Politique de confidentialité
Protection des données à caractère personnel — RGPD et législations de l'espace OHADA
Version 1.0
azô SAS — 97 boulevard Malesherbes, 75008 Paris — RCS Paris 995 389 210
1. Qui sommes-nous ?
La présente Politique de confidentialité décrit la manière dont la société azô, société par actions simplifiée à associé unique au capital de 100 526 euros, immatriculée au RCS de Paris sous le numéro 995 389 210, dont le siège social est situé 97 boulevard Malesherbes, 75008 Paris, France (« azô », « nous »), traite les données à caractère personnel dans le cadre de l'exploitation de sa plateforme SaaS de gestion comptable, fiscale et financière accessible sur www.aazo.io et ses applications (la « Plateforme »).
Elle s'applique aux visiteurs du site, aux prospects, aux utilisateurs de la Plateforme (dirigeants, collaborateurs, experts-comptables) ainsi qu'aux personnes dont les données figurent dans les dossiers comptables traités via la Plateforme.
Contact pour les questions relatives aux données personnelles : privacy@aazo.io ou par courrier à l'adresse du siège, à l'attention du référent protection des données.
2. Cadre juridique applicable
azô, société établie en France, est soumise au Règlement (UE) 2016/679 du 27 avril 2016 (« RGPD ») et à la loi française « Informatique et Libertés » n° 78-17 du 6 janvier 1978 modifiée.
La Plateforme étant destinée à des utilisateurs situés dans les États de l'espace OHADA, azô prend également en compte les législations locales de protection des données personnelles lorsqu'elles sont applicables aux traitements concernés, ainsi que les cadres régionaux, notamment la Convention de l'Union africaine sur la cybersécurité et la protection des données à caractère personnel (« Convention de Malabo », en vigueur depuis 2023) et l'Acte additionnel de la CEDEAO de 2010 sur la protection des données. Le tableau figurant en section 11 mentionne, à titre indicatif, les principales lois et autorités nationales concernées.
3. Nos rôles : responsable du traitement ou sous-traitant
Selon les traitements, azô intervient en deux qualités distinctes :
| Qualité d'azô | Traitements concernés | Conséquence |
|---|---|---|
| Responsable du traitement | Création et gestion des comptes, facturation des abonnements, prospection et communication, support, sécurité et prévention de la fraude, statistiques d'usage, cookies | azô détermine les finalités et moyens ; les personnes exercent leurs droits directement auprès d'azô |
| Sous-traitant (art. 28 RGPD) | Données personnelles contenues dans les dossiers comptables des clients : salariés, clients, fournisseurs, dirigeants des entreprises utilisatrices (pièces justificatives, écritures, paie le cas échéant) | Le client (entreprise ou cabinet) est responsable du traitement ; azô agit sur ses instructions ; les personnes exercent leurs droits auprès du client, avec l'assistance d'azô |
Lorsqu'un cabinet d'expertise comptable utilise la Plateforme pour ses dossiers clients, la qualification des rôles (responsable, responsable conjoint, sous-traitant) entre le cabinet et son client relève de leur relation propre ; azô demeure sous-traitant de la partie qui détermine les finalités.
4. Données que nous collectons
| Catégorie | Exemples |
|---|---|
| Identification et compte | Nom, prénom, adresse e-mail, numéro de téléphone, fonction, entreprise, pays, identifiants de connexion, préférences |
| Données de facturation | Coordonnées de facturation, moyen de paiement (traité par un prestataire de paiement), historique de facturation |
| Données des dossiers comptables (en qualité de sous-traitant) | Données figurant sur les pièces justificatives, factures, relevés bancaires, écritures, données de tiers (clients, fournisseurs, salariés) du client |
| Données d'usage et techniques | Journaux de connexion, adresse IP, type d'appareil et de navigateur, pages consultées, actions réalisées, données de performance et d'erreurs |
| Support et échanges | Contenu des demandes de support, correspondances, retours d'expérience |
| Cookies et traceurs | Voir la Politique de cookies |
Les données marquées comme obligatoires lors de la collecte sont nécessaires à la fourniture des services ; à défaut, la création du compte ou la fourniture du service concerné peut être impossible.
