Politique de confidentialité

1Qui est responsable de vos données

Fugaji édite et exploite le service Fugaji : le site fugaji.com, la console web app.fugaji.com et l'application mobile Android et iOS. Fugaji est le responsable du traitement des données décrites dans cette politique.

Pour toute question relative à vos données, pour exercer un droit ou pour signaler un problème : contact@fugaji.com. Nous répondons en français, en anglais, en kinyarwanda ou en swahili.

Lorsque vous utilisez Fugaji au sein d'une exploitation, celle-ci décide de ce qu'elle enregistre sur ses animaux, ses ventes et ses équipes ; nous traitons ces données pour son compte et selon nos instructions contractuelles communes. Pour votre compte personnel — votre identité, vos identifiants, vos appareils — nous sommes responsables directement.

2Ce que nous ne faisons pas

Trois engagements valent pour l'ensemble du service et ne dépendent d'aucun réglage :

• Aucune publicité. Le service n'affiche aucune annonce publicitaire, ni interne ni vendue à un tiers.
• Aucun traceur publicitaire ni outil de mesure d'audience. Il n'y a, dans l'application mobile comme sur le site et la console web, aucun SDK d'analyse, aucun outil de suivi des pannes, aucun identifiant publicitaire, aucun pixel et aucun cookie tiers. Nous ne demandons pas l'autorisation de suivi d'Apple parce que nous ne suivons personne.
• Aucune vente de données. Nous ne vendons, ne louons et n'échangeons aucune donnée personnelle, et nous ne transmettons rien à des courtiers en données.

Nous ne profilons pas les personnes et nous ne prenons aucune décision automatisée produisant des effets juridiques à votre égard.

3Les données que nous traitons et pourquoi

Voici, catégorie par catégorie, ce qui est enregistré, à quoi cela sert et sur quel fondement.

Compte et identité

Nom, adresse électronique et numéro de téléphone lorsque vous les fournissez, empreinte du mot de passe, langue préférée, photo de profil, rôle et permissions dans l'exploitation, date de création et date de désactivation éventuelle. Nécessaires pour créer votre compte, vous authentifier et déterminer ce que vous avez le droit de voir. Base : exécution du contrat.

Connexion et appareils

Sessions ouvertes, empreinte du jeton de rafraîchissement, date de dernière utilisation, date d'expiration, révocation éventuelle, et le nom d'appareil transmis par le client, par exemple le modèle du téléphone. Nécessaires pour vous garder connecté, vous permettre de fermer une session à distance et détecter un accès anormal. Base : exécution du contrat et intérêt légitime à sécuriser les comptes.

Codes de vérification et invitations

Numéro de téléphone associé à un code de connexion à usage unique, empreinte de ce code, et pour une invitation : le nom, l'adresse électronique ou le numéro de la personne invitée, les rôles prévus et l'empreinte du jeton d'invitation. Les codes et les jetons ne sont jamais conservés en clair. Base : exécution du contrat.

Registres d'élevage

Fiches des animaux, identification et boucles, généalogie, événements de santé, traitements, vaccinations, reproduction, pesées, production laitière, alimentation, mouvements et transactions. Chaque enregistrement conserve l'identifiant de la personne qui l'a saisi, ses notes libres et les fichiers joints. Une transaction peut porter le nom d'une contrepartie. Base : exécution du contrat avec l'exploitation, et son intérêt légitime à tenir des registres fiables.

Photos et notes vocales

Photos d'animaux, photos d'annonces, photos de profil, preuves de réalisation de tâches, et notes vocales enregistrées sur le terrain. Les photos sont redimensionnées et ré-encodées sur le téléphone avant l'envoi, ce qui en retire en pratique les métadonnées inscrites par l'appareil photo, y compris une éventuelle position GPS. Dans le cas rare où le téléphone n'arrive pas à traiter une image, le fichier d'origine est envoyé tel quel, avec ses métadonnées. Base : exécution du contrat.

Tâches et travail d'équipe

Titre et description des tâches, affectations, listes de contrôle, commentaires, historique des actions, motifs de blocage ou d'annulation, pièces jointes. Une pièce jointe peut porter les coordonnées du lieu où elle a été capturée lorsque le client les fournit. Base : exécution du contrat et intérêt légitime de l'exploitation à organiser son travail.

Messages

Contenu des messages échangés entre membres d'une exploitation, identifiant de l'expéditeur, pièces jointes, accusés de lecture et date. Ces messages ne sont pas chiffrés de bout en bout : ils sont stockés sur nos serveurs pour être livrés sur tous vos appareils et pour fonctionner hors ligne. Base : exécution du contrat.

