Politique de confidentialité

1. Qui traite vos données

Le responsable du traitement est Golden Sardines, Lda, personne morale n° 514133180, dont le siège est situé Rua Ramalho Ortigão, 8200-604 Albufeira, Portugal, qui exploite la marque Algarve Moments (RNAAT 1319/2016 · RNAVT 9292).

Pour toute question liée à la confidentialité, y compris l'exercice de vos droits, le contact est info@algarvemoments.pt. Nous répondons en portugais ou en anglais.

Nous n'avons pas de délégué à la protection des données désigné : la loi ne l'exige que de ceux qui traitent des données à grande échelle, qui exercent une surveillance systématique des personnes ou qui traitent des données sensibles en grand volume, et ce n'est pas notre cas. C'est l'entreprise qui répond, à l'adresse ci-dessus.

2. Quelles données nous recueillons, pourquoi, et sur quelle base

Nous ne recueillons que ce dont nous avons besoin pour vous répondre et pour organiser votre expérience. Ce site compte quatre parcours différents, et les données changent avec le parcours — la page de chaque expérience indique toujours celui dont elle relève :

• Lorsque vous nous contactez ou demandez un devis — par formulaire, par e-mail, par téléphone ou par WhatsApp : votre nom, le contact que vous avez utilisé et ce que vous nous avez écrit, plus les dates et le nombre de personnes si vous nous en parlez. Nous les traitons pour vous répondre et préparer la proposition que vous avez demandée (démarches précontractuelles, article 6, paragraphe 1, point b) du RGPD). Dans la demande de transport s'ajoute votre consentement exprès — voir le point 3.
• Lorsque vous achetez sur ce site : votre nom, votre e-mail et votre téléphone — c'est à vous que la réservation est rattachée — et le NIF, votre numéro de contribuable, si vous demandez une facture à votre nom fiscal. Vous pouvez écrire le nom de chaque participant, mais ce n'est pas obligatoire : qui ne le fait pas se retrouve avec « Visiteur 1 », « Visiteur 2 », et la réservation se fait tout de même. Il y a une seule exception : dans les expériences de nage avec les dauphins, le parc exige la date de naissance, le sexe et le pays de chaque participant, à partir de 6 ans — c'est une règle de sécurité qui est la sienne, et sans ces données la réservation ne se fait pas. Nous traitons tout cela pour exécuter le contrat (article 6, paragraphe 1, point b) du RGPD) et, pour la partie facture, pour respecter la loi fiscale portugaise (article 6, paragraphe 1, point c) du RGPD). Le paiement est effectué par Stripe : nous savons que vous avez payé et combien, jamais le numéro de votre carte.
• Lorsque vous réservez dans le système d'un partenaire : certaines pages ouvrent le système de réservation de l'opérateur lui-même, et les données que vous y saisissez sont recueillies par cette plateforme, au titre de sa propre politique de confidentialité. Ce qui nous parvient, c'est la confirmation, avec votre nom et votre contact, pour que nous puissions suivre le service et vous aider si quelque chose se passe mal (exécution du contrat).
• Lorsque vous visitez le site : rien qui vous identifie. Nous n'avons pas de publicité, nous ne vous suivons pas et nous ne comptons pas les visites — depuis le 3 septembre 2026, il n'existe ici aucun outil de statistiques. Les cookies du site conservent des préférences qui sont les vôtres et restent sur cet appareil. Le détail de tout cela se trouve dans la Politique de cookies.

3. Les formulaires de ce site

La demande de transport envoie les données à un serveur qui est le nôtre, lequel les transmet par e-mail vers notre boîte de réception. Avant de l'envoyer, nous vous demandons une autorisation expresse dans une case qui naît vide — c'est votre consentement (article 6, paragraphe 1, point a) du RGPD) et vous pouvez le retirer à tout moment, en nous écrivant.

