ORCHID PAY

Politique de confidentialité

Version 1.0 — Dernière mise à jour : 20 mai 2026

La présente politique décrit comment Orchid Systems (« nous », « nos », « l'éditeur »), éditeur de l'application Orchid Pay, collecte, traite, conserve et protège vos données personnelles lorsque vous utilisez nos services. Elle s'applique à l'application mobile et au backend hébergé sur api-pay.orchid.mg.

Orchid Pay est une plateforme de paiements en réseau fermé (closed-loop) destinée à des communautés privées (écoles, entreprises, coopératives). Nous traitons des données financières et d'identification conformément à la réglementation en vigueur à Madagascar et aux exigences de la Banky Foiben'i Madagasikara (BFM).

1. Responsable de traitement

Orchid Systems
Près II Y 53 Bis Andrainarivo
101 Antananarivo
Madagascar
Email : privacy@orchid.mg

Pour toute question relative à vos données ou pour exercer vos droits, contactez-nous à l'adresse ci-dessus.

2. Données que nous collectons

Nous collectons uniquement les données nécessaires au fonctionnement sécurisé et conforme du service de paiement. Toutes les données sont liées à votre identifiant utilisateur interne (UUID).

Catégorie	Détail	Finalité
Coordonnées	Numéro de téléphone, adresse email, nom, prénom(s), date de naissance	Création de compte, authentification, communication transactionnelle (OTP, codes d'activation)
Pièce d'identité	Photo de la carte d'identité nationale (CIN) ou passeport, photographie selfie	Vérification KYC (Know Your Customer) imposée par la réglementation financière BFM
Numéro CIN	Stocké chiffré (AES-256 via pgcrypto)	Identification unique, conformité LCB-FT (lutte contre le blanchiment)
Données financières	Solde du wallet, historique des transactions, références bancaires des virements reçus	Tenue de compte, exécution des paiements, relevé utilisateur
Identifiants techniques	UUID utilisateur, jetons de notifications push (FCM Android / APNs iOS)	Authentification, livraison des notifications transactionnelles
Données de diagnostic	Rapports de plantage et performances (Apple Crash Reports / Google Play Console)	Détection et correction de bugs — données anonymisées par les éditeurs des OS

Nous ne collectons PAS : votre position géographique, votre historique de navigation web, vos contacts, vos photos personnelles, votre santé, ni aucune donnée à des fins publicitaires.

3. Bases juridiques du traitement

Exécution du contrat : les données de paiement et de compte sont nécessaires pour vous fournir le service.
Obligation légale : la vérification KYC et la conservation décennale des transactions sont imposées par la réglementation malgache (loi sur la lutte anti-blanchiment et instructions BFM).
Consentement éclairé : par votre acceptation des Conditions Générales d'Utilisation lors de l'inscription, vous consentez expressément à la collecte et au traitement des données décrits ci-dessus.
Intérêt légitime : la sécurisation de l'application (détection de fraude, monitoring d'incidents) repose sur notre intérêt légitime à protéger nos utilisateurs et l'intégrité du système.

4. Durée de conservation

Données de transaction : 10 ans à compter de la transaction (obligation BFM, conservation des écritures comptables).
Données d'identification (KYC) : 5 ans à compter de la fermeture du compte (obligation LCB-FT).
Photos CIN et selfie : 5 ans à compter de la fin de la relation contractuelle, dans un stockage chiffré à accès restreint.
Données de diagnostic : 90 jours maximum côté éditeurs OS (Apple, Google), aucune conservation côté serveur Orchid Pay.
Jetons de notification push : durée du contrat, invalidés automatiquement à la désinstallation de l'app.

5. Destinataires et partages

Vos données ne sont ni vendues, ni partagées à des fins commerciales. Elles peuvent être communiquées :

Aux autorités publiques compétentes sur réquisition légale (BFM, justice, administration fiscale, dans le cadre strict de la loi).
À nos partenaires bancaires uniquement pour l'exécution des virements bancaires entrants ou sortants (numéro de référence de transaction, montant, date).
À nos sous-traitants techniques dans le cadre strict de leur prestation (cf. section 7).

