Politique de confidentialité

Sunu Gest traite deux catégories de données qui n'obéissent pas au même régime, et cette distinction commande tout le reste du document.

Les données de compte (identité des utilisateurs du logiciel, entreprise souscriptrice, journaux de connexion) sont traitées par l'éditeur en qualité de responsable de traitement : c'est lui qui en détermine les finalités.

Les données métier saisies dans le logiciel (fiches clients et prospects, devis, factures, ventes, fournisseurs, employés) sont traitées par l'éditeur en qualité de sous-traitant. Le responsable de traitement est l'entreprise utilisatrice, qui décide seule des données qu'elle enregistre et des finalités qu'elle poursuit. L'éditeur n'y accède pas, ne les exploite pas et n'agit que sur instruction de l'entreprise.

Il appartient donc à chaque entreprise utilisatrice d'informer ses propres clients du traitement de leurs données et de recueillir, le cas échéant, leur consentement.

À la création d'un compte : nom, prénom, adresse électronique, mot de passe (stocké sous forme chiffrée non réversible par le service d'authentification), rôle attribué, nom de l'entreprise.

À l'usage : date de dernière connexion, données métier saisies volontairement par les utilisateurs, journaux techniques nécessaires au fonctionnement et à la sécurité.

Aucun traceur publicitaire ni outil de mesure d'audience n'est installé : le Service ne comporte ni Google Analytics, ni pixel, ni cookie tiers de suivi.

• Fourniture du Service (accès au compte, exécution des fonctionnalités) — exécution du contrat.
• Sécurité (authentification, cloisonnement des données entre entreprises, journalisation) — intérêt légitime de l'éditeur et obligation de sécurité.
• Envoi des documents commerciaux aux destinataires désignés par l'entreprise — exécution du contrat, sur instruction de celle-ci.
• Assistance et facturation de l'abonnement — exécution du contrat.

Les données ne sont ni vendues, ni louées, ni transmises à des tiers à des fins commerciales. Elles sont confiées aux prestataires techniques strictement nécessaires au fonctionnement du Service :

• Supabase — base de données, authentification et stockage de fichiers (infrastructure située en Irlande).
• Vercel — hébergement et diffusion de l'application.
• Resend — acheminement des emails (devis, factures, réinitialisation de mot de passe, assistance).
• OpenAI — assistant vocal (API Realtime), uniquement lorsqu'un utilisateur y a recours. Le contenu des échanges (voix et texte), ainsi que les informations renvoyées par les outils sollicités (résultat d'une recherche de produit ou de client, par exemple), sont transmis à ce prestataire pour produire la réponse. L'assistant n'est pas nécessaire à l'usage du logiciel.

Les données sont hébergées en Irlande, et certains prestataires mentionnés ci-dessus sont établis aux États-Unis. Elles font donc l'objet d'un transfert hors du territoire sénégalais, encadré par les engagements contractuels de protection souscrits auprès de chacun de ces prestataires.

Conformément à la loi n° 2008-12 du 25 janvier 2008 sur la protection des données à caractère personnel, ce transfert fait l'objet des formalités requises auprès de la Commission de Protection des Données Personnelles (CDP) : [à compléter : référence de la déclaration ou de l'autorisation CDP].

• Données de compte : conservées pendant toute la durée de l'abonnement, puis supprimées dans un délai de [à compléter : délai retenu, par ex. 90 jours] après la résiliation.
• Données métier : conservées tant que l'entreprise utilisatrice le décide. Leur suppression peut être demandée à tout moment ; il revient à l'entreprise de respecter ses propres obligations de conservation comptable.
• Comptes d'essai non convertis : supprimés [à compléter : délai retenu] après l'expiration de la période d'essai.

Les échanges sont chiffrés en transit (HTTPS). Le cloisonnement entre entreprises est appliqué au niveau de la base de données elle-même : une organisation ne peut techniquement pas accéder aux données d'une autre, y compris par un appel direct à l'interface de programmation. Les droits d'écriture sont restreints selon le rôle de chaque utilisateur, également au niveau de la base.

Les clés d'accès privilégiées ne sont jamais transmises au navigateur. Les mots de passe ne sont jamais stockés en clair.

Le Service dépose uniquement des cookies strictement nécessaires à l'authentification, déposés par le service Supabase et destinés à maintenir la session ouverte. Ils ne servent à aucun suivi et ne requièrent pas de consentement préalable.

Trois éléments sont par ailleurs conservés dans le stockage local du navigateur, sans transmission à un serveur tiers : l'état de la session (mspro:auth-session), le panier de la caisse en cours (mspro:caisse-cart) et les paramètres d'affichage de l'entreprise (mspro:parametres). Ils sont effacés à la déconnexion ou en vidant les données du site.

Conformément à la loi n° 2008-12, vous disposez d'un droit d'accès, de rectification, d'opposition et de suppression sur vos données, ainsi que d'un droit à la portabilité.

Utilisateurs du logiciel : ces droits s'exercent auprès de l'éditeur à l'adresse contact@sunu-gest.com. Une réponse vous sera apportée dans un délai maximal d'un mois.

Clients d'une entreprise utilisatrice : vos données ayant été saisies par cette entreprise, vos demandes doivent lui être adressées directement. L'éditeur, simple sous-traitant, transmettra toute demande reçue à l'entreprise concernée.

Vous pouvez enfin introduire une réclamation auprès de la Commission de Protection des Données Personnelles (CDP), autorité de contrôle sénégalaise.

La présente politique peut être modifiée pour refléter une évolution du Service ou de la réglementation. Toute modification substantielle sera portée à la connaissance des utilisateurs. La date de dernière mise à jour figure en tête de page.

Pour toute question : page d'assistance ou contact@sunu-gest.com.