Politique de confidentialité

Badal Umrah est un service exclusivement en ligne, exploité depuis Stockholm, en Suède. Nous organisons l’accomplissement d’une Omra — ou, lorsqu’il a été réservé, d’un Hajj Badal — à La Mecque au nom d’une personne que vous désignez, et nous vous remettons la preuve de son accomplissement sous forme numérique. Nous sommes le responsable du traitement des données personnelles décrites dans la présente politique, ce qui signifie que nous décidons pourquoi et comment elles sont traitées.

Nous n’avons pas désigné de délégué à la protection des données, car nous n’y sommes pas tenus. Les questions relatives à la vie privée sont traitées directement par les personnes qui gèrent le service, et vous pouvez les joindre par e-mail ou par courrier aux coordonnées indiquées ci-dessous.

La présente politique couvre les données personnelles que nous traitons par l’intermédiaire de notre site web, de notre parcours de réservation et de paiement, des comptes clients, de nos échanges par e-mail et par messagerie, de notre formulaire de candidature pour les partenaires, ainsi que de la remise des photographies, vidéos et certificats d’accomplissement. Elle s’applique quel que soit votre lieu de résidence. Si vous vous trouvez dans l’Union européenne, dans l’Espace économique européen, au Royaume-Uni ou en Suisse, les sections faisant référence au RGPD s’appliquent à vous. Si vous vous trouvez aux États-Unis, veuillez également lire ci-dessous la section consacrée aux droits en matière de vie privée aux États-Unis.

Nous ne collectons que ce dont nous avons besoin pour accepter votre réservation, fournir le service, prouver qu’il a été fourni et respecter nos obligations légales. Selon la manière dont vous utilisez le site, cela peut inclure :

• Coordonnées du client — votre nom, votre adresse e-mail et, si vous choisissez de le communiquer, votre numéro de téléphone ou WhatsApp, ainsi que les messages que vous nous envoyez.
• Informations sur le bénéficiaire — le nom de la personne au nom de laquelle la Omra ou le Hajj est accompli, sa situation (par exemple décédée, âgée ou gravement malade), votre lien avec elle, tout texte de du’a ou tout souhait particulier que vous rédigez, une photographie facultative et toute date que vous nous demandez de respecter.
• Informations de compte — votre adresse e-mail et un mot de passe stocké uniquement sous forme d’empreinte cryptographique salée, jamais sous une forme lisible, ainsi que les réservations liées à votre compte.
• Informations de commande et de paiement — la formule et les options que vous choisissez, votre devise d’affichage, le montant débité, la référence de réservation et le statut du paiement. Les numéros de carte, dates d’expiration et codes de sécurité sont saisis directement auprès de Stripe et ne parviennent jamais à nos serveurs.
• Médias livrés — les photographies, extraits vidéo et le certificat d’accomplissement réalisés pour votre réservation, ainsi que le lien de livraison privé qui vous permet de les consulter et de les télécharger.
• Données de candidature des partenaires — si vous postulez pour accomplir les rites pour notre compte, les documents d’identité, de résidence et de qualification que vous téléversez, ainsi que les informations figurant dans votre formulaire de candidature.
• Cookies essentiels et données techniques — un cookie de session pendant que vous êtes connecté, votre préférence de langue, votre préférence de devise d’affichage et les journaux standard du serveur (adresse IP, type de navigateur, heure de la requête), conservés à des fins de sécurité et de dépannage.
• Correspondance et historique d’assistance — les e-mails, messages du formulaire de contact et messages de chat que vous échangez avec nous, afin que nous puissions assurer un suivi adéquat de votre demande.

Une réservation Badal concerne, par nature, une personne autre que vous. Lorsque vous nous communiquez le nom d’un bénéficiaire, sa situation, votre lien avec lui, sa photographie ou une du’a, vous nous transmettez des données personnelles concernant un tiers. Vous confirmez être en droit de partager ces informations avec nous à cette fin et que, lorsque le bénéficiaire est vivant et en mesure de comprendre, il a connaissance de la réservation et y consent.

En vertu du RGPD, les informations concernant une personne décédée ne constituent pas des données personnelles de cette personne. Nous les traitons néanmoins avec la même confidentialité et les mêmes mesures de sécurité, par respect pour la famille et parce qu’elles sont normalement liées à vous, en tant que personne vivante. L’information selon laquelle un bénéficiaire vivant désigné est malade ou infirme peut constituer une donnée de santé. Dans ce cas, nous nous fondons sur votre consentement explicite, donné lorsque vous soumettez la réservation, et nous ne l’utilisons que pour organiser et fournir le service que vous avez demandé.

