Politique de protection des données à caractère personnel

Préambule

La présente politique de protection des données à caractère personnel (la « Politique ») définit les conditions dans lesquelles la société BÂTISSEURS D'HERITAGES, cabinet d'ingénierie entrepreneuriale, financière et stratégique de droit ivoirien, SARL au capital de 5 000 000 FCFA, immatriculée au registre du commerce et du crédit mobilier sous le numéro CI-ABJ-03-2026-B13-00642 et à la DGI sous le numéro 2600276 E (la « Société »), collecte et traite des données à caractère personnel dans le cadre de l'exploitation de la plateforme OptiGest360° (la « Plateforme »).

La Plateforme est un logiciel de gestion d'entreprise accessible en ligne. Elle met à la disposition des entreprises clientes, dans une interface unique, des outils de gestion administrative, financière et comptable, de facturation, de gestion des stocks, de paie et de ressources humaines.

La Politique est établie conformément à la loi n° 2013-450 du 19 juin 2013 relative à la protection des données à caractère personnel, à son décret d'application n° 2015-79 du 4 février 2015 et aux décisions de l'ARTCI, Autorité de protection des données à caractère personnel (l'« Autorité de Protection »). Les données doivent être traitées de manière licite et loyale, pour des finalités déterminées, explicites et légitimes ; elles doivent être adéquates, pertinentes, exactes et conservées pendant une durée n'excédant pas celle nécessaire aux finalités poursuivies.

La mise en œuvre de la Plateforme donne lieu, auprès de l'Autorité de Protection, à une demande d'autorisation de traitement et à une demande d'autorisation de transfert de données hors de Côte d'Ivoire : hébergement en France et, pour les fonctions facultatives d'intelligence artificielle, recours à un prestataire situé aux États-Unis (article 13).

Article 1 – Identité du responsable du traitement

• Dénomination sociale : BÂTISSEURS D'HERITAGES
• Forme juridique : SARL au capital de 5 000 000 FCFA
• Siège social : Abidjan Cocody II Plateaux Aghien Las Palmas
• RCCM : CI-ABJ-03-2026-B13-00642
• Compte contribuable / NIF : 2600276 E
• Ligne directe OptiGest360° : +225 07 47 42 99 45 — standard : +225 27 22 31 05 98
• Support, pour toute demande : support@optigest360.com
• En dernier recours, si le support n'a pas pu répondre : support@batisseursdheritages.com

Lorsque la Société traite des données pour le compte d'une entreprise cliente et selon ses instructions, elle intervient en qualité de sous-traitant (article 11).

Article 2 – Objet de la Plateforme et des traitements

La Plateforme permet notamment :

• la création et la gestion des comptes des entreprises clientes et de leurs utilisateurs ;
• la gestion administrative, financière et comptable, la facturation, la gestion des stocks, de la paie et des ressources humaines ;
• la signature électronique de documents et leur partage, par lien sécurisé, avec les clients et partenaires de l'entreprise cliente ;
• la gestion de la prospection commerciale et, lorsque l'entreprise cliente l'active, la publication de ses offres d'emploi et la réception de candidatures ;
• des fonctions facultatives d'assistance par intelligence artificielle (article 10) ;
• l'hébergement, la sauvegarde et la sécurisation des données saisies ;
• la gestion des abonnements et de leur facturation.

La Plateforme distingue deux catégories de données, dont le régime diffère (article 11) : les données que la Société collecte pour la gestion de la relation d'abonnement, et les données que l'entreprise cliente saisit et administre elle-même dans son espace.

Article 3 – Champ d'application

La Politique s'applique aux traitements réalisés dans le cadre du site internet, de l'application et des comptes utilisateurs, des pages de partage et de signature de documents, des pages publiques créées par les entreprises clientes (offres d'emploi, vidéos de présentation), du service support, des opérations commerciales, de facturation, de maintenance et de sécurité.

Elle concerne les utilisateurs, dirigeants et représentants des entreprises clientes, les salariés, clients, fournisseurs, prospects, candidats et partenaires de celles-ci, les signataires et destinataires de documents partagés, ainsi que les prospects de la Société.

