Politique de confidentialité

1. Préambule

La présente politique décrit comment sont collectées, utilisées, partagées et protégées les données à caractère personnel dans le cadre du site public wurus.app, de l'inscription, du compte Utilisateur, de l'abonnement, du support, de la facturation et de l'utilisation de la plateforme WURUS, un SaaS multi-tenant de gestion d'entreprise édité par FUTURIZE.

Elle complète les Conditions Générales d'Utilisation. Elle s'adresse aux prospects, aux Clients, aux Utilisateurs des Espaces Clients, ainsi qu'aux tiers dont les données sont saisies dans WURUS par un Client (par exemple clients finaux, fournisseurs, employés, destinataires de communications).

2. Champ d'application

Cette politique s'applique à :

• la navigation sur le site public wurus.app et ses sous-domaines ;
• l'inscription et l'administration des Espaces Clients (URL du type {sous-domaine}.wurus.app) ;
• l'utilisation des Modules de WURUS (commerce, stocks, POS, achats/ventes, e-commerce, CRM léger, trésorerie et dépenses, RH, comptabilité, marketing multi-canal, documents, API, etc.) ;
• les échanges avec le support et la relation commerciale.

3. Rôles : responsable de traitement et sous-traitant

3.1 FUTURIZE responsable de traitement. Pour le compte plateforme, l'authentification, la relation contractuelle d'abonnement, la facturation, la sécurité, les communications relatives au Service (incidents, évolutions, enquêtes de satisfaction), la supervision et l'exploitation de l'infrastructure, FUTURIZE agit en responsable de traitement (sous réserve de qualification juridique locale).

3.2 Client responsable de traitement, FUTURIZE sous-traitant. Pour la majorité des données métiers saisies dans un Espace Client (clients finaux, prospects, fournisseurs, stocks, ventes, achats, factures, RH, paie, campagnes marketing, messages envoyés, documents chargés, etc.), c'est en principe l'organisation cliente qui est responsable de traitement vis-à-vis de ses employés et de ses propres contacts. WURUS fournit l'outil et agit alors en qualité de sous-traitant sur instruction du Client, notamment lorsqu'un accord de traitement des données (DPA) s'impose (par exemple RGPD pour les Clients établis dans l'UE/EEE).

3.3 Droits des personnes. Pour exercer vos droits sur des données hébergées pour le compte de votre employeur ou d'une autre organisation cliente, contactez d'abord l'administrateur de l'Espace Client concerné. À défaut de réponse satisfaisante, vous pouvez nous écrire à [email protected] ; nous transmettrons si nécessaire au Client.

4. Catégories de données traitées

Selon le contexte, nous pouvons traiter :

• Données d'identité et de contact : nom, prénom, fonction, entreprise, e-mail, téléphone, langue, civilité.
• Données de compte : identifiants, mot de passe (haché), rôles et permissions, préférences, sous-domaine de l'Espace Client, paramètres d'authentification (par exemple double facteur), historique de connexion.
• Données de connexion et techniques : adresse IP (y compris via l'en-tête X-Forwarded-For en contexte de reverse proxy / CDN), user-agent, horodatages, pages consultées, identifiants techniques de session, cookies strictement nécessaires.
• Données de facturation : raison sociale, adresse, numéros fiscaux, historique de factures et paiements. Les numéros de cartes bancaires complets ne sont pas stockés par WURUS : ils sont traités par les prestataires de paiement (par exemple Stripe, PayPal, Mollie, Razorpay, Authorize.net, selon ce qui est activé), qui nous renvoient un jeton ou un identifiant de transaction.
• Données métiers saisies par le Client : fiches clients / prospects / fournisseurs, produits, stocks, commandes, devis, factures, avoirs, paiements, mouvements de trésorerie, notes de frais, dépenses, documents téléversés (pièces jointes, images, PDF).
• Données RH (si le Module est utilisé) : fiches employés, contrats, absences, congés, présences, rappels d'anniversaires et d'échéances, documents RH. Le Client est responsable de la conformité de ces traitements (droit du travail local, consentements éventuels, etc.).
• Données de communication multi-canal : listes et segments de destinataires, numéros de téléphone, adresses e-mail, modèles de messages, historique des envois (e-mail, SMS, WhatsApp), statut de délivrabilité, désabonnements.
• Données d'intégrations tierces : clés d'API ou jetons d'authentification configurés par le Client (stockés de manière sécurisée), paramétrage des connecteurs.
• Données de support : contenu des tickets, échanges par e-mail, pièces jointes, captures d'écran, éléments de diagnostic technique.
• Journaux applicatifs et d'audit : traces techniques, traces de sécurité, journaux d'accès, événements des Modules (création, modification, suppression), sollicitations API, afin d'assurer la sécurité, la traçabilité et la résolution d'incidents.

