Politique de confidentialité

La présente politique de confidentialité explique comment TACI Labs (« nous ») collecte, utilise et partage les données personnelles lorsque vous utilisez Toomde (le « Service ») ou visitez notre site marketing. Elle est rédigée pour répondre à la loi burkinabè sur la protection des données personnelles (Loi n° 010-2004/AN) et, pour les personnes situées dans l'Union européenne, au Règlement général sur la protection des données (RGPD).

1. Qui sommes-nous

TACI Labs est une société constituée aux États-Unis. Nous exploitons Toomde depuis le Burkina Faso et servons principalement des entreprises en Afrique de l'Ouest. Sa filiale burkinabè, TACI LABS BF, société à responsabilité limitée (RCCM BF-OUA-01-2026-B12-17383, IFU 00327262K), Secteur 17, Section LD, Lot 10, Parcelle 15, Ouagadougou, Burkina Faso (S/C 04 BP 8159 Ouaga 04), détient le compte WhatsApp Business de Toomde et exploite le canal WhatsApp décrit à la section 14. Vous pouvez nous joindre à info@tacilabs.com. Pour les demandes spécifiques à la protection des données, utilisez la même adresse en commençant l'objet par « Confidentialité ».

2. Ce que couvre cette politique

Cette politique couvre les données personnelles que nous traitons dans le cadre de notre site marketing, de l'application web, de l'application boutique, de l'API, de l'assistant IA lorsque celui-ci est activé, ainsi que des communications de support, de facturation et de compte.

Pour les données que vous chargez dans le Service (« Données client »), notre client (votre employeur ou prestataire) est le responsable de traitement et nous agissons en qualité de sous-traitant selon ses instructions. La présente politique décrit notre traitement en qualité de responsable (par exemple : visiteurs du site, administrateurs de compte, contacts de facturation). Pour les Données client, contactez d'abord le responsable de traitement pour exercer vos droits.

3. Ce que nous collectons

• Informations de compte : nom, e-mail professionnel, entreprise, pays, téléphone (facultatif).
• Informations de facturation : éléments d'envoi des factures, identifiants fiscaux, jetons de paiement (nous ne stockons pas les numéros de carte complets).
• Données d'utilisation : journaux, adresse IP, agent utilisateur, URL demandées, horodatages et localisation approximative des requêtes authentifiées.
• Communications : e-mails, messages et tickets de support que vous nous envoyez.
• Statistiques du site marketing : sans cookie. Cloudflare Web Analytics compte les visites de manière agrégée. Notre propre journal des pages vues enregistre aussi, pour chaque page vue, la page, le référent, les balises de campagne (UTM), le pays, la langue, la largeur d'écran et l'agent utilisateur du navigateur, ainsi qu'un identifiant de visite pseudonyme dérivé de votre adresse IP et de votre agent utilisateur, qui change chaque jour — votre adresse IP elle-même n'est pas conservée. Si vous nous contactez, la campagne et la page par lesquelles vous êtes arrivé sont jointes à votre message.
• Cookies et stockage local : voir notre Politique relative aux cookies.

Documents et journal d'activité. Lorsque vous utilisez Toomde pour envoyer une facture ou un devis, nous conservons, dans l'historique du document, l'adresse du destinataire, l'objet, la date et l'état de l'envoi. Les fichiers que vous rangez dans Documents, ainsi que le texte que nous en extrayons pour vous permettre de les retrouver, restent dans l'espace de votre entreprise et ne sont accessibles qu'aux personnes que vous y autorisez. Un journal d'activité enregistre les actions importantes (réglages, droits des utilisateurs, validation de factures, utilisation de la signature et du cachet, envois) avec le nom de la personne qui les a faites ; il ne contient ni le contenu de vos documents ni les données de vos clients, personne ne peut le modifier, et il est conservé deux ans. L'image de votre signature et de votre cachet n'est visible que de vos administrateurs et n'est jamais servie publiquement. Lorsque vous photographiez une facture pour en inspirer la mise en page de vos documents, l'image est envoyée à notre prestataire d'intelligence artificielle le temps d'une seule lecture, puis oubliée : nous ne la conservons nulle part.

