Politique deconfidentialité.

1. Responsable du traitement

Le responsable du traitement de vos données personnelles est Graya, marque exploitée par la société OMEGA INNOVATIONS, SARL au capital de 1 000 000 F CFA, immatriculée au Registre du Commerce et du Crédit Mobilier d'Abidjan.

• Dénomination sociale : OMEGA INNOVATIONS
• Forme juridique : Société à Responsabilité Limitée (SARL)
• Capital social : 1 000 000 F CFA
• RCCM : CI-ABJ-03-2024-B12-08352
• Identifiant Unique (IDU) : CI-2024-0018038 N
• Siège social : Cocody Riviera Faya Laurier 9, près du Collège Henri, Abidjan, Côte d'Ivoire
• Gérant et Directeur de la publication : M. Assi Atsé Christian Joël
• Courriel de contact : hello@graya.app
• Téléphone : +225 07 47 42 91 10

Pour toute question relative à la protection de vos données, vous pouvez nous écrire à l'adresse hello@graya.app avec pour objet « Données personnelles ».

2. Données personnelles que nous collectons

Nous collectons les catégories de données suivantes :

2.1 Données que vous nous fournissez directement

• Informations de compte : nom, prénom, adresse e-mail, numéro de téléphone mobile, mot de passe (stocké sous forme hachée), date de naissance et, si vous l'indiquez, photo de profil.
• Informations de paiement : numéro Mobile Money, identifiants de transaction. Les données complètes de carte bancaire ne sont jamais stockées par Graya : elles sont traitées directement par notre prestataire de paiement certifié.
• Adresse et localisation : ville, quartier, point de retrait habituel, et lorsque vous l'activez, votre position GPS pendant l'utilisation de l'application. Les positions associées à un paiement ou à un retrait sont également conservées à des fins de sécurité et de prévention de la fraude.
• Contenus que vous publiez : évaluations, commentaires, photos, signalements transmis aux Partenaires ou au service client.
• Échanges avec le support : contenu de vos messages, courriels et appels échangés avec notre équipe.

2.2 Données collectées automatiquement

• Données techniques : adresse IP, type et modèle d'appareil, système d'exploitation, version de l'application, identifiants publicitaires anonymes (IDFA / AAID) lorsque vous y consentez.
• Données d'usage : pages consultées, paniers vus, recherches effectuées, dates et heures de connexion, parcours d'achat.
• Données de connexion : horodatage des connexions, opérateur, type de réseau (Wi-Fi / 4G / 5G).
• Cookies et traceurs : voir la section 9 ci-dessous.

2.3 Données obtenues auprès de tiers

Nous pouvons être amenés à recevoir des données depuis nos partenaires de paiement (statut d'une transaction), depuis les Partenaires (validation d'un retrait, signalement d'un litige) ou depuis les services d'authentification tiers que vous utilisez pour vous connecter (par exemple Google ou Apple), conformément aux paramètres de confidentialité que vous avez définis sur ces services.

3. Finalités et bases légales du traitement

Chaque traitement repose sur une base légale identifiée :

• Exécution du contrat — création et gestion de votre compte, traitement des commandes, paiements, retraits, service après-vente, gestion des litiges.
• Intérêt légitime — amélioration de nos Services, prévention de la fraude, sécurité de la plateforme, mesure d'audience agrégée, recommandations de paniers à proximité.
• Consentement — envoi d'offres promotionnelles par e-mail ou notification push, géolocalisation précise, cookies non essentiels. Vous pouvez retirer votre consentement à tout moment depuis les réglages de l'application ou en nous écrivant.
• Obligation légale — conservation des factures et pièces comptables, vérifications de conformité au titre de la lutte contre le blanchiment de capitaux et le financement du terrorisme (Ordonnance n° 2023-875 du 23 novembre 2023), réponse aux réquisitions des autorités administratives ou judiciaires.

