Politique de confidentialité et relative aux cookies

Mansa Transfers est un service à valeur ajoutée (VAS) numérique qui facilite les interactions de paiement numérique entre les utilisateurs et des prestataires de paiement agréés. La présente Politique explique comment le Responsable du traitement Mansa correspondant à votre Pays d’envoi traite les données à caractère personnel, comment les prestataires agréés traitent les données pour le paiement réglementé, ainsi que les choix et droits dont vous disposez.

Le Responsable du traitement Mansa chargé de l’interface client, du Devis Mansa, de l’orchestration, de l’assistance client, des contrôles de sécurité et de fraude de Mansa, du fonctionnement du produit et des preuves de Transaction est l’entité correspondant au Pays d’envoi de l’utilisateur dans le Registre public relatif à la confidentialité figurant à la section 19 (« Responsable du traitement Mansa »). La section 19 est l’unique emplacement de la présente Politique où sont tenues à jour l’identité juridique, l’adresse, les coordonnées du responsable du traitement et l’Annexe juridictionnelle relative à la protection des données applicable.

Le pays du destinataire ne modifie pas, à lui seul, le Responsable du traitement Mansa auquel l’expéditeur est rattaché. Les entités Mansa sont des entités juridiquement distinctes placées sous une propriété ou un contrôle commun. Une société affiliée peut agir en qualité de sous-traitant, de responsable du traitement distinct ou de responsable conjoint selon les décisions qu’elle prend réellement, les instructions qu’elle reçoit et le droit applicable. Chaque entité demeure responsable de ses propres obligations légales.

Notre réseau de prestataires évolue selon le pays, le corridor et le moyen de paiement. La présente Politique identifie donc des catégories de destinataires juridiquement pertinentes, plutôt que d’énumérer chaque partenaire susceptible de changer. Le Devis Mansa n’a pas à identifier le prestataire sélectionné. Lorsque la loi l’exige, le prestataire s’identifie et fournit ses informations relatives à la vie privée au moyen de son Interface d’autorisation du Prestataire, de sa confirmation ou de son reçu.

Un prestataire de paiement agréé peut être un responsable du traitement distinct pour son Interface d’autorisation du Prestataire, l’autorisation de paiement, les vérifications KYC/LCB-FT, le filtrage des sanctions, la protection des fonds, le règlement, les réclamations relatives aux paiements et les déclarations réglementaires. Un fournisseur technique qui traite des données uniquement sur les instructions documentées de Mansa est un sous-traitant. Nous ne qualifions pas un prestataire réglementé indépendant de sous-traitant du seul fait de son intégration technique avec Mansa.

Les coordonnées actuelles relatives à la confidentialité et à la sécurité sont tenues à jour une seule fois à la section 19.

La présente Politique s’applique aux utilisateurs, expéditeurs, destinataires, visiteurs, personnes contactant l’assistance client, représentants et personnes dont les renseignements sont fournis pour une Transaction par l’intermédiaire de https://mansatransfers.com/ et des canaux de Transaction ou d’assistance associés. La notice de confidentialité du prestataire sélectionné peut également s’appliquer ; lorsqu’il y est tenu, celui-ci la fournit ou la rend accessible par un lien dans son Interface d’autorisation du Prestataire, sa confirmation ou son reçu.

• « Annexe juridictionnelle relative à la protection des données » — le complément propre au pays correspondant au Pays d’envoi dans la section 19.
• « Prestataire agréé » — un agrégateur de paiement agréé ou un autre prestataire agréé pouvant agir en qualité de responsable du traitement distinct pour des activités de paiement réglementées.
• « Responsable du traitement Mansa » — l’entité Mansa correspondant au Pays d’envoi vérifié dans le Registre public relatif à la confidentialité.
• « Devis Mansa » — le récapitulatif de Transaction à durée de validité limitée affiché par Mansa avant la confirmation.
• « Interface d’autorisation du Prestataire » — la demande de paiement ou l’interface d’autorisation distincte générée par un Prestataire agréé.
• « Registre public relatif à la confidentialité » — le référentiel unique figurant à la section 19 et contenant les renseignements relatifs aux pays pris en charge, aux responsables du traitement et aux contacts.
• « Pays d’envoi » — le pays pris en charge affiché dans le parcours de Transaction à partir duquel l’expéditeur initie et finance la Transaction ; Mansa peut demander des justificatifs lorsque les renseignements fournis et les données techniques sont incohérents.