Article 4 – Données à caractère personnel traitées

4.1 Données collectées par la Société pour la relation d'abonnement

• Identification de l'entreprise et de son représentant : dénomination, forme juridique, numéro RCCM, compte contribuable, secteur d'activité, adresse, nom, fonction et coordonnées professionnelles du représentant, logo ;
• Données de compte et de connexion : adresse électronique, numéro de téléphone, mot de passe (conservé sous forme hachée), adresse IP et informations techniques du navigateur, journaux de connexion. La Plateforme ne procède à aucune géolocalisation.
• Données de facturation : coordonnées de facturation, factures et règlements. La Plateforme ne collecte aucune donnée de carte bancaire.
• Données d'usage : journal d'activité des utilisateurs dans la Plateforme, conservé 90 jours.

4.2 Données saisies par l'entreprise cliente dans son espace

L'entreprise cliente saisit et traite, sous sa responsabilité, des données relatives à ses salariés, clients, fournisseurs, prospects, candidats et partenaires : identité, coordonnées, données professionnelles, données de rémunération et de paie, coordonnées bancaires, et numéros d'identification (numéro CNPS, numéro de pièce d'identité, identifiant fiscal). Pour ces données, l'entreprise cliente est responsable du traitement et la Société sous-traitant (article 11). Compte tenu des numéros d'identification et des transferts hors de Côte d'Ivoire, ces traitements relèvent du régime de l'autorisation préalable (articles 13 et 20).

4.3 Données des signataires et destinataires de documents

Lorsqu'un document est signé électroniquement ou partagé par lien : identité et adresse électronique du signataire ou du destinataire, date et heure de la consultation ou de la signature, adresse IP, image de la signature. Ces données sont traitées pour le compte de l'entreprise cliente qui a émis le document.

4.4 Données des pages publiques des entreprises clientes

Sur les pages publiques d'offres d'emploi, un cookie permet de ne compter qu'une vue par jour et par visiteur. Sur les pages de vidéos de présentation adressées à un prospect, la date et la durée de visionnage sont enregistrées pour l'entreprise cliente qui a envoyé la vidéo.

Article 5 – Collecte directe

Les données sont collectées lors de la création du compte, de la modification du profil, de la souscription d'un abonnement, d'une demande de démonstration, d'une demande adressée au support, d'une candidature, de la signature ou de la consultation d'un document, et de l'utilisation des services. Les informations obligatoires sont signalées au moment de leur collecte.

Article 6 – Absence de collecte auprès de sources externes

La Société ne constitue pas d'annuaire, n'enrichit pas les données à partir de sources externes et ne revend aucune donnée. Les échanges avec l'administration fiscale au titre de la facture normalisée électronique sont réalisés à l'initiative et pour le compte de l'entreprise cliente.

Article 7 – Finalités des traitements

• Fourniture des services : création et gestion des comptes, des abonnements et des fonctions de gestion ;
• Facturation et encaissement des abonnements ;
• Support : réponse aux demandes et résolution des difficultés techniques ;
• Assistance par intelligence artificielle, lorsque l'utilisateur y recourt (article 10) ;
• Signature électronique et partage de documents ;
• Amélioration du service : analyse de l'usage des fonctions, à partir du journal d'activité ;
• Sécurité : prévention de la fraude, blocage des requêtes malveillantes, protection des comptes et des données ;
• Communication commerciale, dans le respect des règles applicables (article 24) ;
• Respect des obligations légales, comptables et fiscales de la Société.

Article 8 – Fondements juridiques

• L'exécution du contrat d'abonnement ;
• Le consentement de la personne concernée, pour les communications commerciales ;
• Le respect d'une obligation légale (comptable, fiscale, lutte contre la fraude) ;
• L'intérêt légitime de la Société à assurer la sécurité de la Plateforme et à prévenir les usages frauduleux, dans le respect des droits et libertés des personnes.

Lorsqu'un traitement repose sur le consentement, celui-ci peut être retiré à tout moment, sans remettre en cause la licéité du traitement antérieur.

Article 9 – Proportionnalité et minimisation

La Société ne collecte et ne traite que les données adéquates, pertinentes et nécessaires aux finalités poursuivies. Les données particulièrement sensibles ne sont pas demandées, sauf nécessité particulière et sous réserve des conditions légales et des formalités préalables applicables. Les données transmises aux prestataires sont limitées à ce qu'exige leur mission ; celles transmises au prestataire d'intelligence artificielle sont pseudonymisées au préalable (article 10).

