Politique de confidentialité

Comment lire ce document. Optimux ERP joue deux rôles distincts selon la donnée considérée. Pour les données de votre compte et de votre abonnement, l'éditeur décide et répond : il est responsable de traitement. Pour les données que vous saisissez dans votre dossier — vos clients, vos salariés, vos fournisseurs — c'est vous qui décidez, et l'éditeur exécute : il est sous-traitant. Cette ligne de partage structure tout le document ; la section 4 l'expose en détail et la section 7 en tire les conséquences pratiques pour vous.

1. Identité du responsable de traitement et coordonnées

Le responsable de traitement, au sens des lois citées à la section 3, pour les traitements décrits à la section 4.1 est :

L'éditeur est établi en Côte d'Ivoire. Son autorité de contrôle principale est donc l'ARTCI, et les formalités prévues par la loi n° 2013-450 du 19 juin 2013 lui sont applicables en propre. Les personnes résidant au Sénégal ou au Bénin conservent la faculté de saisir respectivement la CDP et l'APDP, dans les conditions décrites à la section 15.

L'éditeur ne publie pas de numéro de téléphone. Toute demande relative à la protection des données lui est adressée par courrier électronique à hello@optimuxerp.com ou par courrier postal au siège social ci-dessus. Le traitement de ces demandes relève du directeur de la publication (voir section 22).

2. Objet et champ d'application

2.1 Ce que couvre cette politique

La présente politique décrit comment sont collectées, utilisées, conservées, partagées et protégées les données à caractère personnel traitées dans le cadre :

• de la consultation du site public de présentation d'Optimux ERP ;
• de l'accès à l'application Optimux ERP ;
• de la création et de la gestion d'un compte utilisateur ;
• de la souscription, de la facturation et du paiement d'un abonnement ;
• de l'utilisation des fonctions de gestion (facturation, comptabilité, stocks, paie, relation client, achats) ;
• des échanges avec l'assistance et de l'usage de l'assistant Opti.

2.2 À qui elle s'adresse

Elle s'adresse à trois catégories de personnes, qui n'ont pas les mêmes interlocuteurs :

Point essentiel. Si vous êtes client, salarié ou fournisseur d'une entreprise qui utilise Optimux ERP, et que vous souhaitez accéder à vos données, les faire rectifier ou supprimer, adressez-vous à cette entreprise et non à l'éditeur. L'éditeur n'a pas qualité pour statuer sur votre demande ; il ne peut que la transmettre. La section 14.3 explique la marche à suivre.

2.3 Ce que cette politique ne couvre pas

• Les sites et services tiers vers lesquels l'application peut renvoyer, qui ont leurs propres politiques.
• Les traitements que l'entreprise cliente met en œuvre pour son propre compte au moyen d'Optimux : ils relèvent de la politique de confidentialité de cette entreprise.

3. Cadre légal applicable

Optimux ERP est fourni à des entreprises établies en Côte d'Ivoire, au Sénégal et au Bénin. Les traitements décrits ci-après sont soumis, selon le pays de l'entreprise cliente et selon la résidence des personnes concernées, aux textes suivants.

3.1 Textes nationaux

3.2 Textes régionaux et continentaux

L'Acte additionnel A/SA.1/01/10 du 16 février 2010 de la CEDEAO relatif à la protection des données à caractère personnel dans l'espace de la CEDEAO s'applique aux trois pays desservis, tous membres de la CEDEAO. La loi ivoirienne n° 2013-450 en constitue la transposition en droit interne.

3.3 La Convention de Malabo

La Convention de l'Union africaine sur la cybersécurité et la protection des données à caractère personnel, dite Convention de Malabo, a été adoptée le 27 juin 2014. Elle est entrée en vigueur le 8 juin 2023, trente jours après le dépôt du quinzième instrument de ratification, conformément à son article 36.

État des trois pays desservis, selon la liste officielle de ratification de l'Union africaine arrêtée au 8 juillet 2024, dernière liste publiée à ce jour :

Portée exacte. La Convention de Malabo est un traité interétatique. Elle n'impose pas d'obligations directes aux entreprises : elle engage les États à se doter d'un cadre juridique (art. 8.1) et à instituer une autorité de protection (art. 11.1.a). Pour une entreprise établie en Côte d'Ivoire, au Sénégal ou au Bénin, la norme directement opposable demeure la loi nationale citée en 3.1. La Convention n'est invoquée ici que comme facteur de convergence régionale et comme élément d'appréciation du niveau de protection au sens de la section 10.

3.4 Textes comptables et fiscaux

• L'Acte uniforme OHADA relatif au droit comptable et à l'information financière (AUDCIF), adopté le 26 janvier 2017, applicable depuis le 1er janvier 2018 : il fixe la durée de conservation des livres, documents comptables et pièces justificatives. Voir section 12.
• Les codes généraux des impôts et livres de procédures fiscales de chaque pays, pour les durées de conservation opposables à l'administration fiscale.

3.5 Articulation avec le RGPD européen

L'hébergement de l'application est situé en Allemagne (voir sections 9 et 10). Cette localisation ne soumet pas par elle-même l'éditeur au règlement (UE) 2016/679 : ce dernier s'applique en fonction de l'établissement du responsable de traitement ou du ciblage de personnes situées dans l'Union européenne, et non du lieu des serveurs. Optimux ERP est commercialisé auprès d'entreprises établies en Côte d'Ivoire, au Sénégal et au Bénin, et n'est pas proposé à des clients établis dans l'Union européenne.

4. Rôles : responsable de traitement ou sous-traitant

C'est la distinction la plus importante de ce document. Elle détermine qui décide, qui répond, et à qui vous devez vous adresser.

