Politique de confidentialité

Le responsable du traitement de vos données est Lu-Na sh.p.k. (Luna Travel), NIPT K31412087P, ayant pour adresse Rruga e Durrësit 75, Tiranë, Albanie.

Pour toute question relative à vos données : info@luna.al.

Nous n'avons pas désigné de délégué à la protection des données. Les demandes relatives aux données sont traitées directement par notre bureau.

Nous appliquons la loi n° 124/2024 « Sur la protection des données à caractère personnel » et, lorsque nous servons des personnes se trouvant dans l'Union européenne, le Règlement (UE) 2016/679 (RGPD).

Lorsque vous achetez un billet. Pour chaque passager : le prénom et le nom, l'adresse e-mail et le numéro de téléphone. Pour la commande : la ligne, la date et l'heure du voyage, le retour si vous le choisissez, le nombre de places, le prix et la langue du site. Nous les utilisons pour émettre le billet nominatif, vous l'envoyer, le contrôler dans le véhicule et vous informer lorsque quelque chose change dans le voyage. Le prénom, le nom, l'adresse e-mail et le téléphone sont obligatoires : sans eux, le billet ne peut pas être émis. Nous utilisons le téléphone pour vous contacter en cas de changement ou de problème lié au voyage. Base juridique : l'exécution du contrat de voyage et, pour les enregistrements des ventes, l'obligation légale en matière comptable.

Lorsque vous achetez pour d'autres personnes. C'est vous qui nous fournissez les données des autres passagers. Ne fournissez que des données que vous êtes en droit de partager et informez ces personnes de la présente politique. Chaque passager dont l'adresse e-mail est différente de celle de l'acheteur ne reçoit par e-mail que son propre billet. Base juridique : l'exécution du contrat de voyage.

Récapitulatif client. À partir des commandes, le système conserve pour chaque acheteur, par adresse e-mail, un récapitulatif comprenant le nom, le téléphone, la langue, le nombre et le montant des commandes, afin que le bureau puisse consulter l'historique lorsque vous le contactez. Base juridique : l'intérêt légitime à assurer le service client.

Au moment de la commande. L'adresse IP et les données du navigateur, comme mesure contre la fraude et les abus. À partir de l'IP, nous déterminons le pays au moyen d'une base de données située sur notre serveur, sans transmettre l'IP à quiconque. L'IP et le navigateur sont automatiquement supprimés de la commande après 90 jours ; le pays reste associé à la commande. Lorsque vous ouvrez le formulaire d’achat, nous présélectionnons avec la même base l’indicatif téléphonique et le pays de la carte selon votre pays ; vous pouvez les modifier librement. Base juridique : l'intérêt légitime à prévenir la fraude.

Lorsque le billet est scanné. L'heure du scan, l'employé qui l'a scanné et le véhicule. C'est la preuve que le voyage a été effectué. Base juridique : l'exécution du contrat de voyage.

Lorsque vous demandez une annulation ou un remboursement. Le motif que vous choisissez, l'explication que vous rédigez et l'adresse IP de la demande. Le motif est conservé avec la commande, afin que la décision du bureau soit traçable ; l'IP est automatiquement supprimée après 90 jours. Base juridique : l'exécution du contrat et l'obligation légale en matière comptable pour les remboursements.

Lorsque vous demandez un changement de date ou de trajet. La nouvelle date ou le nouveau trajet que vous demandez, la note que vous rédigez et l'adresse IP de la demande. La demande est conservée avec la commande afin que la décision du bureau soit traçable ; l'adresse IP est supprimée automatiquement après 90 jours. Base juridique : l'exécution du contrat de voyage.

Lorsque vous envoyez une demande de transfert. Le type de demande, le départ et l'arrivée, les dates, le nombre de passagers, les bagages, la durée de la collaboration, le nom et le prénom, le téléphone, l'e-mail, le moyen de contact préféré et vos remarques. Le nom et l'e-mail sont toujours obligatoires ; pour les transferts, le lieu de départ et la date du voyage aussi. Les autres champs sont facultatifs. La demande est envoyée au bureau par e-mail afin qu'il vous fasse une offre. Base juridique : les mesures précontractuelles prises à votre demande.

