Politique de protection des données personnelles

La présente Politique de Protection des Données Personnelles (ci-après la « Politique ») s'applique à toute personne physique qui crée un compte, utilise ou sollicite les services de l'application mobile NOVASEND (ci-après le « Client » ou « l'Utilisateur »).

NOVASEND est une application mobile de services de paiement, de transfert d'argent et de collecte de fonds, éditée et exploitée par AROAPP SA, société de droit ivoirien dont le siège est situé à Abidjan, Côte d'Ivoire, immatriculée au RCCM sous le numéro CI-ABJ-03-2026-M-09041

(Ci-après la « Société », « NOVASEND » ou « nous »).

La Société attache une importance particulière à la confidentialité et à la sécurité des données personnelles de ses Clients. La présente Politique les informe, de manière claire et transparente, sur la manière dont leurs données sont collectées, utilisées, conservées, partagées et protégées, ainsi que sur les droits dont ils disposent.

Elle complète les Conditions Générales d'Utilisation (CGU) de NOVASEND, la Politique relative aux cookies et les Mentions légales.

• La présente Politique est établie conformément au corpus légal et réglementaire en vigueur en République de Côte d'Ivoire et dans l'espace UEMOA, notamment :

• La Loi n° 2013-450 du 19 juin 2013 relative à la protection des données à caractère personnel ;

• La Loi n° 2013-451 du 19 juin 2013 relative à la lutte contre la cybercriminalité ;

• La Loi n° 2013-546 du 30 juillet 2013 relative aux transactions électroniques ;

• Les décisions, délibérations et recommandations de l'Autorité de Régulation des Télécommunications/TIC de Côte d'Ivoire (ARTCI), autorité de protection des données à caractère personnel ;

• La réglementation de la Banque Centrale des États de l'Afrique de l'Ouest (BCEAO) applicable aux services de paiement et à la monnaie électronique ;

• La réglementation uniforme UEMOA et la législation ivoirienne relatives à la lutte contre le blanchiment de capitaux, le financement du terrorisme et la prolifération des armes de destruction massive (LBC/FT/FP).

Le responsable du traitement est AROAPP SA Cocody Angré 7eme tranche, Abidjan, Côte d'Ivoire.

• La Société a désigné un Correspondant / Délégué à la Protection des Données (« DPD »), joignable :

• Par e-mail : conformite@sankofa-lab.co

• Par courrier : AROAPP SA, à l'attention du DPD, Cocody Angré 7ème tranche, Abidjan, Côte d'Ivoire.

• Donnée à caractère personnel : toute information relative à une personne physique identifiée ou identifiable, directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments propres à son identité physique, physiologique, génétique, psychique, culturelle, sociale ou économique, quel que soit son support, y compris le son et l'image. Exemples : nom et prénoms (identification directe) ; numéro de téléphone Mobile Money, numéro de compte, adresse IP (identification indirecte).

• Données financières et transactionnelles : les opérations de paiement et de transfert (émetteurs, bénéficiaires, montants, opérateurs) constituent des données personnelles dès lors que les personnes concernées peuvent être identifiées.

• Données sensibles : données révélant notamment l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses, la santé, la vie sexuelle, ou encore les données biométriques et génétiques. Leur traitement est en principe interdit, sauf exceptions prévues par la loi.

• Traitement : toute opération portant sur des données personnelles (collecte, enregistrement, utilisation, conservation, communication, effacement, etc.).

• Opérateurs Mobile Money : opérateurs et établissements partenaires avec lesquels NOVASEND interagit pour exécuter les opérations de paiement et de transfert.

La gestion des services de paiement, de transfert d'argent et de collecte de fonds via l'application mobile NOVASEND.

Le traitement a pour finalité de permettre la création et la gestion des comptes utilisateurs, l'identification et la vérification de l'identité des clients, l'exécution et le suivi des opérations de transfert d'argent et de paiement entre différents opérateurs Mobile Money, l'encaissement des paiements par liens, la gestion des collectes de fonds, ainsi que la sécurisation des transactions, la prévention de la fraude, la gestion des réclamations et le respect des obligations légales et réglementaires applicables.