Nous recevons des données de votre part et de votre appareil ; d’un expéditeur ou d’un destinataire agissant licitement ; de Prestataires agréés, banques, services de mobile money, émetteurs ou acquéreurs de cartes, prestataires de vérification de l’identité et de prévention de la fraude ; de registres publics ou officiels de sanctions et de sociétés ; de fournisseurs de communications lorsque la loi le permet ; de régulateurs ou d’autorités chargées de l’application de la loi ; et de nos prestataires de services. Lorsqu’une autre personne nous fournit vos renseignements, nous vous communiquons l’information exigée par la loi, sauf lorsqu’une exception s’applique.

Lorsque nous invoquons nos intérêts légitimes, nous documentons la finalité, la nécessité, l’incidence sur les personnes et les garanties. Le consentement est préalable, spécifique, éclairé, univoque et aussi facile à retirer qu’à donner. Nous ne subordonnons pas le service principal de transfert à un consentement relatif au marketing, aux analyses, à la localisation précise ou aux données biométriques lorsque ces traitements ne sont pas nécessaires.

Les renseignements relatifs à l’identité, aux coordonnées, à la Transaction, à l’autorisation de paiement et à la conformité sont généralement nécessaires pour fournir le Devis Mansa ou exécuter le transfert. Si vous ne les fournissez pas, Mansa ou le Prestataire agréé pourraient ne pas être en mesure de poursuivre. Les champs facultatifs et leur finalité sont indiqués séparément. Nous ne demandons pas un renseignement au seul motif qu’il pourrait être utile ultérieurement.

Des règles automatisées peuvent évaluer l’identité, les caractéristiques de la Transaction, les signaux relatifs à l’appareil et à la sécurité, les indicateurs de sanctions, les schémas de fraude ainsi que les limites légales ou des prestataires afin d’approuver, suspendre, refuser ou soumettre une Transaction à un examen. Nous ne publions ni les seuils sensibles de sécurité, ni les règles de fraude, ni la logique confidentielle de classement des prestataires. La sélection d’un prestataire n’est pas, à elle seule, considérée comme une décision automatisée significative lorsqu’elle ne modifie pas le montant, le destinataire, le délai essentiel ou les droits affichés dans le Devis Mansa.

Lorsqu’une décision fondée exclusivement sur un traitement automatisé produit un effet juridique ou un effet similaire significatif et que le droit applicable vous accorde ce droit, vous pouvez demander une intervention humaine, exprimer votre point de vue et contester la décision au moyen du contact indiqué à la section 19. Nous évaluons les systèmes à haut risque et contrôlons leur précision, les possibilités d’intervention manuelle et les résultats défavorables.

