Politique de confidentialité — OmraOS

Dernière mise à jour : 26 septembre 2026.

La présente politique explique comment Julaybib Studio (« nous »), éditeur d'OmraOS, traite les données personnelles dans le cadre du Service.

1. Trois rôles distincts

Pour les données des comptes Agence (gérant, équipe, facturation, navigation), nous sommes responsable de traitement. C'est l'objet des sections 3 et suivantes.
Pour les données des Pèlerins saisies par les Agences dans leur outil de gestion, nous sommes sous-traitant : nous agissons sur instruction des Agences, qui en sont responsables. Ce traitement est régi par l'Accord de sous-traitance.
Pour les services que nous opérons en propre auprès des pèlerins — le questionnaire « Trouver mon agence » d'omraos.app et la plateforme d'avis vérifiés — nous sommes responsable de traitement (sections 4 et 5).

2. Responsable du traitement

Julaybib Studio, nom commercial de Ulrique Luap, entrepreneur individuel (micro-entreprise), SIRET 834 192 569 00020, siège : 5 place du Grand Martroy, 95300 Pontoise. Contact pour toute question relative aux données : omraos.app@gmail.com. Aucun délégué à la protection des données (DPO) n'est désigné à ce jour ; le responsable est joignable à l'adresse ci-dessus. (À réévaluer : un DPO peut devenir recommandé compte tenu du traitement de passeports et de données sensibles à grande échelle.)

3. Données que nous traitons (comptes Agence et visiteurs)

Catégorie	Exemples	Finalité	Base légale
Identification du compte	nom, email, mot de passe (haché)	créer et gérer le compte	exécution du contrat
Profil agence	nom commercial, logo, coordonnées, mentions légales, contrat type	fonctionnement du Service, documents générés	exécution du contrat
Équipe	emails et niveaux d'accès des membres invités, journal d'activité (actions horodatées, à des fins de traçabilité de l'agence)	gestion et traçabilité des accès	exécution du contrat / intérêt légitime
Abonnement et facturation	plan souscrit, période d'engagement, compteur d'inscriptions, surplus, transactions Stripe	facturation, comptabilité	exécution du contrat / obligation légale
Programme apporteur	lien de parrainage, agences amenées, compte de versement Stripe relié, registre des commissions et virements	versement des commissions d'apport	exécution du contrat
Contenu publié	informations du mini-site public et de l'annuaire (présentation, offres, photos)	publication voulue par l'Agence	exécution du contrat
Données techniques	logs, adresse IP, appareil, rapports d'erreurs	sécurité, prévention de la fraude, amélioration	intérêt légitime
Notifications	abonnements push (alertes SOS, demandes)	délivrer les alertes	consentement

Le mini-site public de l'Agence est, par nature, accessible à tous : les informations que l'Agence choisit d'y publier sont publiques tant qu'elle ne les retire pas.

Nous ne vendons jamais vos données.

4. Questionnaire « Trouver mon agence » (pèlerins visiteurs)

Lorsqu'un pèlerin décrit son projet de voyage sur omraos.app (période, ville de départ, composition du groupe, priorités, budget, prénom, WhatsApp et/ou email), nous traitons ces données en responsable de traitement, pour une seule finalité : le mettre en relation avec des agences vérifiées correspondant à son projet. Exprimer un projet d'Omra pouvant révéler la croyance religieuse (art. 9 RGPD), l'envoi du questionnaire vaut consentement explicite à ce traitement, rappelé au moment de l'envoi.

Destinataires : notre équipe, puis la ou les agences vérifiées susceptibles de correspondre au projet. Jamais d'agence non vérifiée, jamais de revente.
Durée : le projet est conservé 12 mois au plus après son dépôt, puis supprimé.
Droits : accès, rectification et suppression à tout moment sur simple demande à omraos.app@gmail.com.

