Politique de confidentialité

NexAi SAS (« NexAi », « nous ») edite NexOps, une plateforme SaaS d'intelligence opérationnelle mise a la disposition d'établissements clients (restaurants, bars, commerces). La presente politique decrit quelles données personnelles sont traitées via la Plateforme, par qui, a quelles fins et quels sont vos droits.

Nous respectons la loi marocaine 09-08 relative à la protection des personnes physiques à l'égard du traitement des données a caractère personnel, sous le contrôle de la Commission Nationale de contrôle de la protection des Données a caractère Personnel (CNDP).

Point essentiel : NexOps est un outil que le Client (votre employeur) utilise et dans lequel c'est lui qui saisit et détermine les données traitées. Pour ces données, votre employeur est le responsable de traitement et NexAi n'intervient qu'en qualité de sous-traitant. La section 2 détaille cette répartition.

Au sens de la loi 09-08, deux traitements distincts, avec deux responsables distincts, coexistent sur NexOps :

2.1 Le Client (établissement employeur) est responsable de traitement

Le Client determine seul les finalites et les moyens du traitement des donnees qu'il saisit ou genere dans la Plateforme : identite et coordonnees professionnelles de ses salaries, pointage et geolocalisation associee, plannings et shifts, taches et preuves, conges et absences, elements de temps de travail, inventaires, ventes et cloture de caisse, messages d'equipe.

A ce titre, il appartient au Client, et non à NexAi :

• d'accomplir en son nom propre les formalités CNDP applicables à ces traitements : déclaration de gestion du personnel et, lorsque le pointage géolocalise est active, demande d'autorisation préalable de géolocalisation des salaries ;
• de définir la base légale de chaque traitement et d'informer ses salaries ;
• de répondre aux demandes d'exercice de droits de ses salaries (section 9).

Pour toute question relative à ces données, la personne concernée doit s'adresser en premier lieu a son employeur.

2.2 NexAi est sous-traitant du Client

Pour les données décrites au 2.1, NexAi agit uniquement sur instruction documentée du Client, dans le cadre du contrat d'abonnement et des CGU. NexAi ne les utilise a aucune autre fin : pas de revente, pas de reutilisation commerciale, pas d'entrainement de modeles d'IA. NexAi s'engage a la confidentialite, a la securite (section 8), a n'engager de sous-traitant ulterieur que sous les memes obligations (section 5), a assister le Client dans le traitement des demandes de droits et, en fin de contrat, a restituer puis supprimer les donnees (sous reserve des durees legales de conservation).

2.3 NexAi est responsable de traitement pour ses propres données

NexAi est responsable de traitement pour les données qui lui sont propres : gestion de ses prospects et clients, compte de souscription du Client, contrats, facturation, support, ainsi que les journaux techniques nécessaires a la sécurité et a la disponibilité du service.

Déclaration CNDP : ces traitements sont déclarés auprès de la CNDP au titre de la gestion des clients (deliberation n° 32-2015). Cette déclaration ne couvre pas les traitements du Client décrits au 2.1, qui relèvent des formalités propres à chaque Client.

Coordonnées de NexAi :

• NexAi SAS, RC Casablanca n° 702869, ICE 003808856000094, représentée par Stefan Arnoux, Président
• Siège social : 11, rue El Wahda, Résidence « Imam Ali », Appartement n°2, Casablanca, Maroc
• Téléphone : +212 701-945191
• Email : contact@nexai.ma

Les catégories ci-dessous sont traitées via la Plateforme. Sauf mention contraire, elles sont saisies ou générées sous la responsabilité du Client (section 2.1), NexAi n'intervenant qu'en qualite de sous-traitant :

3.1 Données d'identification

• Nom complet, adresse email, numéro de téléphone
• Photo de profil (facultative)
• Rôle au sein de l'organisation (patron, manager, employé)
• Poste occupe et département

3.2 Données de géolocalisation

• Coordonnées GPS au moment du pointage (horodatées)
• Vérification de présence dans le perimetre de l'établissement (geofence)
• Adresse MAC WiFi de l'établissement (alternative au GPS)

Important : la geolocalisation n'est collectee qu'au moment precis du pointage (entree/sortie), jamais en continu. L'employe est informe a chaque collecte par un indicateur visuel dans l'application.

