Politique de confidentialité

1. Responsable du traitement

Le responsable du traitement de vos données personnelles est Soam Group SARLU, société à responsabilité limitée unipersonnelle de droit guinéen, dont le siège social est situé à Conakry, Guinée, exploitant la Plateforme SoamPay.

Pour toute question relative à vos données personnelles ou pour exercer l'un des droits décrits en section 9, vous pouvez joindre :

• E-mail : support@soampay.gn — Copie à privacy@soampay.gn ; cette boîte doit être créée (voir section 13) ;
• Courrier : Soam Group SARLU, [À COMPLÉTER — adresse postale complète, Conakry, Guinée].

[À COMPLÉTER — designation d'un responsable de la protection des données (« DPO » / « Correspondant ») et coordonnées directes, si cette nomination est requise en application du droit applicable.]

2. Principes et champ d'application

Nous traitons vos données personnelles conformément à la loi guinéenne applicable en matière de protection des données personnelles, au droit de l'UEMOA le cas échéant, et — pour les personnes résidant dans l'Union européenne — au Règlement (UE) 2016/679 (RGPD).

Nos principes :

• Minimisation : nous ne demandons que les données nécessaires à la fourniture du service et au respect de nos obligations légales ;
• Finalité déterminée : chaque donnée collectée a une ou plusieurs finalités identifiées, jamais un usage caché ;
• Transparence : cette politique décrit ce que nous faisons réellement, y compris lorsqu'il s'agit de données sensibles ou de tiers ;
• Limitation des durées : les données ne sont pas conservées indéfiniment ; les durées figurent en section 8 ;
• Sécurité : mesures techniques et organisationnelles raisonnables, décrites en section 7 ;
• Traçabilité : les actions sensibles des utilisateurs et administrateurs sont journalisées.

Cette politique s'applique aux marchands, utilisateurs, entreprises, personnes physiques et morales inscrites sur la Plateforme, ainsi qu'aux visiteurs des pages publiques. Elle couvre également, dans la limite de notre contrôle, les données transmises par les API de paiement et les webhooks.

3. Catégories de données collectées

Nous collectons les catégories de données suivantes. Ce tableau décrit ce que la Plateforme stocke réellement.

3.1 Données d'identification et de compte

• Identité : nom, adresse e-mail, numéro de téléphone, photo de profil (avatar), pour créer et sécuriser votre compte.
• Authentification : mot de passe stocké sous forme de hash, jeton de vérification d'e-mail, jetons d'authentification multifacteur, clés d'API (seule la partie non secrète est conservée).
• Compte : rôle (marchand, administrateur), statut du compte, date de dernière connexion.

3.2 Données de profil professionnel

Lorsque vous créez une entreprise : raison sociale, identifiant public (« slug »), description, logo, site web, e-mail et téléphone de contact, adresse, ville et pays d'établissement, ainsi que des métadonnées libres que vous renseignez.

3.3 Données de vérification d'identité (sensibles)

Dans le cadre de la vérification d'identité, la Plateforme est amenée à traiter : type de vérification, identifiant de session du prestataire, statut de la vérification, statut renvoyé par le prestataire, score de risque et décision associée, dates de début et de validation.

Les images de vos pièces d'identité et les Captures de votre visage ne sont pas conservées sur nos serveurs : elles sont traitées par un prestataire spécialisé (voir sections 5 et 6). Nous conservons cependant, pour une durée limitée, les événements techniques de vérification et leur charge utile, ainsi que des traces de contrôle et de décision.

3.4 Données de paiement et de transaction

• Données que vous fournissez sur vos ventes : pour chaque transaction, le nom, le téléphone et, le cas échéant, l'e-mail du payeur, le montant, la devise, la référence, votre description interne, ainsi que la référence renvoyée par l'opérateur de paiement.
• Données de comptabilité : solde et mouvements de votre portefeuille interne, frais appliqués, versements et retraits, remboursements.
• Moyens de paiement : le type de moyen utilisé (carte, Orange Money, MTN Mobile Money). Nous ne stockons ni numéro de carte complet, ni cryptogramme visuel, ni date d'expiration : ces éléments sont traités par le réseau bancaire ou l'opérateur, et seuls des jetons de référence sont conservés.
• Destinataires des fonds : coordonnées bancaires ou de monnaie électronique mobile que vous fournissez pour vos retraits.

