Politique de confidentialité

Cette politique explique quelles données personnelles Nkap Express traite quand vous utilisez la plateforme, pourquoi, avec qui elles sont partagées, combien de temps elles sont gardées et comment exercer vos droits. Elle s’adresse aux membres de la plateforme. Elle complète les conditions générales d’utilisation.

Elle applique la loi camerounaise n° 2024/017 du 23 décembre 2024 relative à la protection des données à caractère personnel et la loi n° 2010/012 du 21 décembre 2010 relative à la cybersécurité et à la cybercriminalité. Si vous êtes dans l’Union européenne (par exemple en France ou en Belgique), le règlement général sur la protection des données (RGPD) s’applique aussi.

1. En bref #

• Nous collectons ce qu’il faut pour ouvrir votre compte, vérifier votre identité, exécuter vos échanges et respecter la loi.
• Nous ne vendons pas vos données. Nous ne faisons ni publicité ni pistage, et ne mesurons l’audience du site qu’avec votre accord (point 10).
• L’autre membre d’un échange voit votre profil public et, si c’est vous qui recevez le paiement occidental, vos coordonnées de réception. Il ne voit jamais l’e-mail ni le téléphone de votre compte, ni votre pièce d’identité.
• La loi nous oblige à garder certaines données plusieurs années après la fermeture de votre compte (lutte contre le blanchiment, comptabilité).
• Pour toute question ou demande sur vos données : contact@nkap-express.com.

2. Responsable du traitement et contact #

Le responsable du traitement est KB Corporation, qui exploite Nkap Express.

Pour toute question sur vos données, pour exercer vos droits ou pour signaler un problème, écrivez à contact@nkap-express.com. Nous n’avons pas désigné de délégué à la protection des données : cette adresse est le point de contact unique.

3. Données que nous collectons #

Les annonces et les propositions ne comportent aucun texte libre, et il n’existe pas de messagerie entre membres. Le seul texte libre que vous pouvez écrire sur la plateforme se trouve dans un litige (description, notes). Les données que nous traitons sont listées ci-dessous.

3.1 Inscription et compte #

• Adresse e-mail, mot de passe (nous n’en gardons qu’une empreinte, jamais le mot de passe lui-même), nom affiché, pays de résidence (facultatif).
• Les langues de votre profil (le français par défaut) et, si vous vous inscrivez avec Google, l’adresse de votre photo de profil Google.
• Votre statut de compte et votre niveau de vérification.
• Méthodes de connexion liées à votre compte et date de vérification de votre e-mail.
• Vos préférences : notifications par événement et par canal, membres que vous avez bloqués.
• Si vous activez la double authentification : le secret de votre application d’authentification (chiffré) et sa date d’activation.

La connexion par téléphone et les messages WhatsApp ne sont pas actifs. Nous mettrons cette politique à jour avant de les ouvrir.

3.2 Connexion avec Google #

Si vous choisissez de vous connecter avec Google, nous demandons à Google l’accès à votre identité de base (« openid e-mail profile »). Google nous transmet :

• votre identifiant Google ;
• votre adresse e-mail et le fait qu’elle soit vérifiée ou non ;
• votre nom ;
• l’adresse de votre photo de profil Google.

Nous ne recevons ni votre mot de passe Google, ni vos contacts, ni aucune autre donnée de votre compte Google.

3.3 Vérification d’identité #

Pour publier une annonce ou répondre à une annonce, vous devez faire vérifier votre identité. Nous collectons :

• le pays de délivrance et le type de votre pièce d’identité ;
• son numéro (chiffré) ;
• une image (photo ou PDF) du recto, du verso si vous l’ajoutez, et une photo de vous (selfie) ;
• la date de dépôt, la personne de notre équipe qui a examiné le dossier, la date et la décision, avec le motif en cas de refus.

La vérification est faite par une personne de notre équipe, pas par un logiciel de reconnaissance. Les informations visibles sur votre pièce, dont votre date de naissance, sont donc vues par cette personne.

