Protection des données — LGPD, RGPD et lois des États-Unis

1. Qui traite vos données

Le service Lounge Secreto est exploité par ALAS TECHNOLOGY LLC (EIN 93-3927200), société constituée aux États-Unis d'Amérique, qui agit en tant que responsable du traitement des données personnelles traitées sur cette plateforme — c'est-à-dire celle qui décide des finalités et des moyens du traitement. Pour les questions de confidentialité, y compris l'exercice de tout droit décrit sur cette page, le canal officiel est notre assistance, qui transmet la demande au délégué à la protection des données.

2. Quelles lois vous sont applicables

Cette page s'applique à tous nos utilisateurs, mais vos droits concrets dépendent de l'endroit où vous vous trouvez. Si vous êtes au Brésil, la Loi générale sur la protection des données (Loi nº 13.709/2018) s'applique. Si vous êtes dans l'Espace économique européen, au Royaume-Uni ou en Suisse, le Règlement général sur la protection des données (RGPD) et les normes locales équivalentes s'appliquent, car nous proposons le service à des personnes concernées dans ces régions. Si vous résidez aux États-Unis, les lois d'États sur la confidentialité des consommateurs s'appliquent, parmi lesquelles celle de la Californie (CCPA, modifiée par la CPRA). En cas de conflit, nous appliquons toujours la règle la plus protectrice pour la personne concernée.

3. Quelles données nous traitons et à quelles fins

Nous traitons des données d'inscription — nom, e-mail, téléphone, date de naissance, pièce d'identité et pays ; des données nécessaires à l'émission et à l'activation du Pass — adresse, données du titulaire auprès de l'opérateur du programme et le résultat de la vérification d'identité ; des données de paiement — montant, devise et identifiants de la transaction, sans que le numéro complet de la carte du client soit conservé par nous ; des données d'assistance — messages envoyés via l'assistance, un formulaire ou l'assistant ; et des données techniques — adresse IP, identifiant du navigateur, pages consultées et origine de l'accès. Chaque catégorie n'est utilisée que pour la finalité qui la justifie : exécuter le contrat, vérifier l'identité, traiter le paiement, prévenir la fraude, fournir une assistance et, lorsque vous y consentez, mesurer et améliorer les campagnes.

4. Données sensibles : nous n'en collectons pas

Nous ne collectons pas de données personnelles sensibles — origine raciale ou ethnique, conviction religieuse, opinion politique, appartenance syndicale, données relatives à la santé ou à la vie sexuelle, données génétiques ou biométriques. La vérification d'identité exigée pour l'émission de la carte liée au Pass est réalisée par un partenaire spécialisé, qui agit en tant que sous-traitant ; nous recevons de lui le résultat de la vérification et les données d'inscription nécessaires, et non le matériel biométrique. Nous ne demandons pas non plus et ne conservons pas les identifiants de comptes Priority Pass™ préexistants.

5. Sur quelle base légale nous traitons

L'exécution du contrat justifie le traitement des données d'inscription, d'émission du Pass et de paiement — sans elles, le service ne peut pas être fourni. Le respect d'une obligation légale et réglementaire justifie la conservation des registres financiers et fiscaux. L'intérêt légitime justifie la prévention de la fraude, la sécurité de la plateforme et l'amélioration du service, toujours mis en balance avec vos droits et libertés. Le consentement, libre et révocable à tout moment, justifie les cookies non essentiels, la mesure des campagnes publicitaires et les communications de marketing. En vertu de la LGPD, ces hypothèses correspondent à l'art. 7 ; en vertu du RGPD, à l'art. 6.

6. Assistant doté d'intelligence artificielle

Nous proposons un assistant qui répond aux questions sur le service. Ce que vous y écrivez est enregistré pour assurer la continuité de l'assistance et est envoyé, avec l'historique récent de la conversation, à un prestataire d'infrastructure d'intelligence artificielle qui génère la réponse — toujours depuis nos serveurs, jamais depuis votre navigateur. Le contenu des conversations est anonymisé après 90 jours. L'assistant ne prend pas de décisions automatisées produisant des effets juridiques ou vous affectant de manière significative : lorsque le sujet est sensible — prix, remboursement, conditions contractuelles — ou lorsqu'il n'existe pas de base documentaire suffisante, il n'improvise pas et transmet l'assistance à une personne. La base de connaissances qui alimente l'assistant est partagée entre les utilisateurs et, pour cette raison, rejette automatiquement l'inclusion de données de cas individuels. Nous vous demandons néanmoins de ne pas saisir dans l'assistant des données qui ne sont pas nécessaires, telles qu'un numéro de carte, un mot de passe ou une pièce d'identité.

