Politique de confidentialité

1. Qui est responsable

Qualis est exploité par BERRYNOON SARLAU (exerçant sous le nom commercial BerryNoon), société immatriculée au Maroc, dont le siège social est situé Oasis Offices Latitudes, Route de l’Oasis, Bureau 304, Maarif, 20103 Casablanca, Maroc, RC 733061, ICE 003979715000027. Pour les données décrites à la section 3, nous sommes le responsable du traitement. Pour toute question relative à la confidentialité, écrivez à contact@berrynoon.ma, appelez le +212 660 402 200 ou utilisez notre page de contact.

2. Vos données et celles de vos clients

Deux relations distinctes sont en jeu ici, et la distinction compte :

• Les données vous concernant. Votre compte, votre organisation, votre utilisation du service. C’est nous qui décidons de la manière dont elles sont traitées : nous en sommes donc le responsable du traitement, et la présente politique s’applique directement.
• Les données que vous enregistrez dans Qualis. Vos clients, vos fournisseurs, votre personnel, vos commandes et vos documents. Ce sont vos données. Vous en êtes le responsable du traitement, et nous sommes votre sous-traitant : nous les traitons sur vos instructions, pour faire fonctionner le service pour vous, et à aucune autre fin. Nous ne les exploitons pas, ne les vendons pas et ne les utilisons pas pour entraîner des modèles.

Une conséquence pratique mérite d’être signalée : Qualis envoie des e-mails en votre nom à vos propres contacts, par exemple des bons de commande à vos fournisseurs et des factures, relevés et relances de paiement à vos clients. Ces messages contiennent les coordonnées que vous avez saisies. Informer ces personnes de l’usage que vous faites de leurs données relève de votre responsabilité en tant que responsable du traitement de ces données.

3. Ce que nous collectons

Données de compte et d’organisation

Votre nom, votre adresse e-mail et votre mot de passe (conservé uniquement sous forme de hachage salé, jamais sous une forme que nous puissions lire). Votre appartenance à une organisation, vos autorisations et vos équipes. Le statut de vérification de votre adresse e-mail. Votre avatar, si vous en téléversez un. Si vous avez été invité, nous conservons l’enregistrement de l’invitation : l’adresse e-mail à laquelle elle a été envoyée, qui vous a invité, quand vous l’avez acceptée.

Données d’utilisation et d’audit

Qualis est un logiciel d’entreprise : il conserve donc une piste d’audit indiquant qui a modifié quel enregistrement, quand, et quelle était la valeur avant et après. Chaque document conserve également un historique des versions. Il s’agit d’une fonctionnalité voulue, sur laquelle s’appuient vos propres administrateurs, et cela signifie que vos actions au sein d’une organisation sont visibles par les administrateurs de cette organisation.

Fichiers que vous téléversez

Les documents et images que vous téléversez sont stockés dans notre système de gestion documentaire, avec les miniatures que Qualis en génère. Les données personnelles que vos fichiers peuvent contenir sont stockées avec eux.

Notre site web public

Si vous nous envoyez un message via la page de contact, nous conservons votre nom, votre adresse e-mail, le message et l’adresse IP d’où il provient, afin de pouvoir vous répondre et de bloquer les abus.

Si vous lisez notre blog, nous enregistrons jusqu’où vous avez lu, le temps que vous y avez passé, ainsi que le pays et la ville associés à votre réseau, afin de savoir quels articles valent la peine d’être écrits. Cet enregistrement porte un identifiant aléatoire généré à chaque chargement de page, de sorte qu’il ne peut être relié ni à vous ni à vos autres visites, et nous ne conservons ni votre adresse IP, ni l’agent utilisateur de votre navigateur, ni la page d’où vous venez. Rien n’est stocké sur votre appareil à cet effet.

Si vous publiez un commentaire, nous conservons le nom, l’adresse e-mail et le commentaire que vous soumettez, ainsi que votre adresse IP, afin de pouvoir traiter les abus. Si vous applaudissez un article, nous ne conservons qu’un hachage à sens unique de votre adresse IP et de votre navigateur, jamais l’adresse IP elle-même.

