Politique en matière de cookies

1. Qui sommes-nous

Ce site est exploité par Andrey Sobolevsky, entreprise en personne physique opérant sous le nom Waivoo, Chaussée de Tervuren 145, 1410 Waterloo, Belgique. Numéro d'entreprise (BCE) 0772.527.301, TVA BE 0772.527.301. Nous sommes le responsable du traitement. Contact : support@waivoo.com.

2. Ce que couvre cette politique

La loi belge (article 10/2 de la loi du 30 juillet 2018, transposant l'article 5(3) de la directive ePrivacy) exige votre consentement avant que quoi que ce soit ne soit stocké sur votre appareil ou lu depuis celui-ci — sauf si cela est strictement nécessaire à un service que vous avez expressément demandé. La règle est neutre sur le plan technologique : cette politique couvre donc aussi le localStorage, le sessionStorage, IndexedDB, les pixels de suivi, le fingerprinting et les liens de suivi.

3. Strictement nécessaires

Un élément n'est exempté que s'il permet une communication ou si le service demandé ne peut réellement pas fonctionner sans lui. La commodité, les statistiques et l'utilité commerciale ne suffisent pas.

• access_token (cookie, api.waivoo.com) — Keeps you signed in between requests. Set by our authentication service and not readable by page scripts (httpOnly). Durée : 30 minutes.
• refresh_token (cookie, api.waivoo.com) — Lets your browser obtain a new session token without asking you to sign in again. Single-use and replaced each time it is used. This is the longest-lived identifier we store on your device. Durée : 30 days.
• access_token (cookie, waivoo.com) — A copy of your session token that our page server reads to decide whether you may open a protected page. Written by page scripts, and removed automatically once the token expires. Durée : Up to 24 hours, and never longer than the token itself is valid.
• token_type (cookie, waivoo.com) — Records the authentication scheme used with the session token above. Durée : Up to 24 hours.
• isAuthenticated (cookie, waivoo.com) — Flags that a session exists, so the interface can render the signed-in state. Durée : Up to 24 hours.
• workforce_access_token (cookie, waivoo.com) — Staff console session. Only ever set for Waivoo staff accounts. Durée : 12 hours.
• waivoo_consent (cookie, waivoo.com) — Remembers your cookie choices, so we neither ignore them nor ask you again on every page. Durée : 180 days (identical whether you accept or refuse).
• access_token, token_type, isAuthenticated (localStorage, waivoo.com) — Holds your session token for the in-page API client, so the app can call our services as you. Durée : Until you sign out or clear site data.
• search_prompt_<id>, initial_prompt_<id> (sessionStorage, waivoo.com) — Carries the trip request you just typed across a single page redirect. Deleted the moment it is read, and in any case when the tab closes. Durée : Deleted on first read; at most the browser tab session.
• new_session_<id> (sessionStorage, waivoo.com) — Marks a trip you have just started in this tab, so the page opens it as a new trip rather than as a trip you have no access to. Holds no content. Durée : Deleted once the trip is saved; at most the browser tab session.
• waivoo_pending_trip (cookie, waivoo.com) — Holds the trip request you typed while signed out, so signing in can pick up exactly where you left off instead of losing your request to the login screen. A cookie rather than tab storage because e-mail verification usually returns in a new tab. Durée : 30 minutes, and deleted the moment it is used.
• waivoo_pending_share (cookie, waivoo.com) — Holds the shared-trip invitation link you opened while signed out, so that after you sign in or create an account you land back on the invitation instead of losing it to the login screen. It contains only the invitation code — never who invited you or anything about the trip. A cookie rather than tab storage because e-mail verification usually returns in a new tab. Durée : 1 day, and deleted the moment it is used.
• accounts.google.com/gsi/client (script, accounts.google.com) — Google Identity Services, used only for the "Continue with Google" sign-in option. Loaded ONLY once you open the sign-in dialog — never on ordinary browsing. Durée : Per page load; any cookies set are Google's own and governed by Google's policy.
• __stripe_mid, __stripe_sid and related (cookie, checkout.stripe.com / billing.stripe.com) — Payment processing and fraud prevention, set by Stripe on Stripe's own pages after you choose to subscribe. Stripe's scripts are NOT loaded on waivoo.com — you are redirected to Stripe. Durée : Set by Stripe (typically 30 minutes to 1 year).

4. Finalités que vous pouvez choisir

Chaque finalité ci-dessous est facultative, distincte et désactivée sauf si vous l'activez. Refuser vous donne un accès complet au site — nous n'utilisons pas de mur de cookies et ne facturons rien pour refuser.