• les agrégateurs de paiement et établissements de paiement agréés, banques et banques habilitées, opérateurs de mobile money, émetteurs ou acquéreurs de cartes et réseaux de cartes, ainsi que les prestataires d’encaissement, de règlement et de versement nécessaires à la Transaction ;
• les prestataires de vérification de l’identité ou KYC, de filtrage des sanctions, de prévention de la fraude, d’analyse du risque lié à l’appareil et d’authentification ;
• les sous-traitants chargés de l’hébergement infonuagique, de la sécurité, des communications, des analyses, de l’assistance client et de la gestion des documents ou preuves ;
• les conseillers professionnels, auditeurs et assureurs soumis à des obligations légales et de confidentialité ;
• lorsqu’un paiement en double ou erroné est documenté, le créancier réel, son agent de recouvrement autorisé, les prestataires de paiement concernés, les prestataires de traçage, les avocats, les commissaires de justice ou agents d’exécution et les tribunaux compétents, dans la seule mesure licitement nécessaire pour tracer, demander, contester ou recouvrer le montant ;
• les sociétés du groupe Mansa placées sous une propriété ou un contrôle commun, pour les finalités limitées d’exécution, de rapprochement, d’assistance, de sécurité et de conformité prévues par la présente Politique ;
• les régulateurs, autorités de protection des consommateurs ou des données, tribunaux et autorités chargées de l’application de la loi, lorsque la communication est autorisée ou obligatoire ; et
• un acquéreur, investisseur ou intervenant à une restructuration, sous réserve d’obligations de confidentialité et du droit applicable, avec notification lorsqu’elle est requise.

Chaque catégorie ne reçoit que les données raisonnablement nécessaires à son rôle. Mansa enregistre le prestataire effectivement utilisé pour une Transaction. Lorsque la loi l’exige, ce prestataire fournit son identité et ses informations relatives à la vie privée au moyen de l’Interface d’autorisation du Prestataire, de sa confirmation ou de son reçu. En réponse à une demande d’accès valable, Mansa fournit les destinataires ou catégories exigés par le droit applicable.

Mansa transmet au Prestataire agréé sélectionné les données à caractère personnel nécessaires pour générer l’Interface d’autorisation du Prestataire ou exécuter l’étape concernée d’encaissement, de règlement ou de versement. Les sous-traitants agissant uniquement pour Mansa sont contractuellement limités à des finalités documentées et soumis à des obligations de confidentialité, de sécurité, d’assistance, de suppression ou de restitution.

Un Prestataire agréé détermine de manière indépendante certaines finalités et obligations légales, notamment pour son Interface d’autorisation du Prestataire, l’autorisation de paiement, les vérifications KYC/LCB-FT, le filtrage des sanctions, la protection des fonds, l’exécution, le règlement, les réclamations relatives aux paiements et les déclarations réglementaires. Lorsque la loi l’exige, le prestataire fournit son identité, sa notice de confidentialité et ses coordonnées au moyen de son interface, de sa confirmation ou de son reçu. Mansa demeure responsable de ses propres informations, données, interfaces, instructions et mesures d’assistance. Une demande ou réclamation adressée à la mauvaise partie est transmise à la partie appropriée sans retard injustifié.

La loi peut nous interdire de vous informer d’une communication, d’une déclaration, d’un gel ou d’une enquête. Les règles relatives à la criminalité financière peuvent notamment interdire d’informer la personne concernée de l’existence d’une déclaration de soupçon ou d’une analyse associée. Nous enregistrons le fondement légal, le destinataire, la portée et la date de la communication, même lorsqu’une notification ne peut licitement être faite. Le texte applicable en matière d’interdiction d’information est identifié dans l’Annexe juridictionnelle relative à la protection des données.

En raison du caractère transfrontalier des transferts d’argent et de l’activité internationale de certains prestataires, des données à caractère personnel peuvent être transférées vers le pays du destinataire et vers les lieux d’hébergement, de prestation ou d’assistance indiqués à la section 19. Avant un transfert, nous enregistrons le destinataire, le pays, la finalité, les données, la nécessité, les mesures de sécurité et le mécanisme juridique.

Nous ne procédons à un transfert qu’après avoir appliqué l’autorisation, la décision d’adéquation, la garantie contractuelle ou la condition légale exigée par le droit applicable. Les mécanismes effectivement utilisés sont consignés une seule fois à la section 19. Vous pouvez demander une copie ou une explication au moyen du contact relatif à la confidentialité qui y figure. La présente Politique ne constitue pas, à elle seule, une autorisation de transfert.