Nous recevons votre nom, votre e-mail, votre téléphone si vous l'indiquez, le trajet que vous avez choisi et ce que vous nous écrivez. Nous les utilisons pour vous répondre et organiser le transport, et ils restent dans notre boîte de réception — nous ne constituons pas de liste de contacts à des fins de marketing et nous ne vous envoyons pas de publicité. L'envoi de l'e-mail est assuré par Resend (voir le point 4).

Nous conservons encore, dans un registre interne, la forme de la demande : le trajet, la date, combien de personnes, quel véhicule, et si elle est venue avec un message. Sans votre nom, sans l'e-mail, sans le téléphone et sans ce que vous avez écrit. Cela sert à comprendre ce qu'on nous demande et où notre offre est en défaut, pas à vous parler — c'est un intérêt légitime qui est le nôtre (article 6, paragraphe 1, point f) du RGPD), et vous pouvez vous y opposer.

Les formulaires de contact, de groupes et d'agences continuent de fonctionner autrement : ils n'envoient rien à un serveur qui est le nôtre, ils ouvrent votre programme d'e-mail ou WhatsApp avec le message déjà écrit, pour que ce soit vous qui l'envoyiez. Là, vos données ne nous parviennent que lorsque vous appuyez sur « envoyer », et par le moyen que vous avez choisi.

Nous n'utilisons ni reCAPTCHA ni aucun autre système de tiers pour distinguer les personnes des robots. Les défenses de ce site fonctionnent sur notre propre serveur et ne partagent rien avec vous ni à votre sujet. Pour arrêter les envois en masse, le serveur conserve pendant dix minutes l'adresse d'où chaque envoi est parti — uniquement en mémoire, sans l'écrire dans un fichier ni dans une base de données, et au bout de ces minutes elle disparaît.

4. Avec qui nous partageons, et pourquoi

Nous ne vendons de données à personne et nous ne les cédons pas à des fins de marketing de tiers. Nous ne partageons que le nécessaire, et uniquement avec :

• L'opérateur qui réalise l'expérience que vous avez réservée — il a besoin de votre nom, de votre contact et du nombre de participants pour vous accueillir. Lorsque c'est lui qui émet le billet, il reçoit aussi les données de chaque participant que son système exige, par la liaison directe entre notre site et le sien. Chaque opérateur est responsable des données qu'il traite ; les opérateurs avec qui nous travaillons sont identifiés sur les pages des expériences.
• Pluralo et FareHarbor — les plateformes où certaines réservations sont faites. Lorsque vous réservez par l'une d'elles, les données que vous saisissez sont traitées aussi par cette plateforme, au titre de sa propre politique de confidentialité.
• Stripe — le traitement des paiements faits sur ce site. Nous ne recevons ni ne conservons le numéro de votre carte.
• Supabase — la base de données où sont conservés les achats et les demandes : votre nom, votre contact, le NIF si vous l'avez donné, et le détail de ce que vous avez acheté. C'est ce qui nous permet de rééditer un document, de répondre à une question des mois plus tard et de rendre compte d'une vente. Les serveurs se trouvent dans l'Union européenne.
• ZoneSoft — le logiciel de facturation certifié avec lequel nous émettons la facture. Il reçoit ce que la loi fiscale impose d'y faire figurer : votre nom et votre NIF, lorsque vous demandez une facture à votre nom fiscal.
• Resend — le service qui délivre nos e-mails. Il traite le message de votre demande de transport et les confirmations d'achat, pour qu'ils nous arrivent dans la boîte de réception et pour que les documents vous parviennent.
• Notre hébergeur web (Vercel), qui maintient le site en ligne et enregistre les requêtes techniques, y compris les adresses IP, pour la sécurité et le diagnostic. C'est tout ce que Vercel traite pour nous : son outil de statistiques a été désactivé le 3 septembre 2026.
• Les autorités publiques, lorsque la loi l'exige — par exemple l'Autoridade Tributária, l'administration fiscale portugaise, pour ce qui touche à la facturation, ou les autorités maritimes, quant aux listes de participants aux activités en mer.

5. Où sont les données, et transferts hors de l'Union européenne

Les achats et les demandes enregistrés sur ce site sont conservés dans une base de données hébergée dans l'Union européenne.