La Société collecte et traite les catégories de données suivantes, limitées à ce qui est strictement nécessaire aux finalités poursuivies :

• Identité et contact : Nom, prénoms, date et lieu de naissance, nationalité, adresse, numéro de téléphone, adresse e-mail
• Justificatifs d'identité (KYC) : Copie de la CNI, du passeport ou d'un autre document d'identité en cours de validité, photographie/ « selfie » de vérification, justificatif de domicile
• Compte et authentification : Identifiant, mot de passe chiffré, code PIN, paramètres du compte
• Données financières et transactionnelles : Numéros Mobile Money associés, opérateur, montants, dates, bénéficiaires, historique et statut des opérations, références de paiement, liens de paiement générés, collectes de fonds créées ou alimentées
• Données techniques et de connexion : Adresse IP, logs, identifiant du terminal, modèle et système d'exploitation, version de l'application, données de localisation approximative, identifiants publicitaires et de session
• Données de relation client : Échanges avec le support, réclamations, litiges, preuves de consentement
• Données relatives à la conformité : Résultats des contrôles LBC/FT, listes de sanctions et de personnes politiquement exposées, alertes de fraude

Les données biométriques (par exemple la reconnaissance faciale utilisée pour la vérification d'identité) ne sont traitées, qu'avec le consentement exprès du Client et dans le respect des autorisations exigées par la loi.

Lorsque des données concernant un tiers (bénéficiaire d'un transfert, payeur d'un lien de paiement, contributeur à une collecte) sont communiquées à la Société par un Client, ce dernier s'engage à en informer la personne concernée et à disposer d'un fondement légitime pour les transmettre.

• Création, gestion et sécurisation du compte utilisateur : Exécution du contrat (CGU) auquel le Client est partie
• Exécution et suivi des opérations de transfert d'argent et de paiement entre opérateurs Mobile Money : Exécution du contrat
• Encaissement des paiements par liens de paiement et gestion des collectes de fonds : Exécution du contrat
• Gestion du support client et traitement des réclamations : Exécution du contrat ; intérêt légitime de la Société à traiter et suivre les demandes
• Identification et vérification de l'identité du Client (KYC), évaluation du profil de risque, filtrage des listes de sanctions, conservation des pièces : Respect d'obligations légales et réglementaires (LBC/FT/FP, réglementation BCEAO)
• Déclarations de soupçon et réponses aux demandes des autorités (judiciaires, administratives, de régulation, cellule de renseignement financier, administration fiscale) : Respect d'obligations légales
• Prévention, détection et gestion de la fraude, sécurisation des transactions et des systèmes d'information : Intérêt légitime de la Société à protéger ses actifs, ses Clients et la sécurité de ses services ; obligations légales
• Gestion comptable, fiscale et archivage : Respect d'obligations légales
• Statistiques, amélioration des services, mesure d'audience : Intérêt légitime ; consentement pour les traceurs non essentiels (voir Politique cookies)
• Prospection commerciale, newsletters, offres promotionnelles : Consentement exprès et préalable du Client
• Traitement de données biométriques pour la vérification d'identité (le cas échéant) : Consentement exprès, écrit ou électronique, du Client

Le refus de communiquer les données nécessaires à l'exécution du contrat ou aux obligations légales (notamment KYC) peut empêcher l'ouverture du compte, la fourniture ou la poursuite des services.

Lorsque le traitement repose sur le consentement (prospection commerciale, profilage à des fins commerciales, données biométriques, traceurs non essentiels), celui-ci est libre, spécifique, éclairé et univoque. Il est recueilli de manière distincte, au moyen d'une case à cocher active et non pré-cochée.

Le Client peut retirer son consentement à tout moment, depuis son interface dans l'application ou en contactant le DPD, sans remettre en cause la licéité des traitements effectués avant le retrait. Le refus ou le retrait du consentement n'affecte pas l'accès aux services essentiels.

