1. En résumé
- Cette politique couvre le site Shabaya et l'application mobile Shabaya, publiés par MONDETY & CO LTD.
- Nous demandons ce qu'il faut pour tenir une boutique et livrer une commande, et rien de plus.
- La boutique chez qui vous commandez voit vos coordonnées de livraison : sans elles, elle ne peut pas vous livrer.
- Le créateur dont vous avez suivi le lien ne les voit pas. Il voit un numéro de commande, un montant et sa commission.
- Aucune publicité ciblée, aucun traceur publicitaire, aucun outil de mesure tiers, aucun suivi entre applications, aucune revente de fichier. Nous ne vendons pas de données.
- L'application ne demande pas votre position et n'accède pas à votre carnet d'adresses.
- MONDETY & CO LTD ne traite aucun paiement : nous ne voyons ni votre solde, ni votre code, ni vos identifiants Orange Money, MTN, Moov ou Wave.
- Vous pouvez demander la suppression de votre compte à tout moment, depuis l'application ou depuis cette page.
2. Qui est responsable, et sous quelles lois
MONDETY & CO LTD est le responsable du traitement pour la plateforme Shabaya. Son identité complète et son adresse figurent dans les conditions d'utilisation.
Deux régimes s'appliquent ensemble, et aucun des deux ne prive l'autre de ses garanties :
- Le droit britannique de la protection des données — UK GDPR et Data Protection Act 2018 — parce que MONDETY & CO LTD est établie au Royaume-Uni et y décide des finalités et des moyens de chaque traitement. L'autorité de contrôle est l'Information Commissioner's Office (ICO).
- La loi n° 2013-450 du 19 juin 2013 relative à la protection des données à caractère personnel, pour les personnes se trouvant en Côte d'Ivoire, sous le contrôle de l'Autorité de régulation des télécommunications de Côte d'Ivoire (ARTCI).
Lorsque les deux textes divergent, nous appliquons la règle la plus protectrice pour la personne concernée.
La responsabilité se partage par ailleurs en deux, et la distinction est utile :
- MONDETY & CO LTD répond de la plateforme : comptes, catalogue, panier, liens, suivi de commande, notifications, sécurité et journaux techniques.
- La boutique répond des données de ses propres clients pour les commandes qu'elle exécute : c'est elle qui livre, qui rappelle, qui conserve son fichier client et qui répond de l'usage qu'elle en fait. Elle en est responsable de traitement pour son propre compte.
Une demande portant sur une commande précise gagne donc à être adressée à la boutique concernée ; nous pouvons vous y aider (point 13).
3. Ce que l'application mobile collecte
L'application Shabaya est l'outil des vendeurs, de leurs équipes, de leurs livreurs et des créateurs. Les acheteurs ne l'installent pas : ils ouvrent un lien dans leur navigateur. Voici, poste par poste, ce que l'application transmet à nos serveurs.
- Votre numéro de téléphone. Il identifie le compte, et c'est à lui qu'est envoyé le code de connexion. Il n'y a pas de mot de passe. Un compte peut aussi porter une adresse e-mail, qui sert alors de moyen de connexion de secours et de point de contact.
- Les informations de votre boutique : nom, commune, catégorie, numéro publié, horaires, logo, couleur, bannières, et — si vous choisissez de les renseigner — votre raison sociale, votre RCCM et votre numéro fiscal.
- Vos photos et vos vidéos de produits, prises avec l'appareil photo ou choisies dans la galerie de votre téléphone, ainsi que leur son lorsque vous filmez.
- Les coordonnées de vos clientes et clients que vous saisissez ou qui vous parviennent avec une commande : nom, téléphone, commune, quartier, repère, adresse.
- Les données de commande et de paiement : articles, quantités, montants, acomptes, reçus déclarés, références d'opérateur et images de preuve de paiement, remises et motifs de refus.
- Les données de votre programme créateurs : membres, taux de commission, ventes attribuées, règlements.
- Le jeton de notification de votre appareil et le nom de l'appareil, si vous acceptez les notifications, pour qu'une commande payée sonne sur le bon téléphone et non sur un autre.
- Des journaux techniques liés à vos requêtes : adresse IP, horodatage, opération demandée, code de réponse. Ils servent à la sécurité et au dépannage, jamais à mesurer votre usage ni à construire un profil, et ne sont transmis à aucun tiers.
