Politique de confidentialité

Délégué à la Protection des Données (DPO)

Conformément à la loi 09-08 sur la protection des données personnelles (Maroc) et au RGPD pour les utilisateurs européens, MySunday a désigné un Délégué à la Protection des Données.

Riad Jaidi
Email : dpo@mysunday.ma
Pour toute question relative au traitement de vos données personnelles ou pour exercer vos droits.

Données collectées

MySunday collecte uniquement les données nécessaires au fonctionnement du service : identité, e-mail, données comptables que vous saisissez ou importez, et les coordonnées des interlocuteurs de vos clients et fournisseurs que vous enregistrez (nom, poste, e-mail, téléphone), notamment depuis une carte de visite.

Si vous activez les notifications, un jeton de notification (push) est enregistré afin de vous envoyer des alertes de service (par exemple, une facture qui passe en retard ou une relance). Ce jeton n'est jamais utilisé à des fins publicitaires ou de suivi, et il est supprimé à la résiliation de votre compte.

Pour votre abonnement, nous conservons vos informations de facturation (dénomination, ICE, adresse, e-mail de facturation) et une référence de carte fournie par notre prestataire de paiement. Nous ne voyons ni ne stockons jamais le numéro complet de votre carte.

Sur le site, si vous nous écrivez, nous recueillons votre nom, votre e-mail, le nom de votre entreprise, votre message et, si vous l'indiquez, votre numéro de téléphone, ainsi que votre adresse IP pour nous protéger des abus. Si vous vous étiez inscrit sur notre liste d'attente (fermée le 1er octobre 2026), nous conservons votre e-mail, le nom de votre entreprise et, si vous aviez coché l'option, votre numéro WhatsApp.

Finalités

Vos données sont utilisées pour fournir le service MySunday, pour en mesurer l'utilisation en interne (étapes clés comme le premier scan ou la première facture, rattachées à votre compte, sans outil de mesure tiers) et, si vous vous étiez inscrit sur notre liste d'attente, pour vous informer de l'ouverture des inscriptions (vous pouvez vous désinscrire à tout moment). Dans l'application mobile, la photo d'une carte de visite sert à préremplir la fiche d'un client ou d'un fournisseur et celle de son interlocuteur. Elles ne sont jamais vendues ni utilisées pour entraîner des modèles d'IA tiers.

Hébergement

L'application et les bases de données comptables sont hébergées au Maroc (OVH Cloud, Rabat). La lecture automatique des documents et des cartes de visite (OCR) est confiée à Anthropic (Claude), États-Unis, sous DPA. Les sauvegardes chiffrées et les archives légales (10 ans) sont hébergées dans l'Union européenne (Backblaze B2). L'envoi d'emails est confié à Resend, États-Unis, sous DPA.

Ces transferts hors du Maroc sont encadrés par des engagements contractuels de protection des données (DPA), conformément à la loi 09-08.

MySunday est conforme à la loi 09-08 sur la protection des données personnelles, sous le contrôle de la Commission Nationale de protection des Données Personnelles (CNDP). Un Délégué à la Protection des Données (DPO) a été désigné.

Assistant MySunday IA

L'application mobile propose un assistant, MySunday IA, qui répond à vos questions sur les chiffres de votre entreprise (factures, impayés, TVA). Pour répondre, il consulte les données de votre entreprise enregistrées dans MySunday.

Vos questions, ainsi que les données de votre entreprise que l'assistant consulte pour y répondre, passent par nos serveurs (OVH Cloud, Rabat), puis sont transmises au modèle d'OpenAI, États-Unis. À l'écrit, les noms de vos clients et fournisseurs issus de vos données sont remplacés par des alias avant l'envoi. Les autres informations utiles à la réponse sont transmises telles quelles : montants, dates, numéros de facture, ICE et ville de vos clients et fournisseurs, libellés des lignes de facture (y compris un nom qui y figurerait) et nom de votre entreprise. Leurs coordonnées (e-mail, téléphone, adresse) ne sont pas transmises. Ce que vous tapez vous-même est transmis tel quel ; seul un nom de client ou de fournisseur déjà apparu dans la conversation y est remplacé par son alias.