Données de paiement

Nous ne voyons ni ne conservons jamais vos données de carte bancaire. Lorsque vous souscrivez un abonnement payant, le paiement est encaissé par Paddle.com, notre marchand officiel (Merchant of Record), sur ses propres systèmes. Nous recevons uniquement l’état de l’abonnement qui en résulte, comme l’offre, son statut et les montants que Paddle nous communique. Voir la section 7.

4. Pourquoi nous les utilisons, et sur quelle base légale

• Pour fournir Qualis (comptes, cloisonnement des organisations, fonctionnalités que vous utilisez). Base légale : l’exécution de notre contrat avec vous.
• Pour vous facturer les abonnements payants et le stockage. Base légale : l’exécution de notre contrat, et nos obligations légales en matière de comptabilité.
• Pour sécuriser le service (pistes d’audit, prévention des abus, limitation du débit des requêtes). Base légale : notre intérêt légitime à disposer d’un service qui ne soit pas utilisé abusivement, et votre intérêt à disposer d’un service qui ne soit pas compromis.
• Pour communiquer avec vous au sujet de votre compte, de la sécurité et des modifications importantes. Base légale : l’exécution de notre contrat.
• Pour comprendre l’usage de notre site web et de notre blog. Base légale : votre consentement pour les cookies de mesure d’audience, et notre intérêt légitime à savoir quels contenus sont utiles.

Nous ne vendons pas de données personnelles, et nous n’utilisons pas vos données pour des prises de décision automatisées produisant des effets juridiques.

5. Cookies et stockage local

Voici l’ensemble des cookies que Qualis dépose lui-même :

• payload-token : vous maintient connecté. Strictement nécessaire. Non lisible par JavaScript.
• active-org : mémorise l’organisation dans laquelle vous travaillez. Strictement nécessaire. Expire au bout de 30 jours.
• qualis_consent : mémorise votre choix concernant les cookies, afin de ne pas vous le redemander. Strictement nécessaire. Expire au bout d’un an.

Google Analytics dépose ses propres cookies (_ga et _ga_ suivi de notre identifiant de mesure) sur notre site web public, et uniquement après que vous avez consenti à la mesure d’audience. Leur durée de vie est celle fixée par défaut par Google, actuellement 2 ans. Les membres de notre équipe qui se connectent à notre panneau de contrôle interne reçoivent des cookies de session de notre fournisseur d’authentification ; ceux-ci ne parviennent jamais aux clients ni aux visiteurs.

Nous conservons également certains éléments dans le stockage local de votre navigateur plutôt que dans des cookies, car ils n’ont jamais besoin de parvenir à nos serveurs : votre choix de thème clair ou sombre, votre langue, une copie de votre choix concernant les cookies et de petites préférences d’interface, comme les panneaux que vous avez réduits. Ce stockage ne sert pas à vous suivre.

Vous pouvez modifier votre choix concernant les cookies à tout moment en supprimant le cookie qualis_consent de ce site, ce qui fait réapparaître le bandeau.

6. La mesure d’audience, décrite honnêtement

Nous utilisons Google Analytics 4 uniquement sur notre site web public. L’application Qualis accessible après connexion ne fait l’objet d’aucune mesure d’audience.

Nous appliquons le mode de consentement de Google (Consent Mode v2) avec tous les signaux refusés par défaut, avant le chargement du script de Google. Concrètement, aucun cookie de mesure d’audience ou publicitaire n’est déposé, et aucun identifiant de mesure d’audience n’est stocké, tant que vous n’avez pas accepté. Notre bandeau propose « Tout refuser » de manière aussi visible que « Tout accepter », ainsi qu’un panneau de préférences.

Pour être précis plutôt que flatteurs : le script de Google est tout de même chargé sur nos pages publiques si vous refusez, et ce chargement signifie que les serveurs de Google reçoivent la requête, y compris votre adresse IP, ainsi que l’information selon laquelle vous avez refusé votre consentement. Ce que le refus empêche, c’est le stockage et l’identification, pas la requête elle-même. Si cela ne vous convient pas, un bloqueur au niveau du navigateur est le moyen de contrôle efficace, et notre site fonctionne parfaitement avec un tel outil.