Certains des prestataires du point 4 sont des sociétés nord-américaines, ou traitent des données hors de l'Espace économique européen. Dans ces cas, le transfert repose sur les mécanismes prévus par le RGPD : la décision d'adéquation de la Commission européenne relative à l'EU-US Data Privacy Framework, lorsque le prestataire est certifié au titre de celle-ci, et les clauses contractuelles types approuvées par la Commission européenne dans les autres cas.

6. Pendant combien de temps nous conservons

• Messages et demandes de devis qui n'ont pas donné lieu à une réservation : jusqu'à 1 an, pour que nous puissions reprendre la conversation si vous nous recontactez.
• Achats et réservations : pendant la relation contractuelle et, après elle, pendant le délai où ils peuvent être nécessaires pour exercer ou défendre des droits.
• Documents de facturation : 10 ans, par obligation de la loi fiscale portugaise. C'est le délai qui l'emporte sur une demande d'effacement — la facture ne peut pas disparaître simplement parce que l'achat date d'il y a longtemps.
• Le registre de la forme des demandes, décrit au point 3 : il reste chez nous, parce qu'il n'identifie personne.
• Les journaux techniques de l'hébergement : des périodes courtes, définies par le prestataire, uniquement pour la sécurité et le diagnostic.

7. Vos droits

Vous pouvez nous demander l'accès à vos données, leur rectification, leur effacement, la limitation du traitement, la portabilité, et vous pouvez vous opposer aux traitements que nous fondons sur notre intérêt légitime. Lorsque le traitement repose sur votre consentement, vous pouvez le retirer à tout moment, sans que cela affecte ce qui a été fait auparavant.

Il suffit d'écrire à info@algarvemoments.pt. Nous répondons dans un délai d'un mois. Nous pouvons avoir besoin de confirmer votre identité avant d'agir sur une demande — c'est une protection pour vous, pas un obstacle.

Si vous estimez que nous n'avons pas traité l'affaire comme nous le devions, vous avez le droit d'introduire une réclamation auprès de la Comissão Nacional de Proteção de Dados (CNPD), l'autorité de contrôle portugaise : Av. D. Carlos I, 134 — 1.º, 1200-651 Lisboa, www.cnpd.pt.

8. Sécurité

Le site est servi entièrement par connexion chiffrée (HTTPS). La base de données des achats n'est accessible qu'à partir de notre serveur, avec une clé qui n'arrive jamais jusqu'à votre navigateur, et l'accès à l'information des clients est limité à qui en a besoin pour travailler.

Malgré tout, aucun système n'est infaillible : si une violation de données susceptible de vous faire courir un risque élevé survenait un jour, vous en serez informé, comme la loi l'exige.

9. Mineurs

Beaucoup de nos expériences accueillent des familles, et cela vaut donc la peine d'être exact. Pour les entrées de parc, nous ne recueillons pas de données d'enfants : la réservation reste au nom de l'adulte qui la fait, et écrire le nom de chaque participant est facultatif. La seule exception, ce sont les expériences de nage avec les dauphins, où le parc exige la date de naissance, le sexe et le pays de chaque participant à partir de 6 ans — des données que c'est vous qui nous donnez, en tant qu'adulte responsable, et qui servent uniquement au parc pour faire l'inscription et appliquer ses règles d'âge et de sécurité. Elles ne sont utilisées pour rien d'autre, et nous ne les vérifions pas : ce que vous nous indiquez est ce qui part au parc, et c'est le parc qui peut demander une pièce d'identité à l'entrée s'il a des doutes sur un âge.

Nous n'adressons pas de communications commerciales aux mineurs et nous ne recueillons pas de données directement auprès d'eux.

10. Modifications de cette politique

Quand cette politique change, la date en haut change avec elle. Les modifications importantes — comme le fait de nous mettre à conserver des données que nous ne conservons pas aujourd'hui — sont faites avant que le changement n'entre en fonctionnement, et non après.