Rien n'est envoyé à l'assistant avant que vous ayez accepté la notice affichée à sa première ouverture. La conversation n'est pas enregistrée par MySunday. Selon ses conditions d'utilisation de l'API, OpenAI n'utilise pas ces échanges pour entraîner ses modèles et peut les conserver jusqu'à 30 jours pour la détection des abus.

Voix (sur iPhone, selon votre abonnement). Le micro ne s'ouvre que lorsque vous lancez une conversation vocale ; il se coupe dès que vous raccrochez, quittez l'application ou verrouillez votre téléphone, après un silence prolongé ou au bout de 5 minutes. Votre voix est envoyée à OpenAI (États-Unis) pour être transcrite. En conversation vocale, le texte de votre question est transmis tel quel au modèle d'OpenAI, avec la liste des noms de vos clients, pour reconnaître celui dont vous parlez ; les autres noms issus de vos données restent remplacés par des alias. Les réponses audio sont des fichiers temporaires, supprimés après lecture ; aucun enregistrement n'est conservé sur votre téléphone. MySunday ne conserve que des informations techniques sur chaque appel (utilisateur, dates et heures de début et de fin, motif de fin, modèle utilisé, coût), jamais le son ni le texte de la conversation.

Actions préparées. Dans l'application mobile, si vous êtes administrateur ou propriétaire de l'entreprise, l'assistant peut préparer deux réglages : la périodicité de suivi de votre TVA et l'affichage de vos coordonnées bancaires sur les factures. Rien n'est modifié tant que vous ne l'avez pas confirmé vous-même à l'écran. La proposition est conservée 30 jours après sa clôture, pour la trace, et la modification figure dans le journal d'activité de votre entreprise.

Si vous signalez une réponse de l'assistant depuis l'application (bouton « Signaler »), son texte et le motif choisi sont transmis à MySunday et conservés 90 jours, pour examen.

Connexions IA. Si vous connectez vous-même MySunday à un assistant externe compatible (par exemple Claude, ChatGPT si votre abonnement ChatGPT le permet, Gemini ou Kimi), les données que ce service consulte par le connecteur et les actions que vous lui demandez (créer un client ou un devis, envoyer un devis ou une relance à votre client) sont traitées par ce fournisseur, sous votre propre compte, selon ses conditions et, le cas échéant, hors du Maroc. C'est ce service qui vous demande de confirmer ces actions. Vous pouvez retirer cette connexion à tout moment dans MySunday.

Cartes de visite (application mobile)

Quand vous photographiez ou importez une carte de visite, la photo passe par nos serveurs (OVH Cloud, Rabat), puis est transmise à Anthropic (Claude), États-Unis, qui en lit le texte et peut la conserver jusqu'à 30 jours. MySunday ne conserve pas la photo. Rien n'est envoyé avant que vous ayez accepté la notice affichée avant votre première carte.

Les coordonnées lues vous sont proposées à l'écran : rien n'est enregistré sans votre validation. Une fois validées, elles forment la fiche de la société (client ou fournisseur) et celle de son interlocuteur : prénom, nom, poste, e-mail et téléphone. Ces interlocuteurs ne sont transmis ni à l'assistant MySunday IA, ni aux connexions IA, ni à l'agent WhatsApp. Le nombre de cartes lues chaque mois est compté pour appliquer la limite de votre abonnement.

Une personne dont la carte a été enregistrée peut exercer ses droits auprès du DPO de MySunday : dpo@mysunday.ma.

Agent WhatsApp (option)

Si vous reliez votre numéro WhatsApp à MySunday, vos messages, les photos ou PDF de factures que vous envoyez et les réponses de MySunday (y compris les devis en PDF) transitent par WhatsApp Business, un service de Meta Platforms. Vos questions y sont traitées par le modèle d'Anthropic (Claude), États-Unis ; contrairement à l'assistant de l'application, les noms de vos clients et fournisseurs n'y sont pas remplacés par des alias. Nous enregistrons le numéro relié et des informations techniques sur chaque message reçu (identifiant, date, crédits consommés).

