Politique de confidentialité

ZingoPay, Bangui (République centrafricaine), est responsable du traitement. Les coordonnées légales complètes figurent dans les mentions légales. Contact pour toute question sur vos données : conformite@mail.aletchcard.site.

Compte client (obligatoire pour utiliser l'espace client) :

• Prénom et nom, tels qu'ils figurent sur votre pièce d'identité.
• Adresse e-mail (connexion, codes de vérification).
• Numéro de téléphone (nécessaire à la création et à l’utilisation du compte).
• Mot de passe : jamais stocké en clair ; il est protégé et géré par notre prestataire d’authentification.
• Un identifiant ZingoPay (AC-XXXXXXXX) créé automatiquement.
• Appareil reconnu : jeton technique aléatoire dans un cookie sécurisé, nom indicatif de l’appareil, dates d’enregistrement et de dernière utilisation, expiration ou révocation. Le serveur conserve uniquement l’empreinte cryptographique du jeton.
• Code personnel : si vous activez cette option, le code à 4 chiffres est transformé en empreinte avec sel avant stockage ; le code n’est jamais conservé en clair.

Utilisation du service : opérations fictives de transfert et de demande d'argent, paiement en ligne, paiement chez un commerçant (dont paiement par QR code au point de vente), encaissement marchand, dépôts et retraits auprès d'un agent, commandes et reçus de démonstration, réponses au quiz et récompenses fictives. Pour ces opérations, nous traitons notamment le montant fictif, le type et le statut de l'opération, la date, la référence, le commerçant ou le destinataire concerné et, si nécessaire, la référence de commande ou de facture.

Vérification d'identité (facultative pendant la démonstration) : si vous la lancez, votre pièce d'identité et votre selfie sont traités directement par notre prestataire Didit. ZingoPay ne conserve aucune copie de la pièce : seulement le statut (vérifiée, en examen, refusée), la date, le nom lu sur la pièce et la référence de la session.

Agents : prénom, nom, e-mail, adresse du point de service (quartier, repère), horaires d'ouverture (ouvert / fermé, dépôts, retraits). L'adresse du point est visible par les clients dans la liste des points de dépôt.

Commerçants : nom du commerce, nom du responsable, secteur d'activité, e-mail, téléphone et, si vous le remplissez, un court message. Pour les paiements et encaissements de démonstration, nous pouvons également traiter l'identifiant du commerce, le montant fictif, la référence de commande ou de facture, le statut du paiement et les informations figurant sur le reçu.

Parrainage : votre code de parrainage et, si vous avez été invité, le lien avec votre parrain. Votre parrain voit seulement votre prénom et si vous avez fait votre premier dépôt.

Loterie : vos tickets (numéros choisis, numéros tirés, mise et gain fictifs).

Épargne : vos cagnottes (nom, objectif, solde fictif, blocage).

Demandes d'argent : le montant, votre petit mot, la personne concernée et la réponse. La personne à qui vous demandez voit votre prénom, votre nom, le montant et votre mot, jamais votre téléphone ni votre solde.

Défis : les défis réussis et les récompenses fictives reçues.

Mesure d'audience : nous comptons le nombre de vues de chaque page, par jour. Aucune adresse IP, aucun identifiant et aucun cookie ne sont enregistrés : seul le total par page est conservé.

Notifications (seulement si vous les activez) : l'adresse technique d'abonnement de votre appareil, fournie par votre navigateur, et le type d'appareil. Elle sert uniquement à vous prévenir d'un envoi reçu, d'une demande d'argent ou d'un dépôt à confirmer. Une notification indique au plus le prénom de l'autre personne et le montant fictif. Vous pouvez les désactiver à tout moment dans votre profil.

Sécurité : adresse IP et heure des tentatives de connexion, événements de reconnaissance ou de révocation d'un appareil, échecs de saisie du code personnel et durée d'un éventuel blocage temporaire, afin de protéger le compte et de détecter les accès inhabituels.

Uniquement avec votre accord : mesure d'audience (Google Analytics) et affichage des cartes Google Maps. Voir la politique cookies.

Nous ne collectons pas : vos contacts, votre position de façon continue, des coordonnées de carte de paiement ou des données bancaires réelles dans la démonstration, ni de données de santé, d'opinion ou de religion. La fonction « Près de moi » utilise votre position dans votre navigateur seulement : elle n'est jamais envoyée à nos serveurs.

