— Confidentialité

Politique de confidentialité

Dernière mise à jour : 30 juin 2026 · Conforme RGPD (UE) 2016/679 et réglementation BCEAO/UEMOA

⚠ Template à valider juridiquement. Cette politique est un point de départ technique inspiré des modèles CNIL et des obligations BCEAO sur le traitement des données d'identité. Avant publication officielle, faites-la relire par un DPO et un conseil juridique spécialisé en données personnelles et eKYC.

1. Responsable du traitement

bantou — [raison sociale à compléter] — agit en qualité de responsable de traitement pour les données collectées via le site bantou.ai.

Pour les démonstrations eKYC (sous-domaines ekyc.bantou.ai), bantou agit en qualité de sous-traitant au sens de l'article 28 RGPD, pour le compte des entités clientes qui restent responsables de traitement.

2. Délégué à la protection des données (DPO)

Contact DPO : dpo@bantou.ai [boîte à créer ou rediriger]

3. Données collectées et finalités

Donnée	Finalité	Base légale	Conservation
Email (formulaire / mailto)	Répondre à votre demande	Intérêt légitime (art. 6.1.f)	3 ans après dernier échange
Logs serveur (IP, user-agent, date)	Sécurité, prévention d'abus	Intérêt légitime + obligation légale	12 mois max
Données d'identité (démos eKYC)	Test du parcours de vérification	Consentement explicite (art. 7) + intérêt légitime	30 jours pour les démos publiques · contractuel pour les clients
Données biométriques (liveness)	Démo anti-spoofing	Consentement explicite (art. 9.2.a)	30 jours pour les démos · contractuel

4. Catégories particulières de données — eKYC

Le service eKYC traite des données d'identité officielles (pièces d'identité, passeports) et des données biométriques (selfie liveness, comparaison faciale). Ces catégories relèvent de l'article 9 RGPD et de la réglementation BCEAO/UEMOA sur la lutte contre le blanchiment et le financement du terrorisme (LBC/FT).

Consentement explicite requis avant toute capture, conformément à l'art. 9.2.a RGPD.
Aucune donnée d'identité réelle ne doit être soumise aux démos publiques. Les démos sont exclusivement réservées à des données fictives ou à des données de test conventionnées.
Chiffrement au repos et en transit (TLS 1.2+ et AES-256).
Traçabilité immuable des accès (journalisation horodatée).

5. Destinataires et sous-traitants

Vos données ne sont communiquées à aucun tiers à des fins commerciales. Sous-traitants techniques actuels :

Hetzner Online GmbH (Allemagne) — hébergement infrastructure.
Brevo (France) — relai email transactionnel uniquement (envoi de réponses).
Anthropic, Inc. (États-Unis) — API IA pour la génération de code interne. Aucune donnée client n'est transmise à cette API.

6. Transferts hors UE

Pour les sous-traitants situés hors UE (Anthropic), les transferts sont encadrés par des clauses contractuelles types (CCT) de la Commission européenne.

7. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

Accès à vos données (art. 15)
Rectification (art. 16)
Effacement / droit à l'oubli (art. 17)
Limitation du traitement (art. 18)
Portabilité (art. 20)
Opposition (art. 21)
Retrait du consentement à tout moment (art. 7.3)

Pour exercer ces droits : dpo@bantou.ai avec une copie de votre pièce d'identité. Réponse sous 1 mois (prorogeable 2 mois).

Vous disposez également du droit d'introduire une réclamation auprès de la CNIL : cnil.fr/fr/plaintes ou de l'autorité de contrôle de votre pays de résidence.

8. Cookies

Le site bantou.ai n'utilise aucun cookie de tracking ni de mesure d'audience tierce. Seuls des cookies strictement nécessaires au fonctionnement peuvent être déposés (session, préférences). Aucun consentement n'est donc requis (CNIL, lignes directrices 2020).

9. Sécurité

bantou met en œuvre les mesures techniques et organisationnelles appropriées :

TLS 1.2+ (TLS 1.3) sur tous les flux, HSTS, CSP stricte, X-Frame-Options DENY.
Chiffrement au repos AES-256 pour les données biométriques et d'identité.
Cloisonnement multi-tenant strict (PostgreSQL row-level security).
Audits réguliers (revues de code, scans SCA, tests de pénétration).

10. Modifications

Cette politique peut être mise à jour pour refléter les évolutions de la réglementation ou de nos services. La date de dernière mise à jour est indiquée en tête. En cas de modification substantielle, les utilisateurs seront informés par tout moyen approprié.