3.5 Données techniques et de sécurité

• Connexion : adresse IP, agent utilisateur du navigateur, horodatage des connexions, historique des activités de session.
• Appareils : empreinte du navigateur et des caractéristiques de l'appareil (technologie dite « fingerprint »), afin de détecter les connexions inhabituelles et de prévenir la fraude.
• Journaux techniques et d'audit : actions effectuées, auteur de l'action, horodatage, cible concernée — y compris pour les administrateurs de la Plateforme.
• Alertes de fraude : règles déclenchées et signaux de risque détectés lors des opérations.

3.6 Données de support et de correspondance

Lorsque vous contactez notre support ou notre équipe commerciale : contenu de votre message, objet, nom et e-mail. Les échanges ultérieurs sont conservés dans votre espace support afin de permettre le suivi de votre demande.

3.7 Données de prospection

Les messages envoyés depuis le formulaire de contact sont conservés le temps du traitement de la demande et, le cas échéant, de la relation commerciale qui en découle.

4. Finalités et bases légales

Nous traitons vos données pour les finalités suivantes. À défaut de votre consentement, qui ne peut être enregistré que pour les traitements facultatifs, le traitement repose sur l'exécution du contrat conclu avec vous, l'intérêt légitime de SoamPay, le respect d'une obligation légale, ou l'intérêt public.

4.1 Exécution du contrat

Ces traitements sont nécessaires à la fourniture du service et ne peuvent être refusés sans rendre le service impossible : création et sécurisation du compte, vérification d'identité, création de liens de paiement et de QR codes, traitement des paiements, tenue du portefeuille, traitement des retraits, envoi des notifications de service et communications liées à votre compte, assistance technique, délivrance des factures et relevés.

4.2 Intérêt légitime

• Sécurité et prévention de la fraude : analyse des appareils, des connexions et des transactions afin de prévenir les transactions frauduleuses, le vol d'identité et les tentatives de blanchiment.
• Amélioration et sécurité du service : diagnostic des erreurs, supervision technique, mise à jour.
• Conservation des preuves : conservation des transactions et des journaux d'audit en cas de contestation, de réclamation client ou d'enquête.

Vous pouvez vous opposer à ces traitements à tout moment, sur la base de la section 9, sans que cela n'ait pour effet de rendre le service inutilisable.

4.3 Respect d'une obligation légale

Obligations de conservation comptable, fiscale et réglementaire ; obligations de lutte contre le blanchiment de capitaux et le financement du terrorisme, notamment l'obligation de connaître votre client, de vérifier votre identité et, le cas échéant, de déclarer des opérations à l'autorité compétente ; obligations de coopération en cas de requête d'autorité publique ou judiciaire.

4.4 Prospection

Si vous avez accepté de recevoir des communications commerciales, nous vous contactons par e-mail ou par téléphone. Ce traitement repose sur votre consentement, que vous pouvez retirer à tout moment via le lien de désinscription présent dans chaque message ou en nous écrivant. Vous ne subirez aucune conséquence si vous refusez.

4.5 Mesure d'audience des pages publiques

Les pages publiques (accueil, tarifs, à propos) affichent des chiffres — volume traité, nombre de marchands actifs, taux de réussite — calculés de manière agrégée à partir des données de la Plateforme. Aucune donnée personnelle n'est transmise à un tiers pour mesurer votre navigation : la Plateforme n'utilise aucun outil d'audience externe. En revanche, ces chiffres sont calculés à partir de l'activité de la plateforme, y compris la vôtre : ils sont statistiques et ne permettent pas de vous identifier.

