Confidentialité et RGPD

Document en cours de finalisation avant l'ouverture.

Qui est responsable de vos données

Le site et le service myumrahvisa sont édités par NAF Consulting. Pour les passeports qu'une agence nous confie, l'agence est responsable du traitement et NAF Consulting agit comme sous-traitant : nous traitons ces données uniquement sur ses instructions, pour obtenir les visas qu'elle demande (RGPD, article 28).

Pour un particulier qui commande ses visas, et pour nos propres finalités (comptes, facturation, sécurité), NAF Consulting est responsable du traitement.

Les données traitées, et pourquoi

Selon votre situation, nous traitons :

• Voyageurs : les informations du passeport (noms, prénoms, sexe, date et pays de naissance, nationalité, numéro, dates de délivrance et d'expiration), l'image du passeport et la photo, l'état civil, la profession et l'adresse de résidence, les dates, vols et hébergements du voyage, le lien d'un mineur avec l'adulte qui l'accompagne, et le visa délivré. Selon la demande s'y ajoutent un justificatif de résidence et, pour un visa Omra demandé par une agence, les noms en arabe, le lieu de naissance et un justificatif de vaccination. Finalité : préparer et déposer la demande de visa, puis remettre le visa.
• Comptes : l'adresse e-mail ou le numéro WhatsApp, l'empreinte du mot de passe, la langue choisie et, si vous l'utilisez, le compte Apple, Google ou Microsoft relié. Pour un particulier, son nom et son pays. Pour une agence, sa raison sociale, son pays et, pour la vérifier, son adresse, son téléphone, ses numéros d'immatriculation et de licence, le nom et la fonction de son représentant, et ses pièces justificatives. Finalité : ouvrir et protéger le compte, vérifier l'agence.
• Sécurité et preuve : le journal d'audit (qui a fait quoi, et quand), les journaux techniques du service, l'acceptation des conditions et la signature de chaque ordre de traitement. Finalité : protéger le service et garder la preuve de ce qui a été fait.
• Visite du site : le cookie du pays et la mesure d'audience, décrits plus bas.

Combien de temps nous les gardons

Les durées appliquées aujourd'hui par le service :

• Fichiers d'un voyageur (passeport, photo, dossier, visa) : effacés 30 jours après la date de retour du voyage ; le fichier est supprimé du stockage et sa clé détruite.
• Informations d'identité d'un voyageur gardées dans la base de données : effacées à la même échéance, ou 30 jours après la remise du dossier final si elle est plus tardive ; sans date de retour, un an après l'ajout du voyageur, plus 30 jours. Reste une preuve de traitement, sans contenu : dates, statut, nationalité et empreinte de chaque fichier.
• Pièces de vérification d'une agence : 5 ans après leur dépôt ; une pièce remplacée ou retirée avant l'envoi de la vérification est effacée sous 24 heures.
• Journaux techniques du service : 14 jours.
• Cookie du pays, sur le site : 30 jours.

Où sont vos données

Les données et les fichiers de l'application sont hébergés par Supabase en Irlande (région eu-west-1), dans l'Union européenne ; les serveurs de l'application tournent chez Vercel, dans sa région de Dublin. Le site public est hébergé par Vercel Inc., société établie aux États-Unis.

Les données d'une demande de visa sont transmises au portail officiel saoudien : c'est inhérent à la demande.

Nos sous-traitants

Chacun intervient pour une tâche précise :

• Vercel Inc. (États-Unis) : hébergement du site public, fonctionnement de l'application dans sa région de Dublin, mesure d'audience et de vitesse du site.
• Supabase : base de données et stockage des fichiers chiffrés, en Irlande (région eu-west-1).
• Brevo (Sendinblue SAS, France) : envoi des e-mails du service, dont les codes de connexion, et réception des formulaires du site.
• Google (Google Cloud Vision) : lecture du texte des passeports, et repérage du visage pour recadrer la photo.

Si vous choisissez de vous connecter avec Apple, Google ou Microsoft, ce service confirme votre identité ; nous recevons de lui votre adresse e-mail et un identifiant de compte.

Cookies et mesure d'audience

Le site dépose un seul cookie, « mv_cc » : il ne contient que le code du pays d'où vous visitez, sert à afficher le prix des agences dans votre devise, et est gardé 30 jours.

