Politique de Confidentialité

La présente Politique de Confidentialité décrit comment MICROFINANCE IMUHIRA S.A ("nous", "notre", "nos") collecte, utilise, protège et partage vos informations personnelles lorsque vous utilisez l'application mobile Muh-Inoti et les services connexes.

Nous collectons les catégories de données suivantes pour fournir nos services bancaires mobiles :

2.1 Informations d'identification personnelle

• Nom complet, prénom
• Numéro de téléphone burundais (format +257 XX XXX XXX)
• Adresse e-mail
• Numéro de document d'identité (CNI ou Passeport)
• Date et lieu de naissance
• Sexe (Masculin/Féminin)
• Ville et adresse de résidence
• Numéro de compte bancaire existant (pour la liaison de compte)
• Alias de compte (identifiant unique pour les paiements)

2.2 Informations d'authentification et de sécurité

• Nom d'utilisateur et mot de passe (stocké sous forme hachée, jamais en clair)
• Code PIN à 4 chiffres (chiffré, utilisé pour l'accès rapide)
• Données biométriques (empreinte digitale, reconnaissance faciale) stockées exclusivement dans l'enclave sécurisée de l'appareil, jamais transmises à nos serveurs
• Identifiant unique d'appareil (device ID) pour la prévention de la fraude et la gestion des sessions

2.3 Informations de transaction et financières

• Historique complet des transactions (transferts P2P, paiements QR, cash-in, cash-out, RTP)
• Soldes de compte en temps réel
• Bénéficiaires et émetteurs de fonds (noms, alias, numéros de compte masqués)
• Codes QR générés et scannés (montant, type, expiration)
• Demandes de paiement (RTP) envoyées et reçues avec leur statut
• Frais de transaction appliqués

2.4 Informations techniques et d'utilisation

• Adresse IP, type d'appareil, système d'exploitation, version de l'application
• Journaux d'erreurs et de plantages (crash logs) pour le débogage
• Données de géolocalisation approximative (uniquement pour localiser les agences/POS proches, avec consentement)
• Données d'usage anonymisées (fréquence des fonctionnalités, temps de session) pour l'amélioration du produit

Nous traitons vos données pour les finalités suivantes, sur la base juridique indiquée :

• Créer et gérer votre compte client (exécution du contrat)
• Authentifier votre identité et sécuriser l'accès (intérêt légitime, obligation légale KYC)
• Traiter les transactions financières : transferts, paiements QR, cash-in/out, RTP (exécution du contrat, obligation légale)
• Générer et valider des codes QR pour les paiements marchands et particuliers (exécution du contrat)
• Fournir un service client et une assistance technique réactifs (intérêt légitime)
• Respecter les obligations légales et réglementaires : KYC (Know Your Customer), AML (Anti-Money Laundering), réglementation bancaire burundaise (obligation légale)
• Prévenir la fraude, le blanchiment d'argent et améliorer la sécurité (intérêt légitime, obligation légale)
• Améliorer l'expérience utilisateur et les fonctionnalités de l'application (intérêt légitime, consentement pour l'analyse)
• Envoyer des notifications importantes (SMS, push, e-mail) liées à votre compte et à la sécurité (exécution du contrat, intérêt légitime)

• Avec votre consentement explicite et éclairé
• Avec des prestataires de services de confiance (hébergement cloud, passerelles SMS, services de notifications push, maintenance technique) uniquement sous accords de confidentialité stricts (DPA) et pour les finalités définies
• Avec les autorités réglementaires, judiciaires et fiscales burundaises lorsque la loi l'exige (BRB, OBR, parquet, police)
• Avec nos partenaires bancaires et systèmes de paiement interbancaires (IPS — Interbank Payment System, CAS — Central Accounting System) pour le traitement et le règlement des transactions
• En cas de fusion, acquisition, réorganisation ou vente d'actifs, sous réserve que le destinataire s'engage à respecter cette politique et à protéger vos données
• Pour protéger nos droits, notre sécurité ou celle d'autrui, ou pour enquêter sur des fraudes

Transferts vers des pays tiers

Vos données sont principalement traitées et stockées au Burundi. Aucun transfert vers des pays hors de la Communauté d'Afrique de l'Est (EAC) n'est effectué sans garanties appropriées (clauses contractuelles types, décision d'adéquation, ou votre consentement explicite).

Nous mettons en œuvre des mesures techniques et organisationnelles conformes aux standards bancaires internationaux et aux exigences de la Banque de la République du Burundi (BRB) :

• Chiffrement TLS 1.2+ / SSL pour toutes les communications réseau (API, WebSocket, téléchargement de pièces jointes)
• Stockage chiffré des données sensibles sur l'appareil via Flutter Secure Storage (AES-256, enclave sécurisée iOS / Android Keystore)
• Authentification forte multi-facteurs : code PIN à 4 chiffres, biométrie (empreinte / Face ID), verrouillage automatique après période d'inactivité configurable
• Gestion sécurisée des sessions : JWT avec expiration courte (access token) et refresh tokens à rotation, révocation côté serveur
• Validation côté serveur de toutes les opérations critiques (aucune confiance aveugle au client)
• Surveillance continue des activités suspectes : détection d'anomalies, limites de vélocité, alertes en temps réel
• Tests de sécurité réguliers : audits de code, tests de pénétration, revue des dépendances (OWASP Mobile Top 10)
• Plan de réponse aux incidents de sécurité avec notification aux autorités et utilisateurs concernés sous 72h (RGPD-style)

Nous conservons vos données aussi longtemps que nécessaire pour les finalités décrites, conformément aux obligations légales :

• Données de compte et KYC : durée de la relation contractuelle + 10 ans après clôture du compte (exigence réglementaire bancaire burundaise, loi n°1/015 du 17 mai 2017)
• Historique des transactions et justificatifs : 10 ans minimum (réglementation bancaire, lutte contre le blanchiment)
• Journaux techniques, logs de sécurité, accès et authentification : 3 ans
• Données biométriques : jamais stockées sur nos serveurs, uniquement dans l'enclave sécurisée de l'appareil utilisateur
• Données marketing/analytiques (anonymisées) : 26 mois maximum

À l'expiration des durées, les données sont soit anonymisées irrémédiablement, soit supprimées de manière sécurisée.

