Politique de confidentialité

Préambule

La présente politique décrit la manière dont SAS Krystale Communication, éditrice du site dronmi.fr (ci-après « Dronmi » ou « nous »), traite les données à caractère personnel des utilisateurs, dans le respect du Règlement (UE) 2016/679 (RGPD), de la loi n° 78-17 du 6 janvier 1978 modifiée (« Informatique et Libertés ») et des recommandations de la CNIL.

1. Responsable de traitement

SAS Krystale Communication 52 zone artisanale Galmot, 97300 Cayenne — Guyane française SIRET : 829 755 479 00013 Représentant légal : Frantz FABIEN, Président Contact protection des données : dpo@dronmi.fr (ou contact@dronmi.fr)

2. Données collectées

2.1 Visiteur (sans compte)

• données techniques de navigation (adresse IP tronquée, user-agent, pages consultées) ;
• préférences de recherche stockées dans le navigateur (favoris locaux).

2.2 Voyageur

• identité : prénom, nom ;
• contact : email (obligatoire), téléphone (optionnel) ;
• mot de passe (haché) ;
• historique des contacts révélés et des réservations ;
• avis publiés.

2.3 Propriétaire

• identité et coordonnées professionnelles ;
• SIRET, statut juridique, justificatifs de classement / déclaration en mairie ;
• documents de vérification (badge « Vérifié ») : pièce d'identité, attestation d'assurance, photos contextuelles ;
• coordonnées bancaires via Stripe Connect (Dronmi n'a pas accès au numéro de compte) ;
• données fiscales nécessaires à l'émission des factures de commission.

2.4 Données spécifiques aux hébergements

• coordonnées GPS exactes (stockées chiffrées en base, jamais exposées publiquement) ;
• documents privés (règlement intérieur, consignes d'arrivée) accessibles uniquement aux Voyageurs ayant réservé.

2.5 Mineurs

La Plateforme n'est pas destinée aux mineurs de moins de 15 ans. Aucune inscription n'est ouverte à un mineur de moins de 15 ans. Pour un mineur de 15 à 18 ans, l'inscription suppose le consentement du titulaire de l'autorité parentale.

2.6 Paiement échelonné

Dans le cadre du paiement en plusieurs fois, Dronmi conserve un identifiant de moyen de paiement (référence Stripe) afin de permettre les prélèvements automatiques des échéances suivantes. Aucune donnée de carte bancaire n'est stockée par Dronmi ; ces données sont hébergées exclusivement par Stripe, Inc. (voir politique de confidentialité Stripe : https://stripe.com/fr/privacy).

Cet identifiant est supprimé à l'issue de la dernière échéance ou à la clôture du compte Voyageur, selon la première échéance atteinte. Le consentement au prélèvement automatique est recueilli explicitement lors de la réservation et peut être retiré en contactant Dronmi, ce qui entraîne l'annulation du plan de paiement selon les conditions d'annulation applicables.

3. Finalités et bases légales

Chaque traitement repose sur une base légale identifiée au sens de l'article 6 du RGPD :

• Création et gestion du compte utilisateur — exécution du contrat (art. 6.1.b RGPD).
• Mise en relation Voyageur ⇄ Propriétaire — exécution du contrat.
• Réservation et paiement (Stripe Connect) — exécution du contrat.
• Vérification d'identité des Propriétaires (badge Vérifié) — obligation légale (LCEN, lutte anti-fraude) et intérêt légitime.
• Émission de factures et conservation comptable — obligation légale (art. L. 123-22 du Code de commerce, 10 ans).
• Sécurité, prévention de la fraude et de l'usurpation — intérêt légitime.
• Statistiques anonymes d'usage — intérêt légitime.
• Newsletter et communications commerciales — consentement (opt-in explicite).
• Cookies de mesure d'audience anonymisée — intérêt légitime ou exemption CNIL si conformes.
• Cookies tiers et publicité ciblée — consentement.

4. Destinataires

Les données sont traitées par les équipes habilitées de SAS Krystale Communication. Elles peuvent être communiquées à des sous-traitants intervenant pour notre compte, sous engagement contractuel de confidentialité et de conformité RGPD :

• Hostinger International Ltd. — hébergement web (Chypre / UE) ;
• Stripe Payments Europe Ltd. — paiements et reversement (Irlande / UE) ;
• prestataires d'envoi d'emails transactionnels et marketing ;
• prestataires d'analyse d'audience (mesure agrégée) ;
• en cas de réservation, le Propriétaire concerné reçoit les coordonnées du Voyageur strictement nécessaires à l'exécution du séjour.

Aucune donnée n'est cédée ou louée à des tiers à des fins commerciales.

5. Transferts hors Union européenne

Les données sont principalement hébergées au sein de l'Union européenne. En cas de transfert ponctuel vers un pays tiers (par exemple via un sous-traitant analytique américain), nous nous assurons que ce transfert est encadré par :

• une décision d'adéquation de la Commission européenne ; ou
• des clauses contractuelles types (CCT 2021) ; ou
• des garanties équivalentes au sens des articles 44 et suivants du RGPD.

La liste à jour des sous-traitants et leurs localisations peut être obtenue sur simple demande à dpo@dronmi.fr.

