Logiciel d’agence de voyage : peut-on y garder les passeports clients ? Questions à poser

En bref : oui, c’est possible, si vous ne gardez que les données de passeport dont une réservation a besoin, si vous les supprimez à une date que vous fixez, et si votre logiciel d’agence de voyage est fourni par un éditeur qui signe un accord de traitement des données, indique où les données sont stockées et explique comment il les supprime. Le RGPD rend votre agence responsable des données même lorsqu’un logiciel les stocke, et la plupart des outils d’itinéraires publient une partie de ces informations, mais peu les publient toutes.

Le passeport d’un client fait partie des documents que détient une agence. Ce guide vous donne donc les règles en termes simples, puis ce que disent neuf outils sur leurs propres pages, puis les questions à poser avant de téléverser quoi que ce soit. Les points clés ci-dessus donnent le résumé, et les sections qui suivent donnent les règles et les preuves. C’est une liste de contrôle, pas un conseil juridique.

Que demande le RGPD à une agence qui détient le passeport d’un client ?

Il vous demande trois choses : avoir un motif licite, ne collecter que ce dont vous avez besoin et ne le garder que le temps nécessaire. Le guide du Comité européen de la protection des données (CEPD) pour les petites entreprises indique qu’une organisation ne peut traiter que les données personnelles « nécessaires et proportionnées » à sa finalité, et que leur conservation « doit être limitée dans le temps » (CEPD, notions de base sur la protection des données).

Ce sont les principes de l’article 5 du RGPD, où la minimisation des données figure au point 5(1)(c) et la limitation de la conservation au point 5(1)(e). L’autorité italienne de protection des données énumère les mêmes principes, avec la licéité, la loyauté et la transparence, dans sa note d’éclaircissement sur les pièces d’identité, qu’elle cite avec un communiqué de presse du 29 avril 2026. En pratique, notez pour chaque document pourquoi vous le détenez, quel prestataire en a besoin et quand il sera supprimé.

Qui est responsable des données : vous ou l’éditeur du logiciel ?

C’est vous. Une agence qui décide pourquoi et comment les données de ses clients sont utilisées est le responsable du traitement, et le guide du CEPD indique qu’une petite entreprise dans cette situation est le responsable du traitement (FAQ du CEPD). La Commission européenne décrit le sous-traitant comme la partie qui « traite des données personnelles uniquement pour le compte du responsable du traitement » (Commission européenne), ce qui correspond à un outil d’itinéraires qui stocke les coordonnées de vos clients.

Le responsable du traitement est la personne ou l’organisation qui décide pourquoi et comment des données personnelles sont utilisées, et le sous-traitant est celle qui les traite pour le compte du responsable du traitement. Un accord de traitement des données (DPA) est le contrat écrit entre les deux. Le CEPD indique que cette relation « doit être régie par un contrat » qui documente le traitement, et sa FAQ, liée ci-dessus, qualifie un contrat valable d’« obligatoire ». L’article 28 du RGPD ajoute que le sous-traitant n’agit que sur vos instructions documentées, qu’il supprime ou restitue les données à la fin du service, et que le contrat est écrit, y compris sous forme électronique.

De quelle partie d’un passeport avez-vous besoin ?

Souvent de moins qu’une copie. L’autorité espagnole de protection des données (AEPD) a indiqué en juin 2025 que demander une copie de la carte d’identité ou du passeport dans un hébergement enfreint la minimisation des données de l’article 5(1)(c) (note de l’AEPD, PDF). Le Garante per la protezione dei dati personali, en Italie, a indiqué en avril 2026 que les hôtels doivent effacer les copies des documents de leurs clients une fois les données transmises aux autorités de sécurité publique, en ne gardant que l’accusé de transmission (communiqué du Garante).

Ces deux déclarations concernent des hébergeurs, pas des agences de voyage, et aucune ne mentionne les agences. Aucune consigne officielle écrite pour les agences n’est apparue dans les sources listées. Le principe est pourtant le même article du RGPD : demandez-vous donc ce dont chaque réservation a besoin. Un nom tel qu’il figure sur le passeport, un numéro et une date d’expiration ne sont pas la même chose qu’un scan. Si vous n’avez qu’à vérifier des dates, le vérificateur de validité du passeport ne demande que la date d’expiration et les dates du voyage.

Combien de temps pouvez-vous garder une copie de passeport après le voyage ?

