Politique de confidentialité

Notre engagement de confidentialité BACE limite l'utilisation des données aux besoins du service, de la sécurité et du suivi de la relation client. Les informations de carte de paiement électronique sont saisies directement dans l'environnement sécurisé du prestataire de services de paiement (« PSP ») et ne sont pas enregistrées dans le portail BACE.

1. Portée de la politique

La présente politique s'applique au portail exclusivement dédié à BACE, à ses espaces client, professionnel et administratif, au formulaire de contact, aux paiements, échéances, QR codes, cadeaux numériques, rappels, demandes de support et journaux de sécurité associés.

Un seul environnement commercial : BACE Le portail n'est pas une marketplace. Un identifiant d'établissement ou de point de service distinct sert uniquement à rattacher l'opération à une implantation de la même entité BACE et ne présente pas un commerçant indépendant.

Elle complète les Conditions générales d'utilisation. Les sites ou interfaces d'un prestataire externe, notamment la page sécurisée du prestataire de paiement, restent soumis à leurs propres règles de confidentialité.

2. Responsables du traitement et rôles

BACE

Bardo Academic Centre for Education détermine les finalités liées à la relation client, aux services éducatifs, aux achats, au support et à la gestion de son portail. BACE agit comme responsable du traitement pour ces finalités.

AMANA FINNOVATION / Planif Pay®

AMANA FINNOVATION fournit et exploite la solution technologique Planif Pay® en marque blanche pour le compte de BACE. Elle traite les données nécessaires à l'hébergement applicatif, la sécurité, la traçabilité et l'assistance, selon les instructions et responsabilités définies contractuellement.

AMANA FINNOVATION intervient comme opérateur technique de la solution Planif Pay® dans le cadre de ses engagements contractuels avec BACE. Chaque prestataire reste responsable des obligations légales propres à son activité et à son périmètre d'intervention.

Contact BACE :
Adresse : 23 rue Al Aghaliba, 2000 Le Bardo, Tunis.
contact@baceducation.tn
+216 97 898 050

Pour une question strictement technique relative à Planif Pay® :
support@planifpay.com

3. Catégories de données traitées

Compte client

Nom, prénom, date de naissance, adresse e-mail, téléphone, gouvernorat, identifiant client, préférences de connexion et, si fournie, photo de profil.

Transactions et échéances

Références internes et prestataire, montant, devise, statut, calendrier, montants payés/restants, horodatages, remboursements et rapprochements.

QR code et validation

Identifiant et statut du QR, date de génération, période de validité, date de validation, établissement BACE concerné et traces d'OTP nécessaires à la confirmation.

Cadeau numérique

Adresse e-mail et, si renseigné, nom du bénéficiaire, référence de la transaction, QR code transmis et traces techniques de l'envoi. L'OTP de validation reste adressé au titulaire du compte payeur.

Assistance et communication

Messages de contact, tickets, demandes de remboursement, réponses, adresse du destinataire, statut des e-mails et rappels d'échéance.

Technique et sécurité

Adresse IP, navigateur et appareil, date/heure, route appelée, résultat, identifiant de requête, événements de connexion, contrôles CSRF/Origin, limitation de débit et journaux d'audit.

Données sensibles et secrets Ne transmettez jamais dans un formulaire ou un ticket votre mot de passe (code d'accès), OTP, cryptogramme ou numéro complet ou partiel de carte de paiement électronique. Les documents professionnels BACE et images de profil ne sont pas destinés à être publiquement accessibles ; leur accès doit être limité aux personnes et fonctions autorisées.

4. Origine des données

Les données proviennent :

directement du client ou d'un membre habilité de l'équipe BACE lors de l'inscription, du paiement ou d'une demande ;
de BACE lorsqu'il crée, rattache ou administre une relation commerciale ;
du PSP lors des retours sécurisés, notifications et vérifications de statut ;
du système lui-même lorsqu'il calcule un affichage à partir des transactions ou génère des traces de sécurité ;
des appareils et navigateurs lors de l'accès au portail.

5. Pourquoi les données sont-elles utilisées ?

Finalité	Données principales	Justification
Créer et gérer le compte	Identité, contact, identifiants, session	Fourniture du service demandé et consentement lorsque la loi l'exige.
Organiser et suivre les achats	Transaction, montant, échéances, statuts	Exécution de la relation commerciale avec BACE et preuve de l'opération.
Traiter le paiement	Références, montant, résultat du prestataire	Exécution de l'instruction de paiement et respect des obligations applicables.
Établir la facture ou le justificatif	Identité, offre BACE, référence, montant et statut	Facturation par BACE, suivi comptable et respect des obligations applicables.
Générer et valider le QR code	Transaction payée, QR, OTP, dates	Confirmation de l'achat et de son utilisation auprès de BACE.
Envoyer un cadeau numérique	E-mail du bénéficiaire, QR, référence, statut d'envoi	Exécution de la demande du client et sécurisation de l'utilisation par OTP auprès du payeur.
Informer et assister	E-mail, téléphone, rappels, tickets	Suivi des échéances, réponse à la demande et qualité du service.
Sécuriser et auditer	IP, appareil, logs, événements	Prévention des accès abusifs, détection d'incidents, preuve et obligations de sécurité.
Respecter la loi	Données comptables, fiscales, contractuelles et demandes d'autorités	Respect d'une obligation légale ou d'une décision d'une autorité compétente.