Article 10 – Fonctions d'intelligence artificielle

Les fonctions concernées sont : la lecture des factures et des relevés bancaires importés, l'analyse des modèles de contrats de travail, la suggestion du compte comptable d'une opération, la détection d'anomalies sur les bulletins de paie et la synthèse des rapports d'activité. Elles reposent sur le prestataire Anthropic, PBC, situé aux États-Unis.

Avant tout envoi, les données personnelles sont pseudonymisées. Les noms de personnes et d'entreprises, les numéros d'identification (NCC, RCCM, CNPS, pièce d'identité), les coordonnées bancaires (IBAN, RIB, numéro de compte, numéro de carte), les numéros de téléphone, les adresses électroniques et postales et les dates de naissance sont remplacés par des jetons neutres. La correspondance entre jetons et valeurs reste sur les serveurs de la Plateforme, qui rétablissent les valeurs dans le résultat. Si ce traitement préalable échoue, aucun envoi n'a lieu. Les données dont le prestataire n'a pas besoin — par exemple le nom du salarié pour l'examen d'un bulletin de paie — ne lui sont jamais transmises.

Les résultats de ces fonctions sont des propositions : aucune écriture, aucune fiche et aucun document n'est enregistré sans la validation de l'utilisateur, et aucune décision produisant des effets à l'égard d'une personne n'est prise sur leur seul fondement.

Le prestataire agit en qualité de sous-traitant ultérieur de la Société. Engagements contractuels du prestataire : Interdiction contractuelle d'entraîner ses modèles sur les données reçues ; accord de traitement des données intégrant les clauses contractuelles types de la Commission européenne (modules 2 et 3) ; requêtes et réponses supprimées sous 30 jours, sauf obligation légale ou échange signalé comme contraire à sa politique d'utilisation (conservé jusqu'à 2 ans) ; chiffrement AES-256 au repos et TLS 1.2 ou supérieur en transit ; audits indépendants annuels.

L'entreprise cliente peut désactiver ces fonctions pour l'ensemble de son organisation depuis ses réglages ; aucune donnée n'est alors transmise au prestataire.

Article 11 – Répartition des responsabilités et sous-traitance

11.1 La Société responsable du traitement

La Société est responsable des traitements qu'elle réalise pour ses propres finalités : gestion des comptes d'abonnement, facturation, sécurité, sauvegarde et relation client (article 4.1).

11.2 La Société sous-traitant de l'entreprise cliente

Pour les données que l'entreprise cliente saisit et administre (articles 4.2 à 4.4), l'entreprise cliente est seule responsable du traitement. La Société intervient exclusivement pour son compte et selon ses instructions. À ce titre, la Société :

• n'accède pas au contenu de l'espace de l'entreprise cliente dans le fonctionnement courant, en dehors des traitements automatisés décrits à l'article 10 ;
• n'intervient sur ces données qu'à la demande de l'entreprise cliente, pour la maintenance, la correction d'anomalies ou le rétablissement du service, et journalise ces interventions ;
• ne réutilise jamais ces données pour son propre compte ;
• met en œuvre les mesures de sécurité et de sauvegarde de l'article 15 ;
• assiste l'entreprise cliente pour l'exercice des droits des personnes et la gestion des violations de données ;
• restitue puis supprime les données au terme de la relation, selon l'accord de traitement des données.

Cette relation est encadrée par l'accord de traitement des données, annexé aux conditions générales.

Article 12 – Destinataires des données

Personnel habilité de la Société, dans la limite de ses missions (support, exploitation technique, facturation).

Sous-traitants ultérieurs, liés par des engagements de sécurité et de confidentialité :

Services tiers activés par l'entreprise cliente (par exemple une messagerie d'équipe ou une synchronisation bancaire) : les données leur sont transmises sur instruction et sous la responsabilité de l'entreprise cliente.

Autorités compétentes, dans le cadre des obligations légales de la Société, notamment l'Autorité de Protection.

Opérations de restructuration : en cas de cession, de fusion ou de réorganisation affectant la Société, les données peuvent être communiquées aux entités concernées ; tout transfert hors de Côte d'Ivoire obéit alors à l'article 13.

Article 13 – Transferts de données hors de Côte d'Ivoire

13.1 Principe

Conformément aux articles 7 et 26 de la loi n° 2013-450, un transfert de données vers un pays tiers n'intervient que si ce pays assure un niveau de protection adéquat, et sous réserve de l'autorisation de l'Autorité de Protection.

