Politique de confidentialité

Bienvenue sur TFlow. Nous accordons de l’importance à votre vie privée et nous nous engageons à protéger vos données personnelles conformément aux meilleures pratiques internationales et aux exigences de Meta/WhatsApp Business Platform.

1. Qui sommes-nous

TFlow est une plateforme de gestion de la relation client (CRM) reposant sur WhatsApp Business API, détenue et exploitée par :

• Dénomination sociale : Société Tarabot Tech pour les communications et les technologies de l’information
• Adresse : Rue Bouzheir, route d’Al-Mashtal, Tripoli, Libye
• E-mail : [email protected]
• Téléphone : +218 91 456 7777

Nous agissons en qualité de responsable du traitement pour les données relatives aux comptes, à la facturation et au support. Les données des clients et des conversations saisies par une organisation ou reçues via les canaux connectés sont traitées pour le compte de cette organisation et conformément à ses instructions. L’organisation demeure responsable de la licéité de la collecte de ces données et de l’information des personnes concernées.

2. Informations que nous collectons

2.1 Informations que vous fournissez directement

• Informations de compte et de profil : Nom complet, nom d’utilisateur, adresse e-mail, numéro de téléphone, nom de l’entreprise, photo de profil, rôle et autorisations. Les mots de passe sont stockés sous forme de hachages sécurisés et ne sont pas affichés en clair.
• Données de gestion de la relation client (CRM) : Données relatives aux clients, aux contacts, aux prospects, aux tâches, aux tickets, aux rendez-vous, aux notes, aux étiquettes et à l’historique d’activité, pouvant inclure la date de naissance, le numéro d’identité et la nationalité lorsqu’ils sont saisis.
• Adresses et données professionnelles : L’adresse, le pays, la ville, la rue et la localisation saisis par l’utilisateur ou partagés par le client, ainsi que les informations sur l’entreprise, l’immatriculation au registre du commerce et le numéro fiscal lorsqu’ils sont saisis.
• Données financières et bancaires : Valeurs des opportunités commerciales, devises, factures, plafonds de crédit, nom de la banque, numéro de compte et IBAN lorsqu’ils sont saisis dans l’espace de travail.
• Conversations et fichiers : Messages, notes internes, images, vidéos, fichiers audio, documents et pièces jointes, ainsi que les données d’appel et les enregistrements d’appels lorsque l’enregistrement est activé.
• Données d’intégration : Identifiants de comptes et de canaux WhatsApp, Facebook, Instagram et TikTok, numéros de téléphone et identifiants de conversation, ainsi que les jetons d’accès nécessaires uniquement aux intégrations activées par l’administrateur de l’espace de travail.
• Données des demandes de suppression de compte : Domaine de l’espace de travail, nom d’utilisateur, adresse e-mail, numéro WhatsApp, portée de la demande, motif, numéro de référence, statut et dates de traitement.

2.2 Informations collectées automatiquement

• Données de l’appareil et de l’application : Un identifiant d’installation ou de session émis par le serveur, un identifiant d’installation Firebase et un jeton de notification push (FCM) lorsque les notifications sont activées, ainsi que le système d’exploitation, le type d’appareil et la version de l’application ou du navigateur.
• Données d’utilisation et d’exploitation : Heures de connexion, actions, journaux des requêtes API ainsi que les erreurs d’exploitation et de sécurité qui parviennent à nos serveurs et qui sont nécessaires pour faire fonctionner le service et en assurer le support.
• Adresse IP : À des fins de sécurité et de prévention de la fraude
• Mesure du site web : Cloudflare Web Analytics traite des mesures techniques agrégées de performance et de visites sur les pages de tflow.ly. Meta traite des données techniques via Meta Pixel sur les pages de présentation du produit et sur la page de création de l’essai, comme expliqué à la section 11, qui indique également les moyens d’y mettre fin. Aucun de ces deux outils n’est présent dans l’application mobile.

2.3 Données de l’appareil que l’application mobile ne collecte pas

• Carnet d’adresses : L’application mobile n’accède pas au carnet d’adresses de l’iPhone et ne copie pas les contacts enregistrés sur l’appareil. Les contacts du CRM proviennent de l’espace de travail, des canaux connectés ou des informations que l’utilisateur saisit dans le service.
• Localisation de l’appareil : L’application mobile ne demande pas l’autorisation d’accéder à la localisation de l’appareil et ne collecte pas la position GPS en arrière-plan. Les fiches du CRM peuvent contenir une adresse ou une localisation saisie par un utilisateur ou envoyée par un client dans une conversation ; il ne s’agit pas d’un suivi de la localisation de votre appareil.
• Suivi publicitaire : L’application mobile n’utilise pas d’identifiant publicitaire, ne suit pas les utilisateurs à travers les applications ou les sites web d’autres entreprises et ne demande pas l’autorisation App Tracking Transparency.