• Les données personnelles sont destinées aux services internes habilités de la Société (conformité, service client, finance, sécurité informatique, équipes techniques), dans la limite de leurs attributions. Elles peuvent également être communiquées, lorsque cela est nécessaire :

• Aux Opérateurs Mobile Money, banques, établissements financiers et partenaires de paiement, pour l'exécution des opérations ;

• À nos sous-traitants (hébergeurs, prestataires de vérification d'identité, d'envoi de SMS/e-mails, de lutte anti-fraude, de support, d'analyse technique), liés par des engagements contractuels de confidentialité et de sécurité ;

• Aux autorités judiciaires, administratives, fiscales, de régulation et de supervision (BCEAO, Commission bancaire, cellule nationale de traitement des informations financières, ARTCI), lorsque la loi l'exige ;

• À des conseils, auditeurs et commissaires aux comptes, tenus à une obligation de confidentialité.

La Société ne vend pas les données personnelles de ses Clients. Aucune communication à des tiers à des fins de prospection n'est effectuée sans le consentement préalable du Client.

Les déclarations de soupçon relatives au blanchiment de capitaux et au financement du terrorisme sont soumises au secret. Le Client concerné ne peut en être informé et ne peut exercer ses droits d'accès à leur égard dans les conditions prévues par la réglementation.

Conformément au principe de limitation de la conservation, les données ne sont pas conservées au-delà de la durée nécessaire aux finalités pour lesquelles elles ont été collectées, sous réserve des durées légales d'archivage.

• Données du compte (profil, coordonnées) — Durée : Durée de la relation contractuelle, puis cinq (5) ans après la clôture du compte. Justification : Exécution du contrat, preuve en cas de litige, prescription
• Pièces d'identification et données KYC — Durée : Dix (10) ans après la fin de la relation d'affaires. Justification : Obligations LBC/FT/FP
• Données de transactions (historique, preuves de paiement) — Durée : Dix (10) ans à compter de l'exécution de l'opération. Justification : Obligations LBC/FT, comptables et fiscales, réglementation BCEAO
• Données liées à une enquête pour fraude (dossier, preuves, décision) — Durée : Cinq (5) ans à compter de la clôture définitive du dossier. Justification : Intérêt légitime, prescription
• Réclamations et échanges avec le support — Durée : Cinq (5) ans à compter de la clôture de la réclamation. Justification : Preuve et gestion des litiges
• Preuve du consentement — Durée : Trois (3) ans à compter de la collecte du consentement ou de son retrait. Justification : Obligation de démontrer le consentement
• Données de prospection commerciale — Durée : Trois (3) ans à compter du dernier contact actif ou du retrait du consentement. Justification : Limitation de la conservation
• Données techniques de connexion (logs, adresse IP) — Durée : Treize (13) mois à compter de leur collecte. Justification : Sécurité des systèmes et prévention de la fraude

À l'expiration de ces durées, les données sont supprimées de manière irréversible ou anonymisées. Les données anonymisées peuvent être conservées à des fins statistiques et d'amélioration des services.

En cas de contentieux, d'enquête, de procédure judiciaire ou administrative en cours, ou de demande d'une autorité compétente, les données concernées peuvent être conservées pour la durée nécessaire, même au-delà des durées ci-dessus.

La demande d'effacement du Client peut être refusée lorsque la conservation des données reste nécessaire au respect d'une obligation légale ou à la constatation, à l'exercice ou à la défense d'un droit en justice.

• La Société met en œuvre des mesures techniques et organisationnelles appropriées afin de protéger les données contre tout accès non autorisé, divulgation, altération, perte ou destruction, notamment :

• Chiffrement des données en transit et, selon leur sensibilité, au repos ;

• Authentification des Clients (mot de passe, code PIN, authentification renforcée selon les opérations) ;

• Politique d'habilitation et contrôle strict des accès, limités aux collaborateurs qui en ont besoin ;

• Journalisation et surveillance des accès et des opérations, dispositifs de détection de la fraude ;

• Sauvegardes, plan de continuité et tests de sécurité réguliers ;

• Engagements de confidentialité des collaborateurs et des sous-traitants, sensibilisation et formation du personnel.

