Retour au site

Contrat de sous-traitance de données à caractère personnel

Conclu en application de l'article 20 alinéa 2 de la loi n° 2019-014 du 29 octobre 2019 relative à la protection des données à caractère personnel en République Togolaise, et des dispositions équivalentes des lois nationales applicables aux entreprises clientes.

Version : 1.3 Date d'entrée en vigueur : 11 août 2026

Ce contrat est annexé aux Conditions générales d'utilisation et de vente de SANZA et en fait partie intégrante. Le client accepte le présent contrat en acceptant les CGU/CGV.

1. Parties

Le Responsable du traitement : l'entreprise cliente qui souscrit à SANZA, ci-après désignée « le Client », dont les coordonnées d'identification figurent dans la fiche entreprise créée à l'inscription (raison sociale, RCCM, NIF, adresse, gérant, coordonnées de contact).

Le Sous-traitant : BAHINIBA, société à responsabilité limitée unipersonnelle au capital de 1 000 000 FCFA, immatriculée au RCCM sous le numéro TG-LFW-01-2024-B13-00256, NIF 11001918218, dont le siège est situé à Adidogomé, Lomé, Togo, ci-après désignée « BAHINIBA ».

2. Définitions

Les termes employés dans le présent contrat ont le sens que leur donne l'article 4 de la loi n° 2019-014 du 29 octobre 2019, notamment : « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée », « consentement », « destinataire », « tiers ». Toute référence à « la loi » vise cette loi, sauf mention contraire.

3. Objet

Le présent contrat définit les conditions dans lesquelles BAHINIBA, agissant en qualité de sous-traitant, traite pour le compte du Client les données à caractère personnel que celui-ci ou ses utilisateurs habilités saisissent, importent ou génèrent dans l'application SANZA. Il précise notamment les obligations respectives des parties en matière de confidentialité, de sécurité, de durée du traitement, de recours à d'autres sous-traitants, d'exercice des droits des personnes concernées, de notification en cas de violation, et de restitution ou de destruction des données à la fin de la prestation.

4. Nature, finalité et durée des traitements sous-traités

Nature des opérations réalisées : collecte via l'interface SANZA, enregistrement, structuration, conservation, adaptation, modification, extraction, consultation, utilisation, transmission par communication électronique, mise à disposition, rapprochement, sauvegarde, effacement.

Finalités du traitement : fournir au Client les fonctionnalités de SANZA correspondant à son abonnement, incluant selon les cas la facturation, le suivi des clients et du recouvrement, l'encaissement mobile money, la gestion de stock, la comptabilité conforme SYSCOHADA assistée par intelligence artificielle, les achats, la paie et les immobilisations. Aucun traitement à d'autres fins n'est réalisé par BAHINIBA sur ces données, sauf instruction écrite du Client ou obligation légale.

Durée : le contrat est conclu pour toute la durée du contrat d'abonnement, y compris ses périodes d'essai, ses éventuelles suspensions pour impayé, et sa période de conservation post-résiliation prévue par la Politique de confidentialité, jusqu'à la suppression définitive des données conformément au protocole de trois avis (J-90, J-30, J-7).

5. Catégories de données et de personnes concernées

Catégories de données à caractère personnel traitées :

  • Données d'identification et de contact des clients, fournisseurs et employés du Client (nom, coordonnées, identifiant fiscal ou professionnel le cas échéant).
  • Données commerciales (factures, devis, avoirs, historique des transactions).
  • Données comptables et fiscales (écritures, imputations, référentiels).
  • Données de paiement (numéro mobile money, référence de transaction, mode de règlement).
  • Données de paie (rémunérations, cotisations, temps de travail).
  • Données de santé, limitées aux congés maladie enregistrés dans le module de paie, traitées exclusivement sur le fondement des articles 22 alinéas 7 et 8 de la loi (exécution du contrat de travail, obligations légales sociales).

Catégories de personnes concernées : clients personnes physiques du Client, contacts personnes physiques au sein des clients personnes morales du Client, fournisseurs personnes physiques du Client, contacts personnes physiques au sein des fournisseurs personnes morales du Client, employés du Client, dirigeants et associés du Client.

Absence de traitement de certaines catégories : aucune donnée biométrique, aucune donnée génétique, aucune donnée relative aux infractions ou condamnations pénales n'est traitée dans SANZA.

6. Obligations de BAHINIBA en qualité de sous-traitant

Instruction du Client : BAHINIBA traite les données à caractère personnel uniquement sur instructions documentées du Client, y compris pour ce qui concerne les transferts de données vers un pays tiers, sauf obligation légale qui s'imposerait à BAHINIBA, auquel cas BAHINIBA en informe le Client avant le traitement, à moins que la loi n'interdise cette information.