5. Finalités et bases légales (azô responsable du traitement)
| Finalité | Base légale (RGPD) | Exemples |
|---|---|---|
| Fournir les services et gérer les comptes | Exécution du contrat | Création du compte, authentification, fonctionnement de la Plateforme |
| Facturer et gérer la relation client | Exécution du contrat / obligation légale | Facturation, comptabilité d'azô, recouvrement |
| Assurer la sécurité et prévenir la fraude | Intérêt légitime | Journalisation, détection de connexions anormales, pare-feu |
| Améliorer les services | Intérêt légitime | Statistiques d'usage agrégées, diagnostics de performance |
| Communiquer et prospecter | Intérêt légitime / consentement | Newsletters, informations produit, avec possibilité de désinscription à tout moment |
| Respecter nos obligations légales | Obligation légale | Réponse aux demandes des autorités, conservation légale, LBC-FT le cas échéant |
| Cookies non essentiels | Consentement | Mesure d'audience, le cas échéant |
Lorsque le droit local applicable dans un État de l'espace OHADA soumet certains traitements à des formalités (déclaration ou autorisation préalable auprès de l'autorité locale), azô et/ou le client responsable du traitement accomplissent les formalités qui leur incombent respectivement.
6. Traitements liés à l'intelligence artificielle
Certaines fonctionnalités (reconnaissance automatique de pièces justificatives, propositions d'écritures, assistant conversationnel) font appel à des modèles d'intelligence artificielle fournis par des prestataires tiers agissant en qualité de sous-traitants ultérieurs d'azô, dans le cadre d'accords conformes à l'article 28 du RGPD.
- Les documents et contenus soumis à ces fonctionnalités sont traités aux seules fins de fournir le service demandé (extraction des données, génération de propositions).
- Les données des clients ne sont pas utilisées pour entraîner les modèles généralistes de ces fournisseurs ; des engagements contractuels de non-réutilisation sont en place.
- Les résultats produits par l'IA sont des propositions soumises à validation humaine par l'utilisateur.
7. Destinataires des données
Les données sont accessibles, dans la limite de leurs attributions : au personnel habilité d'azô ; aux sous-traitants techniques intervenant dans la fourniture des services ; le cas échéant, aux conseils d'azô (avocats, commissaires aux comptes) et aux autorités lorsque la loi l'exige. azô ne vend pas de données personnelles.
Principales catégories de sous-traitants techniques :
| Catégorie | Exemple de prestataire | Localisation du traitement |
|---|---|---|
| Hébergement cloud (application, base de données, documents) | Google Cloud | Union européenne (région UE) |
| Fournisseurs de modèles d'IA (OCR, extraction) | Anthropic, Mistral AI | UE / États-Unis (avec garanties de transfert) |
| E-mails transactionnels | Prestataire d'envoi d'e-mails | UE / États-Unis (avec garanties) |
| SMS / messagerie | Prestataire de messagerie (ex. Twilio) | UE / États-Unis (avec garanties) |
| Supervision et gestion des incidents | Outils de monitoring (ex. Sentry) | UE / États-Unis (avec garanties) |
| Paiement des abonnements | Prestataire de services de paiement | Union européenne |
La liste à jour des sous-traitants est disponible sur demande à privacy@aazo.io. Les clients pour lesquels azô agit comme sous-traitant sont informés de tout changement de sous-traitant ultérieur et peuvent y objecter pour motif légitime.
8. Transferts internationaux de données
Les données sont hébergées par défaut dans l'Union européenne. Certains prestataires peuvent toutefois traiter des données depuis des pays tiers (notamment les États-Unis). Dans ce cas, azô encadre les transferts par des garanties appropriées : décision d'adéquation de la Commission européenne (y compris le cadre de protection des données UE–États-Unis pour les prestataires certifiés), clauses contractuelles types de la Commission européenne complétées, le cas échéant, de mesures supplémentaires.
S'agissant des utilisateurs situés dans l'espace OHADA : l'utilisation de la Plateforme implique un transfert de leurs données vers l'Union européenne (hébergement en France/UE), où elles bénéficient du niveau de protection du RGPD. Lorsque la législation locale d'un État subordonne le transfert international à une formalité (information, déclaration ou autorisation de l'autorité locale), cette formalité relève du responsable du traitement concerné ; azô fournit à ses clients la documentation nécessaire pour l'accomplir.
