Politique de confidentialité.

01Responsable du traitement

Le responsable du traitement des données collectées sur la plateforme IOSTAY (site iostay.app et applications mobiles IOSTAY pour iOS et Android) est Sylla Sesame Group SARL, société à responsabilité limitée au capital de 1 000 000 FCFA, dont le siège social est situé Télécom Résidence Ouest-Foire, Villa N°5, à Dakar (Sénégal), immatriculée au RCCM sous le numéro SN.DKR.2026.B.26900 et identifiée sous le NINEA 013221263.

Toute demande relative aux données personnelles peut être adressée à support@iostay.app ou au siège social de la société.

02Cadre juridique applicable

Les traitements sont soumis à la loi sénégalaise n° 2008-12 du 25 janvier 2008 portant sur la protection des données à caractère personnel, sous le contrôle de la Commission de Protection des Données Personnelles (CDP).

Lorsque l’utilisateur réside dans l’Union européenne, les traitements le concernant relèvent également du Règlement (UE) 2016/679 (RGPD), par application de son article 3.2 relatif à l’offre de services à des personnes situées dans l’Union.

03Données collectées

IOSTAY collecte uniquement les données nécessaires au fonctionnement du service :

• Identité et compte : nom, prénom, adresse électronique, numéro de téléphone, mot de passe chiffré, photo de profil, langue préférée.
• Vérification d’identité (KYC) : pièce d’identité ou passeport, transmis pour les hôtes et, le cas échéant, pour les voyageurs, aux fins de lutte contre la fraude.
• Réservations : dates de séjour, logement concerné, nombre de voyageurs, services additionnels commandés, historique des séjours.
• Paiement : moyen de paiement choisi, montants, statut de la transaction, coordonnées de versement de l’hôte. Les numéros de carte bancaire ne sont ni traités ni conservés par l’éditeur.
• Communications : messages échangés via la messagerie interne, échanges avec le support, avis et évaluations.
• Localisation : position approximative ou précise de l’appareil, uniquement si l’utilisateur l’autorise, pour afficher les logements et services à proximité.
• Données techniques : adresse IP, type d’appareil et de navigateur, identifiant de l’appareil pour les notifications push, pages consultées, journaux de connexion, identifiants de session.

Aucune donnée sensible au sens de la loi n’est collectée volontairement. Les documents d’identité sont traités aux seules fins de vérification et bénéficient de mesures de protection renforcées.

04Connexion via Google, Apple ou Facebook

IOSTAY propose de créer un compte ou de se connecter avec un compte Google (« Se connecter avec Google »), Apple ou Facebook. Lorsque l’utilisateur choisit cette option, le fournisseur d’identité transmet à IOSTAY uniquement les informations de base de son profil : adresse électronique, nom et prénom, photo de profil le cas échéant, ainsi qu’un identifiant technique unique.

Ces données sont utilisées exclusivement pour :

• créer le compte IOSTAY de l’utilisateur ou l’associer à un compte existant portant la même adresse électronique ;
• l’authentifier lors de ses connexions ultérieures ;
• pré-remplir son profil (nom, prénom, photo), que l’utilisateur peut modifier à tout moment.

IOSTAY ne demande aucun autre accès au compte Google de l’utilisateur : la plateforme n’accède ni à ses contacts, ni à ses e-mails, ni à son agenda, ni à ses fichiers, et ne publie rien en son nom. Les données obtenues auprès de Google ne sont ni vendues, ni utilisées à des fins publicitaires, ni transmises à des tiers en dehors des sous-traitants techniques nécessaires au fonctionnement du service décrits ci-dessous.

L’utilisation des informations reçues des API Google par IOSTAY respecte la Politique relative aux données utilisateur des services API Google, y compris les exigences d’utilisation limitée (Limited Use).

L’utilisateur peut à tout moment révoquer l’accès accordé à IOSTAY depuis les paramètres de sécurité de son compte Google (myaccount.google.com/permissions), Apple ou Facebook. Il peut également définir un mot de passe IOSTAY pour continuer à utiliser son compte sans fournisseur externe.

05Finalités et bases légales

• Création et gestion du compte, authentification — exécution du contrat.
• Publication des annonces, mise en relation, gestion des réservations et des séjours — exécution du contrat.
• Traitement des paiements et des versements aux hôtes — exécution du contrat et obligation légale.
• Vérification d’identité, prévention et détection de la fraude — obligation légale et intérêt légitime.
• Support client, gestion des réclamations et médiation des litiges — exécution du contrat et intérêt légitime.
• Notifications liées aux réservations (confirmations, rappels, alertes), par e-mail, SMS, WhatsApp ou notification push — exécution du contrat.
• Communications promotionnelles et lettres d’information — consentement, révocable à tout moment.
• Mesure d’audience anonymisée et amélioration du service — intérêt légitime.
• Conservation des pièces comptables et fiscales — obligation légale.

06Destinataires des données

Les données ne sont ni vendues, ni louées, ni cédées à des tiers à des fins publicitaires. Elles sont accessibles :

• Aux services internes habilités de l’éditeur, dans la limite de leurs attributions.
• À l’autre partie à la réservation : l’hôte et le voyageur se voient communiquer les informations nécessaires au séjour (identité, coordonnées de contact) une fois la réservation confirmée.
• Aux prestataires de services de paiement (Wave, Orange Money, établissements de paiement par carte et banques), pour l’encaissement et le reversement des sommes.
• Aux prestataires techniques de la plateforme : hébergement, envoi de messages électroniques et de SMS, notifications push, stockage des médias, mesure d’audience.
• Aux partenaires fournisseurs de services additionnels (opérateurs eSIM, transporteurs, organisateurs d’excursions), pour les seules données nécessaires à l’exécution du service commandé.
• Aux autorités administratives et judiciaires, sur réquisition régulière.