Lorsque vous nous écrivez depuis la page de contact. Votre nom, prénom, e-mail, téléphone, sujet, message et, pour les objets perdus, les photos que vous joignez. Le nom, le prénom, l'e-mail et le téléphone sont obligatoires. Le message et les photos sont envoyés au bureau par e-mail afin qu'il vous réponde. Base juridique : l'intérêt légitime à répondre à vos questions.

Statistiques de visites. Pour chaque page ouverte, nous comptabilisons la page, la langue, le pays, le type d'appareil et la page d'où vous venez (par exemple un moteur de recherche). Nous comptons également combien de visites atteignent chaque étape de l'achat d'un billet, par langue, type d'appareil et page d'où vous venez. Ces chiffres sont conservés sous forme de totaux par jour et par heure, sans adresse IP, sans cookie et sans identifiant, et ne sont pas liés à votre commande. La liste des adresses IP que nous conservons pour la sécurité est décrite au point suivant. Base juridique : l'intérêt légitime à améliorer le site.

Journaux du serveur. Le serveur du site enregistre chaque requête avec l'adresse IP, l'adresse de la page, le navigateur et l'heure. Pour chaque adresse IP qui ouvre le site, nous conservons aussi le nombre de pages ouvertes chaque jour, le pays, le type d'appareil, la dernière page et l'heure. Les journaux d'erreurs peuvent contenir l'adresse IP, l'adresse e-mail du destinataire d'un e-mail qui n'a pas été envoyé et, lorsqu'une réservation ou un paiement par carte n'aboutit pas, le nom, l'e-mail et le téléphone de l'acheteur, afin de pouvoir vous aider. Base juridique : l'intérêt légitime à assurer la sécurité et la maintenance du service.

Pour le paiement par carte, voir la section Paiement par carte et POK.

Le numéro complet de la carte et le code CVC n'arrivent jamais sur notre serveur. Le formulaire de carte s'affiche dans notre page de paiement, mais les données de la carte sont recueillies par le logiciel de paiement de POK qui s'exécute dans votre navigateur : il les chiffre sur place et les envoie directement à POK. Le paiement peut nécessiter la vérification 3-D Secure de la banque qui a émis la carte.

Dans le formulaire, vous saisissez le numéro, la date d'expiration et le CVC de la carte, le nom figurant sur la carte et le pays de la carte ; pour les cartes des États-Unis et du Canada, également le code postal et l'État fédéré. Sont également transmis à POK le montant, la devise, la description de la commande, le nom et l'adresse e-mail de l'acheteur, ainsi que des données techniques du navigateur (taille de l'écran, fuseau horaire, langue) requises par la vérification de la carte.

De POK, nous recevons et conservons avec la commande : le statut du paiement, l'identifiant de la transaction et le numéro de référence, la marque et le type de la carte, les quatre derniers chiffres, le nom figurant sur la carte et les données de facturation que POK nous renvoie. Nous les utilisons pour confirmer le paiement, pour les remboursements et pour la comptabilité. Base juridique : l'exécution du contrat et l'obligation légale en matière comptable.

Pendant le paiement, le logiciel de POK charge également dans votre navigateur des services que POK utilise pour la prévention de la fraude et la vérification de la carte : ThreatMetrix, qui crée une empreinte de l'appareil, et Cardinal Commerce pour 3-D Secure. La page de vérification de votre banque peut s'ouvrir dans la fenêtre de paiement. Ces services reçoivent l'adresse IP et des données techniques de votre appareil.

Pour les données qu'il collecte pendant le paiement, POK est un responsable du traitement indépendant et applique sa propre politique. Les principaux points de celle-ci, que nous vous communiquons pour plus de commodité, sont les suivants :