5. Données sensibles : identité et biométrie

Les données d'identité (numéro de pièce, copie de pièce d'identité) et les données biométriques issues d'une capture de visage constituent des données sensibles au sens de l'article 9 du RGPD. Elles appellent une vigilance renforcée, et nous les traitons avec les précautions suivantes :

• Sous-traitant unique et spécialisé : la vérification biométrique et documentaire est confiée à un prestataire de vérification d'identité (section 6). Nous ne pratiquons pas nous-mêmes de reconnaissance faciale.
• Aucune conservation des images : nous ne conservons ni la copie de votre pièce d'identité, ni votre capture de visage.
• Conservation limitée des résultats : nous conservons le statut de la vérification, un score de risque et une décision, et les événements techniques de vérification — pour une durée strictement limitée et purgée automatiquement (section 8).
• Consentement : en soumettant une pièce d'identité et une capture, vous consentez expressément à leur traitement par le prestataire, aux seules fins de vérifier votre identité et de prévenir la fraude. Vous pouvez retirer ce consentement à tout moment via le dispositif d'effacement décrit en section 9.

Si vous exercez votre droit d'opposition ou d'effacement sur ces données, la vérification est conservée comme « réussie » mais sa charge utile est vidée : votre compte reste utilisable et vos retraits ne sont pas bloqués indûment, mais la preuve d'identité n'est plus détenue par nos soins. Une nouvelle vérification vous sera demandée lors du prochain renouvellement, ou immédiatement si notre équipe de conformité l'estime nécessaire.

6. Sous-traitants et transferts hors Guinée

Nous faisons appel aux catégories de tiers suivants pour fournir la Plateforme. Ils traitent vos données sur nos instructions, pour les finalités et durées indiquées.

6.1 Prestataire de vérification d'identité

La vérification d'identité documentaire et biométrique est confiée à un prestataire spécialisé, Didit, qui héberge son parcours de vérification et réalise les contrôles. Les données transmises à ce prestataire sont strictement limitées à ce qui est nécessaire à la vérification : identifiant de session et de flux, nom et prénom, et les images de la pièce d'identité et du visage fournies dans le parcours hébergé par lui. Nous recevons en retour un statut, un score de risque et une décision.

[À COMPLÉTER — pays d'établissement du prestataire, localisation de ses serveurs, existence d'une clause de transfert de données, et conclusion d'un accord de sous-traitance conforme.]

6.2 Prestataires techniques

• Hébergement : [À COMPLÉTER — nom et pays de l'hébergeur des serveurs et des sauvegardes]. Les données de la Plateforme sont donc susceptible d'être traitées hors de Guinée.
• Réseaux de paiement et opérateurs de monnaie électronique : Orange Guinée et MTN Guinée, ainsi que les réseaux de cartes, traitent les données nécessaires à l'exécution des paiements, selon leurs propres règles. Nous ne maîtrisons pas leurs traitements.
• Service d'envoi d'e-mails : [À COMPLÉTER — nom du fournisseur de messagerie et pays de traitement] — utilisé pour les vérifications d'adresse, les notifications de sécurité et les communications de service.
• Réseaux de diffusion de contenu (CDN) : nos pages publiques chargent la bibliothèque d'interface Alpine.js depuis jsDelivr et leurs polices depuis fonts.bunny.net. Ces requêtes communiquent à ces fournisseurs votre adresse IP et votre agent utilisateur, et sont donc soumises à leurs propres politiques de confidentialité.
• Authentification Google : si vous choisissez de vous connecter avec un compte Google, Google traite les données de votre compte selon ses propres conditions ; nous ne recevrons que votre adresse e-mail et votre identité vérifiée par ce service.

6.3 Transferts hors Guinée

Les données de la Plateforme sont stockées chez [À COMPLÉTER — hébergeur et pays] et transmises à des prestataires établis hors de Guinée pour la vérification d'identité, la messagerie et la diffusion de contenu. Ces transferts sont encadrés contractuellement et limités à ce qui est nécessaire à chaque finalité. Vous pouvez obtenir les informations détaillées sur les pays de destination et les garanties applicables en écrivant à privacy@soampay.gn.

7. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles raisonnables pour protéger vos données, notamment :

• chiffrement des échanges entre votre navigateur et nos serveurs (TLS) ;
• stockage des mots de passe sous forme de hash, jamais en clair, et stockage des clés d'API sous forme tronquée ou hachée ;
• authentification multifacteur, activable par vous et imposée selon votre niveau de risque ;
• corrélation des appareils et des connexions pour détecter une prise de contrôle de compte ;
• contrôle d'accès interne reposant sur le principe du moindre privilège, et journalisation des actions d'administration ;
• sauvegardes régulières et procédure de restauration testée.

