Politique de confidentialité

Notre engagement de confidentialité BACE limite l'utilisation des données aux besoins du service, de la sécurité et du suivi de la relation client. La saisie des données de carte s'effectue dans l'environnement du prestataire de services de paiement (« PSP »). Le portail conserve les informations nécessaires au suivi des opérations, notamment leurs références, montants, états et dates.

1. Portée de la politique

La présente politique s'applique au portail exclusivement dédié à BACE, à ses espaces client, professionnel et administratif, au formulaire de contact, aux paiements, échéances, QR codes, cadeaux numériques, rappels, demandes de support et journaux de sécurité associés.

Un seul environnement commercial : BACE Le portail est dédié aux offres de BACE. Il ne constitue pas une place de marché ouverte à des vendeurs indépendants.

Elle complète les Conditions générales d'utilisation. Les sites ou interfaces d'un prestataire externe, notamment la page sécurisée du prestataire de paiement, restent soumis à leurs propres règles de confidentialité.

2. Responsable(s) du traitement et intervenants

BACE — relation éducative et commerciale

Pour les traitements liés à ses offres éducatives, aux inscriptions, à la relation client, à la facturation, aux demandes et à l’exécution de ses prestations, BACE détermine les finalités commerciales et agit comme responsable du traitement dans la mesure où il détermine effectivement ces finalités et moyens.

AMANA FINNOVATION — prestataire technologique

AMANA FINNOVATION, SUARL de droit tunisien, édite Planif Pay® et fournit à BACE une solution en marque blanche. Pour les traitements réalisés pour le compte de BACE et selon ses instructions documentées, elle intervient en principe comme prestataire technique. Pour les traitements dont elle détermine elle-même les finalités et moyens (par exemple certaines obligations de sécurité ou de gestion de ses propres relations professionnelles), son rôle doit être apprécié séparément.

Le rôle juridique de chaque intervenant dépend des fonctions réellement exercées et des contrats applicables ; la présente description ne modifie pas à elle seule ces rôles. Le PSP, les banques et les autres intervenants autorisés traitent les données relevant de leurs propres services et obligations.

Contact BACE :
Adresse professionnelle : 23 rue Al Aghaliba, 2000 Le Bardo, Tunis, Tunisie.
contact@baceducation.tn
+216 97 898 050

Contact AMANA FINNOVATION :
SUARL de droit tunisien — identifiant unique RNE : 1942361W/A/M/000.
Siège : Estate Business Center, Lac Neuchâtel, Berge du Lac, 1053 La Marsa, Tunis, Tunisie.
hello@amanafinnovation.com

3. Catégories de données traitées

Compte client

Nom, prénom, date de naissance, adresse e-mail, téléphone, gouvernorat, identifiant client, préférences de connexion et, si fournie, photo de profil. Lorsqu’elle est enregistrée : version des CGU acceptée, date, libellé de l’acceptation et éléments permettant d’identifier le document correspondant.

Transactions et échéances

Références internes et prestataire, montant, devise, statut, calendrier, montants payés/restants, horodatages, remboursements et rapprochements. Pour une annulation : référence, montant, échéancier conservé, état de la demande, motif, dates et identification de l’intervenant administratif habilité.

QR code et validation

Identifiant et statut du QR, date de génération, période de validité, date de validation, établissement BACE concerné et traces d'OTP nécessaires à la confirmation.

Cadeau numérique

Adresse e-mail et, si renseigné, nom du bénéficiaire, identité et adresse e-mail du donateur, référence, montant, QR code transmis et informations techniques de l'envoi. L'OTP de validation reste adressé au titulaire du compte payeur.

Assistance et communication

Messages de contact, tickets, demandes de remboursement, réponses, adresse du destinataire, statut des e-mails et rappels d'échéance.

Technique et sécurité

Adresse IP, navigateur et appareil, date/heure, route appelée, résultat, identifiant de requête, événements de connexion, contrôles CSRF/Origin, limitation de débit et journaux d'audit.

Données sensibles et secrets Ne transmettez jamais dans un formulaire ou un ticket votre mot de passe (code d'accès), OTP, cryptogramme ou numéro complet ou partiel de carte de paiement électronique. Les documents professionnels BACE et images de profil ne sont pas destinés à être publiquement accessibles ; leur accès doit être limité aux personnes et fonctions autorisées.

4. Origine des données

Les données proviennent :

directement du client ou d'un membre habilité de l'équipe BACE lors de l'inscription, du paiement ou d'une demande ;
de BACE lorsqu'il crée, rattache ou administre une relation commerciale ;
du PSP lors des retours sécurisés, notifications et vérifications de statut ;
du système lui-même lorsqu'il calcule un affichage à partir des transactions ou génère des traces de sécurité ;
des appareils et navigateurs lors de l'accès au portail.

