Politique de Confidentialité & Cookies

Version 1.2. Date d'entrée en vigueur : à sa mise en ligne pour les comptes créés à compter de cette date, et 15 jours plus tard pour les comptes existants, conformément au délai de prévenance de l'Article 11 des CGU. Conakry, République de Guinée. FATSAY, RCCM : GN.TCC.2025.A.09381, NIF : 1396077261.

Article 1. Responsable du traitement

Le responsable du traitement des données personnelles collectées sur la plateforme est la société FATSAY, immatriculée au RCCM sous le numéro GN.TCC.2025.A.09381, NIF 1396077261, dont le siège est établi à Conakry, République de Guinée. Pour toute question relative à la protection des données, l'utilisateur peut écrire à contact@fatsay.com.

Article 2. Données collectées

FATSAY collecte deux catégories de données :

2.1 Données fournies directement

Lors de l'inscription et de l'utilisation du compte, les données suivantes sont collectées :

2.2 Données des candidatures partenaires

Pour les candidatures « Devenez partenaire » sont collectés : le nom de la boutique, le nom et le téléphone de la personne à contacter, la commune et le quartier, les types de produits vendus et, facultativement, une ou deux photos. Les photos sont réenregistrées par FATSAY sans leurs métadonnées (dont la position GPS de l'appareil). L'équipe y ajoute le compte rendu de sa visite et sa décision.

2.3 Données collectées automatiquement

Lors de la navigation, certaines données techniques sont collectées :

Article 3. Finalités du traitement

Les données sont traitées pour les finalités suivantes :

• Création et gestion du compte utilisateur.
• Exécution des commandes, traitement des paiements et organisation de la livraison.
• Service client et gestion des litiges.
• Envoi de notifications transactionnelles (commande passée, expédiée, livrée).
• Envoi de communications commerciales (sous réserve du consentement de l'utilisateur).
• Statistiques internes et amélioration de la plateforme.
• Lutte contre la fraude et respect des obligations légales.
• Sécurité et surveillance du bon fonctionnement de la plateforme, y compris à l'aide d'un outil d'analyse automatisée (article 5.10).
• Aide facultative à la rédaction des fiches produit pour les vendeurs (article 5.9).

Article 4. Base légale

Les traitements reposent sur les bases légales suivantes :

• Exécution du contrat : pour tout ce qui concerne la gestion du compte, le traitement des commandes, des paiements et des livraisons.
• Consentement : pour l'envoi de communications commerciales et l'utilisation de cookies non essentiels.
• Intérêt légitime : pour la sécurité de la plateforme, la prévention de la fraude et l'amélioration des services.
• Obligation légale : pour la conservation de certaines données comptables et fiscales.

Article 5. Destinataires des données

Les données sont accessibles aux équipes habilitées de FATSAY (équipe technique, équipe service client, administrateurs). Elles sont également transmises aux partenaires techniques strictement nécessaires à la fourniture du service :

5.1 Djomy (prestataire Mobile Money)

Pour les paiements Orange Money et MTN Mobile Money traités via le prestataire Djomy (api.djomy.africa), sont transmis : le montant de la transaction, le numéro de téléphone du payeur normalisé au format international (00224XXXXXXXXX), la description de la commande, la référence technique de la commande, l'identifiant interne du compte FATSAY et les adresses de retour vers le site. Lorsque le paiement par carte bancaire sera proposé, les données de la carte seront saisies sur la page de paiement de Djomy et ne seront jamais reçues ni conservées par FATSAY.

5.2 Nimba SMS

Pour l'envoi de codes OTP et de notifications SMS transactionnelles (statut de commande), le numéro de téléphone du destinataire est transmis à Nimba SMS, l'expéditeur affiché étant « FATSAY ».

5.3 WhatsApp Business Platform (Meta)

Pour l'envoi de notifications de commande par WhatsApp, le numéro de téléphone du destinataire et le contenu du message sont transmis à Meta Platforms, Inc. via la WhatsApp Business Platform. Les messages sont émis depuis le compte professionnel « Fatsay » et le numéro +224 626 18 48 43. FATSAY conserve, pour chaque message, son identifiant, son état de remise et son horodatage, afin de pouvoir établir qu'une notification a bien été délivrée.

Ces messages sont exclusivement transactionnels et ne comportent aucun contenu publicitaire. Le consentement est recueilli lors de l'acceptation des Conditions Générales d'Utilisation, à la création du compte, et peut être retiré à tout moment sur simple demande à contact@fatsay.com. Le retrait interrompt immédiatement ces envois, sans affecter les autres canaux ni les commandes en cours. Voir l'Article 13 des Conditions Générales d'Utilisation.

