Politique de confidentialité et protection des données personnelles

En bref

1 Objet et champ d'application

La présente politique (« Politique ») informe toute personne physique concernée (« vous », « personne concernée ») des conditions dans lesquelles DEVSTUDIOS GROUP (« nous », « l'Éditeur ») traite des données à caractère personnel via la plateforme SaaS commercialisée sous la marque HYSUITE (le « Service »), accessible notamment à l'adresse hysuite.devstudiosgroup.com.

Elle s'applique :

1. aux visiteurs du site vitrine, de la documentation et des pages légales ;
2. aux utilisateurs professionnels disposant d'un compte (administrateurs, collaborateurs) ;
3. aux interlocuteurs support, commercial et facturation ;
4. aux candidats et membres du programme partenaires (intégrateurs, revendeurs) et à leurs collaborateurs ;
5. dans les limites décrites ci-dessous, aux personnes dont les données sont traitées pour le compte de nos clients via la messagerie, le CRM, les campagnes, le tracking ou l’IA — sous la responsabilité de ces clients en qualité de responsables de traitement.

La Politique complète les Conditions générales d'utilisation et, le cas échéant, un accord de traitement des données (DPA) conclu avec les clients professionnels.

2 Définitions

Donnée à caractère personnel

Toute information se rapportant à une personne physique identifiée ou identifiable, au sens de la loi n° 09-08.

Traitement

Toute opération appliquée à des données (collecte, enregistrement, organisation, conservation, adaptation, extraction, consultation, utilisation, communication, effacement, etc.).

Responsable du traitement (RT)

Personne qui détermine les finalités et les moyens du traitement.

Sous-traitant (ST)

Personne qui traite des données pour le compte du responsable, selon ses instructions documentées.

Personne concernée

Personne physique dont les données font l'objet d'un traitement.

Consentement

Manifestation de volonté libre, spécifique, éclairée et univoque.

Contenu Client

Données, messages, médias, listes et configurations traités dans le Service pour le compte du client professionnel.

3 Responsable du traitement

4 Qualification des rôles (responsable / sous-traitant)

Comprendre qui décide du traitement est essentiel pour savoir à qui s’adresser :

4.1. Traitements dont DEVSTUDIOS GROUP est responsable

Gestion des comptes clients, authentification, facturation (y compris la mesure de la consommation IA facturée), support, sécurité de la plateforme, gestion du programme partenaires, prospection B2B, formulaires de contact, et mesure d'audience du site vitrine lorsque celle-ci est activée (sous consentement lorsque requis).

4.2. Traitements effectués pour le compte des clients

Lorsque le client utilise le Service pour gérer des conversations (WhatsApp, Messenger, Instagram, etc.), des campagnes, une base prospects, du tracking web ou des flux IA, le client est en principe responsable de traitement et DEVSTUDIOS GROUP agit en sous-traitant, selon les instructions documentées du client et le DPA applicable.

4.3. Co-responsabilité

Une co-responsabilité n’est envisagée que de manière exceptionnelle, lorsqu’une finalité est déterminée conjointement de façon documentée. À défaut d’accord écrit en ce sens, chaque partie reste responsable des traitements qu’elle détermine seule, conformément à la loi n° 09-08.

4.4. Partenaires intégrateurs

Lorsqu’un compte client est créé, configuré ou administré par un partenaire HYSUITE, ce partenaire agit pour le compte du client selon le contrat qui les lie. Il doit respecter la présente Politique, le contrat partenaire et les instructions du client, et n’accéder qu’aux données nécessaires à sa mission.

5 Synthèse du registre des activités de traitement

Conformément à la loi n° 09-08 et aux bonnes pratiques de la CNDP, nous tenons un registre interne. Synthèse non exhaustive des traitements principaux :

6 Catégories de données, finalités et bases légales

7 Origine des données

1. Collecte directe auprès de la personne concernée (inscription, formulaires, support).
2. Import ou saisie par le client (listes, API, fichiers).
3. Plateformes tierces (OAuth Meta, webhooks WhatsApp, TikTok, etc.).
4. Génération automatique (logs, identifiants techniques, agrégats statistiques).
5. Sources accessibles au public uniquement si une base légale adéquate existe.

8 Destinataires et catégories de sous-traitants

Accès strictement limité au besoin d'en connaître (« need-to-know ») :

* Transferts encadrés — voir section 9. Certains prestataires ne sont sollicités que si le client active la fonctionnalité. Liste détaillée disponible sur demande à [email protected] (délai de réponse : 30 jours).

Nous ne vendons pas de données personnelles et ne les communiquons pas à des tiers à des fins publicitaires indépendantes du Service.

9 Transferts internationaux de données

Plusieurs prestataires sont établis hors du Maroc, notamment aux États-Unis.

Conformément aux articles 43 et 44 de la loi n° 09-08, les transferts vers un État n'assurant pas un niveau de protection suffisant sont réalisés sur la base d'une autorisation de la CNDP ou d'une exception prévue par la loi (notamment l'exécution du contrat conclu avec la personne concernée ou à son bénéfice), complétées le cas échéant par des mesures techniques et organisationnelles (chiffrement, pseudonymisation, évaluations de risque).

