Déclaration de confidentialité et de protection des données à caractère personnel

1. Objet et champ d'application

La présente déclaration décrit les conditions dans lesquelles des données à caractère personnel sont collectées et traitées dans le cadre exclusif de la mise en œuvre du projet SALTIS (ci-après « le Projet »).

Elle s'applique aux données communiquées directement par les personnes concernées ou transmises par les organisations partenaires, participantes ou bénéficiaires du Projet.

Dans le présent document, les termes « données personnelles » ou « données à caractère personnel » désignent toute information relative à une personne physique identifiée ou identifiable, et le terme « traitement » désigne toute opération portant sur ces données, notamment leur collecte, leur enregistrement, leur conservation, leur utilisation ou leur communication.

2. Responsable du traitement

Le responsable du traitement est Institut des Algorithmes du Sénégal, dont le siège est sis à Cité Damel à Yoff, Sénégal.

Lorsque le Projet est mis en œuvre en consortium ou en partenariat, chaque entité partenaire demeure une personne morale distincte et répond du traitement des données qu'elle opère pour son propre compte.

3. Finalités du traitement

Les données personnelles collectées sont traitées uniquement aux fins nécessaires à l'exécution du Projet, notamment :

• la gestion des candidatures, des inscriptions et du suivi des participants ;
• l'organisation, l'animation et l'évaluation des activités prévues par le Projet ;
• la production des rapports d'activité et des livrables dus aux commanditaires et bailleurs du Projet ;
• le respect des obligations légales, réglementaires, comptables et contractuelles applicables.

Aucune utilisation des données à des fins étrangères au Projet n'est envisagée dans le cadre de la présente déclaration.

4. Bases légales du traitement

Le traitement est fondé, selon les cas, sur l'une ou plusieurs des bases suivantes :

• l'exécution d'un contrat auquel la personne concernée est partie, ou de mesures précontractuelles prises à sa demande ;
• le respect d'une obligation légale ou réglementaire à laquelle le responsable du traitement est soumis ;
• l'intérêt légitime du responsable du traitement et de ses partenaires à assurer la bonne exécution et le suivi du Projet, sous réserve des droits et libertés des personnes concernées ;
• le consentement de la personne concernée, lorsqu'aucune autre base légale n'est disponible.

Le traitement s'inscrit dans le cadre de la loi n° 2008-12 du 25 janvier 2008 sur la protection des données à caractère personnel au Sénégal et des formalités préalables applicables auprès de la Commission de protection des données personnelles (CDP). Lorsque des personnes concernées relèvent d'autres juridictions, les dispositions localement applicables, notamment le Règlement (UE) 2016/679 (RGPD) et la Convention de l'Union africaine sur la cybersécurité et la protection des données à caractère personnel, sont prises en considération dans la mesure où elles trouvent à s'appliquer.

5. Destinataires et communication des données

Les données peuvent être communiquées, dans la limite de ce qui est nécessaire à l'exécution du Projet :

• aux membres de l'équipe projet et aux intervenants habilités ;
• aux partenaires dans le cadre des obligations de reporting ;
• aux prestataires techniques intervenant pour le compte du responsable du traitement (hébergement, maintenance applicative, sauvegarde, outils de communication) ;
• aux conseils juridiques, auditeurs et commissaires aux comptes, dans le cadre de leurs missions ;
• aux autorités administratives, judiciaires ou de régulation, lorsque la loi l'exige.

Il est de la politique du responsable du traitement de ne recourir qu'à des prestataires présentant des garanties suffisantes en matière de confidentialité et de sécurité, et intervenant sur instruction.

6. Transferts hors du territoire national

Les données peuvent être hébergées ou traitées en dehors du Sénégal, notamment lorsque les prestataires techniques utilisés exploitent des infrastructures situées à l'étranger. Ces transferts sont effectués conformément aux dispositions applicables, y compris, le cas échéant, après accomplissement des formalités requises auprès de la CDP.

Certains pays de destination disposent d'une législation offrant un niveau de protection spécifique aux données personnelles, d'autres non.

7. Sécurité

Des mesures techniques et organisationnelles conformes aux pratiques généralement admises sont mises en œuvre en vue de protéger les données contre la perte, l'altération, la destruction ou l'accès non autorisé. L'accès aux données est limité aux personnes habilitées, tenues à une obligation de confidentialité.

Il est toutefois rappelé que la transmission de données par voie électronique, notamment par courrier électronique ou via Internet, ne peut être considérée comme totalement sécurisée. Aucune garantie de sécurité absolue ne peut être donnée quant aux données transmises par ou vers le responsable du traitement.

8. Durée de conservation

Les données sont conservées pendant la durée nécessaire à la réalisation des finalités mentionnées à l'article 3, augmentée, le cas échéant, des délais de conservation imposés par les obligations légales, comptables, contractuelles ou par les exigences d'archivage des bailleurs du Projet.

Au terme de ces délais, les données sont supprimées, détruites ou anonymisées.

9. Droits des personnes concernées

Sous réserve des conditions et limites prévues par la loi applicable, les personnes concernées disposent des droits suivants :

• droit d'accès et droit d'obtenir des informations sur le traitement de leurs données ;
• droit de rectification des données inexactes ou incomplètes ;
• droit d'effacement, dans les cas prévus par la loi ;
• droit à la limitation du traitement, dans les cas prévus par la loi ;
• droit d'opposition, pour des motifs légitimes ;
• droit à la portabilité, lorsque les conditions en sont réunies ;
• droit de retirer leur consentement à tout moment, lorsque le traitement est fondé sur celui-ci, sans que ce retrait n'affecte la licéité du traitement effectué antérieurement.

L'exercice de ces droits peut être restreint lorsque la conservation ou le traitement des données demeure nécessaire au respect d'une obligation légale, à l'exécution d'un contrat, ou à la constatation, l'exercice ou la défense d'un droit en justice.

Toute personne concernée dispose par ailleurs du droit d'introduire une réclamation auprès de la Commission de protection des données personnelles (CDP) du Sénégal.

10. Obligations des personnes concernées

Il est attendu des personnes concernées qu'elles communiquent des données exactes et à jour, qu'elles signalent toute modification utile, qu'elles adoptent des pratiques raisonnables de protection de leurs propres identifiants et accès, et qu'elles signalent sans délai toute violation ou usage abusif de données dont elles auraient connaissance.

11. Cookies

Lorsque le Projet met à disposition une plateforme en ligne, celle-ci peut recourir à des cookies, c'est-à-dire à de petits fichiers déposés sur le terminal de l'utilisateur afin d'assurer le fonctionnement du service et d'en mesurer l'audience. Les cookies ne permettent pas, à eux seuls, d'identifier directement une personne. Les modalités de gestion et de refus des cookies sont précisées, le cas échéant, dans la bannière ou la politique dédiée accessible sur la plateforme.

12. Modification de la présente déclaration

La présente déclaration peut être modifiée à tout moment, notamment pour tenir compte de l'évolution du Projet ou du cadre légal applicable. La version en vigueur est celle publiée sur le site de IAS ou communiquée aux personnes concernées.

13. Contact

Toute demande relative aux données personnelles ou à l'exercice des droits mentionnés ci-dessus peut être adressée à contact@ias.sn.