Politique de confidentialité — SunuPlateform

Version 2026.09.1 — applicable à compter du 26 septembre 2026

1. Objet

La présente politique décrit comment SunuPlateform, plateforme SaaS éditée et exploitée par SUNUWARE TECHNOLOGIES SUARL, au capital de 100 000 FCFA, immatriculée sous le NINEA 013285524 et le RCCM SN.DKR.2026.B.30533, dont le siège social est situé à Tivaouane Peulh, Cité Namora, Villa n°95, Bambylor, Rufisque, Dakar, Sénégal, traite les données à caractère personnel dans le cadre de ses services.

SunuPlateform regroupe plusieurs modules et services, notamment :

SunuPayRH ;
SunuCompta ;
SunuCRM ;
SunuFacture / Finance ;
SunuFiscal ;
les services transverses d'identité, facturation, support, sécurité, IA et intégrations.

Les modules activés dépendent de l'abonnement du Client.

2. Rôles de SunuWare et du Client

SunuWare n'agit pas toujours sous la même qualification.

2.1 Lorsque SunuWare agit comme responsable de traitement

SunuWare agit notamment comme responsable pour ses propres finalités :

création et administration des comptes SunuPlateform ;
gestion de la relation contractuelle avec le Client ;
facturation et recouvrement de l'abonnement SunuPlateform ;
sécurité, prévention des abus, gestion des incidents ;
support et communications de service ;
administration technique et amélioration de la fiabilité du service ;
prospection commerciale propre à SunuWare, le cas échéant.

2.2 Lorsque SunuWare agit comme sous-traitant du Client

Pour les données métier chargées, saisies ou générées par le Client dans ses espaces, le Client détermine en principe les finalités et moyens essentiels du traitement. SunuWare traite alors ces données pour fournir le service, sur instruction du Client, notamment :

données salariés et paie ;
données RH, congés, absences et pointage ;
données CRM de prospects, contacts, clients et fournisseurs ;
pièces comptables et financières ;
données fiscales ;
communications métier envoyées via une boîte connectée par le Client.

Ces rôles sont précisés dans l'Accord de traitement des données (DPA).

3. Catégories de personnes concernées

Selon les modules utilisés, SunuPlateform peut traiter des données relatives à :

utilisateurs administrateurs du Client ;
salariés, anciens salariés et candidats ;
clients, prospects, leads et contacts professionnels ;
fournisseurs, prestataires et partenaires du Client ;
représentants légaux et interlocuteurs des entreprises clientes ;
personnes contactant le support SunuPlateform ;
utilisateurs du portail salarié.

4. Catégories de données

4.1 Compte et identité

nom, prénom ;
adresse e-mail ;
téléphone si renseigné ;
identifiants techniques de compte ;
rôle, permissions et appartenance à une entreprise ;
historique de sécurité et de connexion.

4.2 Données entreprise

raison sociale, NINEA, RCCM ;
adresse, téléphone, e-mail professionnel ;
représentant/signataire ;
paramètres et préférences de l'entreprise.

4.3 SunuPayRH

identité salarié ;
matricule, poste, catégorie, convention ;
contrat et ancienneté ;
rémunération, primes, retenues, avantages ;
bulletins de paie ;
congés, absences et soldes ;
horaires et pointage ;
géolocalisation de pointage lorsque cette fonction est activée ;
informations sociales et fiscales nécessaires au calcul et aux déclarations ;
documents RH ;
pièces d'identité lorsque le Client choisit de les déposer ;
justificatifs médicaux ou autres données de santé lorsqu'ils sont nécessaires à un workflow RH activé par le Client.

Lorsque ces documents contiennent un numéro national d'identification ou des données de santé, le Client demeure responsable des formalités CDP applicables et SunuWare limite leur traitement aux fonctions demandées.

4.4 SunuCRM

coordonnées des contacts ;
entreprises et leads ;
opportunités commerciales ;
activités, tâches, appels, e-mails et WhatsApp enregistrés par les utilisateurs ;
notes, historique commercial et prochaines actions.

4.5 SunuCompta / Finance / Fiscal

écritures, journaux, comptes et balances ;
factures, devis et avoirs ;
données de fournisseurs et clients ;
références fiscales et NINEA ;
paiements, allocations, comptes de trésorerie ;
pièces justificatives ;
déclarations et ajustements fiscaux.

4.6 Données techniques

adresse IP ;
informations appareil/navigateur ;
logs de sécurité et d'audit ;
identifiants de requêtes et d'opérations ;
événements applicatifs nécessaires au fonctionnement et à la sécurité.

4.7 Support

identité et coordonnées de la personne qui contacte le support ;
contenu des demandes ;
pièces jointes éventuellement transmises ;
historique de traitement.

