Politique de confidentialité

En bref

• FlyDown ne traite que les données nécessaires à son fonctionnement : votre compte, vos alertes et, si vous les activez, les notifications.
• Pas de publicité, pas de profilage, pas de statistiques de tiers, aucune donnée vendue à qui que ce soit. Nous enregistrons la manière dont FlyDown est utilisé (pages consultées, boutons actionnés) uniquement pour l’améliorer, sans cookies et sans adresse IP.
• Les données sont hébergées sur un serveur virtuel d’OVHcloud au Royaume-Uni, un pays dont l’Union européenne reconnaît qu’il protège les données de manière adéquate ; le site est accessible via Cloudflare, qui le protège et le rend rapide. Les polices, cartes et photos proviennent de notre serveur : votre navigateur ne contacte aucun autre service pendant que vous utilisez FlyDown.
• Depuis votre profil, vous pouvez télécharger toutes vos données et supprimer votre compte à tout moment.

1. Qui est le responsable du traitement

Le responsable du traitement est Domenico Pasquale, Via Pola 18B, 75012 Bernalda (MT), Italia (N° TVA IT01391390778), qui exploite FlyDown. Pour toute question concernant vos données, écrivez à privacy@getflydown.com.

FlyDown n’a pas désigné de délégué à la protection des données (DPO) : pour un service de cette taille, ce n’est pas obligatoire.

2. Quelles données nous traitons

Pour gérer les problèmes de remise des emails, nous conservons le destinataire, l’identifiant de l’email envoyé, le code de réponse du serveur, l’état et les dates des tentatives. Les rapports retournés à [email protected] sont lus automatiquement en lecture seule : leur contenu et leurs pièces jointes ne sont pas copiés dans la base de données. Les événements d’échec sont conservés 90 jours ; l’état actuel jusqu’à confirmation de réception, résolution du problème ou suppression du compte. Ces données figurent dans ton export. L’objectif est de gérer les communications demandées et d’éviter des envois répétés aux boîtes inaccessibles (art. 6.1.b RGPD).

Compte

Adresse e-mail, nom (facultatif), forfait choisi, date d’inscription et de dernière connexion, version et date d’acceptation des conditions d’utilisation. Le mot de passe n’est jamais enregistré : nous ne conservons qu’une empreinte irréversible (PBKDF2-SHA256), à partir de laquelle le mot de passe ne peut pas être retrouvé.

Utilisation du service

Les alertes que vous créez (aéroports, destinations, pays, dates, budget, nombre de passagers, compagnies, paramètres pour visiter plusieurs villes), les destinations que vous excluez, les préférences de notification (y compris le fuseau horaire de votre appareil), les offres trouvées pour vos alertes, les vols que vous choisissez de suivre (trajet, dates et prix de référence pour les alertes ; ils sont supprimés lorsque vous arrêtez de les suivre ou après le départ) et, si vous demandez à être prévenu, les forfaits payants pour lesquels vous êtes sur liste d’attente. Nous enregistrons aussi le jour où vous avez utilisé FlyDown pour la dernière fois.

Demande d’invitation

Si vous demandez une invitation sans avoir de compte, nous conservons uniquement votre adresse e-mail, la date et le canal par lequel vous êtes arrivé, afin de vous écrire lorsqu’une place se libère. Base juridique : votre consentement, que vous pouvez retirer à tout moment en nous écrivant. Nous supprimons cette adresse après vous avoir invité ou, au plus tard, après 12 mois.

E-mails de nouveautés et d’offres (uniquement si vous le choisissez)

Si vous cochez la case lors de l’inscription ou activez l’option dans le profil, nous utilisons votre adresse e-mail pour vous écrire de temps à autre au sujet des nouveautés et des offres de FlyDown, par exemple à l’arrivée des nouveaux forfaits. Nous conservons la date du consentement. Base juridique : votre consentement, que vous pouvez retirer à tout moment depuis le profil ou en nous écrivant. Si vous êtes sur liste d’attente pour un forfait, nous vous écrivons uniquement au sujet de ce forfait.

E-mails automatiques : confirmation de l’adresse, connexion et mot de passe

Lors de votre inscription, nous vous envoyons un e-mail de bienvenue contenant un lien pour confirmer votre adresse (valable 7 jours) ; nous enregistrons la date de la confirmation. Si vous vous êtes inscrit avec votre seule adresse e-mail, ou si vous choisissez de vous connecter sans mot de passe, nous vous envoyons un lien de connexion, à usage unique et valable 30 minutes. Si vous demandez à réinitialiser votre mot de passe, nous vous envoyons un lien à usage unique valable 60 minutes. Certains e-mails contiennent des boutons qui font une action d’un simple geste (se connecter, élargir une alerte) : ils sont valables 30 jours au maximum et une seule fois. De tous ces liens, nous ne conservons qu’une empreinte irréversible, supprimée après leur expiration. Base juridique : l’exécution du service.