4.1 L'éditeur est responsable de traitement

L'éditeur détermine seul les finalités et les moyens des traitements suivants. Il en répond directement devant l'autorité de contrôle et devant les personnes concernées.

• Comptes utilisateurs : création, authentification, vérification du numéro de téléphone, gestion des rôles et des droits.
• Entreprise souscriptrice : identification de la société cliente, identifiants légaux, coordonnées.
• Abonnement et facturation : souscription, encaissement, facturation, relances, recouvrement, comptabilité de l'éditeur.
• Journal d'audit des actions sensibles, en ce qu'il constitue la preuve du bon fonctionnement du service.
• Données techniques de connexion : sécurité du service, prévention de la fraude et des abus, maintien en condition opérationnelle.
• Relation client : assistance, support, information sur le service.

4.2 L'éditeur est sous-traitant

L'éditeur traite les données suivantes uniquement sur instruction de l'entreprise cliente, qui en est le responsable de traitement :

• clients finaux, prospects et contacts commerciaux saisis dans le dossier ;
• fournisseurs et leurs interlocuteurs ;
• salariés de l'entreprise cliente et éléments de paie ;
• toute donnée personnelle contenue dans les factures, devis, écritures comptables, fiches de stock, contrats, tickets et pièces jointes du dossier.

Cette qualification est celle retenue par les trois lois :

• Côte d'Ivoire : l'article 20 de la loi n° 2013-450 impose au responsable de traitement de choisir « un sous-traitant présentant des garanties suffisantes » et précise qu'il incombe au responsable comme au sous-traitant de veiller au respect de la loi.
• Sénégal : l'article 52 de la loi n° 2008-12 dispose que le sous-traitant, comme toute personne agissant sous son autorité, « ne peut traiter les données que sur instruction du responsable du traitement ». L'article 70 exige que le contrat qui les lie mentionne les obligations du sous-traitant en matière de sécurité et de confidentialité.
• Bénin : l'article 386 du Code du numérique définit le sous-traitant comme « toute personne traitant des données à caractère personnel pour le compte du responsable du traitement » et énumère cinq obligations contractuelles à la charge du responsable — dont celle de consigner par écrit les éléments du contrat.

4.3 Tableau récapitulatif

4.4 Engagements de l'éditeur en qualité de sous-traitant

En tant que sous-traitant, l'éditeur s'engage à :

1. N'agir que sur instruction documentée de l'entreprise cliente, sauf obligation légale à laquelle il serait soumis ;
2. Ne pas utiliser les données métier à ses propres fins, notamment ne pas les revendre, ne pas les louer, ne pas les exploiter à des fins publicitaires et ne pas les utiliser pour entraîner un modèle d'intelligence artificielle ;
3. Garantir la confidentialité en n'y donnant accès qu'aux personnes qui en ont besoin, tenues à une obligation de confidentialité ;
4. Mettre en œuvre les mesures de sécurité décrites à la section 17 ;
5. Assister l'entreprise cliente dans le traitement des demandes d'exercice de droits (section 14.3) et dans la notification des violations (section 18) ;
6. N'engager de sous-traitant ultérieur que dans les conditions de la section 9 ;
7. Restituer les données par les fonctions d'export permanentes (section 12.4) et les supprimer dans les conditions de la section 12.5.

Ces engagements sont contractuellement opposables : ils sont repris à l'article 13 des Conditions générales d'utilisation et de vente, que le client accepte lors de sa souscription et dont la présente politique fait partie intégrante.

5. Catégories de données collectées

Le tableau ci-dessous recense les données réellement collectées par le service.

5.1 Données que le service ne collecte pas

• Aucune coordonnée bancaire ni de mobile money du payeur n'est saisie, ni transmise, ni stockée par Optimux. Ces informations sont saisies directement chez le prestataire de paiement (section 9). Optimux ne reçoit du prestataire que le statut de la transaction et ses références.
• Le mot de passe n'est jamais conservé en clair : seul un condensat cryptographique est stocké. L'éditeur ne peut donc pas vous communiquer votre mot de passe, seulement vous permettre de le réinitialiser.

5.2 Données sensibles

Optimux ERP n'a pas vocation à traiter de données sensibles au sens des articles 21 de la loi ivoirienne, 394 du Code du numérique béninois et des dispositions correspondantes de la loi sénégalaise — notamment les données révélant l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, la vie sexuelle ou les données de santé.

Avertissement au client. Le module de paie et les champs libres du dossier permettent techniquement de saisir de telles données, par exemple un motif d'absence de nature médicale ou une appartenance syndicale. Il est vivement déconseillé de le faire. En Côte d'Ivoire, l'article 21 de la loi n° 2013-450 punit le traitement non autorisé de ces données d'une peine de dix à vingt ans d'emprisonnement et de 20 à 40 millions de francs CFA d'amende. Si un tel traitement est nécessaire, il relève de l'autorisation préalable de l'autorité de contrôle et incombe au client en sa qualité de responsable de traitement.

6. Finalités et bases légales

Chaque traitement mis en œuvre par l'éditeur en qualité de responsable repose sur une base légale identifiée.

6.1 Le cas particulier de la prospection

L'article 22 de la loi ivoirienne n° 2013-450 interdit et punit d'un à cinq ans d'emprisonnement et de 1 à 10 millions de francs CFA d'amende la prospection directe, par quelque moyen que ce soit, utilisant les données d'une personne qui n'a pas exprimé son consentement à recevoir de telles sollicitations. L'article 400 du Code du numérique béninois pose une interdiction équivalente.