Ce que l'application ne collecte pas, et que nous énonçons parce que la question se pose : aucune donnée de géolocalisation, aucune permission de position n'étant demandée ni déclarée ; aucun contact de votre répertoire ; aucun identifiant publicitaire ; aucun enregistrement sonore en dehors des vidéos que vous filmez vous-même ; aucune donnée d'utilisation transmise à un tiers à des fins d'analyse.
L'application stocke localement, sur votre téléphone, votre jeton de session et quelques préférences d'affichage. Ce stockage est chiffré, la clé de chiffrement étant conservée dans le coffre sécurisé du système d'exploitation. La déconnexion l'efface et rend le jeton de notification au serveur.
4. Les autorisations demandées par l'application
Aucune autorisation n'est demandée au lancement. Chacune arrive au moment où elle sert, et le refus n'empêche pas d'utiliser le reste de l'application.
- Appareil photo — photographier vos produits et filmer vos vidéos. Demandée au premier ajout de photo.
- Photos et vidéos de l'appareil — publier une image ou une vidéo que vous avez déjà prise. Demandée au premier choix dans la galerie.
- Microphone — enregistrer le son de vos vidéos. Demandée au premier tournage, jamais autrement.
- Notifications — vous prévenir d'une commande payée, d'un paiement déclaré, d'un colis livré ou refusé. Demandée après la connexion, précédée d'un écran qui explique à quoi elle sert.
Ces autorisations se retirent à tout moment dans les réglages de votre téléphone.
5. Ce que le site collecte
Si vous achetez :
- nom, numéro de téléphone, ville, adresse ou quartier de livraison ;
- contenu du panier, commandes, montants, mode de paiement choisi et statut de la commande ;
- la preuve de paiement que vous choisissez d'envoyer (photo ou capture), le cas échéant ;
- vos avis et notes sur les produits, votre liste d'envies et vos demandes d'alerte de réapprovisionnement ;
- le code à usage unique envoyé par SMS lorsque vous vous connectez, et la date de vérification de votre numéro.
Dans tous les cas, des données techniques :
- journaux du serveur : adresse IP, page demandée, date et heure, navigateur ;
- l'attribution du lien que vous avez ouvert (quel lien, quelle boutique, quel créateur, à quelle heure), conservée dans votre session pour créditer la bonne personne ;
- un compteur de clics par lien, agrégé et non nominatif, qui indique à une boutique si son lien circule.
6. Pourquoi, et sur quelle base légale
Chaque traitement repose sur l'une des bases de l'article 6 du UK GDPR, et sur le fondement correspondant de la loi n° 2013-450.
- Exécuter la commande : transmettre à la boutique ce qu'il faut pour préparer, livrer et suivre. Exécution du contrat.
- Tenir la boutique : catalogue, stock, commandes, reçus, remises, équipe, programme créateurs. Exécution du contrat.
- Vous identifier : code par SMS, session, accès à votre compte et à vos adresses enregistrées. Exécution du contrat.
- Vous tenir informé : confirmation, instructions de paiement, avancement de la commande, par SMS, message ou notification. Exécution du contrat.
- Rémunérer les créateurs : rattacher une vente au lien qui l'a amenée et calculer la commission. Intérêt légitime de la boutique et du créateur, sans exposer l'identité de l'acheteur.
- Sécuriser le service : journaux, limitation du nombre de tentatives, détection d'abus et de fraude. Intérêt légitime.
- Respecter la loi : comptabilité, fiscalité, réponse aux demandes des autorités. Obligation légale.
- Notifications, alertes de réapprovisionnement et messages non essentiels : envoyés seulement si vous les avez demandés ou acceptés. Consentement, retirable à tout moment sans que cela remette en cause ce qui a été fait avant.
Lorsque nous invoquons l'intérêt légitime, nous avons mis en balance cet intérêt et vos droits ; le détail de cette analyse peut vous être communiqué sur demande.
7. Qui y a accès
- La boutique chez qui vous commandez voit votre nom, votre téléphone, votre ville, votre adresse de livraison, le détail de la commande et l'historique de vos achats chez elle. Aucune boutique ne voit vos achats chez une autre.
- Le créateur voit le numéro de commande, le montant, la date et sa commission. Ni votre nom, ni votre téléphone, ni votre adresse.
- Les membres de l'équipe d'une boutique voient ce que leur rôle autorise, et rien de plus : un livreur rattaché à une boutique ne voit que les colis à remettre, jamais le chiffre d'affaires ni le fichier client.
- Le livreur mandaté par la boutique reçoit d'elle ce qu'il faut pour vous remettre le colis.
- Nos prestataires techniques, dans la stricte mesure de leur mission (point 8).
- Les autorités, sur demande légalement fondée.