3.3 Données d'activité professionnelle

• Horaires de pointage (entrée, sortie, pauses)
• Tâches assignées, complétées, en retard
• Scores de performance et classement
• Plannings et shifts
• Demandes de congé et soldes
• Participation aux inventaires

3.4 Données de communication

• Messages publies dans le feed d'équipe
• Messages dans le chat d'équipe
• Commentaires et réactions

3.5 Données techniques

• Adresse IP, type de navigateur, système d'exploitation
• Journaux de connexion et d'audit
• Cookies de session (strictement fonctionnels)

3.6 Données traitées par NexAi comme responsable

Identité et coordonnées professionnelles du représentant du Client, informations de souscription, d'abonnement et de facturation, échanges de support, ainsi que les journaux techniques strictement nécessaires a la sécurité, a la lutte contre l'abus et a la disponibilité du service.

Conformément aux articles 4 et 12 de la loi 09-08, aucun traitement n'est réalisé sans fondement légal explicite.

Pour les données décrites aux sections 3.1 à 3.5, la base légale est déterminée par le Client, responsable de traitement. Elle relève en pratique de :

• Exécution du contrat de travail (art. 12-2) : gestion des comptes, pointage, planning, tâches, inventaires.
• Obligation légale (art. 12-3) : tenue des registres du personnel, droit du travail, conformité HACCP et tracabilite alimentaire, obligations fiscales et comptables.
• Consentement préalable, explicite et révocable (art. 4-i, art. 12-1) : géolocalisation au moment du pointage, photo de profil, scoring de performance affiche sur le leaderboard. Le consentement est recueilli par le Client, la Plateforme lui fournissant le support technique de ce recueil et sa preuve horodatee.

Pour les données décrites à la section 3.6, NexAi traite sur la base de l'exécution du contrat d'abonnement (art. 12-2), de ses obligations légales comptables et fiscales (art. 12-3) et de son interet legitime a securiser la Plateforme.

Le caractere obligatoire ou facultatif de chaque champ est indique a la collecte : les champs marques d'un asterisque (*) sont necessaires a l'execution du service. Les autres champs (photo de profil, telephone, biographie) sont facultatifs et leur non-renseignement n'empeche pas l'utilisation de la Plateforme.

Pour exécuter le service, NexAi recourt à des sous-traitants ultérieurs, que le Client autorise en souscrivant à la Plateforme :

• Un prestataire d'infrastructure et de base de données, sur des serveurs situes en Europe, avec chiffrement au repos et en transit (TLS).
• Un service d'intelligence artificielle pour l'analyse d'images, l'extraction des factures et l'assistant NexOps. Les données transmises sont minimisées et ne sont pas reutilisees pour entraîner des modèles. Le Client peut désactiver les fonctionnalités d'IA à tout moment.

Ces sous-traitants sont lies par des engagements contractuels leur imposant un niveau de protection au moins équivalent a celui auquel NexAi est tenue. Le Client, responsable de traitement, est informe de tout changement de sous-traitant ultérieur et peut s'y opposer pour motif légitime. L'hébergement hors du Maroc fait l'objet des formalités de transfert vers l'étranger requises par la loi 09-08 ; NexAi met a disposition du Client les elements necessaires a ses propres formalites.

Les durées de conservation des données relevant de la responsabilité du Client sont déterminées par celui-ci. A défaut d'instruction contraire de sa part, NexAi applique les durées par défaut suivantes, calibrées sur les obligations légales marocaines :

• Données de compte : conservées pendant toute la durée de la relation contractuelle, puis 12 mois après la suppression du compte
• Données de pointage et timesheet : 5 ans (obligation légale droit du travail)
• Données de géolocalisation : 12 mois
• Journaux d'audit : 3 ans
• Données HACCP : 5 ans (obligation réglementaire hygiène alimentaire)
• Messages du feed et chat : durée de la relation contractuelle
• Données clients de NexAi (section 3.6) : durée de la relation contractuelle, puis 10 ans pour les pièces comptables et fiscales

A la fin du contrat, NexAi restitue au Client les données relevant de sa responsabilité puis les supprime dans un délai de 30 jours, sous réserve des durées légales ci-dessus.

Vos données personnelles ne sont jamais vendues à des tiers. Elles peuvent être partagées avec :

• Votre employeur (le patron et/ou manager de votre établissement), qui est le responsable de traitement de ces données et en definit les accès au sein de son organisation
• Nos sous-traitants ultérieurs : l'hébergeur d'infrastructure et le service d'intelligence artificielle, dans la stricte mesure nécessaire au fonctionnement du service (section 5)
• Les autorités lorsqu'une obligation légale ou une décision de justice l'impose

NexAi ne communique aucune donnee du Client a un autre Client : chaque organisation est techniquement isolee (section 8). Tous nos sous-traitants ulterieurs sont lies par des engagements contractuels garantissant un niveau de protection adequat des donnees.