6. Durées de conservation

• Compte actif : tant que le compte n'est pas clôturé.
• Compte inactif (aucune connexion) : suppression ou anonymisation après 3 ans d'inactivité, après relance.
• Données de réservation et factures : 10 ans à compter de la clôture (obligation comptable, art. L. 123-22 C. com.).
• Données de paiement (Stripe) : selon les politiques propres de Stripe Payments Europe Ltd.
• Documents de vérification (badge Vérifié) : pendant la durée du badge + 1 an après son expiration.
• Avis publiés : durée d'exposition de la fiche, anonymisation possible sur demande motivée.
• Logs de connexion et de sécurité : 12 mois (art. L. 34-1 CPCE).
• Newsletter : jusqu'au retrait du consentement.
• Cookies non essentiels : maximum 13 mois.

7. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles raisonnables pour protéger les données :

• chiffrement TLS de bout en bout (HTTPS) ;
• mots de passe hachés (algorithme à dérivation lente) ;
• coordonnées GPS exactes stockées hors index public ;
• contrôle d'accès basé sur les rôles (Voyageur / Propriétaire / Admin) ;
• journalisation des actions sensibles (audit log) ;
• sauvegardes régulières et tests de restauration.

En cas de violation de données présentant un risque pour les droits et libertés des personnes, la CNIL sera notifiée dans les 72 heures et les personnes concernées informées sans délai injustifié, conformément aux articles 33 et 34 du RGPD.

8. Vos droits

Conformément aux articles 15 à 22 du RGPD et aux articles 49 et suivants de la loi Informatique et Libertés, vous disposez des droits suivants :

• droit d'accès à vos données ;
• droit de rectification des données inexactes ou incomplètes ;
• droit à l'effacement (« droit à l'oubli »), sous réserve de nos obligations légales de conservation ;
• droit à la limitation du traitement ;
• droit à la portabilité (export structuré, lisible par machine) ;
• droit d'opposition au traitement, notamment à des fins de prospection ;
• droit de retirer votre consentement à tout moment lorsqu'il en constitue la base ;
• droit de définir des directives relatives au sort de vos données après votre décès (art. 85 LIL).

Exercer vos droits

Adressez votre demande à dpo@dronmi.fr ou par courrier à : SAS Krystale Communication — DPO, 52 zone artisanale Galmot, 97300 Cayenne. Une copie de pièce d'identité peut être demandée en cas de doute légitime sur l'identité du demandeur. Nous répondons dans un délai d'un mois (extensible à trois mois en cas de complexité).

Réclamation auprès de la CNIL

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 https://www.cnil.fr

9. Cookies et traceurs

Le site utilise des cookies et traceurs classés en plusieurs catégories :

• Cookies strictement nécessaires : session, sécurité, panier de réservation. Exemptés de consentement.
• Cookies de mesure d'audience anonymisée : déposés en mode conforme à l'exemption CNIL (IP tronquée, pas de croisement).
• Cookies de partenaires : éventuels traceurs publicitaires ou réseaux sociaux. Soumis à consentement préalable via le bandeau cookies.

Vous pouvez à tout moment modifier vos choix via le lien « Gérer mes cookies » présent en pied de page. Le refus n'empêche pas l'accès aux fonctionnalités essentielles du site.

10. Décisions automatisées (article 22 RGPD)

Analyse IA des pièces de badge

Lorsqu'un Propriétaire soumet une demande de badge « Vérifié » ou « Label », les pièces justificatives qu'il fournit sont analysées par un système d'intelligence artificielle (Mistral AI, modèles hébergés en Union européenne) afin de :

• vérifier le type et la conformité du document (pièce d'identité, Kbis, attestation RC pro, déclaration en mairie, attestation de label) ;
• extraire les dates d'échéance le cas échéant, pour pouvoir relancer le Propriétaire avant expiration.

Logique appliquée : un score de confiance global est calculé. Si toutes les pièces sont jugées conformes avec une confiance ≥ 0,85, le badge peut être accordé automatiquement. Dans tous les autres cas (doute, document non reconnu, attestation jugée non conforme), la décision est systématiquement portée à l'arbitrage d'un humain de notre équipe avant toute conclusion.

Vos droits : conformément à l'article 22 du RGPD, vous pouvez à tout moment :

• demander une revue humaine de toute décision (en répondant à l'email de notification ou en écrivant à dpo@dronmi.fr) ;
• contester la décision et obtenir des explications sur la logique appliquée ;
• fournir des éléments complémentaires.

Données traitées : les pièces transitent uniquement par les serveurs Mistral AI (hébergement UE — Paris / Francfort), ne sont pas réutilisées pour entraîner les modèles, et restent soumises à notre durée de conservation (durée du badge + 1 an, cf. §6).

Autres traitements

Les fonctionnalités de classement éditorial, de recommandation, et d'anti-fraude sont soumises à supervision humaine et n'entrent pas dans le champ de l'article 22.

11. Modifications

La présente politique peut être mise à jour pour refléter des évolutions légales, techniques ou fonctionnelles. La version applicable est celle publiée à la date de la consultation. Les utilisateurs inscrits sont notifiés en cas de modification substantielle.

12. Contact

Pour toute question relative à cette politique :

• email : dpo@dronmi.fr
• courrier : SAS Krystale Communication — DPO, 52 zone artisanale Galmot, 97300 Cayenne.