Les données ne doivent pas être réutilisées d'une manière incompatible avec ces finalités. Tout nouvel usage substantiel nécessite une information appropriée et, lorsqu'il est requis, un consentement valable.

6. Données obligatoires et facultatives

Les champs marqués comme obligatoires sont nécessaires à la création du compte, à l'identification de la transaction, à la sécurité ou au traitement de la demande. Leur absence peut empêcher l'inscription, le paiement, la validation du QR code ou la réponse du support.

Les champs facultatifs, tels qu'une photo de profil ou certaines informations professionnelles, peuvent être laissés vides sauf lorsqu'ils deviennent nécessaires à un dossier professionnel BACE soumis à validation.

7. Destinataires et prestataires

Dans la limite de leurs missions et habilitations, les données peuvent être accessibles à :

l'équipe BACE chargée de la relation client, de la comptabilité, du support et de la validation ;
AMANA FINNOVATION pour l'exploitation, la maintenance, la sécurité et l'assistance de Planif Pay® ;
le PSP et les intervenants autorisés de la chaîne de paiement ;
les prestataires d'hébergement, sauvegarde, e-mail transactionnel, SMS, anti-abus ou sécurité ;
les conseils, auditeurs ou autorités légalement habilités, lorsque cela est nécessaire.

Les accès internes doivent être limités selon les rôles. Les prestataires ne doivent recevoir que les données nécessaires à leur mission et être encadrés par des obligations de sécurité et de confidentialité.

8. Données de paiement et rôle du PSP

Le « prestataire de services de paiement » (« PSP ») est l'opérateur indépendant qui reçoit et traite l'instruction de paiement par carte. Les données de carte de paiement électronique sont saisies dans son environnement sécurisé. Le portail conserve les références, montants, statuts et preuves techniques nécessaires au suivi de l'opération, mais n'a pas vocation à stocker le numéro complet ou partiel de carte de paiement électronique, le cryptogramme visuel ou le code confidentiel.

Standard de sécurité du paiement Le PSP actuellement intégré indique être certifié PCI DSS et opérer conformément aux réglementations applicables aux réseaux Visa et Mastercard. PCI DSS est le standard international de référence pour la protection des données de paiement par carte.

Les notifications du PSP, retours navigateur et vérifications de statut peuvent être comparés afin d'assurer l'intégrité du paiement, d'éviter un double traitement et de corriger un statut incomplet.

9. Hébergement et transferts internationaux

Certains prestataires techniques — par exemple messagerie transactionnelle, anti-abus, hébergement de ressources ou services Google — peuvent traiter ou faire transiter des données en dehors de la Tunisie. Tout transfert doit être limité, documenté, sécurisé et soumis aux formalités ou autorisations prévues par la loi tunisienne et l'Instance Nationale de Protection des Données Personnelles (INPDP).

Encadrement des transferts Lorsqu'un traitement hors de Tunisie est nécessaire, il doit être documenté, limité à la finalité annoncée, protégé par des engagements appropriés et soumis aux déclarations ou autorisations prévues par la loi.

10. Durées de conservation

Les données sont conservées pendant une durée proportionnée à leur finalité :

compte : pendant la relation active, puis le temps nécessaire à la clôture et aux obligations applicables ;
transactions, paiements, remboursements et audit : pendant la durée imposée par les obligations comptables, fiscales, contractuelles, de preuve et de règlement des litiges ;
OTP, jetons et sessions : pendant leur courte durée technique de validité, sous réserve des traces de sécurité nécessaires ;
QR codes : pendant leur cycle de vie et la durée utile à l'historique et à la preuve de l'utilisation ;
cadeaux numériques : pendant la durée nécessaire à l'envoi, à l'utilisation du QR code, au support et à la preuve de la demande du client ;
messages et tickets : pendant le traitement de la demande, puis pendant la durée nécessaire au suivi ou à un litige ;
journaux de sécurité : pendant une durée limitée compatible avec la détection, l'audit et les obligations légales ;

À l'issue de la durée applicable, les données doivent être supprimées, anonymisées ou archivées avec des accès restreints lorsqu'une conservation légale demeure nécessaire. Les durées détaillées doivent figurer dans le registre interne des traitements et la politique de conservation.