En conséquence, aucune communication de prospection n'est adressée sans consentement préalable, et chaque envoi comporte un moyen de retrait simple et gratuit. Les messages strictement liés à l'exécution du contrat — facture, alerte de sécurité, interruption de service, modification des conditions — ne constituent pas de la prospection et sont adressés à tous les utilisateurs.

6.2 Absence de décision entièrement automatisée

Aucune décision produisant des effets juridiques à l'égard d'une personne n'est prise sur le seul fondement d'un traitement automatisé. Cette garantie répond à l'article 25 de la loi ivoirienne, à l'article 48 de la loi sénégalaise et à l'article 401 du Code du numérique béninois. En particulier, l'assistant Opti ne prend aucune décision : il ne comptabilise aucune écriture et ne déclenche aucun paiement (section 11).

7. Les données que vous saisissez sur vos clients et vos salariés

Cette section s'adresse à l'entreprise cliente. Elle est la contrepartie directe de la section 4.2.

7.1 Vous êtes responsable de traitement

Dès lors que vous enregistrez dans Optimux ERP des informations concernant des personnes physiques — vos clients, vos prospects, vos salariés, les interlocuteurs de vos fournisseurs — vous êtes le responsable de ce traitement. Vous en déterminez la finalité, l'étendue et la durée. L'éditeur n'en est que le sous-traitant : il exécute, il ne décide pas.

Il en résulte que les obligations suivantes vous incombent, et non à l'éditeur.

7.2 Vos obligations vis-à-vis de votre autorité de contrôle

À retenir. La déclaration ou l'autorisation porte sur votre traitement, mis en œuvre au moyen d'Optimux. Elle vous incombe personnellement, en votre qualité de responsable de traitement, et aucune démarche accomplie par l'éditeur pour ses propres traitements ne vous en dispense.

7.3 Vos autres obligations

En qualité de responsable de traitement, il vous appartient également de :

1. Informer les personnes concernées au moment de la collecte : votre identité, la finalité poursuivie, les catégories de données, les destinataires, la durée de conservation, l'existence de leurs droits et la possibilité d'un transfert vers un pays tiers. Le contenu de cette information est fixé par l'article 28 de la loi ivoirienne, l'article 58 de la loi sénégalaise et les articles 415 et 416 du Code du numérique béninois.
2. Disposer d'une base légale pour chaque traitement — consentement, exécution d'un contrat, obligation légale ou intérêt légitime.
3. Ne collecter que les données nécessaires à la finalité poursuivie, et les maintenir exactes et à jour (art. 16 et 17 de la loi ivoirienne).
4. Répondre aux demandes d'exercice de droits des personnes concernées dans les délais légaux (section 13).
5. Fixer et respecter des durées de conservation adaptées à vos finalités et à vos obligations légales (section 12.3).
6. Ne pas saisir de données sensibles sans avoir vérifié votre base légale et, le cas échéant, obtenu l'autorisation de votre autorité (section 5.2).
7. Désigner un délégué à la protection des données si votre situation l'impose. Au Bénin, l'article 430 du Code du numérique rend cette désignation obligatoire notamment lorsque les activités de base consistent en un suivi régulier et systématique à grande échelle des personnes concernées, ou en un traitement à grande échelle de données sensibles. En Côte d'Ivoire, l'article 6 de la loi n° 2013-450 fait de la désignation d'un correspondant à la protection des données une cause de dispense des formalités de déclaration — sauf lorsqu'un transfert vers un pays tiers est envisagé.
8. Tenir un registre des activités de traitement lorsque le droit applicable l'impose ; l'article 435 du Code du numérique béninois en fixe le contenu.
9. Informer l'éditeur de toute instruction particulière relative au traitement de vos données métier, et notamment de toute durée de conservation supérieure à celles annoncées à la section 12.

7.4 Ce que l'éditeur fait pour vous aider

• Il met à votre disposition les fonctions d'export (PDF et Excel) qui vous permettent de répondre à une demande d'accès ou de portabilité sans son intervention (section 12.4).
• Il vous transmet sans délai toute demande d'exercice de droits qu'il recevrait directement d'une de vos personnes concernées (section 14.3).
• Il vous notifie toute violation de sécurité affectant vos données métier (section 18).
• Il met à votre disposition les éléments techniques nécessaires à la description de la sécurité dans vos propres formalités (section 17).

8. Cloisonnement des dossiers

Chaque dossier d'entreprise est isolé au niveau de la base de données. Ce point mérite d'être souligné parce qu'il est souvent mal compris :

• l'isolation n'est pas un simple filtrage à l'affichage, qu'une requête détournée pourrait contourner ; elle est appliquée par le moteur de base de données lui-même, à chaque requête, quel que soit le chemin d'accès ;
• une requête portant sur le dossier d'une autre entreprise ne renvoie aucune ligne, et non une erreur d'affichage.

L'appartenance à un groupe de sociétés n'ouvre par elle-même aucun accès aux données d'une filiale. Un utilisateur rattaché à une société mère ne voit les données d'une filiale que si un droit d'accès lui a été explicitement attribué sur le dossier de cette filiale. Les fonctions de consolidation et de reporting de groupe ne créent pas de droit d'accès implicite.

9. Destinataires et sous-traitants ultérieurs

9.1 Qui accède aux données

Au sein de l'éditeur, l'accès aux données est limité aux personnes qui en ont besoin pour l'exploitation, la maintenance et l'assistance, tenues à une obligation de confidentialité.

Les données ne sont ni vendues, ni louées, ni cédées à des tiers à des fins commerciales.