Nous ne collectons pas sciemment de données sensibles (santé, religion, biométrie, etc.). Ne les mettez pas dans le Service sauf si vous avez conclu avec nous un accord de traitement spécifique.

4. Pourquoi nous les utilisons, et base légale

Ci-dessous, ce que nous faisons des données personnelles et la base légale invoquée au titre du RGPD. La Loi n° 010-2004/AN du Burkina Faso reconnaît des fondements équivalents (consentement, contrat, obligation légale, intérêt légitime).

Exploiter, sécuriser et maintenir le Service

Exécution du contrat ; intérêt légitime à préserver la sécurité du Service.

Vous facturer et prévenir la fraude

Exécution du contrat ; intérêt légitime à la prévention de la fraude.

Répondre aux demandes d'assistance

Exécution du contrat.

Envoyer les e-mails transactionnels (factures, alertes de sécurité, avis de compte)

Exécution du contrat ; obligation légale.

Envoyer des actualités produit et la newsletter

Consentement. Vous pouvez vous désinscrire à tout moment.

Statistiques du site marketing

Intérêt légitime à mesurer le trafic et améliorer le site.

Respecter les obligations légales (fiscalité, audit, demandes légales)

Obligation légale.

Pour les Données client, la base légale est fixée par notre client (responsable de traitement). Nous ne traitons les Données client que sur instructions documentées du client.

5. Quand nous les partageons

Nous ne partageons des données personnelles que dans les cas suivants :

• Sous-traitants, prestataires auxquels nous faisons appel pour exploiter le Service. La liste complète et datée est publiée sur https://toomde.com/legal/sub-processors, avec le préavis de 30 jours que nous donnons avant d'en ajouter un nouveau.
• Conseils professionnels, avocats, comptables et auditeurs, soumis à confidentialité.
• Demandes légales, lorsque la loi l'exige par voie de procédure valable. Lorsque cela est permis, nous prévenons d'abord le client concerné.
• Opérations sur l'entreprise, dans le cadre d'une fusion, acquisition ou cession de la quasi-totalité de nos actifs. Nous vous en informerons et vous pourrez supprimer vos données avant la prise d'effet du transfert.

Nous ne vendons pas de données personnelles. Nous ne les partageons pas avec des réseaux publicitaires.

6. Transferts internationaux

Certains de nos sous-traitants sont situés hors du Burkina Faso, notamment dans l'Union européenne et aux États-Unis. Pour les transferts depuis l'UE/EEE, nous nous appuyons sur les Clauses contractuelles types (CCT) de la Commission européenne et, le cas échéant, sur des mesures complémentaires. Les transferts sous le régime burkinabè sont effectués avec les garanties exigées par la Commission de l'Informatique et des Libertés (CIL).

7. Combien de temps nous les conservons

• Données de compte et d'utilisation : durée de vie de votre compte plus 90 jours.
• Journaux : 30 jours.
• Rapports d'erreur et de plantage : 30 jours. Ils peuvent inclure une trace d'exécution du moment où une opération a échoué.
• Sauvegardes : 35 jours, chiffrées au repos, rotation automatique.
• Documents de facturation : conservés selon les obligations fiscales et comptables (généralement 10 ans au Burkina Faso).
• Statistiques marketing : pages vues individuelles (pseudonymes, sans adresse IP) 90 jours ; totaux horaires, qui n'identifient personne, 2 ans.

À l'issue de la période de conservation, les données sont supprimées des systèmes actifs ; les sauvegardes expirent selon leur cycle de rotation.

8. Où elles sont stockées

Les données de votre tenant client sont hébergées sur l'infrastructure de Hetzner dans l'Union européenne. Une copie chiffrée de chaque sauvegarde nocturne est également conservée dans le stockage objet Cloudflare R2 ; elle est chiffrée sur notre serveur avant de le quitter, Cloudflare ne détient que les données chiffrées et jamais la clé, et son lieu de stockage n'est pas limité à l'Union européenne. Aucune base de données n'est partagée entre clients. Des régions de déploiement dédiées sont disponibles sur le forfait Entreprise.