Veuillez ne pas nous envoyer plus d’informations sur un bénéficiaire que ce que demande le formulaire de réservation. En particulier, ne nous envoyez ni dossiers médicaux, ni documents d’identité officiels, ni documents financiers concernant le bénéficiaire — nous n’en avons pas besoin et nous supprimerons tout document de ce type qui nous parviendrait.

Lorsque le RGPD s’applique, nous nous fondons sur les bases légales suivantes :

• Exécution d’un contrat, article 6, paragraphe 1, point b) — pour accepter et confirmer votre réservation, encaisser le paiement, organiser et accomplir la Omra ou le Hajj, vous remettre vos photographies, vidéos et certificat, et gérer les annulations et les remboursements.
• Respect d’une obligation légale, article 6, paragraphe 1, point c) — pour tenir notre comptabilité conformément à la loi suédoise sur la comptabilité (bokföringslagen) et satisfaire aux exigences fiscales, à celles du droit de la consommation et à celles de la lutte contre la fraude.
• Intérêts légitimes, article 6, paragraphe 1, point f) — pour assurer la sécurité du site web et des comptes, prévenir la fraude et les abus, répondre aux demandes d’assistance, évaluer les candidatures des partenaires et conserver une trace de ce que nous avons livré en cas de litige ou de rétrofacturation. Nous mettons ces intérêts en balance avec vos droits et n’y donnons suite que lorsque les vôtres ne prévalent pas.
• Consentement, article 6, paragraphe 1, point a) — et article 9, paragraphe 2, point a), pour les informations relatives à la santé — pour une photographie facultative du bénéficiaire, pour l’information selon laquelle un bénéficiaire vivant est malade, pour toute utilisation publique de médias liés à votre réservation et pour notre lettre d’information. Vous pouvez retirer votre consentement à tout moment ; ce retrait n’affecte pas le traitement effectué avant celui-ci.
• Nous ne nous fondons ni sur la sauvegarde des intérêts vitaux ni sur l’exécution d’une mission d’intérêt public, et nous ne procédons à aucune prise de décision automatisée ni à aucun profilage produisant des effets juridiques ou des effets similaires significatifs à votre égard.

Nous utilisons vos données personnelles aux fins suivantes, et à aucune autre :

• Accepter, confirmer et gérer votre réservation, y compris les confirmations et les mises à jour de statut.
• Encaisser les paiements et émettre les reçus, les remboursements et, le cas échéant, les factures.
• Transmettre les instructions au pèlerin mandataire à La Mecque afin que l’acte soit accompli pour le bon bénéficiaire, avec la bonne intention et avec votre du’a.
• Réaliser et vous remettre vos photographies, vidéos et certificat d’accomplissement.
• Répondre à vos questions et traiter les réclamations, les annulations et les remboursements.
• Tenir notre comptabilité, respecter nos obligations légales et protéger le service contre la fraude et les abus.

Nous n’utilisons pas vos données personnelles à des fins de publicité comportementale, nous ne constituons pas de profils marketing à votre sujet et nous ne vendons ni ne louons vos données à qui que ce soit.

Les paiements sont traités par Stripe. Lorsque vous payez, les données de votre carte ou de votre portefeuille électronique sont saisies dans un champ ou une page de paiement hébergés par Stripe et transmises directement à Stripe. Nous ne voyons, ne stockons et ne traitons jamais votre numéro de carte complet, sa date d’expiration ni son code de sécurité. Stripe est certifié PCI-DSS de niveau 1, le plus haut niveau de certification de sécurité des cartes de paiement.

Stripe ne nous transmet que ce dont nous avons besoin pour gérer la réservation : si le paiement a abouti, le montant et la devise, la marque et les quatre derniers chiffres de la carte, ainsi qu’une référence de paiement. Stripe traite également certaines de vos données en tant que responsable du traitement indépendant, à ses propres fins de prévention de la fraude et de conformité réglementaire, conformément à sa propre politique de confidentialité, que nous vous invitons à lire.