7. Cookies, pixels et suivi

Nous utilisons des cookies strictement nécessaires pour vous authentifier, mémoriser la langue et protéger le site contre les abus — ceux-ci ne dépendent pas du consentement, car sans eux le service ne fonctionne pas. Les cookies et pixels d'analyse et de marketing ne sont activés que si vous y consentez dans la bannière, et le consentement peut être retiré à tout moment, avec la même facilité qu'il a été donné. Nous enregistrons la date, la version de l'avis et le choix effectué, à titre de preuve auditable. Le détail de chaque cookie figure dans la Politique de cookies.

Politique de cookies

8. Avec qui nous partageons

Nous ne vendons pas de données personnelles. Nous partageons le strict nécessaire avec des sous-traitants qui exécutent une partie du service en notre nom et sous contrat : prestataires de paiement, partenaire de vérification d'identité, émetteur de la carte liée au Pass, l'opérateur du programme de salons VIP, prestataires d'hébergement et d'infrastructure, prestataire d'envoi d'e-mails transactionnels, prestataire de surveillance des erreurs et, lorsque vous y consentez, plateformes publicitaires. Certains partenaires sont identifiés par catégorie, et non par nom, car ils impliquent une information commerciale sensible ; l'identification précise est fournie à la personne concernée qui exerce son droit d'accès.

9. Transferts internationaux

Le responsable du traitement a son siège aux États-Unis et une partie de notre infrastructure et de nos sous-traitants se trouve en dehors du Brésil et de l'Espace économique européen, de sorte que vos données peuvent être transférées et traitées dans d'autres pays. Nous réalisons ces transferts sur la base de garanties contractuelles qui imposent au destinataire des obligations de confidentialité et de sécurité compatibles avec la législation applicable, et nous limitons le transfert au strict nécessaire pour la finalité. En vertu de la LGPD, cela correspond à l'art. 33 ; en vertu du RGPD, au chapitre V.

10. Combien de temps nous conservons

Nous conservons chaque donnée uniquement tant qu'elle est nécessaire. Les registres financiers et fiscaux — achats, paiements, remboursements et mouvements — sont conservés pendant au moins 5 ans, par obligation légale, et ne peuvent pas être supprimés sur demande. Le contenu des conversations avec l'assistant est anonymisé après 90 jours. Les registres techniques et de télémétrie sont supprimés après environ 18 mois. Les registres de consentement sont conservés tant qu'ils sont nécessaires à titre de preuve. Les données d'inscription sont conservées pendant toute la durée de la relation, puis pendant le délai nécessaire à la défense de droits.

11. Suppression du compte : ce que nous effaçons et ce qui subsiste

Vous pouvez demander la suppression de votre compte à tout moment. La demande porte exclusivement sur les données relevant de notre responsabilité sur Lounge Secreto — elle n'affecte pas le compte que vous détenez auprès de l'opérateur du programme de salons VIP, régi par ses propres conditions et qui doit être clôturé directement auprès de lui. Lors du traitement de la demande, nous supprimons ou anonymisons vos données d'inscription et d'assistance et nous effaçons les sessions, les liens de connexion et les registres de navigation. Subsistent, par obligation légale ou par intérêt légitime déclaré : les registres financiers pendant un délai minimal de 5 ans ; le registre du consentement, à titre de preuve ; le registre d'audit des actions administratives ; et, dans les cas avérés de fraude, d'abus ou de défaut de paiement, les identifiants strictement nécessaires pour empêcher la recréation du compte. Une fois la suppression effectuée, le compte ne peut pas être restauré.

12. Vos droits

Où que vous soyez, vous pouvez savoir si nous traitons des données vous concernant et y accéder ; obtenir une copie dans un format lisible par machine ; corriger des données incomplètes ou obsolètes ; demander leur suppression, dans les limites de la section précédente ; retirer votre consentement ; vous opposer aux traitements fondés sur l'intérêt légitime ; et être informé des personnes avec lesquelles nous partageons vos données. Vous ne ferez jamais l'objet d'un traitement discriminatoire du fait d'exercer l'un de ces droits.

13. Si vous êtes au Brésil (LGPD)

La LGPD garantit, à l'art. 18, les droits de confirmation de l'existence d'un traitement ; d'accès ; de correction des données incomplètes, inexactes ou obsolètes ; d'anonymisation, de blocage ou de suppression des données inutiles, excessives ou traitées de manière non conforme ; de portabilité vers un autre fournisseur ; de suppression des données traitées sur la base du consentement ; d'information sur les entités avec lesquelles nous partageons vos données ; d'information sur la possibilité de ne pas consentir et sur les conséquences de ce refus ; et de révocation du consentement. Vous pouvez également saisir directement l'Autorité nationale de protection des données.