9.2 Catégories de sous-traitance ultérieure

L'éditeur recourt aux catégories de sous-traitants ultérieurs suivantes :

La liste nominative et à jour des sous-traitants ultérieurs est communiquée à l'entreprise cliente sur demande écrite adressée à hello@optimuxerp.com.

Le recours à chacun de ces prestataires s'effectue dans le cadre de ses conditions de service, qui comportent des engagements de confidentialité et de sécurité.

9.3 Autres destinataires

Les données peuvent être communiquées :

• aux autorités administratives ou judiciaires habilitées, sur réquisition régulière et dans les limites de celle-ci ;
• aux conseils de l'éditeur (comptable, avocat, commissaire aux comptes), tenus au secret professionnel ;
• en cas d'opération sur le capital ou de cession d'activité, au repreneur, sous réserve du maintien du niveau de protection et de l'information préalable des clients.

9.4 Changement de sous-traitant ultérieur

L'éditeur peut changer de prestataire. Tout nouveau sous-traitant ultérieur doit présenter des garanties au moins équivalentes.

Tout ajout ou remplacement d'un sous-traitant ultérieur portant sur l'hébergement ou sur le traitement des données métier est notifié à l'entreprise cliente au moins trente (30) jours avant sa prise d'effet, par courrier électronique ou par notification dans l'application. L'entreprise cliente qui n'accepte pas ce changement peut, dans ce délai, résilier son abonnement sans pénalité. La liste de la section 9.2 est mise à jour à la même occasion.

10. Transferts de données hors du pays d'origine

10.1 Le fait

L'application et la base de données sont hébergées dans l'Union européenne, en Allemagne. Les données des entreprises clientes ivoiriennes, sénégalaises et béninoises sont donc traitées hors de leur pays d'origine, dans l'Union européenne. D'autres catégories de sous-traitance listées à la section 9.2 impliquent un traitement depuis les États-Unis ou l'Irlande.

Ce point doit être connu et assumé : il déclenche, dans les trois pays, un régime juridique propre.

10.2 Le régime applicable, pays par pays

10.3 Les garanties invoquées

L'éditeur s'appuie sur les éléments suivants, qui sont des éléments d'appréciation du niveau de protection et non des autorisations administratives :

1. Le niveau de protection du pays d'accueil. L'Allemagne est un État membre de l'Union européenne, soumis au règlement (UE) 2016/679 et à une autorité de contrôle indépendante. Ce cadre est un élément favorable à l'appréciation du caractère « équivalent » ou « suffisant » exigé par les articles 26 (Côte d'Ivoire), 49 (Sénégal) et 391 (Bénin), au regard des critères que l'article 391 du Code du numérique béninois énumère expressément : état de droit et respect des libertés fondamentales, existence et fonctionnement effectif d'autorités de contrôle indépendantes, engagements internationaux.
2. La nécessité contractuelle. L'hébergement est nécessaire à l'exécution du contrat d'abonnement conclu avec le client, hypothèse visée par l'article 50, 4° de la loi sénégalaise et par l'article 392, 2° du Code du numérique béninois.
3. Les mesures de sécurité décrites à la section 17, que l'article 49 de la loi sénégalaise désigne expressément comme un critère d'appréciation du niveau de protection.
4. Les engagements contractuels de confidentialité et de sécurité attachés aux conditions de service de chacun des sous-traitants ultérieurs, dont les catégories sont listées à la section 9.2.

10.4 Répartition des rôles

Les données sont hébergées dans l'Union européenne (section 10.1). La relation avec chacun des sous-traitants ultérieurs est régie par les engagements contractuels de protection des données attachés à leurs conditions de service, et l'entreprise cliente comme les personnes concernées disposent des droits décrits dans la présente politique, notamment aux sections 13 à 15.

La répartition des démarches de transfert découle de la qualification retenue à la section 4 :

• pour les traitements dont l'éditeur est responsable — comptes, abonnement, facturation, journal d'audit, données de connexion —, la démarche de transfert lui incombe, auprès de l'ARTCI, autorité de son pays d'établissement ;
• pour les données métier, dont l'entreprise cliente est responsable de traitement, la démarche de transfert incombe à l'entreprise cliente, auprès de l'autorité de son propre pays. L'éditeur lui fournit à cette fin les éléments techniques qu'elle ne peut connaître seule : identité des sous-traitants ultérieurs, localisation exacte des traitements, mesures de sécurité (sections 9, 10.1 et 17).

11. L'assistant Opti

L'assistant Opti est une fonction d'aide conversationnelle qui répond aux questions de l'utilisateur sur son dossier. Son fonctionnement appelle une transparence particulière, parce qu'il implique la transmission de données à un fournisseur d'inférence tiers.

11.1 Quelles données lui sont transmises

Pour répondre, Opti lit les données du dossier en cours, dans la stricte limite des droits de l'utilisateur qui l'interroge. Un utilisateur qui n'a pas accès à la paie n'obtiendra pas de réponse portant sur la paie.

Sont transmis au fournisseur d'inférence : la question posée et l'extrait de contexte du dossier nécessaire pour y répondre.

11.2 Ce qui est masqué avant l'envoi

Avant toute transmission à un fournisseur d'inférence, les identifiants directs présents dans le texte sont automatiquement remplacés par des marqueurs :

Ce masquage repose sur la reconnaissance de motifs. Il réduit l'exposition des identifiants directs, mais il ne constitue pas une anonymisation : des données à caractère personnel peuvent subsister dans le contexte transmis.

