Données personnelles

Le traitement des données personnelles au Burkina Faso est régi par la loi n° 010-2004/AN du 20 avril 2004 portant protection des données à caractère personnel. L’autorité de contrôle est la Commission de l’Informatique et des Libertés (CIL).

Cette page décrit ce que fait SaPass. Elle ne se substitue pas à l’information que chaque entreprise cliente doit à ses propres employés et visiteurs.

Quand vous NAVIGUEZ sur ce site, c’est nous qui décidons de ce qui est collecté : nous sommes responsables du traitement. La réponse est courte : rien, sauf ce que vous écrivez vous-même dans le formulaire.

Quand vous UTILISEZ SaPass comme client, c’est VOTRE entreprise qui décide des données traitées — les visiteurs qu’elle enregistre, les employés qu’elle suit. Elle est le responsable du traitement ; nous ne sommes que le sous-traitant, et nous agissons sur ses instructions. En installation sur votre serveur, nous n’avons accès à rien du tout.

Cette distinction n’est pas une subtilité de rédaction : elle détermine à qui vous adressez une demande, et qui doit déclarer le traitement à la CIL.

Aucun traceur publicitaire, aucun cookie de suivi, aucune mesure d’audience active. Le site ne dépose rien sur votre appareil — voir la page Cookies.

C’est le point le plus sensible du produit, et il mérite d’être dit précisément : la lecture d’une pièce d’identité se fait ENTIÈREMENT sur l’appareil du vigile — dans son téléphone sur l’application mobile, dans son navigateur au poste d’accueil. L’image n’est envoyée à aucun service de reconnaissance, ni chez nous, ni chez un tiers, et elle n’est pas conservée.

Seules les informations lues et validées à l’écran — nom, prénom, numéro de pièce — sont enregistrées dans le registre de l’entreprise cliente. Le numéro de pièce est chiffré dans la base de données.

Trois modes d’installation existent, et ils ne se valent pas de ce point de vue :

En mode hébergé, les données personnelles de vos employés et de vos visiteurs sont stockées en Allemagne, pays soumis au régime européen de protection des données. Les pages web, elles, sont diffusées depuis le réseau mondial de notre prestataire : les données de connexion transitent donc hors du Burkina Faso quel que soit le mode.

Si cette sortie du territoire est incompatible avec vos obligations ou votre politique interne, l’installation sur votre propre serveur y répond entièrement, et c’est une des raisons pour lesquelles ce mode existe.

Les durées ci-dessous sont celles du produit. En mode hébergé comme sur site, c’est l’entreprise cliente qui les fixe dans ses réglages : nous ne faisons qu’appliquer son choix.

Les articles 14 à 18 de la loi vous reconnaissent un droit d’information, d’accès, de rectification, d’opposition et d’effacement.

Ces droits s’exercent auprès de l’entreprise qui vous a enregistré, puisque c’est elle qui décide du traitement. L’outil lui donne les moyens d’y répondre : export complet et effacement sont disponibles depuis son espace, sans passer par nous.

Si vous êtes cette entreprise et que vous avez besoin de notre concours — une preuve d’effacement, un export technique — écrivez-nous ou ouvrez un ticket depuis votre espace. Nous ne répondons jamais directement à la place de nos clients sur leurs propres fichiers : ce serait agir sans leur instruction.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir la Commission de l’Informatique et des Libertés (CIL), autorité de contrôle au Burkina Faso.

Nous préférons évidemment être contactés d’abord : une demande mal traitée est souvent une demande mal reçue, et cela se corrige plus vite entre nous.

La loi soumet les traitements de données personnelles à une déclaration préalable auprès de la CIL.

Une entreprise qui déploie SaPass pour suivre ses employés ou enregistrer ses visiteurs met en œuvre SON PROPRE traitement : la déclaration lui incombe, et nous ne pouvons pas la faire à sa place. Nous la lui rappelons à la signature plutôt qu’elle le découvre lors d’un contrôle.

De notre côté, nous déclarons le traitement dont nous sommes responsables : les données des personnes qui nous contactent depuis ce site.

Les échanges sont chiffrés en transit. Les données de chaque entreprise cliente sont isolées au niveau de la base de données elle-même, et pas seulement par le code de l’application. Les numéros de pièce d’identité et les téléphones sont chiffrés au repos. Chaque geste sensible — création de compte, export, effacement, correction d’un pointage — est consigné avec son auteur, son motif et son horodatage.

Aucune mesure ne rend un système inviolable. Celles-ci sont décrites pour que vous puissiez les vérifier, pas pour promettre le risque zéro.