Politique de confidentialité

Le responsable du traitement des données personnelles collectées via africwebhosting.com est :

• M-Roots Technology LLC — société de l'État du Wyoming, USA (cf. Mentions légales)
• Email : contact@africwebhosting.com

Toute demande relative à vos données peut être adressée directement à l'email ci-dessus. Lorsque le RGPD s'applique à vous (résidents de l'UE/EEE), vous conservez les droits décrits ci-dessous ; M-Roots Technology LLC met en œuvre des garanties appropriées pour les transferts de données hors UE.

Nous collectons uniquement les données strictement nécessaires à la fourniture du service :

• Données de compte : nom, email professionnel, nom de l'entreprise (saisis lors de la commande)
• Données de paiement : gérées exclusivement par Stripe ; nous n'avons jamais accès aux numéros de carte. Nous conservons uniquement l'identifiant Stripe Customer pour la gestion de l'abonnement
• Données d'abonnement : forfait choisi, nombre d'utilisateurs, options (archive auto, migration), dates de souscription/renouvellement
• Données techniques : adresse IP, navigateur, locale, événements de connexion (logs serveur). Conservés 90 jours pour le diagnostic.
• Données métier (emails, fichiers) : jamais hébergées par nous ; elles vivent uniquement dans les datacenters Microsoft / Google.

Finalité	Base légale
Exécution du contrat (provisioning, facturation)	Exécution du contrat (art. 6.1.b RGPD)
Authentification par lien magique	Exécution du contrat
Notifications transactionnelles (welcome, factures)	Exécution du contrat
Sécurité (logs, anti-bot Turnstile, rate limiting)	Intérêt légitime (art. 6.1.f RGPD)
Obligations comptables et fiscales	Obligation légale (art. 6.1.c RGPD)

Pas de prospection commerciale. Nous n'envoyons aucun email marketing sans consentement explicite (case à cocher dédiée).

• Données de compte et abonnement : pendant toute la durée du contrat, puis 3 ans après résiliation pour traitement des éventuelles réclamations
• Factures et données comptables : 10 ans (durée standard de conservation comptable)
• Logs techniques : 90 jours
• Logs d'audit (audit_logs) : 12 mois
• Cookies de session : 30 jours (durée de la session NextAuth)

Pour fournir le service, nous faisons appel aux sous-traitants suivants. Tous présentent un niveau de protection adéquat (clauses contractuelles types ou cadre Data Privacy Framework UE-USA pour les opérateurs américains).

Sous-traitant	Rôle	Localisation
OVHcloud (infrastructure)	Hébergement VPS + Mail	Amérique du Nord
Cloudflare	DNS, CDN, Turnstile	USA (DPF)
Stripe Payments Europe	Paiements	Irlande
Microsoft	Service M365 revendu	UE / USA (DPF)
Google	Service Workspace revendu	UE / USA (DPF)

Quelle que soit votre juridiction, vous pouvez exercer les droits suivants sur vos données :

• Accès : obtenir une copie de vos données
• Rectification : corriger des informations inexactes
• Effacement (droit à l'oubli) : sous réserve des obligations légales (factures conservées 10 ans)
• Limitation : suspendre certains traitements
• Portabilité : récupérer vos données dans un format structuré
• Opposition : refuser certains traitements pour motif légitime

Si vous résidez dans l'UE/EEE, vous disposez en outre des droits prévus par le RGPD, y compris le droit d'introduire une réclamation auprès de votre autorité de protection des données (par ex. la CNIL en France, cnil.fr).

Pour exercer ces droits, écrivez à contact@africwebhosting.com en justifiant de votre identité. Réponse sous 1 mois maximum.

Mesures techniques et organisationnelles mises en œuvre :

• Chiffrement TLS 1.3 sur l'ensemble du trafic web
• Authentification sans mot de passe (lien magique unique, expiration 24h)
• Hashing PII dans les logs (jamais d'email/message en clair)
• Validation stricte des entrées (Zod, anti-injection)
• Anti-bot Cloudflare Turnstile sur les formulaires
• Rate limiting Redis sur les endpoints sensibles
• Backups quotidiens chiffrés de la base de données
• Audit log des événements critiques

Le site utilise Umami, une solution d'analytics open-source auto-hébergée sur notre infrastructure (analytics.africwebhosting.com). Umami est conçu pour respecter la vie privée :

• Données collectées : pages vues agrégées, referrer (domaine source), type d'appareil, navigateur, pays — aucun identifiant individuel, aucune IP stockée, aucun cookie de tracking
• Localisation : données stockées exclusivement sur notre propre infrastructure (OVHcloud, Amérique du Nord), hors Cloud tiers
• Base légale : consentement (art. 6.1.a RGPD & PECR) — le script Umami n'est chargé qu'après acceptation explicite via le bandeau de consentement affiché à la première visite
• Retrait du consentement : vous pouvez refuser via le bandeau lors de votre première visite, ou supprimer à tout moment le cookie afh_cookie_consent (ou l'entrée localStorage du même nom) depuis les paramètres de votre navigateur — le script ne sera plus chargé

En cas de refus ou d'absence de consentement, aucun script analytics n'est injecté dans la page.

Dans le cadre de la fourniture des services Microsoft 365 et Google Workspace, AfricWebHosting (M-Roots Technology LLC) intervient en qualité de sous-traitant au sens de l'article 28 du RGPD sur les tenants des Clients, qui restent responsables du traitement des données de leurs collaborateurs.

À ce titre, nous nous engageons à :

• N'agir que sur instruction documentée du Client (Responsable du traitement)
• Garantir la confidentialité des accès et des données transitant par notre interface d'administration
• Mettre en œuvre les mesures de sécurité techniques et organisationnelles appropriées
• Notifier le Client sans délai (et dans un délai maximal de 72 heures) en cas de violation de données personnelles susceptible d'affecter ses tenants
• Assister le Client pour répondre aux demandes d'exercice de droits de ses utilisateurs
• Supprimer ou restituer les données à l'issue du contrat selon instruction du Client

Sous-traitants ultérieurs autorisés : Microsoft Corporation (administration M365), Google LLC (administration Workspace), fournisseur cloud UE (hébergement infrastructure), Cloudflare Inc. (CDN/DNS), Resend Inc. (emails transactionnels — secours). Tous opèrent sous garanties adéquates (CCT UE ou cadre DPF UE-USA).

Accord de sous-traitance (DPA) : tout Client soumis au RGPD peut demander la signature d'un Accord de Traitement des Données (DPA) contractualisé. Consultez le modèle de DPA disponible à la page Accord de sous-traitance et écrivez-nous à contact@africwebhosting.com (délai de traitement : 5 jours ouvrés).

Le service, précédemment opéré par BaoProd, est désormais exploité par M-Roots Technology LLC (Wyoming, USA) depuis juillet 2026. Cette politique est susceptible d'évoluer (mise à jour des sous-traitants ou des finalités) ; toute modification substantielle sera notifiée par email aux Clients actifs au moins 30 jours avant entrée en vigueur.