La norme générale de dix ans s’applique aux catégories de preuves essentielles indiquées ci-dessus, et non à chaque donnée à caractère personnel. Le point de départ dépend du type de dossier : exécution ou clôture pour les preuves de Transaction, fin de la relation ou Transaction occasionnelle pour les données KYC/CDD, et clôture définitive pour une réclamation ou un recouvrement. Tout minimum légal différent, toute condition relative au fondement juridique ou tout délai de prescription local est régi par le droit applicable et, lorsqu’il est indiqué, par l’Annexe juridictionnelle correspondante. La norme de dix ans de Mansa ne s’applique que tant qu’un fondement juridique subsiste.

Nous ne prolongeons la conservation qu’en cas de mesure documentée de conservation à des fins contentieuses, d’instruction d’un régulateur, de jugement demeurant exécutoire ou de réclamation non résolue. L’accès est restreint pendant cette période. Si le droit local rend une partie de la période de dix ans illicite, la durée légale plus courte s’applique. Lorsqu’aucun besoin légal ne subsiste, nous supprimons les données de manière sécurisée ou les anonymisons irréversiblement et exigeons des sous-traitants concernés qu’ils fassent de même. Chaque durée indiquée constitue un maximum ainsi qu’un minimum lorsqu’un minimum légal est imposé.

Nous protégeons les données à caractère personnel sensibles au moyen d’un chiffrement AES-256 au repos et TLS 1.2 ou supérieur en transit. Les accès privilégiés et administratifs sont protégés par une authentification multifacteur ainsi que par des droits fondés sur les rôles et le besoin d’en connaître. Nous utilisons également le cloisonnement, la tokenisation des paiements, l’authentification forte de l’utilisateur lorsqu’elle est applicable, le suivi des Transactions et du rapprochement, le développement sécurisé et le contrôle des modifications, la gestion des vulnérabilités, la journalisation, des sauvegardes et restaurations testées, la vérification préalable des sous-traitants et la gestion des incidents. Les exigences légales applicables en matière de sécurité, d’audit de cybersécurité et de réponse aux incidents sont régies par le droit de la juridiction concernée.

Après autorisation, nous ne conservons ni le CVV de la carte, ni le code PIN, ni la valeur d’un code à usage unique, ni le mot de passe, ni la clé privée, ni un secret d’authentification complet. L’authentification du paiement s’effectue dans le parcours contrôlé du Prestataire agréé concerné. Aucun système n’est exempt de risque et nous ne prétendons pas que le service est « sécurisé à 100 % ».

Nous consignons chaque incident suspecté ou confirmé relatif à des données à caractère personnel ; nous examinons les données et personnes touchées, l’origine, la chronologie et l’incidence probable ; nous contenons et corrigeons l’incident ; nous conservons un journal des décisions ; et nous notifions le responsable du traitement, le prestataire, l’autorité et les personnes concernées dans les délais et selon le contenu exigés par le droit applicable et, lorsqu’un délai précis y est indiqué, par l’Annexe juridictionnelle relative à la protection des données.

Signalez tout incident suspecté au moyen du contact consacré à la sécurité et aux incidents relatifs aux données figurant à la section 19. Une notification de sécurité décrit l’incident, ses conséquences probables, les mesures prises, les mesures que vous devriez prendre et le moyen d’obtenir de l’assistance, sauf lorsqu’une autorité ou un service chargé de l’application de la loi en restreint licitement le contenu ou le calendrier.

Selon votre Pays d’envoi et votre situation, vous pouvez demander des informations et l’accès à vos données ; leur rectification ; leur effacement ; la limitation du traitement ou vous y opposer ; leur portabilité ou une copie utilisable ; retirer votre consentement ; refuser le marketing direct ; demander le réexamen humain d’une décision automatisée significative ; et introduire une réclamation auprès d’une autorité compétente. Les droits, délais et autorités sont régis par le droit applicable ; l’Annexe juridictionnelle en identifie les principales sources et, lorsqu’ils sont disponibles, les contacts ou délais spécifiques. Des exceptions peuvent notamment résulter des obligations relatives aux paiements, à la LCB-FT, à la comptabilité, à la fraude, aux droits en justice et aux exigences des régulateurs.

