Politique de confidentialité

Qui nous sommes

Sixto est exploité par [entité juridique Sixto, S.A.S.], NIT [NIT], établi à [adresse du siège social], Medellín, Colombie ("Sixto", "nous"). Nous développons des logiciels pour les exploitants de locations de courte durée et d’hôtels de charme, d’abord en Colombie.

Contact pour les questions de confidentialité : [email protected]. Vous pouvez aussi utiliser cette adresse pour exercer les droits décrits ci-dessous.

Nos rôles : responsable du traitement et sous-traitant

La personne qui décide de l’utilisation des données détermine le rôle de chacun. Nous distinguons donc deux situations.

• Sixto comme responsable du traitement (Responsable del Tratamiento) : pour les données relatives aux visiteurs de notre site, aux personnes qui nous contactent ou réservent une démonstration, ainsi qu’aux personnes qui détiennent ou administrent un compte Sixto (nom, adresse e-mail professionnelle, rôle, informations de facturation, utilisation de l’application).
• Sixto comme sous-traitant (Encargado del Tratamiento) : pour les données que nos clients (hôteliers et exploitants de locations) saisissent dans Sixto au sujet de leurs propres voyageurs, employés et activités, notamment les réservations, les coordonnées, les pièces d’identité destinées aux déclarations SIRE et TRA, les paiements et les messages. Le client est responsable du traitement de ces données et décide pourquoi et comment elles sont utilisées. Sixto les traite uniquement selon ses instructions documentées, dans le cadre de notre Avenant relatif au traitement des données.

Si vous êtes le voyageur d’un exploitant qui utilise Sixto, adressez-vous d’abord à cet exploitant au sujet de vos données. Si vous nous écrivez, nous lui transmettrons votre demande ou vous indiquerons qui contacter.

Données collectées

Sur le site : les informations que vous saisissez dans les formulaires « Réserver une démonstration » et « Contact » (nom, adresse e-mail, entreprise, numéro WhatsApp facultatif, taille et emplacement du portefeuille, outils utilisés, contenu que vous souhaitez voir, message, langue et page de provenance) ainsi que les paramètres de campagne du lien suivi (utm_source, utm_medium, utm_campaign). Notre prestataire d’hébergement et de sécurité reçoit aussi des données techniques de requête, telles que l’adresse IP et les caractéristiques du navigateur. La Notice relative aux cookies décrit ce qui reste dans votre navigateur. L’analyse des pages publiques du site utilise Umami Cloud sans cookies. Les mesures portent sur les pages vues, les sites d’origine, les campagnes, les informations générales sur l’appareil et la localisation, ainsi qu’un petit nombre d’actions sur le site (par exemple un clic sur un bouton, un changement de langue ou l’utilisation d’un outil gratuit). Le traceur ne fonctionne ni dans l’application ni sur les pages d’enregistrement des voyageurs, et nous ne lui envoyons ni le contenu des formulaires ni les dossiers des voyageurs. Votre navigateur contacte Umami directement. Par ailleurs, lorsqu’une personne termine son inscription dans l’application, notre serveur envoie à Umami un seul décompte anonyme « inscription terminée », sans nom, adresse e-mail ni données de compte ou d’organisation. Consultez la Notice relative aux cookies. Nous conservons dans le stockage local sixto-lead-journey un historique de navigation interne pendant 30 jours au plus : chemins des pages publiques, heures de visite, langue de la page et du navigateur, fuseau horaire du navigateur, premier site référent et première campagne. Nous excluons les pages privées de l’application, les chaînes de requête et fragments des URL ainsi que le contenu des formulaires. Lorsque vous transmettez vos coordonnées et acceptez d’être recontacté, cet historique est associé à votre fiche de prospect pour aider l’équipe Sixto à comprendre vos intérêts. Les visites ultérieures de pages publiques dans le même navigateur peuvent s’y ajouter pendant 30 jours au plus au moyen d’un jeton privé d’écriture. Le serveur conserve cet historique avec la fiche de prospect selon notre Politique de confidentialité. L’historique est limité aux 500 premières visites et aux 500 visites les plus récentes ; un stockage effacé ou indisponible peut créer des lacunes. Si un en-tête réseau indique un pays, nous le présentons comme une estimation non vérifiée, distincte de l’emplacement de votre établissement. Nous n’en déduisons pas la nationalité. Global Privacy Control ou Do Not Track empêche le partage de cet historique et efface le parcours local. Effacer les données du site supprime le jeton du navigateur et empêche ce navigateur d’ajouter des visites à la fiche de prospect existante.

