Politique de confidentialité

1. Qui est responsable de quoi

SahelPay Collect est un service édité par SAHEL PAY TECHNOLOGIES (SPAY), Korofina Nord, rue 114, porte 82, Commune I, Bamako, Mali (RCCM MA.BKO.2026.B.376). Il sert à des organisations (écoles, bailleurs, commerces, associations…) à envoyer des demandes de paiement à leurs payeurs, à savoir qui a payé, à envoyer les reçus et à relancer les impayés.

• Pour les données des payeurs et des débiteurs (parents, élèves, locataires, clients, membres), l’organisation cliente est responsable du traitement : c’est elle qui décide qui reçoit une demande, pour quel montant et à quelle échéance. SPAY agit comme sous-traitant, pour son compte et selon ses instructions.
• Pour les comptes des utilisateurs des organisations, la gestion des abonnements, la sécurité du service et ce site, SPAY est responsable du traitement.

2. Ce que nous ne faisons pas

• Nous ne détenons, ne recevons et ne transférons jamais l’argent. Le paiement va de l’application bancaire ou du wallet du payeur, par PI-SPI (BCEAO), directement sur le compte de l’organisation chez sa propre banque. Nous recevons seulement l’avis de paiement, pour l’identifier, envoyer le reçu et arrêter les relances.
• Nous ne collectons et ne conservons aucun numéro de compte bancaire ni coordonnée de carte du payeur.
• Nous ne vendons aucune donnée et ne l’utilisons pas pour de la publicité, ni la nôtre ni celle de tiers.

3. Les données traitées

• Utilisateurs de l’organisation : nom, numéro de téléphone et adresse e-mail (connexion par un code à usage unique reçu sur WhatsApp ou par e-mail), organisation, sites et rôle (propriétaire, gestionnaire, caissier, lecture), dates et adresses IP de connexion et des actions enregistrées au journal d’audit.
• Organisation : nom, activité, sites, paramètres de relance, et les identifiants de connexion à son établissement bancaire, conservés chiffrés.
• Débiteurs et payeurs : nom du débiteur, identifiant interne éventuel (matricule, numéro de lot, code client), groupe (classe, résidence, site), nom et numéro de téléphone du payeur, et, si l’organisation le renseigne, l’alias de paiement du payeur. Le choix « STOP » d’un payeur est aussi enregistré.
• Demandes et paiements : montant, référence de la demande, échéance, statut ; pour chaque paiement reçu : montant, référence, date et heure, motif, nom du payeur transmis avec le paiement et alias du payeur masqué (par exemple +22376****56). Jamais de numéro de compte du payeur.
• Messages et reçus : numéro du destinataire, contenu et modèle du message, statut de remise et de lecture, reçus PDF émis.

4. Pourquoi nous les utilisons

• Fournir le service pour l’organisation : envoyer les demandes de paiement, identifier les paiements reçus, émettre et envoyer les reçus, envoyer les relances, produire le tableau de bord et les exports.
• Gérer les comptes, les connexions et les droits de chaque utilisateur, et facturer l’abonnement.
• Assurer la sécurité du service : contrôle des accès, journal d’audit, détection des abus et des incidents.
• Répondre à vos demandes et vous assister.
• Respecter nos obligations légales, comptables et fiscales.

Ces traitements reposent sur l’exécution du contrat avec l’organisation, sur nos obligations légales et sur notre intérêt légitime à sécuriser le service. C’est à l’organisation de disposer d’une base légitime pour écrire à ses payeurs (relation existante, consentement ou autre base prévue par la loi).

