Conditions d’utilisation

Mise à jour factuelle du 23 octobre 2026 : IMPROVED AGENCY SARL, RCCM CM-DLA-03-2026-B12-00124, Douala, Cameroun. Contact : one@sabi.business. Le NIU, l’adresse postale précise et les autres éléments signalés restent à compléter. Le statut de projet est conservé.

SABI ONE

Conditions générales d’utilisation, de service et de souscription

Version de travail juridique approfondie — v0.9 — 23 octobre 2026

Éditeur pressenti : Improved Agency — identité légale à confirmer

Service : SABI ONE, plateforme SaaS de gestion des entreprises de services

Territoire initial : Cameroun ; déploiement international envisagé

Statut : PROJET POUR REVUE JURIDIQUE, NON PUBLIABLE EN L’ÉTAT

Important. Ce document est un projet de clauses contractuelles, pas un avis juridique ni la preuve que les traitements sont déjà conformes. Les champs [À COMPLÉTER] doivent être renseignés, les caractéristiques techniques vérifiées et le texte validé par un conseil compétent en droit camerounais et en protection des données avant toute mise en production. Les traitements impliquant des personnes dans l'UE/EEE nécessitent une analyse RGPD distincte. Les CGU ne remplacent ni une politique de confidentialité intelligible, ni un accord de traitement des données, ni les autorisations spécifiques nécessaires.

SOMMAIRE

1. Identification de l'éditeur et documents contractuels
2. Définitions
3. Objet, périmètre et ordre de priorité
4. Admissibilité et formation du contrat
5. Comptes, organisations, rôles et autorisations
6. Services couverts et évolution des fonctionnalités
7. Exigences techniques et disponibilité
8. Règles de conduite et usages interdits
9. Données client, propriété et droits d'accès
10. Cartographie des données traitées
11. Finalités et régimes de traitement
12. Amélioration de SABI ONE et développement de produits
13. Réutilisation de données pour les produits Improved Agency
14. Partenaires, recherche, analyses et transfert de résultats
15. Intelligence artificielle, modèles et agents
16. Actions automatisées, validations humaines et responsabilités
17. Confidentialité, secrets d'affaires et communications
18. Consentement, autorisations et retrait
19. Sécurité, incidents et notifications
20. Conservation, sauvegarde, export et effacement
21. Données de tiers importées par les clients
22. Hébergement, sous-traitants et transferts internationaux
23. Intégrations et services tiers
24. CRM, communication, prospection et messageries
25. Devis, facturation, paiements et reconduction
26. Portails, documents et liens publics
27. Propriété intellectuelle et licence d'utilisation
28. Contributions, suggestions et retours d'expérience
29. Confidentialité des accès et audits
30. Suspension et résiliation
31. Garanties et limites de responsabilité
32. Indemnisation et force majeure
33. Modifications des conditions et du service
34. Droit applicable et résolution des litiges
35. Contact, preuve et notifications
36. Dispositions générales
37. Annexe A — Accord de traitement des données (DPA) : trame
38. Annexe B — Politique des données et de l'IA : matrice de permissions
39. Annexe C — Texte des écrans de consentement
40. Annexe D — Registre des traitements à compléter
41. Annexe E — Liste initiale de sous-traitants à auditer
42. Annexe F — Checklist de conformité avant lancement
43. Annexe G — Exemples concrets autorisés/interdits
44. Annexe H — Modèle de formulaire d'exercice des droits
45. Annexe I — Conditions particulières entreprises et grandes organisations
46. Sources de vérification juridique

PARTIE I — CONDITIONS GÉNÉRALES

Article 1 — Éditeur et mentions contractuelles

SABI ONE (« la Plateforme ») est un service logiciel édité et/ou commercialisé par IMPROVED AGENCY SARL, SARL, au capital de [MONTANT], immatriculée au CM-DLA-03-2026-B12-00124, numéro d’identification contribuable [NIU], dont le siège social est situé Douala, Cameroun — adresse postale précise à compléter, au Cameroun, représentée par [NOM ET QUALITÉ] (« l’Éditeur », « nous »).

Informations à publier :

• Adresse commerciale : [À COMPLÉTER].
• Contact contractuel : [À COMPLÉTER].
• Support : [À COMPLÉTER].
• Contact protection des données : [À COMPLÉTER].
• Hébergeur principal et pays d’hébergement : [À COMPLÉTER].
• Adresse du site marketing : https://one.sabi.tools (à confirmer).
• Adresse de l’application : https://app.sabi.business (à confirmer).
• Domaines de liens publics : https://sabi-one.online (à confirmer).

Une marque commerciale, un nom de domaine ou le nom « Improved Agency » ne remplace pas la désignation de la personne morale effectivement contractante. Les factures et les conditions de vente devront mentionner la même entité ou préciser le rôle exact de chaque entité.

Article 2 — Définitions

Aux fins des présentes :

• Abonné / Client professionnel : personne morale ou entrepreneur qui ouvre un espace et souscrit à la Plateforme pour ses activités professionnelles.
• Organisation / Tenant : environnement logique associé à un Client, avec comptes, paramètres, droits et données propres.
• Administrateur : utilisateur habilité par le Client à gérer l'Organisation, les accès et certains paramètres sensibles.
• Utilisateur : personne physique invitée ou autorisée par un Client à accéder à son Organisation.
• Personne concernée : personne physique dont les données personnelles sont traitées.
• Données du Client : contenus et données déposés, importés, créés ou connectés dans l'Organisation, notamment clients, contacts, devis, factures, dossiers, projets, fichiers, messages et données RH ou financières.
• Données de compte : identification, coordonnées, abonnement, authentification et usage administratif des comptes.
• Données de fonctionnement : journaux, erreurs, mesures de performance, métriques de fonctionnalités et événements techniques.
• Données agrégées : résultats regroupant des observations individuelles ; elles ne sont pas automatiquement anonymes.
• Données anonymisées : données ayant subi une anonymisation effective, raisonnablement robuste et documentée, rendant une réidentification non raisonnablement possible au regard des moyens susceptibles d'être utilisés.
• Données pseudonymisées : données dont les identifiants directs ont été remplacés ou séparés, mais qui restent susceptibles de réidentification ; elles demeurent des données personnelles si une personne reste identifiable.
• Données sensibles ou à risque élevé : données personnelles de nature sensible au sens de la législation applicable, secrets professionnels, données de paiement, informations RH, médicales ou autres données exposant les personnes ou l’entreprise à un risque élevé.
• Modèle d’IA : système algorithmique produisant notamment du texte, des analyses, des recommandations ou des actions à partir d’entrées.
• Agent : système IA pouvant appeler des outils ou effectuer plusieurs étapes d'une tâche.
• Action à effet externe : envoi, publication, signature, création ou modification irréversible ou sensible, paiement, modification d'autorisation, suppression ou transfert.
• Partenaire : organisation distincte de l’Éditeur ayant un contrat de développement, d'intégration, de recherche, de distribution ou de fourniture de services.
• Sous-traitant : prestataire traitant des données pour le compte d’un responsable de traitement, suivant les instructions applicables.
• Traitement pour finalité propre : opération décidée par l’Éditeur ou un Partenaire pour ses objectifs distincts de la fourniture du Service.
• DPA : accord de traitement des données applicable lorsque l’Éditeur traite des données personnelles pour le compte d’un Client.
• Politique de confidentialité : document destiné aux personnes concernées qui décrit les traitements, bases légales, destinataires et droits.

Article 3 — Objet et hiérarchie des documents

Les présentes régissent l'accès et l'utilisation de SABI ONE à titre professionnel, notamment la création d'Organisations, l’utilisation des fonctions métiers, les services d'automatisation et les modules d’IA.

L'accord contractuel comprend, selon les cas : (1) les conditions particulières signées ; (2) le DPA et ses annexes pour la protection des données ; (3) la commande et l’offre tarifaire ; (4) les présentes CGU/CGS ; (5) les politiques d’utilisation acceptable, de sécurité et de confidentialité ; (6) les conditions des modules facultatifs.

En cas de contradiction sur le traitement de données confiées par le Client, le DPA prévaut sur la clause générale des CGU concernée, sous réserve du droit impératif applicable. Les stipulations commerciales particulières prévalent pour les prix, durées et engagements de service qu’elles régissent. Aucun document ne peut écarter une exigence impérative de protection des données.