Si cette exposition résiduelle n'est pas acceptable pour votre entreprise, la section 11.5 explique comment désactiver entièrement l'assistant : c'est le seul moyen de garantir qu'aucune donnée de votre dossier ne quitte le service.

11.3 Le fournisseur d'inférence

Les appels sont adressés à un fournisseur d'inférence tiers établi aux États-Unis. Ce point d'accès est situé hors de la zone d'origine des données : la section 10 lui est donc applicable. Ces traitements sont régis par les conditions de service de ce fournisseur.

L'éditeur, pour sa part, n'utilise aucune donnée de votre dossier pour entraîner, affiner ou évaluer un modèle d'intelligence artificielle, ni pour son propre compte, ni pour celui d'un tiers (section 4.4, point 2).

11.4 Ce qu'Opti ne fait pas

• Il ne comptabilise aucune écriture et ne modifie pas votre comptabilité.
• Il ne déclenche aucun paiement.
• Il ne prend aucune décision produisant des effets juridiques (voir section 6.2).
• Il ne franchit pas les droits de l'utilisateur ni le cloisonnement des dossiers décrit à la section 8.

11.5 Comment le désactiver

L'assistance par intelligence artificielle est active par défaut, mais elle est refusable. Un réglage au niveau du dossier permet de la désactiver pour l'ensemble de l'entreprise cliente. Une fois désactivée, plus aucune donnée du dossier n'est transmise à un fournisseur d'inférence.

Ce réglage relève de l'entreprise cliente, en sa qualité de responsable de traitement des données métier. Il se trouve dans les réglages du dossier ; en cas de difficulté, écrire à hello@optimuxerp.com.

12. Durées de conservation

12.1 Le principe

Les données ne sont pas conservées au-delà de la durée nécessaire aux finalités pour lesquelles elles ont été collectées, sauf lorsqu'une obligation légale impose de les garder plus longtemps. Ce principe est posé par l'article 433 du Code du numérique béninois — « les données à caractère personnel ne doivent pas être conservées au-delà de la période requise pour les fins en vue desquelles elles ont été recueillies et traitées » — et par les dispositions correspondantes des lois ivoirienne et sénégalaise, qui imposent au demeurant d'indiquer la durée de conservation dans les formalités préalables (art. 22, 5° de la loi sénégalaise) et dans l'information des personnes (art. 28 de la loi ivoirienne).

12.2 Durées appliquées par l'éditeur

Les trois premières durées ci-dessous ne sont pas déclaratives : elles sont appliquées par des purges automatiques quotidiennes, par ancienneté.

Règle de non-écrasement. Lorsqu'une entreprise cliente a fixé, pour son dossier, une durée de conservation supérieure à la durée générale appliquée par l'éditeur, c'est la durée la plus longue qui prévaut. Le réglage de l'éditeur constitue un plancher commun, jamais un plafond imposé : le journal d'audit d'un client tenu d'archiver sa comptabilité dix ans n'est pas purgé plus tôt parce que le réglage général de la plateforme serait plus court.

12.3 Les obligations comptables OHADA et fiscales

Les entreprises clientes sont établies en Côte d'Ivoire, au Sénégal et au Bénin, tous trois États parties à l'OHADA. Elles sont donc directement soumises à l'Acte uniforme relatif au droit comptable et à l'information financière (AUDCIF), d'application directe.

Conséquence pratique. Une conservation de dix ans des écritures, des pièces justificatives et des journaux satisfait simultanément l'AUDCIF et les trois droits fiscaux nationaux. C'est la durée retenue par défaut pour le journal d'audit.

12.4 L'export permanent

À tout moment et sans intervention de l'éditeur, l'entreprise cliente peut exporter ses données aux formats PDF et Excel. Cette faculté est une garantie substantielle : elle permet au client de constituer son propre archivage légal, de répondre à une demande d'accès ou de portabilité (section 13), et de récupérer ses données avant toute clôture de compte.

12.5 Clôture du compte : la procédure réellement appliquée

Cette section décrit ce qui se passe effectivement, et non un engagement que l'éditeur ne tiendrait pas.

• Vos données ne sont pas détruites automatiquement à la clôture. Aucune purge programmée ne supprime, au terme d'un délai fixe, l'ensemble des données métier d'un dossier clos.
• Elles restent accessibles et exportables aux formats PDF et Excel jusqu'au terme de la période d'abonnement réglée (section 12.4). C'est le moment d'exporter.
• La suppression définitive s'obtient sur demande. Écrivez à hello@optimuxerp.com depuis l'adresse d'une personne habilitée à engager l'entreprise cliente. L'éditeur procède à la suppression et en accuse réception par écrit, dans le délai d'un mois annoncé à la section 22.3.
• Les purges automatiques par ancienneté continuent de s'appliquer indépendamment de toute demande, dans les conditions de la section 12.2 : journal d'audit, historique des connexions, intentions de paiement.
• Certaines données ne peuvent pas être supprimées à la demande : celles que la loi impose de conserver, au premier rang desquelles les factures d'abonnement et les pièces comptables de l'éditeur, soumises à la conservation décennale de l'article 24 de l'AUDCIF (section 12.3).
• Les sauvegardes suivent leur propre cycle. Une donnée supprimée en production ne disparaît des sauvegardes de l'hébergeur qu'au terme du cycle de rotation de celui-ci : l'effacement n'est jamais instantané.

Avant toute clôture, exportez vos données. L'éditeur ne conserve pas de copie de courtoisie destinée à vous être restituée plus tard, et une suppression demandée est définitive.

13. Droits des personnes concernées

Les trois lois reconnaissent des droits comparables, avec des différences de périmètre qu'il faut connaître.