Conformément à la loi burundaise sur la protection des données personnelles (Loi n°1/01 du 18 janvier 2021) et aux meilleures pratiques internationales, vous disposez des droits suivants :

• Droit d'accès : obtenir une copie de vos données personnelles que nous détenons
• Droit de rectification : corriger des informations inexactes, incomplètes ou obsolètes
• Droit à l'effacement ("droit à l'oubli") : demander la suppression de vos données (soumis aux obligations légales de conservation, ex. données bancaires 10 ans)
• Droit à la limitation du traitement : geler l'utilisation de vos données dans certains cas
• Droit à la portabilité : recevoir vos données dans un format structuré, couramment utilisé et lisible par machine
• Droit d'objection : vous opposer au traitement pour motifs légitimes, y compris le profilage
• Droit de retirer votre consentement : à tout moment pour les traitements basés sur le consentement (ex. analyse d'usage, notifications marketing), sans porter atteinte à la licéité du traitement antérieur
• Droit de ne pas faire l'objet d'une décision automatisée produisant des effets juridiques

Comment exercer vos droits

• Via l'application : Menu > Aide et Support > Contactez-nous > "Exercer mes droits"
• Par e-mail : privacy@muh-inoti.bi (réponse sous 30 jours maximum)
• Par courrier : MICROFINANCE IMUHIRA S.A, Service Protection des Données, Rohero 2, Bujumbura, Burundi

L'application Muh-Inoti n'utilise pas de cookies HTTP traditionnels (navigateur). Elle utilise des technologies équivalentes pour le fonctionnement et la sécurité :

• Stockage local sécurisé (SharedPreferences / Keychain / Keystore) pour les préférences utilisateur, tokens de session, et configuration hors-ligne
• Identifiants d'appareil (Android ID / iOS IDFV) pour la prévention de la fraude, la gestion des appareils de confiance, et l'anti-contrefaçon
• Analyse d'usage anonyme et agrégée (Firebase Analytics / solution interne) pour améliorer l'application — aucune donnée personnelle n'est incluse, désactivable dans les paramètres
• Aucun suivi publicitaire inter-applications (pas d'IDFA/GAID pour le ciblage publicitaire)

L'application intègre ou redirige vers les services suivants, qui ont leurs propres politiques de confidentialité :

• Système de paiement interbancaire du Burundi (IPS) pour les transferts interbancaires en temps réel
• Système de comptabilité centralisée (CAS) pour la tenue de compte et le règlement
• Services de carte (Visa Debit, Mastercard, prépayées) via nos partenaires bancaires agréés
• Fournisseurs de services SMS (notifications transactionnelles, OTP) et notifications push (Firebase Cloud Messaging / APNs)
• Services de géolocalisation (OpenStreetMap / MapLibre) pour localiser les agences et POS proches — données approximatives, consentement requis
• Hébergement cloud (serveurs au Burundi / région EAC) pour l'API backend et le stockage chiffré

Nous exigeons de tous nos sous-traitants qu'ils signent des accords de traitement de données (DPA) conformes à la réglementation et qu'ils mettent en œuvre des mesures de sécurité équivalentes.

Nous pouvons mettre à jour cette politique de confidentialité de temps à autre pour refléter :

• Les évolutions réglementaires (loi burundaise, directives BRB, standards EAC)
• L'ajout de nouvelles fonctionnalités ou services dans l'application
• Les retours des utilisateurs et des autorités de contrôle
• Les améliorations de nos pratiques de sécurité et de confidentialité

Nous vous informerons de tout changement important via : (1) une notification in-app visible au prochain lancement, (2) un e-mail à votre adresse enregistrée, (3) un bandeau dans l'application. La version la plus récente est toujours accessible dans l'application (Menu > Politique de Confidentialité) et sur notre site web. L'utilisation continue de nos services après notification vaut acceptation de la politique mise à jour.

Pour toute question, réclamation ou exercice de droits relatif à cette politique ou à vos données personnelles :

• Délégué à la Protection des Données (DPO) : M. [Nom du DPO] — dpo@muh-inoti.bi
• Service Client / Vie Privée : privacy@muh-inoti.bi
• Téléphone : +257 22 20 XXXX (Lun-Ven 7h30-17h30, Sam 7h30-16h, Dim 10h-14h)
• Adresse postale : MICROFINANCE IMUHIRA S.A, Service Protection des Données, Rohero 2, Bujumbura, Burundi
• Agence Amitié : Rohero 1, Avenue de l'Amitié, Bujumbura

En cas de réclamation non résolue à l'amiable dans un délai de 30 jours, vous avez le droit de saisir :

• L'Autorité de Protection des Données Personnelles du Burundi (APDP) lorsque mise en place
• La Banque de la République du Burundi (BRB) pour les questions relevant de l'activité bancaire et de la protection de la clientèle bancaire
• Les juridictions compétentes du Burundi