Confidentialité : BAHINIBA veille à ce que les personnes autorisées à traiter les données à caractère personnel s'engagent à respecter la confidentialité, par contrat de travail, note de service ou engagement écrit distinct.

Sécurité : BAHINIBA met en œuvre les mesures techniques et organisationnelles décrites au chapitre 8 de la Politique de confidentialité, en application de l'article 52 de la loi, incluant notamment le chiffrement en transit et au repos, l'isolation multi-locataire par politiques Row Level Security testées automatiquement, l'authentification renforcée disponible, le journal d'audit inviolable, les sauvegardes régulières avec tests de restauration.

Concours au Client : BAHINIBA aide le Client, par des mesures techniques et organisationnelles appropriées, à s'acquitter de son obligation de donner suite aux demandes dont les personnes concernées le saisissent en vue d'exercer leurs droits, ainsi qu'à ses obligations en matière de sécurité, de notification de violation, et d'analyse d'impact.

Fin de la prestation : au terme du présent contrat, BAHINIBA restitue au Client les données à caractère personnel, sous forme d'export JSON et CSV téléchargeable, et procède à leur suppression, selon le protocole de trois avis prévu par la Politique de confidentialité et les CGU/CGV. Cette obligation ne fait pas obstacle à la conservation par BAHINIBA de certaines données lorsqu'elle est requise par une obligation légale, notamment comptable (durée SYSCOHADA de 10 ans pour les factures d'abonnement).

Mise à disposition d'informations : BAHINIBA met à la disposition du Client la documentation nécessaire pour démontrer le respect de ses obligations en tant que sous-traitant, permet l'exercice d'audits raisonnables, et contribue à leur réalisation dans les conditions du point 12 ci-dessous.

7. Autorisation générale de recourir à d'autres sous-traitants (sous-traitants ultérieurs)

Le Client autorise, par acceptation du présent contrat, BAHINIBA à recourir aux sous-traitants ultérieurs (« sous-traitants de sous-traitant ») dont la liste figure à la section 6 de la Politique de confidentialité de SANZA. Cette liste inclut à la date de signature :

  • Supabase Pte. Ltd. (base de données, authentification, stockage — Singapour, entité contractante ; données hébergées en Europe, Paris).
  • Vercel Inc. (hébergement applicatif).
  • Anthropic PBC (traitement d'intelligence artificielle).
  • Meta Platforms (envoi WhatsApp Business).
  • 360dialog GmbH (intermédiaire technique d'accès à l'API WhatsApp Business).
  • Twilio Inc. (SMS de secours).
  • CinetPay (encaissement mobile money et carte bancaire, agrégateur principal retenu, couverture UEMOA).
  • Sentry (journaux d'erreurs).
  • Partenaire expert-comptable référencé, uniquement lorsque le Client lui a explicitement accordé un accès conseil à son compte (accès limité aux seules données de ce Client, révocable à tout moment par le Client — jamais un accès par défaut ni généralisé à l'ensemble des partenaires du réseau).

BAHINIBA impose à ces sous-traitants ultérieurs, par voie contractuelle, les mêmes obligations de protection des données que celles prévues au présent contrat, en particulier en matière de sécurité et de confidentialité. En cas d'ajout ou de remplacement d'un sous-traitant ultérieur, BAHINIBA en informe le Client avec un préavis raisonnable, permettant au Client de s'opposer à cette modification pour des motifs légitimes. En cas d'opposition, les parties se rapprochent pour rechercher une solution ; à défaut, le Client peut résilier le contrat d'abonnement dans les conditions des CGU/CGV.

8. Transferts de données vers des pays tiers

Certains sous-traitants ultérieurs listés ci-dessus sont établis hors de l'espace CEDEAO, notamment aux États-Unis et en Irlande. Le Client autorise expressément ces transferts, qui sont encadrés par des engagements contractuels de protection des données conclus entre BAHINIBA et chacun de ces sous-traitants, offrant un niveau de garantie au moins équivalent aux exigences de la loi n° 2019-014 en matière de confidentialité, de sécurité et de limitation des finalités.

BAHINIBA sollicite, le cas échéant, l'avis ou l'autorisation de l'IPDCP au titre des articles 28 et 30 de la loi, et informe le Client des évolutions substantielles qui affecteraient le régime de ces transferts.