Les médias que nous réalisons pour votre réservation sont stockés sur notre infrastructure d’hébergement et mis à votre disposition au moyen d’un lien de livraison privé contenant un jeton long et impossible à deviner. Toute personne disposant de ce lien peut consulter les fichiers ; ne le partagez donc qu’avec les personnes à qui vous souhaitez les montrer.

Nous ne publions jamais de médias liés à une réservation identifiable — par exemple dans la galerie de notre site web ou sur les réseaux sociaux — sauf si vous nous avez donné un consentement distinct et spécifique pour cet usage précis. Vous pouvez retirer ce consentement à tout moment, et nous retirerons alors ces contenus de nos propres canaux dès que cela sera raisonnablement possible.

Si vous postulez pour nous rejoindre en tant que pèlerin mandataire, nous traitons votre formulaire de candidature et les documents que vous téléversez afin de vérifier votre identité, votre statut de résident en Arabie saoudite et votre qualification religieuse pour accomplir le Badal. L’accès à ces documents est réservé aux personnes chargées d’évaluer les candidatures. Nous conservons les candidatures non retenues pendant douze mois au maximum, afin de pouvoir réexaminer votre profil si la situation évolue, puis nous les supprimons. Vous pouvez à tout moment nous demander de supprimer votre candidature plus tôt.

Nous n’utilisons que des cookies strictement nécessaires au fonctionnement du site. Nous n’utilisons ni cookies publicitaires, ni cookies de reciblage, ni cookies de suivi intersites, et nous n’intégrons aucun outil d’analyse tiers qui vous profilerait d’un site à l’autre.

• Un cookie de session, déposé uniquement lorsque vous vous connectez, qui vous maintient connecté à votre compte.
• Un cookie de préférence de langue, afin que le site s’ouvre dans la langue que vous avez choisie.
• Un cookie de préférence de devise d’affichage, afin que les prix s’affichent dans la devise que vous avez choisie.

Ces cookies étant strictement nécessaires à la fourniture d’un service que vous avez demandé, ils ne requièrent pas de consentement au titre des règles européennes ePrivacy ; c’est pourquoi nous n’affichons pas de bannière de cookies. Vous pouvez toutefois bloquer ou supprimer les cookies dans les paramètres de votre navigateur, mais le site risque alors de ne plus pouvoir vous maintenir connecté ni mémoriser votre langue et votre devise.

Nous ne partageons des données personnelles qu’avec les prestataires dont nous avons besoin pour faire fonctionner le service. Chacun d’eux agit en tant que sous-traitant pour notre compte en vertu d’un accord écrit de traitement des données, ne peut utiliser les données que sur nos instructions documentées et ne peut pas les utiliser à ses propres fins :

• Stripe — traitement des paiements, prévention de la fraude, remboursements et gestion des rétrofacturations.
• Notre fournisseur de messagerie et de service SMTP — envoi des confirmations de réservation, des mises à jour de statut et des liens de livraison.
• Notre hébergeur et fournisseur de stockage — fonctionnement du site web, de la base de données et des fichiers multimédias.
• Nos pèlerins mandataires et nos coordinateurs à La Mecque — ils reçoivent le nom du bénéficiaire, sa situation, votre lien avec lui ainsi que votre du’a ou vos souhaits particuliers, et rien de plus, afin que l’acte puisse être accompli correctement pour la bonne personne.
• Nos conseillers professionnels — comptables et, si nécessaire, avocats, tous tenus à une obligation de confidentialité.

Nous pouvons également divulguer des données lorsque la loi, un tribunal ou une autorité compétente l’exige, ou lorsque cette divulgation est nécessaire à la constatation, à l’exercice ou à la défense d’un droit en justice. Si notre activité devait un jour être cédée à un autre propriétaire, les données personnelles pourraient être transférées avec elle ; nous vous en informerions avant que cela ne se produise et le nouveau propriétaire serait lié par la présente politique.

Nous ne vendons pas de données personnelles, nous ne les louons pas et nous ne les partageons pas à des fins de publicité comportementale intercontextuelle.

Nous sommes établis en Suède et conservons nos données essentielles au sein de l’Espace économique européen (EEE). Deux transferts hors de l’EEE sont inhérents à ce service. Premièrement, les informations sur le bénéficiaire nécessaires à l’accomplissement de l’acte sont transférées à nos pèlerins mandataires et coordinateurs dans le Royaume d’Arabie saoudite, un pays que la Commission européenne n’a pas reconnu comme assurant un niveau adéquat de protection des données. Deuxièmement, certains de nos prestataires, dont Stripe, peuvent traiter des données aux États-Unis.