Vos données ne sont ni vendues, ni louées, ni échangées, ni transmises à un courtier en données.
8. Prestataires et services tiers
Ils agissent comme sous-traitants, sur nos instructions et sous contrat.
- Envoi des SMS : un opérateur d'envoi de messages achemine les codes de connexion et les messages liés à vos commandes ; il reçoit votre numéro et le contenu du message.
- Hébergement et stockage : nos serveurs et l'espace de stockage des images (photos et vidéos de produits, preuves de paiement).
- Notifications mobiles : le service de notification d'Apple (APNs) et de Google (FCM), ainsi que le service d'acheminement d'Expo, reçoivent le jeton de votre appareil et le contenu de la notification.
- Polices de caractères : la police du site est chargée depuis un service tiers, qui reçoit de ce fait votre adresse IP.
- Encaissement de l'abonnement marchand, le cas échéant : le prestataire de paiement traite les données nécessaires à la transaction sous sa propre responsabilité. MONDETY & CO LTD ne conserve aucune donnée de carte.
- Services de paiement des commandes : Orange Money, MTN Mobile Money, Moov Money et Wave sont utilisés par vous, directement, en dehors de la plateforme. Ils traitent vos données de paiement sous leur propre responsabilité ; nous n'y avons pas accès.
Aucun de ces prestataires n'est un service de publicité, de mesure d'audience, de profilage ou d'attribution marketing. L'application et le site n'embarquent aucun outil de ce type.
9. Transferts internationaux
MONDETY & CO LTD étant établie au Royaume-Uni et ses utilisateurs se trouvant principalement en Côte d'Ivoire, les données circulent nécessairement entre les deux pays, et certains prestataires opèrent depuis d'autres États encore.
- Depuis la Côte d'Ivoire vers l'étranger, la loi n° 2013-450 soumet le transfert à l'autorisation préalable de l'ARTCI et à un niveau de protection suffisant dans le pays de destination. Les transferts sont limités à ce qui est nécessaire au fonctionnement du service, encadrés contractuellement avec nos prestataires, et soumis aux formalités que l'ARTCI prescrit. La référence de notre déclaration figure au point 2 dès qu'elle nous est délivrée.
- Depuis le Royaume-Uni vers l'étranger, le UK GDPR exige une décision d'adéquation ou des garanties appropriées. À défaut de décision d'adéquation, nous recourons aux clauses contractuelles types et à l'addendum britannique (International Data Transfer Addendum), assortis d'une évaluation d'impact du transfert.
Le détail des garanties applicables à un transfert donné peut vous être communiqué sur demande.
10. Combien de temps
- Compte : tant qu'il est utilisé, puis jusqu'à sa fermeture.
- Commandes et pièces comptables : dix ans, en application de l'article 24 de l'Acte uniforme OHADA relatif au droit comptable et à l'information financière, qui régit les ventes enregistrées ici. Les obligations comptables propres à MONDETY & CO LTD sont plus courtes — trois ans au titre de l'article 388 du Companies Act 2006, six ans en matière fiscale — et ne prolongent aucune durée.
- Preuves de paiement : le temps de vérifier le paiement et de traiter une éventuelle contestation.
- Photos et vidéos de produits : tant que l'article ou la boutique existe.
- Codes de connexion : quelques minutes ; ils expirent d'eux-mêmes.
- Jetons de notification : tant que l'appareil est connecté au compte ; rendus au serveur à la déconnexion.
- Session et attribution d'un lien : la durée de la session de navigation.
- Journaux techniques : une durée courte, proportionnée aux besoins de sécurité et de dépannage.
Au-delà, les données sont supprimées ou rendues anonymes, sauf lorsqu'un texte impose de les conserver plus longtemps. Le détail de ce qui survit à la fermeture d'un compte figure sur la page de suppression de compte.
11. Sécurité
- Le site et l'application communiquent en HTTPS, avec transport strictement sécurisé.
- Sur le téléphone, le stockage local de l'application est chiffré, la clé résidant dans le coffre sécurisé du système.
- Les preuves de paiement sont stockées sur un espace privé qui n'est accessible par aucune adresse publique : elles ne sont servies qu'au travers d'un lien signé et temporaire.
- Les pages de paiement et de suivi de commande sont protégées par des liens signés, personnels et limités dans le temps.
- La connexion se fait par code à usage unique ; les tentatives sont limitées.
- Les accès internes sont restreints à ce que chaque rôle a besoin de voir.