3.4 Comptes de paiement #

Pour envoyer ou recevoir de l’argent, vous enregistrez des comptes de paiement. Selon le moyen choisi, nous collectons :

Ces coordonnées sont chiffrées. Nous n’enregistrons jamais de numéro de carte bancaire. Quand vous supprimez un compte de paiement, il n’est plus affiché ni utilisé, mais nous le gardons pendant la durée prévue au point 7, car il peut être lié à des opérations passées.

3.5 Échanges, portefeuille et litiges #

• Annonces et propositions : sens de l’échange, pays, montants, durée de validité, modes de paiement.
• Transactions : parties, référence, montants, taux, frais, statuts et historique, motif d’annulation.
• Coordonnées de réception occidentales de la personne qui reçoit le paiement occidental : copiées et chiffrées dans la transaction au moment de l’accord.
• Paiements : tranches, références et statuts transmis par les prestataires de paiement, agent du réseau qui a traité la tranche le cas échéant.
• Preuves de paiement que vous déposez : le fichier, son nom, son type et sa taille.
• Portefeuille Nkap et retraits : soldes, mouvements, demandes de retrait et leur résultat, votre réponse quand un agent vous a versé un retrait (reçu ou contesté).
• Avis : la note de 1 à 5 que vous donnez ou recevez après un échange clos.
• Litiges : motif, description, notes et fichiers déposés par les parties et par notre équipe, décision, appel.
• Messages du support et notes internes de notre équipe sur votre compte, par exemple lors d’un litige ou d’une vérification.

3.6 Sécurité et journalisation #

• Sessions : adresse IP, navigateur (user agent), dates de création, de dernière utilisation, d’expiration et de révocation. Nous ne gardons qu’une empreinte du jeton de session.
• Date de dernière connexion.
• Journal d’audit : connexions réussies, tentatives échouées (avec l’adresse e-mail saisie), actions sensibles (vérification d’identité, décisions, suspensions…), avec l’adresse IP et le navigateur.
• Codes de vérification envoyés par e-mail : nous n’en gardons qu’une empreinte et le nombre d’essais.
• Journaux techniques du serveur : méthode et adresse de la requête, adresse IP.

3.7 Notifications et appareil #

• Notifications : titre, texte, lien et données de chaque notification affichée dans l’application et envoyée par e-mail ou par notification push.
• Abonnement push : si vous autorisez les notifications dans votre navigateur, l’adresse d’abonnement fournie par le service push de votre navigateur et ses clés techniques.
• Stockage sur votre appareil : voir le point 10.

4. Pourquoi nous les utilisons #

Pour les membres situés hors de l’Union européenne, ces traitements reposent sur les mêmes fondements, dans les conditions prévues par la loi camerounaise n° 2024/017 du 23 décembre 2024 relative à la protection des données à caractère personnel.

Nous n’utilisons pas vos données pour de la publicité ni pour du profilage commercial. Les plafonds, les délais et les annulations automatiques s’appliquent selon des règles fixes, connues à l’avance. La vérification d’identité, les suspensions et les décisions de litige sont prises par une personne de notre équipe.

5. Qui y a accès #

5.1 Le public et les autres membres #

Votre profil public est visible par tous, même sans compte :

• nom affiché, photo de profil, pays, langues ;
• niveau de vérification et badge « vérifié », date d’inscription ;
• réputation : nombre d’échanges clos, taux de litige, délai moyen de paiement occidental, note moyenne, nombre d’avis.

Vos annonces affichent votre nom affiché, votre photo, votre badge, votre nombre d’échanges et votre note moyenne. Les avis que vous laissez apparaissent avec votre nom affiché.

5.2 L’autre membre d’un échange #

Pendant la négociation, l’autre membre voit votre nom affiché et les conditions que vous proposez.

Après l’accord, l’autre membre voit en plus :

• le montant et le statut de vos tranches de paiement ;
• les coordonnées de réception occidentales de la personne qui reçoit le paiement occidental (par exemple titulaire et IBAN, ou adresse Interac). Si c’est vous, l’autre membre en a besoin pour vous payer ;
• les preuves de paiement déposées dans la transaction. Masquez sur vos captures ce qui n’est pas utile au paiement.

Il ne voit jamais l’e-mail ni le téléphone de votre compte, ni votre pièce d’identité, ni le détail technique de vos paiements (références des prestataires, instructions, motifs d’échec, origine des fonds).