Le Client contribue à la sécurité de son compte en gardant confidentiels ses identifiants et son code PIN, en ne les communiquant à personne, y compris à une personne se présentant comme un agent de NOVASEND, et en signalant sans délai toute perte, tout vol ou toute utilisation frauduleuse.

En cas de violation de données susceptible d'engendrer un risque pour les droits et libertés des personnes, la Société prend sans délai les mesures de remédiation nécessaires, informe l'ARTCI et les Clients concernés dans les conditions prévues par la réglementation.

La Société peut recourir à des dispositifs automatisés de scoring, de détection d'anomalies et de filtrage afin de prévenir la fraude, de sécuriser les transactions et de respecter ses obligations LBC/FT. Lorsqu'une décision (blocage d'une opération, suspension d'un compte) est prise sur cette base, le Client peut demander un réexamen par un agent habilité et présenter ses observations, via le service client ou le DPD, sous réserve des obligations de confidentialité imposées par la loi.

Tout profilage à des fins commerciales est subordonné au consentement exprès préalable du Client.

• Conformément à la Loi n° 2013-450, le Client dispose des droits suivants :

• Droit à l'information sur les traitements opérés ;

• Droit d'accès à ses données et d'en obtenir communication ;

• Droit de rectification des données inexactes ou incomplètes ;

• Droit d'effacement (« droit à l'oubli »), dans les limites prévues à l'article 11 ;

• Droit d'opposition, pour motif légitime, au traitement de ses données, et sans motif et sans frais s'agissant de la prospection commerciale ;

• Droit à la limitation du traitement, lorsque la loi le permet ;

• Droit à la portabilité de ses données, lorsque cela est applicable ;

• Droit de retirer son consentement à tout moment ;

• Droit de définir des directives relatives au sort de ses données après son décès, lorsque la loi le permet.

Modalités d'exercice. Le Client adresse sa demande au DPD conformite@sankofa-lab.co ou par courrier à l'adresse indiquée à l'article 3, en précisant son identité et l'objet de sa demande. La Société peut demander un justificatif d'identité en cas de doute raisonnable. Elle répond dans un délai maximum d'un (1) mois à compter de la réception de la demande complète, délai pouvant être prolongé en cas de complexité, le Client en étant informé.

• Réclamation. Le Client qui estime que ses droits ne sont pas respectés peut introduire une réclamation auprès de l'ARTCI, autorité de protection des données à caractère personnel de Côte d'Ivoire, sans préjudice de tout recours juridictionnel.

Les services NOVASEND sont réservés aux personnes majeures ou juridiquement capables de contracter. La Société ne collecte pas sciemment de données relatives à des mineurs. Si elle constate qu'un compte a été ouvert par un mineur sans l'accord de son représentant légal, elle se réserve le droit de le suspendre ou de le clôturer et de supprimer les données concernées, sous réserve de ses obligations légales de conservation.

L'application et le site https://novasend.app peuvent recourir à des traceurs et technologies similaires. Les traceurs strictement nécessaires au fonctionnement et à la sécurité du service ne requièrent pas de consentement ; les autres ne sont déposés qu'avec l'accord préalable de l'Utilisateur. Les modalités détaillées figurent dans la Politique relative aux cookies de NOVASEND.

La Société peut modifier la présente Politique, notamment pour tenir compte de l'évolution de la législation, de la réglementation ou de ses services. Toute modification significative est portée à la connaissance des Clients par notification dans l'application, par e-mail ou par tout autre moyen approprié. La version en vigueur est accessible à tout moment sur https://novasend.app et dans l'application.

En créant un compte ou en utilisant les services NOVASEND, le Client reconnaît avoir pris connaissance de la présente Politique. Les traitements fondés sur le consentement (prospection, biométrie, traceurs non essentiels) font l'objet d'un recueil distinct, conformément à l'article 8.