> Mise à jour factuelle du 23 octobre 2026 : IMPROVED AGENCY SARL, RCCM CM-DLA-03-2026-B12-00124, Douala, Cameroun. Contact : one@sabi.business. Le NIU, l’adresse postale précise et les autres éléments signalés restent à compléter. Le statut de projet est conservé.

# SABI ONE
# Politique de confidentialité et de gouvernance des données

**Projet juridique détaillé — v0.9 — 23 octobre 2026**  
**Statut : DOCUMENT À COMPLÉTER ET À FAIRE VALIDER AVANT PUBLICATION**  
**Responsable/éditeur pressenti : Improved Agency — raison sociale exacte à confirmer**  
**Périmètre envisagé :** `one.sabi.tools`, `app.sabi.business`, `api.sabi.business`, `sabi-one.online`, emails et fonctionnalités connectées.

> **Avertissement essentiel.** Cette politique décrit un cadre contractuel **proposé**, et non un audit ou une garantie des comportements techniques réellement implémentés. Les éléments en `[À COMPLÉTER]` et les services marqués « si activé » doivent correspondre à l'infrastructure réelle avant publication. Les données identifiables de clients, collaborateurs ou tiers ne deviennent pas librement exploitables pour des produits dérivés en raison de l'acceptation des CGU. Cette politique doit être accompagnée, selon les cas, d'un accord de sous-traitance (DPA), de notices aux personnes et de consentements ou accords spécifiques. Relecture par un juriste camerounais et, pour les marchés concernés, par un spécialiste du RGPD recommandée.

## Résumé accessible

SABI ONE aide les entreprises de services à gérer leurs contacts, devis, projets, documents, équipes et factures. Nous traitons les données nécessaires au fonctionnement et à la sécurité de la plateforme ; certaines données sont analysées pour en améliorer les performances. Nous envisageons également d'exploiter **des statistiques réellement anonymisées et suffisamment agrégées**, dans le respect de la confidentialité, pour perfectionner SABI ONE et concevoir d'autres outils d'Improved Agency ou de partenaires. **Nous n'utilisons pas par défaut les factures, messages, fichiers confidentiels ou données personnelles importées par les entreprises pour entraîner des modèles généraux ou alimenter les produits propres d'un partenaire.** Ces usages nécessitent une évaluation et, lorsque requis, des accords et autorisations spécifiques. Les personnes disposent de droits, et les cookies non nécessaires peuvent être refusés.

## Sommaire

1. Qui sommes-nous et comment nous joindre ?
2. Portée du document, personnes visées et définitions
3. Nos rôles : responsable de traitement, sous-traitant et tiers
4. Origines et catégories de données collectées
5. Finalités, fondements et nécessité des traitements
6. Données client et instructions des organisations
7. Amélioration de SABI ONE : ce que nous pouvons analyser
8. Développement d'autres produits Improved Agency
9. Partenaires : collaboration, transfert de résultats et restrictions
10. Intelligence artificielle : inférence, agents, outils, entraînement
11. Profilage, décisions automatisées et supervision humaine
12. Facturation, paiements et Mobile Money
13. Partage, destinataires et sous-traitants
14. Hébergement et transferts internationaux
15. Sécurité, cloisonnement et gestion des incidents
16. Conservation, archivage et suppression
17. Droits des personnes et traitement des demandes
18. Prospection, emails, notifications et opposition
19. Sites, liens publics et tiers
20. Données sensibles, mineurs et règles d'usage
21. Cookies et technologies similaires
22. Changements de la politique et documents associés
23. Annexes : matrices, notices, consentements, registre, points à vérifier
24. Références juridiques et de bonnes pratiques

---

## Article 1 — Identité de l'éditeur

Le service **SABI ONE** est édité/exploité par **IMPROVED AGENCY SARL**, exerçant sous l'enseigne ou la marque **Improved Agency** si applicable, **SARL**, immatriculée au **CM-DLA-03-2026-B12-00124**, sous le **[NIU]**, située à **Douala, Cameroun — adresse postale précise à compléter**, Cameroun (« Improved Agency », « nous » ou « l'Éditeur »). Ne pas confondre marque commerciale et personnalité morale.