5.3 Les agents du réseau #

Si un paiement ou un retrait passe par un agent du réseau Nkap Express :

• tant que la tâche n’est pas prise, les agents voient seulement la référence, le moyen de paiement, le montant et la date, sans rien qui vous identifie ;
• l’agent qui prend la tâche voit votre nom affiché et les coordonnées du compte de paiement concerné (par exemple votre numéro mobile money), ainsi que votre réponse (reçu ou contesté). Sa première consultation est enregistrée ;
• une fois la tâche terminée, il ne voit plus que votre prénom et vos initiales, et des coordonnées masquées.

Les agents ne voient jamais votre e-mail, votre téléphone de profil ni votre pièce d’identité.

5.4 Notre équipe #

Notre personnel accède aux données selon son rôle (support, gestion, administration) :

• dans l’outil interne, l’e-mail, le téléphone et les coordonnées sont masqués par défaut ;
• seuls les administrateurs peuvent voir ces données en clair. Pour afficher votre e-mail, votre téléphone, le numéro de votre pièce ou les coordonnées d’une tâche d’agent, ils doivent donner un motif, et cet affichage est enregistré ;
• les documents d’identité s’ouvrent par des liens valables cinq minutes, et chaque consultation est enregistrée ;
• un export de la liste des membres demande la validation d’une deuxième personne, sauf s’il est fait par un super-administrateur. Chaque export est enregistré.

5.5 Les prestataires de paiement #

Les fonds sont collectés et conservés par l’intermédiaire de prestataires de services de paiement partenaires (opérateurs de mobile money, agrégateurs de paiement) et, le cas échéant, du réseau d’agents. Pour exécuter un paiement ou un retrait, nous transmettons au prestataire concerné ce qui lui est nécessaire : numéro mobile money, montant, devise, référence de l’opération et, pour un retrait, l’opérateur. Ces prestataires traitent ces données selon leurs propres obligations légales.

5.6 Mailtrap (envoi des e-mails) #

Nos e-mails (codes de vérification, notifications) sont envoyés par le service Mailtrap. Il reçoit votre adresse e-mail, l’objet et le texte du message. Les notifications ne partent que vers une adresse vérifiée.

5.7 Google #

• Si vous vous connectez avec Google, Google sait que vous utilisez Nkap Express et nous transmet les données listées au point 3.2.
• Si votre photo de profil vient de Google, elle est chargée depuis les serveurs de Google par le navigateur de chaque personne qui la voit. Google reçoit alors l’adresse IP de cette personne.

5.8 Les services push des navigateurs #

Une notification push passe par le service de l’éditeur de votre navigateur (par exemple Google, Mozilla, Apple ou Microsoft). Il reçoit l’adresse de votre abonnement, le titre, le texte et le lien de la notification.

5.9 Nos hébergeurs #

Nos serveurs et nos fichiers sont hébergés par des prestataires techniques, au Cameroun et dans d’autres pays. Ils stockent les données pour notre compte et n’ont pas à les utiliser pour eux-mêmes.

5.10 Les autorités #

Nous communiquons des données aux autorités judiciaires, administratives ou financières (dont la cellule de renseignement financier compétente) quand la loi nous y oblige ou sur demande légale. Nous ne transmettons que ce qui est demandé et justifié.

5.11 Ce que nous ne faisons pas #

Nous ne vendons ni ne louons vos données. Nous ne les partageons avec aucun annonceur. Nous n’utilisons aucun outil de publicité ou de pistage ; la mesure d’audience, avec Google Analytics, n’a lieu qu’avec votre accord (point 10).

6. Transferts hors du Cameroun #

Vos données peuvent être traitées hors du Cameroun :

• nos hébergeurs se trouvent au Cameroun et dans d’autres pays ;
• Mailtrap, Google et les services push des navigateurs sont situés hors du Cameroun, notamment aux États-Unis ;
• si vous êtes dans l’Union européenne, vos données quittent l’Union pour être traitées au Cameroun et dans les autres pays d’hébergement.

