Politique de Confidentialité

Le responsable du traitement des données personnelles est :

2.1 Données d'identification et de compte

• - Nom et prénom
• - Adresse email professionnelle
• - Mot de passe (stocke sous forme hashée, jamais en clair)
• - Nom de l'entreprise et forme juridique
• - Numéro de téléphone (optionnel)
• - Adresse professionnelle (optionnel)
• - Rôle au sein de l'organisation

2.2 Données métier

• - Données commerciales (clients, fournisseurs, factures, devis, commandes)
• - Données comptables (écritures, plan comptable, rapprochements)
• - Données de stock (articles, mouvements, inventaires)
• - Données RH (employés, congés, présences)
• - Documents importes (fichiers Excel, CSV, PDF)

2.3 Données d'utilisation et techniques

• - Adresse IP et informations de connexion
• - Type de navigateur et système d'exploitation
• - Pages visitées et fonctionnalités utilisées
• - Horodatages des connexions et actions
• - Conversations avec l'assistant IA (historique de chat)
• - Données vocales (si l'agent vocal est utilise) : transcription écrite de l'appel, numéros appelant et appele, sens de l'appel, date, durée et statut

2.4 Données de paiement

• - Informations de carte bancaire (traitées exclusivement par le prestataire de paiement — Chaabi Payment pour le Maroc, Stripe pour l'international — et jamais stockées sur nos serveurs)
• - Historique de facturation et abonnements

2.5 Précision sur les appels vocaux

Lorsque vous utilisez l'agent vocal, la transcription écrite de l'appel est conservée dans votre espace de travail. Elle répond à trois usages : permettre à l'assistant de poursuivre dans le chat une conversation commencée à l'oral avec l'assistant vocal de la plateforme, vous donner l'historique de vos appels, et servir de trace en cas de contestation sur une demande passée par ce canal.

Ces transcriptions sont rattachees à votre espace de travail : chaque accès est filtre par entreprise, et l'écran d'historique des appels est réserve aux profils de niveau Manager et au-dessus (Manager, Administrateur, Propriétaire). L'assistant conversationnel peut par ailleurs réutiliser le contenu du dernier appel de votre entreprise pour répondre à l'utilisateur qui poursuit cette conversation dans le chat.

L'appel et sa transcription sont traités par nos prestataires vocaux et d'intelligence artificielle mentionnés en section 7. Ces transcriptions ne sont ni vendues, ni utilisées à des fins publicitaires.

Nous traitons vos données personnelles sur les bases légales suivantes :

• Exécution du contrat (Art. 6.1.b RGPD) : le traitement de vos données de compte et données métier est nécessaire à l'exécution du service SaaS auquel vous avez souscrit.
• Intérêt légitime (Art. 6.1.f RGPD) : le traitement des données d'utilisation et techniques pour assurer la sécurité de la plateforme, prévenir la fraude et améliorer le service.
• Obligation légale (Art. 6.1.c RGPD) : le traitement des données de facturation pour respecter nos obligations comptables et fiscales.
• Consentement (Art. 6.1.a RGPD) : pour l'utilisation de cookies non essentiels et l'envoi de communications marketing.

Vos données sont traitées pour les finalités suivantes :

• - Fourniture et gestion de votre accès à la plateforme MAOS
• - Traitement et stockage de vos données métier (ERP)
• - Fonctionnement de l'assistant IA conversationnel et de l'agent vocal
• - Génération de rapports, analyses et tableaux de bord
• - Gestion de la facturation et des abonnements
• - Support technique et assistance client
• - Amélioration et développement de la plateforme
• - Sécurité, prévention de la fraude et détection d'anomalies
• - Respect de nos obligations légales et réglementaires

5.1 Localisation. L'ensemble de vos données sont hébergées sur des serveurs situés dans l'Union Européenne, conformément aux exigences du RGPD en matière de résidence des données.

5.2 Isolation des données. Chaque entreprise cliente dispose d'un espace de travail complètement isole (tenant). Les données d'une entreprise ne sont jamais accessibles par une autre entreprise. Cette isolation est garantie au niveau de l'infrastructure technique et des couches applicatives.

5.3 Sauvegardes. Des sauvegardes automatiques sont effectuées quotidiennement. Les sauvegardes sont chiffrées et stockées dans un emplacement géographiquement distinct au sein de l'UE.

Nous conservons vos données selon les durées suivantes :

Nous faisons appel à un nombre limite de sous-traitants techniques, chacun lie par un accord de traitement des données (DPA) conforme au RGPD :

Les données transmises aux sous-traitants sont limitées au strict nécessaire pour la finalité concernée. Les sous-traitants situés hors UE font l'objet de clauses contractuelles types approuvées par la Commission Européenne.

