Politique de confidentialité

Le responsable du traitement des données à caractère personnel décrites dans la présente politique est SustainTech Africa, société de droit béninois (voir les mentions légales pour son identification complète). Pour toute question relative à la protection des données ou pour exercer les droits décrits à l'article 7, contactez : dpo@imaraesg.africa.

• Données de compte : nom, prénom, adresse e-mail professionnelle, fonction, mot de passe (haché, jamais stocké en clair), statut de l'authentification multi-facteurs, journaux de connexion ;
• Données d'organisation : raison sociale, secteur d'activité, effectif, informations déclaratives ESG saisies dans le questionnaire ;
• Documents justificatifs téléversés : factures, preuves comptables ou réglementaires et, pour la validation des comptes Parent/Investisseur, extrait de registre de commerce et pièce d'identité du représentant légal, susceptibles de contenir incidemment des données personnelles de tiers ;
• Journaux techniques : adresse IP, agent utilisateur, horodatage des actions, journaux d'audit des accès et des modifications sensibles ;
• Données de facturation : nom et coordonnées de facturation de l'Organisation ; les données de moyen de paiement proprement dites sont traitées directement par le prestataire de paiement, jamais stockées par la plateforme.

• Exécution du contrat : fourniture du Service, calcul du score ESG, génération des rapports, facturation ;
• Intérêt légitime : sécurité du Service, prévention de la fraude, journalisation des accès, amélioration continue des fonctionnalités ;
• Obligation légale : conservation des documents comptables et justificatifs (obligation applicable en zone OHADA), obligations fiscales et de facturation ;
• Consentement : lorsqu'il est requis, notamment pour l'inscription volontaire à une communication non essentielle (par exemple une lettre d'information).

SustainTech Africa fait appel à des sous-traitants techniques, chacun agissant dans les limites des instructions documentées et des finalités décrites ci-dessus :

• Hébergement et base de données : Vercel Inc. pour la partie applicative, Supabase Inc. pour la base de données et l'authentification ;
• Messagerie transactionnelle : un prestataire SMTP dédié à l'envoi des e-mails d'authentification (confirmation de compte, réinitialisation de mot de passe) et des e-mails transactionnels (notifications, factures, invitations) ;
• Service d'intelligence documentaire (Imara Intelligence) : l'assistance à l'extraction d'informations depuis les Documents justificatifs et certaines synthèses narratives sont opérées via une abstraction technique dédiée, sans appel direct à un fournisseur depuis le code métier et sans que le nom d'un fournisseur de modèle ne soit exposé publiquement.

Vis-à-vis du service d'intelligence documentaire, une règle de rétention zéro s'applique : les contenus transmis pour analyse ne sont pas conservés par ce sous-traitant au-delà du traitement immédiat, et l'utilisation de ces contenus pour entraîner un modèle tiers est systématiquement désactivée (opt-out d'entraînement). Les données personnelles sensibles sont retirées avant envoi lorsque cela est techniquement possible. Seuls des journaux internes redigés (prompts/réponses) sont conservés par SustainTech Africa, à des fins d'audit uniquement, pour la durée précisée à l'article 5. Dans la mesure où certains sous-traitants opèrent des infrastructures situées hors du Bénin, SustainTech Africa s'assure de garanties contractuelles appropriées avec chacun d'eux ; aucune contrainte de résidence des données n'est à ce jour documentée pour ces traitements.

• Documents justificatifs comptables/ESG : 10 ans, conformément à l'obligation de conservation applicable en zone OHADA ;
• Données de compte : durée d'activité du compte, puis 90 jours de grâce après une demande de suppression, avant anonymisation irréversible ;
• Journaux d'audit (accès, modifications sensibles, calculs de score) : 3 ans minimum ;
• Journaux internes Imara Intelligence (prompts/réponses redigés conservés à des fins d'audit) : 90 jours ;
• Journaux d'envoi d'e-mails : 90 jours ;
• Sauvegardes : alignées sur la politique de sauvegarde (restauration à un point dans le temps) du fournisseur d'hébergement de la base de données ; les modalités précises seront documentées séparément lors du provisioning de l'infrastructure ;
• Gel juridique (« legal hold ») : lorsqu'une Organisation fait l'objet d'un tel gel, les délais de suppression et d'anonymisation ci-dessus sont suspendus jusqu'à sa levée.

Les échanges avec le Service sont chiffrés en transit (TLS). Les données de chaque Organisation sont cloisonnées des autres Organisations au niveau applicatif et au niveau de la base de données. Les accès et actions sensibles font l'objet d'une journalisation d'audit. L'authentification multi-facteurs est obligatoire pour l'ensemble des rôles. En cas de fuite suspectée touchant un traitement, une procédure d'incident est déclenchée, incluant une purge des journaux concernés sous 24 heures.

Conformément à la loi béninoise n° 2017-20 portant Code du numérique et aux textes régionaux applicables en matière de protection des données personnelles, toute personne concernée dispose d'un droit d'accès, de rectification, d'opposition, d'effacement et, dans la mesure permise par la loi applicable, de limitation et de portabilité de ses données. Ces droits s'exercent par écrit auprès de dpo@imaraesg.africa. Une vérification raisonnable d'identité peut être demandée avant de donner suite à la demande, et une réponse est apportée dans un délai raisonnable.

La plateforme dépose uniquement des cookies strictement nécessaires à son fonctionnement : maintien de la session authentifiée et protection de sécurité de session. Aucun cookie de mesure d'audience tiers ni traceur publicitaire n'est déposé à ce jour. Si cela devait évoluer, un mécanisme de consentement préalable conforme serait mis en place avant tout dépôt de cookie non strictement nécessaire.

Toute personne concernée peut adresser une réclamation à SustainTech Africa à l'adresse ci-dessus, ou saisir l'autorité béninoise compétente en matière de protection des données personnelles instituée par la loi n° 2017-20 portant Code du numérique. Les coordonnées exactes de cette autorité seront précisées dans une prochaine mise à jour de la présente politique, après vérification par un juriste.

Cette politique peut être modifiée pour refléter une évolution du Service, des sous-traitants utilisés ou de la réglementation applicable. Toute modification substantielle est communiquée par e-mail ou par notification dans le Service. Dernière mise à jour : 4 août 2026.