Article 4 — Public visé et acceptation

La Plateforme vise principalement les professionnels et entreprises de services. Une personne créant un compte pour une entreprise déclare avoir le pouvoir de l'engager ou disposer d'une autorisation valable. Un salarié sans mandat ne peut consentir en son nom propre à une réutilisation des données de toute son entreprise.

L'acceptation intervient par une action positive, telle que cocher une case non précochée puis confirmer la création d'un compte, ou signer un bon de commande. Les versions en vigueur sont consultables et archivées. Les consentements facultatifs relatifs aux données sont recueillis séparément, sans être noyés dans l’acceptation globale des CGU.

L'Éditeur peut demander une vérification raisonnable de l'identité, de la qualité professionnelle et de l'habilitation du représentant. Un administrateur doit informer ses Utilisateurs de l’existence des règles internes applicables et des éventuels traitements liés à leur travail, sans leur faire perdre leurs droits individuels.

Article 5 — Comptes, Organisations et droits

Chaque Utilisateur doit fournir des informations exactes et tenir ses moyens de contact à jour. Les identifiants sont individuels ; leur partage est interdit sauf fonctionnalité expressément conçue pour un accès collectif avec traçabilité.

Le Client :

1. désigne les Administrateurs autorisés ;
2. configure les rôles et permissions selon le besoin d'en connaître ;
3. retire rapidement les accès devenus injustifiés ;
4. informe ses Utilisateurs des règles de conservation et de surveillance interne ;
5. assume la légitimité des données qu'il verse dans la Plateforme ;
6. protège ses terminaux et dispositifs d'authentification ;
7. contrôle les invitations, clés API, connecteurs et agents qu'il active.

L'Éditeur met en œuvre des contrôles d'accès destinés à empêcher qu'un Utilisateur d'une Organisation accède indûment aux données d'une autre. Cette affirmation constitue une exigence contractuelle de conception et de contrôle ; son effectivité doit être testée et auditée avant publication de toute garantie technique détaillée.

Les actions d'Administrateur engageant le Client sont consignées lorsque cette traçabilité est prévue. Les rôles sensibles peuvent nécessiter une authentification renforcée et des validations supplémentaires.

Article 6 — Services et modules

SABI ONE peut proposer, selon la formule souscrite et le déploiement effectif :

• contacts, prospects, opportunités et CRM ;
• devis, propositions, factures et règlements ;
• dossiers, projets, tâches, livrables et collaboration ;
• gestion documentaire et partage sécurisé ;
• tableaux de bord et analyses d’activité ;
• messageries, campagnes et communications ;
• facturation périodique et rappels ;
• portails clients et liens publics ;
• workflows, assistants et agents IA ;
• intégrations tierces, API et import/export ;
• autres modules publiés dans l'offre commerciale.

Une description dans les présentes n'affirme pas qu'une fonction soit déjà disponible pour tous les Clients. Seules les fonctionnalités expressément indiquées comme actives dans l'offre, la commande ou l'interface sont dues. Les fonctions expérimentales sont identifiées comme telles, avec leurs limites connues.

L'Éditeur peut corriger, améliorer ou remplacer une fonction. La suppression d'une fonction substantielle payante ou une dégradation matérielle ouvre les droits contractuels ou légaux applicables ; un préavis raisonnable et, le cas échéant, une solution de transition seront proposés, sauf urgence de sécurité.

Article 7 — Disponibilité, maintenance et support

L'accès suppose une connexion Internet, un navigateur compatible et des équipements à la charge du Client. Les services peuvent connaître des interruptions liées à l’entretien, la sécurité, la force majeure, les opérateurs télécoms et fournisseurs tiers.

Aucun taux chiffré de disponibilité n’est garanti par cette version. Tout engagement de type 99,9 %, crédit de service, délai de réponse ou délai de rétablissement doit figurer dans un SLA distinct, adossé à des mesures réelles et à un dispositif de supervision approprié.

Une assistance est fournie selon les canaux et horaires publiés ou convenus. Les incidents critiques de confidentialité et de sécurité suivent une procédure prioritaire. L’Éditeur publie, si possible, des avis de maintenance et de perturbation.

Article 8 — Utilisation acceptable

Sont interdits, sans préjudice de la loi : accès non autorisé, fraude, usurpation d’identité, harcèlement, collecte illégale, diffusion de logiciels malveillants, tentatives de contournement des permissions, attaques de déni de service, exploitation de vulnérabilités sans autorisation, traitement de données de tiers dépourvu de base légale et envois promotionnels non sollicités en violation des règles applicables.

Il est également interdit d'injecter délibérément des instructions malveillantes dans des documents destinés à compromettre les agents IA, d'accéder aux secrets de l'infrastructure, d'utiliser les fonctionnalités de messagerie pour contourner les politiques des fournisseurs ou d'utiliser les sorties d'IA pour tromper intentionnellement des tiers.

Les activités réglementées (services financiers, santé, juridique, etc.) demeurent sous la responsabilité de leurs opérateurs. SABI ONE ne fournit pas, du seul fait de son logiciel, une licence professionnelle ni un avis réglementé.

Article 9 — Titularité des Données du Client

Le Client conserve ses droits sur les Données du Client. L'Éditeur n'en devient pas propriétaire du seul fait de leur hébergement, de leur analyse ou de leur manipulation par une IA.

Le Client concède à l’Éditeur, pour la durée nécessaire, une licence non exclusive, limitée et techniquement appropriée de stockage, reproduction, indexation, transfert, transformation, analyse et affichage dans la mesure nécessaire pour fournir, sécuriser, maintenir et assister le Service, selon ses instructions et les règles applicables.

Cette licence de service n'autorise pas à elle seule la vente de fichiers clients, leur publicité, leur réutilisation identifiable pour d'autres produits, le partage d'informations confidentielles avec des Partenaires pour leurs propres besoins ou l'entraînement de modèles généraux.

La réutilisation secondaire est encadrée aux articles 12 à 18, par la politique des données, le DPA et des autorisations distinctes lorsque nécessaires. Toute clause contraire à un droit impératif est réputée inapplicable dans cette mesure, sans élargir les autres autorisations.

Article 10 — Catégories de données

Les Données susceptibles d’être traitées comprennent :

A. Données d'identification et de compte : noms, contacts professionnels, langue, organisation, rôle, coordonnées de facturation, préférences, données d'authentification et justificatifs éventuellement nécessaires.

B. Données commerciales : fiches prospects, clients, contrats, devis, commandes, échanges, conditions tarifaires, historiques et objectifs.

C. Données opérationnelles : tâches, livrables, documents, plans de projet, horaires, commentaires, fichiers joints, validations et événements de workflow.

D. Données financières : factures, références de paiement, montants, échéanciers, statut des règlements, rapprochements et éléments comptables. Les données de carte complètes ne doivent pas être stockées par SABI ONE sauf nécessité licite, infrastructure adaptée et conformité spécifique validée ; les paiements par des prestataires doivent privilégier la tokenisation ou les pages hébergées.

E. Communications : emails, messages WhatsApp et autres canaux connectés, pièces jointes, métadonnées, invitations et accusés de réception, selon la configuration.

F. Données RH et autres contenus sensibles : données de collaborateurs, salaires ou dossiers confidentiels si des modules permettent leur saisie. Elles font l'objet d'une protection renforcée et sont exclues par défaut des jeux de données de développement transverse.

G. Journaux techniques : connexion, adresse IP, appareil, navigateur, événements de sécurité, latence, utilisation de modules et erreurs.

H. Prompts, réponses et traces des agents : requêtes, réponses, outils sollicités, approbations, coûts, événements d’audit et journaux d’exécution, selon la configuration et les règles de rétention.

I. Données calculées : métriques de productivité, agrégats, mesures d'adoption et signaux de risque. Le fait qu'une donnée soit dérivée d'autres données ne la rend pas automatiquement anonyme.

Article 11 — Finalités et responsabilités

La fourniture de SABI ONE implique plusieurs situations juridiques :

La qualification responsable/sous-traitant dépend des faits et des décisions réellement prises. Elle ne peut être modifiée uniquement par une dénomination contractuelle.