13.1 Tableau comparatif

13.2 Délais de réponse

• Sénégal : lorsque la demande de rectification est formulée par écrit, le responsable du traitement doit justifier, sans frais pour le demandeur, qu'il a procédé aux opérations exigées dans un délai d'un mois à compter de l'enregistrement de la demande. En cas de contestation, la charge de la preuve incombe au responsable du traitement (art. 69).
• Côte d'Ivoire : le responsable peut s'opposer aux demandes manifestement abusives, notamment par leur nombre ou leur caractère répétitif ou systématique ; la charge de démontrer ce caractère abusif lui incombe (art. 29).
• Bénin : les modalités d'exercice et de gratuité sont fixées aux articles 418 à 421.

L'éditeur s'engage à répondre à toute demande dans un délai maximal d'un mois, aligné sur le plus contraignant des trois régimes.

13.3 Limites

L'exercice de ces droits peut être limité :

• lorsque la conservation est imposée par une obligation légale — c'est notamment le cas des pièces comptables (section 12.3), qui ne peuvent être effacées avant le terme des dix ans ;
• lorsque les données sont nécessaires à la constatation, à l'exercice ou à la défense d'un droit en justice ;
• s'agissant du journal d'audit, dont l'intégrité conditionne la valeur probante : il n'est pas modifiable depuis l'interface (section 17).

14. Comment exercer vos droits

14.1 Si vous êtes utilisateur d'Optimux

Adressez votre demande à hello@optimuxerp.com, en précisant l'objet de votre demande et le compte concerné. Une demande écrite peut également être adressée par courrier postal au siège social indiqué à la section 1.

Une preuve d'identité peut vous être demandée si un doute raisonnable existe sur votre identité — les trois lois subordonnent l'exercice des droits à la justification de l'identité (art. 31 de la loi ivoirienne, art. 62 et 69 de la loi sénégalaise, art. 422 du Code du numérique béninois). Cette pièce est utilisée uniquement pour vérifier votre identité et n'est pas conservée au-delà du traitement de la demande.

L'exercice de vos droits est gratuit.

14.2 Si vous êtes une entreprise cliente

Vous disposez en outre, sans intervention de l'éditeur :

• des fonctions d'export PDF et Excel de l'ensemble de vos données (section 12.4) ;
• de la gestion des droits d'accès de vos utilisateurs ;
• du réglage de désactivation de l'assistant Opti (section 11.5).

14.3 Si vous êtes client, salarié ou fournisseur d'une entreprise utilisant Optimux

Adressez votre demande directement à cette entreprise, qui est le responsable de traitement de vos données (sections 4.2 et 7).

Si vous écrivez néanmoins à l'éditeur, celui-ci :

1. ne pourra pas statuer lui-même sur votre demande, faute d'en avoir la qualité ;
2. transmettra votre demande sans délai à l'entreprise cliente concernée ;
3. vous en informera.

15. Réclamation auprès de l'autorité de contrôle

Si vous estimez que vos droits ne sont pas respectés, vous pouvez saisir l'autorité de contrôle de votre pays. Cette saisine est un droit ; elle n'est subordonnée à aucune démarche préalable auprès de l'éditeur, même s'il est généralement plus rapide de le contacter d'abord.

Les coordonnées postales et électroniques ainsi que le formulaire de réclamation en vigueur sont publiés par chaque autorité elle-même et peuvent changer. L'éditeur communique les coordonnées à jour sur simple demande adressée à hello@optimuxerp.com.

15.1 Côte d'Ivoire — ARTCI, autorité de protection des données à caractère personnel

• Autorité : Autorité de Régulation des Télécommunications/TIC de Côte d'Ivoire (ARTCI), qui exerce les attributions de l'organe de protection au titre de la loi n° 2013-450.
• Ce que l'autorité attend d'une réclamation : l'identité et les coordonnées du réclamant ; l'identification du responsable de traitement mis en cause ; l'exposé des faits ; l'indication des démarches déjà entreprises auprès du responsable et la réponse obtenue ou l'absence de réponse ; les pièces justificatives.
• Pouvoirs : l'autorité dispose d'un pouvoir d'investigation. Lorsqu'une personne ne parvient pas à exercer son droit d'accès, celui-ci peut être exercé par l'autorité elle-même, qui peut ordonner la rectification, l'effacement ou le verrouillage des données dont le traitement n'est pas conforme, et informe le réclamant du résultat de ses investigations (art. 29).

15.2 Sénégal — Commission de protection des données personnelles (CDP)

• Autorité : Commission de protection des données personnelles (CDP), instituée par la loi n° 2008-12.
• Ce que l'autorité attend d'une réclamation : l'identité et les coordonnées du plaignant ; l'identification du responsable de traitement ; l'objet précis de la plainte ; les échanges préalables ; les pièces justificatives.
• Pouvoirs : la CDP reçoit les déclarations, délivre les récépissés, autorise les transferts transfrontaliers (art. 51) et contrôle la conformité des traitements.

15.3 Bénin — Autorité de protection des données à caractère personnel (APDP)

• Autorité : Autorité de protection des données à caractère personnel (APDP), autorité administrative indépendante chargée de veiller à ce que les traitements soient mis en œuvre conformément au Livre V du Code du numérique.
• Ce que l'autorité attend d'une réclamation : l'identité et les coordonnées du réclamant ; l'identification du responsable de traitement ou du sous-traitant ; l'exposé du manquement allégué ; les démarches préalables ; les pièces.
• Pouvoirs : l'APDP reçoit les déclarations (art. 405), délivre les autorisations, constate le niveau de protection des États tiers et autorise les transferts (art. 391), et contrôle le respect du Livre V.