- Contact vie privée : **one@sabi.business**.
- Contact sécurité : **one@sabi.business**.
- Adresse postale de réception des demandes : **[À COMPLÉTER]**.
- Délégué/point de contact protection des données : **[NOM OU FONCTION, SI DÉSIGNÉ]**.
- Identité et coordonnées d'un éventuel représentant ou responsable conjoint : **[À COMPLÉTER SI APPLICABLE]**.

## Article 2 — Périmètre et définitions

La présente politique vise les visiteurs des sites SABI ONE, les prospects, les représentants et collaborateurs des clients professionnels, les administrateurs d'organisations, les utilisateurs invités, les bénéficiaires de liens publics et les personnes dont les informations sont intégrées par nos clients dans l'ERP. Un traitement effectué exclusivement par un site tiers reste régi aussi par les informations de cet acteur.

**Données personnelles :** toute information liée à une personne physique identifiée ou identifiable. **Données client :** données, pièces et contenus déposés ou synchronisés par une organisation dans son espace. **Données pseudonymisées :** données dont les identifiants directs ont été remplacés, mais qui peuvent encore concerner une personne identifiable ; elles demeurent soumises aux règles de protection des données. **Données anonymisées :** informations transformées de sorte qu'une réidentification ne soit pas raisonnablement possible dans les circonstances pertinentes. **Métadonnées :** informations de contexte, comme horodatages, rôles, actions, identifiants techniques ou volumes.

## Article 3 — Répartition des responsabilités

### 3.1 Lorsque nous décidons pourquoi et comment traiter les informations

Improved Agency agit en principe en qualité de **responsable du traitement** pour l'exploitation de ses comptes commerciaux, la gestion des abonnements, les paiements de son propre service, les échanges avec ses prospects, l'administration de la plateforme, la protection contre la fraude et les traitements propres dont elle définit les finalités. Cette qualification doit être confirmée par traitement, et non présumée de façon globale.

### 3.2 Lorsque notre client détermine la finalité

Pour les contacts, prospects, clients finaux, salariés, dossiers, factures, communications et fichiers chargés dans un espace entreprise, **l'organisation cliente** décide généralement des finalités professionnelles et agit comme responsable du traitement ; Improved Agency fournit l'hébergement, les fonctionnalités et l'assistance en **sous-traitant**, dans les limites des instructions documentées et de l'accord de traitement des données (DPA). Le client doit informer ses propres personnes concernées et posséder les droits nécessaires pour importer leurs données.

### 3.3 Autres configurations

Une intégration de paiement, de messagerie, d'hébergement, d'IA ou de signature peut impliquer un fournisseur responsable indépendant, sous-traitant ultérieur ou responsable conjoint. Le rôle exact, les flux, garanties et notices sont indiqués dans un registre de prestataires à publier. **Le fait d'être sous-traitant pour fournir le service n'autorise pas à réutiliser des contenus pour une finalité propre non convenue.**

## Article 4 — Sources et catégories

| Provenance | Exemples de données | Caractère |
|---|---|---|
| Inscription et administration | nom, prénom, email, téléphone, rôle, organisation, paramètres, identifiant | Nécessaire selon configuration |
| Achat et abonnement | plan, état, factures d'abonnement, transactions, références, moyen de paiement partiellement masqué | Nécessaire à la relation commerciale |
| Connexion et sécurité | adresses IP, informations de session, appareils, facteurs d'authentification, journaux d'accès | Protection et fonctionnement |
| Usage du produit | fonctions sollicitées, erreurs, séquences d'événements, temps de réponse | Mesure et amélioration selon minimisation |
| Dossiers des entreprises | clients, devis, signatures, contrats, commandes, projets, contacts, factures, pièces, fichiers, commentaires | Principalement sous contrôle du client |
| Interactions et communications | tickets, demandes d'assistance, notifications, emails ou messages connectés | Selon nécessité et intégration |
| IA et automatisations | instructions, fichiers associés, résultats, évaluations, journaux des outils et validations | Selon fonctionnalité et configuration |
| Sites et campagne | provenance marketing, formulaires, cookies acceptés, statistiques web | Selon choix et cadre légal |
| Partenaires autorisés | identifiants d'intégration, éléments strictement nécessaires aux opérations | Selon service activé |

La plateforme n'a pas vocation à collecter systématiquement des documents d'identité, données bancaires complètes, données de santé, biométriques, convictions, informations sur mineurs ou autres catégories particulièrement sensibles. Leur importation peut être interdite ou soumise à des conditions renforcées.