Article 12 — Amélioration du Service SABI ONE

Pour développer, entretenir et améliorer SABI ONE, l'Éditeur peut, dans les limites du droit et des engagements applicables :

1. mesurer les temps de réponse, erreurs et parcours de navigation ;
2. étudier l'utilisation des modules et la fréquence d'activation des fonctions ;
3. détecter les pannes et les anomalies de sécurité ;
4. exploiter des données statistiques agrégées et anonymisées ;
5. recueillir des retours volontairement transmis ;
6. tester des fonctionnalités sur des données fictives ou synthétiques ;
7. analyser, dans un cadre contrôlé, des extraits de données strictement nécessaires au support ou à la correction d’un incident autorisé.

La consultation d'un document commercial confidentiel pour résoudre un incident doit être justifiée, limitée, journalisée et réservée aux personnes habilitées. L'accès support n’autorise pas une réutilisation libre de ce document pour entraîner des modèles ou alimenter d'autres produits.

Les performances de l'application peuvent être améliorées au moyen de données d'événements techniques minimisées. Lorsque des données personnelles restent présentes, une base légale propre, la transparence et les droits des personnes s'appliquent.

Article 13 — Développement d'autres produits Improved Agency

L'Éditeur souhaite pouvoir utiliser certaines connaissances issues de l'exploitation de SABI ONE afin de concevoir, améliorer, évaluer ou commercialiser d'autres logiciels, outils, services analytiques ou produits d’Improved Agency.

13.1 — Utilisation transversale autorisée sans extraction de contenus identifiables. Sous réserve des obligations de confidentialité et des lois applicables, l'Éditeur peut réutiliser les enseignements généraux tirés d'éléments véritablement anonymisés : tendances globales d'utilisation des fonctionnalités, fréquences de workflows, erreurs récurrentes sans identifiants, modèles abstraits d'organisation des écrans, statistiques globales et recommandations ergonomiques. Il n'est pas permis d'y laisser des noms, coordonnées, montants individuels secrets, documents reconnaissables ou combinaisons permettant raisonnablement de retrouver une entreprise ou une personne.

13.2 — Jeux synthétiques. L'Éditeur peut élaborer de nouvelles données artificielles à partir de schémas et de connaissances générales, à condition qu'elles ne reproduisent ni ne révèlent des données individuelles ou des secrets d'affaires. Une donnée synthétique qui mémorise ou reproduit un dossier original n'est pas traitée comme sûre par simple étiquetage.

13.3 — Données pseudonymisées, réidentifiables ou confidentielles. Leur utilisation pour un produit distinct n'est pas incluse dans la licence standard. Elle requiert, selon le cas : une base légale appropriée ; une description intelligible de la finalité ; un contrat distinct avec le Client ; les droits et informations des personnes concernées ; les analyses d'impact nécessaires ; ainsi qu'un éventuel consentement spécifique, libre et révocable lorsqu'il est requis. L'accord du dirigeant d'une entreprise ne remplace pas les droits des employés, clients ou prospects concernés.

13.4 — Entraînement et évaluation d'IA. Par défaut, les factures, emails, messages, fichiers clients, prompts contenant des données métier, documents RH et données financières ne sont pas utilisés pour entraîner des modèles généraux interclients ni des modèles de nouveaux produits. Tout programme de contribution volontaire doit faire l'objet d'un mécanisme autonome, d'une documentation des données admises, d'un périmètre d'usage, d'une durée, de moyens de retrait et d'une étude des effets du retrait sur les modèles déjà entraînés. Aucun « consentement permanent et irrévocable » ne doit être présenté comme une condition de l'abonnement de base.

13.5 — Données d'entreprise non personnelles. Même lorsqu'une information ne constitue pas une donnée personnelle, sa protection peut résulter d'un secret d'affaires, d'un contrat ou d'un droit de propriété intellectuelle. L'absence de donnée personnelle ne signifie pas libre exploitation commerciale.

13.6 — Aucune cession implicite. Les présentes n'emportent aucune vente, cession de propriété ou concession générale des bases de clients, devis, dossiers et fichiers au bénéfice d'Improved Agency.

Article 14 — Partenaires et recherche

L'Éditeur peut collaborer avec des sociétés affiliées, prestataires, laboratoires, intégrateurs, éditeurs ou partenaires commerciaux pour concevoir des produits, conduire des recherches ou évaluer des fonctionnalités.

Partage admissible par défaut : connaissances générales, résultats statistiques suffisamment agrégés et anonymisés, modèles conceptuels, jeux synthétiques correctement contrôlés et éléments fournis publiquement ou volontairement à cette fin, sous réserve des engagements de confidentialité.

Partage non automatique : listes de clients, historiques de paiement, communications, dossiers individuels, factures, messages, emails, fichiers ou résultats d'analyse rattachables à un Client ou une personne. Leur communication pour les finalités propres d’un Partenaire est soumise à un montage juridique spécifique, à l'identification des destinataires ou catégories pertinentes, à des garanties contractuelles et, lorsqu'elle est légalement nécessaire, à une autorisation distincte.

Un Partenaire recevant des données ne peut pas les revendre, les réidentifier, les associer à ses propres bases, les exploiter pour la publicité ciblée ou entraîner des modèles hors du périmètre explicitement autorisé.

L'Éditeur impose, par contrat approprié, des règles de sécurité, de limitation de finalité, de confidentialité, de conservation et de suppression, ainsi que la coopération en cas d'incident. La publicité d'un « partenariat » ne vaut pas consentement à la circulation des données.

Article 15 — Intelligence artificielle

Les fonctionnalités IA peuvent assister l'Utilisateur dans la recherche, la rédaction, la synthèse, le classement, l'extraction de données, l'analyse de dossiers, la création de brouillons, la planification et la détection de signaux métier.

15.1 — Nature probabiliste. Une réponse IA peut être inexacte, incomplète, obsolète ou biaisée. Le Client doit effectuer les vérifications adaptées, particulièrement pour le juridique, la finance, les décisions RH, les communications publiques et les engagements contractuels.

15.2 — Périmètre d'accès. Les agents doivent respecter les permissions effectivement accordées à leur demandeur. Une demande à un agent ne doit pas permettre de contourner un rôle utilisateur, de consulter des données d'une autre Organisation ni d'obtenir des informations plus sensibles que celles autorisées à l'Utilisateur.

15.3 — Services IA externes. Selon la configuration, certains prompts ou données nécessaires à une tâche peuvent transiter par des fournisseurs IA. Les fournisseurs et leurs conditions de rétention, lieux de traitement, sous-traitants et règles d'entraînement doivent figurer dans une notice actualisée. Aucun engagement « zéro transfert » ou « zéro entraînement par tous les fournisseurs » ne peut être affiché tant qu'il n'a pas été vérifié contractuellement et techniquement.

15.4 — Entraînement. Le fait d'utiliser un contenu pour générer une réponse au sein du service ne vaut pas autorisation de l'utiliser ensuite pour l'entraînement d'un modèle. Les traitements d'inférence et d'entraînement sont séparés par finalité et gouvernance.

15.5 — Réponses produites. Sous réserve des droits de tiers et du droit applicable, le Client peut utiliser les livrables générés dans le cadre du Service. L'Éditeur ne garantit ni exclusivité ni protection par droit d'auteur d'un contenu entièrement généré par IA.

15.6 — Activités à fort impact. Les décisions de licenciement, recrutement, octroi de crédit, pénalités contractuelles, fraude alléguée et autres décisions significatives ne doivent pas être déléguées sans contrôle humain approprié, évaluation des risques et conformité aux règles locales.

15.7 — Journalisation. Les outils IA peuvent conserver des journaux limités d'invocation, d'accès, d'actions et de validations à des fins de sécurité, de conformité, de traçabilité et de facturation de consommation. Les contenus bruts ne doivent pas être conservés indéfiniment au prétexte de l'audit.

Article 16 — Agents et automatisations

Certains workflows peuvent créer des brouillons, proposer des tâches, préparer des factures, analyser des projets ou déclencher des actions. Le Client reste responsable des règles métier qu'il configure, du caractère licite des données et des destinataires.

Les actions à effet externe et les actes sensibles doivent respecter les validations humaines et les plafonds effectivement configurés. En particulier, les paiements, envois, suppressions, modifications de droits et écritures déclenchées par des agents ne peuvent être présumés autorisés du seul fait qu'un utilisateur a tapé une instruction dans un chat.