Boutique et commandes

Annonces publiées — description, prix, photos, animal lié — et, pour chaque commande, le nom et le numéro de téléphone de l'acheteur, le détail des lignes, le montant, le statut et, le cas échéant, la référence de paiement. Une commande peut être passée sans compte : le numéro de téléphone est alors le seul élément permettant à l'acheteur de la retrouver. Base : exécution du contrat et mesures précontractuelles à la demande de l'acheteur.

Positions des colliers et capteurs

Positions transmises par les colliers, boucles et bolus connectés d'une exploitation : identifiant de l'appareil, animal concerné, date et heure, coordonnées, vitesse, précision, niveau de batterie, et relevés de température. Il s'agit de la position d'un animal, jamais de celle d'un téléphone. Ces positions révèlent toutefois l'emplacement et les déplacements d'une exploitation. Base : exécution du contrat avec l'exploitation équipée.

Géographie de l'exploitation

Emplacement et limites des fermes et des parcelles, clôtures virtuelles et leurs plages horaires, telles que l'exploitation les dessine sur la carte. Base : exécution du contrat.

Alertes

Alertes produites par les règles de clôture, d'inactivité, de batterie ou de température, avec leur message, leurs éléments chiffrés, leur statut, la personne qui les a traitées et sa note de résolution. Base : exécution du contrat.

Abonnement et paiements

Formule souscrite, statut, période en cours, mode de paiement déclaré, et pour chaque paiement : le montant, la devise, le statut, le prestataire et la référence de transaction. Nous ne recevons ni ne conservons de numéro de carte ni de code secret mobile money. Base : exécution du contrat et obligation légale de conservation comptable.

Notifications push

Jeton de notification de l'appareil, plateforme (iOS ou Android), nom de l'appareil et date de dernière utilisation. Nécessaires pour vous envoyer une alerte ou un message. Base : consentement, que vous retirez en désactivant les notifications dans les réglages du téléphone.

Journal d'administration

Actions sensibles : connexion, changement ou réinitialisation de mot de passe, création et modification de comptes, envoi d'invitations (avec l'adresse ou le numéro invité), changements de rôle, création et suppression d'appareils, souscription et changement de formule. Chaque entrée retient l'auteur, l'action, l'objet concerné et la date. Base : intérêt légitime à la sécurité, à la traçabilité et à la preuve.

Journaux techniques

Nos serveurs et ceux de nos hébergeurs produisent des journaux d'exploitation qui peuvent contenir une adresse IP, une date et la requête effectuée. Ils servent à faire fonctionner le service, à limiter les abus et à diagnostiquer les incidents. L'adresse IP sert également de clé pour les limitations de débit, en mémoire ; elle n'est pas enregistrée dans notre base de données. Base : intérêt légitime à la sécurité et à la continuité du service.

4Ce que l'application mobile fait sur votre téléphone

Appareil photo

Utilisé pour photographier un animal, illustrer une annonce ou une tâche, et pour lire un code d'identification. La lecture d'un code n'enregistre aucune image : seul le texte décodé est utilisé.

Microphone

Utilisé uniquement pendant que vous maintenez le bouton d'enregistrement d'une note vocale. L'application n'écoute jamais en arrière-plan.

Photothèque

Utilisée lorsque vous choisissez une image existante. L'application n'accède à aucune autre photo.

Position du téléphone

L'application ne lit jamais la position de votre téléphone. Elle ne contient aucune bibliothèque de géolocalisation et n'appelle aucune fonction de localisation de l'appareil. Les points affichés sur la carte proviennent des colliers des animaux et des limites de ferme enregistrées par l'exploitation.

Copie hors ligne

Pour fonctionner sans réseau, l'application conserve dans sa base locale privée une copie des animaux, des races, des troupeaux, du calendrier, des alertes, des dernières positions et des clôtures, ainsi qu'une file d'attente des saisies non encore envoyées, y compris les photos et les notes vocales en attente. Vos jetons de connexion et votre profil y sont également stockés. Cette copie ne quitte pas l'appareil. Elle est effacée à la déconnexion et à la désinstallation de l'application.

Informations sur l'appareil

L'application transmet le modèle de l'appareil lors d'une connexion, d'une acceptation d'invitation et de l'enregistrement des notifications, afin que vous puissiez reconnaître vos sessions. Elle n'envoie ni identifiant publicitaire, ni numéro de série, ni identifiant matériel unique.