6. Sécurité des données

Chiffrement en transit : toutes les communications entre l'application et nos serveurs utilisent TLS 1.3.
Chiffrement au repos : les données sensibles (numéro CIN, codes PIN hachés avec bcrypt 12 rounds) sont chiffrées AES-256 dans la base de données via PostgreSQL pgcrypto.
Authentification biométrique : si vous l'activez, l'accès à l'application est protégé par Face ID, Touch ID ou empreinte digitale via le système de votre appareil.
Isolation : les soldes financiers sont gérés en partie double (double-entry bookkeeping) avec un ledger immuable — toute écriture est tracée et conservée.
Accès restreint : seuls les administrateurs habilités d'Orchid Systems ont accès aux données utilisateurs, via un système RBAC fin et un journal d'audit complet.

7. Sous-traitants

Nous faisons appel aux prestataires suivants, sélectionnés pour leur conformité aux standards de sécurité :

Sous-traitant	Rôle	Localisation
Hetzner Online GmbH	Hébergement des serveurs (PostgreSQL, Redis, backend Node.js)	Allemagne (UE)
Apple Inc.	Apple Push Notification Service (APNs), App Store	États-Unis
Google LLC	Firebase Cloud Messaging (FCM), Google Play	États-Unis
Brevo (ex-Sendinblue)	Envoi des emails transactionnels (OTP, reset PIN)	France (UE)
Expo (EAS)	Build et distribution des binaires applicatifs	États-Unis

Tout transfert de données hors de Madagascar fait l'objet de garanties contractuelles appropriées (Clauses contractuelles types de la Commission européenne pour les sous-traitants UE, garanties équivalentes pour les autres).

8. Vos droits

Vous disposez des droits suivants sur vos données personnelles :

Droit d'accès : obtenir une copie de vos données.
Droit de rectification : corriger les données inexactes ou incomplètes (nom, email, etc.).
Droit à l'effacement : demander la suppression de vos données, dans la limite des obligations légales de conservation (cf. section 4).
Droit à la portabilité : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine.
Droit d'opposition : vous opposer au traitement pour les finalités basées sur l'intérêt légitime.
Droit de retirer votre consentement à tout moment, sans préjudice de la légalité des traitements passés.

Pour exercer ces droits, contactez-nous à privacy@orchid.mg. Nous répondons dans un délai d'un mois. Si vous estimez vos droits non respectés, vous pouvez saisir l'autorité compétente.

9. Pas de suivi publicitaire

Conformément à nos engagements et à notre déclaration auprès d'Apple et Google, l'application Orchid Pay ne suit pas les utilisateurs à travers d'autres applications ou sites web. Aucune donnée n'est partagée avec des plateformes publicitaires, brokers de données ou réseaux d'attribution. Aucun cookie tiers, aucun SDK d'analytics ou de publicité tierce n'est intégré.

10. Mineurs

L'application est ouverte aux mineurs sous certaines conditions (notamment dans le cadre du pilote école Vatel). Lorsqu'un utilisateur mineur s'inscrit, un consentement parental ou de représentant légal peut être requis selon la législation applicable. Les données des mineurs font l'objet d'une protection renforcée.

11. Modifications de la politique

Nous pouvons modifier cette politique pour refléter les évolutions légales ou techniques. La date de dernière mise à jour est indiquée en en-tête. Les modifications substantielles vous seront notifiées via l'application avant leur prise d'effet.

12. Mentions spécifiques Apple et Google

Apple App Store — la collecte de données déclarée ici est cohérente avec le formulaire « App Privacy » d'App Store Connect. L'application ne demande pas l'autorisation App Tracking Transparency (ATT) car elle n'effectue aucun suivi cross-app.

Google Play — la collecte est conforme à la section « Data Safety » de notre fiche Google Play. Aucune donnée n'est transférée à des tiers à des fins publicitaires.

13. Contact

Pour toute question, demande d'exercice de droit ou signalement d'incident :

Orchid Systems
Près II Y 53 Bis Andrainarivo
101 Antananarivo, Madagascar
Email : privacy@orchid.mg