Aucune source consultée ne donne de durée fixe. Le CEPD demande aux petites entreprises de « supprimer les données personnelles des personnes lorsqu’elles ne sont plus nécessaires », et précise que le droit national peut vous obliger à conserver certaines données, « pour des raisons fiscales » par exemple (même guide du CEPD). La durée de conservation, c’est à vous de la fixer et de pouvoir la justifier.

Une règle applicable : supprimez les copies de passeport un court délai fixe après la fin du voyage et ne gardez que les dates et les numéros qu’un prestataire ou une obligation légale exige encore. Ne gardez pas de copies « au cas où le client voyagerait de nouveau », car le redemander au client ne prend qu’un message. Vérifiez aussi que votre logiciel peut appliquer la règle à votre place : un outil qui ne permet de supprimer un document qu’à la main repose sur la mémoire de quelqu’un, alors qu’un outil qui supprime automatiquement après le voyage n’en dépend pas.

Que doit faire le logiciel pour sécuriser les données de passeport, et que faire en cas de violation ?

Il doit appliquer une sécurité « adaptée au risque », et vous aussi. L’article 32 du RGPD impose ce devoir à la fois au responsable du traitement et au sous-traitant (CEPD, sécuriser les données personnelles). L’article 33 vous donne, en tant que responsable du traitement, 72 heures après avoir pris connaissance d’une violation pour la notifier à l’autorité de contrôle, sauf si elle n’est pas susceptible d’engendrer un risque pour les personnes, et vous devez documenter chaque violation (CEPD, violations de données).

Selon l’article 33(2), un sous-traitant doit prévenir le responsable du traitement « dans les meilleurs délais », mais vos 72 heures courent quand même à partir du moment où vous en prenez connaissance. La rapidité d’un éditeur compte donc : cherchez un délai indiqué dans son DPA ou sur sa page de sécurité.

Que publient neuf outils d’itinéraires sur les données clients ?

Sur leurs propres pages publiques, un outil sur neuf publiait les cinq points que nous avons comptés : TravelJoy. Huit indiquaient où les données sont stockées, mais seuls trois nommaient un lieu en Europe. Quatre proposaient un DPA à leurs clients, quatre listaient leurs sous-traitants ultérieurs nommément, sept expliquaient comment les documents sont supprimés ou conservés, et sept décrivaient au moins une mesure de sécurité.

Comment lire le tableau : un tiret signifie qu’aucune mention n’a été trouvée sur les pages ouvertes, pas que l’éditeur ne le fait pas.

Comment avons-nous compté, et quelles sont les limites ?

Nous avons compté le 11 octobre 2026, avec des règles écrites avant d’ouvrir les pages ; deux cas limites sont expliqués plus bas. Un outil marque un point seulement si une page de son propre domaine l’indique :

1. Localisation : indique le pays ou la région où les données des clients sont stockées.
2. DPA : indique qu’un accord de traitement des données est disponible pour les clients, ou en publie un.
3. Sous-traitants ultérieurs : nomme les prestataires qui traitent des données pour son compte.
4. Suppression : indique combien de temps les documents des clients sont conservés ou comment les supprimer.
5. Sécurité : décrit au moins une mesure concrète, comme le chiffrement ou l’authentification à deux facteurs.

Le point « sous-traitants ultérieurs » de Vamoos est le plus fragile : une ligne de sa politique de confidentialité qui nomme trois services tiers. Les conditions de Wetu (version 1, section 14) contiennent une clause de sous-traitant au sens de l’article 28 ; nous les avons donc comptées comme un DPA. Sa seule déclaration de sécurité concrète figure dans le DPA d’un produit distinct, Wetu Analytics, et nous n’avons donc pas compté ce point. La page des sous-traitants ultérieurs de mTrip indique que son DPA avec OpenAI est disponible sur demande. C’est un accord avec un sous-traitant ultérieur ; nous ne l’avons donc pas compté comme un DPA proposé aux clients. Le compter ferait passer le total des DPA de 4 à 5.

Les limites du comptage : il lit des pages publiques à une date donnée, pas des contrats ni des pratiques de sécurité. Un éditeur peut proposer sur demande un DPA qu’il ne met pas en avant. Nous éditons Viaondo, qui ne fait pas partie des neuf, et nous l’avons vérifié avec nos propres pages juridiques : il remplit les cinq points (voir plus bas).