Pour ces transferts, nous nous appuyons sur les clauses contractuelles types de la Commission européenne, complétées le cas échéant par des mesures techniques et organisationnelles supplémentaires, telles qu’une stricte minimisation des données, le chiffrement en transit, des contrôles d’accès et des engagements de confidentialité. Lorsqu’un transfert vers l’Arabie saoudite est strictement nécessaire à l’exécution du contrat que vous nous avez demandé d’exécuter, nous pouvons en outre nous fonder sur l’article 49, paragraphe 1, point b), du RGPD. Vous pouvez nous demander une copie des garanties que nous utilisons en écrivant à l’adresse figurant à la fin de la présente politique.

Nous ne conservons les données personnelles que le temps nécessaire, puis nous les supprimons ou les anonymisons de manière irréversible :

• Registres de réservation et de paiement — sept ans à compter de la fin de l’exercice comptable au cours duquel la réservation a été effectuée, comme l’exige la législation comptable suédoise.
• Informations sur le bénéficiaire et texte de la du’a — conservés avec la réservation pendant l’organisation et la fourniture du service, puis réduits à ce qu’exige la pièce comptable.
• Photographies, vidéos et certificats livrés — conservés et accessibles via votre lien de livraison pendant vingt-quatre mois, sauf si vous nous demandez de les supprimer plus tôt ou de les conserver plus longtemps.
• Données de compte — tant que votre compte reste ouvert. Si vous le fermez, nous supprimons le compte et ne conservons que ce qu’exige la pièce comptable.
• Correspondance d’assistance — jusqu’à vingt-quatre mois après la clôture du dossier. Candidatures de partenaires non retenues — jusqu’à douze mois. Journaux de sécurité du serveur — jusqu’à douze mois.

Nous chiffrons tout le trafic à destination et en provenance du site (HTTPS), ne stockons les mots de passe que sous forme d’empreintes salées, limitons l’accès aux données de réservation et aux médias aux personnes qui en ont réellement besoin, protégeons les liens de livraison par de longs jetons aléatoires et maintenons nos systèmes à jour. Aucun service en ligne ne peut promettre une sécurité parfaite, mais si une violation de données personnelles susceptible d’engendrer un risque pour vos droits et libertés se produit, nous en informerons l’autorité de contrôle suédoise dans un délai de 72 heures et vous en informerons directement dans les meilleurs délais lorsque la loi l’exige.

Si le RGPD vous est applicable, vous disposez des droits suivants sur vos données personnelles :

• Accès — savoir si nous traitons des données vous concernant et en recevoir une copie, accompagnée d’informations sur la manière dont nous les utilisons et les raisons pour lesquelles nous le faisons.
• Rectification — faire corriger les données inexactes et compléter les données incomplètes.
• Effacement — faire supprimer vos données lorsque nous n’avons plus de motif licite de les conserver. Ce droit ne s’étend pas aux données que la loi nous oblige à conserver, telles que les documents comptables.
• Limitation — faire suspendre le traitement pendant l’examen d’une opposition ou le temps qu’une question d’exactitude soit résolue.
• Portabilité — recevoir les données que vous nous avez fournies dans un format structuré, couramment utilisé et lisible par machine, et les faire transmettre à un autre responsable du traitement lorsque cela est techniquement possible.
• Opposition — vous opposer à tout moment au traitement fondé sur nos intérêts légitimes, et vous opposer sans condition à la prospection commerciale.
• Retrait du consentement — retirer à tout moment tout consentement que vous nous avez donné, sans que cela n’affecte la licéité du traitement effectué avant ce retrait.

Pour exercer l’un de ces droits, écrivez-nous à :

Nous répondons dans un délai d’un mois à compter de la réception de votre demande. Avant d’y donner suite, nous pouvons vous demander des informations nous permettant de confirmer votre identité, afin de ne pas divulguer vos données à une autre personne. L’exercice de vos droits est gratuit, sauf si une demande est manifestement infondée ou excessive.

Si vous estimez que nous avons traité vos données de manière illicite, vous pouvez introduire une réclamation auprès de l’Autorité suédoise de protection de la vie privée — Integritetsskyddsmyndigheten (IMY), Box 8114, 104 20 Stockholm, Suède, imy@imy.se — ou auprès de l’autorité de contrôle du pays de l’UE ou de l’EEE où vous résidez, où vous travaillez ou où la violation alléguée a eu lieu.