5. Finalités

Nous traitons les données personnelles pour :

• fournir, sécuriser, superviser et faire évoluer le Service (création de comptes, isolation multi-tenant, authentification, contrôle d'accès, journalisation, sauvegardes, détection d'anomalies) ;
• exécuter le contrat d'abonnement : facturation, encaissement, gestion des suspensions, relances, comptabilité interne ;
• fournir le support technique et fonctionnel ;
• envoyer des communications de service (incidents, maintenance, évolutions, changements des CGU ou de la politique) ;
• respecter les obligations légales et réglementaires applicables (comptables, fiscales, de preuve, de coopération avec les autorités compétentes dans les conditions prévues par la loi) ;
• améliorer la sécurité et le produit (mesures anti-fraude, statistiques agrégées et anonymisées, analyse de performance, détection de régressions) ;
• effectuer de la prospection commerciale B2B lorsque la base légale appropriée est réunie (intérêt légitime encadré ou consentement selon le canal), avec droit d'opposition et de désabonnement.

Pour les données métiers saisies par un Client dans son Espace Client, les finalités sont définies par ce Client ; FUTURIZE ne les utilise pas pour ses propres finalités, sauf pour la fourniture, la sécurisation et l'amélioration du Service (notamment par le biais de statistiques agrégées et anonymisées) et en cas d'obligation légale.

6. Bases juridiques (indicatif)

Selon les cas, les traitements reposent notamment sur :

• Exécution du contrat (CGU, Plan, contrat cadre) : création de compte, fourniture du Service, facturation, support ;
• Obligation légale : conservation comptable et fiscale, réponses aux réquisitions, lutte contre la fraude lorsque la loi l'impose ;
• Intérêt légitime : sécurité du Service, prévention des abus, amélioration raisonnable du produit, communications commerciales B2B mesurées, contentieux ;
• Consentement : lorsque la loi l'exige (certains cookies non essentiels, certaines inscriptions marketing, communications spécifiques) ;
• Intérêts vitaux ou mission d'intérêt public : uniquement dans des cas limités et prévus par la loi.

Pour les traitements réalisés pour le compte d'un Client (FUTURIZE sous-traitant), la base légale relève du Client responsable de traitement.

7. Durées de conservation

À titre indicatif et sous réserve de l'évolution du registre des traitements :

• Compte Utilisateur actif : durée de la relation contractuelle avec le Client, puis archivage limité pour obligations légales et preuve ;
• Données de facturation et comptables : durée imposée par la loi applicable (typiquement 10 ans au Sénégal ; 6 à 10 ans dans de nombreux pays de l'UE) ;
• Journaux de sécurité et traces techniques : durée raisonnable fixée en interne (habituellement quelques mois à un an) ;
• Sauvegardes : rotation glissante selon la politique de sauvegarde, avec purge à l'issue de la rotation ;
• Données métiers saisies par le Client : durée décidée par le Client responsable de traitement, dans le respect de la loi ; à la fin du contrat, conservation limitée pour sécurité, preuve et obligations légales, puis suppression ou anonymisation ;
• Données de prospection : tant que la personne n'a pas exercé son droit d'opposition et, en tout état de cause, dans une limite raisonnable conforme à la législation locale.