• Identité : RPAY sh.p.k., NIPT M11328018F, sous le nom commercial POK, établissement de monnaie électronique agréé par la Banque d'Albanie (licence n° 50 du 9.9.2021), Rruga “Frang Bardhi”, Godina Kristal Center, 2e étage, entrée 33, Tiranë.
• Ce qu'il collecte : les données de la carte ou du compte, les données de la transaction, l'identifiant de l'appareil, l'adresse IP et des signaux de sécurité ; pour les utilisateurs disposant d'un compte POK, également des données d'identification.
• Pourquoi : pour effectuer le paiement, pour la prévention de la fraude, pour les obligations légales de lutte contre le blanchiment de capitaux, pour l'assistance à la clientèle, pour la sécurité, pour des analyses techniques et, lorsque vous le choisissez, pour le marketing.
• Base juridique : l'exécution du contrat, les obligations légales, l'intérêt légitime et, lorsque cela est requis, le consentement.
• Partagés avec : des processeurs de paiement et des partenaires de cartes, des systèmes de cartes et des banques, des prestataires de vérification d'identité et de contrôle des sanctions, des fournisseurs d'hébergement et de cloud, Google Tag Manager, les commerçants et les autorités de régulation, y compris la Banque d'Albanie et le Commissaire au droit à l'information et à la protection des données à caractère personnel.
• Hors d'Albanie : il peut les transférer vers des pays de l'Espace économique européen ou vers d'autres pays, avec des garanties qui, selon sa politique, peuvent inclure des décisions d'adéquation, des clauses contractuelles types ou équivalentes et des mesures techniques.
• Durée : le temps nécessaire à la finalité et la durée exigée par les lois qu'il applique.
• Cookies: POK déclare qu'il n'utilise pas de cookies sur son site et son application et qu'il peut utiliser Google Tag Manager pour des balises techniques.
• Contact pour la confidentialité : Akil Rajdho, Responsable de la sécurité de l'information et contact pour la confidentialité, arajdho@rpay.ai, +355 68 606 0063.

Texte intégral et à jour de POK : pokpay.io/privacy-policy. Si notre résumé diffère du texte de POK, c'est le texte de POK qui prévaut.

Uniquement des e-mails liés à votre commande ou à votre demande : le billet avec le code QR (en PDF et en image), la confirmation de la demande d'annulation et de l'annulation, la nouvelle date lorsque le bureau déplace le voyage et la réponse du bureau. Nous n'envoyons ni publicités ni newsletters et nous ne communiquons votre adresse à personne.

Les e-mails automatiques sont envoyés depuis noreply@luna.al via notre serveur de messagerie. En cas d'échec de l'envoi, le système effectue jusqu'à 8 tentatives au total, dans un délai d'environ 11 heures. La copie de l'e-mail est supprimée 30 jours après l'envoi, ou 30 jours après sa création lorsqu'il ne peut pas être envoyé ; les pièces jointes sont supprimées dès que l'e-mail est envoyé.

Le site n'utilise pas de cookies publicitaires et ne charge pas d'outils d'analyse tiers. Dans votre navigateur, il enregistre uniquement les cookies et les entrées techniques nécessaires à son fonctionnement, par exemple :

• luna_pay Cookie déposé lorsque vous lancez un paiement. Il atteste que la commande appartient à ce navigateur. Durée : 24 heures.
• luna.language Cookie déposé lorsque vous changez la langue du site ou ouvrez une page dans une autre langue. Il conserve la langue choisie. Durée : 1 an.
• luna.visit Entrée dans sessionStorage permettant que la première page de la visite ne soit comptée qu'une seule fois dans les statistiques. Supprimée lorsque vous fermez l'onglet.
• luna.ref Entrée dans sessionStorage contenant l'adresse de la page d'où vous venez, afin que les statistiques d'achat connaissent l'origine de la visite. Supprimée lorsque vous fermez l'onglet.
• luna.step.* Entrées dans sessionStorage permettant que chaque étape de l'achat d'un billet ne soit comptée qu'une seule fois dans les statistiques. Supprimées lorsque vous fermez l'onglet.
• luna:wa-nudge Entrée dans sessionStorage permettant que l'invitation WhatsApp ne s'affiche plus. Supprimée lorsque vous fermez l'onglet.

Google Maps. Les pages de l'aéroport et de contact affichent des cartes Google Maps indiquant l'emplacement des arrêts et du bureau. Pour les visiteurs de l'Union européenne, de l'Espace économique européen, du Royaume-Uni et de la Suisse, la carte ne s'affiche qu'après que vous l'avez demandée d'un clic ; jusque-là, le site ne se connecte pas à Google. Pour les visiteurs d'autres pays, la carte s'affiche automatiquement. Nous déterminons le pays à partir de l'adresse IP grâce à une base de données sur notre propre serveur, sans la conserver à cette fin. Base légale : votre consentement lorsque vous demandez la carte, sinon notre intérêt légitime à vous indiquer l'emplacement. Lorsque la carte s'affiche, votre navigateur se connecte à Google, qui reçoit l'adresse IP et des données du navigateur et peut déposer ses propres cookies, conformément à la politique de Google : policies.google.com/privacy.

