisant Placewave, vous reconnaissez l'existence de ces transferts. Si vous ne souhaitez pas que vos données soient traitées dans ces conditions, vous pouvez cesser d'utiliser le service et demander l'effacement de vos données sur le fondement de l'article 17 du RGPD.

8. Sécurité des données

• L'ensemble des données en transit est chiffré au moyen du protocole HTTPS/TLS 1.2 ou supérieur.
• L'accès à la base de données est limité au réseau interne ; les identifiants ne sont jamais inscrits dans les journaux.
• Les valeurs de configuration sensibles (clés d'API, mots de passe) sont masquées dans tous les journaux applicatifs.
• Une limitation de débit est mise en œuvre afin de prévenir les abus et de protéger les comptes utilisateurs.
• Les données de session Redis ne sont conservées qu'en mémoire vive avec un TTL bref — elles ne sont pas persistées sur disque.

Aucun procédé de transmission électronique ne peut être considéré comme totalement sûr. Nous ne pouvons garantir une sécurité absolue, mais mettons en œuvre des mesures conformes aux standards de l'industrie et proportionnées au risque.

9. Vos droits — résidents de l'UE/EEE (RGPD)

Si vous résidez dans l'UE ou l'EEE, vous bénéficiez des droits suivants au titre du RGPD :

Pour exercer l'un quelconque de ces droits, veuillez nous contacter à l'adresse placewave.info@gmail.com. Nous y répondrons dans un délai de 30 jours. Nous pourrons être amenés à vérifier votre identité avant de traiter votre demande.

10. Vos droits — résidents de Californie (CCPA / CPRA)

La présente section s'applique si vous êtes résident de l'État de Californie. Elle complète les autres dispositions de la présente Politique de confidentialité et précise les incidences, sur notre traitement de vos informations personnelles, du California Consumer Privacy Act, tel que modifié par le California Privacy Rights Act de 2020 (ci-après, collectivement, le « CCPA »).

10.1 Catégories d'informations personnelles que nous collectons

Au cours des 12 derniers mois, nous avons collecté les catégories suivantes d'informations personnelles auprès des consommateurs résidant en Californie :

Catégorie CCPA (Cal. Civ. Code § 1798.140(v))	Exemples au sein de notre service	Collectée ?
A. Identifiants	Identifiant utilisateur Telegram, nom d'utilisateur Telegram, prénom	Oui
B. Informations personnelles au sens du Cal. Civ. Code § 1798.80(e)	Nom (recoupement avec la catégorie A)	Oui — prénom uniquement
C. Caractéristiques relevant des catégories protégées	Origine ethnique, religion, sexe, âge, etc.	Non
D. Informations commerciales	Tarif d'abonnement et statut de facturation du partenaire B2B (partenaires uniquement, et non utilisateurs finaux)	Oui — partenaires uniquement
E. Informations biométriques	Empreintes digitales, empreintes vocales, etc.	Non
F. Activité sur internet ou sur d'autres réseaux électroniques	Clics sur les boutons, consultations de catégories, requêtes saisies dans le bot	Oui
G. Données de géolocalisation	Dernières coordonnées GPS partagées (uniquement lorsque vous partagez volontairement votre position)	Oui — avec consentement
H. Informations sensorielles (audio, vidéo, etc.)	Enregistrements vocaux ou vidéo	Non
I. Informations professionnelles ou liées à l'emploi	Intitulé de poste, employeur	Non
J. Informations relatives à l'éducation	Dossiers couverts par la loi FERPA	Non
K. Inférences tirées des éléments ci-dessus	Préférences de voyage déduites (par exemple, intérêt pour la gastronomie plutôt que pour les musées) utilisées pour personnaliser les recommandations	Oui
L. Données à caractère personnel sensibles (Cal. Civ. Code § 1798.140(ae))	La géolocalisation précise est la seule catégorie sensible que nous traitons ; nous ne collectons ni numéro de sécurité sociale, ni pièce d'identité officielle, ni identifiants de compte financier, ni origine raciale ou ethnique, ni religion, ni appartenance syndicale, ni contenu de courriers, courriels ou SMS, ni données génétiques, biométriques ou de santé.	Géolocalisation uniquement, avec consentement

10.2 Sources des informations personnelles

• Directement auprès de vous — messages et positions que vous transmettez via le bot Telegram, paramètres que vous choisissez.
• Auprès de Telegram de manière automatique — votre identifiant Telegram, votre prénom, votre nom d'utilisateur et la langue de votre interface, transmis avec chaque message.
• Auprès de votre appareil de manière automatique — événements d'utilisation (clics sur les boutons, consultations de pages) lorsque vous interagissez avec le bot ou le site internet.

10.3 Finalités commerciales ou opérationnelles

• Fournir, maintenir et améliorer le service Placewave.
• Personnaliser les recommandations et les réponses générées par l'IA.
• Détecter les incidents de sécurité et prévenir la fraude et les abus.
• Produire des analyses agrégées et anonymisées à destination des partenaires B2B.
• Nous conformer à nos obligations légales.