2.4 Autorisations mobiles facultatives

• Microphone : Demandé lors de l’enregistrement d’un message vocal ou du lancement d’un appel ; le son est utilisé pour exécuter l’action que vous avez lancée.
• Photothèque : Utilisée uniquement lorsque vous choisissez vous-même une photo de profil ou une pièce jointe pour une conversation. La version actuelle n’utilise pas l’appareil photo de l’iPhone et n’en collecte aucune vidéo.
• Documents : L’application ouvre un sélecteur de fichiers lorsque vous choisissez vous-même un document à envoyer ou à afficher ; elle n’analyse pas les fichiers de l’appareil en arrière-plan.
• Notifications : L’application demande l’autorisation d’envoyer des notifications afin que vous receviez les alertes de messages, de tâches, de tickets et d’appels que vous choisissez d’activer.

3. Utilisation de vos informations

• Fourniture du service : Connexion de votre compte WhatsApp Business et gestion des conversations
• Amélioration du service : Analyse des habitudes d’utilisation afin de développer la plateforme
• Notifications : Association de votre appareil à votre compte et envoi des notifications de messages, de tâches, de tickets et d’appels
• Intelligence artificielle : Traitement du contenu nécessaire aux fonctionnalités activées par l’administrateur de l’espace de travail, telles que l’aide à la réponse, la transcription ou l’analyse, par l’intermédiaire du fournisseur sélectionné
• Mesure du site web : Mesure des performances des pages et des visites agrégées, ainsi que mesure des demandes d’essai et de l’attribution des campagnes via Meta Pixel, comme décrit à la section 11
• Support technique : Vous aider à résoudre les problèmes techniques
• Sécurité : Protection de votre compte et prévention de la fraude

4. Base juridique du traitement

• Exécution d’un contrat : Pour fournir les services que vous avez demandés
• Consentement : Lorsque vous consentez expressément à un traitement spécifique
• Intérêts légitimes : Pour améliorer nos services et protéger la sécurité de la plateforme
• Obligation légale : Pour respecter les lois et les règlements

5. Partage des informations

Nous ne vendons ni ne louons vos informations personnelles. Nous ne partageons que les informations minimales nécessaires au fonctionnement de la fonctionnalité que vous utilisez. Cela peut inclure :

• Google Firebase Cloud Messaging: Le jeton de notification, les identifiants d’acheminement du compte et de l’espace de travail, les données d’ouverture de la destination, ainsi que le titre et le corps de la notification. Une notification de message peut inclure un résumé du message et des identifiants CRM ; une notification d’appel peut inclure le nom et le numéro de téléphone de l’appelant ou du client lorsqu’ils sont disponibles.
• Cloudflare: Diffusion et protection du site, et mesure de ses performances via Web Analytics. Cela comprend les requêtes réseau qui transitent par Cloudflare et les mesures techniques de chargement des pages décrites à la section 11 ; les résultats nous sont présentés sous forme de statistiques agrégées.
• Meta et TikTok : Les identifiants de canal et de destinataire ainsi que le contenu des messages ou des médias nécessaires pour envoyer et recevoir les conversations lorsque ces canaux sont connectés. Meta peut traiter séparément les données de mesure du site web décrites à la section 11.
• Fournisseurs de télécommunications et d’infrastructure vocale : Les numéros, identifiants, signalisation et flux audio des appels nécessaires pour passer, enregistrer ou analyser les appels lorsque l’administrateur de l’espace de travail active ces fonctionnalités. Les services ICE/STUN peuvent traiter les adresses IP et les données réseau pour établir la connexion.
• OpenAI, Google Gemini ou Moonshot Kimi : La requête, le contexte et le contenu textuel, visuel ou audio nécessaires à l’exécution de la fonctionnalité sélectionnée, selon la fonctionnalité et les capacités du fournisseur, uniquement lorsqu’elle est activée et utilisée. L’administrateur de l’espace de travail détermine le fournisseur disponible.
• Fournisseurs d’hébergement et de sécurité : Les données techniques et les copies nécessaires pour exploiter, protéger et restaurer l’infrastructure.
• Exigences légales : Lorsque la loi l’exige

Ces fournisseurs peuvent traiter des données dans d’autres pays, conformément à leurs conditions et aux accords de traitement applicables. Nous ne leur transmettons pas le mot de passe de votre compte et limitons les données à ce qu’exige l’opération demandée.