L'application mobile ne communique qu'avec nos propres serveurs. Les fonds de carte y sont relayés par notre interface, de sorte que votre téléphone ne contacte pas directement le fournisseur d'imagerie.

5Assistant et transcription des notes vocales

Lorsque l'assistant est activé sur l'installation que vous utilisez, la question que vous posez est transmise à notre fournisseur de modèle de langage, Anthropic, afin d'obtenir une réponse. Pour répondre, le modèle peut interroger des données de votre seule exploitation — nombre d'animaux, liste d'animaux, production laitière, tâches à venir, structure des fermes, alertes en cours — et ces résultats lui sont transmis avec la question. La rédaction assistée d'un rapport mensuel lui transmet de la même façon les chiffres agrégés du rapport, le nom de l'exploitation, celui de la ferme et la période.

Nous ne conservons pas l'historique de vos conversations avec l'assistant : la question et la réponse ne sont pas enregistrées dans notre base de données. Ne confiez pas à l'assistant des informations que vous ne souhaitez pas transmettre à un prestataire tiers.

Lorsque la transcription automatique est activée, une note vocale est envoyée au service de transcription configuré pour l'installation, avec une indication de langue. Le texte obtenu est ajouté aux notes de l'enregistrement concerné ; l'audio reste attaché à la fiche. Lorsque la transcription n'est pas activée, la note vocale reste un simple fichier audio et n'est transmise à personne.

Lorsque le fournisseur d'assistant n'est pas configuré, la fonction est masquée : rien n'est envoyé nulle part.

6Les prestataires qui interviennent

Nous ne partageons des données qu'avec les prestataires nécessaires au fonctionnement du service, pour les seules finalités indiquées ci-dessous, et sans qu'aucun d'eux soit autorisé à les utiliser pour son propre compte.

Vercel

Héberge le site public, la console web et la console d'administration. Reçoit le trafic de navigation et les journaux techniques associés.

Hébergeur de notre serveur applicatif

L'interface de programmation, la base de données PostgreSQL et le stockage des fichiers fonctionnent sur un serveur dédié administré par Fugaji, chez un fournisseur d'infrastructure. Ce serveur contient l'ensemble des données décrites plus haut, y compris les photos, les notes vocales et les rapports.

Expo

Achemine les notifications push. Reçoit le jeton de notification de l'appareil, le titre et le corps de la notification. Pour un message, le corps contient le nom de l'expéditeur et le début du message ; pour une alerte, son texte et son type.

Resend, ou le relais de messagerie configuré

Achemine les courriers électroniques du service : invitation, réinitialisation de mot de passe, message de bienvenue. Reçoit l'adresse du destinataire et le contenu du message.

Esri (ArcGIS World Imagery)

Fournit les fonds de carte satellite. Sur le site public et la console web, votre navigateur contacte directement ce service, qui voit alors votre adresse IP et la zone que vous consultez. Dans l'application mobile, les mêmes images sont relayées par notre serveur.

Anthropic

Fournit le modèle de langage de l'assistant, lorsqu'il est activé. Reçoit la question posée et les résultats des interrogations limitées à votre exploitation, comme décrit ci-dessus.

Service de transcription

Convertit une note vocale en texte, lorsque cette fonction est activée. Reçoit le fichier audio et une indication de langue.

Onafriq (MFS Africa)

Encaisse les paiements par mobile money, lorsque cette fonction est activée. Reçoit le numéro mobile money du payeur, le montant et la référence. Cette intégration n'est pas active à ce jour ; tant qu'elle ne l'est pas, aucun paiement n'est traité par le service.

L'envoi de codes par SMS n'est pas actif à ce jour : aucun agrégateur SMS ne reçoit de données de notre part.

Nous pouvons également transmettre des données lorsque la loi nous y oblige, sur réquisition d'une autorité compétente, ou pour établir, exercer ou défendre un droit en justice. En cas de cession de l'activité, les données suivraient le service, et vous en seriez informé avant tout transfert.

7Hébergement et transferts hors de votre pays

La base de données, les fichiers que vous téléversez et les positions des colliers sont hébergés sur un serveur unique administré par Fugaji. Le site et les consoles web sont servis par un réseau de diffusion mondial.

Plusieurs de nos prestataires sont établis hors du continent africain, en particulier aux États-Unis. Utiliser Fugaji implique donc que certaines données soient traitées en dehors de votre pays de résidence. Nous choisissons des prestataires qui offrent des garanties contractuelles de confidentialité et nous limitons à chacun d'eux les données strictement nécessaires à sa prestation.