Lorsqu'un client demande l'envoi d'un cadeau numérique, il communique l'adresse électronique et, éventuellement, le nom du bénéficiaire. Le message transmis comporte également les informations nécessaires à l'identification et à l'utilisation du cadeau, notamment l'identité du donateur, la référence, le montant et le QR code associé.

5. Pourquoi les données sont-elles utilisées ?

Finalité	Données principales	Justification
Créer et gérer le compte	Identité, contact, identifiants, session	Fourniture du service demandé et consentement lorsque la loi l'exige.
Organiser et suivre les achats	Transaction, montant, échéances, statuts	Exécution de la relation commerciale avec BACE et preuve de l'opération.
Traiter le paiement	Références, montant, résultat du prestataire	Exécution de l'instruction de paiement et respect des obligations applicables.
Établir la facture ou le justificatif	Identité, offre BACE, référence, montant et statut	Facturation par BACE, suivi comptable et respect des obligations applicables.
Générer et valider le QR code	Transaction payée, QR, OTP, dates	Confirmation de l'achat et de son utilisation auprès de BACE.
Envoyer un cadeau numérique	E-mail du bénéficiaire, QR, référence, statut d'envoi	Exécution de la demande du client et sécurisation de l'utilisation par OTP auprès du payeur.
Informer et assister	E-mail, téléphone, rappels, tickets	Suivi des échéances, réponse à la demande et qualité du service.
Sécuriser et auditer	IP, appareil, logs, événements	Prévention des accès abusifs, détection d'incidents, preuve et obligations de sécurité.
Respecter la loi	Données comptables, fiscales, contractuelles et demandes d'autorités	Respect d'une obligation légale ou d'une décision d'une autorité compétente.
Traiter une annulation de planification	Référence, état, motif, échéancier conservé, dates et intervention administrative	Traiter la demande, expliquer les corrections, prévenir les erreurs de suivi et conserver les éléments nécessaires aux réclamations.
Tracer l'acceptation des CGU	Version, date et éléments d'identification du document accepté	Documenter l'acceptation contractuelle, sans autoriser des usages étrangers au service.

Les données ne doivent pas être réutilisées d'une manière incompatible avec ces finalités. Tout nouvel usage substantiel nécessite une information appropriée et, lorsqu'il est requis, un consentement valable.

La conservation des informations d'annulation ne signifie pas que la planification reste active et ne crée pas, à elle seule, une obligation de paiement.

6. Données obligatoires et facultatives

Les champs marqués comme obligatoires sont nécessaires à la création du compte, à l'identification de la transaction, à la sécurité ou au traitement de la demande. Leur absence peut empêcher l'inscription, le paiement, la validation du QR code ou la réponse du support.

Les champs signalés comme facultatifs, notamment la photo de profil, peuvent être laissés vides.

7. Destinataires et prestataires

Dans la limite de leurs missions et habilitations, les données peuvent être accessibles à :

l'équipe BACE chargée de la relation client, de la comptabilité, du support et de la validation ;
AMANA FINNOVATION pour l'exploitation, la maintenance, la sécurité et l'assistance de Planif Pay® ;
le PSP et les intervenants autorisés de la chaîne de paiement ;
les prestataires d'hébergement, sauvegarde, e-mail transactionnel, SMS, anti-abus ou sécurité ;
les conseils, auditeurs ou autorités légalement habilités, lorsque cela est nécessaire.

Les accès internes doivent être limités selon les rôles. Les prestataires ne doivent recevoir que les données nécessaires à leur mission et être encadrés par des obligations de sécurité et de confidentialité.

Les prestataires de messagerie reçoivent les coordonnées des destinataires et le contenu nécessaire aux messages demandés. Les prestataires SMS reçoivent le numéro de téléphone et le message à transmettre. Certains services de sécurité et fournisseurs de ressources du site peuvent recevoir des données techniques de connexion.

8. Données de paiement et rôle du PSP

La saisie des données de carte s'effectue dans l'environnement du prestataire de paiement. Le portail conserve les informations nécessaires au suivi des opérations, notamment leurs références, montants, états et dates.

Protection des informations de paiement Ne transmettez jamais dans un message ou un ticket vos données de carte, votre code confidentiel ou un autre secret d'authentification.

Les notifications du PSP, retours navigateur et vérifications de statut peuvent être comparés afin d'assurer l'intégrité du paiement, d'éviter un double traitement et de corriger un statut incomplet.