Les seuils monétaires, mécanismes de confirmation à usage unique, délais d'expiration, approbations administrateur, journal d'audit et interrupteurs d'urgence sont des contrôles techniques susceptibles d'évoluer ; ils ne deviennent contractuellement opposables dans leurs valeurs exactes que s'ils sont publiés dans la documentation ou les conditions particulières et effectivement testés.

Le Client est tenu de vérifier ses automatisations avant activation et de contrôler périodiquement leurs résultats. L'Éditeur conserve le pouvoir de suspendre un agent ou une intégration à risque en cas de soupçon raisonnable de compromission ou de violation de la loi, avec information appropriée.

Article 17 — Confidentialité et secret professionnel

Chaque partie protège les informations non publiques reçues de l'autre, notamment fichiers clients, stratégies, plans tarifaires, contrats, codes, secrets techniques, informations financières et données de personnel. Elle ne les utilise que pour l'exécution du contrat ou une autre finalité valablement autorisée.

Les exceptions usuelles concernent les informations devenues publiques sans faute, connues licitement auparavant, développées indépendamment ou reçues légalement d'un tiers sans restriction. La communication imposée par la loi doit être limitée et précédée d'une notification dans la mesure légalement permise.

Une obligation de confidentialité continue après la fin du contrat pour la durée légalement admissible et aussi longtemps que l'information conserve légitimement son caractère secret. Aucune clause d'exploitation d'analyses ne permet la publication d'une étude de cas nommant un Client sans accord préalable.

Article 18 — Choix facultatifs et retrait

Les finalités accessoires sont présentées au moyen de choix distincts, compréhensibles et non précochés lorsqu’un consentement est requis :

• Option A : recevoir des communications marketing d'Improved Agency ;
• Option B : contribuer volontairement à un programme de développement IA sur des données spécifiquement sélectionnées et décrites ;
• Option C : autoriser, par programme identifié, un transfert à un ou plusieurs Partenaires pour une finalité définie ;
• Option D : partager un témoignage, une étude de cas ou l'identité commerciale de l'Organisation ;
• Option E : participer à des tests produit utilisant des données réelles après information spécifique.

Le refus d'un usage facultatif ne doit pas empêcher l'accès au cœur du service lorsqu'il n'est pas nécessaire pour la prestation souscrite. Une autorisation peut être retirée par un mécanisme accessible. Le retrait ne rend pas automatiquement illicite les traitements antérieurs qui étaient licites, mais les traitements futurs fondés uniquement sur cette autorisation doivent cesser selon la loi et les limites techniques documentées.

Pour les programmes impliquant des employés, des clients finaux ou des tiers, l'autorisation du seul Administrateur ne dispense pas d'établir une base légale et d'informer les personnes concernées.

Article 19 — Sécurité et incidents

L'Éditeur met en place des mesures techniques et organisationnelles proportionnées : contrôle des identités, permissions, segmentation des Organisations, gestion des secrets, chiffrement approprié, limitation des accès internes, journalisation, sauvegardes, correctifs, suivi des vulnérabilités, procédures de réponse aux incidents et gestion des sous-traitants.

Ces mesures doivent faire l'objet d'une documentation interne et de tests réguliers. Une liste d'outils techniques figurant dans un référentiel de développement ne constitue pas à elle seule une attestation d'audit.

En cas d'incident compromettant potentiellement les données personnelles traitées pour le compte du Client, l'Éditeur informe celui-ci dans les meilleurs délais après en avoir eu connaissance, conformément au DPA et aux obligations légales. Les délais réglementaires précis et les responsabilités de notification aux autorités/personnes concernées sont ceux du droit applicable, non des chiffres arbitraires insérés dans ces CGU.

La notification initiale inclut, dans la mesure connue : nature de l'incident, périmètre, catégories de données, effets possibles, mesures prises et contact dédié. Elle peut être complétée par étapes. Les parties coopèrent à la conservation des preuves, à l'analyse et aux notifications nécessaires.

Article 20 — Durées de conservation, export et suppression

Les Données du Client restent disponibles durant la souscription selon les limites de l'offre. Le Client peut demander un export dans les formats raisonnablement disponibles et documentés. Les coûts particuliers d'un export complexe ne peuvent être appliqués sans information préalable.

À la fin du contrat, un délai de récupération de [30 jours — À VALIDER] est envisagé avant l'effacement des données actives. Les sauvegardes suivent ensuite un cycle documenté de [90 jours maximum cible — À VALIDER], sous réserve des contraintes légales, d'investigations de sécurité et de cas de conservation impérative.

Les données de facturation contractuelle et les justificatifs peuvent être conservés selon les obligations comptables et fiscales ; leurs durées exactes doivent être déterminées pour chaque pays concerné. L'Éditeur ne peut promettre un effacement immédiat de toutes les sauvegardes s'il n'est pas techniquement réalisable.

Une demande de suppression des données opérationnelles n'entraîne pas l'effacement des statistiques véritablement anonymisées qui ne permettent plus de revenir à l'individu ou à l'entreprise, sous réserve des engagements spécifiques pris avec le Client. Les données pseudonymisées restent soumises aux exigences applicables.

Article 21 — Données de tiers et responsabilités du Client

Le Client garantit disposer d'une justification licite pour collecter et importer les données de ses clients, prospects, fournisseurs, salariés, stagiaires, adhérents et autres contacts. Il fournit les informations requises, tient compte des demandes d'opposition, respecte les obligations liées aux données sensibles et n'importe pas de bases acquises illicitement.

Pour les données de mineurs, de santé, de salariés ou d'autres catégories protégées, le Client procède aux analyses et autorisations requises. L'Éditeur fournit les outils raisonnablement nécessaires à l'exécution des demandes licites, sans se substituer automatiquement au responsable du traitement.

Article 22 — Sous-traitants et transferts hors pays

L'Éditeur peut recourir à des prestataires d'hébergement, paiement, email, messagerie, support, sauvegarde, mesures d'audience et IA, dans un périmètre documenté. La liste des prestataires qui reçoivent effectivement des données doit être tenue à jour, avec l'objet du traitement, la localisation lorsque connue et les garanties pertinentes.

Un prestataire agissant pour le compte de l'Éditeur n'acquiert pas le droit d'exploiter les données pour ses propres produits. Le contrat de sous-traitance doit prévoir des instructions, la confidentialité, la sécurité, l'aide aux droits des personnes, les audits appropriés, les conditions de sous-traitance ultérieure et la restitution/suppression.

Les transferts internationaux de données personnelles ne sont effectués que lorsque les exigences du régime juridique applicable sont satisfaites. Une simple mention dans les CGU ne remplace pas les mécanismes de transfert, formalités, garanties ou autorisations éventuellement nécessaires.

Article 23 — Connecteurs tiers

Le Client peut activer des connexions externes (paiement, emails, WhatsApp, outils commerciaux, plateformes d'IA ou autres). Chaque connexion est régie par son périmètre d'autorisation, ses règles d'accès et les conditions de son fournisseur.

L'activation d'une intégration autorise uniquement les échanges nécessaires aux fonctions choisies. L'Éditeur ne vend ni ne transfère à un fournisseur des données étrangères à l'opération autorisée. Les identifiants d'intégration doivent être protégés ; le Client peut révoquer les accès selon les possibilités techniques.

Le fournisseur tiers peut agir comme responsable distinct de certains traitements, par exemple pour ses obligations de paiement ou de lutte contre la fraude. Les responsabilités doivent être identifiées dans la notice concernée.

Article 24 — CRM, email, WhatsApp et prospection

Le Client reste responsable de ses campagnes, listes de destinataires, fondements de prospection, désabonnements, preuve des accords, contenu et fréquence des messages. Les messages transactionnels légitimes et les sollicitations marketing doivent être distingués.

Les fonctions d'import de contacts, de synchronisation de messagerie et de consultation de conversations sont soumises aux droits des interlocuteurs et aux conditions des services connectés. Une connexion WhatsApp professionnelle n'autorise pas l'Éditeur à réutiliser des conversations privées pour entraîner des modèles multi-organisations.

Les désabonnements, exclusions et oppositions doivent être respectés dans les parcours prévus. Le Client demeure responsable des usages qu'il configure et des messages envoyés en son nom.

Article 25 — Devis, factures, paiements et abonnements

25.1 — Nature logicielle. SABI ONE est un logiciel de gestion ; sauf stipulation distincte, l'Éditeur n'agit pas en qualité d'établissement de paiement, banque ou assureur. Les fonds sont traités par des prestataires agréés selon leurs conditions.