5. Avis vérifiés (pèlerins auteurs)

Pour la plateforme d'avis (dépôt sur omraos.app/avis via un lien personnel, publication sur la page publique de l'agence concernée et sur omraos.app), nous sommes responsable de traitement :

Données publiées : prénom de l'auteur, note, texte de l'avis, période du voyage. Le nom complet, le dossier et les coordonnées ne sont jamais publiés.
Base légale : consentement (le dépôt de l'avis est volontaire) ; vérification du statut « vrai voyageur » fondée sur notre intérêt légitime à l'intégrité de la plateforme.
Conditions de publication : l'avis est publié sans validation de l'agence, qui ne peut ni le modifier ni le supprimer ; il demeure publié même si l'agence quitte le Service.
Durée : tant que l'avis est publié.
Droits de l'auteur : l'auteur peut demander à tout moment la rectification ou la suppression de son propre avis à omraos.app@gmail.com.

6. Données des Pèlerins traitées pour le compte des Agences (rappel)

Les données de Pèlerins (identité, passeport, date de naissance, nationalité, liens familiaux, photo d'identité, paiements, documents de voyage, besoin d'assistance éventuel, et le cas échéant géolocalisation lors d'une alerte SOS) sont traitées pour le compte des Agences. La participation à une Omra/Hajj pouvant révéler la croyance religieuse (donnée sensible, art. 9 RGPD), il revient à l'Agence d'en recueillir le consentement explicite. Voir l'Accord de sous-traitance et la mention d'information Pèlerins.

7. Destinataires et sous-traitants

Nous faisons appel à des prestataires techniques agissant sur nos instructions :

Prestataire	Rôle	Localisation
Supabase	base de données, authentification, stockage, fonctions serveur	Société américano-singapourienne ; données hébergées exclusivement en UE (Irlande, `eu-west-1`) ; transferts résiduels éventuels (support) encadrés par CCT
Vercel	hébergement de l'application	Société américaine ; déploiement en UE (Paris, `cdg1`), diffusion via CDN mondial ; transferts résiduels encadrés par CCT / DPF
Stripe	paiements des abonnements et facturation ; encaissement en ligne des paiements des pèlerins pour le compte des Agences via Stripe Connect (option activée par l'Agence) ; versement des commissions d'apporteur	UE (Stripe Payments Europe) + transferts encadrés
Anthropic (Claude)	lecture automatique des passeports (OCR) et assistants d'aide conversationnels	Hors UE (USA), transfert encadré par CCT
Resend	envoi d'emails transactionnels (relances, factures, contrats, invitations)	Hors UE (USA), transfert encadré par CCT
Services push navigateur (Google/Apple)	acheminement des notifications	Hors UE, selon le navigateur

Twilio (WhatsApp) : les rappels WhatsApp automatiques sont envoyés via le compte Twilio souscrit par l'Agence elle-même ; l'Agence est cliente directe de Twilio, et nous transmettons les messages sur son instruction avec ses identifiants, stockés de façon sécurisée. Twilio n'est donc pas notre sous-traitant, mais celui de l'Agence.

Concernant l'usage de l'intelligence artificielle : les contenus transmis à Anthropic via son API servent uniquement à produire la réponse demandée et ne sont pas utilisés par Anthropic pour entraîner ses modèles. Sont transmis, selon la fonction : l'image du passeport pour la lecture automatique (elle n'est conservée ni par nous ni par Anthropic au-delà de la réponse ; seuls les champs extraits sont enregistrés), les questions posées aux assistants, et, pour l'assistant du Portail Pèlerin, les éléments du dossier nécessaires à la réponse (identité, échéances de paiement, état des documents, validité du passeport).

8. Hébergement et transferts hors UE

Les données principales sont hébergées dans l'Union européenne (Supabase, Irlande). Certains sous-traitants (Anthropic pour l'OCR et les assistants, Resend pour les emails, Stripe, services push) peuvent impliquer un transfert hors UE, encadré par les Clauses Contractuelles Types de la Commission européenne et des garanties appropriées.

9. Durées de conservation

Données de compte Agence : pendant la durée de la relation, puis supprimées sous 3 mois après clôture.
Données de facturation / comptables (y compris le registre des commissions d'apporteur) : conservées 10 ans (obligation légale comptable française).
Logs techniques : 12 mois.
Projets du questionnaire « Trouver mon agence » : 12 mois (section 4).
Avis vérifiés : tant que l'avis est publié (section 5).
Prospection des agences : 3 ans sans réponse de l'agence, puis suppression (section 14).
Données de Pèlerins traitées pour le compte des Agences : selon les instructions de l'Agence (cf. DPA).