9. Vos droits

Sous réserve du droit applicable, vous disposez des droits suivants :

• Accès, obtenir une copie des données personnelles que nous détenons.
• Rectification, corriger des données inexactes.
• Effacement, supprimer votre compte et demander la suppression de vos données personnelles.
• Limitation, limiter notre traitement dans certains cas.
• Portabilité, recevoir vos données dans un format structuré et lisible par machine.
• Opposition, vous opposer à un traitement fondé sur l'intérêt légitime, y compris à la prospection.
• Retrait du consentement, retirer à tout moment et sans pénalité tout consentement que vous avez donné.

Pour exercer ces droits, écrivez à info@tacilabs.com. Nous répondons sous 30 jours. Nous pourrons être amenés à vérifier votre identité avant de donner suite. Si votre demande porte sur des Données client, nous la transmettrons au client qui en a le contrôle ; il lui appartient de la traiter.

10. Comment nous les sécurisons

• TLS en transit et chiffrement AES-256 au repos pour les sauvegardes.
• Isolation des bases de données par tenant.
• Contrôle d'accès par rôle audité au niveau applicatif.
• Accès admin selon le moindre privilège, avec authentification à deux facteurs pour les administrateurs internes.
• Nous notifierons les clients concernés et, lorsque la loi l'exige, l'autorité de contrôle sous 72 heures après avoir eu connaissance d'un incident de sécurité impliquant des données personnelles.

11. Cookies et technologies similaires

Par défaut, nous n'utilisons que des cookies et entrées de stockage local essentiels. Les statistiques du site marketing sont sans cookie. Voir la Politique relative aux cookies pour la liste complète.

12. Mineurs

Le Service n'est pas destiné aux utilisateurs de moins de 16 ans. Nous ne collectons pas sciemment de données personnelles auprès d'enfants. Si vous pensez qu'un enfant nous a fourni des données personnelles, écrivez à info@tacilabs.com et nous les supprimerons.

13. Décision automatisée et IA

Nous ne prenons pas de décision vous concernant fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou similaires. L'assistant IA produit des suggestions à l'intérieur du Service (par exemple : brouillons de texte, analyses) sur instruction du client ; un humain reste toujours responsable de toute décision métier. Les invites et les réponses IA sont traitées par Anthropic selon ses conditions de protection des données et ne sont pas utilisées pour entraîner des modèles tiers.

14. WhatsApp

Si votre entreprise utilise Toomde, vous pouvez connecter votre propre numéro WhatsApp (dans Mon compte, avec votre mot de passe et un code PIN), puis utiliser Toomde en écrivant à notre numéro WhatsApp Business. Ce canal est exploité par TACI LABS BF au moyen de la plateforme WhatsApp Business de Meta. Il est facultatif : l'application web et l'application boutique donnent accès aux mêmes choses.

Ce que nous traitons.

• Votre numéro : votre numéro WhatsApp, l'entreprise et le compte utilisateur auxquels il est lié, et votre prénom, conservés dans notre annuaire pour savoir qui nous écrit.
• Votre code PIN : conservé uniquement sous forme d'empreinte irréversible, jamais en clair. Il n'est jamais écrit dans nos journaux ni transmis au fournisseur d'IA. Nous comptons les essais manqués pour bloquer les tentatives de devinette.
• Les connexions : chaque connexion par WhatsApp ouvre une session de 24 heures au plus, enregistrée avec votre numéro WhatsApp.
• Les messages : ce que vous nous envoyez et nos réponses, y compris les boutons et les listes que vous touchez, les photos que vous envoyez (un reçu, par exemple) et les documents que nous vous envoyons (une facture en PDF).
• Les messages vocaux : transcrits en texte sur nos propres serveurs. L'enregistrement n'est transmis à aucun autre prestataire et n'est pas conservé après la transcription ; le texte est ensuite traité comme un message écrit.

Pourquoi. Pour vous répondre et faire ce que vous demandez : afficher vos chiffres, vos listes et vos documents, et enregistrer ce que vous confirmez (une vente, une dépense, une demande de congé). Rien n'est enregistré avant votre confirmation. La base légale est l'exécution du contrat avec votre entreprise, qui décide qui peut utiliser le canal. Pour les enregistrements conservés dans l'espace de votre entreprise, celle-ci est responsable du traitement, comme pour le reste des Données client (section 2).