Dans l’application, en tant que responsable du traitement : les informations du compte (nom, e-mail, rôle, langue), les événements de connexion et de sécurité, la facturation et l’abonnement (les données de carte sont traitées par Stripe ; nous ne conservons pas le numéro complet), les échanges avec l’assistance, les retours sur le produit, ainsi que les données d’utilisation et de diagnostic nécessaires pour exploiter, sécuriser et améliorer le service.

Dans l’application, en tant que sous-traitant pour nos clients : les données des voyageurs et des réservations (noms, coordonnées, nationalité, dates de voyage, préférences), les données et images de pièces d’identité lorsque l’exploitant les utilise pour SIRE, TRA ou l’enregistrement, les messages échangés avec les voyageurs, les paiements et factures, les informations d’accès des serrures connectées (les codes de porte sont masqués lors du traitement par l’IA), et les dossiers des membres de l’équipe. L’exploitant décide quelles données sont collectées.

Finalités et fondements juridiques

En tant que responsable du traitement, nous utilisons les données personnelles pour répondre à vos demandes et préparer des démonstrations (notre intérêt légitime et votre demande) ; créer et gérer votre compte et fournir le service (exécution du contrat) ; vous facturer et remplir nos obligations fiscales (contrat et obligation légale) ; sécuriser Sixto, prévenir les abus et résoudre les problèmes (intérêt légitime et obligation légale) ; et améliorer le produit au moyen de données d’utilisation agrégées ou limitées (intérêt légitime). Lorsque le droit colombien exige votre autorisation (Autorización), nous la demandons au préalable, de façon expresse et éclairée.

En tant que sous-traitant, nous utilisons les données du client uniquement pour lui fournir le service et suivre ses instructions. Nous ne vendons pas les données personnelles, ne les utilisons pas pour la publicité et n’entraînons pas de modèles d’IA avec les données des clients.

Si vous vous trouvez dans l’Union européenne ou au Royaume-Uni, les fondements juridiques ci-dessus correspondent à l’article 6 du RGPD (contrat, intérêts légitimes, obligation légale et consentement).

Traitement par l’IA et masquage

Certaines fonctionnalités de Sixto font appel à des fournisseurs d’IA, par exemple pour rédiger des réponses, classer des messages ou lire des documents. Les demandes leur parviennent par une passerelle Sixto qui masque d’abord les éléments sensibles, notamment les codes de porte, les secrets identifiés et les numéros de pièces d’identité. L’IA ne lit les pièces d’identité des voyageurs qu’après leur consentement explicite pendant l’enregistrement ; ni l’image ni le résultat de cette lecture ne sont journalisés ou stockés par la passerelle.

Nous n’utilisons pas les données des clients pour entraîner des modèles d’IA et imposons aux fournisseurs d’IA des conditions contractuelles qui l’interdisent. Les résultats de l’IA sont des suggestions : l’exploitant les examine avant tout envoi ou toute utilisation. Les clients peuvent connecter leur propre agent d’IA par des clés API ; celui-ci n’obtient que les autorisations accordées par le client.