10. Vos droits

Conformément au RGPD, vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité, ainsi que du droit de retirer votre consentement à tout moment.

Pour les données de compte Agence, le questionnaire pèlerin, les avis vérifiés et la prospection des agences, contactez-nous à omraos.app@gmail.com.
Pour les données d'un dossier Pèlerin, adressez-vous à l'Agence concernée (responsable de traitement) ; nous l'assistons en qualité de sous-traitant.

Vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr).

11. Cookies et traceurs

Le Service utilise uniquement les cookies et le stockage local strictement nécessaires à son fonctionnement (session, préférences, données mises en cache pour le mode hors-ligne du terrain). Aucun traceur publicitaire ni de mesure d'audience tiers n'est utilisé ; si de tels traceurs étaient ajoutés, un bandeau de consentement serait mis en place.

12. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles : chiffrement en transit (HTTPS), cloisonnement des données par agence (politiques d'accès au niveau base, RLS), gestion des accès, lien de Portail Pèlerin personnel valable pendant la préparation du voyage et jusqu'à 45 jours après le retour, révocable à tout moment par l'agence, secrets stockés hors du code. Les accès d'assistance de notre équipe au compte d'une agence sont journalisés avant leur ouverture dans le journal d'activité de l'agence. Aucun système n'étant infaillible, nous vous invitons à protéger vos identifiants.

13. Modifications

Nous pouvons faire évoluer la présente politique. Les changements substantiels sont portés à votre connaissance par un moyen approprié.

14. Prospection des agences

Nous pouvons écrire aux agences de voyage et aux conciergeries qui organisent des Omra pour leur présenter OmraOS. Nous en sommes responsable de traitement.

Données : le nom de l'agence, son adresse email de contact et, le cas échéant, son téléphone et sa ville, tels que l'agence les publie elle-même sur son site internet ou, à défaut, dans un annuaire professionnel. Nous n'achetons et ne louons aucun fichier.
Finalité : présenter OmraOS, un service en rapport direct avec l'activité professionnelle de l'agence.
Base légale : notre intérêt légitime à faire connaître le Service aux professionnels concernés (article 6.1.f du RGPD), dans le cadre prévu pour la prospection entre professionnels (article L.34-5 du Code des postes et des communications électroniques). Pour une agence établie en Belgique, nous appliquons la règle belge (article XII.13 du Code de droit économique et arrêté royal du 4 avril 2003) : nous n'écrivons qu'à une société ou une association, sur son adresse générale (info@, contact@…), jamais à l'adresse nominative d'une personne.
Fréquence : un message de présentation, suivi au plus d'une relance.
Opposition : il suffit de répondre STOP à l'un de nos messages, ou d'écrire à omraos.app@gmail.com. L'adresse est alors inscrite sur une liste d'opposition et ne reçoit plus rien de notre part ; cette liste ne sert qu'à cela.
Conservation : 3 ans à compter de la collecte ou du dernier contact venu de l'agence, puis suppression. La liste d'opposition est conservée aussi longtemps que nécessaire pour respecter ce choix.
Destinataires : les données ne sont ni vendues ni transmises à des tiers. Les messages passent par notre messagerie Gmail (Google), qui peut traiter des données hors de l'Union européenne dans le cadre du Data Privacy Framework UE–États-Unis.
Vos droits : accès, rectification, effacement et opposition, à exercer à omraos.app@gmail.com. Vous pouvez introduire une réclamation auprès de la CNIL (www.cnil.fr) ou, pour une agence établie en Belgique, auprès de l'Autorité de protection des données (www.autoriteprotectiondonnees.be).

# Politique de confidentialité — OmraOS


*Dernière mise à jour : 26 septembre 2026.*

La présente politique explique comment **Julaybib Studio** (« nous »), éditeur d'OmraOS, traite les données personnelles dans le cadre du Service.

