POLITIQUE DE CONFIDENTIALITÉ

1. Objet et champ d’application La présente Politique s’applique à l’application mobile Rayda, au site web, aux interfaces d’administration, aux API, à la messagerie, aux boutiques, aux annonces, aux lives, aux réels, aux replays et aux services associés. Elle concerne les visiteurs, utilisateurs inscrits, vendeurs, professionnels, représentants de boutiques, participants aux conversations ou lives, personnes figurant dans un média et personnes contactant le support. Elle décrit les traitements effectués par Rayda en qualité de responsable du traitement. Un vendeur professionnel peut être responsable de traitements qu’il réalise pour son propre compte, par exemple lorsqu’il exporte les coordonnées d’un client ou poursuit une relation commerciale hors de Rayda. 2. Responsable du traitement et contacts Le responsable du traitement est l’entité juridique qui édite et exploite Rayda : • Dénomination sociale et forme juridique : SACKONE • Siège social : Kalabancoro Chicoro, Rue 935, Porte 300 • RCCM : MA.KTI.2017.A.441 — NIF : 025055723K • Téléphone : +223 94 12 57 94 • Adresse générale : support@sackone.com • Adresse dédiée aux données personnelles : Kalabancoro Chicoro, Rue 935, Porte 300 • Correspondant à la protection des données : M. Sékou SACKO Le responsable détermine les finalités et moyens essentiels des traitements et encadre les prestataires agissant sur ses instructions. 3. Cadre juridique et principes Rayda traite les données conformément à la Loi n°2013-015 du 21 mai 2013 portant protection des données à caractère personnel en République du Mali, telle que modifiée, à la Loi n°2016-012 relative aux transactions, échanges et services électroniques, ainsi qu’aux autres textes applicables. Les traitements respectent les principes de licéité, loyauté, transparence, finalité déterminée, minimisation, exactitude, durée limitée, sécurité, confidentialité et responsabilité. Rayda accomplit les formalités requises auprès de l’Autorité de Protection des Données à caractère Personnel du Mali (APDP), notamment pour les traitements ou transferts qui y sont soumis. 4. Catégories de données collectées Selon les services utilisés, Rayda peut traiter les catégories suivantes : • identité et profil : nom, prénom, pseudonyme, photo, langue, pays, coordonnées, identifiant public ; • authentification : mot de passe haché, codes OTP, jetons d’accès, historique de connexion et informations de récupération ; • preuve juridique : version des CGU ou politiques acceptée, date, heure, adresse IP et agent utilisateur ; • profil professionnel : boutique, activité, justificatifs, RCCM, NIF, statut de certification et représentant ; • annonces : titre, description, prix, devise, catégorie, état, adresse déclarée, médias, coordonnées GPS et localité ; • interactions : recherches, consultations, favoris, réactions, abonnements, commentaires, partages et signalements ; • messagerie : texte, réponses, images, documents, audios, localisation partagée, métadonnées de remise et de lecture ; • présence : état en ligne, dernière activité et dernière connexion visibles selon les réglages applicables ; • audiovisuel : réels, vidéos, miniatures, flux live, replays, voix, image et informations de transcodage ; • monétisation : formule, quotas, points, conversions, crédits, promotions, références et état des paiements ; • notifications : jeton push, plateforme, fournisseur, statut actif et dernière utilisation ; • données techniques : adresse IP, appareil, système, version de l’application, journaux, événements de sécurité et rapports d’erreur. Rayda ne demande pas de donnée sensible sauf nécessité clairement identifiée et base légale appropriée. L’utilisateur ne doit pas publier spontanément de documents ou informations sensibles qui ne sont pas nécessaires au service. 5. Sources des données Les données proviennent directement de l’utilisateur, de son appareil avec autorisation, de son activité sur Rayda, d’autres utilisateurs lors d’une interaction ou d’un signalement, de vendeurs ou boutiques, de prestataires de paiement, de notification, d’hébergement, de cartographie ou d’authentification, et des autorités légalement habilitées. Les informations issues du GPS ou du géocodage peuvent être rapprochées du référentiel administratif géré par Rayda afin de proposer un pays, une région, un cercle, une commune ou un village. 6. Données publiques, privées et visibilité Peuvent être publics selon les réglages et le contexte : pseudonyme ou nom commercial, photo, boutique, annonces, médias, commentaires, réactions publiques, statut professionnel, localité approximative et statistiques affichées. Restent privés sauf choix contraire ou obligation légale : adresse électronique, téléphone non publié, mot de passe haché, codes, coordonnées GPS précises, messages privés, données de paiement, justificatifs, journaux de sécurité et données de modération. Les administrateurs et prestataires habilités n’accèdent aux données privées que dans la mesure nécessaire à leurs missions et selon des droits d’accès contrôlés. Une donnée rendue publique peut être copiée ou repartagée par des tiers. Rayda limite raisonnablement l’exposition, mais ne peut garantir la suppression de toutes les copies réalisées hors de ses systèmes. 