9. Durées de conservation
| Données | Durée |
|---|---|
| Données de compte et d'usage | Durée du contrat, puis suppression ou anonymisation à l'issue de la période d'export de 60 jours (sous réserve des durées légales ci-dessous) |
| Données des dossiers comptables (sous-traitance) | Durée du contrat + 60 jours (période d'export), puis suppression, sauf instruction contraire du client responsable du traitement |
| Factures et pièces comptables d'azô | 10 ans (obligation légale française) |
| Données de prospection | 3 ans à compter du dernier contact |
| Journaux de connexion et de sécurité | 6 à 12 mois, sauf incident de sécurité ou obligation légale |
| Cookies | Voir la Politique de cookies (13 mois maximum pour les traceurs soumis à consentement) |
Certaines données peuvent être conservées plus longtemps sous forme archivée lorsque la loi l'impose ou pour la constatation, l'exercice ou la défense de droits en justice, dans la limite des délais de prescription applicables.
10. Sécurité
azô met en œuvre des mesures techniques et organisationnelles adaptées aux risques : chiffrement des communications (TLS), hébergement dans des centres de données certifiés, base de données isolée en réseau privé, pare-feu applicatif (protection OWASP), contrôle des accès par le principe du moindre privilège, authentification renforcée, journalisation et supervision continue, sauvegardes régulières, sensibilisation des équipes, encadrement contractuel des sous-traitants.
En cas de violation de données susceptible d'engendrer un risque pour les droits et libertés des personnes, azô notifie l'autorité de contrôle compétente et, lorsque le risque est élevé, les personnes concernées, dans les conditions prévues par la réglementation applicable. Lorsqu'azô agit comme sous-traitant, elle notifie le client responsable du traitement dans les meilleurs délais.
11. Vos droits
Conformément au RGPD et, selon votre situation, aux législations locales applicables, vous disposez des droits suivants : droit d'accès, de rectification, d'effacement, de limitation du traitement, d'opposition (notamment à la prospection), de portabilité de vos données, ainsi que du droit de retirer votre consentement à tout moment lorsque le traitement en dépend et du droit de définir des directives relatives au sort de vos données après votre décès (droit français).
Comment les exercer : en écrivant à privacy@aazo.io ou par courrier à azô, 97 boulevard Malesherbes, 75008 Paris, France, en justifiant de votre identité en cas de doute raisonnable. azô répond dans un délai d'un (1) mois, prorogeable de deux (2) mois en cas de complexité. Si vos données figurent dans le dossier comptable d'une entreprise cliente (vous êtes salarié, client ou fournisseur de celle-ci), votre demande doit être adressée en priorité à cette entreprise, responsable du traitement ; azô lui apporte son assistance.
Vous pouvez introduire une réclamation auprès de l'autorité de contrôle compétente, notamment :
| Pays | Loi (indicative) | Autorité |
|---|---|---|
| France / UE | RGPD ; loi n° 78-17 du 6 janvier 1978 | CNIL — www.cnil.fr |
| Bénin | Loi n° 2017-20 portant Code du numérique | APDP |
| Côte d'Ivoire | Loi n° 2013-450 relative à la protection des données | ARTCI |
| Sénégal | Loi n° 2008-12 sur la protection des données | CDP |
| Cameroun | Loi de 2024 sur la protection des données personnelles | Autorité en cours d'installation |
| Togo | Loi n° 2019-014 relative à la protection des données | IPDCP |
| Burkina Faso | Loi n° 001-2021 portant protection des personnes | CIL |
| RDC | Code du numérique (2023) | Autorité désignée par le Code |
| Autres États OHADA | Législation nationale applicable le cas échéant | Autorité nationale compétente |
Ce tableau est fourni à titre informatif et peut évoluer ; il ne dispense pas de vérifier l'état du droit applicable dans chaque pays.
12. Mineurs
La Plateforme s'adresse à des professionnels et n'est pas destinée aux mineurs. azô ne collecte pas sciemment de données de personnes mineures pour la création de comptes.
13. Modifications de la présente politique
azô peut modifier la présente Politique de confidentialité pour refléter l'évolution de ses services ou de la réglementation. La version en vigueur, datée, est publiée en permanence sur la Plateforme. En cas de modification substantielle, les utilisateurs sont informés par e-mail ou notification. La poursuite de l'utilisation des services après l'entrée en vigueur vaut prise de connaissance.
14. Contact
Pour toute question relative à la présente politique ou à vos données : privacy@aazo.io — azô SAS, 97 boulevard Malesherbes, 75008 Paris, France.