## Article 5 — Finalités et bases juridiques

Les références aux fondements juridiques ci-dessous servent de **matrice d'analyse**, à adapter à la loi applicable, à la qualité de chaque acteur et au public concerné. Le droit camerounais et, lorsque applicable, le RGPD peuvent établir des exigences différentes ; il serait trompeur de les déclarer automatiquement identiques.

| Finalité | Données concernées | Fondement à documenter | Observations |
|---|---|---|---|
| Créer et administrer le compte | identité, email, organisation, authentification | exécution du contrat / obligation pertinente | compte professionnel |
| Fournir les modules ERP | contenus et opérations du client | instructions du responsable client et DPA | pas de finalité propre présumée |
| Traiter les abonnements | coordonnées, factures, transactions | contrat et obligations légales | prestataires de paiement |
| Sécuriser la plateforme | journaux, IP, alertes, contrôles d'accès | obligation légale / intérêt légitime examiné | limitation et contrôles |
| Diagnostiquer erreurs et maintenir | données techniques, extraits limités | nécessité du service, intérêt légitime évalué ou instructions | masquer les données métier |
| Améliorer l'ergonomie | événements d'usage minimisés | fondement identifié après analyse | opt-out lorsque requis |
| Produire statistiques anonymes | agrégats dépourvus de données identifiables | collecte initiale soumise à une base appropriée | anonymisation effective à démontrer |
| Rechercher de nouvelles fonctionnalités | tests, retours volontaires, synthèses anonymes | selon nature et finalité | pas d'accès automatique aux documents |
| Développer un produit distinct sur données identifiables | données pertinentes selon programme | analyse spécifique et autorisations requises | **non autorisé par défaut** |
| Utiliser un service IA demandé | prompts et contexte pertinent | instructions du client / fondement applicable | distinguer inférence et entraînement |
| Marketing direct | email, préférences | consentement ou autre fondement permis | désinscription simple |
| Cookies de publicité | identifiants et événements marketing | consentement préalable si requis | pas avant le choix |

La collecte doit rester proportionnée à une finalité déterminée ; aucun intérêt commercial général ne transforme l'ensemble des données de nos clients en données librement disponibles.

## Article 6 — Données d'organisation et contrôle du client

Le client conserve les droits sur ses contenus et détermine les collaborateurs qui y accèdent. L'administrateur peut attribuer ou retirer des habilitations, sous réserve des contrôles effectifs de la plateforme. Les utilisateurs doivent respecter les consignes de leur organisation. L'accès support aux données métier doit être limité, justifié, autorisé suivant le contexte, journalisé et assorti de mesures de confidentialité.

Les informations affichées dans un espace de travail ne doivent pas être accessibles à un autre client du seul fait de l'utilisation d'un service multitenant. Les fonctions inter-organisations, exports, API ou liens publics doivent suivre des autorisations explicites et des protections adaptées.

## Article 7 — Amélioration de SABI ONE

Pour optimiser le service, Improved Agency peut envisager l'analyse de métriques de performance, journaux d'erreur, temps de réponse, succès des flux de travail et demandes d'assistance. La conception doit privilégier la collecte d'événements **sans contenu métier** : par exemple, compter les erreurs lors de la génération de devis au lieu de copier les devis eux-mêmes. Les données client reconnaissables ne peuvent être consultées qu'avec une justification, une instruction ou une base pertinente, des accès limités et une durée maîtrisée.

Les statistiques agrégées peuvent guider la performance, l'accessibilité, la fiabilité, la localisation linguistique, la détection de défaillances ou la priorisation du développement. Une métrique dite « anonymisée » doit l'être effectivement : retirer uniquement les noms, remplacer les emails par des codes, ou combiner de petits groupes reconnaissables ne suffit pas.