7. Qui d’autre a accès à vos données

Nous gardons volontairement cette liste courte. Voici les entreprises susceptibles de détenir ou de traiter des données personnelles pour notre compte :

Précisons-le d’abord clairement : vos enregistrements résident dans notre propre base de données, que nous administrons nous-mêmes plutôt que de louer un service de base de données géré. Elle se trouve sur un serveur que nous louons auprès de l’hébergeur ci-dessous, au Royaume-Uni. Aucune entreprise extérieure n’interroge ni n’analyse vos enregistrements ERP.

• Paddle.com (Irlande/Royaume-Uni) : notre revendeur et marchand officiel. Encaisse les paiements, gère les taxes, émet les factures et détient les coordonnées de facturation et les données de paiement des abonnements payants.
• Amazon Web Services (S3) : stocke les fichiers que vous téléversez, dans la région eu-west-3 (Paris, France).
• Amazon SES (eu-west-3 (Paris, France)) : achemine les e-mails transactionnels, comme la vérification, les invitations et les documents que Qualis envoie en votre nom. Nous n’insérons aucun pixel de suivi dans nos e-mails.
• Hostinger (au Royaume-Uni) : nous loue le serveur qui exécute Qualis et héberge notre base de données ; vos enregistrements se trouvent donc sur ses disques. Il n’y accède pas et ne les utilise pas.
• Google : mesure d’audience sur le site web public uniquement, et seulement avec votre consentement, comme décrit à la section 6.

Les fournisseurs d’IA sont votre choix, pas le nôtre. Les fonctionnalités d’IA optionnelles de Qualis restent désactivées tant que votre organisation ne les active pas et ne fournit pas sa propre clé d’API pour le fournisseur qu’elle choisit, comme Anthropic, OpenAI, Google ou xAI. Une fois ces fonctionnalités activées, le contenu qu’elles utilisent, qui peut inclure vos enregistrements ERP, est transmis à ce fournisseur, dans le cadre de votre compte et selon ses conditions. Nous ne choisissons pas le fournisseur et nous ne détenons aucune clé en votre nom. Si vous laissez les fonctionnalités d’IA désactivées, rien n’est envoyé.

La consultation des taux de change récupère des taux publiés auprès de sources publiques. Ces requêtes contiennent un code de devise et aucune donnée personnelle.

8. Transferts internationaux

Nous opérons depuis le Maroc et nos clients comprennent des entreprises de l’Espace économique européen et du Royaume-Uni ; des données personnelles peuvent donc être transférées hors du pays où vous vous trouvez. Concrètement, voici où se trouvent réellement vos données :

• Vos enregistrements (la base de données) : le Royaume-Uni, sur notre serveur chez Hostinger.
• Les fichiers que vous téléversez : la région eu-west-3 (Paris, France), donc au sein de l’UE.
• Les e-mails transactionnels : envoyés via eu-west-3 (Paris, France).
• Notre propre équipe administre le service depuis le Maroc ; nos collaborateurs accèdent donc aux données depuis ce pays.

Le Royaume-Uni bénéficie d’une décision d’adéquation de la Commission européenne ; le transfert de données personnelles depuis l’EEE vers notre base de données hébergée au Royaume-Uni ne nécessite donc pas de garanties supplémentaires. Pour les transferts vers le Maroc, et pour tout transfert hors de l’EEE ou du Royaume-Uni qui n’est pas couvert par une décision d’adéquation, nous nous appuyons sur des garanties appropriées telles que les clauses contractuelles types de la Commission européenne. Interrogez-nous et nous vous indiquerons ce qui s’applique à votre organisation.

9. Durée de conservation

Nous conservons les données de votre compte et de votre organisation tant que votre organisation existe. La résiliation d’un abonnement payant n’entraîne aucune suppression : votre organisation passe simplement à Qualis Start et conserve ses enregistrements, ce qui est un engagement délibéré, et non un oubli.

