La présente politique de confidentialité décrit comment XaalisPay (ci-après « nous », « notre » ou « XaalisPay »), exploité par XaalisPay SAS, collecte, utilise, conserve et protège les données à caractère personnel des vendeurs utilisant notre application mobile et nos services.

Elle est conforme à la loi sénégalaise n° 2008-12 du 25 janvier 2008 portant sur la protection des données à caractère personnel, aux recommandations de la Commission de Protection des Données Personnelles (CDP) du Sénégal, ainsi qu'aux bonnes pratiques internationales.

1. Responsable du traitement

Le responsable du traitement de vos données personnelles est :

• Société : XaalisPay SAS
• Siège : Dakar, Sénégal
• Contact : privacy@xaalispay.com

2. Données collectées

2.1 Données que vous nous fournissez directement

• Numéro de téléphone — utilisé pour créer votre compte et vous envoyer un code OTP de vérification.
• Nom d'affichage — le nom sous lequel vous apparaissez sur la plateforme.
• XaalisTag — votre identifiant public personnalisé (pseudo).
• Informations produits — noms, descriptions, prix et photos des articles que vous publiez.
• Informations de retrait — numéro de téléphone Wave ou Orange Money pour les paiements sortants.
• Zones de livraison — zones géographiques et tarifs que vous définissez.

2.2 Données générées par l'utilisation du service

• Données de transaction — montants, statuts, horodatages et identifiants des commandes.
• Historique du portefeuille — solde disponible, fonds en séquestre, historique des retraits.
• Code PIN local — chiffré et stocké uniquement sur votre appareil (jamais transmis à nos serveurs).
• Données d'affiliation — lien de parrainage utilisé, commissions générées.
• Logs de session — tokens d'accès (conservés en mémoire uniquement, non persistés) et tokens de rafraîchissement (stockés de façon sécurisée sur l'appareil via le Keychain iOS / Keystore Android).

2.3 Données biométriques

Si vous activez le déverrouillage biométrique (Face ID, empreinte digitale), ces données restent entièrement sur votre appareil et sont gérées exclusivement par le système d'exploitation (iOS Secure Enclave / Android TEE). XaalisPay n'a aucun accès à vos données biométriques.

2.4 Données que nous ne collectons pas

3. Finalités et bases légales du traitement

• Création et gestion de votre compte — exécution du contrat (art. 5 loi CDP).
• Vérification d'identité par OTP — exécution du contrat et obligation de sécurité.
• Traitement des paiements et du séquestre — exécution du contrat.
• Retraits vers Wave / Orange Money — exécution du contrat.
• Notifications de commandes — exécution du contrat (consentement implicite à l'inscription).
• Programme d'affiliation — exécution du contrat.
• Lutte contre la fraude et la sécurité — intérêt légitime et obligation légale.
• Amélioration du service — intérêt légitime (données agrégées et anonymisées uniquement).

4. Partage des données avec des tiers

Nous ne vendons jamais vos données personnelles. Nous les partageons uniquement avec :

Prestataires techniques

• Twilio Inc. (États-Unis) — envoi des codes OTP par message WhatsApp. Données transmises : numéro de téléphone, code à usage unique. Twilio est certifié SOC 2 Type II.
• Railway Corp. (États-Unis) — hébergement de notre infrastructure backend. Données stockées : toutes les données de votre compte (chiffrées en transit TLS 1.2+).
• Expo / EAS (Expo Inc.) — infrastructure de distribution de l'application mobile. Aucune donnée utilisateur finale n'est transmise à Expo.

Opérateurs de paiement mobile

• Wave Mobile Money et Orange Money Sénégal — uniquement lors des retraits, pour exécuter le virement vers votre compte mobile money.

Obligations légales

Nous pouvons divulguer vos données aux autorités compétentes si la loi sénégalaise ou une décision de justice l'exige.

5. Transferts internationaux de données

Certains de nos prestataires (Twilio, Railway) sont établis aux États-Unis. Ces transferts sont encadrés par des clauses contractuelles types et les certifications de sécurité de ces prestataires. Nous nous assurons que le niveau de protection de vos données reste équivalent à celui garanti par la loi sénégalaise.

6. Durée de conservation

• Données de compte actif — conservées pendant toute la durée de votre utilisation du service.
• Données de transaction — conservées 5 ans après la transaction (obligation comptable et légale).
• Codes OTP — expirés et supprimés dans les 10 minutes suivant leur génération.
• Tokens de session — invalidés à la déconnexion ou après 30 jours d'inactivité.
• Données après suppression du compte — anonymisées sous 30 jours, sauf obligation légale de conservation.
• PIN et données biométriques — supprimés de l'appareil à la désinstallation de l'application.

7. Sécurité des données

Nous mettons en œuvre les mesures de sécurité suivantes :

• Chiffrement TLS 1.2+ pour toutes les communications réseau.
• Tokens d'accès conservés uniquement en mémoire vive (jamais sur disque).
• Tokens de rafraîchissement stockés dans le Keychain iOS / Keystore Android (zone sécurisée du matériel).
• PIN local chiffré via expo-secure-store (AES-256).
• Rotation automatique des tokens à chaque session (blacklisting des anciens tokens).
• Délai d'expiration de 10 secondes sur toutes les requêtes réseau.
• Aucun log de données sensibles (numéros, montants) en production.

8. Vos droits

Conformément à la loi n° 2008-12 et aux bonnes pratiques internationales, vous disposez des droits suivants :

• Droit d'accès — obtenir une copie de vos données personnelles.
• Droit de rectification — corriger des données inexactes ou incomplètes.
• Droit à l'effacement — demander la suppression de votre compte et de vos données (sous réserve des obligations légales de conservation).
• Droit à la portabilité — recevoir vos données dans un format structuré et lisible par machine.
• Droit d'opposition — vous opposer à un traitement basé sur notre intérêt légitime.
• Droit de retrait du consentement — retirer votre consentement à tout moment pour les traitements qui en dépendent.

Pour exercer ces droits, contactez-nous à privacy@xaalispay.com. Nous répondrons dans un délai de 30 jours.

Vous pouvez également introduire une réclamation auprès de la Commission de Protection des Données Personnelles (CDP) du Sénégal si vous estimez que vos droits n'ont pas été respectés.

9. Cookies et traceurs

L'application mobile XaalisPay n'utilise pas de cookies. Aucun SDK de publicité, de tracking comportemental ou d'analyse tierce n'est intégré dans l'application.

10. Mineurs

XaalisPay est destiné exclusivement aux vendeurs professionnels majeurs (18 ans et plus). Nous ne collectons pas sciemment de données personnelles concernant des mineurs. Si vous êtes parent ou tuteur et pensez que votre enfant nous a fourni des données, contactez-nous immédiatement à privacy@xaalispay.com.

11. Modifications de la présente politique

Nous pouvons mettre à jour cette politique de confidentialité. En cas de modification substantielle, nous vous en informerons via une notification dans l'application au moins 15 jours avant l'entrée en vigueur des changements. La date de dernière mise à jour est indiquée en haut de ce document. La poursuite de l'utilisation du service après notification vaut acceptation de la nouvelle politique.

12. Déclaration à la CDP

XaalisPay a procédé aux formalités de déclaration de ses traitements de données personnelles auprès de la Commission de Protection des Données Personnelles (CDP) du Sénégal, conformément aux articles 17 et suivants de la loi n° 2008-12.