Nous ne vendons jamais vos données personnelles à des tiers. Nous ne partageons pas vos données à des fins publicitaires.

Conformément au RGPD et aux législations applicables, vous disposez des droits suivants :

• Droit d'accès (Art. 15 RGPD) : obtenir une copie de toutes les données personnelles que nous détenons à votre sujet.
• Droit de rectification (Art. 16 RGPD) : corriger toute donnée inexacte ou incomplète vous concernant.
• Droit à l'effacement (Art. 17 RGPD) : demander la suppression de vos données personnelles, sous réserve de nos obligations légales de conservation.
• Droit à la portabilité (Art. 20 RGPD) : recevoir vos données dans un format structure, couramment utilise et lisible par machine (CSV, PDF).
• Droit d'opposition (Art. 21 RGPD) : vous opposer au traitement de vos données fonde sur l'intérêt légitime.
• Droit à la limitation du traitement (Art. 18 RGPD) : demander la suspension du traitement de vos données dans certaines circonstances.
• Droit de retrait du consentement : retirer votre consentement à tout moment pour les traitements fondes sur celui-ci, sans affecter la licite du traitement effectue avant le retrait.

Pour exercer vos droits, contactez notre Délégué à la Protection des Données à l'adresse : info@biotracabilite.com. Nous répondrons à votre demande dans un délai de 30 jours.

En cas de réponse insatisfaisante, vous pouvez introduire une réclamation auprès de la Data Protection Commission (DPC) irlandaise ou de toute autorité de contrôle compétente dans votre pays de résidence.

9.1 Cookies essentiels (obligatoires)

• - Session d'authentification : maintient votre connexion sécurisée (durée : session)
• - Jeton JWT : authentification API sécurisée (durée : 24 heures)
• - Préférences utilisateur : langue, theme (durée : 12 mois)

9.2 Cookies d'analyse (optionnels)

• - Métriques d'utilisation anonymisées pour améliorer l'expérience utilisateur
• - Suivi des performances de la plateforme

Les cookies non essentiels ne sont déposés qu'après votre consentement explicite. Vous pouvez modifier vos préférences de cookies à tout moment depuis les paramètres de votre compte ou les paramètres de votre navigateur.

Nous mettons en oeuvre des mesures techniques et organisationnelles appropriées pour protéger vos données contre tout accès non autorisé, perte, altération ou divulgation :

• Chiffrement en transit : toutes les communications sont chiffrées via TLS 1.3 (HTTPS)
• Chiffrement au repos : les données vocales sensibles (transcriptions d'appels) sont chiffrées en AES-256-GCM
• Authentification sécurisée : mots de passe hashés avec bcrypt, tokens JWT signes
• Isolation multi-tenant : chaque entreprise dispose d'un espace complètement isole
• Contrôle d'accès : rôles et permissions granulaires (RBAC)
• En-têtes de sécurité : CSP, HSTS, X-Frame-Options, X-Content-Type-Options
• Protection API : rate limiting, validation des entrées, protection CSRF
• Journal d'audit : tracabilite de toutes les actions sensibles

Vos données sont principalement stockées et traitées au sein de l'Union Européenne. Certains sous-traitants (Stripe) sont situés aux États-Unis. Ces transferts sont encadres par :

• - Les clauses contractuelles types (CCT) approuvées par la Commission Européenne
• - Le cadre de protection des données UE-USA (EU-US Data Privacy Framework), le cas échéant
• - Des mesures supplémentaires de sécurité technique (chiffrement, minimisation des données)

MAOS est un service professionnel destine aux entreprises. Nous ne collectons pas sciemment de données personnelles de mineurs de moins de 16 ans. Si nous découvrons que des données d'un mineur ont été collectées, nous les supprimerons dans les meilleurs délais.

Pour nos utilisateurs résidant au Maroc, nous nous conformons aux dispositions de la loi n 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel. A ce titre :

• - Les traitements de données personnelles sont déclarés auprès de la Commission Nationale de contrôle de la protection des Données à caractère Personnel (CNDP)
• - Les droits d'accès, de rectification et d'opposition prévus par la loi marocaine sont garantis
• - Le transfert de données hors du Maroc est effectué conformément aux articles 43 et 44 de la loi 09-08
• - Les utilisateurs marocains peuvent également saisir la CNDP pour toute réclamation : www.cndp.ma

Nous nous réservons le droit de modifier la présente politique de confidentialité à tout moment. Les modifications significatives seront notifiées par email ou via l'interface de la plateforme au moins 30 jours avant leur entrée en vigueur. La date de dernière mise à jour est indiquée en haut de cette page.