Accord de traitement des données

1. Qui est qui

Le présent accord est conclu entre Astra Digital CM, exploitant de Proxim (« Proxim », « nous »), et le commerçant qui utilise la plateforme (« vous »). En vertu de la loi n° 2024/017 du 23 décembre 2024 relative à la protection des données à caractère personnel au Cameroun, vous êtes le responsable du traitement des données de vos propres clients, et Proxim est votre sous-traitant. L'article 30 impose que cette relation soit régie par un contrat : c'est l'objet du présent document.

2. Ce que nous traitons, et pourquoi

Proxim ne traite des données à caractère personnel que sur vos instructions documentées, et uniquement aux fins suivantes :

• Faire fonctionner votre compte, votre équipe, votre abonnement et votre boutique.
• Répondre à vos clients sur WhatsApp et Telegram avec l'assistant que vous avez configuré, et transmettre les messages, photos et messages vocaux qu'ils envoient.
• Enregistrer, traiter et préparer les commandes passées sur votre boutique, et prévenir les acheteurs.
• Envoyer les campagnes et messages de relance que vous nous avez demandé d'envoyer.
• Conserver les pièces comptables que la loi fiscale nous oblige, vous oblige, à conserver.

Nous n'utilisons pas les données de vos clients pour nos propres besoins et nous ne les vendons ni ne les louons pas.

3. Catégories de données et de personnes concernées

Proxim ne demande pas et ne souhaite pas traiter de catégories particulières de données (santé, biométrie, opinions politiques ou religieuses, données pénales). N'envoyez pas ce type d'information via l'assistant ou une fiche client.

4. Vos obligations

• Vous êtes responsable de la licéité de la collecte que vous nous demandez d'effectuer, et de l'information de vos clients sur la raison de cette collecte.
• Vous ne devez pas utiliser l'assistant pour envoyer des messages commerciaux non sollicités à des personnes qui ne l'ont pas demandé. Les envois ne touchent que les contacts qui ne se sont pas opposés.
• Vous devez nous informer rapidement si vous apprenez que des donnéesHeld par nous pour vous ont été obtenues illicitement, afin que nous puissions cesser le traitement.
• Vous restez seuls donneurs d'ordre : nous suivons votre configuration, et non notre avis sur ce que vous devriez envoyer.

5. Nos obligations

• Traiter uniquement sur vos instructions, et uniquement aux fins du point 2.
• Isoler vos données de celles de tout autre commerçant, au niveau de la base de données, et ne jamais exposer les données d'un commerçant à un autre.
• Tenir un registre des traitements que nous réalisons pour votre compte (article 29 de la loi), et vous le communiquer sur demande.
• Vous aider à répondre aux demandes de vos clients : accès, rectification, effacement, opposition et portabilité. L'effacement est intégré au produit : voir le point 8.
• Supprimer ou restituer vos données à la fin du présent accord, sous réserve des seuls éléments que la loi fiscale nous impose de conserver.
• Vous informer immédiatement si nous sommes un jour tenus de remettre vos données à un tiers, et refuser, sauf obligation légale.

6. Sécurité

Les articles 25 et 26 de la loi exigent des mesures techniques et organisationnelles proportionnées au risque : empêcher toute lecture, copie, transmission ou suppression non autorisée, restreindre l'accès au périmètre de chacun, et pouvoir vérifier après coup qui a accédé à quoi, quoi, et quand. Nous appliquons notamment :

• Chiffrement en transit (TLS) et au repos des identifiants et des clés de paiement.
• Cloisonnement obligatoire de chaque enregistrement sur son tenancy, pour qu'aucune requête ne puisse atteindre les données d'un autre commerçant.
• Authentification signée et protégée contre le rejeu sur tous les canaux entrants : webhooks Meta, NotchPay, Telegram et service WhatsApp.
• Limitation de débit et validation sur chaque point d'entrée public, webhooks entrants compris.
• Journal inaltérable de chaque suppression effectuée, conservé dix ans, pour qu'un effacement puisse être prouvé et non seulement affirmé.
• Accès limité à l'équipe qui en a le besoin, avec un rôle super-administrateur suivi séparément.

7. Sous-traitants

Ces prestataires traitent des données pour notre compte afin que le service fonctionne. Chacun est lié à nous par son propre contrat.