Les prestataires agissent en qualité de sous-traitants, sur instruction de l’éditeur et dans le cadre d’engagements contractuels de confidentialité et de sécurité.

07Transferts hors du Sénégal

Certains prestataires techniques peuvent être établis hors du Sénégal. Dans ce cas, l’éditeur s’assure que le transfert repose sur un cadre offrant un niveau de protection adéquat : décision d’adéquation, clauses contractuelles types ou garanties équivalentes, conformément à la loi n° 2008-12 et, le cas échéant, au chapitre V du RGPD.

08Durées de conservation

• Données de compte : conservées pendant toute la durée d’activité du compte.
• Après demande de suppression : effacement dans un délai de 30 jours, sous réserve des obligations légales de conservation.
• Après une longue période d’inactivité : le compte peut être clôturé et les données supprimées ou anonymisées après information préalable de l’utilisateur.
• Historique des réservations et pièces comptables : conservés dix ans à compter de la clôture de l’exercice, conformément aux obligations comptables applicables.
• Pièces d’identité transmises au titre du KYC : conservées le temps strictement nécessaire à la vérification et aux obligations de conservation associées, puis supprimées.
• Messagerie interne : conservée pendant la relation contractuelle et la période durant laquelle un litige peut être soulevé.
• Journaux de connexion : conservés douze mois.

09Sécurité

L’éditeur met en œuvre des mesures techniques et organisationnelles adaptées : chiffrement des échanges (TLS), chiffrement des mots de passe, authentification à deux facteurs, cloisonnement des environnements, journalisation des accès et restriction des habilitations internes.

Les paiements sont opérés par des partenaires certifiés PCI-DSS. Les données de carte bancaire ne transitent pas par les serveurs de l’éditeur et n’y sont jamais stockées.

En cas de violation de données susceptible d’engendrer un risque pour les personnes concernées, l’éditeur en informe l’autorité compétente et, lorsque la réglementation l’exige, les personnes concernées.

10Vos droits

Chaque utilisateur dispose des droits suivants sur ses données :

• Droit d’accès : obtenir la confirmation qu’un traitement existe et en recevoir une copie.
• Droit de rectification : faire corriger des données inexactes ou incomplètes.
• Droit à l’effacement : demander la suppression de ses données, sous réserve des obligations légales de conservation.
• Droit d’opposition : s’opposer à un traitement fondé sur l’intérêt légitime, ainsi qu’à la prospection commerciale, à tout moment et sans motif.
• Droit à la limitation du traitement, dans les cas prévus par la réglementation.
• Droit à la portabilité : recevoir ses données dans un format structuré et couramment utilisé.
• Droit de retirer son consentement à tout moment, lorsque le traitement repose sur celui-ci.
• Droit de définir des directives relatives au sort de ses données après son décès.

Les droits s’exercent sur demande adressée à support@iostay.app ; il y est répondu dans un délai d’un mois à compter de la réception de la demande. Une pièce justificative d’identité peut être demandée en cas de doute raisonnable sur l’identité du demandeur.

L’utilisateur qui estime que ses droits ne sont pas respectés peut introduire une réclamation auprès de la Commission de Protection des Données Personnelles (CDP) du Sénégal ou, s’il réside dans l’Union européenne, auprès de l’autorité de contrôle de son État de résidence.

11Suppression du compte et des données

L’utilisateur peut supprimer son compte à tout moment, directement depuis l’application ou le site : « Profil > Paramètres > Compte > Supprimer mon compte ». La suppression entraîne l’effacement des données du compte dans un délai de 30 jours, à l’exception des données dont la conservation est imposée par la loi (pièces comptables liées aux réservations payées, journaux nécessaires à la sécurité).

La suppression peut également être demandée par e-mail à support@iostay.app depuis l’adresse associée au compte. Les données reçues d’un fournisseur d’identité (Google, Apple, Facebook) sont supprimées en même temps que le compte.

12Cookies et traceurs

La plateforme utilise des cookies strictement nécessaires à son fonctionnement (session d’authentification, préférences de langue, panier de réservation), qui ne requièrent pas de consentement préalable.

Elle utilise également des cookies de mesure d’audience, dont les données sont anonymisées. Aucun cookie publicitaire ni traceur de profilage à des fins de ciblage n’est déposé.

Le navigateur permet de bloquer ou de supprimer les cookies déjà déposés, étant précisé que le blocage des cookies strictement nécessaires empêche le fonctionnement du service, notamment le maintien de la session.

13Mineurs

La plateforme n’est pas destinée aux personnes mineures et ne collecte pas sciemment leurs données. Un compte créé par une personne mineure est clôturé et les données associées supprimées dès que l’éditeur en a connaissance.

14Modifications de la politique

Cette politique peut être mise à jour pour tenir compte d’évolutions légales, techniques ou fonctionnelles. La date de dernière mise à jour figure en tête de page ; toute modification substantielle est portée à la connaissance des utilisateurs par un moyen approprié.