## Article 8 — Développement d'autres produits Improved Agency

Improved Agency souhaite développer ou améliorer des produits distincts de SABI ONE à partir d'enseignements tirés de son fonctionnement. **Le principe de gouvernance est le suivant :**

1. **Autorisé sous conditions :** utiliser des connaissances générales, schémas abstraits, retours non confidentiels, statistiques effectivement anonymisées et agrégées, données synthétiques correctement contrôlées, sans révéler de personne ni d'organisation ni ses secrets commerciaux.
2. **À évaluer séparément :** exploiter des données d'usage encore personnelles, même pseudonymisées, pour une finalité nouvelle, selon la compatibilité de la finalité, la base légale, les informations données, les droits et les garanties.
3. **Non inclus dans le service standard :** extraire des dossiers client, listes de prospects, historiques de ventes, prix particuliers, conversations, documents, données RH ou financières pour entraîner ou alimenter un autre produit. Un **programme spécifique**, incluant contrat ou avenant, notice, mesures de sécurité et autorisations légalement nécessaires, est requis.
4. **Pas d'accord au nom des tiers :** l'administrateur d'une société ne peut pas, par un clic de CGU, renoncer aux droits des personnes figurant dans son CRM ou autoriser sans base valide le transfert de leurs données à d'autres entreprises.
5. **Pas de vente tacite :** nous n'annonçons aucune vente de bases clients. Tout nouveau modèle de monétisation impliquant des données personnelles demanderait une analyse et une information nouvelles, et peut être interdit selon le contexte.

### Exemples

**Admissible après vérification :** apprendre, sur des cohortes assez larges, que les utilisateurs abandonnent souvent un formulaire à une certaine étape et simplifier cette étape dans un autre produit ; publier une statistique suffisamment agrégée sur la popularité de fonctions sans identifier un client.

**Non admissible sans cadre séparé :** copier 200 devis provenant d'une agence pour entraîner un générateur de devis destiné à un partenaire ; utiliser les factures d'un tenant pour construire un benchmark révélant ses tarifs ; transmettre ses conversations WhatsApp à un tiers pour perfectionner un chatbot.

## Article 9 — Recherche et partenaires

Improved Agency peut collaborer avec des sociétés affiliées, éditeurs, intégrateurs, prestataires de paiement, laboratoires ou autres partenaires. Une collaboration n'implique **pas** un droit général de circulation des données. Les résultats statistiques réellement anonymes peuvent être transmis si la confidentialité des entreprises est préservée. Les partenaires recevant des données identifiables pour leur propre finalité doivent être présentés dans une notice dédiée indiquant identité/catégorie, finalité précise, catégories de données, lieu, durée, droits et protection contractuelle. Les clauses doivent interdire les usages incompatibles, la réidentification non permise et l'entraînement hors autorisation.

Un fournisseur technique agissant seulement pour héberger, livrer des emails ou exécuter une fonction ne devient pas propriétaire des données traitées ; ses engagements réels restent à vérifier.

## Article 10 — IA : fonctionnement et limites

### 10.1 Assistance et inférence

Selon les fonctionnalités activées, un modèle IA peut lire **uniquement les éléments nécessaires et accessibles au compte concerné**, afin de résumer un dossier, proposer un devis, suggérer une tâche ou aider à rechercher une information. Les permissions, traces, règles de cloisonnement et garanties de filtrage restent à auditer avant lancement.

### 10.2 Outils et agents

Un agent peut proposer ou exécuter des tâches via des connecteurs (email, calendrier, CRM, facturation, etc.). Les actions sensibles telles qu'une suppression, un paiement, une transmission externe, une modification importante ou l'envoi de messages peuvent requérir une approbation humaine et une journalisation, suivant une matrice de risques documentée. Les droits d'un agent ne doivent pas dépasser ceux de son utilisateur autorisé.

### 10.3 Prompts, réponses et prestataires

Les instructions peuvent contenir des données personnelles ou des secrets métier. Des extraits strictement nécessaires peuvent être adressés à un fournisseur IA si une intégration correspondante est réellement activée et que ses conditions, lieux, durées et mesures de confidentialité ont été vérifiés. Une liste des fournisseurs et sous-traitants doit être tenue à jour. Les réponses peuvent contenir des erreurs et doivent être contrôlées avant des décisions importantes.