Pour les e-mails de service que nous vous envoyons (alertes de vols, bienvenue, conseils), nous conservons pendant 90 jours le destinataire, l’objet, le texte et le résultat de l’envoi : cela permet de vérifier ce qui est réellement parti quand quelque chose n’arrive pas. Au bout de 90 jours, ces données s’effacent d’elles-mêmes ; si vous supprimez votre compte, immédiatement. Base juridique : notre intérêt légitime à faire fonctionner le service et à vous répondre.

Pour reprendre une confirmation après une erreur, nous conservons la demande d’envoi, avec l’adresse, la langue, les données du modèle et le résultat des tentatives, pendant 7 jours au maximum. La demande figure dans l’export de vos données et est supprimée avec votre compte. La file ne conserve pas le code du lien en clair.

Inviter un ami

Chaque compte dispose d’un lien personnel pour inviter d’autres personnes. Si vous vous inscrivez via le lien de quelqu’un, nous enregistrons dans votre compte qui vous a invité, afin de lui attribuer l’alerte supplémentaire prévue lorsque vous créez votre première alerte. La personne qui vous a invité voit seulement combien d’amis se sont inscrits via son lien, jamais qui ils sont. Base juridique : l’exécution du service. Le lien est effacé dès que l’un des deux comptes est supprimé.

Telegram (uniquement si vous le connectez)

Si vous connectez le bot FlyDown sur Telegram, nous conservons l’identifiant de votre conversation et la date de la connexion, pour vous y envoyer vos messages d’alerte et vous répondre. Les messages transitent par Telegram (Telegram Messenger Inc.), qui les traite conformément à sa propre politique de confidentialité et peut se trouver en dehors de l’Union européenne. Vous le déconnectez quand vous voulez depuis le profil, ou en bloquant le bot. Base juridique : l’exécution du service que vous avez demandé.

Chat « Aide »

Si vous écrivez à Sir Flappy, le chat d’aide, nous conservons vos messages et nos réponses, la page depuis laquelle vous écrivez, la langue et, si vous n’avez pas de compte, l’adresse e-mail que vous nous laissez pour vous répondre. C’est une personne qui vous répond : les messages parviennent au responsable du traitement sur Telegram. Si vous n’avez pas de compte, le navigateur conserve un code aléatoire pour retrouver la conversation. Base juridique : répondre à votre demande (art. 6, par. 1, point b), du RGPD). Les conversations sont supprimées 12 mois après le dernier message, ou immédiatement si vous supprimez le compte, et sont incluses dans « Télécharger mes données ».

Session

Lorsque vous vous connectez, le navigateur reçoit un cookie technique contenant un code de session. Sur le serveur, nous n’en conservons que l’empreinte, avec la date d’expiration et l’indication du navigateur utilisé (user agent), afin que vous puissiez reconnaître les sessions dans vos données exportées.

Notifications push (uniquement si vous les activez)

Votre navigateur nous fournit une adresse d’envoi auprès de son service de notifications et les clés publiques permettant de chiffrer les messages. Nous conservons également le type de navigateur et la date du dernier envoi réussi.

Données techniques

Le serveur web et le journal du service enregistrent, pour chaque requête, l’adresse IP, la date et l’heure, la page demandée et le navigateur. Ces données servent à protéger le service contre les abus et les pannes. Les tentatives de connexion, d’inscription et de récupération du mot de passe sont comptées par adresse IP uniquement en mémoire, pendant quelques heures, pour bloquer ceux qui se trompent trop souvent, créent des comptes en série ou envoient trop de requêtes.

Statistiques d’utilisation

Pour mesurer l’attente, nous conservons aussi pendant 90 jours l’instant où le serveur reçoit du navigateur le signal de la première offre visible pour une nouvelle surveillance. Cette mesure est liée à la surveillance, incluse dans l’exportation de vos données et supprimée avec la surveillance. Elle n’est pas recueillie si le navigateur envoie Global Privacy Control.