Aucun système n'est infaillible. En cas de violation de données susceptible d'engendrer un risque pour vos droits, nous informons l'ICO dans les 72 heures, l'ARTCI selon les formes qu'elle prescrit, et les personnes concernées lorsque le risque est élevé.
12. Cookies et traceurs
Le site n'utilise que des cookies nécessaires à son fonctionnement : un cookie de session, qui garde votre panier et votre connexion, un cookie anti-falsification qui protège les formulaires, et un cookie qui retient l'onglet de boutique que vous avez ouvert en dernier. Ils ne servent ni à la publicité, ni au profilage.
Nous n'utilisons ni régie publicitaire, ni pixel de suivi, ni mesure d'audience tierce. L'application, de son côté, ne comporte aucun traceur et ne demande donc aucune autorisation de suivi.
13. Vos droits
Le UK GDPR et la loi n° 2013-450 vous reconnaissent, selon le cas :
- le droit d'être informé de ce que nous faisons de vos données ;
- le droit d'accès à vos données et d'en obtenir une copie ;
- le droit de rectification de données inexactes ou incomplètes ;
- le droit à l'effacement de vos données ;
- le droit à la limitation d'un traitement, le temps d'une vérification ;
- le droit à la portabilité des données que vous nous avez fournies, dans un format lisible par machine ;
- le droit d'opposition à un traitement fondé sur l'intérêt légitime ;
- le droit de retirer un consentement déjà donné, à tout moment ;
- le droit de ne pas faire l'objet d'une décision entièrement automatisée produisant des effets juridiques. La détection d'abus et de fraude comporte une part automatisée — clics artificiels, ventes fictives, tentatives de connexion en série — mais une suspension, une fermeture de compte ou une annulation de commission est décidée par une personne, motivée, et peut être contestée à l'adresse ci-dessous.
Pour les exercer, écrivez à [email protected] depuis le numéro ou l'adresse associés à votre compte, en précisant votre demande. Nous répondons dans un délai d'un mois, prorogeable de deux mois pour une demande complexe, auquel cas nous vous en informons. Une vérification d'identité peut être nécessaire avant de communiquer des données. L'exercice de ces droits est gratuit, sauf demande manifestement infondée ou excessive.
Les vendeurs disposent en outre, dans l'application, d'un export de leur carnet de clientes : le fichier leur appartient et reste exportable à tout moment.
La suppression d'un compte a sa propre page, qui en détaille les étapes, ce qui est effacé et ce qui reste conservé : supprimer votre compte et vos données.
Une demande visant les données détenues par une boutique lui est transmise, ou peut lui être adressée directement : ses coordonnées figurent sur sa page.
Si la réponse ne vous satisfait pas, vous pouvez saisir :
- l'ARTCI, autorité de protection des données à caractère personnel en Côte d'Ivoire ;
- l'Information Commissioner's Office (ICO) au Royaume-Uni,
ico.org.uk.
14. Publicité, profilage et suivi
Nous le disons dans une section à part parce que c'est la question que l'on nous pose le plus souvent.
- Nous ne diffusons aucune publicité sur le site ni dans l'application.
- Nous ne construisons aucun profil publicitaire ou comportemental.
- Nous ne pratiquons aucun suivi de votre activité en dehors de nos propres services, et ne rapprochons vos données d'aucune donnée provenant d'applications ou de sites tiers.
- Nous ne vendons, ne louons et n'échangeons aucune donnée.
Les seuls chiffres que nous produisons sont ceux qu'une boutique voit sur ses propres articles — combien de vues, combien de mises de côté, combien d'attentes de réassort — et ils sont agrégés : l'API ne renvoie jamais l'identité des personnes derrière ces compteurs, et l'application ne prétend pas la connaître.
15. Mineurs
Le service n'est pas destiné aux personnes de moins de dix-huit ans. Vendre, livrer ou percevoir des commissions suppose la capacité juridique de contracter. Nous ne collectons pas sciemment de données concernant un mineur ; un compte ouvert en violation de ce point est fermé et ses données supprimées dès que nous en avons connaissance.
16. Modifications
Cette politique peut être mise à jour. La version applicable est celle publiée ici, dont la date figure en tête. Un changement important vous est signalé sur le service, et dans l'application, avant qu'il ne prenne effet.
17. Nous écrire
Pour toute question relative à vos données, pour exercer un droit ou pour signaler un incident : [email protected].
Pour tout le reste — une commande, un compte bloqué, un signalement — la page assistance dit où écrire et sous quel délai on répond.
L'adresse postale de MONDETY & CO LTD figure dans les conditions d'utilisation.