### 10.4 Formation des modèles

**Aucun entraînement de modèles généraux à partir des documents, messages, factures ou prompts clients ne doit être activé par défaut sur la seule base de cette politique.** Un programme volontaire distinct, si introduit, devra préciser les données admissibles, les entités bénéficiaires, l'objectif, les méthodes d'anonymisation éventuelles, le retrait, les délais de suppression et les limites réalistes de réversibilité après entraînement.

### 10.5 Sorties dérivées et mémoire

Une synthèse produite à partir de données personnelles peut rester personnelle ou confidentielle. Le simple fait qu'elle soit générée par IA ne la rend pas anonyme. Les vecteurs, embeddings, index de recherche, journaux et caches peuvent eux aussi comporter des informations rattachables aux personnes ; ils suivent des durées et accès appropriés.

## Article 11 — Profilage et décisions automatisées

Des algorithmes peuvent classer des tâches, détecter des échéances ou signaler des anomalies. Aucun traitement entraînant des conséquences importantes pour une personne ne devrait être entièrement automatisé sans analyse préalable, garanties et intervention humaine lorsque la loi l'exige. Toute évolution vers du scoring de solvabilité, du recrutement, des décisions RH ou financières sensibles demandera une notice spécifique et, si nécessaire, une analyse d'impact.

## Article 12 — Factures, paiements, Mobile Money

SABI ONE peut faciliter la génération des factures, leur envoi automatique, la récurrence et les liens de paiement. Lorsque des paiements sont disponibles via Mobile Money ou carte (par exemple **Notch Pay si effectivement intégré**), le prestataire de paiement traite les informations de transaction selon sa propre responsabilité et ses politiques. Improved Agency ne doit pas se présenter comme conservant ou ne conservant jamais les numéros complets des cartes avant audit technique. Les références de transaction, états de paiement, montant, devise, justificatifs de facturation et événements de fraude peuvent être nécessaires au suivi de l'abonnement ou des paiements.

La facturation récurrente ne signifie pas nécessairement un débit automatique : informer distinctement des conditions et mandats éventuels. Les factures client émises par un tenant restent des données relevant principalement de son activité.

## Article 13 — Destinataires

Peuvent accéder à certaines données strictement nécessaires et selon leur rôle : personnels habilités et soumis à confidentialité ; hébergeurs et fournisseurs d'infrastructure ; fournisseurs d'authentification ; prestataires d'email/SMS ; intégrations volontairement activées ; fournisseurs d'IA selon configuration ; intermédiaires de paiement ; experts comptables ou conseils requis ; autorités habilitées en vertu de la loi. **Liste vérifiée avant publication : [HÉBERGEUR], [EMAIL], [SMS], [IA], [ANALYTICS], [PAIEMENT], [SUPPORT], [SAUVEGARDE], pays et finalités.**

Aucun contenu client n'est cédé à un partenaire pour sa propre activité par la seule qualité de partenaire d'Improved Agency. Les opérations de sous-traitance font l'objet de garanties contractuelles et de contrôles appropriés.

## Article 14 — Localisation et transferts

Les serveurs, réplicas, sauvegardes, support, CDN et fournisseurs IA peuvent être implantés dans différents pays. **Pays exacts : [À COMPLÉTER APRÈS CARTOGRAPHIE].** Les données personnelles transférées hors du Cameroun ou d'autres territoires réglementés doivent respecter les conditions et garanties applicables au cas concret. Pour des résidents européens soumis au RGPD, analyser notamment les conditions des transferts internationaux et les instruments appropriés ; ne pas promettre une localisation unique sans vérification.

## Article 15 — Mesures de sécurité

Mesures à documenter et vérifier : chiffrement du transport ; protections du stockage et des sauvegardes ; authentification robuste et éventuellement MFA ; contrôle par rôles ; séparation des organisations ; traces d'accès privilégié ; revue des permissions ; secrets gérés de manière sûre ; restauration testée ; pare-feu, mises à jour et gestion des vulnérabilités ; accès support limité ; réponse aux incidents ; confidentialité contractuelle ; gestion de la suppression. Une mesure listée ici constitue **une exigence à valider** et non une certification actuelle. Aucun système n'offre un risque nul.

En cas d'incident, nous appliquerons les procédures de réponse, de notification et de coopération prévues par les contrats et lois applicables. Le DPA doit préciser les modalités de notification aux clients concernés, délais opérationnels et informations à fournir.