Ces transferts sont nécessaires pour exécuter le service que vous demandez : un échange entre deux pays implique que les données circulent entre eux. Avec nos prestataires, nous nous appuyons sur leurs engagements contractuels de protection des données. Vous pouvez obtenir la liste de nos pays d’hébergement et des garanties utilisées en écrivant à contact@nkap-express.com.

7. Durées de conservation #

Les litiges sont gardés aussi longtemps que la transaction qu’ils concernent, car ils en font partie. À la fin de ces durées, les données sont supprimées ou anonymisées. Une durée peut être prolongée si une procédure judiciaire ou une demande d’une autorité est en cours.

8. Sécurité #

Ce que nous faisons :

• les échanges entre votre appareil et nos serveurs sont chiffrés (HTTPS) ;
• les mots de passe sont stockés sous forme d’empreinte (Argon2id). Les codes de vérification et les jetons de session sont aussi stockés sous forme d’empreinte ;
• le numéro de votre pièce d’identité, vos coordonnées de paiement, les coordonnées de réception d’une transaction et votre secret de double authentification sont chiffrés (AES-256-GCM) ;
• les fichiers déposés (pièces d’identité, selfies, preuves, pièces de litige) sont chiffrés au stockage et ne sont accessibles que par des liens signés valables quelques minutes. Leur type est contrôlé d’après leur contenu, avec une taille de 8 Mo au plus ;
• notre équipe travaille sur des données masquées par défaut. Les affichages en clair à la demande, les consultations de pièces d’identité et les actions sensibles sont enregistrés dans un journal d’audit qui ne peut être ni modifié ni effacé par l’application ;
• les actions les plus sensibles (bannissement, export de la liste des membres, ajustements de solde, décisions de litige sur les gros montants) demandent la validation d’une deuxième personne, sauf quand un super-administrateur les fait lui-même ;
• les sessions de notre équipe se ferment après 30 minutes d’inactivité ;
• le nombre de tentatives est limité sur les routes de connexion et sur les codes de vérification.

Votre e-mail, votre téléphone et votre nom sont stockés en clair dans notre base, protégée par les mesures ci-dessus.

Ce que vous pouvez faire :

• choisir un mot de passe long (10 caractères au moins) et que vous n’utilisez nulle part ailleurs ;
• activer la double authentification dans votre profil. Elle est de toute façon exigée pour accepter un échange dont le séquestre dépasse un seuil, actuellement 1 000 000 FCFA ;
• vérifier la liste de vos sessions actives et vous déconnecter de tous vos appareils si vous voyez une session inconnue ;
• nous écrire sans attendre à contact@nkap-express.com si vous pensez que votre compte est compromis.

En cas de violation de données présentant un risque pour vous, nous prévenons l’autorité compétente et, si la loi l’exige, les personnes concernées.

9. Vos droits et comment les exercer #

Vous avez le droit :

• d’accès : savoir quelles données nous avons sur vous et en obtenir une copie ;
• de rectification : corriger des données inexactes ou incomplètes ;
• d’effacement : demander la suppression de vos données, dans les limites des durées légales du point 7 ;
• d’opposition : vous opposer à un traitement fondé sur notre intérêt légitime, sauf motif impérieux de notre part (par exemple la sécurité ou la défense d’un droit en justice) ;
• à la limitation : demander le gel d’une donnée le temps d’examiner une contestation ;
• à la portabilité : recevoir les données que vous nous avez fournies dans un format structuré et lisible par machine ;
• de retirer votre consentement à tout moment, pour les traitements qui en dépendent, sans effet sur ce qui a été fait avant ;
• d’introduire une réclamation auprès de l’autorité de protection des données compétente : au Cameroun, l’autorité instituée par la loi n° 2024/017 ; dans l’Union européenne, celle de votre pays (par exemple la CNIL en France ou l’Autorité de protection des données en Belgique) ; ailleurs, celle de votre pays de résidence. Vous pouvez aussi nous écrire d’abord : nous essaierons de régler le problème.

Ce que vous pouvez faire vous-même dans l’application :

• modifier votre nom affiché et votre pays ;
• ajouter une méthode de connexion ;
• supprimer un compte de paiement ;
• régler vos notifications par événement et par canal, et retirer l’autorisation des notifications push dans votre navigateur ;
• voir vos sessions actives et vous déconnecter de tous vos appareils ;
• bloquer un membre.