14. Si vous êtes dans l'Union européenne, au Royaume-Uni ou en Suisse (RGPD)

Le RGPD garantit les droits d'accès (art. 15), de rectification (art. 16), d'effacement (art. 17), de limitation du traitement (art. 18), de portabilité (art. 20) et d'opposition (art. 21), ainsi que le droit de ne pas faire l'objet d'une décision exclusivement automatisée produisant des effets significatifs (art. 22) — que, comme expliqué ci-dessus, nous ne mettons pas en œuvre. Vous pouvez retirer votre consentement à tout moment, sans préjudice de la licéité du traitement effectué avant le retrait, et vous avez le droit d'introduire une réclamation auprès de l'autorité de contrôle de votre pays.

15. Si vous êtes aux États-Unis (CCPA/CPRA et lois d'État)

Vous avez le droit de savoir quelles catégories d'informations personnelles nous collectons, d'où elles proviennent, à quoi elles servent et avec qui elles sont partagées ; d'en obtenir une copie ; d'en demander la correction ; et d'en demander la suppression, sous réserve des exceptions légales. Nous ne vendons pas d'informations personnelles contre de l'argent. Le partage avec des plateformes publicitaires à des fins de publicité ciblée peut être qualifié de partage au sens de la CPRA et, pour cette raison, n'a lieu que si vous avez accepté la catégorie marketing dans la bannière — refuser ou retirer ce consentement équivaut à exercer votre droit de refus. Nous n'utilisons pas d'informations personnelles sensibles pour déduire des caractéristiques, et nous n'exerçons aucune discrimination à l'égard de ceux qui exercent leurs droits.

16. Comment exercer vos droits

Vous pouvez obtenir une copie de vos données et demander la suppression du compte depuis l'espace connecté, et vous désinscrire des communications de marketing via le lien de désinscription présent dans tous nos e-mails ou via la page de désinscription. Pour toute autre demande — y compris la correction, l'opposition ou l'information sur le partage — contactez notre assistance, qui la transmet au délégué. Nous pouvons demander des informations supplémentaires pour confirmer votre identité avant de répondre, précisément afin de ne pas communiquer de données à une personne qui n'est pas la personne concernée. Nous répondons sous 15 jours pour les demandes relevant de la LGPD ; sous 1 mois pour les demandes relevant du RGPD, prorogeable de 2 mois supplémentaires dans les cas complexes, avec avis préalable ; et sous 45 jours pour les demandes relevant de la législation des États-Unis, prorogeable de 45 jours supplémentaires.

page de désinscriptionassistance

17. Enfants et adolescents

Le service est destiné aux personnes majeures de plus de 18 ans et ne s'adresse pas aux enfants ni aux adolescents. Nous ne collectons pas intentionnellement de données de mineurs. Si nous constatons qu'une inscription a été effectuée par un mineur, ou si un responsable légal nous en informe, nous supprimons les données et clôturons le compte.

18. Sécurité de l'information

Nous adoptons des mesures techniques et organisationnelles proportionnées au risque : chiffrement des données sensibles au repos, mots de passe conservés uniquement sous forme de dérivation cryptographique, trafic protégé par TLS, contrôle d'accès par profil avec registre d'audit des actions administratives, limitation des tentatives, protection anti-automatisation et surveillance des erreurs. Nos contrôles suivent les normes internationales ISO/IEC 27001, de gestion de la sécurité de l'information, et ISO/IEC 27701, de gestion de la protection de la vie privée. Aucun système n'est infaillible, c'est pourquoi nous maintenons également un plan de réponse aux incidents.

19. Incidents de sécurité

En cas d'incident de sécurité susceptible d'entraîner un risque ou un dommage important pour les personnes concernées, nous informons l'autorité compétente et les personnes concernées affectées, en décrivant la nature de l'incident, les données concernées, les mesures adoptées et les recommandations appropriées. En vertu du RGPD, la notification à l'autorité de contrôle est effectuée sans retard injustifié et, dans la mesure du possible, dans un délai de 72 heures.

20. Modifications de cette page

Nous pouvons mettre à jour cette page afin de refléter des changements dans le service, la technologie ou la législation. Lorsque la modification est importante, nous en informons par nos canaux et, lorsque cela est exigé, nous demandons un nouveau consentement. La date de la dernière mise à jour est indiquée en haut de cette page.