8Cookies et stockage local

Nous n'utilisons aucun cookie publicitaire ni aucun cookie de mesure d'audience. Il n'y a donc pas de bandeau de consentement : il n'y a rien à consentir.

Sur ce site

Un seul cookie, de fonctionnement, retient la langue d'affichage que vous choisissez. Aucun autre cookie n'est déposé.

Sur la console web

Deux cookies de fonctionnement retiennent votre langue et votre fuseau horaire, afin que les dates s'affichent correctement. Votre session, votre thème clair ou sombre et quelques préférences d'affichage sont conservés dans le stockage local de votre navigateur, sur votre appareil.

Dans l'application mobile

Il n'y a pas de cookie. La session et les préférences sont conservées dans la base locale privée de l'application.

9Durées de conservation

Nous conservons les données aussi longtemps qu'elles sont nécessaires, puis nous les supprimons ou nous les détachons de votre identité.

Codes de connexion à usage unique

Valables 5 minutes ; les enregistrements expirés sont effacés chaque nuit.

Jetons de réinitialisation de mot de passe

Valables 1 heure ; effacés chaque nuit après expiration. Utiliser un lien de réinitialisation ferme toutes vos sessions.

Invitations

Valables 7 jours ; effacées chaque nuit après expiration ou après acceptation.

Sessions

Un jeton d'accès vit 15 minutes ; une session reste valable 30 jours et se prolonge à chaque utilisation. Vous pouvez la fermer à tout moment en vous déconnectant.

Registres d'élevage, tâches, messages, commandes, alertes, fichiers et positions des colliers

Conservés tant que l'exploitation existe et que son administrateur ne les supprime pas. Ils constituent la mémoire de l'exploitation : nous ne les effaçons pas d'office. Ils disparaissent lors de la suppression de l'exploitation, dans les conditions décrites ci-dessous.

Justificatifs comptables liés aux paiements

Conservés pendant la durée exigée par la réglementation comptable et fiscale applicable, même après la suppression du compte concerné.

Journal d'administration

Conservé tant que l'exploitation existe, à des fins de sécurité et de preuve. L'auteur y est détaché lorsque son compte est supprimé.

Sauvegardes

Des copies de sauvegarde de la base sont réalisées régulièrement. Une donnée supprimée peut y subsister jusqu'à ce que la sauvegarde qui la contient soit remplacée ; elle n'est alors plus utilisée que pour restaurer le service après un incident.

Aujourd'hui, les positions des colliers et les relevés de capteurs ne font l'objet d'aucune purge automatique : ils sont conservés tant que l'exploitation existe. Nous préférons l'écrire ainsi plutôt qu'annoncer une durée que le service n'applique pas encore.

10Suppression d'un compte et d'une exploitation

Vous pouvez supprimer votre compte vous-même, depuis les réglages de l'application mobile ou depuis votre profil dans la console web. La suppression est définitive et n'exige aucune démarche auprès de nous.

Sont alors supprimés : votre compte, votre nom, votre adresse électronique, votre numéro de téléphone, l'empreinte de votre mot de passe, votre photo de profil, vos sessions, vos jetons de notification, vos préférences et les invitations que vous avez envoyées.

Sont conservés, mais détachés de votre identité : les enregistrements, messages, commentaires et documents que vous avez créés dans une exploitation. Ils appartiennent à la mémoire de l'exploitation — un carnet sanitaire ne peut pas perdre ses pages parce qu'un employé s'en va. Votre nom y est remplacé par la mention « Compte supprimé » et le lien avec votre compte est rompu.

Le dernier administrateur d'une exploitation qui compte encore d'autres membres ne peut pas supprimer son seul compte : il doit d'abord transmettre l'exploitation à un autre administrateur, ou supprimer l'exploitation entière. S'il en est le seul membre, la suppression de son compte programme celle de l'exploitation, avec le même délai de grâce.

La suppression d'une exploitation efface l'ensemble de ses données, pour tous ses membres. Elle est précédée d'un délai de grâce de 30 jours : l'exploitation est immédiatement désactivée, puis effacée définitivement au terme du délai. Un administrateur peut annuler la suppression pendant ces 30 jours.

La marche à suivre, écran par écran, figure sur la page « Supprimer votre compte ».