Adressez votre demande au moyen du canal relatif à la confidentialité indiqué à la section 19. Nous vérifions votre identité de manière proportionnée, accusons réception de la demande, effectuons les recherches dans les systèmes de Mansa et des sous-traitants concernés, coordonnons les responsables du traitement indépendants si nécessaire, expliquons tout refus licite et répondons dans le délai imposé par le droit applicable. Les demandes sont gratuites, sauf lorsque la loi permet des frais raisonnables pour une demande manifestement infondée ou excessive.

Le retrait du consentement ne remet pas en cause la licéité du traitement effectué auparavant. L’effacement ne supprime pas les dossiers que nous sommes légalement tenus de conserver ; leur utilisation est limitée et ils sont supprimés lorsque l’obligation ou la mesure de conservation prend fin.

Les messages relatifs aux Transactions, reçus, à la sécurité, aux statuts, aux réclamations et aux obligations légales sont des communications de service nécessaires et ne constituent pas du marketing. Nous n’envoyons des communications marketing électroniques que par les canaux que vous avez choisis séparément et lorsqu’un consentement préalable requis ou un autre fondement valable existe. Chaque message identifie Mansa et propose un moyen simple de se désabonner.

Modifiez vos choix au moyen du lien de désabonnement ou du contact indiqué à la section 19. Nous enregistrons la formulation du consentement, le canal, la date et l’heure, la source et la version, et conservons une liste d’opposition après le retrait afin de ne pas vous recontacter illicitement. Le retrait du consentement au marketing n’a aucune incidence sur le service de transfert.

Mansa utilise actuellement les technologies strictement nécessaires au fonctionnement et à la sécurité du service demandé. Si des technologies fonctionnelles, d’analyse ou publicitaires non essentielles sont déployées, elles demeurent désactivées jusqu’à l’obtention du consentement requis. L’outil de consentement présente alors, avec la même clarté, les choix « Tout accepter », « Refuser le non-essentiel » et « Gérer les choix », et indique pour chaque technologie son fournisseur, sa finalité et sa durée. Vous pouvez modifier vos choix non essentiels. La poursuite de la navigation ne vaut pas consentement.

Le service Mansa est destiné aux adultes âgés d’au moins 18 ans. Nous ne concluons pas sciemment de contrat avec un enfant. Les renseignements relatifs à un destinataire mineur ne sont traités que lorsqu’ils sont licitement nécessaires à un transfert et assortis de l’autorisation et des garanties appropriées. Utilisez le contact relatif à la confidentialité indiqué à la section 19 si vous pensez que nous détenons indûment les données d’un enfant.

Nous indiquons le numéro de version et la date d’effet et conservons les versions antérieures. Les mises à jour factuelles non substantielles — telles qu’une nouvelle coordonnée ou l’ajout d’un pays à une annexe juridique déjà applicable — peuvent être effectuées à la section 19 sans réécrire la présente Politique, à condition qu’elles ne réduisent aucun droit et ne dissimulent aucune modification du traitement. Un nouveau responsable du traitement, une finalité substantiellement différente, une nouvelle catégorie de données, un rôle différent de destinataire, un nouveau mécanisme de transfert international, une nouvelle règle de conservation, un effet différent d’une décision automatisée ou une modification des droits exige une nouvelle version de la Politique ou toute autre notification ou tout consentement imposé par la loi. La poursuite de l’utilisation ne vaut pas consentement à une finalité substantiellement différente soumise au consentement.