## 1. Trois rôles distincts

- **Pour les données des comptes Agence** (gérant, équipe, facturation, navigation), nous sommes **responsable de traitement**. C'est l'objet des sections 3 et suivantes.
- **Pour les données des Pèlerins saisies par les Agences** dans leur outil de gestion, nous sommes **sous-traitant** : nous agissons sur instruction des Agences, qui en sont responsables. Ce traitement est régi par l'[Accord de sous-traitance](accord-sous-traitance.md).
- **Pour les services que nous opérons en propre auprès des pèlerins** — le questionnaire « Trouver mon agence » d'omraos.app et la plateforme d'**avis vérifiés** — nous sommes **responsable de traitement** (sections 4 et 5).

## 2. Responsable du traitement

**Julaybib Studio**, nom commercial de **Ulrique Luap**, entrepreneur individuel (micro-entreprise), SIRET 834 192 569 00020, siège : 5 place du Grand Martroy, 95300 Pontoise. Contact pour toute question relative aux données : **omraos.app@gmail.com**. Aucun délégué à la protection des données (DPO) n'est désigné à ce jour ; le responsable est joignable à l'adresse ci-dessus. *(À réévaluer : un DPO peut devenir recommandé compte tenu du traitement de passeports et de données sensibles à grande échelle.)*

## 3. Données que nous traitons (comptes Agence et visiteurs)

| Catégorie | Exemples | Finalité | Base légale |
|---|---|---|---|
| Identification du compte | nom, email, mot de passe (haché) | créer et gérer le compte | exécution du contrat |
| Profil agence | nom commercial, logo, coordonnées, mentions légales, contrat type | fonctionnement du Service, documents générés | exécution du contrat |
| Équipe | emails et niveaux d'accès des membres invités, journal d'activité (actions horodatées, à des fins de traçabilité de l'agence) | gestion et traçabilité des accès | exécution du contrat / intérêt légitime |
| Abonnement et facturation | plan souscrit, période d'engagement, compteur d'inscriptions, surplus, transactions Stripe | facturation, comptabilité | exécution du contrat / obligation légale |
| Programme apporteur | lien de parrainage, agences amenées, compte de versement Stripe relié, registre des commissions et virements | versement des commissions d'apport | exécution du contrat |
| Contenu publié | informations du mini-site public et de l'annuaire (présentation, offres, photos) | publication voulue par l'Agence | exécution du contrat |
| Données techniques | logs, adresse IP, appareil, rapports d'erreurs | sécurité, prévention de la fraude, amélioration | intérêt légitime |
| Notifications | abonnements push (alertes SOS, demandes) | délivrer les alertes | consentement |

Le **mini-site public** de l'Agence est, par nature, accessible à tous : les informations que l'Agence choisit d'y publier sont publiques tant qu'elle ne les retire pas.

Nous **ne vendons jamais** vos données.

## 4. Questionnaire « Trouver mon agence » (pèlerins visiteurs)

Lorsqu'un pèlerin décrit son projet de voyage sur omraos.app (période, ville de départ, composition du groupe, priorités, budget, prénom, WhatsApp et/ou email), nous traitons ces données en **responsable de traitement**, pour une seule finalité : **le mettre en relation avec des agences vérifiées correspondant à son projet**. Exprimer un projet d'Omra pouvant révéler la croyance religieuse (art. 9 RGPD), l'envoi du questionnaire vaut **consentement explicite** à ce traitement, rappelé au moment de l'envoi.

- **Destinataires** : notre équipe, puis la ou les agences vérifiées susceptibles de correspondre au projet. Jamais d'agence non vérifiée, jamais de revente.
- **Durée** : le projet est conservé **12 mois** au plus après son dépôt, puis supprimé.
- **Droits** : accès, rectification et suppression à tout moment sur simple demande à omraos.app@gmail.com.

## 5. Avis vérifiés (pèlerins auteurs)

Pour la plateforme d'avis (dépôt sur omraos.app/avis via un lien personnel, publication sur la page publique de l'agence concernée et sur omraos.app), nous sommes **responsable de traitement** :

- **Données publiées** : prénom de l'auteur, note, texte de l'avis, période du voyage. Le nom complet, le dossier et les coordonnées ne sont jamais publiés.
- **Base légale** : consentement (le dépôt de l'avis est volontaire) ; vérification du statut « vrai voyageur » fondée sur notre intérêt légitime à l'intégrité de la plateforme.
- **Conditions de publication** : l'avis est publié sans validation de l'agence, qui **ne peut ni le modifier ni le supprimer** ; il demeure publié même si l'agence quitte le Service.
- **Durée** : tant que l'avis est publié.
- **Droits de l'auteur** : l'auteur peut demander à tout moment la **rectification ou la suppression de son propre avis** à omraos.app@gmail.com.