En cas de violation de données susceptible de porter atteinte à vos droits et libertés, nous nous efforcerons d'en informer les autorités compétentes dans les délais prescrits et vous informerons des mesures prises. La Plateforme étant en phase de lancement, le niveau de maturité de ces dispositifs est en progression.

8. Durées de conservation

Nous ne conservons pas vos données au-delà de ce qui est nécessaire. Les durées applicables sont les suivantes ; lorsque la loi impose une durée plus longue, celle-ci prime.

8.1 Données d'identité et de vérification

• Charge utile des événements de vérification : purgée automatiquement après 90 jours. La ligne technique est alors conservée sans les données personnelles, afin de préserver la traçabilité et la protection contre le rejeu d'un événement.
• Décision de vérification et informations de resoumission : purgées après 12 mois pour les vérifications achevées. Le statut, la date de validation et le score de risque sont conservés : le compte demeure vérifié et l'audit reste lisible, sans conservation du document d'identité.
• Vérifications en cours : non purgées tant qu'elles servent à instruire une demande ou une nouvelle soumission.

8.2 Données de transaction et comptables

Les transactions, frais, versements et retraits sont conservés pendant la durée requise par les obligations comptables et fiscales applicables, et au minimum pendant [À COMPLÉTER — durée légale de conservation comptable et fiscale applicable] à compter de la date de l'opération. Ces données peuvent ne pas être supprimées à votre demande tant que cette obligation subsiste.

8.3 Données techniques

Les journaux techniques d'authentification et de session sont conservés pour une durée limitée. Les clés d'identification technique des opérations sont purgées après 7 jours. Les empreintes d'appareil sont conservées le temps nécessaire à la détection de fraude, puis purgées.

8.4 Données de support et de correspondance

Les échanges avec le support sont conservés pendant la durée du traitement de la demande et, pour les demandes liées à un compte, pendant la durée de vie du compte. Les demandes de contact sans suite commerciale sont purgées après [À COMPLÉTER — durée de conservation commerciale retenue].

8.5 Fermeture de compte

Lorsque vous fermez votre compte, celui-ci est archivé et non supprimé si vous disposez d'un historique de transactions, afin de préserver votre solde, votre piste d'audit et nos obligations comptables : la suppression pure et simple détruirait ces éléments. Les données d'identité, elles, sont purgées comme indiqué en section 8.1. Le compte archivé reste identifiable dans nos systèmes pendant la durée requise par la loi, et vos accès sont immédiatement révoqués : vous ne pouvez plus vous connecter ni utiliser la Plateforme.

Si vous n'avez aucun historique financier, la fermeture entraîne la suppression du compte et de ses jetons d'accès, ainsi qu'une trace d'audit indiquant l'opération et son auteur.

9. Vos droits

Sous les conditions et limites prévues par la loi applicable, vous disposez des droits suivants sur vos données personnelles.

9.1 Droit d'accès et de copie

Vous pouvez obtenir la confirmation que vos données sont traitées et en recevoir une copie. Vous pouvez consulter vous-même, directement dans la Plateforme, la majorité de vos données : informations de compte, transactions, frais, retraits, historique de connexion, clé d'API (partie visible), vérifications. Pour une copie complète, écrivez à support@soampay.gn.

9.2 Droit de rectification

Vous pouvez corriger vos données d'identification, de contact et de profil depuis les paramètres de votre compte. Pour les autres données (historique de transaction, décisions de vérification, journaux), la rectification n'est pas possible lorsque la donnée est le support d'une obligation légale ou comptable : nous pouvons alors vous en indiquer les motifs.

9.3 Droit à l'effacement

Vous pouvez demander l'effacement de vos données d'identité (pièce d'identité, capture de visage, décision de vérification) directement depuis votre espace de vérification, ou en écrivant à support@soampay.gn. L'effacement porte sur les données d'identité biométriques et sur la charge utile associée, comme expliqué en section 5.