## Article 16 — Conservation et effacement

Les données sont conservées pendant la période nécessaire à la finalité, au contrat et aux obligations légales. **Les durées ci-dessous constituent une grille à arrêter, non des engagements de délais déjà vérifiés.**

| Catégorie | Déclencheur de fin | Durée cible à valider | Sort |
|---|---|---|---|
| Compte utilisateur | suppression ou clôture | [À DÉFINIR] | suppression/anonymisation selon besoin légal |
| Données organisation | résiliation et fin de récupération | [DÉLAI D'EXPORT ET PURGE] | export puis suppression programmée |
| Copies de sauvegarde | fin de validité de la sauvegarde | [ROTATION] | expiration et écrasement contrôlé |
| Journaux de sécurité | création de l'événement | [DURÉE APPROUVÉE] | purge/agrégation |
| Support | clôture du ticket | [DURÉE APPROUVÉE] | suppression ou archivage limité |
| Factures d'abonnement et justificatifs | échéance des obligations légales | [DURÉE FISCALE/COMPTABLE] | archivage restreint |
| Prospection non cliente | dernière interaction pertinente | [DURÉE APPROUVÉE] | purge/opposition |
| Cookies | selon catégorie et consentement | voir politique cookies | expiration/retrait |
| Traces d'IA | fin de l'usage et contrôle nécessaire | [DURÉE À VALIDER] | purge des prompts/logs/index |
| Données vraiment anonymes | après anonymisation robuste | réexamen périodique | usage compatible et confidentialité |

La suppression d'une donnée source doit inclure, selon les possibilités et obligations, les index et dérivés identifiables. La suppression instantanée des sauvegardes en rotation ne doit pas être promise si elle est techniquement impossible ; elles restent protégées jusqu'à expiration. Les archives légalement obligatoires peuvent être isolées et conservées plus longtemps.

## Article 17 — Droits des personnes

Selon la loi applicable et leur rôle, les personnes peuvent notamment disposer de droits d'information, accès, rectification, effacement, opposition, retrait du consentement, limitation ou autres droits prévus par leur droit applicable. Les demandes sont adressées à **one@sabi.business** avec les informations raisonnablement nécessaires pour identifier le dossier sans collecter excessivement de pièces. Un canal sécurisé peut être fourni.

Lorsque les données relèvent d'une organisation cliente agissant comme responsable du traitement, celle-ci demeure le premier interlocuteur ; Improved Agency l'assiste selon le DPA. Nous accusons réception et répondons dans les délais légaux applicables **[PROCÉDURE ET DÉLAIS À DÉFINIR]**. Une demande peut être limitée par une obligation de conservation, les droits de tiers ou une autre exception légale, avec explication lorsque possible.

Les utilisateurs peuvent retirer les consentements facultatifs sans perdre l'accès aux fonctionnalités essentielles qui n'en dépendent pas. Un retrait n'annule pas automatiquement des opérations passées licites et peut ne pas permettre de retirer des informations d'un modèle déjà entraîné ; cette limite doit être expliquée avant tout programme volontaire d'entraînement.

## Article 18 — Emails, prospection et notifications

Les emails de service peuvent comprendre sécurité, vérification, validation de devis, facturation, assistance, échéances et changements contractuels. Ils sont distingués des messages commerciaux. Les communications promotionnelles sont envoyées selon les règles applicables, avec un mécanisme de désinscription lorsque requis. Les préférences marketing ne doivent pas bloquer les alertes de sécurité indispensables.

## Article 19 — Liens publics et sites externes

Les liens vers devis, factures ou documents via `sabi-one.online` (si domaine déployé) peuvent exposer une sélection d'informations au destinataire autorisé. Le client doit limiter les destinataires, vérifier le contenu et, lorsqu'elles existent, utiliser des échéances, jetons d'accès, authentification ou révocation. Le partage d'une URL peut transmettre son contenu à qui la possède si elle n'est pas suffisamment protégée. Les contenus publiés par les clients restent sous leur responsabilité. Les intégrations externes ont leurs propres conditions de confidentialité.

