Politique de confidentialité

1. Préambule

La présente politique décrit la manière dont la plateforme RUPRO (rupro.africa et guichets sectoriels associés) collecte, utilise, conserve et protège les données personnelles des professionnels des secteurs régulés inscrits aux registres, des agents instructeurs et des visiteurs publics.

Elle s'applique de plein droit à tout utilisateur des services. L'usage de la plateforme vaut acceptation des termes ci-après.

2. Responsable du traitement

Pour chaque guichet sectoriel mis en service, le responsable de traitement est l'institution publique compétente pour la délivrance des autorisations professionnelles du secteur concerné. SOROM Holding agit alors en qualité de sous-traitant au sens de la réglementation applicable, dans le cadre de la convention de services conclue avec cette institution, qui définit les finalités et moyens essentiels du traitement.

Pour la vitrine rupro.africa et les environnements de démonstration, SOROM Holding est responsable de traitement.

3. Données collectées

Nous collectons les catégories suivantes, strictement nécessaires aux finalités listées au paragraphe 4 :

• Données d'identification : nom, prénom, civilité, numéro d'identité nationale (uniquement pour les professions où la réglementation l'exige), photo d'identité pour la carte professionnelle.
• Données professionnelles : raison sociale, nom commercial, numéro RCCM, numéro fiscal, adresse de l'établissement, secteur et catégorie d'activité, pièces justificatives téléversées.
• Données de contact : adresse email, numéro de téléphone.
• Données techniques : adresse IP, type de navigateur, horodatage des connexions, journaux d'audit des actions sur le dossier.
• Données financières : références de paiement Mobile Money ou virement, montants des redevances acquittées. Les coordonnées bancaires complètes ne sont jamais stockées par RUPRO — elles transitent uniquement via le prestataire de paiement agréé.

4. Finalités

Les données sont traitées pour :

• Instruire les demandes d'autorisation d'exercer une activité réglementée.
• Délivrer, suspendre, renouveler ou révoquer les titres et cartes professionnelles.
• Permettre la vérification publique d'une autorisation par QR code.
• Détecter et prévenir les fraudes (paiements, falsifications de pièces, usurpation d'identité).
• Établir des statistiques anonymisées à destination de l'institution compétente.
• Notifier les utilisateurs des étapes de leur dossier (email, notifications applicatives).

5. Base légale

Les traitements reposent sur :

• L'exécution d'une mission d'intérêt public dont est investie l'institution compétente (instruction et délivrance des titres).
• L'exécution du contrat passé par le professionnel avec l'administration via le guichet sectoriel (inscription, paiement de la redevance).
• Le respect d'obligations légales en matière de lutte contre la fraude et de tenue d'un registre public.

6. Durée de conservation

• Dossiers actifs : conservés pendant toute la durée de validité du titre et 5 ans après son expiration ou révocation, à des fins de contrôle a posteriori.
• Journaux d'audit : 5 ans (durée de prescription des irrégularités administratives).
• Comptes inactifs : un compte sans activité depuis 24 mois reçoit une notification ; à défaut de connexion dans les 30 jours suivants, il est anonymisé.

7. Destinataires

Les données sont accessibles aux :

• Agents et superviseurs habilités de l'institution compétente, dans le cadre de l'instruction et du contrôle.
• Équipes techniques de SOROM Holding (sous-traitant), dans le strict cadre de l'exploitation du service, soumises à un engagement de confidentialité.
• Autorités judiciaires ou administratives compétentes sur réquisition légale.
• Hébergeurs techniques (Vercel, Fly.io, Supabase, Cloudflare R2) en qualité de sous-traitants ultérieurs, encadrés par des clauses contractuelles types.

Les données ne sont jamais vendues, louées ou cédées à des tiers à des fins commerciales.

8. Transferts hors zone CEMAC / UE

Certains sous-traitants techniques sont basés aux États-Unis (Vercel, Fly.io, Cloudflare). Les transferts sont encadrés par des clauses contractuelles types et des accords de protection assurant un niveau de protection équivalent à celui prévu par le RGPD européen.

9. Vos droits

Toute personne dispose des droits suivants sur ses données :

• Droit d'accès et d'information.
• Droit de rectification.
• Droit à l'effacement, sous réserve des obligations légales de conservation.
• Droit à la limitation du traitement.
• Droit à la portabilité.
• Droit de saisir l'autorité de contrôle compétente en cas de litige non résolu.

Ces droits s'exercent par écrit à dpo@rupro.africa en justifiant de votre identité. Une réponse est apportée sous un délai d'un mois.

10. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées au regard de la sensibilité des données :

• Chiffrement des communications (TLS 1.3 + HSTS preload).
• Chiffrement au repos des secrets et mots de passe (Argon2id).
• Authentification forte des agents (mot de passe + MFA roadmap).
• Journalisation et audit des accès aux dossiers.
• Sauvegardes chiffrées quotidiennes avec rétention 7 jours et test périodique de restauration.
• Contrôle d'accès par rôle (RBAC) et isolation par pays/institution (RLS au niveau base de données).

11. Cookies

La plateforme utilise uniquement des cookies strictement nécessaires (authentification, préférences d'affichage). Aucun cookie de traçage publicitaire n'est déposé. La mesure d'audience est anonymisée.

12. Évolution de la politique

La présente politique peut être révisée à tout moment pour tenir compte d'évolutions législatives, jurisprudentielles ou techniques. Les utilisateurs inscrits seront notifiés des modifications substantielles. La date de mise à jour figure en tête du document.