Quelles questions poser à un éditeur avant de téléverser un passeport ?

Posez-en huit, et attendez-vous à une réponse écrite à chacune. Aucune des neuf pages d’éditeurs que nous avons lues n’explique aux petites agences comment évaluer un éditeur ; cette liste est donc la nôtre, bâtie sur les points du RGPD ci-dessus.

1. Où les données des clients sont-elles stockées ? Demandez le pays, et si le support ou les fonctions d’IA les traitent ailleurs.
2. Puis-je signer un DPA ? Il doit indiquer que l’éditeur n’agit que sur vos instructions et supprime ou restitue les données à la fin du service.
3. Qui sont les sous-traitants ultérieurs ? Une liste nominative, avec leur localisation et la façon dont les changements sont annoncés.
4. Comment les documents sont-ils supprimés ? Automatiquement après le voyage, ou à la main ? Pouvez-vous supprimer le dossier d’un seul client ?
5. Quelle sécurité est appliquée ? Chiffrement en transit, accès limité par agence, liens révocables.
6. Sous quel délai me prévenez-vous d’une violation ? Un nombre d’heures, par écrit.
7. Que se passe-t-il si je résilie ? Export et suppression, avec une échéance.
8. Une IA lit-elle mes documents ? Quel fournisseur, où elle s’exécute, et si elle conserve les documents.

Le même conseil vaut pour la façon dont vos clients vous envoient leurs documents : un scan de passeport envoyé par simple e-mail ou par message instantané se retrouve dans plusieurs boîtes que vous ne contrôlez pas. Selon l’article 32, votre sécurité doit être à la hauteur du risque, et une pièce d’identité est une cible de grande valeur : utilisez le formulaire de téléversement ou le lien sécurisé de votre logiciel lorsqu’il en existe un.

Que publie Viaondo, et où s’arrête-t-il ?

Nous éditons Viaondo : vérifiez donc nos affirmations sur les pages liées. Le DPA de Viaondo est un accord de traitement des données au titre de l’article 28 du RGPD, inclus avec l’abonnement sur la page des tarifs. Sa liste de sous-traitants ultérieurs nomme Cloudflare (hébergement de l’application sur son réseau mondial, ainsi que base de données et stockage privé de fichiers sous juridiction de l’Union européenne), NaN (fonctionnalités d’IA, Union européenne) et Stripe (facturation uniquement).

Pour les passeports, la politique de confidentialité indique que les copies de passeport et les autres documents de voyage sont supprimés 30 jours après la fin du voyage. Le DPA engage Viaondo à vous informer d’une violation dans les meilleurs délais et, si possible, sous 72 heures. Il énumère ses mesures de sécurité, parmi lesquelles un stockage privé des fichiers sans adresses publiques, des liens de voyage de 256 bits aléatoires dont seule une empreinte est stockée, et des liens que vous pouvez révoquer.

Les limites comptent autant. Stripe peut transférer des données de facturation vers les États-Unis, et trois services de Cloudflare (l’application elle-même, l’envoi d’e-mails et la vérification anti-robots à la connexion) s’exécutent sur son réseau mondial. L’app ne peut pas supprimer une copie qu’un voyageur a déjà enregistrée hors ligne avant que le téléphone ne se reconnecte, et le DPA indique que le service n’est pas conçu pour des catégories particulières de données, comme les données de santé. La règle des « 30 jours après le voyage » est aussi celle de Viaondo et n’est peut-être pas la vôtre : comparez-la à la durée de conservation que vous avez fixée. Découvrez comment fonctionnent les documents dans l’app du voyageur et, si vous travaillez seul, lisez la page pour les conseillers en voyages indépendants.

Comment ce guide a été vérifié

Chaque règle vient d’EUR-Lex, du CEPD, de la Commission européenne, de l’AEPD ou du Garante, et chaque fait sur un éditeur de ses propres pages, toutes ouvertes le 11 octobre 2026. Chaque règle et chaque fait sur un éditeur ont été vérifiés par rapport à ces sources le 11 octobre 2026, dans une vérification éditoriale (fact-check) affirmation par affirmation. Ce sont des informations générales, pas un conseil juridique. Si vous trouvez une affirmation périmée, contactez-nous, et vous pouvez en savoir plus sur nous sur la page à propos. Pour choisir plus largement un outil, consultez la comparaison de dix outils d’itinéraires.