5.4 Meta (Facebook) : API Conversions

Pour mesurer la performance des campagnes publicitaires Meta, certaines données sont transmises via l'API Conversions : email, téléphone, prénom et nom hachés en SHA256 avant transmission, adresse IP et agent utilisateur. Les événements remontés couvrent notamment l'achat (Purchase), l'ajout au panier (AddToCart) et d'autres événements de commerce électronique. Cette transmission est subordonnée au consentement cookies de l'utilisateur.

5.5 Google Analytics 4 et PostHog

Pour la mesure d'audience, des données de navigation standard sont transmises à Google Analytics 4 et PostHog. Pour les utilisateurs connectés, PostHog reçoit uniquement l'identifiant interne du compte et des attributs de rôle non nominatifs ; aucun nom, email ou numéro de téléphone ne lui est transmis. L'autocapture, l'enregistrement de session, les cartes de chaleur et la collecte automatique d'erreurs sont désactivés. Ces transmissions sont subordonnées au consentement cookies.

5.6 Firebase Cloud Messaging

Pour l'envoi de notifications push navigateur, un identifiant technique (jeton FCM) est associé à l'appareil de l'utilisateur.

5.7 Cloudinary

Les images (photos de produits, logos et bannières des boutiques, photos jointes aux candidatures partenaires) sont stockées chez le prestataire Cloudinary.

5.8 Sentry (rapports d'erreurs)

Pour détecter et corriger les pannes, les erreurs techniques du site, de l'espace partenaire et du serveur sont envoyées au prestataire Sentry : type d'erreur, page ou fonction concernée, version de l'application et type de navigateur. Ces rapports ne contiennent ni identifiant de compte, ni nom, ni e-mail, ni numéro de téléphone, ni cookies, ni contenu des formulaires. Sentry reçoit l'adresse IP de la connexion le temps de traiter le rapport ; FATSAY a activé l'option qui l'empêche de la conserver.

5.9 OpenAI (assistant de rédaction des fiches produit)

Lorsqu'un vendeur utilise le bouton « Générer la description » de l'espace partenaire, FATSAY transmet au prestataire OpenAI (OpenAI, L.L.C., États-Unis) la photo principale du produit, réduite et débarrassée de ses métadonnées (dont la position GPS), le nom du produit et le court texte saisi par le vendeur. Avant l'envoi, FATSAY retire de ce texte les adresses e-mail, liens et numéros de téléphone. Aucune autre donnée n'est transmise : ni nom, ni numéro, ni adresse, ni identifiant du vendeur, ni aucune donnée d'acheteur. Le texte proposé est relu et validé par le vendeur, qui en reste l'auteur, puis examiné par l'équipe FATSAY comme toute fiche produit. Cette fonction est facultative : le vendeur peut toujours rédiger sa description lui-même.

5.10 OpenAI (analyse technique de la sécurité et du bon fonctionnement)

Pour surveiller la sécurité et le bon fonctionnement de la plateforme, FATSAY fait appel au prestataire OpenAI (OpenAI, L.L.C., États-Unis), qui agit pour le compte de FATSAY et selon ses instructions. FATSAY lui transmet des données techniques agrégées et pseudonymisées : nombres de requêtes, temps de réponse, codes et types d'erreurs techniques, noms des pages techniques du service, état des services, compteurs d'événements de sécurité (tentatives de connexion échouées, demandes de codes, blocages).

Les adresses IP et les comptes y sont remplacés par des étiquettes neutres (« IP-1 », « Compte-1 »). Seule FATSAY conserve la correspondance entre ces étiquettes et les personnes concernées : ces données restent donc des données à caractère personnel, et FATSAY les protège comme telles. Ne sont jamais transmis : nom, adresse e-mail, numéro de téléphone, adresse postale, mot de passe, contenu de commande, donnée de paiement, ni aucun chiffre d'activité commerciale (inscriptions, commandes, paiements, fréquentation).

Lorsque l'administrateur de FATSAY pose une question à l'assistant de supervision, les adresses IP, adresses e-mail, numéros de téléphone et noms des comptes qu'elle contient sont masqués automatiquement avant l'envoi. Un dernier contrôle refuse l'envoi de toute requête qui contiendrait encore une telle donnée.

Ces données servent uniquement à produire, pour l'administrateur de FATSAY, des rapports, des explications d'alertes de sécurité et des réponses à ses questions. Aucune décision n'est prise automatiquement à l'égard d'un utilisateur : toute mesure, par exemple le blocage d'une adresse IP, est décidée par l'administrateur.

Pour ces deux fonctions, la demande est faite sans conservation de la réponse chez le prestataire. Selon les conditions applicables à son API, OpenAI n'utilise pas les données transmises pour entraîner ses modèles, et peut les conserver jusqu'à 30 jours dans ses journaux de détection des abus, sauf durée plus longue imposée par la loi ou nécessaire pour prévenir un préjudice.