10.4 Catégories de tiers auxquels nous divulguons des informations

Nous divulguons des informations personnelles aux catégories de destinataires énumérées à la section 5 (Telegram, Groq, OpenAI, Google, AWS, partenaires de réservation en affiliation), aux seules fins décrites dans ladite section. Nous n'autorisons pas ces destinataires à utiliser ces informations à leurs propres fins commerciales.

10.5 Absence de « vente » et absence de « partage » d'informations personnelles

Nous ne vendons pas vos informations personnelles contre une rémunération monétaire ou toute autre contrepartie de valeur. Nous ne « partageons » pas davantage d'informations personnelles à des fins de publicité comportementale inter-contextuelle au sens des définitions du CCPA. Nous ne l'avons pas fait au cours des 12 derniers mois et nous n'avons pas l'intention de le faire. Dès lors que nous ne vendons ni ne partageons aucune donnée, aucune option de retrait « Do Not Sell or Share My Personal Information » n'est requise ; cette protection s'applique à vous par défaut.

Nous n'utilisons ni ne divulguons par ailleurs vos données à caractère personnel sensibles (géolocalisation précise) à des fins autres que celles autorisées par le Cal. Civ. Code § 1798.121(a) et décrites dans la présente politique. Vous n'avez donc pas à formuler de demande distincte de type « Limit the Use of My Sensitive Personal Information », mais vous demeurez libre de nous demander de cesser d'utiliser votre géolocalisation en retirant votre consentement dans le bot ou en nous contactant.

10.6 Vos droits au titre du CCPA

10.7 Modalités d'exercice de vos droits au titre du CCPA

Adressez votre demande à l'adresse placewave.info@gmail.com ou via @placewave_support_bot. Afin de protéger votre vie privée, nous devrons vérifier votre identité, en règle générale en confirmant l'identifiant Telegram à partir duquel vous avez contacté le bot, complété par un élément supplémentaire que seul le titulaire du compte est censé connaître. Nous répondrons dans un délai de 45 jours ; ce délai pourra être prorogé de 45 jours supplémentaires lorsque cela s'avère raisonnablement nécessaire, auquel cas nous vous en informerons.

Mandataires. Vous pouvez désigner un mandataire chargé de soumettre une demande en votre nom. Le mandataire doit produire une autorisation écrite et signée de votre part ; nous pourrons néanmoins être amenés à exiger que vous vérifiiez votre propre identité directement ou que vous confirmiez avoir conféré au mandataire le pouvoir nécessaire.

Mineurs. Nous ne vendons ni ne partageons sciemment les informations personnelles de consommateurs âgés de moins de 16 ans et exigeons un consentement opt-in qui n'est pas pertinent au regard de notre service, dès lors que nous ne nous livrons pas à de telles activités.

Si vous estimez que nous n'avons pas répondu de manière satisfaisante à votre demande, vous pouvez contacter le Procureur général de l'État de Californie.

11. Stockage de session et cookies

Le bot Telegram de Placewave n'utilise aucun cookie de navigateur. L'état de session est stocké côté serveur, dans Redis, avec un TTL d'1 heure, puis automatiquement purgé.

Notre site internet (placewave.pro) n'utilise que des cookies strictement nécessaires au fonctionnement de l'application web (par exemple, des jetons de session d'authentification pour le tableau de bord partenaire). Nous n'utilisons aucun cookie publicitaire ou de traçage. Si vous utilisez le tableau de bord partenaire, un cookie de session est déposé pour la durée de votre connexion, puis supprimé à votre déconnexion.

12. Protection des données des mineurs

Placewave ne s'adresse pas aux enfants de moins de 13 ans (ou de 16 ans dans certains États membres de l'UE). Nous ne collectons pas sciemment de données à caractère personnel auprès d'enfants. Si vous estimez que nous avons collecté par inadvertance des données concernant un enfant, veuillez nous contacter sans délai afin que nous procédions à leur suppression dans les meilleurs délais.

13. Modifications de la présente politique

Nous nous réservons la possibilité d'actualiser périodiquement la présente Politique de confidentialité afin de tenir compte de l'évolution de nos pratiques, de notre technologie ou des exigences légales. En cas de modification substantielle, nous mettrons à jour la mention « Dernière mise à jour » figurant en haut de la présente page. Lorsque la loi l'exige, nous en informerons également directement les utilisateurs par l'intermédiaire du bot Telegram. La poursuite de l'utilisation du service après la date d'entrée en vigueur des modifications vaut acceptation de la politique mise à jour.

14. Contact et responsable du traitement

Pour toute question, demande ou réclamation relative à la protection des données :

• Courriel : placewave.info@gmail.com
• Telegram : @placewave_support_bot
• Responsable du traitement : Boris Tomilin, Géorgie

Les résidents de l'UE/EEE qui ne seraient pas satisfaits de notre réponse disposent du droit d'introduire une réclamation auprès de leur autorité nationale de protection des données.