25.2 — Montants et taxes. Les tarifs sont publiés dans l'offre souscrite, avec indication de la devise (notamment XAF/FCFA), de la fréquence, des taxes applicables et des limites. Les règles de facturation et de TVA doivent être validées pour la juridiction concernée.

25.3 — Moyens de paiement. Le Client peut, selon disponibilité, payer par carte ou Mobile Money via des prestataires intégrés, notamment Notch Pay si effectivement activé. Les frais, reversals, litiges et interruptions des réseaux de paiement suivent les règles spécifiques du prestataire.

25.4 — Abonnement. Toute reconduction automatique doit être annoncée avant l'engagement avec fréquence, montant, modalités d'annulation et échéance de prise d'effet. Aucun prélèvement ne doit résulter d'un écran ambigu ou d'une information cachée.

25.5 — Impayés. Une relance peut être envoyée puis, après préavis approprié, certaines fonctions suspendues, sans suppression immédiate des données. Les droits légaux du Client sont préservés.

25.6 — Factures et liens de paiement adressés aux clients finaux. Le Client demeure responsable de l'exactitude, du fondement et des conséquences fiscales de ses factures ; il vérifie les références, conditions et bénéficiaires. Une notification ou génération automatique ne garantit pas, à elle seule, que le règlement a été effectué.

25.7 — Facturation récurrente. Le Client configure fréquence, déclencheur, destinataire, montant, taxes, validation et modalités de renouvellement. Il garantit l'existence du contrat sous-jacent et peut suspendre les envois automatiques selon la fonctionnalité disponible. Les retards de prestataires, rejets ou incidents doivent être signalés avec un statut fiable.

Article 26 — Portails, documents et liens publics

Les pages publiques peuvent permettre de consulter un devis, accepter une proposition, signer un document ou payer. Les liens d'accès peuvent contenir un jeton ; le détenteur d'un tel lien pourrait consulter les seules informations autorisées par ce jeton.

Le Client doit sélectionner les bons destinataires et peut, selon les capacités du produit, fixer une expiration, révoquer un lien ou exiger un contrôle additionnel. Les liens ne doivent jamais exposer une ressource arbitraire d'une autre Organisation ni déduire des secrets à partir d'un simple identifiant séquentiel.

Les signatures, cachets, preuves et validations électroniques sont soumis au niveau de preuve et aux exigences juridiques applicables à l'acte concerné. Une action « Accepté » dans une interface ne constitue pas systématiquement une signature électronique qualifiée.

Article 27 — Propriété intellectuelle

L'Éditeur ou ses concédants détiennent les droits sur le code, l'architecture, les interfaces, les signes distinctifs, les documentations et les éléments originaux du Service. Une licence limitée, non exclusive, non transférable et révocable selon le contrat est consentie au Client pendant la durée de son abonnement.

Le Client ne peut procéder à une redistribution autonome du logiciel, extraire les codes sources non ouverts ni supprimer les mentions de droits, sous réserve des exceptions impératives légales. Le Client reste propriétaire ou titulaire des droits qu'il possède sur ses contenus ; il garantit avoir obtenu les autorisations nécessaires pour les partager sur la Plateforme.

Les informations générales issues de l’expérience de conception, le savoir-faire non confidentiel, les méthodes et les améliorations du Service peuvent rester exploitables par l'Éditeur, sans emporter de droit sur les secrets ou données individualisées du Client.

Article 28 — Idées et retours

Si un Utilisateur transmet volontairement une suggestion non confidentielle, l'Éditeur peut l'utiliser pour améliorer ses produits sans obligation de rémunération, sous réserve des droits impératifs et de l'absence de divulgation d'informations confidentielles.

Les retours contenant des données personnelles, secrets d'affaires, exemples de dossiers ou copies de documents ne deviennent pas librement réutilisables par leur simple transmission au support. Les études de cas nominatives, logos clients et citations publicitaires nécessitent une autorisation dédiée.

Article 29 — Contrôles, support et audit

Les opérations d'administration technique sont limitées aux besoins justifiés du service. Les accès exceptionnels de support aux données métier sont autorisés, tracés lorsque possible et révoqués lorsqu'ils ne sont plus nécessaires.

Les contrôles de sécurité, la recherche de fraude et les vérifications de conformité n'autorisent pas une surveillance générale illimitée des employés ou des échanges privés. Des rapports de sécurité raisonnables peuvent être communiqués au Client sous réserve de protéger les secrets et la sécurité de tiers.

Article 30 — Suspension et résiliation

L'Éditeur peut suspendre temporairement l'accès en cas de menace grave pour la sécurité, fraude, violation substantielle des conditions, injonction légale ou non-paiement après les démarches prévues. La mesure doit être proportionnée et, lorsque possible, précédée d'une information et d'un délai de remédiation.

Le Client peut résilier selon les modalités de son offre. La résiliation n'efface pas les sommes valablement dues ni les obligations survivantes de confidentialité, propriété intellectuelle, protection des données, archivage légal ou règlement des différends.

L'Éditeur ne peut conditionner la restitution des données du Client à l'acceptation d'un nouvel usage commercial de celles-ci. Les conditions de réversibilité et les délais d'effacement figurent à l'article 20 et dans le DPA.

Article 31 — Garanties et responsabilité

L'Éditeur s'engage à fournir le Service avec un niveau raisonnable de compétence et de diligence professionnelle. Il ne garantit ni l'absence absolue de défaut, ni un résultat commercial ou financier, ni l'exactitude systématique des suggestions IA.

Le Client vérifie ses décisions, données de facturation, obligations fiscales, paiements et communications externes. Les sorties d'IA et les statistiques sont des aides à la décision, non des garanties de réussite.

Plafond contractuel proposé, à négocier et valider : sauf faute lourde, dol, dispositions impératives ou catégories légalement non plafonnables, la responsabilité contractuelle cumulée d'une partie pour les dommages directs pourrait être limitée aux frais d'abonnement effectivement payés ou dus au titre des 12 derniers mois. Cette formule n'est pas adoptée sans vérification du droit applicable et sans discussion distincte des violations de confidentialité, des données personnelles, de la sécurité et des engagements particuliers.

La réparation des pertes indirectes ne peut être exclue que dans les limites permises par le droit. Aucune disposition ne prive les personnes de leurs droits impératifs.

Article 32 — Indemnisation et force majeure

Chaque partie répond des violations qui lui sont imputables dans les limites légales et contractuelles. Le Client indemnise, dans les conditions licites à préciser, les conséquences directes et justifiées de données importées sans droit, campagnes illicites ou usages délibérément frauduleux. L'Éditeur répond de ses propres manquements à ses obligations de service et de protection des données.

La force majeure suspend les obligations affectées dans les conditions du droit applicable, à l'exception des obligations qui doivent raisonnablement subsister, notamment la protection des données déjà détenues. La partie affectée informe l'autre dès que possible et prend des mesures raisonnables d'atténuation.

Article 33 — Évolution des conditions

Les modifications sont communiquées par un moyen durable, avec indication de leur objet et date d'effet. Les modifications substantielles des prix, du traitement des données, des droits du Client ou des fonctions essentielles donnent lieu à un préavis raisonnable et, lorsque requis, à une nouvelle acceptation.

Une nouvelle finalité d'utilisation des données n'est pas automatiquement autorisée par la poursuite silencieuse de l'utilisation lorsque le droit applicable impose consentement ou information spécifique. Les choix facultatifs restent séparés.

Article 34 — Droit applicable et litiges

Sous réserve des règles impératives et des clauses de compétence légalement admises, les présentes sont régies par le droit camerounais, y compris les normes OHADA applicables. Les parties recherchent une solution amiable dans les [30 jours — À VALIDER] suivant une réclamation écrite.

À défaut, compétence est attribuée aux juridictions matériellement et territorialement compétentes [VILLE À COMPLÉTER], sauf règles impératives contraires. Pour les Clients internationaux, une annexe régionale peut prévoir d'autres règles et ne saurait écarter les protections impératives des personnes concernées.

Article 35 — Contacts et notifications

Les notifications contractuelles sont adressées aux coordonnées enregistrées ou aux adresses communiquées par l'Éditeur. Les notifications de sécurité peuvent emprunter des canaux prioritaires adaptés au risque.

