Politique de confidentialité — Buggy Trip Marrakech

En bref. Ce site est un site vitrine doté d'un seul formulaire facultatif : une demande de réservation. Il utilise des cookies de mesure d'audience et de publicité (Google Analytics, Microsoft Clarity, Meta Pixel, Google Ads), mais uniquement après votre acceptation dans le bandeau cookies — si vous refusez, aucun n'est déposé. La plupart des visiteurs nous joignent en cliquant sur un lien WhatsApp, téléphone ou e-mail : l'application de votre appareil prend alors le relais et la conversation se déroule en dehors de ce site. Si vous le préférez, vous pouvez remplir le formulaire de demande de réservation : il ne demande que ce qui est nécessaire pour traiter une demande, n'est envoyé qu'après que vous ayez coché une case de consentement, et est stocké dans une petite base de données sur notre propre serveur — aucun service de formulaire tiers. Voir la section 3 ci-dessous pour le détail.

Champ d'application

La présente politique de confidentialité couvre :

le site vitrine Buggy Trip Marrakech à l'adresse buggytripmarrakech.com (versions française, anglaise, espagnole et néerlandaise) ; et
l'application interne Buggy Trip Marrakech, utilisée par SSV BUGGY TRIP pour publier ses propres contenus promotionnels (vidéos courtes, photos et légendes) sur ses propres comptes officiels sur TikTok, Instagram, Facebook, YouTube et Pinterest, via les API publiques de ces plateformes. Cette application :
- n'est pas distribuée au public et n'est pas téléchargeable ;
- n'autorise aucun utilisateur tiers à s'y connecter — seul l'exploitant du site y a accès ;
- ne lit aucun message privé, aucun commentaire et aucune donnée d'abonné : elle se borne à publier sur les comptes officiels de l'entreprise.
les applications internes d'exploitation Buggy Trip Marrakech, utilisées par SSV BUGGY TRIP pour traiter les demandes des clients (rédaction des réponses et des devis) et organiser la réalisation des réservations confirmées (planification, attribution des véhicules et des guides, et enregistrement des acomptes / soldes). Ces applications sont privées, accessibles uniquement à l'exploitant et au personnel autorisé, et fonctionnent sur notre propre serveur ; ce qu'elles traitent est décrit à la section 3.

1. Responsable de traitement

Le responsable du traitement au sens du Règlement général sur la protection des données (RGPD, UE 2016/679) et de la loi marocaine n° 09-08 est :

SSV BUGGY TRIP
Société à Responsabilité Limitée à Associé Unique (SARL AU)
Siège social : Dom. chez Miz Expert, Mhamid Sud, Ain Souna, Imm. E19, étage 3, apt. 3, Marrakech, Maroc
Registre de commerce (RC) n° 160417
I.C.E. : 003656887000060
Téléphone : +212 7 07 01 44 44
Contact vie privée : [email protected]

2. Ce qui se passe sur ce site

Lors de votre visite sur buggytripmarrakech.com, notre couche de diffusion de contenu / sécurité et notre serveur web d'origine voient les données techniques habituelles à toute navigation web :

votre adresse IP ;
la chaîne user-agent envoyée par votre navigateur ;
l'URL demandée et le code HTTP renvoyé ;
la date et l'heure de la requête.

Ces données sont traitées sur la base de notre intérêt légitime (art. 6, §1, point f du RGPD) à maintenir le site en ligne et à le protéger contre les abus. Les journaux d'accès du serveur sont limités en taille par le runtime de conteneurs à environ 30 mégaoctets au total ; une fois cette limite atteinte, les entrées les plus anciennes sont écrasées. Les journaux ne sont ni consultés, ni exportés, ni recoupés avec une autre source de données détenue par nous.

Avec votre consentement, le site charge des outils de mesure d'audience et de publicité : Google Analytics 4 et Microsoft Clarity (mesure d'audience et analyse anonymisée des sessions), Meta Pixel et la balise Google Ads (mesure et reciblage de nos publicités). Ces outils déposent des cookies et transmettent des données à ces fournisseurs. Ils sont encadrés par un bandeau de consentement utilisant Google Consent Mode v2 : tant que vous n'avez pas accepté, aucun cookie de ce type n'est déposé et seuls des signaux anonymes et agrégés, sans cookie, sont envoyés ; si vous refusez, rien n'est envoyé. Vous pouvez modifier votre choix à tout moment en effaçant le stockage de ce site dans votre navigateur. Les polices web sont auto-hébergées depuis notre propre domaine ; aucune requête n'est envoyée à un CDN de polices.