5. Avec qui nous les partageons

Seulement avec des prestataires nécessaires au service, qui agissent sur nos instructions et n’ont pas le droit d’utiliser ces données pour eux-mêmes :

• Vercel Inc. (États-Unis) : hébergement de ce site public. Il traite les données techniques de connexion nécessaires pour servir les pages (adresse IP, date, page demandée).
• Meta Platforms (WhatsApp Business) : envoi des demandes de paiement, reçus, relances et codes de connexion sur WhatsApp. Reçoit le numéro du destinataire et le contenu du message.
• Hébergement de l’application et stockage des fichiers (reçus PDF, exports, sauvegardes chiffrées) : le prestataire sera nommé dans les mentions légales à l’ouverture du service.
• Prestataires d’envoi d’e-mails et de SMS : codes de connexion et envoi de secours d’un reçu quand WhatsApp échoue.
• L’établissement bancaire de l’organisation, participant à PI-SPI : il nous transmet les avis de paiement reçus sur le compte de l’organisation et reçoit les demandes de paiement qu’elle émet.

Certains de ces prestataires traitent des données hors du Mali. Nous veillons à encadrer ces transferts comme le prévoit la loi n° 2013-015. Nous communiquons aussi des données si la loi ou une autorité compétente l’exige.

6. Ce site public

• Aucun cookie, aucun outil de mesure d’audience, aucun traceur publicitaire.
• Les polices de caractères sont servies par le site lui-même, sans appel à un tiers.
• Le formulaire de démonstration n’envoie rien à nos serveurs : il prépare un message dans votre WhatsApp ou votre messagerie, que vous relisez et envoyez vous-même. Nous recevons alors ce message comme tout autre message.

7. Combien de temps nous les gardons

• Comptes utilisateurs et données de l’organisation : pendant l’abonnement, puis le temps de permettre l’export des données à la fin du contrat.
• Paiements, reçus émis et pièces liées : la durée imposée par les obligations comptables et légales applicables (jusqu’à dix ans pour les pièces comptables). Ils ne sont jamais supprimés avant ce terme et leur accès est restreint.
• Journal d’audit : conservé avec les opérations qu’il trace, pour la même durée.
• Choix « STOP » d’un payeur : tant que l’organisation utilise le service, pour que les relances ne reprennent pas.
• Messages reçus par le formulaire du site : le temps de traiter la demande et d’en assurer le suivi.

8. Comment nous les protégeons

• Échanges chiffrés (HTTPS/TLS) entre votre navigateur, le service et les établissements bancaires.
• Identifiants de connexion à l’établissement bancaire de l’organisation chiffrés au repos, déchiffrés en mémoire seulement au moment de l’usage.
• Isolation par organisation contrôlée dans la base de données elle-même : chaque organisation ne voit que ses données.
• Droits par rôle (propriétaire, gestionnaire, caissier, lecture) et journal d’audit de chaque création ou modification de demande, de paiement, de débiteur ou d’utilisateur : qui, quoi, quand.
• Avis de paiement vérifiés par signature avant d’être pris en compte.

Aucune mesure ne supprime tout risque. En cas de violation de données touchant une organisation, nous l’en informons dans les meilleurs délais.

9. Vos droits

Vous pouvez demander l’accès à vos données, leur rectification, leur suppression quand la loi le permet, et vous opposer à un traitement pour un motif légitime.

• Vous êtes payeur ou débiteur d’une organisation : adressez-vous d’abord à elle, elle est responsable de vos données. Vous pouvez aussi nous écrire : nous transmettons votre demande à l’organisation concernée. Pour ne plus recevoir de relances sur WhatsApp, répondez « STOP » : les relances s’arrêtent, les reçus de vos paiements continuent d’être envoyés.
• Vous êtes utilisateur ou visiteur : écrivez-nous à contact@sahelpay.africa. Nous répondons dans un délai d’un mois au plus et pouvons vous demander de justifier de votre identité.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir l’APDP (Autorité de protection des données à caractère personnel du Mali).

10. Modifications

Cette politique peut évoluer avec le service. La date de mise à jour figure en haut de cette page ; les organisations clientes sont prévenues de tout changement important.

11. Contact

SAHEL PAY TECHNOLOGIES (SPAY), Korofina Nord, rue 114, porte 82, Commune I, Bamako, Mali. Écrivez-nous à contact@sahelpay.africa.