Politique de confidentialité

1. Responsable du traitement et contact

Le responsable du traitement est TW MICRONICS SARL, dont le siège est à Yaoundé, B.P. 14674, Cameroun, immatriculée au RCCM sous le n° 95 F 0271 (TPI Yaoundé-Centre Administratif).

Pour toute question relative à vos données, à leur suppression ou à l'exercice de vos droits, écrivez à [email protected]. Nous répondons à toute demande dans un délai de trente jours.

2. Données de compte MAYA

MAYA est un progiciel de gestion à destination des entreprises. Lorsqu'une organisation ouvre un compte, nous traitons les données suivantes, indépendamment de toute connexion à un service Google :

• Identité des utilisateurs : nom, adresse e-mail, mot de passe (conservé uniquement sous forme hachée, bcrypt), secret du second facteur d'authentification lorsque celui-ci est activé.
• Organisation : entités juridiques, rôles et permissions des utilisateurs, paramètres de l'application.
• Données métier saisies par l'organisation elle-même : contacts, devis, factures, documents, conversations avec ses clients. MAYA les traite pour le compte de l'organisation, dans une base de données dédiée à cette organisation.
• Journaux techniques : journal d'audit des actions sensibles, journal des tâches planifiées, adresse IP et horodatage des connexions.
• Un cookie de session (httpOnly, sécurisé), indispensable au fonctionnement. MAYA ne dépose aucun cookie publicitaire ni traceur d'audience tiers.

3. Se connecter avec Google

Un utilisateur peut se connecter à MAYA avec son compte Google au lieu de son mot de passe. MAYA demande alors à Google les seules autorisations openid, email et profile : l'identifiant Google de la personne, son adresse e-mail (et le fait que Google l'a vérifiée) et son nom.

Ces informations servent à retrouver le compte MAYA actif qui porte la même adresse. MAYA conserve l'identifiant Google et l'adresse, reliés à ce compte, pour les connexions suivantes. Aucun jeton Google n'est conservé et MAYA n'accède à aucune autre donnée du compte Google. Une adresse que Google n'a pas vérifiée est refusée. Se connecter ne crée pas de compte : s'il en existe déjà un, la personne se connecte puis relie Google. Un compte tenu au second facteur le passe comme après un mot de passe.

Sur l'instance clients seulement, la même autorisation peut ouvrir une maison d'essai neuve. La personne indique le nom de la maison, son secteur, son téléphone et son pays, et accepte les conditions générales et la politique de confidentialité. Le pays détermine la devise et le référentiel comptable. Elle devient administrateur de cette maison, et d'aucune autre. Un second essai avec la même adresse est refusé. Rejoindre une maison déjà ouverte reste une invitation de son administrateur.

4. Données issues des API Google

Une organisation peut connecter sa chaîne YouTube à MAYA depuis l'écran Réseaux sociaux. La connexion passe par Google OAuth : l'administrateur autorise explicitement MAYA sur un écran de consentement Google, et peut retirer cette autorisation à tout moment (voir la section 7). MAYA demande exactement trois autorisations, décrites ci-dessous. Aucune autre donnée Google (Gmail, Drive, Agenda, Sheets, contacts) n'est demandée ni accessible.

4 bis. Google Agenda, Google Chat et Google Tasks (connexions de l'organisation)

Trois fonctions de MAYA utilisent des autorisations Google supplémentaires : la création de réunions Google Meet, la messagerie interne Google Chat et la synchronisation des tâches avec Google Tasks. Elles ne passent pas par l'application YouTube décrite en section 4. Ces autorisations sont demandées avec le projet Google Cloud de l'organisation elle-même, dont l'organisation renseigne l'identifiant client dans MAYA. Rien n'est demandé tant que l'organisation n'a pas configuré ces connexions.

Réunions Google Meet : un administrateur des rendez-vous de l'organisation connecte l'agenda Google qui organise les réunions. MAYA crée, modifie et annule dans cet agenda les événements des réunions programmées depuis MAYA, avec leur lien Google Meet. C'est Google qui envoie les invitations aux participants. MAYA transmet à Google le titre, l'ordre du jour, l'horaire et le fuseau horaire de la réunion, ainsi que l'adresse e-mail et le nom de chaque participant.