Deux précisions méritent d’être faites franchement. Premièrement, supprimer un enregistrement dans Qualis le place dans la corbeille au lieu de l’effacer, afin que vos administrateurs puissent rattraper des erreurs ; il disparaît pour de bon lorsqu’il est supprimé définitivement, ce qui supprime aussi ses fichiers joints. Deuxièmement, comme Qualis conserve par conception un historique des versions et des pistes d’audit, les valeurs remplacées subsistent dans cet historique jusqu’à la suppression définitive de l’enregistrement lui-même. C’est ce qui rend la piste d’audit fiable, et il est bon de le savoir avant de supposer qu’une modification a effacé quelque chose.

Si vous souhaitez que votre organisation et tout son contenu soient supprimés définitivement, demandez-le-nous et nous le ferons. Nous pouvons conserver le minimum nécessaire pour respecter nos obligations légales, par exemple les documents exigés en matière comptable ou fiscale.

10. Sécurité

Les mots de passe sont conservés uniquement sous forme de hachages salés. Les sessions reposent sur des cookies que JavaScript ne peut pas lire. Les données de chaque organisation sont isolées, l’accès est contrôlé par des autorisations granulaires à chaque requête et pas seulement dans l’interface, et les modifications sont consignées dans une piste d’audit. Le trafic vers Qualis est chiffré en transit. Aucun système n’est parfaitement sûr, mais si une violation affecte un jour vos données personnelles, nous vous en informerons, ainsi que l’autorité compétente, dans les délais exigés par la loi, et nous vous dirons ce que nous savons réellement plutôt que la version la moins alarmante.

11. Vos droits

Selon votre lieu de résidence, et notamment en vertu du RGPD si vous vous trouvez dans l’EEE ou au Royaume-Uni, vous pouvez :

• nous demander une copie des données personnelles que nous détenons à votre sujet ;
• nous demander de les rectifier si elles sont inexactes ;
• nous demander de les effacer ;
• nous demander de vous les transmettre, à vous ou à un autre prestataire, dans un format portable ;
• nous demander de limiter l’usage que nous en faisons, ou vous opposer à cet usage, y compris à tout usage fondé sur des intérêts légitimes ;
• retirer à tout moment un consentement que vous avez donné, par exemple pour la mesure d’audience.

Écrivez à contact@berrynoon.ma et nous vous répondrons dans un délai d’un mois. La démarche est gratuite. Si la demande concerne des données que votre employeur ou une autre organisation a enregistrées dans Qualis, nous vous orienterons vers eux, car ce sont eux qui les contrôlent et nous ne pouvons pas agir en passant outre leur autorité.

Si vous estimez que nous avons mal traité vos données, merci de nous le signaler d’abord. Vous avez également le droit d’introduire une réclamation auprès de votre autorité de protection des données.

12. Enfants

Qualis est un logiciel professionnel et ne s’adresse pas aux enfants. Nous ne collectons pas sciemment de données personnelles auprès de personnes de moins de 16 ans. Si vous pensez qu’un enfant nous a communiqué des données personnelles, signalez-le-nous et nous les supprimerons.

13. Modifications de la présente politique

Nous mettrons à jour cette page lorsque nos pratiques de traitement des données changeront. La date de « dernière mise à jour » indiquée en haut correspond toujours à la version en vigueur, et si une modification vous affecte de manière significative, nous vous en informerons par e-mail ou dans l’application plutôt que de modifier discrètement la page.

14. Nous contacter

Pour toute question relative à la présente politique, écrivez à contact@berrynoon.ma, appelez le +212 660 402 200, envoyez-nous un courrier à l’adresse postale Oasis Offices Latitudes, Route de l’Oasis, Bureau 304, Maarif, 20103 Casablanca, Maroc, ou utilisez notre page de contact. Nos Conditions générales d’utilisation et notre Politique de remboursement couvrent l’aspect commercial.