11. Mesures de sécurité

Le portail met en œuvre des mesures adaptées à la nature des données, notamment :

communications HTTPS et sessions protégées par des cookies sécurisés ;
contrôles d'accès et séparation des espaces client, professionnel BACE et administrateur ;
protection contre les requêtes intersites, contrôle d'origine et limitation de débit ;
authentification, OTP et contrôles anti-robot selon l'opération ;
journalisation, audit, sauvegardes et mécanismes de reprise ;
restriction des documents et images aux utilisateurs ou fonctions autorisés ;
réduction et masquage des secrets dans les journaux.

Aucun système n'élimine tout risque. L'utilisateur doit protéger ses identifiants et signaler rapidement toute activité suspecte. Les détails susceptibles d'affaiblir la sécurité ne sont pas publiés ici.

12. Cookies, stockage local et services tiers

Catégorie	Utilité	Comportement attendu
Session et authentification	Maintenir une connexion sécurisée et renouveler la session.	Nécessaires au service, protégés et limités dans le temps.
Protection CSRF	Vérifier qu'une action sensible provient de la bonne session.	Nécessaire à la sécurité.
Préférence « se souvenir de moi »	Mémoriser localement une préférence ou l'adresse e-mail selon le choix de l'utilisateur.	Conservée sur l'appareil et supprimable via le navigateur.
Google reCAPTCHA	Évaluer le risque d'une requête automatisée ou abusive.	Peut transmettre des données techniques à Google ; information et consentement lorsque requis.
Gestionnaire de balises / mesure d'audience	Charger, selon la configuration, des outils de mesure.	Les balises non essentielles ne doivent être activées qu'après un choix valable de l'utilisateur.

Google Tag Manager est un conteneur : les cookies réellement déposés dépendent des balises configurées. L'utilisateur peut supprimer les cookies et données locales depuis son navigateur, mais le blocage des éléments strictement nécessaires peut empêcher la connexion ou certaines fonctions de sécurité.

13. Droits des personnes

Dans les conditions prévues par la loi tunisienne, une personne peut demander :

des informations sur le traitement et les destinataires de ses données ;
l'accès et une copie intelligible des données la concernant ;
la rectification, la mise à jour ou la suppression de données inexactes ou traitées illicitement ;
l'opposition à un traitement dans les cas prévus par la loi ;
le retrait d'un consentement, sans remettre en cause les opérations antérieures licites ;
la clôture du compte, sous réserve des obligations de conservation et de preuve.

La demande peut être envoyée à contact@baceducation.tn en précisant le droit exercé. Une vérification raisonnable de l'identité peut être demandée afin d'éviter de communiquer des données à un tiers. Aucun secret de paiement ne doit être envoyé avec la demande.

Le bénéficiaire d'un cadeau numérique peut également exercer ses droits sur l'adresse e-mail et le nom éventuellement communiqués par le client pour l'envoi. Il doit fournir les éléments permettant d'identifier le message concerné sans transmettre le QR code, l'OTP ou un autre secret dans sa demande.

14. Données des mineurs

Lorsqu’un mineur utilise un moyen de paiement électronique dans le cadre d’une activité ou d’une inscription auprès de Bardo Academic Centre for Education (BACE), le paiement est effectué avec l’accord et sous la responsabilité de son représentant légal, lorsque cela est requis.

BACE veille à protéger les données du mineur et à n’utiliser que les informations nécessaires à la gestion de l’inscription, du paiement et de la relation éducative, conformément à la réglementation tunisienne applicable.

15. Contrôles automatisés et anti-abus

Des contrôles automatiques peuvent analyser des signaux techniques — score reCAPTCHA, fréquence des requêtes, validité d'un jeton, origine, cohérence d'un paiement ou d'un QR code — afin de prévenir les abus et protéger les comptes.

Ces contrôles peuvent différer ou refuser une action techniquement invalide. Ils ne sont pas destinés à prendre seuls une décision éducative ou financière produisant un effet juridique sans les autres contrôles prévus. Une personne estimant qu'une action légitime a été bloquée peut contacter le support.

16. Incident de sécurité

Lorsqu'un incident affectant des données est détecté, les opérateurs doivent le documenter, en limiter les conséquences, restaurer la sécurité et accomplir les notifications imposées par la loi ou l'autorité compétente. Les personnes concernées sont informées lorsqu'une telle information est légalement requise ou nécessaire pour leur permettre de se protéger.

Toute suspicion peut être signalée à contact@baceducation.tn sans joindre d'OTP, mot de passe ou donnée complète ou partielle de carte de paiement électronique.

17. Mise à jour de la politique

La politique peut être mise à jour en cas de changement du service, des prestataires ou du cadre juridique. La date de la version en vigueur figure en tête de page. Toute évolution importante doit faire l'objet d'une information appropriée et, lorsqu'il est requis, d'un nouveau consentement.

18. Contact et réclamation

Pour exercer un droit ou poser une question : contact@baceducation.tn, +216 97 898 050 ou formulaire de contact.

Si la réponse n'est pas satisfaisante, la personne peut saisir l'Instance Nationale de Protection des Données Personnelles (INPDP) selon les modalités publiées sur www.inpdp.tn.