4. Destinataires de vos données

Vos données ne sont jamais vendues. Elles sont accessibles, dans la stricte limite de leurs missions, par :

• Les équipes internes de Graya habilitées (support client, exploitation, ingénierie, lutte contre la fraude).
• Les Partenaires commerçants auprès desquels vous passez commande : ils reçoivent uniquement votre prénom, votre numéro de commande et, si nécessaire, votre numéro de téléphone, dans le but exclusif de préparer et de vous remettre votre Panier.
• Nos sous-traitants (voir section 5).
• Les autorités administratives ou judiciaires sur réquisition légale et dans les limites du droit applicable.

5. Sous-traitants et prestataires

Pour fournir les Services, nous faisons appel à des sous-traitants techniques sélectionnés avec soin. Chacun d'eux est lié par un contrat écrit qui lui impose des obligations de confidentialité, de sécurité et de protection des données équivalentes aux nôtres. Ces sous-traitants n'accèdent qu'aux données strictement nécessaires à l'exécution de leur mission et n'ont en aucun cas le droit d'utiliser vos données à leurs propres fins.

Ils interviennent dans les domaines suivants :

• Hébergement et infrastructure — opération des serveurs sur lesquels sont stockées et traitées vos données, dans des centres de données situés en Côte d'Ivoire et plus largement en Afrique de l'Ouest, présentant des garanties techniques et organisationnelles appropriées.
• Services de paiement — traitement sécurisé de vos transactions Mobile Money et carte bancaire par un prestataire agréé respectant les standards de sécurité du secteur (notamment PCI-DSS pour les cartes).
• Communications transactionnelles — acheminement des e-mails de confirmation, SMS, notifications push et messages liés à votre Compte ou à vos Commandes.
• Mesure d'audience et amélioration produit — analyse pseudonymisée de l'usage des Services pour comprendre les parcours et améliorer l'expérience.
• Outils internes — gestion du support client, supervision technique et lutte contre la fraude.

La liste détaillée et actualisée de nos sous-traitants, ainsi que les garanties contractuelles mises en place, peuvent être communiquées sur simple demande adressée à hello@graya.app.

6. Localisation et transferts de données

Vos données personnelles sont principalement hébergées et traitées en Côte d'Ivoire, dans des centres de données présentant des garanties techniques et organisationnelles appropriées. Nous privilégions, autant que possible, une infrastructure locale au sein de l'espace UEMOA afin de réduire la dépendance aux flux transfrontaliers.

De manière marginale, certains outils annexes (notifications, courriels transactionnels, outils de support) peuvent impliquer un traitement temporaire de vos données depuis des serveurs situés hors de Côte d'Ivoire. Dans ce cas, nous nous assurons que ces transferts s'effectuent vers des pays offrant un niveau de protection adéquat ou sont encadrés par des garanties contractuelles appropriées (clauses contractuelles types, mesures techniques complémentaires). Vous pouvez nous demander une copie de ces garanties à tout moment à hello@graya.app.

7. Durées de conservation

Nous ne conservons vos données que le temps nécessaire aux finalités décrites ci-dessus :

• Données de compte : pendant toute la durée d'utilisation de votre compte, puis archivées 3 ans après votre dernière activité avant suppression définitive.
• Données de commande, factures et pièces justificatives LCB-FT : 10 ans après la transaction, conformément aux obligations comptables, fiscales et de lutte anti-blanchiment applicables en Côte d'Ivoire. Cette durée s'applique strictement aux pièces concernées, et non à l'ensemble du compte.
• Données de géolocalisation précise : conservées pendant la session, supprimées ou anonymisées sous 30 jours.
• Logs de connexion et journaux techniques : 12 mois maximum.
• Cookies et traceurs : 13 mois maximum à compter de leur dépôt.
• Données liées à un litige : jusqu'à l'extinction des voies de recours.