Paiement. Ce n'est que sur la page de paiement que sont chargés le logiciel de POK et ses services de sécurité, qui peuvent enregistrer des données dans votre navigateur selon leurs propres règles, comme expliqué dans la section consacrée au paiement.

WhatsApp. Le bouton WhatsApp est un simple lien : le site ne charge rien de WhatsApp tant que vous n'appuyez pas dessus. Lorsque vous nous y écrivez, la politique de WhatsApp s'applique.

Les polices, les images et la carte des lignes de la page d'accueil proviennent de notre serveur. La météo et les horaires des vols sont récupérés par notre serveur auprès de sources publiques, sans qu'aucune de vos données ne soit transmise.

Les données que nous conservons ne sont consultées que par notre personnel.

Les demandes de remboursement, les demandes de transfert, les messages de contact et les notifications relatives aux paiements présentant des problèmes sont envoyés par e-mail à notre bureau.

Le seul tiers qui reçoit des données de notre part est POK, qui effectue le paiement par carte selon sa propre politique.

Les autorités publiques, telles que l'administration fiscale, les tribunaux ou la police, ne reçoivent des données que lorsque la loi l'exige. Nous ne vendons pas vos données et ne les communiquons pas à des tiers pour leurs propres finalités.

Le site, la base de données, les sauvegardes et le serveur de messagerie électronique se trouvent dans des centres de données en Allemagne, dans l'Union européenne. Conformément à la loi n° 124/2024 et à la décision du Commissaire n° 01 du 30.04.2025, les États de l'Union européenne offrent un niveau de protection adéquat, de sorte que ce transfert ne nécessite pas d'autorisation spécifique.

POK et Google peuvent transférer hors d'Albanie les données qu'ils collectent eux-mêmes, conformément à leurs politiques.

• Commandes, billets, paiements, remboursements et scans, ainsi que le nom, l'adresse e-mail et le téléphone des passagers

  Base juridiqueExécution d’un contrat et obligations comptables légales
  Durée10 ans après la clôture de l'exercice comptable (loi n° 25/2018, article 8)

• Récapitulatif client

  Base juridiqueIntérêt légitime : service client
  DuréeAussi longtemps que ses commandes sont conservées

• Commandes non payées

  Base juridiqueMesures précontractuelles
  DuréeSupprimées automatiquement 5–10 minutes après l'expiration, en l'absence de paiement en cours

• Adresse IP et navigateur dans la commande, dans les demandes d'annulation et dans la liste des visites

  Base juridiqueIntérêt légitime : prévention de la fraude et sécurité
  Durée90 jours, puis suppression automatique

• Copies des e-mails dans la file d'envoi, y compris les demandes de transfert et les messages de contact

  Base juridiqueExécution du contrat ; mesures précontractuelles ; intérêt légitime
  Durée30 jours après l'envoi, ou 30 jours après la création lorsque l'envoi est impossible

• Demandes et messages dans la boîte aux lettres électronique du bureau

  Base juridiqueMesures précontractuelles ; intérêt légitime
  DuréePendant la durée de la communication ; en cas de conclusion d'un contrat, aussi longtemps que les documents comptables

• Journal des erreurs de l'application

  Base juridiqueIntérêt légitime : sécurité et maintenance
  Durée30 jours

• Journal système du serveur

  Base juridiqueIntérêt légitime : sécurité et maintenance
  DuréeJusqu'à 90 jours

• Journal des requêtes du serveur web (IP, page, navigateur, heure)

  Base juridiqueIntérêt légitime : sécurité
  DuréeJusqu'à 53 jours

• Compteurs anti-abus par adresse IP

  Base juridiqueIntérêt légitime : sécurité
  DuréeSupprimés environ 24 heures après la fin de la limitation

• Adresses IP bloquées pour des attaques contre le site

  Base juridiqueIntérêt légitime : sécurité
  DuréePendant toute la durée du blocage et jusqu'à 90 jours après

• Sauvegardes de la base de données

  Base juridiqueIntérêt légitime : continuité du service
  DuréeJusqu'à 7 jours ; une donnée supprimée disparaît également des sauvegardes dans ce délai

• Statistiques de visites

  Base juridiqueIntérêt légitime ; ne contiennent pas de données à caractère personnel
  DuréeSous forme de totaux, sans limite de durée

Nous ne prenons aucune décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques vous concernant ou vous affectant de manière significative de façon similaire, et nous ne procédons à aucun profilage.