9. Hébergement, prestataires externes et transferts internationaux

Le service s’appuie sur une infrastructure technique et peut faire intervenir des prestataires d’hébergement, de messagerie SMS, de paiement, de protection anti-robot, de diffusion de ressources web, de sauvegarde ou de support. Le lieu d’hébergement principal ne suffit pas, à lui seul, à établir que toutes les données restent en Tunisie : les journaux, requêtes, ressources tierces et accès d’assistance doivent également être examinés.

Les prestataires et destinataires n’accèdent aux données que dans la mesure nécessaire à leurs missions et conformément aux obligations contractuelles et légales applicables. Lorsque des données sont transférées ou accessibles depuis un pays étranger, leur traitement doit respecter les règles tunisiennes applicables et faire l’objet des formalités préalables requises.

Formalités préalablesTout transfert de données personnelles vers l’étranger doit être évalué au regard de la loi organique tunisienne n° 2004-63 et des formalités applicables auprès de l’INPDP, y compris lorsqu’un fournisseur technique ou un service externe reçoit des données ou peut y accéder depuis l’étranger. L’article 52 de la loi organique n° 2004-63 prévoit une autorisation préalable pour le transfert de données personnelles vers l’étranger, avec des dispositions particulières pour les données concernant un enfant. La présente politique ne constitue pas une attestation de l’accomplissement de ces formalités.

Les ressources externes (par exemple polices de caractères, services anti-robot ou outils de mesure d’audience) doivent être activées seulement après vérification de leur utilité, de leur configuration, des données effectivement transmises et des formalités requises. Lorsque possible, les ressources peuvent être hébergées localement et les services non indispensables désactivés.

10. Durées de conservation

Les données ne doivent pas être conservées au-delà de la durée nécessaire aux finalités identifiées, sous réserve des obligations légales, comptables, fiscales, de preuve, de sécurité ou de règlement des litiges. Les durées exactes doivent être définies et documentées par les responsables concernés, par catégorie et par système.

Compte et profil : pendant la relation active, puis jusqu’à la clôture et à l’expiration des besoins justifiés de suivi ou des obligations applicables.
Transactions, paiements, remboursements et justificatifs : selon les délais légaux et contractuels applicables aux pièces concernées et les besoins de preuve ou de défense en justice.
Planifications annulées ou doublons : pendant la durée justifiée par la correction, la traçabilité, les réclamations et la preuve de l’annulation ; l’annulation n’efface pas automatiquement l’historique, mais ne doit pas être assimilée à un paiement exécuté.
OTP, jetons et sessions : durée de validité strictement limitée ; les délais de conservation des journaux associés doivent être définis séparément et limités à leur finalité.
QR codes et cadeaux numériques : pendant le cycle de vie de la fonctionnalité et la durée utile au support, à la preuve de la demande et à la prévention des abus.
Messages de support : le temps nécessaire au traitement puis au suivi d’une réclamation ou d’un litige.
Journaux de sécurité et sauvegardes : durée limitée, documentée et cohérente avec les objectifs de sécurité, de restauration et les contraintes techniques.

Les modalités de suppression ou d’anonymisation à l’issue de la durée applicable doivent être définies, documentées et mises en œuvre dans le respect des formalités légales. Toute conservation complémentaire doit reposer sur une justification précise et limitée ; elle ne permet pas une conservation indéfinie. Les durées et modalités de rotation et de suppression des sauvegardes doivent également être définies et vérifiées pour chaque dispositif.

Après clôture d’un compte, certaines données peuvent être conservées lorsqu’une finalité subsiste et que le droit applicable le permet ou l’impose. Leur maintien ne réactive pas une planification annulée et ne permet pas une réutilisation pour une nouvelle finalité non annoncée.

11. Mesures de sécurité

Le portail met en œuvre des mesures adaptées à la nature des données, notamment :

communications HTTPS et sessions protégées par des cookies sécurisés ;
contrôles d'accès et séparation des espaces client, professionnel BACE et administrateur ;
protection contre les requêtes intersites, contrôle d'origine et limitation de débit ;
authentification, OTP et contrôles anti-robot selon l'opération ;
journalisation, audit, sauvegardes et mécanismes de reprise ;
restriction des documents et images aux utilisateurs ou fonctions autorisés ;
réduction et masquage des secrets dans les journaux.

Aucun système n'élimine tout risque. L'utilisateur doit protéger ses identifiants et signaler rapidement toute activité suspecte. Les détails susceptibles d'affaiblir la sécurité ne sont pas publiés ici.