Pour comprendre ce qui fonctionne et ce qui ne fonctionne pas, nous enregistrons les interactions avec FlyDown : pages consultées, clics sur les liens et les boutons (le nom du bouton, jamais ce que vous saisissez), clics sur « Réserver » avec la compagnie et la liaison, et les actions relatives au compte (inscription, connexion, alerte créée, modifiée ou supprimée, liste d’attente, notifications). Pour chaque action, nous enregistrons la date et l’heure, la page, la langue de la page et du navigateur, le type d’appareil (téléphone, ordinateur, application), le pays (deux lettres, par exemple « IT »), le canal par lequel vous êtes arrivé (par exemple « instagram ») et le domaine du site qui vous a conduit ici. Nous notons aussi s’il y a eu au moins un geste sur la page (faire défiler, toucher, utiliser la souris ou le clavier), oui ou non : cela évite de compter comme des personnes les programmes automatiques qui lisent les pages.

Pour les statistiques, nous n’enregistrons ni l’adresse IP, ni l’adresse e-mail, ni le texte saisi, nous n’utilisons pas de cookies et nous n’enregistrons aucun identifiant dans votre navigateur. Pour savoir combien de personnes nous rendent visite, et pas seulement combien de pages sont ouvertes, nous calculons un code à partir de votre adresse IP et de votre navigateur, mêlés à un nombre aléatoire qui change chaque jour : le code ne permet pas de retrouver l’adresse, l’adresse n’est enregistrée nulle part et demain le même visiteur aura un code différent, nous ne pouvons donc pas vous suivre d’un jour à l’autre. Le pays est déduit par Cloudflare, qui nous achemine le site, à partir de l’adresse IP de votre connexion et nous est transmis avec la requête : nous n’en conservons que les deux lettres, pas l’adresse. Le canal d’arrivée est transmis d’une page à l’autre par les liens. Si vous êtes connecté, l’action est liée à votre compte. Si le navigateur envoie le signal Global Privacy Control, nous n’enregistrons pas les interactions de la page.

Seul le responsable du traitement a accès à ces données. Nous montrons tout au plus aux compagnies aériennes des chiffres agrégés (par exemple le nombre de clics sur « Réserver » reçus par une compagnie), jamais des données se rapportant à une personne. Base juridique : intérêt légitime à améliorer le service et à en mesurer l’utilisation (art. 6, par. 1, point f), du RGPD) ; vous pouvez vous y opposer en nous écrivant. Vos actions enregistrées sont incluses dans « Télécharger mes données ».

Paiements (uniquement si vous achetez Plus)

Si vous achetez Plus, le paiement se fait sur Stripe (Stripe Payments Europe, Ltd., Irlande). Stripe reçoit votre adresse e-mail et les données de carte que vous saisissez et les traite selon sa propre politique de confidentialité (stripe.com/fr/privacy). FlyDown ne voit ni ne conserve les données de carte : il garde seulement les identifiants du client et de l’abonnement chez Stripe, les montants, les dates des périodes payées et les résultats des paiements (réussis, échoués, remboursés, contestés).

Ce que nous ne traitons pas

Données de carte (seul Stripe les traite, si vous achetez Plus), localisation, contacts, données sensibles. Nous ne créons pas de profils à des fins publicitaires et ne prenons pas de décisions automatisées produisant des effets juridiques à votre égard : les alertes suivent uniquement les règles que vous définissez.

3. Pourquoi nous les traitons et sur quelle base

L’adresse e-mail et le mot de passe sont nécessaires pour avoir un compte ; sans eux, FlyDown ne peut pas être utilisé. Le nom est facultatif. Les notifications sont toujours facultatives et se désactivent depuis le profil ou dans les paramètres du navigateur.