11Vos droits

Quel que soit votre pays de résidence, nous appliquons à tous les utilisateurs de Fugaji les droits suivants :

• savoir quelles données vous concernant nous traitons et en obtenir une copie ;
• faire corriger une donnée inexacte ou incomplète — votre nom, votre adresse et votre numéro se modifient directement dans votre profil ;
• obtenir l'effacement de vos données, que vous pouvez déclencher vous-même en supprimant votre compte ;
• demander la limitation d'un traitement ou vous y opposer lorsqu'il repose sur notre intérêt légitime ;
• recevoir vos données dans un format lisible par une machine, ou nous demander de les transmettre à un autre prestataire lorsque c'est techniquement possible ;
• retirer un consentement à tout moment, notamment pour les notifications, l'appareil photo et le microphone, sans que cela remette en cause ce qui a été fait auparavant ;
• introduire une réclamation auprès de l'autorité de protection des données compétente dans votre pays.

Écrivez-nous à contact@fugaji.com depuis l'adresse associée à votre compte, ou indiquez le numéro de téléphone avec lequel vous vous connectez. Nous répondons dans un délai de 30 jours. Nous pouvons vous demander un élément supplémentaire pour vérifier votre identité, uniquement lorsque c'est nécessaire, et cet élément est détruit une fois la vérification faite.

Lorsque votre demande porte sur des registres appartenant à une exploitation dont vous êtes membre, nous la transmettons à son administrateur, qui décide du contenu de ses registres, et nous vous en informons.

12Sécurité

Voici les mesures réellement en place. Nous ne revendiquons aucune certification et nous ne prétendons pas à une sécurité absolue.

• Les échanges entre vos appareils et nos serveurs passent par une connexion chiffrée (HTTPS/TLS).
• Les mots de passe ne sont jamais conservés en clair : seule une empreinte calculée avec bcrypt est stockée. Les codes à usage unique, les jetons d'invitation, les jetons de réinitialisation et les jetons de session sont également stockés sous forme d'empreinte.
• Le cloisonnement entre exploitations est appliqué par la base de données elle-même, ligne par ligne : une requête exécutée pour une exploitation ne peut physiquement pas lire les lignes d'une autre. Le service refuse de démarrer si ce cloisonnement n'est pas actif.
• Les droits d'un utilisateur sont relus à chaque requête : un retrait de rôle ou une désactivation prend effet immédiatement.
• Les tentatives de connexion, les demandes de code et les réinitialisations sont limitées en nombre, et le service impose un plafond global de requêtes.
• Les messages envoyés par les colliers doivent être signés avec le secret propre à chaque appareil, avec une fenêtre anti-rejeu de cinq minutes.
• Un changement de mot de passe ferme les autres sessions ; une réinitialisation les ferme toutes.
• Les actions sensibles sont journalisées.

Deux points méritent d'être connus. Les photos, les fichiers audio et les pièces jointes sont servis par une adresse imprévisible et ne nécessitent pas d'authentification pour être affichés : toute personne à qui vous transmettez un de ces liens pourra voir le fichier. Les rapports au format PDF font exception et exigent un lien signé valable dix minutes. Par ailleurs, nous ne chiffrons pas les données au niveau des colonnes de la base ; la protection repose sur le cloisonnement, le contrôle d'accès et la sécurité du serveur.

En cas de violation de données susceptible d'engendrer un risque pour vous, nous informons les personnes concernées et, lorsque la loi l'exige, l'autorité compétente.

13Enfants

Fugaji est un outil professionnel destiné aux personnes majeures. Le service n'est pas conçu pour les enfants, ne leur est pas proposé et ne contient aucun contenu qui leur soit destiné.

Nous ne collectons pas sciemment de données concernant une personne de moins de 18 ans. Si nous apprenons qu'un tel compte existe, nous le supprimons ainsi que ses données. Si vous êtes parent ou tuteur et pensez qu'un mineur nous a transmis des données, écrivez à contact@fugaji.com.

14Modifications de cette politique

Cette politique évoluera avec le service : une nouvelle fonction, un nouveau prestataire ou une nouvelle obligation légale peuvent nous conduire à la modifier. La date de dernière mise à jour figure en tête de page et les versions antérieures restent disponibles sur demande.

Un changement substantiel — une nouvelle catégorie de données, une nouvelle finalité, un nouveau prestataire recevant vos données — est annoncé au moins 30 jours à l'avance, par courrier électronique aux administrateurs des exploitations et par un avis affiché dans le service à votre prochaine connexion. Si le changement requiert votre consentement, nous vous le demanderons avant de l'appliquer.

15Contact

Responsable du traitement : Fugaji. Pour toute question relative à cette politique, pour exercer un droit ou pour signaler un incident de sécurité : contact@fugaji.com.

La version française de cette politique est la version de référence. En cas de divergence avec une traduction, le texte français prévaut.