Messagerie Google Chat : chaque personne de l'organisation connecte son propre compte Google, et MAYA n'agit jamais au nom d'une autre personne. En plus des deux autorisations décrites ci-dessous, cette connexion demande les autorisations d'identité openid, profile et email. Elles servent à savoir quel compte est connecté : identifiant Google, adresse e-mail, nom et domaine.

Synchronisation Google Tasks : elle est éteinte par défaut ; l'organisation l'active, puis chaque personne qui le souhaite connecte son propre compte Google et choisit une liste de tâches. MAYA n'agit jamais au nom d'une autre personne et ne crée aucune liste. Entre les tâches de MAYA de cette personne et cette liste, MAYA lit et écrit le titre, l'état (à faire ou terminée) et la date d'échéance, dans les deux sens ; une tâche ajoutée dans la liste devient une tâche MAYA de la personne.

• Intelligence artificielle : le contenu de Google Agenda, de Google Chat et de Google Tasks n'est transmis à aucun service d'intelligence artificielle, OpenAI compris. Il n'est utilisé ni pour la publicité ni pour entraîner un modèle.
• Jetons : les jetons de ces connexions sont chiffrés (AES-256-GCM). Le jeton d'accès de l'agenda n'est conservé qu'en mémoire, le temps de l'appel.
• Conservation des réunions : elles sont conservées dans l'espace de l'organisation tant qu'elle utilise MAYA. Une réunion annulée depuis MAYA est aussi annulée dans Google Agenda.
• Conservation des messages : une copie de chaque message Google Chat lu est gardée au plus 30 jours. Un message expiré n'est plus affiché et il est effacé à la synchronisation suivante. Si la personne rattache un message à une fiche de MAYA, seule sa référence est gardée sur la fiche, sans son texte.
• Déconnexion de Google Chat : se déconnecter dans MAYA efface aussitôt les jetons et toutes les copies de messages de la personne. Seule une trace de la connexion (compte, dates) est gardée pour l'audit.
• Google Tasks : MAYA garde, pour chaque tâche synchronisée, l'identifiant Google de la tâche et de la liste, sa version (etag) et un aperçu du titre, de l'état et de l'échéance des deux côtés, tant que l'organisation utilise MAYA ; les conflits et échecs sont journalisés sans aucun secret. Se déconnecter dans MAYA arrête la synchronisation et efface aussitôt les jetons ; les tâches MAYA et leurs correspondances restent, sans aucun appel à Google, et rien n'est supprimé dans la liste Google.
• Désactivation de l'agenda : désactiver la connexion d'agenda dans MAYA arrête tout appel à Google. La connexion n'est pas supprimée, parce que les réunions passées y renvoient, et son jeton chiffré lui reste attaché.
• Révocation chez Google : MAYA ne révoque pas elle-même ces autorisations auprès de Google. Chaque personne peut les retirer à tout moment depuis https://myaccount.google.com/permissions. L'application y porte le nom que l'organisation a donné à son projet Google Cloud. Pour demander la suppression de vos données, écrivez à [email protected].

4 ter. Boîte Gmail de l'organisation (connecteur Gmail)

Un administrateur de l'organisation peut relier une boîte Gmail ou Google Workspace, pour toute l'organisation ou pour une de ses entités. Les courriels de l'organisation (devis, factures, réponses aux clients) partent alors de cette boîte par l'API Gmail, sans mot de passe d'application. Une entité qui a sa propre boîte Microsoft 365 la garde. Rien n'est demandé tant qu'aucun administrateur n'a relié de boîte.

En plus de l'autorisation décrite ci-dessous, cette connexion demande les autorisations d'identité openid et email. Elles servent à savoir quelle boîte est reliée : l'adresse vérifiée par Google et l'identifiant du compte Google. MAYA ne demande aucun accès en lecture à la boîte : elle n'y lit, n'y modifie et n'y supprime aucun message.