7. Finalités et bases des traitements Exécution du contrat : créer et sécuriser le compte, publier les annonces, fournir la recherche, la messagerie, les boutiques, les lives, les replays, les quotas et les services demandés. Consentement : accéder à la localisation précise, à la caméra, au microphone, aux photos ou notifications lorsqu’une autorisation est requise ; adresser certaines communications commerciales ; utiliser un traitement facultatif clairement présenté. Intérêt légitime : sécuriser le service, prévenir la fraude, modérer, mesurer les performances, améliorer l’ergonomie, recommander des contenus et établir des statistiques, sous réserve des droits et libertés des personnes. Obligation légale : conserver des éléments comptables, répondre aux autorités, gérer les droits des personnes et accomplir les formalités de protection des données. Défense des droits : préserver les éléments nécessaires à un litige, un signalement, une contestation ou une enquête, pendant une durée proportionnée. 8. Compte, authentification et preuve du consentement Rayda traite les coordonnées et identifiants nécessaires à l’inscription, à la connexion, à la récupération du compte, à l’envoi d’un OTP et à la détection d’accès suspects. Les mots de passe sont hachés et ne sont pas stockés en clair. Les jetons d’accès et de rafraîchissement sont gérés de façon à limiter leur exposition. La preuve d’une acceptation ou d’un consentement peut comprendre la version du document, la date, l’heure, l’utilisateur, l’adresse IP et l’agent utilisateur. Le retrait d’un consentement n’affecte pas la licéité des traitements antérieurs. 9. Annonces, boutiques et référentiel commercial Les informations d’annonce et de boutique sont utilisées pour publier, classer, rechercher, partager, modérer et promouvoir les offres, ainsi que pour appliquer les quotas ou statuts professionnels. Les médias peuvent être compressés, redimensionnés, convertis et associés à des miniatures. Certaines métadonnées techniques, notamment EXIF, peuvent être retirées ou neutralisées afin de protéger la vie privée et optimiser le service. Les justificatifs d’une boutique ou d’un professionnel sont accessibles uniquement aux personnes habilitées et conservés selon la durée nécessaire à la vérification, à la certification, à la prévention de la fraude et aux obligations légales. 10. Géolocalisation et référentiel géographique Avec l’autorisation de l’appareil, Rayda peut collecter latitude, longitude et précision afin de localiser une annonce, résoudre une localité, calculer une distance et proposer des résultats de proximité. Le géocodage peut être effectué par l’appareil ou un prestataire, puis rapproché du référentiel pays, région, cercle, commune et village. Une copie technique des résultats de résolution peut être conservée temporairement afin d’éviter des requêtes répétées. La position exacte n’est pas nécessairement rendue publique. Une localité, une zone ou une distance approximative peut être affichée à la place. L’autorisation GPS peut être retirée dans les paramètres de l’appareil. Une sélection manuelle reste possible lorsqu’elle est disponible. 11. Messagerie, présence et caches locaux Rayda traite les messages et médias associés afin de permettre les échanges, réponses, aperçus d’annonce, remises, lectures, signalements et synchronisation entre appareils. Le statut en ligne et la dernière activité sont calculés à partir des connexions et signaux de présence. Ils sont fournis à titre indicatif et peuvent être masqués ou limités selon les réglages proposés. Les images, audios, vidéos et documents d’une conversation peuvent être mis en cache localement sur l’appareil pour éviter des téléchargements répétés. Ces copies restent sur l’appareil jusqu’à leur expiration technique, leur nettoyage, la suppression des données de l’application ou sa désinstallation. Un utilisateur doit protéger l’accès à son appareil. Rayda ne contrôle pas les copies, captures d’écran ou exportations réalisées volontairement par le destinataire. 12. Images, vidéos, audios, lives et replays Rayda traite les médias pour l’import, l’envoi, la lecture, la compression, le stockage, la création de miniatures, la modération et la diffusion. Un live implique le traitement en temps réel de l’image, de la voix, des interactions, des participants, des produits présentés et des événements techniques. Si le replay est activé, le flux peut être enregistré, transcodé et conservé selon la formule applicable. Les personnes filmées ou enregistrées doivent être informées par le diffuseur. Rayda peut analyser ou modérer un contenu au moyen d’outils humains ou automatisés dans la mesure nécessaire à la sécurité et au respect des règles. Les médias supprimés peuvent subsister temporairement dans les sauvegardes, caches ou preuves de modération avant effacement définitif. 