8. Destinataires et sous-traitants

Les données peuvent être accessibles, dans la limite du besoin d'en connaître, à :

• les équipes internes de FUTURIZE (développement, exploitation, sécurité, support, administration, facturation) soumises à des obligations de confidentialité ;
• les Utilisateurs de l'Espace Client concerné, selon leurs rôles et permissions ;
• les sous-traitants techniques, parmi lesquels à titre indicatif : hébergement cloud (par exemple AWS, Hetzner), protection et CDN (par exemple Cloudflare), stockage objet (S3 / MinIO), base de données managée (PostgreSQL), cache et files d'attente (Redis), génération de documents PDF (par exemple Gotenberg), envoi d'e-mails transactionnels et marketing, envoi de SMS, messagerie (par exemple plateforme WhatsApp Business), traitement des paiements (Stripe, PayPal, Mollie, Razorpay, Authorize.net, selon configuration), monitoring et observabilité (par exemple Sentry, solutions de logs et métriques), anti-spam et lutte contre la fraude ;
• les autorités publiques compétentes, lorsque la loi l'exige (réquisitions judiciaires ou administratives valides) ;
• les conseils (avocats, experts-comptables, auditeurs) et, le cas échéant, un repreneur, en cas d'opération de restructuration, de fusion, de cession ou d'audit, dans le respect de la confidentialité.

Les sous-traitants sont sélectionnés sur la base de garanties techniques et organisationnelles adéquates et sont liés par des engagements contractuels (confidentialité, sécurité, limitation d'usage). FUTURIZE peut mettre à jour la liste de ses sous-traitants ; dans les cas prévus par la loi, une information raisonnable est fournie.

9. Transferts internationaux

Selon les Clients et les sous-traitants retenus, des transferts de données hors du pays d'origine de la personne concernée peuvent être nécessaires (par exemple vers des datacenters en Europe ou aux États-Unis). Lorsque la loi applicable l'exige (notamment RGPD / UK GDPR), FUTURIZE s'appuie sur des garanties appropriées : clauses contractuelles types, mesures de chiffrement et de minimisation, évaluations de transfert et mesures supplémentaires, ou recours à des prestataires certifiés selon les cadres applicables. Des informations complémentaires peuvent être obtenues sur demande.

10. Sécurité

FUTURIZE met en œuvre des mesures raisonnables de nature technique et organisationnelle, adaptées à la sensibilité des données, et notamment :

• contrôle des accès internes et externes, gestion fine des rôles et permissions, journalisation des actions sensibles ;
• isolation logique des Espaces Clients (multi-tenant) ;
• chiffrement des communications (HTTPS / TLS) et chiffrement au repos selon la configuration des services cloud utilisés ;
• mots de passe stockés sous forme hachée et salée ; politique de complexité et protection contre les attaques par force brute ;
• sauvegardes régulières, supervision, alertes, plan de reprise ;
• processus de gestion des vulnérabilités et des incidents de sécurité, avec notification dans les conditions prévues par la loi (par exemple 72 heures au régulateur en cas de violation relevant du RGPD).

Aucun système n'est toutefois infaillible. Les Utilisateurs doivent choisir des mots de passe robustes, ne pas les partager, activer les mesures de sécurité recommandées (double authentification lorsque disponible) et signaler sans délai toute anomalie.

11. Cookies et traceurs

Le site public et les applications WURUS peuvent utiliser :

• des cookies strictement nécessaires (session, sécurité CSRF, préférences de langue, équilibrage de charge) qui ne requièrent pas de consentement ;
• des cookies de mesure d'audience et, le cas échéant, de personnalisation ou marketing, soumis au consentement lorsque la loi l'exige.