• Jetons : le jeton de rafraîchissement est chiffré dans la base (AES-256). Le jeton d'accès n'est conservé qu'en mémoire, une heure au plus.
• Déconnexion : déconnecter la boîte dans MAYA révoque l'accès auprès de Google puis efface aussitôt le jeton. Seule une trace de la connexion (adresse, dates, résultat de la révocation) est gardée pour l'audit.
• Révocation chez Google : l'accès peut aussi être retiré à tout moment depuis https://myaccount.google.com/permissions. Les envois repartent alors par le service d'envoi de la plateforme. Pour demander la suppression de vos données, écrivez à [email protected].

4 ter. Données issues des plateformes Meta (WhatsApp, Facebook, Instagram, Messenger)

Une organisation peut brancher à MAYA son numéro WhatsApp Business, ses Pages Facebook et les comptes Instagram professionnels reliés à ces Pages. Ces connexions passent par l'application Meta « MAYA », éditée par TW MICRONICS SARL : un administrateur de l'organisation autorise explicitement MAYA sur un écran de Meta, et peut retirer cette autorisation à tout moment. MAYA ne reçoit rien de Meta tant qu'aucun compte n'est branché.

Ces données servent uniquement à fournir à l'organisation les fonctions qu'elle utilise : recevoir les messages de ses clients et y répondre, publier sur ses Pages et ses comptes, lire les commentaires reçus et y répondre. Elles ne sont ni vendues, ni louées, ni utilisées pour la publicité ou le profilage publicitaire, ni transmises à un courtier en données. MAYA les traite pour le compte de l'organisation, dans la base de données dédiée à cette organisation. Leur utilisation respecte les Conditions de la plateforme Meta et les Règles pour les développeurs de Meta.