Partage et sous-traitants ultérieurs

Nous ne partageons les données personnelles que dans la mesure nécessaire au fonctionnement de Sixto : avec les prestataires qui les traitent pour nous (hébergement, livraison des e-mails, IA, paiements, surveillance des erreurs et outils d’assistance), les intégrations choisies par le client (gestionnaires de canaux, systèmes de gestion hôtelière, serrures connectées et facturation électronique, par exemple), les autorités lorsque la loi l’exige, et dans le cadre d’une transmission d’entreprise, telle qu’une fusion, après vous en avoir informé.

Les sous-traitants ultérieurs sont liés par des accords écrits imposant la confidentialité, la sécurité et l’utilisation des données uniquement selon nos instructions. Les catégories figurent sur notre page Sous-traitants ultérieurs ; la liste nominative actuelle est disponible sur demande à [email protected].

Les membres de l’assistance ne peuvent accéder au compte d’un client qu’avec son consentement. L’accès est en lecture seule par défaut et consigné dans un journal d’audit.

Transferts internationaux

Sixto et certains de nos prestataires traitent les données hors de Colombie, notamment aux États-Unis. Nous transférons des données personnelles à l’étranger conformément au droit colombien, aux normes et garanties de la Superintendencia de Industria y Comercio (SIC), et, pour les données soumises au RGPD, à des garanties appropriées telles que les clauses contractuelles types. Nos prestataires doivent protéger les données au moins au niveau exigé en Colombie.

Conservation

Nous conservons les données uniquement pendant la durée nécessaire à leur finalité, puis les supprimons ou les anonymisons. Les formulaires du site sont conservés pendant nos échanges avec vous au sujet de Sixto et supprimés à votre demande ou lorsqu’ils ne sont plus utiles. Les dossiers de compte et de facturation sont conservés tant que le compte est actif, puis pendant la durée requise par la loi à des fins fiscales et comptables.

Les données de clients traitées pour le compte des exploitants sont conservées tant que leur compte est actif. Après la résiliation, elles restent exportables pendant 30 jours, puis sont supprimées des systèmes actifs et des sauvegardes au fur et à mesure de leur expiration. Les exploitants définissent leurs propres pratiques de conservation des données des voyageurs conformément à leurs obligations légales et peuvent supprimer des dossiers dans l’application.

Sécurité

Nous protégeons les données personnelles par le chiffrement en transit, une séparation stricte des comptes clients, des autorisations fondées sur les rôles, des journaux d’audit, un coffre pour les secrets des intégrations et un accès de l’assistance limité et soumis au consentement. Aucun système n’est parfaitement sûr. Si un incident de sécurité touche vos données personnelles, nous préviendrons sans retard injustifié les clients concernés et, lorsque la loi l’exige, les autorités. Consultez notre page Sécurité.

Vos droits en tant que Titular

Selon la Ley 1581 de 2012, vous avez le droit de :

• connaître (conocer) les données personnelles que nous détenons sur vous et leur utilisation ;
• les mettre à jour (actualizar) ;
• les rectifier (rectificar) si elles sont inexactes, incomplètes ou trompeuses ;
• demander la preuve de l’Autorización que vous avez donnée, sauf dispense prévue par la loi ;
• être informé de l’utilisation de vos données ;
• faire supprimer (suprimir) vos données et révoquer votre Autorización lorsque le traitement ne respecte pas la loi, sous réserve des obligations légales ou contractuelles de conservation ;
• accéder gratuitement à vos données ;
• déposer une plainte auprès de la Superintendencia de Industria y Comercio (SIC) après nous avoir d’abord saisis (Habeas Data).

Si le RGPD ou une loi similaire s’applique à vous, vous pouvez également demander une copie de vos données dans un format portable, vous opposer à certains traitements et en demander la limitation.

Pour exercer vos droits, écrivez à [email protected] depuis l’adresse e-mail liée à vos données en précisant votre demande. Nous pouvons vous demander de prouver votre identité. Si vous êtes le voyageur d’un exploitant, nous transmettrons votre demande à l’exploitant qui en est responsable.