Finalités que nous n'utilisons pas

Nous les publions pour que notre classification soit transparente avant tout changement. Nous ne les mettons pas en œuvre aujourd'hui, aucune donnée n'est collectée à ce titre, et nous vous le demanderons à nouveau avant de commencer :

• Mesurer l'utilisation du site. Statistiques sur les pages visitées et les points de blocage, afin d'améliorer le produit.
• Adapter ce que nous vous montrons. Établir un profil de vos préférences de voyage à partir de votre utilisation du site, afin de choisir et de classer les destinations, hôtels et itinéraires proposés.
• Prix et commissions personnalisés. Utiliser un profil établi à partir de votre comportement pour déterminer les prix, commissions ou offres qui vous sont présentés pour les réservations d'hôtel. Cette finalité est strictement distincte de toutes les autres et n'est jamais groupée avec elles.
• Marketing propre à Waivoo. Mesurer nos propres campagnes et vous présenter nos propres offres en fonction de votre utilisation du site.
• Boutons de partage sur les réseaux sociaux. Boutons de partage et d'abonnement chargés depuis les réseaux sociaux, qui leur permettent de voir que vous avez visité la page.

5. Éléments facultatifs en détail

• search_session_<sessionId> (localStorage, waivoo.com) — Keeps a copy of trips you have opened on this device, so they load instantly and still appear if our servers are briefly unreachable. The site works fully without it. Durée : Until you withdraw consent or clear site data.
• waivoo-offline-tours (stores: sections, blobs) (indexedDB, waivoo.com) — Holds a guided tour you previously downloaded — its text, images and audio. Guided tours have been withdrawn, so nothing new is written here, but anything downloaded before then is still on your device. It can reach tens of megabytes and is never deleted automatically; you can remove it from the cookie preferences panel at any time. Durée : Until you delete it or clear site data — no automatic expiry.
• maps.googleapis.com (Maps JavaScript API + Places) (script, maps.googleapis.com) — Draws the interactive map of your trip and suggests places as you type. Loading it tells Google your IP address and which page you are on. If you refuse, we show a static map preview served by our own servers instead (the /api/map-snapshot route — Google never sees your browser). Durée : Per page load; any storage is set by Google under Google's policy. Transfert : United States — EU-US Data Privacy Framework and Standard Contractual Clauses.
• www.youtube-nocookie.com (embedded travel films) (script, www.youtube-nocookie.com) — Plays short travel films about your destinations inside the trip report. Loading a player tells YouTube your IP address and which film you watch, and YouTube will store identifiers in your browser under its own policy. If you refuse, we show only still images served by Waivoo. Durée : Per play; any storage is set by YouTube under Google's policy. Transfert : United States — EU-US Data Privacy Framework and Standard Contractual Clauses.
• www.tiktok.com/player (embedded travel films) (script, www.tiktok.com) — Plays short travel films hosted on TikTok inside the trip report, only after you allow it. Loading a player tells TikTok your IP address and which film you watch. If you refuse, we show only still images served by Waivoo. Durée : Per play; any storage is set by TikTok under TikTok's policy. Transfert : United States / Singapore — Standard Contractual Clauses.
• videos.pexels.com / images.pexels.com (stock travel footage) (script, videos.pexels.com) — Streams licence-free stock travel footage inside the trip report when no creator film is available for a destination. Loading a clip tells Pexels your IP address. Poster images are proxied through Waivoo; the video stream itself comes from Pexels. If you refuse, we show only still images served by Waivoo. Durée : Per play; any storage is set by Pexels under Pexels' policy.
• player.vimeo.com (embedded travel films) (script, player.vimeo.com) — Plays short travel films hosted on Vimeo inside the trip report, only after you allow it. Loading a player tells Vimeo your IP address and which film you watch. If you refuse, we show only still images served by Waivoo. Durée : Per play; any storage is set by Vimeo under Vimeo's policy. Transfert : United States — Standard Contractual Clauses.
• Stay22 "Let Me Allez" (letmeallez.js and spark-gallery-widget.js) (script, scripts.stay22.com) — Loaded only on Explore travel articles, and only after you allow partner tracking. Rewrites links to booking sites (Booking.com, the Expedia group including Hotels.com and Vrbo, the Kayak group, Agoda, GetYourGuide) into www.stay22.com tracking links so a booking can be attributed to Waivoo for a commission. It calculates a device fingerprint (from canvas, audio, WebGL, screen, hardware, plugins, speech voices, language and system settings) and sends it to id.h2.stay22.com; checks for ad blockers and private browsing (in Chromium browsers this can create a one-byte test file named "_" in the site's private file system); and sends Stay22 the full address of the page including its query string, the referring page, the article title and up to 10,000 characters of its text. Stay22 derives an approximate location from your IP address. It can also add sponsored links to the article text and open partner results in a new tab. A small, randomly sampled share of visits sends page-performance measurements to Stay22, and ThumbmarkJS (api.thumbmarkjs.com) receives rare sampled diagnostics. Durée : Per page load while you are on Explore; the identifiers it stores are listed separately below. Transfert : Outside the EEA — Stay22's privacy policy states data may be processed outside Québec and Canada, including in the United States and Europe.
• sid22, hip22, conMeth, localnova, pendingNovaSave, scrollPort22, visitor_id_id22 (localStorage, waivoo.com) — Written into this site's storage by the Stay22 script. sid22: visitor/session identifier sent with every Stay22 request. hip22: a hash of your IP address supplied by Stay22. conMeth: Stay22's classification of your connection (normal, VPN, data centre, Tor, bot). visitor_id_id22: your device-fingerprint identifier. localnova and pendingNovaSave: remember that a partner tab was recently opened, to limit how often it happens. scrollPort22: your scroll position when you leave through a partner link. Deleted when you withdraw consent. Durée : sid22, hip22, conMeth: 6 hours; localnova, pendingNovaSave: about 14 minutes; scrollPort22: 1 minute; visitor_id_id22: no expiry — deleted when you withdraw consent or clear site data. Transfert : Values are sent to Stay22 — see the Stay22 script entry above.
• extnova, _tmjs_l (sessionStorage, waivoo.com) — Written by the Stay22 script. extnova: a one-time flag about a partner tab, deleted as soon as it is read. _tmjs_l: records that the fingerprinting library already sent its sampled diagnostics in this tab. Durée : At most the browser tab session; deleted when you withdraw consent. Transfert : Used by the Stay22 script — see the Stay22 script entry above.
• __cf_bm (cookie, stay22.com) — Bot-detection cookie set on Stay22's own domain when your browser downloads the Stay22 script. Waivoo cannot read or delete it; it is governed by Stay22's policy. Durée : 30 minutes. Transfert : See the Stay22 script entry above.