## Article 20 — Données particulières et mineurs

La plateforme est destinée à des organisations et professionnels. Elle n'est pas conçue comme un service autonome destiné aux enfants. Les clients évitent d'importer des données relatives à des mineurs ou des catégories sensibles sauf nécessité justifiée, base valide et garanties spécifiques. Les usages RH, médicaux, biométriques ou liés à des décisions sensibles peuvent imposer des analyses et contrats complémentaires.

## Article 21 — Cookies et traceurs

Des cookies, stockage local, identifiants de session, journaux ou technologies similaires peuvent être utilisés pour connecter les utilisateurs, sécuriser l'accès, mémoriser des préférences et, selon choix, mesurer l'audience ou la performance marketing. Les traceurs facultatifs ne sont pas activés avant l'autorisation requise. Pour catégories, inventaire réel, durées et choix, consulter **`SABI_ONE_Politique_Cookies_2026.md`**, à publier sur une URL dédiée. Les visiteurs doivent pouvoir revoir leurs préférences facilement.

## Article 22 — Modifications

La politique affichera sa version et sa date. Les évolutions substantielles font l'objet d'une information adaptée et, lorsqu'une finalité exige une nouvelle autorisation, celle-ci sera recueillie avant le traitement correspondant. La simple poursuite de l'utilisation ne régularise pas une réutilisation secondaire qui nécessiterait un consentement ou contrat distinct. Les versions précédentes devront être archivées.

---

# ANNEXE A — MATRICE DES USAGES DES DONNÉES

Légende : **Service** = traitement pour fournir le produit ; **conditionné** = autorisations, base juridique et contrats à vérifier ; **interdit par défaut** = aucun droit général accordé par les CGU.

| Type de données | Fournir SABI ONE | Sécurité et maintenance | Analyses internes SABI ONE | Autres produits Improved Agency | Produits des partenaires | Entraînement IA général |
|---|---|---|---|---|---|---|
| Identité des utilisateurs | service nécessaire | limité et justifié | conditionné/minimisé | interdit par défaut | interdit par défaut | interdit par défaut |
| Journaux techniques | service | nécessaire selon politique | conditionné/minimisé | conditionné si encore identifiables | interdit par défaut | interdit par défaut |
| Usage anonymisé et agrégé | selon finalité initiale | possible | possible | possible sous confidentialité | possible sous confidentialité | examen séparé |
| Devis, factures et contrats | service sur instruction | accès exceptionnel encadré | interdit sauf autorisation spécifique | interdit par défaut | interdit par défaut | interdit par défaut |
| Messages et emails | service sur instruction | exceptionnel | interdit sauf autorisation spécifique | interdit par défaut | interdit par défaut | interdit par défaut |
| Documents RH et financiers | service sur instruction | exceptionnel | interdit sauf autorisation spécifique | interdit par défaut | interdit par défaut | interdit par défaut |
| Prompts et réponses IA | inférence sur demande | minimisation, logs limités | conditionné | interdit par défaut | interdit par défaut | interdit par défaut |
| Données synthétiques validées | selon produit | selon cas | possible | possible si aucune fuite | possible sous contrôle | examen de sécurité |

# ANNEXE B — NOTICES COURTES À INTÉGRER À L'INTERFACE

### Création d'un compte

« Nous utilisons vos coordonnées pour créer votre compte, sécuriser votre accès et gérer votre abonnement. Vos dossiers métier restent soumis aux règles de votre organisation. Consultez notre politique de confidentialité et nos conditions d'utilisation. »

### Amélioration du produit, notice informative

« SABI ONE mesure des événements techniques et d'utilisation pour améliorer la fiabilité et l'ergonomie. Nous privilégions des mesures qui ne reprennent pas le contenu de vos documents. Certaines utilisations facultatives sont soumises à vos préférences. »

### Programme facultatif de contribution à l'amélioration d'autres produits

« Souhaitez-vous contribuer à [PROGRAMME IDENTIFIÉ] ? Ce programme utiliserait [DONNÉES PRÉCISES] pour [FINALITÉ DÉFINIE], par [ENTITÉ], pendant [DURÉE], avec [MESURES]. Vous pouvez refuser sans perdre votre abonnement. [CONDITIONS DE RETRAIT]. » **Case décochée par défaut ; ne pas afficher avant documentation et validation.**

