1. Responsable du traitement
Le responsable du traitement est [Raison sociale de l’entité exploitante], siège social [adresse], Togo. Délégué à la protection des données : privacy@kessia.app.
Ces informations seront complétées une fois l’entité exploitante constituée.
2. Données collectées
KESSIA applique le principe de minimisation. Sont traitées :
- Identité et compte : téléphone, nom, prénom, e-mail (facultatif), mot de passe (haché), rôle, langue, ville, profession, type de profil déclaré.
- Vérification d’identité (KYC) : type et images des pièces fournies, selfie, statut du dossier, motifs de décision. Les pièces sont stockées dans un espace privé et ne sont accessibles qu’à l’équipe conformité via des liens signés de courte durée.
- Wallet et opérations : solde, écritures du journal comptable (dépôts, transferts, cotisations, retraits), références d’opérations, paiements (simulés).
- Tontines : appartenance, cotisations, versements, contrat numérique accepté, journal d’événements.
- Activité Business : entreprise, produits, ventes, dépenses, clients et fournisseurs que vous saisissez, devis et factures, objectifs, plan d’affaires généré.
- Assistance : conversations avec KESSIA AI, tickets de support et messages.
- Sécurité : journaux d’audit des actions sensibles, empreinte d’appareil (dérivée d’en-têtes techniques, non invasive), adresse IP hachée, alertes anti-fraude, sessions actives.
- Notifications : préférences par catégorie, journal de distribution.
KESSIA ne collecte pas de données de localisation précise, ne pratique pas de fingerprinting publicitaire et ne revend jamais vos données.
3. Finalités et bases légales
| Finalité | Base légale |
|---|
| Fournir le service (compte, wallet, tontines, Business) | Exécution du contrat |
| Vérification d’identité, plafonds, lutte anti-blanchiment | Obligation légale |
| Sécurité, prévention de la fraude, journaux d’audit | Intérêt légitime · Obligation légale |
| Assistance et support | Exécution du contrat |
| Amélioration du service (statistiques agrégées, sans identification) | Intérêt légitime |
| Communications non essentielles (nouveautés) | Consentement (révocable) |
Les tableaux de bord d’administration n’utilisent que des agrégats sans donnée nominative. KESSIA AI répond à partir de vos données mais ne peut rien inventer (solde, paiement, rendement) et applique les mêmes contrôles d’accès que le reste du service.
4. Partage et sous-traitants
Vos données ne sont partagées qu’avec :
- Supabase — hébergement de la base de données et stockage des documents KYC (région
eu-west-1). - Vercel — hébergement de l’application et de l’API.
- Upstash — limitation de débit et cache (données techniques uniquement).
- Les autorités compétentes, sur demande légale (réquisition, injonction, obligations anti-blanchiment).
- À l’avenir et sous contrat : les partenaires de paiement (opérateurs Mobile Money, banques) pour l’exécution des dépôts et retraits réels, ainsi qu’unprestataire de vérification d’identité.
Chaque sous-traitant est encadré par un accord de traitement (DPA). La cartographie complète est tenue à jour et communiquée sur demande.
5. Durées de conservation
Durées indicatives, à confirmer avec le conseil juridique selon la réglementation applicable.
| Donnée | Durée |
|---|
| Compte actif | Durée de la relation |
| Dossiers et pièces KYC | 5 à 10 ans après la fin de la relation (obligation LAB-FT) |
| Écritures du journal comptable / opérations | 10 ans (obligation comptable) |
| Journaux d’audit | 5 ans |
| Journaux techniques applicatifs | 6 à 12 mois |
| Codes OTP | Usage unique, expiration 10 minutes |
| Sessions | Expiration après 30 jours |
| Conversations KESSIA AI | Jusqu’à effacement par l’utilisateur |
6. Sécurité
- Chiffrement en transit (TLS) et au repos (hébergeur) ; pièces KYC dans un espace privé avec accès par liens signés de courte durée.
- Double authentification, contrôle d’accès par rôle, limitation de débit, anti-brute-force, validation systématique côté serveur.
- Détection des activités inhabituelles (règles) avec revue humaine ; aucune décision de blocage de fonds n’est automatique.
- Journaux d’audit immuables applicativement ; jamais de mot de passe, code OTP ou contenu de document journalisé en clair.
- Procédure de sauvegarde et de reprise documentée ; notification des violations de données conformément à la réglementation.
7. Vos droits
Vous disposez des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Depuis l’écran « Confidentialité & données » :
- Export : génération immédiate d’une archive de vos données (identité, wallet et journal, paiements, tontines, Business, métadonnées KYC sans les pièces, notifications, tickets).
- Suppression : dépôt d’une demande. L’effacement est réalisé selon une procédure encadrée, sous réserve des obligations légales de conservation ci-dessus. Le nettoyage des pièces KYC dans le stockage est effectué dans le même cadre.
- Consentements : les communications non essentielles sont désactivables à tout moment.
8. Transferts hors zone
Les données sont hébergées dans l’Union européenne (région eu-west-1). Tout transfert vers un pays tiers serait encadré par des garanties appropriées (clauses contractuelles types ou équivalent).
9. Cookies et traceurs
KESSIA n’utilise pas de cookies publicitaires ou de mesure d’audience tierce. Sont utilisés uniquement : un cookie d’authentification (jeton d’accès), et un stockage local pour vos préférences (thème, langue, brouillons). Aucun de ces éléments n’est partagé avec des tiers.
Pour toute question ou pour exercer vos droits : privacy@kessia.app ou depuis l’onglet Support. Vous pouvez également saisir l’autorité de protection des données compétente au Togo.