13. Intelligence artificielle et décisions automatisées Zahra, le studio photo et les fonctions de recommandation ou de modération peuvent traiter le texte saisi, les images choisies, les paramètres de génération, le contexte d’une annonce, les résultats produits, les crédits utilisés et les informations de sécurité. Les brouillons IA sont conservés pendant une durée limitée afin de permettre la reprise du travail et le suivi des crédits. La configuration technique actuelle prévoit une expiration maximale de trente (30) jours pour les brouillons de l’assistant, sous réserve de modification notifiée. Les données ne sont pas utilisées pour entraîner un modèle tiers pour son propre compte sans base légale, information appropriée et encadrement contractuel. La liste des fournisseurs IA et leurs conditions de réutilisation doivent figurer en annexe B avant publication. Les recommandations et contrôles peuvent reposer sur l’activité, la localisation, les interactions, les recherches, les contenus et des signaux de fraude. Lorsqu’une décision automatisée a un effet significatif, l’utilisateur peut demander un réexamen humain. 14. Recherche, recommandations et contenus sponsorisés Rayda utilise les recherches, consultations, favoris, interactions, abonnements, localisation approximative et récence afin de fournir et améliorer le classement des résultats. Les contenus sponsorisés sont identifiés. La personnalisation ne signifie pas que les données personnelles sont vendues à l’annonceur. Lorsque des statistiques sont communiquées, elles sont agrégées ou limitées au nécessaire. L’utilisateur peut ajuster certaines préférences et s’opposer aux traitements de prospection ou de personnalisation lorsque la loi le permet. 15. Notifications et communications Pour envoyer une notification push, Rayda enregistre un jeton technique associé au profil, au fournisseur, à la plateforme, au statut actif et à la dernière utilisation. Le service peut s’appuyer sur Firebase Cloud Messaging, Expo ou un fournisseur équivalent. Les communications peuvent être transactionnelles, de sécurité, sociales, éditoriales ou commerciales. Les communications strictement nécessaires au compte ou à la sécurité ne dépendent pas du réglage marketing. L’utilisateur peut désactiver les notifications depuis l’application ou les paramètres du système. Le jeton est désactivé ou supprimé lorsqu’il n’est plus valide ou lorsque le lien avec le compte doit cesser. 16. Paiements, abonnements, points, quotas et crédits Rayda traite les références de commande, le montant, la devise, le statut, le moyen de paiement, la formule, les quotas, les promotions et les justificatifs nécessaires au support et à la comptabilité. Les données complètes de carte ou de portefeuille ne sont pas destinées à être stockées par Rayda lorsque le paiement est exécuté par un prestataire. Celui-ci traite les données selon ses propres obligations. Les points, conversions, crédits IA et avantages sont enregistrés dans un historique afin d’afficher le solde, exécuter une conversion, prévenir les abus, résoudre une contestation et appliquer une date d’expiration. 17. Permissions de l’appareil et stockage local Selon les fonctions utilisées, l’application peut demander l’accès à la caméra, au microphone, aux photos, fichiers, localisation et notifications. Chaque demande est liée à une finalité visible et peut être refusée. L’application utilise un stockage local sécurisé ou persistant pour la session, les préférences, certains brouillons, le cache de requêtes et les médias. Le cache de requêtes persisté est actuellement limité à environ deux heures ; d’autres caches sont supprimés selon les mécanismes de nettoyage ou l’action de l’utilisateur. La suppression de l’application efface normalement ses données locales, sans supprimer automatiquement les données conservées sur les serveurs Rayda. 18. Destinataires et sous-traitants Les données sont accessibles, selon le besoin d’en connaître, aux équipes habilitées de Rayda, aux utilisateurs destinataires d’un contenu ou message, aux vendeurs concernés, aux prestataires techniques et aux autorités compétentes. Les catégories de prestataires peuvent comprendre l’hébergement, le stockage objet, la diffusion vidéo, le CDN, la cartographie, le géocodage, les notifications, l’OTP, le paiement, l’analyse technique, la sécurité, le support, la modération et l’intelligence artificielle. Les principaux prestataires, leur rôle, leur pays et les données concernées doivent être publiés dans l’annexe B et mis à jour lors d’un changement significatif. 