## 6. Données des Pèlerins traitées pour le compte des Agences (rappel)

Les données de Pèlerins (identité, **passeport**, date de naissance, nationalité, liens familiaux, photo d'identité, paiements, documents de voyage, besoin d'assistance éventuel, et le cas échéant **géolocalisation** lors d'une alerte SOS) sont traitées **pour le compte des Agences**. La participation à une Omra/Hajj pouvant **révéler la croyance religieuse** (donnée sensible, art. 9 RGPD), il revient à l'Agence d'en recueillir le consentement explicite. Voir l'[Accord de sous-traitance](accord-sous-traitance.md) et la [mention d'information Pèlerins](mention-information-pelerins.md).

## 7. Destinataires et sous-traitants

Nous faisons appel à des prestataires techniques agissant sur nos instructions :

| Prestataire | Rôle | Localisation |
|---|---|---|
| **Supabase** | base de données, authentification, stockage, fonctions serveur | Société américano-singapourienne ; données hébergées exclusivement en UE (Irlande, `eu-west-1`) ; transferts résiduels éventuels (support) encadrés par CCT |
| **Vercel** | hébergement de l'application | Société américaine ; déploiement en UE (Paris, `cdg1`), diffusion via CDN mondial ; transferts résiduels encadrés par CCT / DPF |
| **Stripe** | paiements des abonnements et facturation ; **encaissement en ligne des paiements des pèlerins pour le compte des Agences via Stripe Connect** (option activée par l'Agence) ; versement des commissions d'apporteur | UE (Stripe Payments Europe) + transferts encadrés |
| **Anthropic (Claude)** | lecture automatique des passeports (OCR) et assistants d'aide conversationnels | **Hors UE (USA)**, transfert encadré par CCT |
| **Resend** | envoi d'**emails** transactionnels (relances, factures, contrats, invitations) | **Hors UE (USA)**, transfert encadré par CCT |
| Services push navigateur (Google/Apple) | acheminement des notifications | Hors UE, selon le navigateur |

**Twilio (WhatsApp)** : les rappels WhatsApp automatiques sont envoyés via le **compte Twilio souscrit par l'Agence elle-même** ; l'Agence est cliente directe de Twilio, et nous transmettons les messages sur son instruction avec ses identifiants, stockés de façon sécurisée. Twilio n'est donc pas notre sous-traitant, mais celui de l'Agence.

Concernant l'usage de l'intelligence artificielle : les contenus transmis à Anthropic via son API servent uniquement à produire la réponse demandée et ne sont pas utilisés par Anthropic pour entraîner ses modèles. Sont transmis, selon la fonction : l'image du passeport pour la lecture automatique (elle n'est conservée ni par nous ni par Anthropic au-delà de la réponse ; seuls les champs extraits sont enregistrés), les questions posées aux assistants, et, pour l'assistant du Portail Pèlerin, les éléments du dossier nécessaires à la réponse (identité, échéances de paiement, état des documents, validité du passeport).

## 8. Hébergement et transferts hors UE

Les données principales sont hébergées **dans l'Union européenne** (Supabase, Irlande). Certains sous-traitants (Anthropic pour l'OCR et les assistants, Resend pour les emails, Stripe, services push) peuvent impliquer un **transfert hors UE**, encadré par les **Clauses Contractuelles Types** de la Commission européenne et des garanties appropriées.

## 9. Durées de conservation

- Données de compte Agence : pendant la durée de la relation, puis supprimées sous **3 mois** après clôture.
- Données de facturation / comptables (y compris le registre des commissions d'apporteur) : **conservées 10 ans** (obligation légale comptable française).
- Logs techniques : **12 mois**.
- Projets du questionnaire « Trouver mon agence » : **12 mois** (section 4).
- Avis vérifiés : tant que l'avis est publié (section 5).
- Prospection des agences : **3 ans** sans réponse de l'agence, puis suppression (section 14).
- Données de Pèlerins traitées pour le compte des Agences : selon les instructions de l'Agence (cf. DPA).

