Politique de confidentialité

1. Responsable du traitement

KLDS, société immatriculée au Sénégal, est le responsable du traitement des données personnelles traitées via BugSecure Africa. Nos traitements sont déclarés à la Commission de protection des données personnelles (CDP) conformément à la Loi n° 2008-12. Contact : admin@senintel.sn.

2. Données que nous collectons

• Compte : adresse e-mail, nom d'utilisateur, mot de passe (haché), rôles, et pour les organisations les informations de l'entité.
• Vérification d'identité (KYC) : documents fournis pour établir votre identité, requise pour être payé (le certificat de paiement est émis dans tous les cas).
• Coordonnées de paiement : compte mobile money ou compte bancaire sur lequel vous souhaitez être payé.
• Contenu : rapports de vulnérabilité, pièces jointes, commentaires, et éléments d'évaluation et de réexamen.
• Certificats et règlement : montant dû, retenue éventuelle déclarée par l'organisation qui paie, statut de paiement.
• Techniques : adresse IP, journaux d'activité et de sécurité, horodatages, cookies essentiels.

Minimisation KYC : nous conservons de préférence un jeton de vérification plutôt que le numéro de votre pièce d'identité. Un numéro d'identification national ou une donnée biométrique relève d'une autorisation préalable de la CDP (Loi n° 2008-12, art. 20) et n'est traité que si strictement nécessaire.

BugSecure n'est pas destiné aux mineurs. Nous ne collectons pas sciemment les données d'une personne de moins de 18 ans ; si nous en avons connaissance, nous les supprimons.

3. Finalités et bases légales

Nous traitons vos données pour fournir le service (exécution du contrat), évaluer ou faire évaluer les rapports et émettre des certificats, assurer la sécurité et prévenir la fraude (intérêt légitime), respecter nos obligations légales, et communiquer avec vous. La transmission de vos coordonnées de paiement à l'organisation qui vous doit un montant, pour qu'elle vous paie, repose sur l'exécution du contrat (les Conditions d'utilisation). La vérification d'identité (KYC) repose sur le respect de nos obligations légales (lutte contre la fraude et le blanchiment de capitaux) et sur notre intérêt légitime à ce que seules des personnes vérifiées soient payées, ainsi que sur votre consentement lorsqu'il est requis. BugSecure ne paie pas les récompenses et n'opère aucune retenue : les obligations fiscales liées au paiement, dont la retenue à la source, incombent à l'organisation en sa qualité de payeur.

4. Conservation

Nous conservons les données le temps nécessaire aux finalités ci-dessus (Loi n° 2008-12, art. 72). Les certificats de paiement et les preuves d'acceptation des conditions sont conservés pour la durée légale applicable aux preuves contractuelles. La suppression d'un compte anonymise vos données personnelles, mais les instruments émis (certificats) et les journaux d'audit requis par la loi sont conservés.

5. Sécurité

• Chiffrement en transit (TLS) et au repos.
• Mots de passe hachés (bcrypt) ; authentification à deux facteurs disponible.
• Contrôle d'accès basé sur les rôles et journalisation d'audit.
• Aucune méthode n'est sûre à 100 % ; nous vous informons en cas de violation présentant un risque.

6. Partage et sous-traitants

Nous ne vendons pas vos données personnelles. Nous les partageons avec des sous-traitants qui les traitent pour notre compte, sous contrat : hébergement (Amazon Web Services), envoi d'e-mails (Resend), analytique produit (PostHog, UE), et, si vous l'activez, la connexion Discord (rôles). Un rapport n'est partagé qu'avec l'organisation concernée et les évaluateurs, conformément aux Conditions.

Pour qu'elle puisse vous payer, l'organisation qui vous doit un montant reçoit votre nom, vos coordonnées de paiement (compte mobile money ou compte bancaire) et le statut de votre vérification d'identité (vérifiée ou non ; jamais vos documents). Elle ne voit vos coordonnées de paiement qu'une fois votre identité vérifiée. Toute retenue qu'elle déclare sur ce paiement, avec son motif, vous est communiquée et est conservée avec le certificat.