• Créer et faire fonctionner votre compte de démonstration (base : exécution des conditions d'utilisation que vous acceptez à l'inscription).
• Sécuriser les comptes et empêcher la fraude (base : intérêt légitime à protéger les utilisateurs et le service).
• Vérifier votre identité si vous le demandez (base : votre consentement, recueilli au début du parcours Didit).
• Mesurer l'audience et afficher Google Maps (base : votre consentement, que vous pouvez retirer à tout moment).
• Vous envoyer les e-mails nécessaires au compte : code de vérification, bienvenue (base : exécution du service). Aucun e-mail publicitaire sans votre accord.

Vos données ne sont jamais vendues. Seuls l'équipe ZingoPay habilitée et nos prestataires techniques y accèdent, chacun pour sa mission :

• Supabase : base de données et authentification (serveurs situés au Royaume-Uni, région eu-west-2).
• Vercel : hébergement du site (États-Unis et réseau mondial).
• Resend : envoi des e-mails du compte.
• Didit : vérification d'identité, seulement si vous la lancez.
• Google : Google Analytics et Google Maps, seulement avec votre accord.

Un agent voit le nom, l'identifiant ZingoPay et les deux derniers chiffres du téléphone du client qu'il sert. Un commerçant ne reçoit que les informations nécessaires à l'identification du paiement ou de l'encaissement qui le concerne. Dans la démonstration, ces opérations sont fictives. Aucun prestataire de paiement n'est actuellement connecté pour exécuter des paiements réels ; avant l'activation d'un tel partenaire, les informations sur ce partenaire et les données qu'il recevra seront ajoutées à cette politique.

Nos prestataires techniques sont situés hors de la République centrafricaine (Royaume-Uni, États-Unis, Union européenne). Ces transferts sont nécessaires au fonctionnement du service ; nous choisissons des prestataires qui appliquent des mesures de sécurité reconnues (chiffrement des échanges, contrôle des accès). Vous pouvez obtenir des informations sur ces garanties en nous écrivant.

• Compte et opérations fictives : tant que votre compte existe. À la suppression (depuis le profil, ou sur la page « Supprimer mon compte »), vos données personnelles sont effacées tout de suite ; les écritures de démonstration restent dans l'historique des autres utilisateurs sous un nom anonyme.
• Demande d'accès marchand non retenue : 12 mois au plus.
• Statut de vérification d'identité : tant que le compte existe. Les documents eux-mêmes restent chez Didit, selon ses propres conditions.
• Tentatives de connexion (sécurité) : 12 mois au plus.
• Jeton d'appareil reconnu : valable 30 jours, sauf révocation anticipée. Vous pouvez demander la révocation d'un appareil en contactant l'assistance ; les informations techniques minimales sont conservées pour la sécurité du compte.
• Code personnel : tant que le compte existe ou jusqu'à sa réinitialisation ; l'empreinte est supprimée avec le compte.
• Choix de cookies : 6 mois dans votre navigateur, puis nous vous redemandons.

Vous pouvez à tout moment : accéder à vos données, les faire corriger, demander leur suppression, vous opposer à un traitement fondé sur notre intérêt légitime, retirer votre consentement (cookies, vérification d'identité) et demander une copie de vos données.

Écrivez à conformite@mail.aletchcard.site depuis l'adresse e-mail de votre compte. Nous répondons dans un délai d'un mois. Si la réponse ne vous satisfait pas, vous pouvez saisir l'autorité centrafricaine chargée de la protection des données personnelles.

Échanges chiffrés (HTTPS), mots de passe protégés par le prestataire d'authentification, codes personnels transformés en empreintes cryptographiques avec sel, jetons d'appareils stockés sous forme d'empreintes, cookies de confiance inaccessibles au JavaScript du navigateur, accès à la base limité par des règles de sécurité ligne par ligne, opérations sensibles effectuées côté serveur et limitation des tentatives. Un appareil peut être révoqué et un code bloqué temporairement après plusieurs erreurs. En cas de violation de données susceptible de vous porter atteinte, nous vous informerons et informerons l'autorité compétente dans les délais prévus par la loi.

La création d'un compte personnel est ouverte aux jeunes comme aux adultes. La démonstration n'utilise que des montants fictifs. L'accès futur à des paiements réels, à l'encaissement ou à d'autres opérations impliquant des fonds pourra être soumis à des conditions d'âge, à une autorisation du représentant légal lorsque la réglementation l'exige, à une vérification d'identité et aux conditions des partenaires financiers. L'inscription seule ne signifie pas que ces services réels sont activés.

Nous mettrons cette politique à jour quand le service évoluera, notamment au lancement des services avec une banque partenaire. La date en haut de page indique la dernière version ; en cas de changement important, nous vous en informerons dans l'application ou par e-mail.