6. Intégration de WhatsApp Business API

7. Sécurité des données

• Protection des transmissions et des identifiants : Utilisation de TLS/SSL pendant la transmission et stockage des mots de passe sous forme de hachages qui ne peuvent pas être affichés
• Contrôle d’accès : Accès limité au seul personnel autorisé
• Journaux de sécurité et d’exploitation : Journalisation des événements d’exploitation et de sécurité nécessaires pour analyser les pannes et les tentatives d’abus
• Copies de restauration : L’environnement d’hébergement peut créer des sauvegardes pour permettre la restauration et la continuité du service. Leur durée et leurs mesures de contrôle dépendent de la configuration et du contrat d’exploitation de l’environnement.

8. Conservation des données

Nous conservons les données du compte et du CRM tant que le compte est actif ou que les données sont nécessaires à la fourniture du service. Les durées suivantes s’appliquent :

• Demande de suppression vérifiée : Après avoir rapproché les informations de la demande du compte concerné et effectué la vérification requise, nous engageons la suppression ou l’anonymisation dans les systèmes actifs sans retard injustifié et visons à achever le traitement dans un délai de 30 jours à compter de la fin de la vérification. Nous pouvons demander des justificatifs supplémentaires ou conserver ce que la loi impose. Le statut associé au numéro de référence reste le principal moyen de suivi de la demande.
• Fermeture du compte sans demande de suppression vérifiée : La fermeture seule n’est pas traitée comme une demande de suppression complète. Les données dont la suppression n’a pas été demandée sont soumises au calendrier d’exploitation, au contrat et à la loi applicable ; utilisez le formulaire de suppression vérifiée pour lancer une demande précise et traçable.
• Enregistrements d’appels : Les fichiers audio stockés localement dans l’environnement du locataire sont supprimés après une durée par défaut de 90 jours à compter de la création de l’enregistrement. L’opérateur de l’environnement peut configurer une durée différente, qui doit alors être reflétée dans le contrat de service et respecter les exigences légales. Les métadonnées d’appel peuvent être conservées pendant la durée de conservation du compte CRM après la suppression du fichier audio.
• Jetons d’appareil et de notification : Nous dissocions le jeton du compte après une déconnexion réussie ou la révocation de la session, et supprimons les jetons dont l’invalidité est confirmée. Un jeton FCM peut rester stocké localement sur l’appareil jusqu’à ce que Firebase le remplace ou que l’application le supprime. Les sessions d’authentification peuvent expirer automatiquement selon leur durée de validité.
• Dossier de la demande de suppression : Nous conservons les données d’identification de la demande pendant son examen. Une fois la suppression effectuée, nous retirons immédiatement du dossier de la demande le domaine, le nom d’utilisateur, l’adresse e-mail, le numéro de téléphone, le motif et la preuve de vérification WhatsApp. Pour les demandes annulées ou rejetées, ces données sont retirées après 90 jours. Un enregistrement d’exploitation minimal, ne contenant aucune donnée permettant d’identifier le client, est conservé jusqu’à deux ans, puis supprimé automatiquement par le système.

Nous pouvons conserver le minimum nécessaire d’enregistrements de facturation, de comptabilité, de sécurité, de prévention de la fraude et de preuve des demandes lorsque la loi l’exige ou en cas de litige ou de réclamation en justice. Nous limitons leur utilisation à cette finalité, puis les supprimons ou les anonymisons à l’expiration de la durée requise.

9. Vos droits

• Droit d’accès : Demander une copie de vos données personnelles
• Droit de rectification : Faire corriger les données inexactes
• Droit à l’effacement : Demander la suppression de vos données
• Droit à la portabilité : Obtenir vos données dans un format portable

10. Suppression des données

Vous pouvez lancer la suppression de votre compte et des données personnelles associées, sous réserve des exceptions décrites à la section 8, au moyen du formulaire de suppression de compte, vérifier votre numéro WhatsApp et obtenir immédiatement un numéro de référence pour le suivi. Utilisez l’adresse [email protected] pour toute question et pour obtenir de l’aide dans le suivi d’une demande enregistrée.