6. Tiers

Google Ireland Ltd / Google LLC (connexion avec Google ; Maps et Places), Stripe Payments Europe Ltd / Stripe, Inc. (pages de paiement) et DigitalOcean / AWS (liens temporaires vers vos propres documents). Stay22 Technologies Inc. (liens de suivi d'affiliation sur nos articles Explore, chargés uniquement si vous autorisez le suivi des partenaires ; son script, servi par scripts.stay22.com, contacte aussi www.stay22.com, id.h2.stay22.com et, rarement, api.thumbmarkjs.com ; selon la politique de confidentialité de Stay22, des données peuvent être traitées hors du Québec et du Canada, notamment aux États-Unis et en Europe). En dehors de ce suivi des partenaires Stay22, soumis à votre consentement et limité aux articles Explore, nous n'utilisons aucune solution d'analyse, aucun réseau publicitaire, aucun gestionnaire de balises, aucun enregistrement de session et aucun pixel de suivi.

7. Durée de votre choix

Nous mémorisons votre réponse pendant 180 jours, pour la même durée que vous acceptiez ou refusiez. Nous ne redemandons pas pendant cette période, sauf si nous introduisons une nouvelle finalité, un nouveau destinataire ou un nouveau transfert.

8. Modifier ou retirer

Utilisez le lien Cookie preferences en bas de chaque page, ou le bouton ci-dessous. Le retrait demande le même effort que le consentement. Il est rétroactif : nous cessons de charger les contenus tiers concernés et supprimons ce que cette finalité avait déjà stocké sur votre appareil. Cela n'affecte pas la licéité de ce qui a précédé.

9. Profilage, personnalisation et prix

Le prix que vous voyez ne dépend pas de qui vous êtes. Pour un même hôtel, une même date et un même groupe, chaque visiteur voit le même prix. Nous ne construisons aujourd'hui aucun profil comportemental et il n'existe aucune décision automatisée produisant des effets juridiques ou similaires au sens de l'article 22 du RGPD.

Si nous devions un jour personnaliser les prix, commissions ou offres sur la base d'une prise de décision automatisée, nous nous engageons à vous le demander au préalable, séparément et explicitement, à réaliser une analyse d'impact, à permettre une intervention humaine et la contestation, à n'utiliser jamais de données sensibles ni de données de mineurs, et à afficher la mention exigée par l'article VI.45 §1 21° du Code de droit économique — « ce prix a été personnalisé pour vous sur la base d'une prise de décision automatisée » — à côté du prix lui-même. Cette dernière obligation relève du droit de la consommation et s'applique quel que soit votre choix en matière de cookies.

10. Vos droits

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité (articles 15 à 20 du RGPD). Vous disposez d'un droit d'opposition absolu au traitement à des fins de marketing direct, y compris le profilage à cette fin (article 21(2)). Contact : support@waivoo.com.

Vous pouvez également introduire une plainte auprès de l'Autorité de protection des données, Rue de la Presse 35, 1000 Bruxelles, contact@apd-gba.be.

11. Documents liés

Voir notre Politique de confidentialité et nos Conditions d'utilisation. Accepter les cookies ne vaut pas acceptation de ces documents.