Qui d'autre y a accès. Meta Platforms, fournisseur de la plateforme WhatsApp Business, achemine chaque message entre votre téléphone et nos serveurs, selon ses propres conditions et sa politique de confidentialité ; Meta peut conserver un message jusqu'à 30 jours pour le distribuer. Quand vous écrivez une phrase à l'assistant IA, au lieu de toucher un bouton, cette phrase et les données métier nécessaires à la réponse sont transmises à Anthropic, comme décrit à la section 13. Les boutons et les listes ne sont jamais transmis au fournisseur d'IA.

Combien de temps nous les conservons.

• Votre conversation avec l'assistant est conservée dans votre historique IA, comme une conversation dans l'application web, jusqu'à ce que vous l'y supprimiez ou que votre compte soit fermé (la section 7 s'applique alors).
• Ce que vous enregistrez par WhatsApp (ventes, dépenses, photos de reçus) fait partie des données de votre entreprise et est conservé comme tout ce qui est saisi dans les applications.
• Les données de travail sur nos serveurs expirent d'elles-mêmes : l'étape de connexion après 15 minutes, une session après 24 heures au plus, l'écran où vous êtes après 12 heures, les chiffres en cache après 10 minutes, une action en attente de votre confirmation après 15 minutes, et les identifiants de messages qui évitent de répondre deux fois après 24 heures. Une marque indiquant que nous vous avons déjà envoyé le message de bienvenue est conservée 13 mois, pour ne pas l'envoyer deux fois.
• Votre numéro reste dans notre annuaire tant qu'il est connecté.

Comment arrêter. Déconnectez WhatsApp dans Mon compte, dans l'application Toomde : votre session prend fin aussitôt et votre numéro quitte notre annuaire. Votre responsable direct, les RH ou un administrateur de votre entreprise peuvent aussi couper cet accès. Bloquer ou supprimer la discussion dans WhatsApp empêche nos messages de vous parvenir, mais n'efface pas ce que nous conservons ; pour cela, voir la section 15.

15. Supprimer vos données

Vous pouvez nous demander à tout moment de supprimer vos données personnelles : écrivez à info@tacilabs.com avec l'objet « Suppression », depuis l'adresse e-mail de votre compte ou en indiquant votre numéro WhatsApp. Nous accusons réception et effectuons la suppression sous 30 jours ; nous pouvons d'abord devoir vérifier que la demande vient bien de vous.

Nous supprimons :

• votre liaison WhatsApp : le numéro, l'empreinte de votre code PIN, ses compteurs d'essais et son entrée dans notre annuaire ;
• vos sessions WhatsApp et les données de travail décrites à la section 14 ;
• vos conversations avec l'assistant, y compris le texte de vos messages vocaux ;
• les données de votre compte et les autres données personnelles que nous détenons en tant que responsable du traitement (section 3), sauf ce que la loi nous oblige à garder, comme les pièces de facturation (section 7).

Les enregistrements que vous avez créés dans l'espace de votre entreprise (ventes, factures, dépenses, documents) appartiennent à votre entreprise, qui en est responsable : nous lui transmettons la partie de votre demande qui les concerne. Les copies détenues par Meta relèvent de la politique de Meta, et les messages restent sur votre téléphone jusqu'à ce que vous les y supprimiez. Les sauvegardes chiffrées expirent d'elles-mêmes sous 35 jours.

16. Communications marketing

Nous ne vous adressons d'actualités produit, de newsletter ou d'e-mails marketing que si vous y avez consenti. Chaque e-mail marketing contient un lien de désinscription. Vous pouvez aussi écrire à info@tacilabs.com pour vous désinscrire.

17. Réclamations

Vous avez le droit d'introduire une réclamation auprès d'une autorité de protection des données :

• Résidents du Burkina Faso : la Commission de l'Informatique et des Libertés (CIL).
• Résidents d'autres États ouest-africains : votre autorité nationale de protection des données.
• Résidents de l'UE/EEE : votre autorité de contrôle nationale au titre du RGPD.

Nous apprécierions que vous nous laissiez l'occasion de traiter votre demande en premier, écrivez à info@tacilabs.com avant toute saisine.

18. Modifications

Nous publierons ici toute modification substantielle et préviendrons les administrateurs de compte par e-mail au moins 30 jours avant la prise d'effet. La « Dernière mise à jour » en haut de page reflète toujours la version en vigueur.