Nous mettons en oeuvre les mesures suivantes :

• Chiffrement des communications en transit (TLS 1.3)
• Chiffrement des données au repos (AES-256)
• Isolation des données par organisation et établissement (Row Level Security)
• Authentification par email/mot de passe avec hachage bcrypt
• Révocation immédiate des sessions en cas de suspension de compte
• Journal d'audit immutable pour toute action sensible
• Sauvegardes automatiques quotidiennes

Conformément à la loi 09-08, vous disposez des droits suivants :

• Droit d'accès : obtenir la confirmation que des données vous concernant sont traitées et en obtenir une copie
• Droit de rectification : corriger des données inexactes ou incomplètes
• Droit d'opposition : vous opposer au traitement de vos données pour motif légitime
• Droit de suppression : demander l'effacement de vos données, sous réserve des obligations légales de conservation

Auprès de qui exercer vos droits ?

• Données professionnelles (sections 3.1 a 3.5) : adressez-vous a votre employeur, responsable de traitement. C'est lui qui instruit et repond a votre demande. NexAi, en qualite de sous-traitant, ne peut y repondre directement mais l'assiste techniquement (extraction, rectification, suppression) et lui transmet toute demande qui lui parviendrait par erreur.
• Données clients de NexAi (section 3.6) : adressez-vous à NexAi a contact@nexai.ma. Nous répondrons dans les meilleurs délais.

Vous pouvez dans tous les cas adresser une réclamation à la CNDP - www.cndp.ma (ou par email a mesdroits@cndp.ma).

NexOps utilise uniquement des cookies strictement nécessaires au fonctionnement de l'application :

• Cookie de session : authentification de l'utilisateur (expire a la déconnexion)
• Cookie de préférences : établissement sélectionné (persiste 30 jours)

Aucun cookie publicitaire, analytique ou de tracking tiers n'est utilise. Aucun consentement n'est donc requis pour ces cookies essentiels conformément à la directive ePrivacy et à la loi 09-08.

NexOps utilise des algorithmes et de l'intelligence artificielle pour :

• Calculer automatiquement les scores de ponctualité, performance et présence affiches sur le leaderboard.
• Vérifier par IA les preuves photo associées aux tâches HACCP (contrôles température, hygiène, etc.).
• Extraire les données structurées des factures et tickets via reconnaissance optique IA.
• Répondre aux questions de l'assistant IA NexOps et analyser les images.

Aucune décision produisant des effets juridiques ou affectant significativement l'Utilisateur (sanction disciplinaire, licenciement, refus d'embauche, augmentation salariale) n'est prise par la seule IA. Toute decision RH reste sous la responsabilite exclusive du Client ; l'IA n'intervient qu'a titre d'outil d'aide a la decision.

L'Utilisateur dispose du droit : (i) de demander des explications sur la logique sous-jacente aux scores le concernant, (ii) de contester un verdict IA et demander une revue humaine, (iii) de refuser de figurer sur le leaderboard public. Ces droits s'exercent aupres du Client, responsable de traitement, que NexAi assiste sur le plan technique.

NexOps peut être utilise par des apprentis ou stagiaires mineurs employés dans des établissements CHR. Conformément à la loi 09-08 :

• Pour les Utilisateurs de moins de 18 ans, le consentement au traitement de la géolocalisation et à l'affichage du score sur le leaderboard doit être obtenu auprès du représentant légal.
• Le Client est responsable de la collecte et de la conservation de ces consentements parentaux.
• NexAI ne collecte ni ne traite sciemment de données de mineurs de moins de 16 ans.

En cas de violation de données personnelles, NexAi s'engage a informer le Client concerne dans les meilleurs délais et au plus tard sous 72 heures après en avoir pris connaissance, en lui fournissant les éléments nécessaires (nature de la violation, catégories et volume de données concernées, mesures prises). Il revient ensuite au Client, responsable de traitement, de proceder aux notifications aupres de la CNDP et, le cas echeant, d'informer les personnes concernees. NexAi documente toute violation dans son registre interne et notifie la CNDP pour les traitements dont elle est elle-meme responsable (section 2.3).

Nous nous réservons le droit de modifier la présente politique à tout moment. En cas de modification substantielle, les utilisateurs seront informes par notification dans l'application. La date de dernière mise à jour est indiquée en haut de cette page.

Si vous êtes salarie d'un établissement utilisant NexOps, votre interlocuteur est votre employeur (section 9). Pour toute autre question relative a la protection des donnees, ou pour signaler une difficulte a faire valoir vos droits :

• Email : contact@nexai.ma
• Courrier : NexAi SAS - 11, rue El Wahda, Casablanca, Maroc