• WhatsApp : les messages reçus et envoyés par le numéro branché (texte, images, documents, notes vocales), le numéro de téléphone de l'expéditeur, le nom de profil WhatsApp qu'il a choisi et la date de chaque message. Pour le numéro de l'organisation : son identifiant chez Meta, celui de son compte WhatsApp Business et le numéro affiché.
• Messenger et messages Instagram : l'identifiant que Meta attribue à la personne pour la Page ou le compte concerné, son nom affiché, et les messages échangés avec cette Page ou ce compte.
• Pages Facebook et comptes Instagram connectés : identifiant, nom, nom d'utilisateur, catégorie, image de profil, nombre d'abonnés, et le lien entre un compte Instagram et sa Page.
• Publications : le contenu que l'organisation publie depuis MAYA et l'identifiant que Meta attribue à chaque publication, pour en suivre l'état et la portée.
• Commentaires : les commentaires reçus sous les publications des Pages et des comptes connectés, avec l'identité publique de leurs auteurs (identifiant, nom affiché), l'analyse que MAYA en fait (sentiment, intention) et la réponse publiée le cas échéant.
• Jetons d'accès : le jeton de chaque Page, compte et numéro branché est chiffré au repos (AES-256-GCM) avec une clé dédiée, distincte de la clé des sessions. Il n'est jamais affiché, ni transmis à personne d'autre que Meta.
• Intelligence artificielle : lorsque l'assistant de MAYA prépare ou envoie une réponse à un message WhatsApp, Messenger ou Instagram, ou analyse un commentaire, le contenu concerné (le texte, le nom affiché de son auteur et les échanges précédents utiles à la réponse) est transmis à OpenAI (modèle gpt-5-nano), via son API. Les notes vocales reçues sont transcrites par OpenAI (whisper-1), qui produit aussi les réponses en note vocale (tts-1). Google (Gemini) ne reçoit ces contenus qu'en repli, rarement, quand OpenAI ne répond pas. Ces prestataires agissent comme sous-traitants ; selon les conditions de leurs API, les données transmises ne servent pas à entraîner leurs modèles. MAYA n'utilise aucune donnée reçue de Meta pour entraîner un modèle.
• Partage : ces données ne sont transmises qu'à Meta (les messages, publications et réponses que l'organisation décide d'envoyer), aux sous-traitants d'intelligence artificielle cités ci-dessus, et à Hostinger International Ltd., qui héberge les serveurs de MAYA aux Pays-Bas. La liste complète figure sur la page des sous-traitants.
• Conservation : les commentaires sont supprimés 24 mois après leur collecte. Une Page ou un compte Instagram dont l'autorisation a été révoquée ou dont le jeton est devenu invalide est supprimé, avec ses jetons, ses commentaires et son image, 12 mois après sa désactivation (section 7). Messages WhatsApp, Messenger et Instagram : supprimés 24 mois après leur réception ou leur envoi. Numéro WhatsApp désactivé : son jeton est supprimé au plus tard 30 jours après la désactivation.
• Révocation : un administrateur retire une Page ou un compte Instagram depuis l'écran Réseaux sociaux de MAYA, ce qui supprime les données que MAYA en conserve. Il désactive un numéro WhatsApp depuis l'écran Canaux de conversation, ce qui arrête aussitôt toute réception et tout envoi. Aucun de ces gestes ne révoque l'autorisation chez Meta : retirez l'application MAYA depuis Facebook (Paramètres et confidentialité > Paramètres > Intégrations professionnelles, ou Applications et sites web) et, pour WhatsApp, depuis le WhatsApp Manager de votre compte Meta Business. Dès la révocation, MAYA ne peut plus rien lire ni publier.
• Suppression : toute personne peut demander la suppression des données la concernant que MAYA a reçues de Meta. Depuis Facebook, en retirant l'application MAYA puis en choisissant « Envoyer une demande de suppression » : Meta nous transmet la demande, et vous recevez un code de confirmation avec un lien de suivi. Ou par e-mail à [email protected], en indiquant le nom de votre compte (ou votre numéro WhatsApp) et l'entreprise à laquelle vous avez écrit. La marche à suivre complète figure sur la page https://maya-erp.com/suppression-des-donnees. Les données concernées sont supprimées dans les 30 jours suivant la demande.
• Vos droits : vous pouvez demander l'accès à vos données, leur rectification, leur suppression ou leur portabilité, et vous opposer à leur traitement, en écrivant à [email protected]. Nous répondons dans un délai de trente jours. Si vous avez écrit à une entreprise qui utilise MAYA, c'est cette entreprise qui décide de ses échanges avec vous, et TW MICRONICS SARL agit pour son compte : nous pouvons lui transmettre votre demande.

5. Ce qui est conservé

Pour chaque compte YouTube connecté, MAYA conserve dans la base de données de l'organisation :

• l'identifiant et le nom de la chaîne, son image, l'adresse de son profil, le nombre d'abonnés, de vues et de vidéos ;
• les jetons OAuth (jeton d'accès et jeton de renouvellement), chiffrés au repos en AES-256-GCM avec une clé dédiée, distincte de la clé des sessions ;
• les commentaires lus sous les vidéos de la chaîne, avec l'identité publique de leurs auteurs, ainsi que l'analyse que MAYA en fait (sentiment, intention) et la réponse publiée le cas échéant ;
• les identifiants des vidéos publiées par MAYA.

6. Transmission à des tiers

Pour rédiger une réponse à un commentaire et en analyser le sentiment et l'intention, MAYA transmet à OpenAI (modèle gpt-5-nano) : le texte du commentaire, le nom public de son auteur, le titre et un extrait de la description de la vidéo concernée, ainsi que l'historique des commentaires du même auteur sur nos chaînes. OpenAI agit comme sous-traitant, via son API ; selon les conditions de cette API, les données transmises ne servent pas à entraîner ses modèles.

Hostinger International Ltd. héberge les serveurs de MAYA et agit comme sous-traitant d'hébergement : l'ensemble des données décrites dans cette politique réside sur ces serveurs.

Google LLC reçoit ce que MAYA publie sur YouTube au nom de l'organisation : vidéos, réponses aux commentaires, actes de modération.