Le Client maintient une adresse email administrative active. Les demandes relatives aux données sont envoyées à one@sabi.business. Une procédure d'identification proportionnée peut être appliquée aux demandes d'accès, correction, suppression ou portabilité.

Article 36 — Dispositions finales

Si une clause est jugée invalide, les autres restent applicables dans la mesure où l'équilibre du contrat peut être préservé. L'absence d'exercice ponctuel d'un droit ne vaut pas renonciation. Une cession du contrat liée à une restructuration ou une acquisition demeure soumise aux exigences contractuelles, de confidentialité et de protection des données. Les versions linguistiques et leur préséance doivent être indiquées dans les conditions particulières.

PARTIE II — ANNEXES OPÉRATIONNELLES ET DONNÉES

ANNEXE A — ACCORD DE TRAITEMENT DES DONNÉES (DPA), TRAME

A.1 Parties et rôles

Le Client est, dans la mesure où il détermine les finalités et moyens essentiels des traitements métier, responsable du traitement ; l'Éditeur agit sur ses instructions documentées en tant que sous-traitant. Les obligations éventuellement applicables à une responsabilité conjointe ou indépendante seront traitées séparément.

A.2 Objet et durée

Traitement des données de CRM, de projets, de facturation, de collaboration, de documents et d'intégrations nécessaires à la fourniture de SABI ONE, pendant la durée du contrat et les périodes de récupération, de conservation légale et de purge documentées.

A.3 Catégories de personnes

Utilisateurs du Client ; salariés et collaborateurs ; prospects ; clients finaux ; fournisseurs ; représentants légaux ; contacts d'organisations ; toute personne dont les données sont licitement intégrées aux modules activés.

A.4 Catégories de données

Identité ; contacts ; données professionnelles ; historiques commerciaux ; documents ; données de paiement non sensibles au-delà de ce qui est nécessaire ; données de projets ; communications ; journaux ; catégories supplémentaires déclarées dans les instructions du Client.

A.5 Instructions et restrictions

L'Éditeur traite les données uniquement sur instructions documentées, sauf obligation légale l'y contraignant. Il informe le Client s'il estime qu'une instruction viole une obligation légale, sous réserve des limitations prévues par le droit.

L'utilisation des données du Client pour entraîner un modèle interclients, développer un autre produit pour des finalités propres ou fournir un jeu identifiable à un Partenaire n'est pas une instruction présumée du Client. Elle doit être autorisée au titre d'un dispositif contractuel distinct, avec qualification des rôles et base juridique appropriée.

A.6 Sécurité

Mesures adaptées à la sensibilité : séparation logique des tenants, RBAC, MFA pour les accès sensibles lorsque déployé, contrôle des secrets, chiffrement en transit et au repos selon architecture vérifiée, procédures de sauvegarde, gestion des vulnérabilités et accès support justifiés. Une annexe technique versionnée doit préciser les garanties réellement en place.

A.7 Personnel habilité

Confidentialité contractuelle et formation adaptée ; accès minimum ; révocation rapide ; journalisation pertinente ; procédure d'escalade des incidents et engagements des prestataires.

A.8 Sous-traitants ultérieurs

Liste mise à disposition, mécanisme d'information des changements, objection motivée et mesures de remplacement ou de résiliation lorsque nécessaire. Les prestataires doivent respecter des garanties appropriées et ne doivent pas exploiter les contenus à des fins propres non autorisées.

A.9 Droits des personnes

L'Éditeur apporte une assistance raisonnable au Client pour la recherche, la correction, l'export et la suppression, suivant la complexité, les délais légaux et les possibilités techniques.

A.10 Sécurité et violations

Coopération, notification sans retard injustifié au Client, mise à jour des informations, conservation des éléments nécessaires et assistance aux obligations de notification du responsable de traitement.

A.11 Audits

Information de conformité et mécanisme d'audit raisonnable fondé sur la criticité, la confidentialité, la proportionnalité et la sécurité des autres clients. Les modalités pratiques peuvent inclure rapports indépendants ou audit dédié sous accord de confidentialité.

A.12 Fin du service

Restitution et suppression des données suivant les choix du Client et les obligations légales. Traitement des sauvegardes pendant leur cycle de purge. Attestation de suppression raisonnable sur demande et selon faisabilité.

A.13 Transferts internationaux

Inventaire des pays et prestataires, qualification des transferts, mécanismes nécessaires sous les lois applicables, mesures supplémentaires lorsque requises. Le DPA doit intégrer les annexes régionales nécessaires, notamment si des données de personnes de l'EEE entrent dans le périmètre du RGPD.

A.14 Exclusion des usages secondaires

Tout programme d'utilisation secondaire de données personnelles ou de contenu métier identifiable exige un avenant spécifique indiquant : finalité ; types de données ; catégories de personnes ; parties destinataires ; lieu de traitement ; base légale ; durée ; sécurité ; interdiction de réidentification ; modalités de retrait et d'effacement ; sous-traitance ; droits sur les résultats ; mécanisme de contrôle. L'accord entre entreprises ne supplante jamais les droits individuels.

ANNEXE B — MATRICE DE PERMISSIONS RELATIVES AUX DONNÉES ET À L’IA

Règle de lecture : « Possible » ne signifie pas que tous les traitements sont licites dans tous les pays ou qu'ils sont techniquement activés. Une analyse par finalité, catégorie de données et destinataire reste obligatoire.

B.1 Programme d'anonymisation

Avant réutilisation hors du service : supprimer identifiants directs ; examiner les quasi-identifiants ; empêcher les rapprochements par petits groupes ; limiter les dimensions temporelles ou géographiques trop précises ; tester des attaques de réidentification ; mesurer le risque résiduel ; documenter les suppressions des champs ; valider le résultat ; interdire les tentatives de réidentification aux destinataires.

Un tableau de « factures anonymisées » avec dates exactes, montants rares et secteurs de niche peut encore être identifiant. De la même manière, une conversation privée sans nom peut révéler un individu par son contenu.

B.2 Gestion des consentements et preuves

Chaque choix doit enregistrer au minimum : catégorie de finalité, texte exact présenté, version, identité et habilitation du décideur, date, origine, état, retrait, système concerné et preuve raisonnable. Ne pas conserver inutilement les contenus utilisés pour démontrer le consentement.

Les paramètres des Utilisateurs et ceux de l'Administrateur doivent être distingués. Une entreprise peut autoriser un programme d'analyse de ses données commerciales non personnelles sans pouvoir consentir au traitement libre des données personnelles de ses salariés.

ANNEXE C — MICROTEXTES DES ÉCRANS ET CASES D’ACCORD

C.1 Inscription obligatoire

Titre : Créez votre espace SABI ONE

Texte : « En créant un compte, vous acceptez les Conditions générales de SABI ONE et reconnaissez avoir pris connaissance de la Politique de confidentialité. Les traitements nécessaires au fonctionnement du service sont décrits dans ces documents. »

Case non précochée : « J’accepte les Conditions générales de SABI ONE. »

Action : « Créer mon espace ».

C.2 Analyse produit fondée sur des données anonymes

Information, non déguisée en consentement : « Nous étudions des statistiques d'utilisation anonymisées pour comprendre comment améliorer SABI ONE et concevoir des fonctionnalités ou produits Improved Agency. Nous ne réutilisons pas par défaut vos factures, contacts, fichiers ou conversations identifiables à ces fins. »

Lien : « Comprendre l’utilisation des données ».

C.3 Programme volontaire de données pour l'IA

Titre : Contribuer à l'amélioration de l'IA

Texte : « Vous pouvez choisir de partager uniquement les données décrites ci-dessous pour améliorer [MODÈLE/PRODUIT], selon les conditions du programme. Cette participation est facultative et distincte de votre abonnement. Les données personnelles de tiers ne peuvent être incluses que si une base légale et les informations requises existent. »

Champs obligatoires du programme : type de données ; finalité ; destinataires ; pays ; durée ; règles de suppression ; effet du retrait.

Case facultative, décochée : « J’autorise la contribution des données expressément sélectionnées à ce programme, dans les conditions détaillées. »

Bouton : « Participer au programme » ; alternative « Continuer sans participer ».