12. Cookies, stockage local et services tiers

Catégorie	Utilité	Comportement attendu
Session et authentification	Maintenir une connexion sécurisée et renouveler la session.	Nécessaires au service, protégés et limités dans le temps.
Protection CSRF	Vérifier qu'une action sensible provient de la bonne session.	Nécessaire à la sécurité.
Préférence « se souvenir de moi »	Mémoriser localement une préférence ou l'adresse e-mail selon le choix de l'utilisateur.	Conservée sur l'appareil et supprimable via le navigateur.
Google reCAPTCHA	Évaluer le risque d'une requête automatisée ou abusive.	Peut transmettre des données techniques à Google ; information et consentement lorsque requis.
Gestionnaire de balises / mesure d'audience	Charger, selon la configuration, des outils de mesure.	Les balises non essentielles ne doivent être activées qu'après un choix valable de l'utilisateur.

Google Tag Manager est un conteneur : les cookies réellement déposés dépendent des balises configurées. L'utilisateur peut supprimer les cookies et données locales depuis son navigateur, mais le blocage des éléments strictement nécessaires peut empêcher la connexion ou certaines fonctions de sécurité.

13. Droits des personnes

Dans les conditions prévues par la loi tunisienne, une personne peut demander :

des informations sur le traitement et les destinataires de ses données ;
l'accès et une copie intelligible des données la concernant ;
la rectification, la mise à jour ou la suppression de données inexactes ou traitées illicitement ;
l'opposition à un traitement dans les cas prévus par la loi ;
le retrait d'un consentement, sans remettre en cause les opérations antérieures licites ;
la clôture du compte, sous réserve des obligations de conservation et de preuve.

La demande peut être envoyée à contact@baceducation.tn en précisant le droit exercé. Une vérification raisonnable de l'identité peut être demandée afin d'éviter de communiquer des données à un tiers. Aucun secret de paiement ne doit être envoyé avec la demande.

Le bénéficiaire d'un cadeau numérique peut également exercer ses droits sur l'adresse e-mail et le nom éventuellement communiqués par le client pour l'envoi. Il doit fournir les éléments permettant d'identifier le message concerné sans transmettre le QR code, l'OTP ou un autre secret dans sa demande.

Vous pouvez demander séparément la clôture de votre compte et l'effacement de données personnelles. La demande est examinée selon les données concernées et les règles applicables. Lorsque certaines informations doivent être conservées, BACE vous précise les catégories concernées, la raison et la durée applicable ou son critère de détermination. Leur conservation ne réactive pas une planification annulée.

14. Données des mineurs

Les traitements concernant un enfant sont soumis aux conditions particulières prévues par le droit tunisien. L'accord du représentant légal ne dispense pas des autres autorisations éventuellement requises. Les modalités applicables doivent être vérifiées avec BACE avant la collecte des données de l'enfant.

BACE veille à protéger les données du mineur et à n’utiliser que les informations nécessaires à la gestion de l’inscription, du paiement et de la relation éducative, conformément à la réglementation tunisienne applicable.

15. Contrôles automatisés et anti-abus

Des contrôles automatiques peuvent analyser des signaux techniques — score reCAPTCHA, fréquence des requêtes, validité d'un jeton, origine, cohérence d'un paiement ou d'un QR code — afin de prévenir les abus et protéger les comptes.

Ces contrôles peuvent différer ou refuser une action techniquement invalide. Ils ne sont pas destinés à prendre seuls une décision éducative ou financière produisant un effet juridique sans les autres contrôles prévus. Une personne estimant qu'une action légitime a été bloquée peut contacter le support.

16. Incident de sécurité

Lorsqu'un incident affectant des données est détecté, les opérateurs doivent le documenter, en limiter les conséquences, restaurer la sécurité et accomplir les notifications imposées par la loi ou l'autorité compétente. Les personnes concernées sont informées lorsqu'une telle information est légalement requise ou nécessaire pour leur permettre de se protéger.

Toute suspicion peut être signalée à contact@baceducation.tn sans joindre d'OTP, mot de passe ou donnée complète ou partielle de carte de paiement électronique.

17. Mise à jour de la politique

La politique peut être mise à jour en cas de changement du service, des prestataires ou du cadre juridique. La date de la version en vigueur figure en tête de page. Toute évolution importante doit faire l'objet d'une information appropriée et, lorsqu'il est requis, d'un nouveau consentement.

18. Contact et réclamation

Pour exercer un droit ou poser une question : contact@baceducation.tn, +216 97 898 050 ou formulaire de contact.

Vous pouvez adresser votre demande à BACE aux coordonnées indiquées et saisir l'Instance Nationale de Protection des Données Personnelles (INPDP) selon les modalités publiées sur www.inpdp.tn. Le contact avec BACE ne constitue pas une renonciation à vos voies de recours.