Lorsqu'une organisation connecte d'autres réseaux (Meta pour Facebook et Instagram, TikTok, LinkedIn, X), les publications et réponses qu'elle décide d'y envoyer sont transmises à ces plateformes. Aucune donnée reçue de Google n'est transmise à ces plateformes.

MAYA ne vend aucune donnée, n'en transmet aucune à des fins publicitaires, et n'utilise aucune donnée reçue des API Google pour entraîner un modèle d'intelligence artificielle.

7. Conservation et purge

Les durées ci-dessous sont appliquées par une tâche automatique qui s'exécute chaque nuit ; elles ne dépendent pas d'une intervention manuelle.

• Commentaires lus sur les réseaux connectés, YouTube compris : supprimés 24 mois après leur collecte.
• Compte social dont l'autorisation a été révoquée ou dont le jeton est devenu invalide : supprimé, avec ses jetons, ses commentaires et son image, 12 mois après sa désactivation.
• Compte social actif : conservé tant que l'organisation le garde connecté ; supprimé immédiatement lorsqu'un administrateur le retire (section 7).
• Données de compte MAYA : conservées tant que l'organisation dispose d'un compte, puis supprimées sur demande écrite à [email protected].

8. Suppression des données et révocation de l'accès Google

Un administrateur de l'organisation retire un compte YouTube depuis l'écran Réseaux sociaux de MAYA. Ce geste révoque immédiatement l'autorisation auprès de Google, supprime les commentaires lus sur ce compte, son image et ses jetons, puis le compte lui-même. Si Google ne peut pas être joint à cet instant, la suppression locale est faite quand même et l'échec est journalisé ; l'autorisation peut alors être révoquée depuis votre compte Google.

Vous pouvez à tout moment consulter et révoquer les accès accordés à MAYA depuis votre compte Google : https://myaccount.google.com/permissions. Dès la révocation, MAYA ne peut plus rien lire ni publier ; le compte est désactivé au contrôle suivant et supprimé selon la section 6.

Pour les autres réseaux (Meta, TikTok, LinkedIn, X), le retrait d'un compte supprime les données conservées par MAYA mais ne révoque pas l'autorisation côté plateforme : faites-le depuis les réglages de sécurité de la plateforme concernée.

Si vous êtes l'auteur d'un commentaire publié sous une vidéo d'une organisation utilisant MAYA et souhaitez que ce commentaire et votre identité publique soient supprimés de nos systèmes, écrivez à [email protected] en indiquant la chaîne et la vidéo concernées.

Gérer les autorisations de mon compte Google

9. Sécurité

Au repos : les jetons OAuth des comptes sociaux et les secrets d'application sont chiffrés en AES-256-GCM avec une clé dédiée. Les mots de passe ne sont conservés que hachés. Chaque organisation dispose de sa propre base de données, physiquement séparée de celles des autres organisations.

En transit : toutes les communications entre votre navigateur et MAYA, et entre MAYA et les API de Google, d'OpenAI et des autres plateformes, sont chiffrées en TLS.

L'accès aux données est limité par des rôles et des permissions, et les actions sensibles sont inscrites dans un journal d'audit.

10. Google API Services User Data Policy

L'utilisation par MAYA des informations reçues des API Google, et leur transfert vers toute autre application, respectent la Google API Services User Data Policy, y compris ses exigences de Limited Use (usage limité). Énoncé officiel : « MAYA's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. »

Concrètement : les données reçues des API Google ne sont utilisées que pour fournir et améliorer les fonctionnalités décrites à la section 3, visibles par l'utilisateur ; elles ne sont pas transférées à des tiers en dehors des cas énumérés à la section 5 (sous-traitants nécessaires au service, avec le consentement de l'utilisateur, ou pour des raisons de sécurité ou légales) ; elles ne servent ni à la publicité, ni à l'évaluation de solvabilité, ni à l'entraînement de modèles d'intelligence artificielle généralisés ; et aucune personne ne les lit, sauf avec votre consentement explicite, pour des raisons de sécurité, pour se conformer à la loi, ou sous forme agrégée.

Lire la Google API Services User Data Policy