8. Sécurité des données

Nous mettons en œuvre les mesures techniques et organisationnelles raisonnables pour protéger vos données contre la perte, l'accès non autorisé, la modification ou la divulgation :

• Chiffrement des échanges en transit (TLS 1.2+).
• Chiffrement au repos des données sensibles et hachage des mots de passe (algorithme à coût ajustable).
• Cloisonnement des accès, principe du moindre privilège et journalisation des opérations sensibles.
• Audits de sécurité périodiques et processus de gestion des incidents.
• Sensibilisation continue de nos équipes à la protection des données.

En cas de violation de données susceptible d'engendrer un risque pour vos droits et libertés, nous nous engageons à en informer l'ARTCI dans les délais prévus par la loi et, lorsque la loi l'exige, à vous en informer directement.

9. Cookies et traceurs

Notre site et notre application utilisent des cookies et technologies similaires pour faire fonctionner les Services, mesurer leur audience et, sous réserve de votre consentement, personnaliser votre expérience.

• Cookies strictement nécessaires — indispensables au fonctionnement (authentification, session, sécurité, équilibrage de charge). Ils ne nécessitent pas votre consentement et ne peuvent pas être désactivés.
• Cookies de mesure d'audience — nous aident à comprendre comment vous utilisez nos Services et à les améliorer. Les données sont agrégées et pseudonymisées.
• Cookies de personnalisation et marketing — déposés uniquement avec votre consentement préalable, retiré à tout moment depuis la bannière de gestion des cookies.

Vous pouvez à tout moment modifier vos préférences en cliquant sur le lien « Gérer les cookies » en pied de page, ou en paramétrant votre navigateur pour refuser les cookies.

10. Vos droits

Conformément à la Loi ivoirienne n° 2013-450 et, le cas échéant, au RGPD, vous disposez à tout moment des droits suivants sur vos données personnelles :

• Droit d'accès — obtenir la confirmation que vos données sont traitées et en recevoir une copie.
• Droit de rectification — corriger des informations inexactes ou incomplètes.
• Droit à l'effacement — demander la suppression de vos données dans les cas prévus par la loi.
• Droit à la limitation du traitement — demander que vos données soient temporairement mises de côté.
• Droit d'opposition — vous opposer à un traitement fondé sur notre intérêt légitime ou refuser les communications commerciales.
• Droit à la portabilité — recevoir vos données dans un format structuré et couramment utilisé.
• Droit de retirer votre consentement — à tout moment, sans remettre en cause les traitements antérieurs.
• Droit de définir des directives post-mortem — concernant la conservation, l'effacement et la communication de vos données après votre décès.

Pour exercer ces droits, écrivez-nous à hello@graya.app en précisant votre demande et en joignant, si nécessaire, un justificatif d'identité. Nous nous engageons à vous répondre dans un délai maximal d'un mois, prorogeable deux mois pour les demandes complexes.

11. Protection des mineurs

Les Services ne sont pas destinés aux enfants de moins de 16 ans. Nous ne collectons pas sciemment de données concernant des mineurs de moins de 16 ans sans le consentement préalable et vérifiable de leur représentant légal. Si vous estimez qu'un mineur nous a transmis ses données sans autorisation, contactez-nous immédiatement à hello@graya.app afin que nous procédions à leur suppression.

12. Modifications de la Politique de confidentialité

Nous pouvons modifier la présente politique pour refléter l'évolution de nos Services, du cadre légal applicable ou des bonnes pratiques de protection des données. La version applicable est celle accessible sur cette page à la date de votre utilisation des Services. En cas de modification substantielle, nous vous en informerons par un message dans l'application, un courriel ou un bandeau visible avant que les changements ne prennent effet.

13. Réclamation et contact

Pour toute question, demande d'exercice de vos droits ou réclamation relative au traitement de vos données, vous pouvez nous écrire à :

hello@graya.app
Objet : « Données personnelles »

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous disposez du droit d'introduire une réclamation auprès de l'Autorité de Régulation des Télécommunications de Côte d'Ivoire (ARTCI), autorité de contrôle compétente en matière de protection des données personnelles, ou auprès de l'autorité de protection des données de votre pays de résidence si vous résidez dans l'Union européenne.