Conformité RGPD
1. Cadre légal applicable
ZeroAPI traite des données personnelles d'utilisateurs situés au Sénégal, dans la zone UEMOA, en Europe et au-delà. Nous appliquons le standard de protection le plus élevé applicable à chaque traitement :
- RGPD (UE 2016/679) pour les utilisateurs européens et au-delà ;
- Loi n° 2008-12 du Sénégal pour les utilisateurs sénégalais ;
- Acte additionnel A/SA.1/01/10 de la CEDEAO relatif à la protection des données à caractère personnel.
2. Délégué à la protection des données (DPO)
Un DPO est désigné. Tu peux le contacter pour toute question relative au traitement de tes données :
Email : dpo@zeroapi.app
Adresse postale : ZeroAPI SAS, à l'attention du DPO, Dakar, Sénégal.
3. Principes que nous appliquons
- Licéité et transparence : chaque traitement a une base légale claire, documentée dans notre politique de confidentialité.
- Minimisation : nous ne collectons que ce qui est strictement nécessaire au service.
- Exactitude : tu peux corriger tes données depuis ton compte.
- Limitation de conservation : durées précises définies dans la politique de confidentialité.
- Intégrité et confidentialité : chiffrement systématique, accès restreint, audits réguliers.
- Responsabilité : registre des traitements à jour, analyses d'impact pour les traitements à risque, formation continue des équipes.
4. Tes droits
4.1 Comment les exercer
Tous les droits décrits ci-dessous sont exerçables :
- en ligne : depuis l'onglet « Mes données » de ton tableau de bord ;
- par email : dpo@zeroapi.app.
Nous répondons dans un délai maximum de 30 jours. La réponse est gratuite, sauf demande manifestement infondée ou excessive (auquel cas nous pouvons facturer des frais raisonnables ou refuser, en motivant).
4.2 Détail des droits
| Droit | Description | Article RGPD |
|---|---|---|
| Information | Savoir ce qu'on fait de tes données. | 13–14 |
| Accès | Obtenir une copie de tes données. | 15 |
| Rectification | Corriger des données inexactes ou incomplètes. | 16 |
| Effacement | Supprimer tes données (« droit à l'oubli »). | 17 |
| Limitation | Geler temporairement un traitement contesté. | 18 |
| Portabilité | Recevoir tes données dans un format structuré et machine-lisible. | 20 |
| Opposition | T'opposer à un traitement fondé sur l'intérêt légitime. | 21 |
| Décision automatisée | Ne pas faire l'objet d'une décision purement automatisée. Nous n'en faisons aucune. | 22 |
| Retrait du consentement | Révoquer ton consentement à tout moment. | 7 |
| Directives post-mortem | Définir le sort de tes données après ton décès. | Loi française 2016-1321 |
5. Transferts internationaux
Certains de nos sous-traitants (Anthropic, Stripe, Resend, Trigger.dev) sont établis aux États-Unis. Ces transferts reposent sur :
- les clauses contractuelles types de la Commission européenne (décision 2021/914) ;
- l'adhésion au Data Privacy Framework UE–US pour les sous-traitants certifiés ;
- des mesures techniques complémentaires : chiffrement, pseudonymisation des payloads quand possible, minimisation du périmètre transféré.
La liste détaillée des sous-traitants et de leurs localisations est dans la politique de confidentialité.
6. Analyses d'impact (AIPD)
Nous réalisons des analyses d'impact relatives à la protection des données pour les traitements présentant un risque élevé pour tes droits et libertés. Une AIPD a notamment été conduite pour :
- le traitement des prompts par des modèles d'IA tiers ;
- les transferts hors UE ;
- l'hébergement du code généré.
Le résumé des AIPD est disponible sur demande motivée à dpo@zeroapi.app.
7. Violations de données
En cas de violation de données personnelles, nous notifions :
- la CDP du Sénégal dans les 72 heures (loi 2008-12, art. 61) ;
- l'autorité de contrôle européenne compétente dans les 72 heures (RGPD art. 33) ;
- les personnes concernées sans délai injustifié quand la violation est susceptible d'engendrer un risque élevé (RGPD art. 34).
8. DPA pour les clients Business
Pour les clients Business agissant en tant que responsables du traitement de données personnelles transitant par leur API hébergée chez nous, un Data Processing Agreement (DPA) standard est disponible. Pour l'obtenir, écris à legal@zeroapi.app — il est conforme aux articles 28 du RGPD et inclut les clauses contractuelles types pour les transferts internationaux.
9. Autorités de contrôle
Si tu estimes que tes droits ne sont pas respectés, tu peux réclamer auprès :
- Sénégal : Commission de protection des données personnelles (CDP) — cdp.sn
- France : Commission nationale de l'informatique et des libertés (CNIL) — cnil.fr
- Côte d'Ivoire : Autorité de Régulation des Télécommunications/TIC (ARTCI) — artci.ci
- Autres pays UE : autorité de ton pays de résidence, listée sur edpb.europa.eu.
10. Contact
Pour toute question RGPD ou exercice de tes droits : dpo@zeroapi.app.