3. Formulaire de demande de réservation

Le site propose un seul formulaire facultatif, à l'adresse /book/ (et les chemins localisés /fr/reserver/, /en/book/, /es/reservar/, /nl/boeken/). Le remplir relève entièrement de votre choix — les liens WhatsApp, téléphone et e-mail restent disponibles comme auparavant.

Le formulaire ne collecte que ce qui est nécessaire pour traiter une demande de réservation : votre e-mail (obligatoire), un nom facultatif (un pseudo convient) et un numéro de téléphone facultatif, un ou plusieurs véhicules (chacun avec une quantité) et une seule durée 1 h / 2 h, la date, le nombre de participants ainsi qu'une heure de départ et un message facultatifs. Un total indicatif en dirhams est calculé dans votre navigateur et conservé à titre de référence pour l'exploitant.

Base légale : votre consentement (art. 6, §1, point a du RGPD). Le formulaire ne peut être envoyé sans que vous cochiez activement une case renvoyant à la présente politique. Le moment du consentement et la version de la politique en vigueur sont conservés avec l'enregistrement comme preuve au sens de l'art. 7, §1.
Finalité : vous recontacter au sujet de l'excursion demandée. Vos données ne sont jamais vendues ni partagées avec des tiers ; nous n'effectuons aucun profilage individuel et ne prenons aucune décision automatisée produisant des effets juridiques ou vous affectant de manière significative (art. 22 RGPD). Nous conservons toutefois en interne l'information indiquant si une demande a abouti à une réservation et sa valeur indicative, et nous utilisons des statistiques agrégées et anonymes issues des demandes de réservation — totaux hebdomadaires, durée de la sortie, choix des véhicules, canal marketing d'origine, taux de conversion et chiffre d'affaires global — pour mesurer et améliorer notre marketing et notre service. Ces données agrégées ne contiennent rien qui permette de vous identifier.
Mesure publicitaire : si vous arrivez sur le site en cliquant sur l'une de nos publicités en ligne, la plateforme publicitaire ajoute un identifiant de clic au lien (pour les publicités Google, un gclid, gbraid ou wbraid selon votre appareil et vos réglages de confidentialité). Lorsque vous envoyez le formulaire, cet identifiant est conservé avec votre demande. Uniquement si votre demande aboutit à une réservation confirmée, nous transmettons cet identifiant de clic, accompagné du résultat de conversion (date et valeur indicative), au prestataire publicitaire afin qu'il puisse mesurer quelles publicités génèrent des réservations. Aucun nom, e-mail, numéro de téléphone ni message n'est jamais transmis à cette fin — seuls l'identifiant de clic et le montant de conversion le sont. La base légale est votre consentement, donné via la même case du formulaire ; cela ajoute le prestataire de mesure publicitaire comme destinataire (section 5) et un transfert international (section 6).
Mesure publicitaire lorsque vous nous contactez directement : si vous êtes arrivé depuis l'une de nos publicités en ligne puis utilisez un lien WhatsApp (ou un autre lien de contact) au lieu du formulaire, ce même identifiant de clic est brièvement conservé sur notre propre serveur derrière un code de référence court et aléatoire dès votre arrivée depuis cette publicité, afin que la référence soit prête si vous choisissez ensuite ce canal ; le message pré-rempli que vous envoyez ne contient que cette référence courte — et non l'identifiant lui-même. Cela nous permet de reconnaître, si votre message aboutit à une réservation confirmée, qu'il provient d'une publicité, et d'appliquer exactement la même mesure que ci-dessus : seuls l'identifiant de clic et le montant de conversion sont transmis au prestataire publicitaire, jamais votre nom, votre numéro de téléphone ni votre message. Comme aucune case de formulaire n'intervient ici, la base légale de cette conservation brève est notre intérêt légitime à mesurer l'efficacité de notre propre publicité (art. 6, §1, f) RGPD) ; la donnée conservée est un unique identifiant de clic pseudonyme, sans aucune coordonnée, et vous pouvez vous y opposer à tout moment (art. 21 RGPD — voir section 7). L'enregistrement de référence note aussi le moment où vous touchez un bouton de contact (un simple horodatage sur le même enregistrement) : si la référence manque dans le message que vous envoyez (par exemple parce que vous l'avez réécrit), l'opérateur peut reconnaître, par simple proximité temporelle et après confirmation humaine, qu'un message reçu quelques instants plus tard provient très probablement de cette publicité — même base d'intérêt légitime, aucune donnée supplémentaire au-delà de l'horodatage. Ce même enregistrement de référence conserve aussi les paramètres de ciblage propres à la plateforme publicitaire pour ce clic (par exemple la campagne, le groupe d'annonces, le mot-clé associé, le type de correspondance et le type d'appareil), ainsi que la page et la langue du site sur laquelle vous vous trouviez au moment du tap — là encore uniquement des données de ciblage publicitaire non personnelles, jamais de coordonnées, utilisées pour affiner la même mesure d'efficacité décrite ci-dessus. Ces enregistrements de référence sont supprimés automatiquement sous 90 jours, ou plus tôt sur demande. Cela n'ajoute aucun nouveau destinataire ni aucun nouveau transfert au-delà du prestataire de mesure publicitaire déjà décrit ci-dessus.
Lieu de stockage : une petite base de données sur notre propre serveur. Il n'y a aucun service de formulaire tiers. Hormis le prestataire de mesure publicitaire décrit ci-dessus — qui ne reçoit qu'un identifiant de clic et un montant de conversion, jamais vos coordonnées — seuls interviennent les prestataires déjà décrits à la section 5. Le fichier de base de données n'est lisible que par l'utilisateur système de l'application et le serveur n'accepte les connexions qu'à travers notre prestataire de diffusion / sécurité.
E-mail de notification : chaque envoi déclenche aussi une notification vers notre propre boîte professionnelle pour ne pas manquer la demande — cela reste chez notre prestataire d'hébergement / messagerie.
Conservation : les enregistrements ne sont conservés que le temps nécessaire pour traiter votre demande et la réservation éventuelle, et en tout état de cause pas plus de 12 mois, après quoi ils sont supprimés. Les enregistrements de référence publicitaire (un code court associé à un identifiant de clic, sans aucune coordonnée) sont conservés au maximum 90 jours, puis supprimés automatiquement.
Retrait du consentement : vous pouvez retirer votre consentement ou demander l'effacement à tout moment en écrivant à l'adresse indiquée à la section 7 ; le retrait n'affecte pas le traitement effectué auparavant.

