Politique de confidentialité

1. Préambule

La présente politique de confidentialité décrit la manière dont KONFLUANCE CLIMATE SARLAU (ci-après « Konfluance ») collecte, utilise, conserve et protège les données à caractère personnel des utilisateurs de la plateforme ClimateOps accessible via climateops.konfluance.io et ses sous-domaines.

Konfluance s'engage à respecter :

• La Loi n° 09-08 du 18 février 2009 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel (Maroc)
• Le Règlement (UE) 2016/679 (RGPD) pour les utilisateurs situés dans l'Union européenne
• Les décisions et recommandations de la CNDP (Commission Nationale de contrôle de la protection des Données à caractère Personnel)

2. Responsable du traitement

Déclaration CNDP : dossier en cours de dépôt. Le récépissé sera publié ici dès sa réception.

3. Données collectées

3.1 Données d'identification

• Prénom, nom, fonction
• Adresse email professionnelle
• Numéro de téléphone
• Raison sociale, secteur d'activité, ville, site web de l'entreprise

3.2 Données d'authentification

• Mot de passe (stocké sous forme hachée bcrypt, non lisible)
• Tokens de session

3.3 Données d'usage

• Adresse IP, user-agent, logs de connexion
• Historique des actions effectuées sur la plateforme
• Préférences d'interface

3.4 Données métier (fournies par l'utilisateur)

• Bilans GES, déclarations CBAM, projets MRV
• Facteurs d'émission personnalisés
• Données de consommation énergétique et industrielle
• Documents justificatifs téléversés

4. Finalités et bases légales du traitement

5. Destinataires des données

5.1 Sous-traitants techniques

• Supabase Inc. (hébergement base de données) — Serveurs UE (Francfort)
• Vercel Inc. (hébergement applicatif) — Serveurs UE
• Anthropic PBC (API d'estimation de facteurs d'émission par IA) — sur opt-in explicite
• Resend (service d'email transactionnel)

5.2 Autorités et tiers autorisés

• Autorités fiscales et administratives marocaines (sur réquisition légale)
• Commission européenne et autorités compétentes pour les déclarations CBAM (sur demande légitime du Client)
• Vérificateurs accrédités mandatés par le Client (VVB ISO 14065)

5.3 Transferts hors Maroc

Les données peuvent être transférées dans l'Union européenne (Supabase, Vercel). Ces transferts sont encadrés par :

• Clauses contractuelles types de la Commission européenne
• Engagement contractuel des sous-traitants à respecter le niveau de protection équivalent à celui du Maroc et du RGPD

Konfluance œuvre à une souveraineté de l'hébergement au Maroc avec un objectif de migration progressive vers une infrastructure nationale au cours de l'année 2026.

6. Vos droits

Conformément à la Loi 09-08 et au RGPD, vous disposez des droits suivants :

6.1 Droit d'accès (art. 7 Loi 09-08 / art. 15 RGPD)

Obtenir la confirmation que des données vous concernant sont traitées et en recevoir une copie.

6.2 Droit de rectification (art. 8 Loi 09-08 / art. 16 RGPD)

Corriger des données inexactes ou incomplètes via /settings/profile.

6.3 Droit à l'effacement / droit à l'oubli (art. 17 RGPD)

Demander la suppression de vos données. Cette suppression est programmée avec un délai de grâce de 30 jours durant lequel vous pouvez annuler votre demande.

Cas particulier des bilans GES vérifiés : en raison des obligations légales de conservation (audit CBAM, ISO 14064, fiscalité), les bilans vérifiés sont anonymisésplutôt que supprimés. Les données ne permettent alors plus de vous identifier.

6.4 Droit d'opposition (art. 9 Loi 09-08 / art. 21 RGPD)

Vous opposer au traitement de vos données pour des motifs légitimes, notamment en refusant les communications marketing.

6.5 Droit à la portabilité (art. 20 RGPD)

Recevoir vos données dans un format structuré, couramment utilisé et lisible par machine (JSON), via /settings/privacy> « Télécharger mes données ».

6.6 Droit de retrait du consentement

Retirer à tout moment un consentement préalablement donné, sans que cela affecte la licéité du traitement antérieur.

6.7 Exercer vos droits

• Via la plateforme : /settings/privacy
• Par email : contact@konfluance.io
• Par courrier : KONFLUANCE CLIMATE SARLAU, 5 Rue Daraa, Résidence Fatima Zahra, Appt N° 5, Agdal, Rabat, Maroc

Réponse sous 30 jours maximum à compter de la réception de la demande.

6.8 Recours

En cas de réponse insatisfaisante, vous pouvez saisir :

• CNDP (Maroc) — www.cndp.ma
• CNIL ou autorité de contrôle européenne compétente (pour les résidents UE)

7. Sécurité des données

Konfluance met en œuvre des mesures techniques et organisationnelles appropriées :

• Chiffrement des données en transit (TLS 1.3) et au repos (AES-256)
• Hachage des mots de passe (bcrypt, 12 rounds)
• Authentification à deux facteurs (optionnelle, recommandée pour les comptes Entreprise)
• Logs d'audit immuables sur les opérations critiques
• Sauvegardes chiffrées quotidiennes avec rétention 30 jours
• Politique de mots de passe forts
• Accès restreint aux données en production (principe du moindre privilège)

En cas de violation de données susceptible d'engendrer un risque élevé pour vos droits et libertés, Konfluance vous notifiera dans un délai de 72 heures conformément à l'art. 33 RGPD.

8. Cookies

ClimateOps utilise uniquement des cookies strictement nécessaires au fonctionnement du service :

• Cookies de session : maintien de la connexion authentifiée
• Cookies de préférences : langue, thème d'interface
• Cookies CSRF : protection contre les attaques

Aucun cookie publicitaire ou de tracking tiers n'est déposé sans consentement explicite.

9. Données des sous-traitants et fournisseurs (Scope 3)

Dans le cadre de la collecte Scope 3, des tiers (fournisseurs de nos Clients) peuvent être invités à renseigner des données d'émission. Ces tiers sont informés via un email nominatif et un token OTP unique. Leurs données sont :

• Collectées uniquement après consentement explicite
• Traitées aux seules fins de calcul d'empreinte carbone du Client donneur d'ordre
• Supprimées à l'issue de la campagne de collecte ou sur demande

10. Mineurs

ClimateOps est une plateforme B2B destinée exclusivement à un usage professionnel. Aucune donnée concernant des personnes mineures n'est sciemment collectée.

11. Modifications de la politique

Toute modification substantielle de la présente politique fera l'objet :

• D'une notification par email aux utilisateurs actifs
• D'une demande de nouvelle acceptation pour les modifications matérielles
• D'un historique des versions accessible sur demande

La version en vigueur est toujours consultable sur /legal/confidentialite.

12. Contact

Cette politique est rédigée en français (langue de référence) et peut être traduite en arabe et en anglais. En cas de divergence d'interprétation, la version française prévaut.