Nous pouvons divulguer des données lorsque la loi l'exige, pour prévenir une fraude ou une atteinte à la sécurité, ou dans le cadre d'une opération sur l'entreprise, dans le respect de cette politique.

7. Discord

Lier votre compte à Discord est facultatif. Si vous le faites, nous conservons votre identifiant et votre nom d'utilisateur Discord, ainsi que les tokens OAuth que Discord nous remet, chiffrés. Ils servent uniquement à tenir à jour vos rôles sur le serveur BugSecure : vérification, niveau, classement et badges, d'après votre activité sur la plateforme. Discord reçoit, pour les rôles liés, cinq valeurs : identité vérifiée ou non, ambassadeur ou non, organisation ou non, nombre de rapports validés et date d'inscription.

• Publications publiques : le bot BugSecure ne vous nomme dans un message public (passage de niveau, badge, classement mensuel) que si vous l'avez accepté dans vos paramètres, ce qui est désactivé par défaut. Le tableau d'honneur ne cite un rapport publié que si vous avez accepté d'y être crédité dans sa divulgation. Aucun montant n'est jamais publié vous concernant.
• Délier : à tout moment dans vos paramètres. Votre connexion de rôles est effacée, les rôles attribués par le bot vous sont retirés, le token est révoqué auprès de Discord et nous supprimons ces données, en principe dans le quart d'heure et au plus tard sous sept jours.
• Supprimer votre compte BugSecure a le même effet.

8. GitHub

Lier votre compte GitHub est facultatif. Nous demandons seulement à GitHub qui vous êtes (identifiant et nom d'utilisateur, scope read:user) et ne conservons aucun token. Cela sert à vous attribuer le badge MCP Contributor pour les pull requests fusionnées dans le MCP open source de BugSecure, que GitHub nous signale (numéro, titre, lien et auteur, des informations déjà publiques sur GitHub). Vous pouvez délier GitHub à tout moment dans vos paramètres ; un badge déjà obtenu reste.

9. Transferts internationaux

Notre infrastructure est principalement hébergée dans l'Union européenne (AWS, région eu-west-1, Irlande). Tout transfert hors du Sénégal est encadré (Loi n° 2008-12, art. 49 à 51) : notification ou autorisation préalable de la CDP selon le cas, et garanties contractuelles appropriées auprès de nos sous-traitants.

10. Vos droits

• Accès, rectification et effacement de vos données.
• Limitation et opposition au traitement.
• Portabilité, et retrait de votre consentement lorsqu'il fonde le traitement.
• Réclamation auprès de la Commission de protection des données personnelles (CDP).

Pour exercer vos droits, écrivez à admin@senintel.sn. Nous répondons sous 30 jours. Certaines données (instruments émis, preuves légales) peuvent être conservées malgré une demande d'effacement, dans les limites de la loi.

11. Cookies et stockage local

Nous utilisons des cookies et un stockage local essentiels (jeton d'authentification, préférence de langue et de thème) et une analytique produit respectueuse de la vie privée. Les traceurs non essentiels ne sont pas utilisés à des fins publicitaires.

12. Cadre légal

Protection des données : Loi n° 2008-12 du 25 janvier 2008 (Sénégal), régulateur CDP. Cybercriminalité et cadre des tests : Loi n° 2008-11. Nous nous alignons également sur les principes du RGPD lorsqu'ils s'appliquent à nos traitements et transferts.

13. Modifications

Nous pouvons mettre à jour cette politique ; la date d'effet est indiquée en tête. Les changements importants vous sont communiqués par e-mail ou via la plateforme.

14. Contact

KLDS — Protection des données. admin@senintel.sn — bugsecure.senintel.sn. Vous pouvez aussi saisir la CDP (Sénégal).