Vous pouvez également demander la fermeture de votre compte depuis les paramètres. Les limites inhérentes à la conservation des données comptables, d'audit et réglementaires sont détaillées en section 8.5 : elles peuvent faire obstacle à un effacement total si vous avez un historique de transactions, ce que nous vous signalons avant toute suppression.

9.4 Droit à la limitation

Vous pouvez demander la suspension temporaire du traitement de certaines de vos données, par exemple pendant la résolution d'une contestation portant sur une transaction, sans que cela n'emporte la fermeture de votre compte.

9.5 Droit d'opposition

Vous pouvez vous opposer, pour des motifs tenant à votre situation particulière, aux traitements fondés sur notre intérêt légitime (section 4.2), notamment à la prévention de la fraude. Nous pouvons alors être contraints de limiter certains contrôles nécessaires à la sécurité de la Plateforme et de votre compte.

9.6 Droit à la portabilité

Vous pouvez recevoir les données que vous nous avez fournies, dans un format structuré et lisible par machine. À noter : la Plateforme n'offre pas d'auto-service pour cet export. Seuls vos relevés de transactions sont exportables directement en format CSV depuis votre espace transactions. Pour un export complet, vous devez faire une demande : nous vous le fournissons dans un délai raisonnable, en nous contactant à l'adresse ci-dessus.

9.7 Exercer vos droits

Adressez votre demande à privacy@soampay.gn ou support@soampay.gn, ou par courrier à l'adresse indiquée en section 1. Indiquez l'adresse e-mail associée à votre compte, la nature de votre demande et, le cas échéant, l'objet de celle-ci. Nous répondons dans les délais prévus par la loi applicable. Vous pouvez également introduire une réclamation auprès de l'autorité de protection des données compétente.

9.8 Vérification de votre identité

Pour protéger vos données, nous vérifions votre identité avant d'exécuter toute demande d'accès ou d'effacement. Cette vérification ne doit pas être confondue avec la vérification d'identité(KYC) décrite en section 5 : c'est une mesure de sécurité ponctuelle.

10. Cookies et traceurs

La Plateforme n'utilise aucun cookie publicitaire, de mesure d'audience ou de réseau social, et n'intègre aucun traceur tiers de ce type.

• Session : un cookie strictement nécessaire au maintien de votre session de connexion, sowie qu'un jeton de protection contre les requêtes intersites (« CSRF »). Ces cookies sont indispensables au fonctionnement du service et ne peuvent pas être désactivés sans empêcher la connexion.
• Préférences d'affichage : le thème clair ou sombre est enregistré dans le stockage local de votre navigateur, et non dans un cookie.
• Sans cookie de mémorisation : la connexion n'utilise pas de cookie « se souvenir de moi ».

Comme aucun traceur non essentiel n'est déposé, aucun bandeau de consentement n'est requis pour l'usage de la Plateforme. Si nous introduitons un outil d'audience ou de publicité à l'avenir, cette politique sera mise à jour avant son activation et un consentement vous sera demandé.

11. Mineurs

La Plateforme est réservée aux personnes majeures agissant dans le cadre d'une activité professionnelle. Nous ne collectons pas sciemment de données concernant des personnes mineures. Si vous constatez qu'un compte mineur a été créé, contactez-nous : nous le supprimerons après vérification.

12. Modifications

Nous pouvons mettre à jour cette politique, notamment pour refléter une évolution de la Plateforme, de nos sous-traitants ou de la réglementation. La date de dernière mise à jour figure en haut de page. En cas de modification substantielle affectant la nature ou les finalités de vos traitements, nous vous informerons au moins [À COMPLÉTER — délai de préavis] à l'avance par e-mail ou par un avis visible dans la Plateforme. Vous pouvez alors nous opposer ou fermer votre compte.

13. Contact

Pour toute question, demande ou réclamation relative à vos données personnelles :

• Protection des données : privacy@soampay.gn
• Assistance générale : support@soampay.gn
• Courrier : Soam Group SARLU, [À COMPLÉTER — adresse postale complète, Conakry, Guinée]