C.4 Partenaire désigné

Titre : Autoriser un partage spécifique

Texte : « [NOM EXACT DU PARTENAIRE] souhaite recevoir [CATÉGORIES DE DONNÉES] pour [FINALITÉ PRÉCISE]. Cet usage est facultatif, séparé de la fourniture de SABI ONE et soumis à vos droits et aux exigences légales. »

Case facultative, décochée : « J'autorise ce partage dans le périmètre indiqué. »

Boutons : « Autoriser » et « Refuser ».

C.5 Écran récapitulatif dans Paramètres > Données et IA

Afficher cinq blocs distincts : (1) données nécessaires au service ; (2) métriques et anonymisation ; (3) programmes IA volontaires ; (4) programmes partenaires ; (5) exports et suppression. Pour chaque programme facultatif, indiquer statut, portée, historique et bouton de retrait.

C.6 Consentement marketing

Case facultative, décochée : « Je souhaite recevoir les actualités, ressources et offres Improved Agency par email. Je peux me désabonner à tout moment. » Les messages transactionnels nécessaires à la facturation et à la sécurité ne relèvent pas de ce choix marketing.

ANNEXE D — REGISTRE MINIMAL DES TRAITEMENTS À RENSEIGNER

Attention : les bases et durées ci-dessus ne sont pas « approuvées ». Elles doivent être calculées sur les traitements réels et sur les lois applicables. L'anonymisation elle-même est un traitement de données personnelles qui doit être licite.

ANNEXE E — FOURNISSEURS ET INTÉGRATIONS À AUDITER

L'inventaire de développement fourni avec le projet évoque les services suivants. Il ne prouve pas qu'ils sont tous actifs en production ni que les contrats de sous-traitance ont été signés.

Action juridique préalable : disposer d'une annexe publique de sous-traitants réellement activés, avec date de dernière mise à jour, catégories et moyens de notification des changements pertinents.

ANNEXE F — CHECKLIST AVANT PUBLICATION / LANCEMENT

F.1 Identité et contrat

• [ ] Confirmer l'entité légale éditrice, RCCM, NIU, siège et coordonnées.
• [ ] Vérifier la titularité/licence des noms et marques SABI ONE / SABI.
• [ ] Publier CGU, conditions de vente, politique de confidentialité, DPA, mentions légales et politique cookies distincts.
• [ ] Harmoniser descriptions commerciales et fonctions réellement livrées.
• [ ] Vérifier reconduction, résiliation, modalités de remboursement et facturation FCFA.
• [ ] Définir tribunal compétent et mécanisme amiable valables.

F.2 Données et IA

• [ ] Cartographier les tables, fichiers, logs, prompts, prestataires et flux par pays.
• [ ] Déterminer les rôles juridiques opération par opération.
• [ ] Documenter les finalités et bases juridiques applicables, pas seulement les consentements.
• [ ] Établir la version publiée du DPA et les avenants pour programmes facultatifs.
• [ ] Préparer une politique d'anonymisation documentée et la tester contre la réidentification.
• [ ] Bloquer par défaut l'entraînement transverse sur les contenus identifiables et confidentiels.
• [ ] Prévoir paramètres de consentement séparés, preuve et retrait effectif.
• [ ] Interdire la collecte de données sensibles pour recherche produit non nécessaire.
• [ ] Auditer les contrats IA : usage des prompts, conservation, entraînement fournisseur.
• [ ] Vérifier l'encadrement des transferts internationaux depuis le Cameroun et, si pertinent, depuis l'EEE.
• [ ] Déterminer si une analyse d'impact et des formalités spécifiques s'imposent.
• [ ] Définir les durées réelles et le processus de purge jusque dans les sauvegardes.
• [ ] Tester les demandes d'accès, opposition, correction, suppression et portabilité selon les lois applicables.

F.3 Sécurité et contrôle humain

• [ ] Tester la séparation stricte entre les Organisations.
• [ ] Tester qu'un agent ne peut pas contourner les permissions du demandeur.
• [ ] Tester approbations et double contrôle sur les écritures, paiements et actes critiques.
• [ ] Vérifier confidentialité des messageries privées et des données RH.
• [ ] Documenter l'accès support et les journaux d'audit.
• [ ] Exécuter un exercice de réponse à une fuite de données.
• [ ] Vérifier les liens publics, expirations, jetons et permissions.
• [ ] Prévoir revue de sécurité régulière des connecteurs.
• [ ] Tester le comportement lorsque les fournisseurs IA ou paiement sont indisponibles.

F.4 Gouvernance Improved Agency et partenaires

• [ ] Valider la distinction données du service / données pour R&D / données pour partenaires.
• [ ] Établir une liste des produits destinataires ou un processus de présentation des projets.
• [ ] Désigner un responsable pour chaque programme de données.
• [ ] Définir les critères interdisant l'export de données identifiantes.
• [ ] Mettre en place un examen juridique avant tout nouveau partenaire ou modèle.
• [ ] Faire vérifier la licéité d'une éventuelle contrepartie accordée aux Clients contributeurs.
• [ ] Tracer les autorisations et les dates de retrait.
• [ ] Contrôler les mécanismes de suppression ou désactivation d'un programme.

ANNEXE G — CAS PRATIQUES

Exemple 1 — Analyse du nombre de devis créés

Situation : l'équipe produit constate qu'une étape de création de devis est rarement utilisée.

Traitement admissible à examiner : statistiques anonymisées, agrégées et suffisamment larges, sans nom du Client ni contenus des devis.

À éviter : transmettre tous les devis nominatifs à une autre startup partenaire « pour améliorer l'expérience ».

Exemple 2 — Nouvelle application de facturation Improved Agency

Situation : Improved Agency souhaite concevoir un autre produit à partir des usages observés dans SABI ONE.

Approche recommandée : utiliser statistiques anonymes, parcours abstraits, retours volontaires non confidentiels et données synthétiques contrôlées.

Limite : l'ancienneté du compte et l'acceptation des CGU ne suffisent pas à autoriser le transfert de factures réelles, de données clients ou de secrets de prix vers le nouveau produit.

Exemple 3 — Entraînement d'un assistant commercial

Situation : une société veut entraîner un modèle sur des emails, devis et conversations WhatsApp de plusieurs Clients.

Position par défaut : interdit au titre de l'abonnement standard.

Pour envisager le programme : vérifier rôles juridiques, licéité de chaque corpus, confidentialité, consentements/bases adéquats, informations des tiers, contrats fournisseurs, minimisation, retraits, tests de mémorisation et impacts sur les personnes.

Exemple 4 — Rapport sectoriel à un partenaire

Situation : un partenaire demande les tendances de paiement des entreprises de services.

Possible sous conditions : publier une analyse statistique suffisamment large et véritablement anonymisée, sans chiffres de petites cohortes ni entreprises reconnaissables ; vérifier les secrets d'affaires et contrats.

Interdit sans cadre spécifique : envoyer le registre complet des paiements avec montants, dates et noms ou pseudonymes réidentifiables.

Exemple 5 — Support technique

Situation : un bug empêche de générer une facture.

Approche : inspection minimale et justifiée de l'événement, accès à la facture seulement si nécessaire et autorisé, journalisation, absence de copie durable dans les tickets ou outils non approuvés.

À éviter : réutiliser la facture pour constituer une base d'entraînement.

Exemple 6 — Agent IA et salaires

Situation : un Utilisateur sans droit RH demande à un agent de communiquer les salaires.

Règle : refus de l'accès, y compris si l'agent consulte un autre agent ou une fonctionnalité avancée. Les permissions du demandeur restent déterminantes.

Exemple 7 — Paiement récurrent

Situation : le Client programme l'envoi mensuel d'une facture.

Règle : distinguer émission de facture et prélèvement effectif. La reconduction ou l'encaissement de sommes doit respecter le consentement du payeur, le mandat éventuel et les règles du prestataire de paiement.

Exemple 8 — Retrait d'un programme IA

Situation : un Client désactive la contribution volontaire à un modèle.

Effet : arrêter la collecte future sur cette base, gérer l'effacement du corpus source selon droits et contrats, informer honnêtement des limites techniques pour un modèle déjà entraîné et appliquer les exigences légales en matière de retrait et d'effacement.

Exemple 9 — Fusion avec une entreprise partenaire

Situation : Improved Agency fusionne avec un partenaire ou lui cède des actifs.

Règle : les obligations de confidentialité, les lois, la finalité et l'information des personnes continuent de s'appliquer. Une acquisition ne justifie pas automatiquement une réutilisation publicitaire ou IA de l'ensemble des Données du Client.

