Cadre légal & conformité

Conditions générales d'utilisation

L'accès à la plateforme suppose l'acceptation des présentes conditions. SAUDITER.BJ fournit un outil d'aide à la préparation à la conformité. Il ne délivre aucune certification et ne se substitue pas à un auditeur externe accrédité. L'organisation cliente reste seule responsable de sa conformité légale et réglementaire.

1. Description du service

SAUDITER.BJ est une plateforme SaaS de préparation à la conformité (GRC) : structuration des contrôles de sécurité, cartographie croisée vers plusieurs référentiels (ISO 27001, PCI DSS, APDP, RGPD, PSSIE, HIPAA, FSSNQ, NIST CSF, ISO 9001…), questionnaire adaptatif, coffre de preuves, élaboration de documents assistée par IA, rapport PDF et espace de revue pour un auditeur externe.

2. Inscription et compte

La création d'un compte engage l'organisation cliente à fournir des informations exactes et à jour. Chaque utilisateur est responsable de la confidentialité de ses identifiants et des actions réalisées depuis son compte. La double authentification par email est désactivée par défaut pour tous les comptes et peut être activée depuis les paramètres du compte.

3. Offres et tarifs

La plateforme propose une offre Freemium gratuite (fonctionnalités et référentiels limités), une offre Pro annuelle et une offre Enterprise sur devis - détail complet et prix à jour sur la page Tarification. Les prix peuvent évoluer ; toute modification tarifaire est communiquée avant application au renouvellement d'un abonnement en cours.

4. Paiement et résiliation

Le paiement des offres payantes s'effectue par Mobile Money ou carte via nos prestataires de paiement (Feexpay, Kkiapay) ; l'offre est activée après confirmation du paiement par le prestataire. Un abonnement peut être résilié depuis l'espace Abonnement de l'application ou par demande à sauditerbj@gmail.com.

5. Obligations de l'utilisateur

L'utilisateur s'engage à utiliser la plateforme conformément à la loi, à l'exactitude des données et documents déposés, et reste seul responsable du contenu qu'il y dépose. Un scan actif (ports, services, vulnérabilités) ne doit être lancé que sur un périmètre que votre organisation possède ou est explicitement autorisée à tester. Un scan non autorisé sur un tiers est un abus (SSRF) et engage votre responsabilité juridique.

6. Propriété intellectuelle

La plateforme, sa marque et ses contenus (hors documents et preuves déposés par le client, qui en restent seul propriétaire) sont la propriété de SAUDITER.BJ ou de ses concédants et ne peuvent être reproduits sans autorisation.

7. Disponibilité et responsabilité

SAUDITER.BJ met en œuvre des moyens raisonnables pour assurer la disponibilité et la sécurité du service, sans garantie de disponibilité continue en dehors d'un engagement contractuel spécifique (offre Enterprise). Les gabarits de documents fournis ne constituent pas un conseil juridique et doivent être relus par un avocat.

8. Modification des CGU

Les présentes conditions peuvent être modifiées ; les utilisateurs en sont informés dans l'application ou par email. La poursuite de l'utilisation de la plateforme après notification vaut acceptation des conditions modifiées.

9. Droit applicable et juridiction

Les modalités de traitement de vos données sont détaillées dans notre politique de confidentialité ci-dessous.

Recommandations automatisées

À valider avant toute action - ne constitue pas un verdict de conformité. Chaque génération assistée par IA porte un marqueur visible et est tracée (auteur de la validation, horodatage). Aucune sortie automatisée n'est présentée comme un verdict de conformité définitif.

Politique de confidentialité

Les données sont isolées par organisation, et les fichiers déposés (preuves, documents de référence) sont chiffrés au repos (AES-256-GCM) avec une clé dédiée à chaque organisation. La plateforme tient un registre des activités de traitement conforme aux exigences APDP et RGPD, et journalise ses accès de manière immuable.