Nous répondons aux demandes d’information (consultas) sous 10 jours ouvrables. Si nous avons besoin de plus de temps, nous indiquerons pourquoi et fixerons une nouvelle date, au plus 5 jours ouvrables supplémentaires. Nous répondons aux réclamations (reclamos) de mise à jour, rectification, suppression ou révocation sous 15 jours ouvrables, avec une seule prolongation possible de 8 jours ouvrables au plus, en en indiquant le motif. Si une réclamation est incomplète, nous vous demanderons de la compléter sous 5 jours.

Pour supprimer le compte que vous utilisez pour vous connecter à Sixto, ouvrez Supprimer votre compte. Nous envoyons un lien de confirmation par e-mail, et nous supprimons le compte 7 jours après votre confirmation, sauf si vous annulez avant. Nous supprimons votre nom, votre e-mail, votre mot de passe, la connexion avec Google et Apple, votre photo et vos préférences personnelles, nous mettons fin à vos sessions, révoquons vos connexions à l'application, agents connectés et clés d'API, et retirons votre accès à chaque organisation. Les enregistrements que vous avez créés pour une organisation, comme les tâches, commentaires, messages, réservations, factures, paiements, déclarations officielles, relevés d'heures et de paie, restent dans cette organisation sous le nom Utilisateur supprimé, aussi longtemps que l'organisation les conserve selon les lois qui s'appliquent à elle. Nous conservons la référence de la demande, ses dates et une entrée d'audit, sans votre e-mail, comme preuve de la suppression. Si vous êtes la seule personne dans une organisation, la suppression de votre compte ferme aussi cette organisation ; ses enregistrements sont conservés. Cela ne supprime pas les données des voyageurs qu'un exploitant conserve dans Sixto.

Enfants

Sixto est un outil professionnel et ne s’adresse pas aux enfants. Nous ne collectons pas sciemment leurs données sur le site ni pour nos propres besoins. Les exploitants peuvent devoir enregistrer les mineurs qui voyagent avec un adulte pour leurs déclarations légales. Ils agissent alors comme responsables du traitement, avec l’autorisation du parent ou représentant légal lorsque la loi l’exige ; nous traitons ces données uniquement pour leur compte.

Modifications de cette politique

Nous publierons toute modification ici et actualiserons la date d’entrée en vigueur. Pour les changements importants qui concernent les clients, nous les préviendrons par e-mail ou dans l’application avant leur entrée en vigueur.

Nous contacter

Questions, demandes ou réclamations concernant les données personnelles : [email protected]. Adresse postale : [entité juridique Sixto, S.A.S.], [adresse du siège social], Medellín, Colombie. Nous répondrons dans les délais indiqués ci-dessus. Vous pouvez également contacter à tout moment la Superintendencia de Industria y Comercio (www.sic.gov.co).

Démonstration avec présentateur virtuel

Si vous lancez la démonstration vidéo, Tavus et Daily traitent le son de votre microphone et les textes que vous partagez pour permettre la conversation. Si vous choisissez plutôt OpenAI Realtime, OpenAI traite le son de votre microphone et le texte de la conversation pour une session uniquement audio. Votre caméra reste désactivée avec les deux prestataires. Tavus peut conserver une transcription ; ne partagez ni documents de voyageurs, ni mots de passe, ni informations de paiement.

La case d’autorisation de contact est distincte du lancement de la conversation. Nous enregistrons le nom, l’adresse e-mail ou le numéro WhatsApp fournis à des fins de suivi uniquement si vous cochez la case et envoyez la fiche de contact. Vous pouvez retirer cette autorisation pendant la session. Les brouillons de session sont effacés à son expiration ; les demandes de contact sont soumises aux règles de conservation et aux droits décrits ici. Pour demander l’accès ou la suppression, contactez [email protected].