Exemple 10 — Statistiques prétendument anonymes

Situation : un tableau recense « 3 cabinets » d'une ville et leurs volumes exacts d'affaires.

Risque : les acteurs peuvent être identifiables malgré l'absence de noms. Le tableau n'est pas nécessairement anonyme ; il faut élargir la cohorte ou supprimer le partage.

ANNEXE H — FORMULAIRE DE DEMANDE RELATIVE AUX DONNÉES

Objet : Demande relative aux données personnelles — SABI ONE

Identité / moyen de réponse : [À RENSEIGNER]

Organisation concernée, si applicable : [À RENSEIGNER]

Droit sollicité : accès / rectification / opposition / retrait / effacement / portabilité / limitation / autre droit applicable.

Données ou traitement concerné : [DESCRIPTION]

Justificatif : seulement si nécessaire, par un moyen proportionné et sûr.

Canal : one@sabi.business.

L'Éditeur accuse réception, détermine si la demande relève de lui-même ou du Client responsable de traitement, puis agit ou transmet de manière sécurisée selon la loi et le DPA. Le délai de réponse doit être calé sur les règles applicables et la date de réception d'une demande valable ; il ne doit pas être inventé dans le contrat.

ANNEXE I — CLAUSES PARTICULIÈRES POUR ORGANISATIONS À EXIGENCES RENFORCÉES

À négocier pour organisations publiques, grandes entreprises, cabinets professionnels réglementés ou données à risque élevé :

1. hébergement régional ou local, si exigé et techniquement proposé ;
2. séparation renforcée des environnements ;
3. interdiction contractuelle de toute réutilisation autre que l'exécution du contrat ;
4. absence de fournisseurs IA externes ou choix de fournisseurs approuvés ;
5. chiffrement avec modalités spécifiques de gestion des clés ;
6. journalisation et durée de conservation ajustées ;
7. SLA, support et notifications de sécurité définis ;
8. audit de sécurité, attestations ou tests indépendants ;
9. procédure de réversibilité et formats d'export ;
10. revue des sous-traitants et des transferts internationaux ;
11. conditions précises de responsabilité et d'assurance ;
12. validation juridique des signatures, documents et obligations sectorielles.

Clause « zéro réutilisation secondaire » à proposer en option : « L’Éditeur s’interdit d’exploiter les Données du Client, y compris sous forme d'échantillons pseudonymisés, pour développer d'autres produits, entraîner des modèles ou communiquer des informations à des partenaires pour leurs fins propres. Les traitements indispensables à la prestation et à la sécurité demeurent autorisés ; toute exploitation de statistiques anonymes doit être régie par la stipulation spécifique du contrat. »

PARTIE III — NOTE D'APPLICATION JURIDIQUE ET DE GOUVERNANCE

1. Ce que ce projet permet réellement

Ce projet formalise l'objectif légitime de capitaliser sur l'expérience d'utilisation du logiciel afin d'améliorer SABI ONE et d'autres solutions Improved Agency. Il privilégie :

• l'analyse d'usage avec minimisation ;
• les données correctement anonymisées ;
• les études agrégées non réidentifiantes ;
• les tests avec jeux artificiels ;
• les programmes d'entraînement ou de recherche volontaires, définis, contrôlés et vérifiés juridiquement ;
• les partenariats assortis de finalités précises et de garanties.

Ce projet ne cherche pas à faire passer l'acceptation des CGU pour un accord universel à extraire, revendre ou entraîner des modèles sur toutes les données commerciales et personnelles déposées sur SABI ONE. Une telle clause serait risquée sur le plan de la protection des données, de la confidentialité et de la confiance commerciale.

2. Gouvernance recommandée

Créer une gouvernance produit/données articulée autour de trois niveaux :

Niveau 1 — Exploitation du service. Données nécessaires à l'exécution des commandes de chaque Client, au maintien de la sécurité et à la maintenance du Service. Traitement contractualisé et limité.

Niveau 2 — Intelligence produit. Mesures de qualité, analyses de parcours, études statistiques et données anonymisées. Accès de l'équipe produit à des résultats minimisés, pas à une copie libre des bases client.

Niveau 3 — Innovation transverse et partenaires. Programmes à validation juridique, jeu de données documenté, destinataire identifié, durée, sécurité, contrôles, options explicites et traçabilité. Les données réelles identifiables n'entrent pas automatiquement dans ce niveau.

3. Schéma de décision avant tout usage secondaire

1. Pourquoi ces données sont-elles réellement nécessaires ?
2. Peut-on atteindre le même objectif avec des informations synthétiques ou réellement anonymes ?
3. Le contenu est-il confidentiel ou protégé par un secret d'affaires ?
4. Des personnes sont-elles identifiables directement ou indirectement ?
5. Qui détermine la finalité et les moyens ?
6. Quelle base juridique et quels droits individuels s'appliquent ?
7. L'utilisation est-elle compatible avec les instructions du Client ?
8. Un nouveau destinataire ou transfert international est-il impliqué ?
9. Quelle durée, quel effacement et quelle traçabilité ?
10. Qui donne l'accord, et cet accord est-il suffisant pour toutes les personnes concernées ?

Si un point indispensable n'est pas résolu, le programme ne doit pas démarrer.

4. Adaptations à préparer selon le pays

Pour le Cameroun : analyser en détail la loi n°2024/017 du 23 décembre 2024 relative à la protection des données à caractère personnel, les éventuels textes d’application et exigences administratives, la loi n°2010/021 sur le commerce électronique, la loi n°2010/012 sur la cybersécurité, la loi-cadre n°2011/012 sur la protection du consommateur, et les dispositions OHADA, fiscales et sectorielles pertinentes.

Pour les Clients ou personnes dans l'Union européenne : déterminer si le RGPD s'applique ; si oui, prévoir notices appropriées, bases légales, droits, DPA adapté aux articles pertinents, mécanismes de transferts, gouvernance de sous-traitance, évaluations d'impact si nécessaires et encadrement explicite des finalités d'entraînement IA.

Pour d'autres pays : adapter les notices, transferts, lois sur la vie privée, consentements, facturation, rétention des pièces et voies de recours. Ne pas présenter « un contrat international unique » comme substitut à l'analyse locale.

ANNEXE J — INFORMATIONS ENCORE MANQUANTES À FOURNIR AU JURISTE

SOURCES DE VÉRIFICATION JURIDIQUE (ACCÈS PUBLICS)

Ces liens servent de points de départ à la revue juridique. Leur citation n'implique pas que toutes les interprétations ou obligations de ce document ont été validées par un avocat.

1. Présidence de la République du Cameroun, loi n°2024/017 du 23 décembre 2024 relative à la protection des données à caractère personnel : https://www.prc.cm/fr/actualites/actes/lois/7588-loi-n-2024-017-du-23-decembre-2024-autorisant-le-president-de-la-republique-a-ratifier-le-traite-de-beijing-sur-les-interpretations-et-executions-audiovisuelles-adopte-le-24-juin-2012-a-beijing-chine-9
2. Ministère du Commerce du Cameroun, loi n°2010/021 du 21 décembre 2010 régissant le commerce électronique : https://www.mincommerce.gov.cm/fr/document/loi-ndeg-2010021-du-21-decembre-2010-regissant-le-commerce-electronique-au-cameroun
3. Agence de régulation des télécommunications, loi n°2010/012 relative à la cybersécurité et la cybercriminalité : https://www.art.cm/fr/content/n%C2%B0-2010012-du-21-d%C3%A9cembre-2010-relative-la-cybers%C3%A9curit%C3%A9-et-la-cybercriminalit%C3%A9-au-cameroun
4. Ministère du Commerce, textes et loi-cadre n°2011/012 portant protection du consommateur : https://www.mincommerce.gov.cm/fr/documents/3319
5. EUR-Lex, règlement (UE) 2016/679, RGPD : https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A32016R0679

FIN DU PROJET — SABI ONE CGU / DONNÉES / IA — v0.9

*Ce texte nécessite encore vérification des faits techniques, identification de l'entité contractante, adaptation réglementaire et validation juridique. Il ne doit pas être présenté aux utilisateurs comme une politique actuellement appliquée tant que les systèmes, accords et paramètres ne la mettent pas effectivement en œuvre.*