19. Transferts internationaux Certains prestataires ou infrastructures peuvent traiter les données hors du Mali. Avant tout transfert, Rayda identifie le pays, vérifie les exigences applicables, accomplit les formalités APDP nécessaires et met en place des garanties contractuelles, techniques et organisationnelles appropriées. Lorsque aucune garantie suffisante ne peut être mise en place, le transfert n’est pas réalisé, sauf dérogation légalement applicable et information de la personne concernée. La liste des pays de traitement ou d’hébergement est : Mali. 20. Durées de conservation Les données ne sont conservées que pendant la durée nécessaire à la finalité, puis supprimées, anonymisées ou archivées avec un accès restreint lorsqu’une obligation légale ou un litige le justifie. Les durées détaillées figurent en annexe A. Les durées confirmées par la configuration actuelle sont distinguées des durées cibles qui doivent être validées et techniquement appliquées. Une demande de suppression ne conduit pas à l’effacement immédiat d’une donnée nécessaire à la sécurité, à une preuve de consentement, à une obligation comptable ou à la défense d’un droit. 21. Sécurité et violations de données Rayda applique des mesures proportionnées : chiffrement des communications, hachage des mots de passe, contrôle des accès, journalisation, sauvegardes, limitation des requêtes, gestion des secrets, surveillance et séparation des environnements. Aucun système n’offre une sécurité absolue. En cas de violation présentant un risque, Rayda documente l’incident, prend les mesures correctives et notifie l’APDP ainsi que les personnes concernées lorsque la réglementation l’exige. Les utilisateurs doivent protéger leurs identifiants et signaler rapidement tout accès suspect à leur compte. 22. Données des mineurs Rayda est réservée aux personnes âgées d’au moins dix-huit (18) ans. La plateforme ne cherche pas à collecter sciemment les données de mineurs. Lorsqu’un compte ou contenu impliquant un mineur est détecté en violation des règles, Rayda peut restreindre l’accès, demander un justificatif et supprimer les données non nécessaires, sous réserve des obligations de preuve ou de signalement. 23. Droits des personnes et APDP Dans les conditions prévues par la loi, toute personne peut demander l’accès à ses données, leur rectification, leur mise à jour, leur opposition, leur blocage ou leur suppression. Les droits complémentaires, notamment limitation ou portabilité, sont appliqués lorsqu’ils sont prévus par le cadre juridique applicable ou proposés par Rayda. Le consentement peut être retiré à tout moment pour les traitements qui en dépendent. Une personne peut demander une intervention humaine concernant une décision automatisée significative. La demande est adressée via le formulaire de l’application. Rayda peut demander un justificatif proportionné afin d’éviter une divulgation à un tiers. La demande est traitée gratuitement dans le délai légal, sauf demande manifestement abusive. La personne peut introduire une réclamation auprès de l’APDP du Mali. 24. Suppression du compte L’utilisateur peut demander la fermeture de son compte depuis l’application ou auprès du support. Le profil est désactivé et les contenus publics sont retirés ou anonymisés selon leur nature. Les messages déjà reçus par d’autres utilisateurs peuvent rester visibles dans leur conversation afin de préserver l’intégrité de l’échange, avec anonymisation lorsque cela est approprié. Les données nécessaires à la sécurité, aux paiements, aux obligations légales, aux litiges, aux sauvegardes et à la preuve d’acceptation sont conservées pendant la durée justifiée, puis supprimées ou anonymisées. 25. Cookies, SDK et technologies similaires Le site web peut utiliser des cookies de session, de sécurité, de préférence et, sous réserve d’information et de consentement lorsque requis, de mesure ou de personnalisation. L’application mobile utilise des technologies équivalentes : stockage local, identifiants de session, jetons push, caches, SDK de notification, de paiement, de diffusion vidéo ou de sécurité. Rayda tient un inventaire des SDK actifs. Aucun identifiant publicitaire ne doit être collecté ou utilisé sans finalité documentée, base légale et information appropriée. 26. Modification de la politique Rayda peut modifier la présente Politique pour refléter une évolution légale, technique ou fonctionnelle. La date et la version sont mises à jour. Une modification substantielle, notamment une nouvelle finalité, un nouveau transfert ou une évolution importante des droits, est portée à la connaissance des utilisateurs avant son entrée en vigueur. Un nouveau consentement est demandé lorsque la loi l’exige. Les versions antérieures et les preuves d’information sont conservées pendant la durée nécessaire. 27. Contact et réclamations Pour toute question ou demande : • Support Rayda : support@sackone.com La personne concernée peut également contacter l’Autorité de Protection des Données à caractère Personnel du Mali selon les coordonnées officielles publiées par l’APDP.