## 10. Vos droits

Conformément au RGPD, vous disposez des droits d'**accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité**, ainsi que du droit de retirer votre consentement à tout moment.

- Pour les **données de compte Agence**, le **questionnaire pèlerin**, les **avis vérifiés** et la **prospection des agences**, contactez-nous à omraos.app@gmail.com.
- Pour les **données d'un dossier Pèlerin**, adressez-vous à l'**Agence** concernée (responsable de traitement) ; nous l'assistons en qualité de sous-traitant.

Vous pouvez introduire une réclamation auprès de la **CNIL** (www.cnil.fr).

## 11. Cookies et traceurs

Le Service utilise uniquement les cookies et le stockage local strictement nécessaires à son fonctionnement (session, préférences, données mises en cache pour le mode hors-ligne du terrain). Aucun traceur publicitaire ni de mesure d'audience tiers n'est utilisé ; si de tels traceurs étaient ajoutés, un bandeau de consentement serait mis en place.

## 12. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles : chiffrement en transit (HTTPS), cloisonnement des données par agence (politiques d'accès au niveau base, RLS), gestion des accès, lien de Portail Pèlerin personnel valable pendant la préparation du voyage et jusqu'à 45 jours après le retour, révocable à tout moment par l'agence, secrets stockés hors du code. Les **accès d'assistance** de notre équipe au compte d'une agence sont **journalisés** avant leur ouverture dans le journal d'activité de l'agence. Aucun système n'étant infaillible, nous vous invitons à protéger vos identifiants.

## 13. Modifications

Nous pouvons faire évoluer la présente politique. Les changements substantiels sont portés à votre connaissance par un moyen approprié.

## 14. Prospection des agences

Nous pouvons écrire aux agences de voyage et aux conciergeries qui organisent des Omra pour leur présenter OmraOS. Nous en sommes **responsable de traitement**.

- **Données** : le nom de l'agence, son adresse email de contact et, le cas échéant, son téléphone et sa ville, **tels que l'agence les publie elle-même** sur son site internet ou, à défaut, dans un annuaire professionnel. Nous n'achetons et ne louons aucun fichier.
- **Finalité** : présenter OmraOS, un service en rapport direct avec l'activité professionnelle de l'agence.
- **Base légale** : notre **intérêt légitime** à faire connaître le Service aux professionnels concernés (article 6.1.f du RGPD), dans le cadre prévu pour la prospection entre professionnels (article L.34-5 du Code des postes et des communications électroniques). Pour une agence établie en **Belgique**, nous appliquons la règle belge (article XII.13 du Code de droit économique et arrêté royal du 4 avril 2003) : nous n'écrivons qu'à une **société ou une association**, sur son **adresse générale** (info@, contact@…), jamais à l'adresse nominative d'une personne.
- **Fréquence** : un message de présentation, suivi au plus d'une relance.
- **Opposition** : il suffit de répondre **STOP** à l'un de nos messages, ou d'écrire à omraos.app@gmail.com. L'adresse est alors inscrite sur une liste d'opposition et ne reçoit plus rien de notre part ; cette liste ne sert qu'à cela.
- **Conservation** : **3 ans** à compter de la collecte ou du dernier contact venu de l'agence, puis suppression. La liste d'opposition est conservée aussi longtemps que nécessaire pour respecter ce choix.
- **Destinataires** : les données ne sont ni vendues ni transmises à des tiers. Les messages passent par notre messagerie **Gmail (Google)**, qui peut traiter des données hors de l'Union européenne dans le cadre du *Data Privacy Framework* UE–États-Unis.
- **Vos droits** : accès, rectification, effacement et opposition, à exercer à omraos.app@gmail.com. Vous pouvez introduire une réclamation auprès de la **CNIL** (www.cnil.fr) ou, pour une agence établie en Belgique, auprès de l'**Autorité de protection des données** (www.autoriteprotectiondonnees.be).