Si vous résidez aux États-Unis, la présente section s’applique en complément du reste de cette politique. Elle est rédigée en fonction du California Consumer Privacy Act, tel que modifié par le California Privacy Rights Act (CCPA/CPRA), et nous étendons volontairement les mêmes droits aux résidents de tous les États américains, que l’État concerné ait ou non adopté sa propre loi générale sur la protection de la vie privée.

• Droit de savoir — vous pouvez nous demander quelles catégories et quels éléments précis d’informations personnelles nous avons collectés à votre sujet, les sources auprès desquelles nous les avons collectés, la finalité commerciale de cette collecte et les catégories de tiers auxquels nous les avons communiqués.
• Droit à la suppression — vous pouvez nous demander de supprimer les informations personnelles que nous avons collectées auprès de vous, sous réserve des exceptions prévues par la loi, telles que les informations que nous devons conserver pour mener à bien une transaction que vous avez demandée ou pour respecter une obligation légale.
• Droit de rectification — vous pouvez nous demander de corriger les informations personnelles inexactes que nous détenons à votre sujet.
• Droit de refuser la vente ou le partage — vous pouvez demander à une entreprise de ne pas vendre vos informations personnelles et de ne pas les partager à des fins de publicité comportementale intercontextuelle.
• Droit de limiter l’utilisation des informations personnelles sensibles — vous pouvez demander à une entreprise de limiter l’utilisation et la divulgation de vos informations personnelles sensibles à ce qui est nécessaire pour fournir le service que vous avez demandé.
• Droit à la non-discrimination — nous ne vous refuserons jamais le service, ne vous facturerons jamais un prix différent et ne vous fournirons jamais un service de moindre qualité parce que vous avez exercé un droit relatif à la vie privée.

Nous ne vendons pas d’informations personnelles et nous n’en avons pas vendu au cours des douze derniers mois. Nous ne partageons pas d’informations personnelles à des fins de publicité comportementale intercontextuelle. Nous n’utilisons ni ne divulguons d’informations personnelles sensibles à d’autres fins que la fourniture du service que vous avez demandé. Pour ces raisons, nous n’affichons pas de lien « Do Not Sell or Share My Personal Information » (Ne pas vendre ni partager mes informations personnelles) — il n’y a rien à refuser.

Pour formuler une demande, envoyez-nous un e-mail à l’adresse indiquée à la fin de la présente politique avec l’objet « US privacy request ». Nous accusons réception dans un délai de dix jours ouvrables et répondons dans un délai de quarante-cinq jours calendaires, délai que nous pouvons prolonger de quarante-cinq jours supplémentaires lorsque cela est raisonnablement nécessaire, auquel cas nous vous en informons. Vous pouvez faire appel à un agent autorisé ; nous lui demanderons une preuve de son habilitation et pourrons vous demander de vérifier votre propre identité directement auprès de nous.

Nous ne collectons, ne vendons ni ne partageons sciemment les informations personnelles d’enfants de moins de seize ans. Notre service est destiné aux adultes. Si vous pensez qu’un enfant nous a communiqué des informations personnelles, contactez-nous et nous les supprimerons rapidement.

Avis lors de la collecte : les catégories d’informations personnelles que nous collectons sont présentées ci-dessus dans la section consacrée aux données personnelles que nous collectons ; les finalités sont présentées dans la section expliquant comment nous les utilisons ; les catégories de destinataires sont présentées dans la section relative au partage ; et nos durées de conservation sont présentées dans la section indiquant combien de temps nous conservons les données. Nous collectons ces informations directement auprès de vous lorsque vous utilisez le site, réservez un service ou nous contactez.

Nous pouvons mettre à jour cette politique à mesure que notre service, nos prestataires ou la loi évoluent. La version en vigueur est toujours publiée sur cette page, avec la date de la dernière mise à jour indiquée en haut. Si une modification affecte de manière significative la façon dont nous utilisons vos données personnelles, nous vous en informerons par e-mail ou par un avis clair sur le site avant son entrée en vigueur.

Si vous avez une question sur cette politique, si vous souhaitez exercer un droit ou si vous n’êtes pas satisfait de la manière dont nous avons traité vos données, veuillez d’abord nous contacter — nous aimerions avoir la possibilité d’y remédier.