Un bandeau de consentement peut compléter cette politique en production. Vous pouvez configurer votre navigateur pour refuser ou supprimer des cookies ; le fonctionnement du Service peut être altéré pour les cookies nécessaires. Les Clients qui déploient leurs propres traceurs sur leurs espaces doivent gérer leur propre conformité (information, consentement, gestion des retraits).

12. Vos droits

Sous réserve du droit applicable (par exemple RGPD / UK GDPR, loi n° 2008-12 du Sénégal sur la protection des données personnelles) :

• droit d'accès à vos données ;
• droit de rectification des données inexactes ou incomplètes ;
• droit à l'effacement (« droit à l'oubli ») dans les cas prévus par la loi ;
• droit à la limitation du traitement ;
• droit à la portabilité lorsque les conditions sont réunies ;
• droit d'opposition, notamment au marketing direct ;
• droit de retirer votre consentement à tout moment lorsqu'il fonde le traitement ;
• droit de définir des directives post-mortem lorsque la loi le prévoit ;
• droit d'introduire une réclamation auprès d'une autorité de contrôle compétente (par exemple la Commission de Protection des Données Personnelles — CDP au Sénégal, la CNIL en France, ou l'autorité de votre pays de résidence).

Pour exercer vos droits, écrivez à [email protected] avec l'objet « Données personnelles », en précisant votre demande et en joignant les éléments permettant de vous authentifier sans risque d'usurpation. Délai de réponse : en principe un mois, prolongeable dans les conditions prévues par la loi.

Lorsque les données sont hébergées pour le compte d'un Client (par exemple votre employeur), vous devez adresser votre demande à l'administrateur de cet Espace Client, qui est responsable de traitement.

13. Prospection et consentement des destinataires

Lorsque vous utilisez les Modules marketing et communication multi-canal (e-mail, SMS, WhatsApp), vous restez seul responsable de la licéité des listes de destinataires, du recueil et de la conservation de leur consentement lorsque la loi l'exige, des mentions obligatoires et du respect des règles des opérateurs et plateformes concernées. WURUS met à disposition des outils de gestion des désabonnements et des oppositions ; il vous incombe de les utiliser et d'en tenir compte sans délai.

14. Mineurs

Le Service s'adresse à un usage professionnel. Nous ne visons pas le traitement de données d'enfants, sauf dans des cadres légitimes d'emploi gérés par l'employeur-Client (par exemple apprentis), avec toutes les garanties légales applicables sous la responsabilité du Client.

15. Prise de décision automatisée et profilage

WURUS n'applique pas, à ce jour, de décisions entièrement automatisées produisant des effets juridiques ou significatifs sur les personnes concernées au sens du RGPD. Certaines fonctions peuvent inclure des aides à la décision (par exemple filtres anti-fraude, alertes de stock, segmentation marketing) qui restent soumises à un contrôle humain du Client.

16. Violations de données

En cas de violation de données relevant de notre responsabilité et présentant un risque pour les personnes concernées, nous prendrons les mesures raisonnables pour contenir l'incident, évaluer son impact, notifier l'autorité compétente et, le cas échéant, les personnes concernées, dans les conditions et délais prévus par la loi applicable (par exemple 72 heures pour le RGPD). Lorsque nous agissons comme sous-traitant, nous informons le Client responsable de traitement dans les meilleurs délais.

17. Modifications de la politique

La présente politique peut être mise à jour pour refléter les évolutions du Service, des sous-traitants, de la réglementation ou des pratiques. La date en tête du document est alors actualisée. Les modifications substantielles feront, le cas échéant, l'objet d'une information adaptée (e-mail, notification sur le compte) lorsque la loi l'impose.

18. Contact et articulation avec les CGU

Pour toute question relative à cette politique ou à la protection des données :

• e-mail : [email protected]
• téléphone : +221 78 110 54 54

Les Conditions Générales d'Utilisation complètent le présent document pour l'usage contractuel de WURUS. En cas de contradiction sur un point de protection des données, la présente politique et, le cas échéant, l'accord de traitement des données applicable prévalent.