Accès à vos données et partage

Vos données ne sont accessibles qu'aux personnes que vous invitez (collaborateurs, cabinet comptable rattaché à votre dossier) et, pour le support, à un nombre restreint de membres habilités de MySunday, en lecture seule, pour une durée limitée, avec une trace de chaque accès.

Partage avec votre comptable. Si vous générez un lien de partage de clôture, toute personne qui détient ce lien peut consulter, sans compte et en lecture seule, le récapitulatif du mois (factures, noms de vos clients et fournisseurs, montants). Le lien expire après 30 jours et vous pouvez le révoquer à tout moment.

Sous-traitants

MySunday fait appel aux sous-traitants suivants pour fournir le service :

• Hébergement application & bases de données : OVH Cloud (Maroc, Rabat).
• Sauvegardes & archives chiffrées (GPG / Object Lock) : Backblaze B2 (Union européenne).
• Lecture automatique de documents et de cartes de visite (OCR), agent WhatsApp : Anthropic (Claude), États-Unis — sous DPA ; les pièces transmises sont supprimées sous 30 jours et ne sont jamais utilisées pour entraîner des modèles d'IA.
• Assistant MySunday IA et transcription de la voix : OpenAI, États-Unis — les échanges ne sont pas utilisés pour entraîner des modèles d'IA.
• Agent WhatsApp (option) : WhatsApp Business (Meta Platforms).
• Paiement de l'abonnement : Payzone (Maroc) — vous saisissez votre carte sur sa page sécurisée ; Payzone reçoit aussi votre e-mail de facturation et le montant.
• Envoi d'emails (vérification, relances, notifications, liste d'attente) : Resend, États-Unis — sous DPA.
• Messagerie (vos e-mails au support et au DPO, envoi de certaines factures et avoirs d'abonnement) : Zoho Mail (États-Unis).
• Notifications push et mises à jour de l'application : Expo, qui relaie les notifications via Apple (APNs) sur iOS et Google (FCM) sur Android, et distribue les mises à jour de l'application mobile. Expo reçoit à cette occasion des informations techniques (adresse IP, version de l'application), jamais vos données comptables, et rien n'est utilisé à des fins publicitaires.
• Site vitrine : Vercel (États-Unis) — ne traite pas de données comptables.

Vos droits

Conformément à la loi 09-08 (Maroc) et au RGPD, vous disposez d'un droit d'accès, de rectification, d'effacement et de portabilité de vos données. Pour exercer ces droits, contactez le DPO : dpo@mysunday.ma

Conservation

Conformément à la loi marocaine, les pièces comptables sont conservées 10 ans.

Lorsque vous demandez la suppression de votre compte, votre accès est coupé immédiatement. 90 jours plus tard, votre compte utilisateur est supprimé (identifiants, appareils connectés, connexions IA, actions préparées). Les données de votre entreprise (pièces comptables, clients, fournisseurs, devis, réglages, journal d'activité) sont conservées. Seule exception : pour les entreprises dont vous avez demandé la fermeture, les interlocuteurs de vos clients et fournisseurs sont supprimés en même temps que votre compte, 90 jours après votre demande. La simple résiliation de votre abonnement n'entraîne pas de suppression.

Sont également conservés, pour la facturation, la sécurité du service et nos obligations légales : les informations techniques des appels vocaux, les journaux techniques et de sécurité (actions d'administration, actions réalisées par l'assistant ou un connecteur, erreurs, e-mails envoyés, liaison WhatsApp) et vos données de facturation. Les actions préparées par l'assistant sont conservées 30 jours après leur clôture. Une réponse de l'assistant que vous signalez est conservée 90 jours.

Cookies

MySunday utilise un nombre minimal de cookies fonctionnels, nécessaires au site (authentification, préférences). Ils ne requièrent pas de consentement.

Nous n'utilisons aucun cookie publicitaire ni traqueur tiers : pas de pixel Meta, pas de Google Analytics, aucun profilage. La mesure d'audience du site est réalisée de façon anonyme et sans cookie (statistiques agrégées uniquement), ce qui ne requiert pas de consentement au sens de la loi 09-08. Aucune donnée de navigation n'est transférée à des fins publicitaires en dehors du Maroc.

Pour toute question sur ce traitement, contactez le DPO : dpo@mysunday.ma.