9. Droits des personnes concernées

Le Client est le premier interlocuteur des personnes concernées pour l'exercice de leurs droits d'accès, de rectification, d'effacement, d'opposition, de limitation et de portabilité prévus aux articles 39 à 46 de la loi. Lorsqu'une personne concernée s'adresse néanmoins à BAHINIBA, celle-ci transmet la demande au Client dans les meilleurs délais, en s'abstenant d'y répondre elle-même, sauf sur instruction écrite du Client.

BAHINIBA met à la disposition du Client, dans SANZA, les moyens techniques nécessaires à l'exercice effectif de ces droits, notamment : édition et modification des fiches des personnes concernées, export intégral des données au format JSON et CSV, suppression définitive après protocole de trois avis, journal d'audit permettant de tracer les actions effectuées.

Un délai maximal de 30 jours est appliqué pour donner suite à toute demande valide, conformément à l'article 46.

10. Notification de violation de données

BAHINIBA notifie au Client toute violation de données à caractère personnel dans un délai maximal de 72 heures après en avoir pris connaissance. La notification précise, dans la mesure des informations disponibles au moment de l'envoi :

  • la nature de la violation, y compris, si possible, les catégories et le nombre approximatif de personnes concernées et d'enregistrements affectés ;
  • les conséquences probables de la violation ;
  • les mesures prises ou proposées pour y remédier et pour en atténuer les effets ;
  • les coordonnées du correspondant à la protection des données de BAHINIBA.

Le Client, en tant que responsable du traitement, décide des notifications à effectuer auprès de l'autorité de contrôle compétente et, le cas échéant, auprès des personnes concernées. BAHINIBA lui apporte, sur demande raisonnable, toute assistance nécessaire à ces notifications.

11. Analyses d'impact et consultation préalable

Sur demande motivée du Client, BAHINIBA apporte son assistance à la réalisation d'analyses d'impact relatives à la protection des données, ainsi qu'aux consultations préalables auprès de l'IPDCP, dans la limite des informations dont dispose BAHINIBA en sa qualité de sous-traitant.

12. Audit et documentation

Le Client peut demander à BAHINIBA la communication de la documentation nécessaire pour démontrer le respect du présent contrat, y compris les rapports d'audit indépendants, les certifications éventuelles et les descriptions des mesures techniques et organisationnelles.

Le Client peut également faire réaliser, à ses frais, un audit sur pièces ou sur place, au plus une fois tous les douze mois sauf incident sécurité justifiant une action immédiate, avec un préavis raisonnable, dans des conditions à convenir entre les parties, préservant les droits des autres clients et la confidentialité des données. BAHINIBA peut faire réaliser l'audit par un tiers indépendant qu'il propose au Client.

13. Responsabilité et indemnisation

Chaque partie est responsable de la réparation des dommages qu'elle cause par un manquement à ses obligations issues du présent contrat ou de la loi. BAHINIBA n'est responsable que des dommages causés par le traitement lorsqu'elle n'a pas respecté ses obligations spécifiques de sous-traitant ou lorsqu'elle a agi en dehors des instructions licites du Client.

Sans préjudice de ce qui précède, la responsabilité globale de BAHINIBA au titre du présent contrat est plafonnée dans les limites prévues aux CGU/CGV.

14. Durée, résiliation et effets

Le présent contrat prend effet à la date d'inscription du Client à SANZA et prend fin à l'expiration du contrat d'abonnement, augmentée de la période de conservation post-résiliation prévue par la Politique de confidentialité.

La résiliation du contrat d'abonnement entraîne de plein droit la résiliation du présent contrat, sans préjudice des obligations survivantes (restitution des données, suppression, confidentialité).

15. Modifications

Toute modification substantielle du présent contrat est notifiée au Client au moins 30 jours avant sa prise d'effet, par les mêmes canaux que ceux prévus pour les CGU/CGV. La poursuite de l'utilisation du service au-delà de cette date vaut acceptation ; en cas de refus, le Client peut résilier son abonnement dans les mêmes conditions.

16. Droit applicable et litiges

Le présent contrat est régi par le droit togolais et par les dispositions applicables des lois nationales de protection des données du pays du Client lorsqu'elles sont d'ordre public. Tout litige relatif à son interprétation ou à son exécution relève de la compétence des juridictions compétentes de Lomé, sous réserve des règles d'ordre public de compétence internationale.

17. Contact

Pour toute question ou correspondance relative au présent contrat :

  • Correspondant à la protection des données de BAHINIBA : Monsieur KOUASSI N. Emmanuel, dpo@bahiniba.com.
  • BAHINIBA, Adidogomé, Lomé, Togo. WhatsApp : +228 71675944.