Le site mesure sa fréquentation avec Vercel Web Analytics et la vitesse de ses pages avec Vercel Speed Insights. Selon la documentation de Vercel, Web Analytics n'utilise pas de cookie tiers : un visiteur est reconnu, le temps d'une visite, par une empreinte calculée à partir de la requête et effacée après 24 heures. Les données sont anonymes, ne permettent pas de suivre un visiteur d'un site à l'autre et ne nous parviennent que sous forme de statistiques agrégées : page vue, page de provenance, pays, système, navigateur, type d'appareil et, pour Speed Insights, mesures de vitesse de la page.

L'application dépose seulement les cookies nécessaires à son fonctionnement : la session de connexion, qui disparaît à la fermeture du navigateur (et que nous fermons après 30 minutes sans activité ou 12 heures) ; des cookies temporaires, de quelques minutes à deux heures, pendant la connexion ou l'inscription ; la langue choisie (un an) ; l'espace, agence ou particulier, par lequel vous vous connectez (six mois). Aucun cookie publicitaire.

Formulaire « Être prévenu de l'ouverture » (particuliers)

Nous recueillons votre adresse e-mail, et si vous les donnez votre prénom, votre nationalité, le type de demande et la langue de la page, pour une seule finalité : vous écrire à l'ouverture des demandes. Base légale : votre consentement, donné en cochant la case, dont nous gardons la version et la date. Durée de conservation : jusqu'à l'ouverture des demandes, puis 12 mois au plus.

Formulaire « Être contacté » (agences)

Nous recueillons le nom de l'agence, son pays, le nom de la personne à contacter, son adresse e-mail et son numéro de téléphone ou WhatsApp, le volume approximatif de passeports, le mode qui l'intéresse et son message, pour répondre à la demande et présenter le service. Base légale : les mesures précontractuelles prises à la demande de l'agence ; pour les nouvelles du service, le consentement donné par la case séparée. Durée de conservation : 3 ans sans contact de la part de l'agence.

Brevo, notre sous-traitant pour ces envois

Ces informations sont enregistrées chez Brevo (Sendinblue SAS, France), qui envoie aussi les e-mails de confirmation et de réponse, et qui agit sur nos instructions comme sous-traitant. Elles ne sont pas enregistrées sur le site lui-même, ni vendues, ni partagées avec d'autres sociétés.

Se désinscrire, faire effacer ses informations

Chaque e-mail contient un lien de désinscription. Pour faire corriger ou effacer vos informations, écrivez à l'adresse de contact indiquée sur la page Contact : nous supprimons le contact chez Brevo et vous le confirmons par écrit.

Vos droits, et comment les exercer

Vous pouvez demander :

• l'accès à vos données, et une copie (article 15 du RGPD) ;
• la rectification d'une donnée inexacte (article 16) ;
• l'effacement de vos données (article 17) ;
• la limitation du traitement (article 18) ;
• la portabilité des données que vous nous avez fournies (article 20) ;
• l'opposition à un traitement (article 21).

Pour exercer un droit, écrivez à contact@myumrahvisa.com, avec « Données personnelles » en objet. Nous répondons dans un délai d'un mois (RGPD, article 12).

Dans votre espace, vous pouvez déjà corriger les informations que vous avez saisies, tant que la demande n'est pas envoyée ; une information lue sur le passeport est corrigée par notre équipe, à votre demande.

Vous êtes voyageur d'une agence

Votre agence est responsable du traitement de vos données : adressez-lui vos demandes, elle doit y répondre dans un délai d'un mois. En tant que sous-traitant, nous l'aidons à y répondre (RGPD, article 28).

Incident de sécurité

Si une violation de données personnelles se produit, nous appliquons le RGPD : nous prévenons sans retard injustifié l'agence dont les données sont touchées, qui la notifie à la CNIL dans les 72 heures ; pour les données dont nous sommes responsables, nous la notifions nous-mêmes à la CNIL dans les 72 heures quand la loi l'exige, et nous prévenons les personnes concernées si le risque pour elles est élevé (articles 33 et 34). Les mesures de protection sont détaillées dans la page sécurité et protection des données.

Réclamation

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la CNIL, l'autorité française de protection des données (cnil.fr), ou de l'autorité de protection des données de votre pays de résidence dans l'Union européenne (RGPD, article 77).