4.8 IA

Lorsque l'utilisateur emploie une fonctionnalité IA, certaines informations nécessaires à la réponse peuvent être transmises au fournisseur de modèle utilisé par SunuPlateform.

SunuWare cherche à minimiser les données envoyées et met en œuvre des mécanismes de réduction/suppression de certaines données identifiantes pour certains usages. Cela ne signifie pas que toute interaction IA est systématiquement anonymisée.

Le Client doit éviter de soumettre à l'IA des données non nécessaires à la demande.

Des informations sur les principaux prestataires, leurs finalités et les éléments de localisation disponibles peuvent être obtenues auprès de SunuWare à l'adresse de contact indiquée ci-dessous.

5. Finalités

Les données sont traitées notamment pour :

fournir les modules souscrits ;
créer et gérer les comptes ;
calculer la paie et produire les documents RH ;
gérer l'activité RH et le pointage ;
tenir la comptabilité et produire les états/exports ;
gérer les factures, paiements et opérations financières ;
gérer prospects, contacts, opportunités et activités commerciales ;
fournir l'assistance IA ;
envoyer les communications demandées par le Client ;
assurer la sécurité, l'audit et la disponibilité du service ;
gérer la facturation SunuPlateform ;
répondre au support ;
respecter les obligations légales applicables.

6. Fondements des traitements et instructions du Client

Lorsque SunuWare agit comme responsable de traitement, les traitements sont rattachés aux cas prévus par la loi sénégalaise n° 2008-12, notamment selon la situation :

le consentement de la personne concernée lorsqu'il est requis ;
le respect d'une obligation légale ;
l'exécution d'un contrat auquel la personne concernée est partie ou de mesures précontractuelles prises à sa demande ;
la sauvegarde de l'intérêt ou des droits et libertés fondamentaux de la personne concernée ;
tout autre fondement expressément prévu par le droit sénégalais applicable.

Lorsque SunuWare agit comme sous-traitant, le Client demeure responsable de déterminer la licéité et la finalité des traitements qu'il confie à SunuPlateform et de respecter les formalités qui lui incombent auprès de la CDP.

7. Données Google

Lorsqu'une entreprise connecte un compte Google à SunuPlateform pour envoyer ses e-mails métier, SunuPlateform demande actuellement :

openid
email
profile
https://www.googleapis.com/auth/gmail.send

Cette intégration :

permet d'identifier le compte connecté ;
permet d'envoyer des e-mails au nom de ce compte ;
ne permet pas de lire la boîte Gmail ;
ne demande pas aujourd'hui gmail.readonly, gmail.modify, gmail.metadata ou https://mail.google.com/.

Les jetons nécessaires au fonctionnement sont stockés chiffrés. Lorsqu'une connexion est déconnectée dans SunuPlateform, les secrets associés sont supprimés du stockage applicatif tout en conservant une trace d'audit non secrète.

L'utilisation par SunuPlateform des données reçues des API Google respecte la Google API Services User Data Policy, y compris les exigences de Limited Use. SunuWare n'utilise pas les données Google à des fins publicitaires et ne les vend pas.

Une future fonction de synchronisation des e-mails dans SunuCRM, si elle est développée, fera l'objet d'une information et d'un consentement séparés et n'est pas couverte par les permissions actuelles.

8. Données Microsoft

Lorsqu'une entreprise connecte Microsoft 365/Outlook pour l'envoi métier, SunuPlateform demande actuellement des permissions d'identité et d'envoi, notamment :

openid
profile
offline_access
User.Read
Mail.Send

Cette intégration ne demande pas aujourd'hui Mail.Read ou Mail.ReadWrite.

Une future synchronisation des conversations dans SunuCRM, si elle est développée, fera l'objet d'une autorisation séparée.

9. Destinataires et sous-traitants

Les données peuvent être accessibles, dans la stricte mesure nécessaire, à :

personnel habilité de SunuWare ;
prestataires d'hébergement et de base de données ;
prestataires de stockage de fichiers ;
prestataire de messagerie système ;
fournisseur IA ;
prestataires Google/Microsoft lorsque le Client active ces intégrations ;
prestataires de paiement lorsque le Client utilise un paiement concerné ;
autorités compétentes lorsqu'une obligation légale l'impose.

La liste des principaux prestataires est tenue à jour par SunuWare et peut être communiquée sur demande.

10. Transferts internationaux

Certaines infrastructures et certains fournisseurs peuvent traiter ou héberger des données en dehors du Sénégal.

SunuWare s'engage à :

documenter les pays/régions concernés ;
mettre en place les garanties contractuelles nécessaires ;
accomplir les formalités requises auprès de la Commission de Protection des Données Personnelles (CDP) lorsqu'elles sont applicables ;
limiter les transferts aux données nécessaires au service.

