Politique de confidentialité

1. Responsable du traitement

2. Données collectées

Nous collectons uniquement les données nécessaires au fonctionnement du service :

2.1 Données d’inscription et d’identification

• Numéro de téléphone (obligatoire — identifiant principal)
• Prénom et nom
• Adresse e-mail (optionnelle, pour la connexion Google)
• Code PIN (stocké sous forme hashée, jamais en clair)
• Mot de passe (stocké sous forme hashée, jamais en clair)
• Pays et préfixe téléphonique

2.2 Données professionnelles

• Nom de l’entreprise ou boutique
• Type d’activité commerciale
• Taille de l’équipe
• Volume quotidien estimé
• Devise utilisée (FCFA par défaut)

2.3 Données métier (générées par votre utilisation)

• Ventes, factures, encaissements
• Catalogue produits et stock
• Fichier clients et fournisseurs
• Dépenses et mouvements financiers
• Bons de commande

2.4 Données de communication avec l’IA

• Messages échangés avec Fatou (chat écrit et vocal)
• Enregistrements audio (transcription vocale, appels Waxma)
• Images scannées (OCR de reçus et factures)
• Historique des conversations

2.5 Données techniques

• Adresse IP (utilisée pour la sécurité et le rate limiting, non conservée au-delà)
• Type d’appareil et navigateur (via Sentry, en cas d’erreur uniquement)
• Traces d’erreurs techniques (pour améliorer la stabilité)

2.6 Données de paiement

• Référence de transaction (via Bictorys)
• Montant et méthode de paiement (Wave, Orange Money, carte bancaire)
• Nous ne stockons jamais vos numéros de carte, identifiants Wave ou Orange Money. Le paiement est entièrement géré par notre prestataire certifié Bictorys.

3. Finalités du traitement

4. Partage des données avec des tiers

Vos données ne sont jamais vendues. Nous partageons certaines données avec des prestataires techniques strictement nécessaires au fonctionnement du service :

5. Intelligence artificielle et vos données

Toftal App intègre une assistante IA appelée Fatou. Voici comment vos données sont traitées dans ce cadre :

• Contexte métier : Fatou accède à vos données de ventes, stock et clients pour répondre à vos questions et exécuter des actions. Cet accès est limité à votre boutique et vos permissions.
• Isolation des données : Chaque utilisateur dispose d’un espace isolé (tenant). Fatou ne peut jamais accéder aux données d’un autre utilisateur.
• Entraînement : Vos données ne sont jamais utilisées pour entraîner les modèles d’IA. Nos fournisseurs (Google Gemini, Anthropic Claude) ne conservent pas vos conversations dans le cadre de leurs contrats professionnels (API).
• Audio et voix : Les enregistrements vocaux sont transcrits en texte puis supprimés. Les appels vocaux (Waxma) sont traités en temps réel et ne sont pas enregistrés, sauf les transcriptions des conversations.
• OCR : Les images de reçus envoyées pour scan sont traitées puis supprimées une fois les données extraites.

6. Cookies et stockage local

• Cookie d’authentification (HttpOnly) : Un cookie sécurisé contenant votre jeton de session. Il est indispensable au fonctionnement de l’application et ne peut pas être lu par du code JavaScript.
• Stockage local (localStorage) : Utilisé uniquement si vous activez « Se souvenir de moi ». Contient votre identifiant de session (jamais de mot de passe).
• Stockage de session (sessionStorage) : Données temporaires du formulaire d’inscription, automatiquement effacées à la fermeture du navigateur.
• Cache PWA (Service Worker) : Cache les fichiers de l’application pour un accès hors ligne.Ne met jamais en cache vos données financières, mots de passe ou jetons d’accès.

Nous n’utilisons aucun cookie publicitaire, de tracking, ou de profilage. Aucun outil de publicité ciblée n’est intégré à Toftal App.

7. Sécurité des données

Nous mettons en œuvre les mesures suivantes :

• Chiffrement en transit : Toutes les communications utilisent HTTPS/TLS.
• Chiffrement au repos : Les bases de données sont chiffrées.
• Hachage des secrets : Mots de passe et codes PIN sont hashés avec bcrypt (jamais stockés en clair).
• Isolation multi-tenant : Chaque boutique a son propre schéma de base de données, isolé des autres.
• Jetons à durée limitée : Les tokens d’accès expirent après 15 minutes, les OTP après 10 minutes.
• Rate limiting : Protection contre les tentatives d’accès abusives sur tous les endpoints sensibles.
• Signature des webhooks : Vérification HMAC-SHA256 sur tous les webhooks entrants (WhatsApp, paiements).
• Audit trail : Historique des actions sensibles tracé côté serveur.

8. Durée de conservation

9. Vos droits

Conformément à la loi sénégalaise n° 2008-12 du 25 janvier 2008 sur la protection des données personnelles et au Règlement Général sur la Protection des Données (RGPD) pour nos utilisateurs européens, vous disposez des droits suivants :

• Droit d’accès : Demander une copie de toutes les données que nous détenons sur vous.
• Droit de rectification : Corriger vos données personnelles si elles sont inexactes ou incomplètes.
• Droit de suppression : Demander la suppression de votre compte et de vos données (sous réserve des obligations légales de conservation).
• Droit à la portabilité : Recevoir vos données dans un format structuré et lisible par machine.
• Droit d’opposition : Vous opposer au traitement de vos données pour des motifs légitimes.
• Droit de limitation : Demander la restriction du traitement de vos données dans certaines circonstances.
• Retrait du consentement : Retirer votre consentement à tout moment pour les traitements basés sur le consentement (rapports WhatsApp, parrainage).

Pour exercer vos droits, contactez-nous à contact@toftal.app. Nous répondrons dans un délai de 30 jours.

Vous pouvez également saisir la Commission des Données Personnelles (CDP) du Sénégal en cas de réclamation : cdp.sn.

10. Accès aux périphériques

Toftal App peut demander l’accès aux fonctionnalités suivantes de votre appareil, toujours avec votre autorisation explicite :

• Caméra : Scanner des codes-barres (produits), des QR codes et des reçus (OCR).
• Microphone : Saisie vocale, dictée de commandes à Fatou, appels vocaux Waxma.

Aucune capture audio ou vidéo n’est effectuée en arrière-plan. Ces accès sont activés uniquement lorsque vous utilisez la fonctionnalité concernée.

11. Transferts internationaux

Certaines données sont traitées par des prestataires situés en dehors du Sénégal (voir section 4). Ces transferts sont encadrés par :

• Les clauses contractuelles types (CCT) approuvées par la Commission européenne
• Les certifications de conformité des prestataires (SOC 2, ISO 27001)
• Le chiffrement systématique des données en transit et au repos

12. Mineurs

Toftal App est destiné aux professionnels et entrepreneurs. Nous ne collectons pas sciemment les données de personnes de moins de 18 ans. Si nous découvrons qu’un mineur a créé un compte, celui-ci sera supprimé.

13. Modifications de cette politique

Nous pouvons mettre à jour cette politique pour refléter des changements dans nos pratiques ou la réglementation. En cas de modification substantielle, nous vous en informerons via l’application ou par WhatsApp. La date de dernière mise à jour est indiquée en haut de cette page.

14. Contact