Le délai de traitement visé de 30 jours court à compter de la fin de la vérification et du rapprochement de la demande. Le numéro de référence indique l’état d’avancement du traitement et le résultat final. Nous pouvons vous contacter par l’adresse e-mail ou le numéro WhatsApp indiqués dans la demande si nous avons besoin de justificatifs supplémentaires ou pour confirmer le résultat. La seule désactivation du compte ne remplace pas l’exécution de la demande de suppression.

11. Cookies et mesure du site web

Nous utilisons un cookie de session essentiel pour faire fonctionner le site, protéger les requêtes et maintenir la session. Le site utilise également Cloudflare Web Analytics pour mesurer les performances et les visites agrégées, ainsi que la source Meta Pixel/Dataset nommée Website - Active Pixel sur les pages de présentation du produit et sur la page de création de l’essai.

11.1 Cloudflare Web Analytics

La balise Cloudflare Web Analytics est injectée automatiquement dans les pages du site, en périphérie du réseau Cloudflare. Elle recueille les temps de chargement des pages, les mesures Core Web Vitals, le domaine et le chemin de la page sans la chaîne de requête, le référent, le pays, le type d’appareil, le navigateur, le système d’exploitation et le type de navigation. Nous utilisons les résultats agrégés pour détecter les pages lentes et améliorer les performances et la fiabilité, sur la base de notre intérêt légitime à exploiter et à améliorer le site.

Des données techniques de base, telles que l’adresse IP et les données du navigateur, parviennent à Cloudflare avec les requêtes réseau. Selon la description du service fournie par Cloudflare, Web Analytics n’utilise ni cookies ni localStorage, ne crée pas d’empreinte numérique des visiteurs à partir de l’adresse IP ou de l’agent utilisateur et ne suit pas les personnes d’un site client de Cloudflare à l’autre. Les mesures de la balise sont envoyées au chemin /cdn-cgi/rum et traitées par Cloudflare conformément à sa politique de confidentialité. Ce traitement est distinct de Meta Pixel.

11.2 Meta Pixel et sa finalité

Meta Pixel a pour finalité de mesurer les visites des pages TFlow et la réussite des étapes de demande d’essai, ainsi que de comprendre l’attribution et l’efficacité des campagnes. Nous chargeons la bibliothèque fbevents.js automatiquement à l’ouverture de ces pages, sur la base de notre intérêt légitime à mesurer et à améliorer nos campagnes marketing, et nous n’envoyons à Meta que les événements définis ci-dessous. L’arrêt de la mesure n’affecte ni l’utilisation du site ni la création d’un essai.

• PageView: Visite de page ; nos paramètres personnalisés se limitent à deux valeurs fixes : product=tflow et site=tflow.ly.
• Lead: Achèvement de l’étape de vérification de la demande d’essai.
• CompleteRegistration: Achèvement de la création de l’essai, avec la valeur fixe content_name=tflow_trial.

11.3 Données techniques susceptibles d’être traitées par Meta

Lors du chargement du pixel, Meta peut recevoir le nom et l’heure de l’événement, l’adresse et le chemin de la page, le référent, le type de navigateur et d’appareil, l’adresse IP, ainsi que des identifiants ou cookies Meta tels que _fbp et _fbc s’ils sont présents. Certaines de ces données peuvent constituer des données personnelles ou des identifiants en ligne et peuvent être traitées par Meta ou transférées à Meta en dehors de la Libye. Leur traitement est également soumis à la Politique de confidentialité de Meta.

Notre intégration n’insère ni nom, ni numéro de téléphone, ni adresse e-mail, ni nom d’entreprise, ni domaine, ni appId ni mot de passe dans les paramètres des événements Meta Pixel. La page de création de l’essai contenant ces champs, les fonctionnalités Automatic website matching et Track events automatically without code doivent être désactivées dans Events Manager avant l’activation du pixel dans tout environnement utilisant des données réelles. Nous ne nous appuyons pas uniquement sur la suppression des données des paramètres d’événement pour empêcher la correspondance automatique, et nous n’autorisons pas les événements déduits susceptibles de dupliquer nos événements définis.

11.4 Contrôle et arrêt de la mesure Meta

Nous n’affichons pas de fenêtre de consentement pour la mesure Meta. Si vous activez le signal Global Privacy Control (GPC) dans votre navigateur, nous ne chargerons pas l’outil et n’enverrons aucun nouvel événement ; nous respectons également tout refus enregistré auparavant dans votre navigateur par une version antérieure du site. Vous pouvez aussi bloquer les cookies tiers dans les paramètres de votre navigateur ou ajuster vos préférences publicitaires dans les paramètres de votre compte Meta. L’arrêt de la mesure n’annule pas les traitements de données effectués auparavant.