Pour des raisons de sécurité, le système limite automatiquement le nombre de commandes et de tentatives de paiement par carte provenant d'une même adresse IP, ainsi que le nombre de tentatives par carte pour une même commande ; une fois la limite atteinte, le paiement par carte est temporairement désactivé pour cette commande ou cette adresse. POK et votre banque peuvent refuser un paiement en fonction de leurs propres contrôles. Si vous pensez avoir été bloqué par erreur, écrivez-nous et le bureau examine votre cas.

Nous ne collectons ni l'âge ni la date de naissance des passagers. Lorsque vous achetez un billet pour un mineur, c'est vous qui nous fournissez ses données, en tant que parent, tuteur ou adulte qui achète en son nom. Pour son billet, vous pouvez utiliser votre propre adresse e-mail.

Conformément à la loi n° 124/2024, vous avez le droit :

• Information: de savoir comment vos données sont traitées, comme expliqué sur cette page.
• Accès: d'obtenir une copie de vos données. La première copie est gratuite.
• Rectification: de faire rectifier des données inexactes ou incomplètes.
• Effacement: de demander l'effacement des données lorsqu'il n'existe plus de motif légal de les conserver.
• Limitation: de demander que les données soient conservées, mais pas utilisées, par exemple pendant la vérification de leur exactitude.
• Portabilité: de recevoir les données que vous nous avez fournies dans un format électronique couramment utilisé ou, lorsque cela est techniquement possible, que nous les transmettions directement à un autre responsable du traitement.
• Décisions automatisées: de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques vous concernant ou vous affectant de manière significative de façon similaire.
• Retrait du consentement: lorsqu'un traitement est fondé sur votre consentement, de le retirer à tout moment, sans que cela affecte le traitement effectué auparavant.

Droit d'opposition. Lorsque nous traitons des données sur la base de l'intérêt légitime (sécurité, prévention de la fraude, statistiques, récapitulatif client, réponse aux messages), vous pouvez vous y opposer à tout moment, pour des raisons tenant à votre situation particulière. Nous cessons le traitement, sauf si nous avons des motifs légitimes et impérieux qui prévalent sur vos intérêts, droits et libertés, ou si le traitement est nécessaire à la constatation, à l'exercice ou à la défense de droits en justice. Nous n'utilisons pas vos données à des fins de prospection directe.

Comment les exercer. Écrivez à info@luna.al. Pour protéger vos données, nous pouvons vous demander d'écrire depuis l'adresse e-mail de la commande ou d'indiquer le code de la commande. Nous répondons gratuitement dans un délai de 30 jours. Lorsque la demande est complexe ou que nous recevons de nombreuses demandes, le délai peut être porté à 60 jours au maximum et nous vous en informons, en indiquant les motifs, dans les 30 premiers jours.

Lorsque vous demandez l'effacement, les données des commandes que la législation comptable nous oblige à conserver ne sont pas supprimées avant l'expiration du délai de 10 ans. Jusque-là, nous les conservons uniquement pour cette obligation et ne les utilisons à aucune autre fin.

Réclamation. Vous avez le droit d'introduire une réclamation, gratuitement, auprès du Commissaire au droit à l'information et à la protection des données à caractère personnel : Rr. “Abdi Toptani”, Nd. 5, 1001 Tiranë ; tél. +355 42 23 7200 ; numéro vert 0800 2050 ; info@idp.al; idp.al. Vous pouvez également vous adresser aux tribunaux. Si vous vous trouvez dans l'Union européenne, vous pouvez également introduire une réclamation auprès de l'autorité de protection des données de votre pays.

La connexion au site est chiffrée. Le code QR du billet contient une signature cryptographique que le serveur vérifie à chaque scan, de sorte que le billet ne peut pas être falsifié.

En cas de violation de données à caractère personnel présentant un risque pour vos droits, nous en informons le Commissaire dans les 72 heures après en avoir pris connaissance, comme l'exige l'article 29 de la loi n° 124/2024, et nous vous en informons lorsque la loi l'exige.

Lorsque la manière dont nous traitons les données change, nous mettons à jour cette page et la date figurant en haut de celle-ci. La version publiée ici est celle en vigueur.