Les informations disponibles sur les prestataires et destinations peuvent être obtenues auprès de SunuWare à l'adresse de contact indiquée ci-dessous.

11. Sécurité

SunuWare met en œuvre notamment :

chiffrement des communications par TLS ;
chiffrement applicatif des secrets OAuth ;
contrôle des droits par rôle ;
isolation multi-tenant ;
journaux d'audit et de sécurité ;
restrictions d'accès aux données ;
sauvegardes et procédures de reprise ;
protections contre les accès inter-entreprises ;
validation de signature des webhooks de paiement.

Aucune mesure ne pouvant garantir un risque nul, SunuWare maintient une démarche d'amélioration continue.

12. Conservation

Les durées dépendent de la catégorie de données, de la finalité et des obligations légales.

En particulier :

les données nécessaires au fonctionnement sont conservées pendant la relation contractuelle ;
les secrets OAuth sont supprimés lors d'une déconnexion de l'intégration ;
les livres comptables et pièces justificatives soumis à l'AUDCIF peuvent relever d'une conservation de dix ans ;
les données métier non soumises à une obligation légale sont supprimées ou restituées selon les conditions contractuelles et instructions du Client ;
aucune règle unique « 30 jours pour toutes les données » ne s'applique à l'ensemble de SunuPlateform.

Les durées détaillées sont définies par catégorie dans les règles internes de conservation de SunuWare et dans les conditions contractuelles applicables.

13. Géolocalisation

Lorsque le module de pointage géolocalisé est activé, les données de localisation sont traitées uniquement pour les finalités de présence/pointage configurées par l'entreprise.

Le Client est responsable :

de déterminer la base juridique appropriée ;
d'informer les salariés ;
de respecter les formalités CDP nécessaires ;
de configurer une utilisation proportionnée.

SunuWare limite l'usage des données de localisation aux fonctions prévues par le service.

14. Cookies et stockage local

SunuPlateform utilise des mécanismes techniques nécessaires à :

maintenir la session ;
sécuriser l'authentification ;
assurer certaines fonctions hors-ligne ;
mémoriser des préférences d'interface.

À la date de publication de la présente version, aucun Google Analytics, Meta Pixel, Microsoft Clarity ou PostHog n'est activé dans le code runtime audité.

Si des outils de mesure non strictement nécessaires sont ajoutés, l'information et, le cas échéant, le consentement seront adaptés avant déploiement.

15. Droits des personnes

Conformément à la loi sénégalaise n° 2008-12, une personne concernée peut notamment exercer :

son droit d'accès aux données la concernant ;
son droit d'opposition dans les conditions prévues par la loi ;
son droit de rectification, de complément, de mise à jour, de verrouillage ou de suppression lorsque les conditions légales sont réunies.

Pour les données gérées pour le compte d'une entreprise cliente, la demande doit en priorité être adressée à cette entreprise, responsable du traitement. SunuWare l'assiste conformément au DPA.

Pour les traitements dont SunuWare est responsable, la demande peut être adressée à : support@sunupayrh.com

Une réclamation peut également être adressée à la Commission de Protection des Données Personnelles (CDP) du Sénégal.

16. Incidents de sécurité

SunuWare maintient une procédure de gestion des incidents et informe le Client lorsque cela est nécessaire pour lui permettre de respecter ses obligations.

Les engagements contractuels précis de notification sont définis dans le DPA et/ou les conditions contractuelles applicables.

17. Données d'enfants

SunuPlateform est un service B2B destiné aux organisations et professionnels. Il n'est pas conçu comme un service grand public destiné aux enfants.

Des données relatives à des mineurs peuvent néanmoins être traitées dans certains dossiers RH lorsque la loi et la situation professionnelle le permettent. Elles restent sous la responsabilité du Client et sont traitées uniquement pour la finalité concernée.

18. Modifications

Toute modification substantielle de la présente politique sera publiée avec une nouvelle date/version et fera l'objet d'une information appropriée lorsque nécessaire.

19. Contact

Éditeur : SUNUWARE TECHNOLOGIES SUARL

Siège : Tivaouane Peulh, Cité Namora, Villa n°95, Bambylor, Rufisque, Dakar, Sénégal
NINEA : 013285524
RCCM : SN.DKR.2026.B.30533
E-mail confidentialité : support@sunupayrh.com
Support : support@sunupayrh.com

Références principales :

Loi sénégalaise n° 2008-12 du 25 janvier 2008 relative à la protection des données à caractère personnel.
Commission de Protection des Données Personnelles (CDP), formalités et textes officiels.
AUDCIF OHADA pour la conservation comptable.
Google API Services User Data Policy.