En cas d'ajout ou de remplacement d'un sous-traitant, nous vous en informerons au moins trente jours avant que vos données ne lui soient transmises, et vous pourrez vous opposer par écrit. Si nous ne parvenons pas à trouver un accord, vous pourrez fermer votre compte et exporter vos données, et nous les supprimerons comme décrit au point 8.

8. Conservation, suppression et droits de vos clients

Les données ne sont conservées que le temps nécessaire au traitement, comme l'exige l'article 13 de la loi. Le barème en vigueur est publié dans notre Politique de confidentialité et appliqué automatiquement.

Lorsqu'un de vos clients demande à être oublié, vous le faites dans Proxim en supprimant ce client :

• Ses conversations, messages, photographies et messages vocaux sont supprimés immédiatement.
• Son nom, son numéro de téléphone et son adresse sont retirés de ses commandes passées.
• La commande elle-même est conservée dix ans, parce que l'article L 5 du Code général des impôts exige de garder les pièces comptables pendant cette durée, et que cet enregistrement n'exige pas de connaître l'identité de l'acheteur.
• Chaque étape est inscrite dans un journal de suppression, sans reproduire les données supprimées.

Lorsque vous fermez votre activité, tout ce qui n'est pas soumis à une obligation légale de conservation est supprimé immédiatement, identifiants de canaux compris, et vos pièces financières sont conservées dix ans avec l'identité de l'acheteur retirée. Nous ne conservons jamais discrètement des données que nous sommes tenus de garder : lorsque c'est le cas, nous vous le disons, et pendant combien de temps.

9. Violations de données

L'article 22.1 de la loi impose que, dès que nous avons connaissance d'une violation, le sous-traitant — c'est-à-dire nous, et pas seulement vous — informe l'autorité de protection des données et la personne concernée sans délai. La loi ne fixe aucun délai en jours. Nous vous informons dans le même temps, de ce que nous savons, de ce qui est affecté et de ce que nous faisons. L'autorité n'étant pas encore établie et n'ayant pas de point de contact publié, merci de signaler toute chose suspecte à support@astradigitalcm.com.

10. Transferts internationaux

L'article 32 de la loi exige une autorisation préalable de l'autorité de protection des données avant tout transfert de données vers un autre pays, ainsi que des clauses contractuelles types publiées par cette autorité. L'autorité a été créée par l'article 53 de la loi mais n'est pas encore mise en place : ni cette autorisation ni ces clauses n'existent aujourd'hui, et plusieurs de nos prestataires sont établis hors du Cameroun. Nous ne considérons pas cette absence comme une permission : nous réduisons au minimum ce qui quitte la plateforme, nous publions la liste au lieu de la dissimuler, et nous accomplirons les démarches d'autorisation dès qu'il y aura une autorité. Ce paragraphe sera mis à jour à ce moment-là.

11. Audit

Vous pouvez nous demander la preuve que nous respectons le présent accord : un rapport sur les traitements que nous réalisons pour vous, une copie du journal de suppression de votre activité, ou la confirmation des sous-traitants utilisés. Nous répondons dans les trente jours. Un audit sur place est possible sur demande écrite raisonnable, à vos frais, une fois par an, et uniquement lorsqu'un compte rendu de nos mesures ne suffit pas.

12. Responsabilité et droit applicable

Le présent accord est régi par le droit de la République du Cameroun. Chaque partie répond de ses propres manquements. Lorsque notre manquement vous cause une perte non couverte par les remboursements ou avoirs prévus dans nos conditions d'utilisation, notre responsabilité globale est limitée aux sommes que vous nous avez versées dans les douze mois précédant le fait générateur. Rien ici ne limite une responsabilité qui ne peut pas l'être en droit, notamment en cas de mauvaise gestion intentionnelle ou imprudente de données à caractère personnel.

13. Modification du présent accord

Si nous modifions le présent accord d'une manière affectant vos obligations, nous vous en informerons avant son entrée en vigueur et vous demanderons d'accepter la nouvelle version. Votre acceptation est enregistrée avec le numéro de version, la date et la langue de lecture. Continuer à utiliser la plateforme après son entrée en vigueur vaut acceptation.

14. Contact