Article 6. Durée de conservation

Les données sont conservées pour des durées différenciées en fonction de leur nature :

Article 7. Droits des utilisateurs

Conformément aux principes de protection des données applicables, tout utilisateur dispose des droits suivants sur ses données personnelles :

• Droit d'accès : obtenir une copie des données personnelles le concernant détenues par FATSAY.
• Droit de rectification : demander la correction de données inexactes ou incomplètes.
• Droit à l'effacement : demander la suppression des données dans les conditions prévues par la loi.
• Droit à la limitation : demander la suspension temporaire du traitement dans certaines situations.
• Droit d'opposition : s'opposer au traitement pour des motifs légitimes, notamment pour la prospection commerciale.
• Droit à la portabilité : récupérer ses données dans un format structuré et couramment utilisé.
• Droit de retirer son consentement : à tout moment, sans que ce retrait remette en cause la licéité du traitement effectué auparavant.

Toute demande d'exercice de ces droits doit être adressée à contact@fatsay.com en précisant l'objet de la demande et en joignant une copie d'une pièce d'identité. FATSAY répond dans un délai maximum de 48 heures ouvrées.

Article 8. Sécurité

FATSAY met en œuvre les mesures techniques et organisationnelles appropriées pour protéger les données personnelles contre tout accès non autorisé, perte, altération ou divulgation. Notamment :

• Authentification par JWT (jeton d'accès + jeton de rafraîchissement).
• Chiffrement des mots de passe en base de données.
• Confirmation de chaque paiement directement auprès de Djomy, par un appel authentifié, avant toute création de commande.
• Accès restreint aux données aux seules personnes habilitées.
• Sauvegardes régulières et hébergement sécurisé.

Article 9. Transferts hors Guinée

Certains prestataires techniques (Meta, Google, PostHog, Firebase, Cloudinary, Sentry, OpenAI) peuvent traiter des données depuis des serveurs situés en dehors de la République de Guinée. FATSAY s'assure que ces prestataires offrent un niveau de protection adéquat ou disposent de garanties contractuelles appropriées.

Article 10. Mineurs

La plateforme n'est pas destinée aux mineurs de moins de 18 ans. FATSAY ne collecte pas sciemment de données concernant des mineurs. Tout compte créé par un mineur peut être suspendu sur signalement et les données concernées supprimées.

Politique Cookies et Traceurs

Article 11. Qu'est-ce qu'un cookie

Un cookie est un petit fichier déposé sur le terminal de l'utilisateur (ordinateur, smartphone, tablette) lorsqu'il visite un site web. Il permet de reconnaître l'utilisateur lors de visites ultérieures, de mémoriser ses préférences ou de mesurer l'audience du site.

Sur FATSAY, la notion de cookie est entendue au sens large et couvre les cookies au sens strict ainsi que les autres technologies de traçage similaires : pixels, balises web, jetons locaux, identifiants techniques d'appareil.

Article 12. Catégories de cookies utilisées

Quatre catégories de cookies et traceurs sont utilisées sur la plateforme :

12.1 Cookies essentiels

Ces cookies sont nécessaires au fonctionnement de la plateforme. Ils permettent notamment de maintenir l'authentification d'une session à l'autre, de sécuriser les transactions et de conserver le contenu du panier. Ils ne peuvent pas être désactivés.

12.2 Cookies fonctionnels

Ces cookies permettent d'enrichir l'expérience utilisateur, par exemple en activant les notifications push navigateur via Firebase Cloud Messaging.

12.3 Cookies analytiques

Ces cookies permettent de comprendre l'usage de la plateforme : pages les plus visitées, parcours d'achat, taux d'abandon de panier. Les données sont utilisées à des fins statistiques. Google Analytics 4, PostHog et l'analytique interne FATSAY entrent dans cette catégorie.

12.4 Cookies marketing

Ces cookies permettent de mesurer la performance des campagnes publicitaires menées par FATSAY, notamment sur Meta (Facebook, Instagram). Le pixel Meta et l'API Conversions servent à attribuer les conversions aux campagnes pertinentes.

Article 13. Recueil du consentement

Lors de la première visite, un bandeau d'information est affiché. L'utilisateur peut accepter tous les cookies, refuser tous les cookies non essentiels, ou personnaliser son choix catégorie par catégorie. Le choix est mémorisé pendant 6 mois et peut être modifié à tout moment depuis le pied de page de la plateforme.

Le refus des cookies non essentiels n'altère pas le bon fonctionnement de la plateforme pour les fonctionnalités principales.

Article 14. Durée des cookies

La durée de conservation varie selon la nature du cookie : durée de session pour les cookies essentiels d'authentification, jusqu'à 13 mois pour les cookies analytiques, et jusqu'à 13 mois pour les cookies marketing. Les durées exactes sont indiquées dans le centre de préférences cookies accessible depuis le pied de page.

Article 15. Cookies tiers

Certains cookies ou traceurs sont déposés par des partenaires tiers (Meta, Google, PostHog). Ces partenaires sont soumis à leurs propres politiques de confidentialité accessibles depuis leurs sites respectifs.