15.4 Recours juridictionnel

Indépendamment de la saisine de l'autorité de contrôle, vous conservez la faculté d'exercer un recours devant les juridictions compétentes.

16. Communications adressées aux utilisateurs

Il convient de distinguer deux natures de messages, qui n'obéissent pas au même régime.

Les canaux utilisés sont le courrier électronique, le SMS (pour le code à usage unique) et, lorsque ce canal est activé, une messagerie instantanée mobile (pour les notifications). Les catégories de sous-traitance correspondantes figurent à la section 9.2.

17. Sécurité : mesures techniques et organisationnelles

Les mesures décrites ci-dessous sont celles qui sont effectivement en place. Aucune autre n'est revendiquée.

17.1 Mesures en place

Ces mesures répondent aux exigences de l'article 41 de la loi ivoirienne n° 2013-450, de l'article 71 de la loi sénégalaise n° 2008-12 et de l'article 426 du Code du numérique béninois — ce dernier citant expressément « la pseudonymisation et le chiffrement des données à caractère personnel » ainsi que les moyens de garantir « la confidentialité, l'intégrité, la disponibilité et la résilience constantes » des systèmes.

17.2 Ce qui n'est pas revendiqué

L'honnêteté d'une politique de sécurité se mesure autant à ce qu'elle refuse d'affirmer qu'à ce qu'elle énumère.

• Aucune certification et aucun audit de sécurité externe ne sont revendiqués à ce jour.
• Aucun objectif chiffré de disponibilité, de délai de rétablissement ou de fréquence de sauvegarde n'est garanti. Les sauvegardes sont assurées par l'hébergeur de la base de données selon son propre cycle de rotation ; une donnée supprimée en production n'en disparaît qu'au terme de ce cycle, ce qui fait mécaniquement obstacle à tout effacement instantané.
• Aucune mesure autre que celles énumérées à la section 17.1 n'est mise en avant.

17.3 Une obligation propre à la Côte d'Ivoire

L'article 42 de la loi ivoirienne n° 2013-450 impose au responsable de traitement d'établir un rapport annuel à destination de l'organe de protection sur le respect des mesures de sécurité énumérées à l'article 41. L'éditeur étant établi en Côte d'Ivoire, cette obligation lui est applicable pour les traitements dont il est responsable au sens de la section 4.1.

18. Violation de données

18.1 Ce qu'est une violation

Une violation de données est une atteinte à la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel ou l'accès non autorisé à celles-ci. Cette définition est celle retenue par le Code du numérique béninois.

18.2 Les engagements de l'éditeur

En cas de violation affectant des données traitées dans le cadre du service, l'éditeur s'engage à :

1. Contenir l'incident sans délai et en limiter les effets ;
2. Le consigner, avec ses causes, ses effets et les mesures prises ;
3. Notifier l'entreprise cliente concernée au plus tard soixante-douze (72) heures après avoir eu connaissance de la violation, lorsque celle-ci affecte ses données métier — le client, responsable de traitement, étant seul en mesure d'apprécier la nécessité d'informer son autorité de contrôle et les personnes concernées, et de le faire ;
4. Notifier l'autorité de contrôle compétente lorsque la violation affecte les données dont l'éditeur est responsable de traitement, dans les conditions et les délais prévus par la loi applicable ;
5. Informer les personnes concernées lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés ;
6. Fournir au client les informations nécessaires pour qu'il puisse remplir ses propres obligations : nature de la violation, catégories et volume approximatif de données concernées, conséquences probables, mesures prises ou proposées.

Le délai de soixante-douze heures du point 3 est un engagement contractuel de l'éditeur envers ses clients, et non la transposition d'une obligation légale : les trois lois nationales ne fixent pas de délai harmonisé de notification.

18.3 Signaler un incident

Tout incident de sécurité, réel ou soupçonné, se signale à hello@optimuxerp.com, en précisant en objet la mention « incident de sécurité ». Ce message est traité en priorité sur les demandes d'assistance courantes.

19. Cookies et traceurs

19.1 Aucun traceur tiers

Le point mérite d'être énoncé sans détour, parce qu'il est rare : Optimux ERP ne dépose aucun traceur tiers.

• Aucune mesure d'audience : ni Google Analytics, ni Plausible, ni PostHog, ni Matomo.
• Aucune analyse comportementale : ni Hotjar, ni enregistrement de session, ni carte de chaleur.
• Aucun traceur publicitaire : ni pixel de réseau social, ni régie publicitaire, ni reciblage.
• Aucun partage de données de navigation avec un tiers à des fins de profilage ou de publicité.

En conséquence, aucune bannière de consentement aux cookies n'est nécessaire : les seuls traceurs déposés sont strictement nécessaires au fonctionnement du service, ce qui les dispense du recueil du consentement préalable.

19.2 Inventaire complet des cookies

Le service dépose exactement deux cookies, tous deux strictement nécessaires.

Ces deux cookies sont posés avec l'attribut httpOnly — ils ne sont pas lisibles par un script exécuté dans la page — et, en production, avec l'attribut secure, qui interdit leur transmission hors d'une connexion chiffrée.

19.3 Préférences d'affichage : rien ne quitte votre navigateur

L'application mémorise vos préférences d'affichage — le mode liste ou grille choisi sur certains écrans — non pas dans un cookie, mais dans le stockage local de votre navigateur. La distinction n'est pas rhétorique : ces valeurs ne sont jamais transmises au serveur ni à un tiers, et ne peuvent donc alimenter aucun profilage.