Une copie des garanties appropriées peut être obtenue sur demande motivée, sous réserve du secret des affaires et des obligations de confidentialité envers les prestataires.

10 Durées de conservation

Les données sont conservées pour une durée n'excédant pas celle nécessaire aux finalités, augmentée des délais de prescription et obligations légales :

À l'expiration : suppression sécurisée ou anonymisation irréversible, sauf obligation légale de conservation.

11 Mesures de sécurité (TOM)

Conformément à la loi n° 09-08 et aux exigences de sécurité de la CNDP, nous mettons en œuvre des mesures techniques et organisationnelles appropriées, notamment :

• chiffrement des communications (TLS 1.2+) ; chiffrement au repos lorsque supporté par l'infrastructure ;
• authentification forte disponible (2FA) ; politique de mots de passe ; gestion des rôles et permissions ;
• journalisation des accès administrateurs ; détection d'activités anormales ;
• sauvegardes régulières ; plans de reprise ; segmentation des environnements (production / test) ;
• clauses de confidentialité avec le personnel ; sensibilisation à la protection des données ;
• procédure de gestion des incidents et notification à la CNDP et, le cas échéant, aux autorités compétentes de l’UE.

Aucune mesure ne garantit une sécurité absolue. Le client reste responsable de la sécurité de ses postes, de ses identifiants et des accès qu’il accorde à ses utilisateurs et partenaires.

12 Profilage et décisions automatisées

Le Service peut permettre au client de configurer des règles automatisées (scoring et qualification de prospects, routage, réponses IA, relances). Lorsqu'une décision produit des effets juridiques ou affecte significativement une personne, le client doit, conformément à la loi n° 09-08 :

• informer la personne concernée ;
• prévoir une intervention humaine, un droit d’exprimer son point de vue et de contester la décision ;
• documenter la logique sous-jacente dans la limite du secret des affaires.

DEVSTUDIOS GROUP n'effectue pas, en son nom propre, de décision automatisée destinée à définir le profil de consommateurs finaux (B2C).

13 Violations de données personnelles

En cas de violation susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, nous notifierons la CNDP dans les délais et selon les modalités prévues par la loi n° 09-08 et les recommandations de la Commission.

Les personnes concernées seront informées lorsque le risque est élevé. Les clients agissant comme responsables seront informés sans délai injustifié, avec les éléments utiles à leurs propres notifications, conformément au DPA le cas échéant.

14 Cookies et autres traceurs

14.1. Plateforme HYSUITE et site vitrine

Aucun outil de mesure d'audience ni traceur publicitaire n'est déposé à ce jour sur le site vitrine et la plateforme. Si un tel outil est ajouté, il ne sera activé qu'après votre consentement lorsque requis, et le tableau ci-dessus sera mis à jour.

14.2. Script de tracking (sites clients)

Le client est seul responsable du dépôt de traceurs sur son site, de l'information des visiteurs et du recueil du consentement via un mécanisme conforme (bandeau / CMP).

15 Droits des personnes concernées

Articles 7 à 9 de la loi n° 09-08 — exerçables selon les conditions légales :

Modalités d'exercice

• Formulaire en ligne : Exercer vos droits
• E-mail : [email protected] (une pièce d'identité pourra être demandée pour vérifier votre identité)
• Courrier : DEVSTUDIOS GROUP — 77 Rue Mohamed Smiha, Étage 10 N°57, Casablanca – Maroc
• Délai de réponse : 1 mois (prolongation possible de 2 mois si la demande est complexe, avec motivation)
• Gratuité : sauf demandes manifestement infondées ou excessives

Réclamation : Commission Nationale de contrôle de la protection des Données à caractère Personnel (CNDP) — www.cndp.ma

16 Sous-traitance et accord DPA

Les clients professionnels peuvent demander un accord de traitement des données (DPA) précisant : description des traitements, durée, nature et finalité, types de données, catégories de personnes concernées, et obligations issues de la loi n° 09-08 (instructions documentées, confidentialité, assistance, sous-traitants ultérieurs, suppression ou restitution, audits).

En souscrivant au Service, le client autorise le recours aux catégories de sous-traitants ultérieurs listées à la section 8, sous réserve d’une information préalable en cas de remplacement substantiel lorsque le DPA l’exige.

Contact : [email protected]

17 Mineurs

Le Service est destiné aux professionnels (B2B). Nous ne collectons pas sciemment de données relatives à des enfants de moins de 16 ans sans consentement parental vérifiable. Tout signalement sera traité en priorité, avec suppression lorsque requis.

18 Modifications de la Politique

Nous pouvons modifier la Politique pour refléter l'évolution légale, technique ou contractuelle. La version en vigueur est identifiable par le numéro et la date en tête de document. En cas de changement substantiel, les comptes actifs sont informés par e-mail et/ou bandeau dans l'interface, dans un délai raisonnable et au moins 30 jours avant effet lorsque la réglementation ou le contrat l'exige.

19 Droit applicable et juridiction

La Politique est régie par le droit marocain, notamment la loi n° 09-08. Les tribunaux compétents de Casablanca sont seuls compétents pour tout litige non résolu à l'amiable.

20 Contact