### Programme partenaire distinct

« Autorisez-vous le partage de [DONNÉES PRÉCISES] avec [NOM DU PARTENAIRE] pour [OBJECTIF] ? Consultez les destinataires, durées, pays et modalités de retrait. Ce choix est facultatif. » **Ne pas regrouper tous les partenaires sous une autorisation vague.**

### Fonction IA

« Pour réaliser cette tâche, l'assistant analysera les éléments du dossier auxquels vous avez accès. Vérifiez les propositions avant validation. [IDENTITÉ DU FOURNISSEUR ET PAYS SI TRANSFERT]. »

# ANNEXE C — REGISTRE INTERNE À REMPLIR

Pour chaque opération documenter au minimum : code du traitement ; responsable et sous-traitants ; finalité ; nature et catégories de données ; personnes concernées ; provenance ; base juridique ; destinataires ; pays ; mesures de sécurité ; conservation ; transferts ; mécanisme d'exercice des droits ; consentement le cas échéant ; évaluation des risques ; date de revue.

## Tableau de gouvernance

| Processus | Responsable interne | Vérification avant publication |
|---|---|---|
| Comptes et authentification | [ÉQUIPE] | prestataire, durées, rôle, sécurité |
| CRM et dossiers | [ÉQUIPE] | isolation tenants, DPA, export, suppression |
| Logs d'application | [ÉQUIPE] | suppression des contenus, rétention |
| IA et agents | [ÉQUIPE] | fournisseur, entraînement, scopes, approbations |
| Facturation et paiements | [ÉQUIPE] | PSP, devises, risques, données conservées |
| Analytics et marketing | [ÉQUIPE] | cookies, consentement, fournisseurs |
| Recherches produits partenaires | [DIRECTION/JURIDIQUE] | contrats, anonymisation, finalités, droits |

# ANNEXE D — LISTE DE VÉRIFICATION PRÉ-PUBLICATION

- [ ] Compléter l'identité juridique, l'adresse et les contacts.
- [ ] Confirmer les domaines effectivement contrôlés et déployés.
- [ ] Identifier les responsables et sous-traitants par finalité.
- [ ] Publier le DPA et vérifier la cohérence avec les CGU.
- [ ] Déterminer et approuver les fondements juridiques par traitement.
- [ ] Auditer les pays de stockage, sauvegarde, accès support et fournisseurs IA.
- [ ] Fixer les durées de conservation, les procédures de purge et d'export.
- [ ] Tester isolation multitenant, droits RBAC, liens publics et accès des agents.
- [ ] Vérifier contractualisation de l'inférence IA et interdiction éventuelle d'entraînement fournisseur.
- [ ] Faire un inventaire des cookies et implémenter le blocage préalable des facultatifs.
- [ ] Configurer demandes de droits, retrait et journalisation de preuve.
- [ ] Vérifier les obligations de formalité, de notification et de transfert du droit camerounais.
- [ ] Réaliser, si nécessaire, les analyses d'impact et formalités locales.
- [ ] Prévoir annexes pour marchés UE/EEE et autres pays desservis.
- [ ] Archiver versions et preuves de consentement/contrats distincts.
- [ ] Relire l'ensemble par un juriste avant mise en ligne.

# ANNEXE E — RÉFÉRENCES POUR LA REVUE JURIDIQUE

- Cameroun : **loi n° 2024/017 du 23 décembre 2024 relative à la protection des données à caractère personnel**, texte à vérifier dans sa version officielle et en tenant compte des textes d'application et dispositions transitoires : https://droit-et-politique-en-afrique.info/wp-content/uploads/2024/12/Loi-du-23-decembre-2024-protection-des-donnees-personnelles-au-Cameroun.pdf
- Pour les personnes relevant du RGPD : Règlement (UE) 2016/679 : https://eur-lex.europa.eu/eli/reg/2016/679/oj
- Pratiques cookies (marchés concernés) : CNIL, recommandations sur les cookies et traceurs : https://www.cnil.fr/fr/cookies-et-autres-traceurs/que-dit-la-loi
- Politique de cookies liée : `SABI_ONE_Politique_Cookies_2026.md`.
- CGU liées : `SABI_ONE_CGU_Conditions_Utilisation_Donnees_IA_2026.md`.

**FIN — Document de travail non publiable sans vérification du produit, des prestataires et du droit applicable.**