Une fois votre réservation confirmée

Lorsqu'une demande devient une sortie confirmée, nous en organisons la réalisation dans un système interne de gestion (« dispatch »), distinct de ce site et accessible uniquement à l'exploitant et au personnel autorisé.

Ce que nous utilisons : les informations de réservation déjà fournies (nom, coordonnées, langue, date et heure, véhicule(s), nombre de participants, lieu de prise en charge et remarques) ; un enregistrement de paiement (le montant de l'acompte et du solde, le mode — par ex. virement bancaire ou Revolut — et les dates) ; et des notes opérationnelles. Nous ne conservons aucun numéro de carte ni coordonnée bancaire — le paiement s'effectue via votre propre banque ou prestataire de paiement, jamais sur nos systèmes.
Base légale : l'exécution de la réservation que vous avez demandée (art. 6, §1, b) RGPD) et, pour les enregistrements de paiement / comptables, nos obligations légales comptables et fiscales (art. 6, §1, c) RGPD).
Qui peut le voir : l'exploitant et le personnel de bureau autorisé. Un guide de terrain affecté à votre sortie ne voit que votre prénom, l'heure, le lieu de prise en charge, le ou les véhicules et les remarques particulières, via un lien personnel révocable — jamais les informations de paiement ni la sortie d'un autre client. Si nous faisons appel à un partenaire pour un véhicule supplémentaire, celui-ci ne reçoit que la réservation de la machine, pas vos coordonnées.
Où et combien de temps : sur notre propre serveur (le même hébergeur que le reste du site), dans une base de données privée protégée par une authentification ; cela n'ajoute aucun nouveau prestataire hors EEE ni aucun nouveau transfert au-delà des sections 5–6. Les enregistrements de réservation et de paiement sont conservés le temps nécessaire à la réalisation de la sortie et au respect de nos obligations légales comptables et fiscales, puis supprimés ; vous pouvez à tout moment demander l'accès à vos données ou leur effacement (sous réserve de ces obligations légales) — section 7.

4. Liens externes que vous pouvez cliquer

Le site contient trois types de liens sortants. Ce sont de simples hyperliens : rien n'est chargé depuis ces tiers tant que vous n'avez pas cliqué. Dès ce moment, vous quittez notre site pour le leur.