4. Où se trouvent les données et qui y a accès

• Serveur : un serveur privé virtuel (VPS) fourni par OVHcloud dans son centre de données d’Erith, au Royaume-Uni. La Commission européenne a adopté une décision d’adéquation pour le Royaume-Uni : les données y sont protégées comme dans l’Union européenne, sans autre garantie nécessaire. OVHcloud héberge le serveur en tant que sous-traitant et n’utilise pas les données à d’autres fins.
• Cloudflare : le site est accessible via Cloudflare, Inc. (États-Unis), qui le protège contre les attaques et les abus et le rend plus rapide. Lorsque les requêtes transitent, Cloudflare voit l’adresse IP, le navigateur et la page demandée, en qualité de sous-traitant conformément à son propre accord de traitement des données ; le transfert est couvert par l’EU-US Data Privacy Framework et par les clauses contractuelles types de la Commission européenne.
• Stripe : si vous achetez Plus, Stripe Payments Europe, Ltd. (Irlande), avec des sociétés du groupe également aux États-Unis, encaisse le paiement et gère le portail client pour la carte, les factures et la résiliation. Il reçoit votre e-mail et vos données de paiement. Les transferts hors de l’Espace économique européen se font avec les garanties prévues par Stripe.
• Sauvegardes : chaque nuit, une copie de la base de données, vérifiée et conservée 14 jours sur le même serveur ; une seconde copie, également conservée 14 jours, se trouve chez Oracle Cloud Infrastructure à Milan (Union européenne), qui la garde en tant que sous-traitant.
• Telegram (uniquement si vous connectez le bot ou écrivez dans le chat « Aide ») : les messages d’alerte que vous demandez sur Telegram, et les messages du chat qui parviennent au responsable du traitement, transitent par Telegram Messenger Inc., qui peut se trouver en dehors de l’Union européenne et les traite conformément à sa propre politique de confidentialité.
• Services de notification du navigateur (uniquement si vous activez les notifications) : le message transite par le service de votre navigateur, par exemple Google (Chrome, Android), Apple (Safari, iPhone), Mozilla (Firefox) ou Microsoft (Edge). Le contenu circule chiffré et le service ne peut pas le lire ; il ne voit que l’adresse d’envoi. Ces services peuvent se trouver en dehors de l’Union européenne : les transferts s’effectuent avec les garanties prévues par le RGPD, telles que l’EU-US Data Privacy Framework ou les clauses contractuelles types de la Commission européenne.
• E-mail : si vous écrivez à FlyDown, votre e-mail est traité par le fournisseur de la boîte de messagerie du responsable du traitement. La boîte de messagerie et l’envoi des e-mails automatiques (bienvenue et confirmation de l’adresse, liens pour le mot de passe et, si vous les avez choisis, nouveautés et offres) sont confiés à Hostinger International Ltd. (Chypre, Union européenne), qui agit en qualité de sous-traitant.

Personne d’autre ne reçoit vos données. Nous ne les vendons pas et ne les cédons pas à des fins publicitaires.

Liens vers les compagnies aériennes et FlixBus. Lorsque vous cliquez ou appuyez sur « Réserver » ou sur un trajet en bus, vous ouvrez le site de cette société, qui traite les données conformément à sa propre politique de confidentialité. Le lien contient uniquement le trajet, les dates et le nombre de passagers, pas vos données. Le bouton « Réserver » de certaines compagnies (aujourd’hui Vueling) et les liens vers les services à destination sont des liens d’affiliation : ils contiennent un code identifiant FlyDown, jamais vous. Les services à destination portent la mention « lien affilié ». Le partenaire peut utiliser ses propres cookies après que vous avez ouvert son site ; voir Comment FlyDown est financé.

5. Pendant combien de temps

6. Vos droits

À tout moment, vous pouvez demander à accéder à vos données, à les rectifier, à les effacer, à en limiter le traitement, à les recevoir dans un format lisible par machine (portabilité) et à vous opposer aux traitements fondés sur l’intérêt légitime (art. 15 à 21 du RGPD).

• Vous-même, immédiatement : dans votre profil, vous trouvez « Télécharger mes données », qui génère un fichier contenant tout ce que FlyDown conserve à votre sujet, et « Supprimer le compte ».
• Par e-mail : écrivez à privacy@getflydown.com. Nous répondons dans un délai de 30 jours.
• Réclamation : si vous estimez que vos données ne sont pas traitées correctement, vous pouvez vous adresser au Garante per la protezione dei dati personali (l’autorité italienne de protection des données, garanteprivacy.it) ou à l’autorité du pays dans lequel vous vivez.

7. Sécurité

Les mots de passe, les codes de session et les liens envoyés par e-mail ne sont conservés que sous forme d’empreintes irréversibles, les cookies sont protégés contre l’accès par des scripts, les tentatives de connexion répétées avec un mot de passe erroné sont bloquées et les messages des notifications circulent chiffrés. Aucun système n’est sûr à 100 % : en cas de violation de données vous concernant, nous vous en informerons conformément au RGPD.

8. Mineurs

FlyDown est réservé aux personnes majeures. Si nous constatons qu’un compte appartient à un mineur, nous le supprimons.

9. Modifications

Si FlyDown modifie la manière dont il traite les données, par exemple en ajoutant des paiements ou de nouveaux fournisseurs, la présente politique est mise à jour avant le changement, avec la nouvelle date en haut. Les modifications importantes vous sont signalées dans l’application.