Ces préférences d'affichage sont stockées dans votre navigateur et ne contiennent qu'un mot — par exemple list ou grid. Vous pouvez les effacer à tout moment en vidant les données de site de votre navigateur ; la seule conséquence est le retour au mode d'affichage par défaut.

19.4 Vos choix

Les deux cookies de la section 19.2 étant strictement nécessaires, ils ne peuvent être refusés sans empêcher le fonctionnement du service. Vous pouvez configurer votre navigateur pour les bloquer, en acceptant que l'accès à votre compte devienne impossible. Aucun autre choix ne vous est demandé, parce qu'aucun autre traceur n'est déposé.

20. Mineurs

Optimux ERP est un outil professionnel destiné aux entreprises. Il n'est pas destiné aux mineurs, et l'ouverture d'un compte utilisateur est réservée aux personnes majeures au sens du droit de leur pays de résidence.

Deux situations distinctes doivent être considérées.

1. L'utilisateur du service. L'éditeur ne collecte pas sciemment de données concernant un utilisateur mineur. S'il apparaissait qu'un compte a été ouvert au nom d'un mineur, il serait supprimé et les données associées effacées. Toute personne constatant une telle situation est invitée à écrire à hello@optimuxerp.com.
2. Les données de mineurs saisies par un client. Un client peut être amené à enregistrer des données concernant des mineurs — par exemple les ayants droit d'un salarié dans le module de paie. Ces données relèvent de la responsabilité du client. Il lui appartient de vérifier sa base légale et, le cas échéant, de recueillir l'autorisation du représentant légal. L'article 446 du Code du numérique béninois régit la représentation de l'enfant mineur. L'article 33 de la loi ivoirienne réserve par ailleurs une attention particulière aux données que la personne concernée a rendues disponibles lorsqu'elle était mineure, en facilitant leur effacement.

21. Modification de la présente politique

La présente politique peut être modifiée pour tenir compte de l'évolution du service, des prestataires auxquels il est recouru ou du droit applicable.

• Toute modification est publiée à cette adresse, avec une date de mise à jour et un numéro de version.
• En cas de modification substantielle — nouvelle finalité, nouveau sous-traitant ultérieur, nouvelle destination de transfert, allongement d'une durée de conservation —, les clients en sont informés directement, par courrier électronique ou par notification dans l'application, au moins trente (30) jours avant l'entrée en vigueur de la modification. Ce délai se combine avec la faculté de résiliation sans pénalité prévue à la section 9.4.
• L'historique des versions est conservé et communicable sur demande.

22. Contact et protection des données

22.1 Contact général

Pour toute question relative à la présente politique, à l'exercice de vos droits ou à la protection de vos données :

L'éditeur ne met pas de ligne téléphonique à disposition du public. Plusieurs des droits énoncés à la section 13 s'exercent par écrit : les deux canaux ci-dessus y répondent l'un et l'autre.

22.2 Qui traite vos demandes

Les demandes relatives à la protection des données sont traitées par le directeur de la publication, Sylvestre EFFI, joignable aux coordonnées de la section 22.1. Il est l'interlocuteur des personnes concernées et des autorités de contrôle pour les traitements décrits à la section 4.1.

22.3 Délai de réponse

L'éditeur s'engage à répondre à toute demande dans un délai maximal d'un mois à compter de sa réception (section 13.2).

Annexe — Textes cités

Côte d'Ivoire

• Loi n° 2013-450 du 19 juin 2013 relative à la protection des données à caractère personnel — art. 5, 6, 7, 11, 16, 17, 18, 19, 20, 21, 22, 25, 26, 28, 29, 30, 31, 32, 33 à 35, 38, 41, 42.
• Annexe fiscale à la loi n° 2018-984 du 28 décembre 2018, art. 16 — harmonisation à dix ans des art. 49 et 440 du Code général des impôts et de l'art. 33 du Livre de procédures fiscales.

Sénégal

• Loi n° 2008-12 du 25 janvier 2008 portant sur la protection des données à caractère personnel — art. 17, 18, 19, 20, 22, 48, 49, 50, 51, 52, 58, 62, 68, 69, 70, 71.
• Code général des impôts, art. 637 — conservation dix ans, y compris sur support informatique.

Bénin

• Loi n° 2017-20 du 20 avril 2018 portant Code du numérique en République du Bénin, Livre cinquième, modifiée par la loi n° 2020-35 du 6 janvier 2021 — art. 379 à 382, 383, 384, 385, 386, 391, 392, 394, 400, 401, 405, 406, 407, 415, 416, 418 à 422, 424, 426, 428, 430, 433, 435, 437, 438, 439, 440, 441, 443, 446.
• Code général des impôts, art. 480 — conservation dix ans.

Régional et continental

• Acte additionnel A/SA.1/01/10 du 16 février 2010 de la CEDEAO relatif à la protection des données à caractère personnel dans l'espace de la CEDEAO.
• Convention de l'Union africaine sur la cybersécurité et la protection des données à caractère personnel (Convention de Malabo), adoptée le 27 juin 2014, entrée en vigueur le 8 juin 2023 — art. 8.1, 11.1.a, 36.

OHADA

• Acte uniforme relatif au droit comptable et à l'information financière (AUDCIF), adopté le 26 janvier 2017, applicable depuis le 1er janvier 2018 — art. 17, 19, 20, 22, 23, 24, 66, 67.

Union européenne, cité pour mémoire

• Règlement (UE) 2016/679 du 27 avril 2016 (RGPD) — non applicable en l'état, voir section 3.5.

Version 1 — en vigueur à compter du 26 août 2026.