13.2 Hébergement en France

L'infrastructure de la Plateforme est hébergée par LWS – Ligne Web Services, société par actions simplifiée de droit français, siège social à Paris, établissement à Golbey, dont les serveurs sont situés en France. L'ensemble des données de la Plateforme y est stocké : il s'agit d'un transfert permanent vers un pays tiers, la France n'appartenant ni à la CEDEAO ni à l'UEMOA. La Plateforme est administrée depuis la Côte d'Ivoire.

La France est soumise au Règlement général sur la protection des données (Règlement (UE) 2016/679), qui assure un niveau de protection comparable aux exigences de la loi ivoirienne. L'hébergeur déclare héberger ses serveurs en France dans des datacenters certifiés ISO 27001.

13.3 Assistance par intelligence artificielle aux États-Unis

Lorsqu'un utilisateur recourt à une fonction d'intelligence artificielle, l'extrait de document ou le libellé concerné est transmis, ponctuellement et à sa demande, à Anthropic, PBC (États-Unis), après pseudonymisation : les données qui identifient une personne sont remplacées par des jetons dont la correspondance reste sur les serveurs de la Plateforme (article 10). Si la pseudonymisation échoue, aucun envoi n'a lieu.

13.4 Autres prestataires

La supervision des erreurs (Functional Software, Inc. (Sentry), États-Unis) ne reçoit que des traces techniques, la transmission de données personnelles étant désactivée. L'acheminement des e-mails (LWS – Ligne Web Services (messagerie), France) porte sur le nom et l'adresse des destinataires et le contenu des messages.

13.5 Garanties et formalités

• engagements contractuels de sécurité et de confidentialité avec chaque prestataire ;
• mesures de sécurité de l'article 15 et pseudonymisation des envois à l'intelligence artificielle ;
• information des personnes concernées sur l'existence des transferts, leur finalité, les pays de destination et les garanties ;
• demande d'autorisation de ces transferts auprès de l'Autorité de Protection, en cours d'instruction.

13.6 Évolution

Toute modification substantielle du lieu d'hébergement ou des prestataires — notamment un rapatriement vers une infrastructure située en Côte d'Ivoire ou dans l'espace CEDEAO — fait l'objet des formalités appropriées et d'une information préalable des personnes concernées et des entreprises clientes.

Article 14 – Durées de conservation

Les pièces comptables et sociales soumises à une obligation légale de conservation ne sont pas effacées sur demande : le lien avec la personne est alors remplacé par un identifiant pseudonyme. Les données effacées disparaissent des sauvegardes au terme de leur cycle de conservation. En cas de contentieux, les données concernées sont conservées jusqu'à son règlement définitif.

Article 15 – Sécurité et confidentialité

La Société met en œuvre des mesures techniques et organisationnelles appropriées, notamment :

• le chiffrement des communications (HTTPS imposé) ;
• le hachage des mots de passe et la double authentification des utilisateurs, que l'entreprise cliente peut rendre obligatoire ;
• le cloisonnement strict des données de chaque entreprise cliente, contrôlé automatiquement à chaque évolution du logiciel ;
• la gestion des habilitations par rôles et permissions ;
• la journalisation des connexions, des actions et des interventions d'assistance ;
• le blocage des requêtes présentant des signatures d'attaque et la limitation des tentatives de connexion ;
• des sauvegardes quotidiennes, avec alerte en cas d'échec ;
• la pseudonymisation des données transmises au prestataire d'intelligence artificielle.

Article 16 – Violation de données

En cas de violation susceptible d'affecter des données personnelles, la Société met en œuvre une procédure permettant d'identifier l'incident et d'en limiter les conséquences, d'évaluer les risques pour les personnes, de prendre les mesures correctives, de documenter l'incident et d'effectuer, lorsqu'elles sont requises, les notifications à l'Autorité de Protection, aux entreprises clientes et aux personnes concernées.

Article 17 – Vos droits

Toute personne concernée dispose des droits d'accès, de rectification, d'effacement, de portabilité, de limitation, d'opposition et, lorsque le traitement repose sur son consentement, de retrait de celui-ci. Chaque utilisateur peut exporter ses données et demander leur effacement depuis son compte (Mon compte › Mes données).

