Politique de confidentialité

ALPHA est un service en ligne édité par FYXOP SARL (Société à responsabilité limitée (SARL) de droit sénégalais, capital de 1 000 000 FCFA, siège : Patte d'Oie Builders, Villa N° D18 bis, Dakar (Sénégal), RCCM SN.DKR.2024.B.35348, NINEA 011486562).

Les données des dossiers traités dans ALPHA appartiennent à l’établissement client (banque, SFD ou PME), qui décide de leur usage : il est le responsable de traitement, et FYXOP agit pour son compte en qualité de sous-traitant. Pour les données de compte et de sécurité nécessaires au fonctionnement du service (identité, connexion, journal d’audit), FYXOP et l’établissement déterminent ensemble les moyens du traitement. Chaque établissement accomplit les formalités auprès de la CDP pour les traitements qu’il réalise avec ALPHA ; FYXOP lui fournit la description technique nécessaire et accomplit les formalités pour ses propres traitements.

Cadre légal applicable : loi sénégalaise n° 2008-12 du 25 janvier 2008 sur la protection des données à caractère personnel et ses textes d’application. L’autorité de contrôle est la Commission de protection des données personnelles (CDP) du Sénégal.

• Identité et compte : prénom, nom, initiales, adresse e-mail professionnelle, numéro de téléphone mobile (facultatif), langue, établissement, unité, rôles et affectations.
• Authentification : mot de passe (conservé uniquement sous forme chiffrée irréversible), secret de l’application Authenticator, codes de secours (conservés sous forme protégée), état de verrouillage du compte.
• Journal d’audit : pour chaque action métier ou de sécurité, l’auteur, la date et l’heure, l’action et les éléments concernés. Aucun mot de passe ni code n’y est inscrit.
• Données de connexion : adresse IP, type de navigateur, dates des connexions et des sessions.
• Contenu des dossiers : informations saisies par les utilisateurs de l’établissement dans les dossiers, qui peuvent concerner des clients de l’établissement. Ces données restent sous la responsabilité de l’établissement.

Les cookies posés par le service sont décrits sur la page Cookies.

• Créer et gérer votre compte, vous identifier et sécuriser l’accès (mot de passe, double authentification, verrouillage).
• Faire fonctionner les circuits de décision : habilitations, délégations, notifications et suivi des délais.
• Garantir la traçabilité des décisions par un journal d’audit infalsifiable, utile au contrôle interne de l’établissement.
• Détecter et prévenir les accès non autorisés, les fraudes et les incidents de sécurité.
• Assurer le support, la maintenance et l’amélioration technique du service.
• Respecter nos obligations légales et réglementaires.

Vos données ne sont ni vendues ni utilisées à des fins publicitaires.

Le traitement est nécessaire à l’exécution du contrat conclu entre FYXOP et l’établissement qui vous donne accès à ALPHA. Le journal d’audit et les mesures de sécurité répondent en outre à l’intérêt légitime de FYXOP et de l’établissement à protéger le service, et aux obligations de contrôle interne qui s’imposent aux établissements financiers. [à compléter : base légale à confirmer par un juriste]

• L’établissement client : ses administrateurs et les personnes habilitées, selon leurs droits dans ALPHA. Un établissement ne voit jamais les données d’un autre.
• Le personnel habilité de FYXOP, pour le support, l’exploitation et la sécurité, dans la limite du nécessaire.
• Les prestataires techniques de FYXOP, notamment l’hébergeur ([à compléter], [à compléter], données hébergées à : [à compléter]) et le service d’envoi des e-mails [à compléter].
• Les autorités compétentes, lorsque la loi l’impose.

Tout transfert de données hors du Sénégal est encadré conformément à la loi n° 2008-12 (pays offrant un niveau de protection suffisant ou autorisation de la CDP). [à compléter : transferts éventuels]

• Données du compte : pendant toute la durée du contrat entre FYXOP et l'établissement.
• Journal d’audit : 10 ans. Il est conçu pour ne pas pouvoir être modifié.
• Adresses IP et données de connexion : 30 jours dans les journaux techniques ; 10 ans lorsqu'elles figurent dans le journal d'audit.
• Après la fin du contrat avec l’établissement : les données sont remises à l'établissement sous forme d'export, puis supprimées sous 90 jours, sauf obligation légale de conservation.
• Sauvegardes : sauvegardes quotidiennes conservées 35 jours, copies mensuelles conservées 12 mois.

À l’issue de ces durées, les données sont supprimées ou anonymisées.

• Connexions chiffrées (HTTPS) et mots de passe conservés sous forme chiffrée irréversible.
• Double authentification obligatoire par application Authenticator, avec codes de secours.
• Verrouillage du compte après plusieurs essais infructueux, expiration des sessions après inactivité.
• Isolation stricte des données par établissement, y compris au niveau de la base de données.
• Droits d’accès par rôle, et journal d’audit chaîné qui rend toute modification détectable.

En cas de violation de données susceptible de vous affecter, FYXOP en informe l’établissement concerné et, lorsque la loi l’exige, la CDP. FYXOP prévient l’établissement sans délai, et au plus tard 72 heures après en avoir eu connaissance, en précisant la nature de l’incident, les données concernées et les mesures prises.

Conformément à la loi n° 2008-12, vous disposez d’un droit d’accès, de rectification, de suppression et d’opposition, pour des motifs légitimes, sur vos données personnelles.

Pour les exercer, écrivez à contact@fyxop.com (délégué à la protection des données : [à compléter]) en joignant un justificatif d’identité, ou adressez-vous à l’administrateur de votre établissement. Certaines données du journal d’audit ne peuvent pas être supprimées pendant leur durée de conservation, car elles garantissent l’intégrité des décisions.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la Commission de protection des données personnelles (CDP) du Sénégal.

Cette politique peut évoluer. La version en vigueur est toujours celle publiée sur cette page ; les changements importants sont communiqués aux établissements clients. Dernière mise à jour : [à compléter].