Pour tout le reste, écrivez à contact@nkap-express.com. C’est notamment le cas pour fermer votre compte, obtenir une copie de vos données, changer vos langues ou retirer votre photo, corriger votre e-mail ou une information de votre dossier d’identité, ou vous opposer à un traitement.

• Vérification de votre identité : écrivez depuis l’adresse e-mail de votre compte. Sinon, nous pouvons vous demander de prouver que vous êtes le titulaire du compte. Nous ne répondons pas à une demande dont l’auteur ne peut être identifié.
• Délai : nous répondons dans un délai d’un mois à compter de la réception de la demande. Si la demande est complexe, ce délai peut être prolongé de deux mois : nous vous le disons dans le premier mois, avec la raison.
• Fermeture du compte : si un échange ou un litige est en cours, ou si votre portefeuille Nkap a un solde, nous devons d’abord les régler avec vous. Après la fermeture, nous gardons seulement les données que la loi nous oblige à conserver, pour les durées du point 7.
• Coût : l’exercice de vos droits est gratuit, sauf demande manifestement abusive ou répétée.

10. Cookies et stockage local #

Nous utilisons un cookie et quelques éléments de stockage nécessaires au fonctionnement du service et, seulement si vous l’acceptez, les cookies de mesure d’audience décrits plus bas.

Cookie

Stockage local (localStorage et sessionStorage)

Cache de l’application

Pour fonctionner plus vite et en partie hors connexion, l’application garde en cache sur votre appareil les polices (1 an) et certaines réponses de lecture, dont le détail des annonces (7 jours). Les réponses en cache sont effacées à la déconnexion.

Mesure d’audience, avec votre accord

Si vous l’acceptez dans le bandeau « Mesure d’audience », nous utilisons Google Analytics 4, fourni par Google Ireland Limited, pour compter les visites et comprendre comment le site est utilisé : pages vues, site de provenance, type d’appareil et de navigateur, pays ou ville approximatifs. Google Analytics dépose alors les cookies _ga et _ga_…, conservés 13 mois au plus, et les données de mesure sont gardées 14 mois au plus. Google Analytics 4 n’enregistre pas votre adresse IP, et les fonctions publicitaires de Google ne sont pas activées. Ces données peuvent être traitées par Google hors du Cameroun et de l’Union européenne, notamment aux États-Unis.

Sans votre accord, le script de Google n’est pas chargé et aucun de ces cookies n’est déposé. Refuser est aussi simple qu’accepter et ne change rien à votre utilisation du service. Vous pouvez changer d’avis à tout moment avec le lien « Cookies » en bas de page : un retrait efface les cookies de mesure.

Ce que nous n’utilisons pas

Aucun cookie publicitaire et aucun traceur tiers en dehors de la mesure d’audience que vous avez acceptée. Nos polices sont hébergées chez nous. Autre exception, décrite au point 5.7 : une photo de profil venant de Google est chargée depuis les serveurs de Google.

À part la mesure d’audience, tous ces éléments sont strictement nécessaires au service que vous demandez : ils ne demandent pas votre consentement. Vous pouvez les effacer depuis les réglages de votre navigateur : vous serez alors déconnecté et vos préférences d’affichage seront perdues.

11. Mineurs #

Nkap Express est réservé aux personnes majeures selon la loi de leur pays de résidence. Nous ne demandons pas l’âge à l’inscription, mais la pièce d’identité exigée pour échanger fait apparaître la date de naissance, et notre équipe refuse la vérification d’un mineur.

Si nous apprenons qu’un mineur a ouvert un compte, nous le fermons et supprimons ses données, sauf celles que la loi nous oblige à garder. Un parent ou un représentant légal peut nous le signaler à contact@nkap-express.com.

12. Modifications #

Nous pouvons modifier cette politique, par exemple quand nous ajoutons une fonction ou un prestataire, ou quand la loi change. La date de dernière mise à jour figure en haut de la page. Si une modification change de façon importante l’usage de vos données, nous vous prévenons par e-mail ou dans l’application avant qu’elle s’applique.

Cette politique est rédigée en français. Si elle est traduite, la version française prévaut.