Article 18 – Exercice des droits

Les demandes sont adressées au correspondant à la protection des données, à support@optigest360.com. Si le support n'a pas pu répondre, elles peuvent être adressées en dernier recours à support@batisseursdheritages.com. La Société peut demander les informations nécessaires à la vérification de l'identité du demandeur et répond dans un délai d'un mois.

Pour les données saisies par une entreprise cliente (articles 4.2 à 4.4), la demande est à adresser à celle-ci, responsable du traitement ; la Société lui transmet sans délai toute demande reçue directement.

Article 19 – Correspondant à la protection des données

Conformément à la loi n° 2013-450 et à l'arrêté n° 0099/MTND/CAB du 16 août 2024, la Société désigne un correspondant à la protection des données, chargé de veiller de manière indépendante au respect de la réglementation. Il est l'interface entre la Société, les personnes concernées et l'Autorité de Protection ; il tient le registre des traitements et traite les demandes d'exercice des droits.

• Nom et fonction : M. KOUAME N'GUESSAN Fernand, Administrateur adjoint
• Contact : support@optigest360.com — +225 07 47 42 99 45

Article 20 – Formalités auprès de l'Autorité de Protection

La Société accomplit les formalités de déclaration ou de demande d'autorisation qui lui sont applicables, dans les conditions du décret n° 2015-79 du 4 février 2015. Relèvent notamment de l'autorisation préalable les traitements portant sur des données biométriques, sur des infractions, condamnations ou mesures de sûreté, sur le numéro national d'identification ou le numéro de téléphone utilisés comme identifiants, sur des données génétiques ou médicales, et tout transfert de données vers un pays tiers (article 13).

Article 21 – Réclamation auprès de l'Autorité de Protection

Toute personne estimant que ses données sont traitées en violation de ses droits peut, après avoir exercé ses droits auprès de la Société ou lorsque les circonstances le justifient, saisir l'Autorité de Protection.

Article 22 – Interdiction de la réutilisation abusive

Les utilisateurs s'engagent à ne pas utiliser les données obtenues par l'intermédiaire de la Plateforme à des fins frauduleuses, pour usurper une identité, constituer illicitement des fichiers, revendre des données, réaliser une prospection non autorisée, harceler des personnes ou pour toute finalité contraire aux lois ivoiriennes. La Société peut suspendre ou supprimer tout compte utilisé de manière abusive.

Article 23 – Exactitude des informations

Chaque entreprise cliente demeure responsable de l'exactitude des informations qu'elle saisit. Elle s'engage à les tenir à jour, à ne pas enregistrer de fausses informations ni de données personnelles sans fondement valable, et à ne pas usurper l'identité d'une autre entreprise.

Article 24 – Communication commerciale

La Société adresse aux utilisateurs les communications nécessaires au fonctionnement du service. Les communications commerciales ne sont adressées qu'aux utilisateurs qui l'ont accepté au moyen d'une case distincte et facultative ; chacun peut s'y opposer à tout moment, depuis son compte ou par un lien de désinscription.

Article 25 – Cookies

La Plateforme n'utilise que des cookies nécessaires à son fonctionnement et à sa sécurité, et deux cookies de comptage de vues sur les pages publiques des entreprises clientes. Elle n'utilise aucun cookie publicitaire ni de mesure d'audience d'un tiers. Le détail figure dans la politique de cookies.

Article 26 – Données des mineurs

La Plateforme est destinée aux professionnels. Elle n'a pas vocation à collecter des données de mineurs ; toute collecte concernant un mineur doit respecter les dispositions légales applicables.

Article 27 – Modification de la Politique

La Société peut modifier la Politique pour tenir compte de l'évolution de la Plateforme, de la réglementation ou des recommandations de l'Autorité de Protection. Chaque version porte un numéro ; la version applicable est celle publiée sur la Plateforme. Toute modification substantielle est portée à la connaissance des utilisateurs.

Article 28 – Droit applicable et juridiction

La Politique est régie par le droit ivoirien. Tout litige relatif à son interprétation ou à son exécution relève des juridictions compétentes de Côte d'Ivoire, sous réserve des règles impératives applicables.

Article 29 – Contact

• BÂTISSEURS D'HERITAGES — Abidjan Cocody II Plateaux Aghien Las Palmas
• Support et protection des données : support@optigest360.com
• Ligne directe : +225 07 47 42 99 45 — standard : +225 27 22 31 05 98
• En dernier recours : support@batisseursdheritages.com

Annexe – Synthèse des principaux traitements