WhatsApp (wa.me/…) — exploité par Meta Platforms Ireland Ltd. Un clic ouvre une discussion dans votre application WhatsApp. Le contenu des échanges, votre numéro et les données que WhatsApp enregistre habituellement sont alors traités par Meta selon la politique de confidentialité de WhatsApp.
Google Maps (lien vers la fiche d'établissement) — nous n'intégrons aucune carte ; le lien ouvre Google Maps dans un nouvel onglet lorsque vous cliquez. Les conditions de Google s'appliquent dès cet instant.
Instagram (lien dans le pied de page) — ouvre le profil Instagram public. La politique de confidentialité de Meta s'applique dès que vous êtes sur instagram.com.

5. Prestataires (sous-traitants)

Les prestataires suivants traitent strictement pour notre compte les données techniques nécessaires au fonctionnement du site. Aucun ne les reçoit pour ses propres finalités.

Un prestataire d'hébergement et de messagerie professionnelle (centres de données en UE) — exploite le serveur, la base de données de réservation et la boîte de notification. Accord de sous-traitance (art. 28 RGPD) signé.
Un prestataire de diffusion de contenu et de sécurité (établi aux États-Unis, avec une présence edge en UE) — proxy inverse, terminaison TLS, protection anti-DDoS. Son addendum de traitement des données et les clauses contractuelles types (CCT) de la Commission européenne encadrent tout transfert technique hors UE/EEE.
Une autorité de certification TLS — émet le certificat utilisé pour HTTPS. Aucune donnée personnelle de visiteur ne lui est transmise.
Un prestataire de mesure publicitaire (établi aux États-Unis, avec une présence en UE) — reçoit un identifiant de clic publicitaire et un montant de conversion (jamais vos coordonnées), et uniquement pour les visiteurs arrivés via l'une de nos publicités en ligne et dont la demande a été convertie. Son addendum de traitement des données et les CCT / l'EU–US Data Privacy Framework encadrent le transfert.

Nous désignons nos prestataires par catégorie afin de garder cette page neutre ; la liste nominative est disponible sur demande à [email protected].

6. Transferts hors UE/EEE

Deux flux peuvent être transférés hors UE/EEE : les données techniques traitées en périphérie par notre prestataire de diffusion / sécurité, et — uniquement pour les visiteurs arrivés via une publicité en ligne et dont la demande a été convertie — l'identifiant de clic publicitaire et le montant de conversion transmis à notre prestataire de mesure publicitaire (section 5). Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne et, le cas échéant, par le EU–US Data Privacy Framework. Une copie des clauses pertinentes est disponible sur demande à l'adresse indiquée à la section 10.

7. Vos droits

Même si nous ne conservons quasiment rien vous concernant, vous disposez des droits prévus aux articles 15 à 22 du RGPD et par la loi marocaine n° 09-08, notamment :

droit d'accès (art. 15) ;
droit de rectification (art. 16) ;
droit à l'effacement (art. 17) ;
droit à la limitation du traitement (art. 18) ;
droit d'opposition (art. 21) ;
droit d'introduire une réclamation auprès d'une autorité de contrôle.

Pour exercer un droit, écrivez à [email protected]. Nous répondons dans un délai d'un mois. Nous pouvons vous demander de justifier votre identité en cas de doute raisonnable.

8. Réclamations

Sans préjudice d'autres voies de recours, vous pouvez introduire une réclamation :

auprès de la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP) au Maroc — www.cndp.ma ;
auprès de l'autorité de contrôle de votre État membre de l'UE/EEE — liste publiée par le Comité européen de la protection des données à l'adresse edpb.europa.eu.

9. Sécurité

Chiffrement en transit : TLS 1.2/1.3 sur toutes les pages.
Serveur d'origine accessible uniquement via notre prestataire de diffusion / sécurité ; tout accès direct est bloqué au niveau du pare-feu.
Accès d'administration par clé, via un réseau privé maillé (VPN), sans exposition sur l'Internet public.
Les stockages de données personnelles sont la base de données des demandes de réservation et la base de données interne d'exploitation pour les réservations confirmées (section 3) : toutes deux se trouvent sur notre propre serveur, chaque fichier n'est lisible que par l'utilisateur système non privilégié de l'application, et l'accès réseau sortant est restreint par pare-feu. Aucune copie n'est transmise à un tiers.

10. Contact et évolutions

Pour toute question sur la présente politique ou sur les données qui vous concernent, écrivez à [email protected].

Nous mettrons cette politique à jour si nos pratiques évoluent. Le texte publié ici fait foi à tout moment ; les modifications substantielles se traduisent par la mise à jour de la date indiquée plus haut.