1. Responsable du traitement

2. Données collectées

Données d'identification (nom, email professionnel, mot de passe - stocké sous forme hachée, jamais en clair) ; données professionnelles (organisation, rôle) ; contenu déposé par le client dans le cadre de son usage (réponses au questionnaire, preuves de conformité, documents élaborés) ; données techniques de connexion (adresse IP, user-agent) à des fins de sécurité. Les données de paiement (numéro de carte, Mobile Money) transitent directement par nos prestataires de paiement (Feexpay, Kkiapay) et ne sont jamais stockées par SAUDITER.BJ elle-même.

3. Finalités et bases légales

Fourniture et fonctionnement du service (compte, authentification, évaluations, preuves, rapports) - exécution du contrat ; sécurité du compte et prévention de la fraude (journal d'audit, alertes, double authentification) - intérêt légitime ; facturation et gestion des abonnements - exécution du contrat et obligations comptables ; réponse aux demandes adressées via le formulaire de contact - intérêt légitime ; élaboration de documents et de recommandations assistées par IA à la demande du client - exécution du contrat.

4. Destinataires et sous-traitants

Les données ne sont jamais vendues ni utilisées à des fins publicitaires. Elles peuvent être transmises, dans la stricte mesure nécessaire, aux prestataires suivants : hébergement et stockage sécurisé des preuves (infrastructure serveur de la plateforme) ; envoi des emails transactionnels (relais SMTP) ; traitement des paiements (Feexpay, Kkiapay) pour les offres payantes ; et, uniquement pour les fonctionnalités d'élaboration de documents et de recommandations assistées par IA, un fournisseur d'intelligence artificielle (Groq et/ou Anthropic selon la configuration active), à qui seul le contenu strictement nécessaire à la génération demandée est transmis.

5. Transferts hors zone UEMOA/UE

Les fournisseurs d'IA mentionnés ci-dessus opèrent depuis les États-Unis : leur utilisation peut donc entraîner un transfert de données hors de l'espace UEMOA/UE, limité au contenu strictement nécessaire à la génération demandée (jamais un mot de passe ou un secret d'authentification). Voir aussi Souveraineté des données pour les options de déploiement limitant ce transfert.

6. Durée de conservation

Les données du compte sont conservées pendant toute la durée de la relation contractuelle, puis archivées ou supprimées après clôture du compte dans un délai raisonnable, sauf obligation légale de conservation plus longue (comptabilité, lutte anti-fraude). Le journal d'audit immuable, par nature, est conservé indéfiniment afin de garantir l'intégrité de son historique.

7. Sécurité

Chiffrement au repos (AES-256-GCM) des fichiers déposés avec une clé dédiée à chaque organisation, elle-même protégée par une clé maître, mots de passe hachés (argon2), double authentification par email activable depuis les paramètres du compte, journal d'audit immuable et isolation stricte des données entre organisations.

8. Cookies et traceurs

SAUDITER.BJ n'utilise aucun cookie de suivi ni outil d'analyse tiers (pas de Google Analytics ni équivalent). Le site utilise uniquement le stockage local de votre navigateur (localStorage) pour mémoriser vos préférences d'affichage (thème clair/sombre, langue) et votre session de connexion : ces données restent sur votre appareil, ne sont jamais transmises à un tiers, et sont strictement nécessaires au fonctionnement du site - aucun bandeau de consentement n'est donc requis pour ces seuls usages fonctionnels.

9. Vos droits

Conformément au RGPD et à la loi béninoise n°2017-20 relative à la protection des données à caractère personnel, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition sur vos données. Ces droits s'exercent en écrivant à sauditerbj@gmail.com ; un délégué à la protection des données n'a pas encore été formellement désigné à ce stade, ces demandes sont traitées directement par l'équipe SAUDITER.BJ. Vous pouvez également introduire une réclamation auprès de l'Autorité de Protection des Données à caractère Personnel (APDP) du Bénin, ou de l'autorité de contrôle compétente si vous résidez dans l'Union européenne.

Accord de traitement des données (DPA)

Un accord de traitement des données est signable par chaque client. Il précise les finalités, les catégories de données, les mesures de sécurité et les obligations respectives du responsable de traitement et du sous-traitant.

Souveraineté des données

Hébergement souverain configurable, isolation stricte par organisation, option de déploiement on-premise (Docker Compose autonome) et fournisseur IA local branchable.