Fonctionnement de ce registre

Cette section est l’unique emplacement de la présente Politique pour les correspondances pays pris en charge et les contacts relatifs à la confidentialité de Mansa. Nous pouvons mettre à jour un contact ou rattacher un nouveau pays à une Annexe juridictionnelle déjà applicable sans modifier le reste de la Politique, à condition que la mise à jour ne dissimule aucune modification substantielle du traitement et ne réduise aucun droit.

Informations relatives à la confidentialité tenues à jour

Annexe juridictionnelle relative à la protection des données A — Cadre CEMAC

La présente Annexe s’applique aux Pays d’envoi de la CEMAC indiqués à la section 19. La loi nationale du Pays d’envoi concerné s’applique parallèlement au cadre commun de paiement de la CEMAC ; ces lois ne sont pas considérées comme interchangeables au seul motif que les pays appartiennent à la CEMAC.

Cameroun : la Loi n° 2024/017 du 23 décembre 2024 relative à la protection des données à caractère personnel régit les traitements de Mansa liés au Cameroun, notamment leur licéité et leur proportionnalité, la sécurité, la conservation, les droits des personnes concernées, les décisions automatisées et les transferts transfrontaliers. Son article 53 institue l’Autorité de protection des données à caractère personnel. L’ANTIC demeure compétente pour les questions applicables de cybersécurité, d’audit de sécurité et de CIRT au titre de la Loi n° 2010/012 et du Décret n° 2012/1643/PM ; elle n’est toutefois pas présentée ici comme l’autorité chargée des réclamations relatives aux données à caractère personnel en vertu de la Loi n° 2024/017.

République centrafricaine : la Loi n° 24.001 du 20 novembre 2024 relative à la protection des données à caractère personnel s’applique aux traitements liés à la République centrafricaine, notamment lorsqu’ils y produisent des effets. Tchad : la Loi n° 007/PR/2015 du 10 février 2015 portant protection des données à caractère personnel s’applique, l’ANSICE exerçant les fonctions que lui attribuent les textes numériques applicables. République du Congo : la Loi n° 29-2019 du 10 octobre 2019 portant protection des données à caractère personnel s’applique. Gabon : la Loi n° 025/2023 du 12 juillet 2023 modifiant la Loi n° 001/2011 relative à la protection des données à caractère personnel s’applique sous le contrôle de l’Autorité pour la Protection des Données Personnelles et de la Vie Privée (APDPVP). Une demande peut toujours être adressée en premier lieu au moyen de la section 19, sans supprimer le droit d’introduire directement une réclamation auprès de l’autorité nationale compétente.

Annexe juridictionnelle relative à la protection des données B — Nigeria

La présente Annexe s’applique au Nigeria lorsqu’il est indiqué à la section 19. Mansa applique le Nigeria Data Protection Act 2023 et les directives applicables de la Nigeria Data Protection Commission. Les dispositions pertinentes comprennent la section 24 relative au traitement et à la limitation de la conservation, la section 27 relative aux informations sur la protection des données, les sections 34 à 38 relatives aux droits et aux décisions automatisées, la section 39 relative à la sécurité, la section 40 relative aux violations et les sections 41 à 43 relatives aux transferts internationaux. Pour les entités réglementées, la durée minimale de conservation en matière de LCB-FT est généralement de cinq ans au titre du règlement 23 des CBN Customer Due Diligence Regulations 2023 ; la norme de dix ans applicable aux dossiers essentiels de Mansa ne s’applique que tant qu’un fondement juridique subsiste au titre de la section 24(1)(d) de la Loi.

En application de la section 40, une violation susceptible de présenter un risque pour les droits et libertés des personnes est notifiée à la Commission dans les 72 heures suivant sa constatation, et une violation à haut risque est communiquée immédiatement aux personnes concernées, sous réserve des conditions prévues par la loi. Les réclamations peuvent être adressées à la NDPC, No. 12 Clement Isong Street, Asokoro, Abuja ; https://ndpc.gov.ng/contact/.