Vos données, le secret bancaire et vos droits
· Équipe Malak
Quelles données le programme traiterait, celles qu'il ne verra jamais, comment s'applique le secret bancaire et quels droits vous reconnaît la loi n° 09-08.
Programme en préparation. Aucun service n'est ouvert au public à ce stade. Ce site ne collecte aucune donnée personnelle : il ne comporte ni formulaire ni outil de mesure d'audience.
Un programme qui s'appuie sur vos paiements n'a de sens que si ses règles sur les données sont claires dès le départ. Voici ce qui est prévu, ce qui est exclu et ce que vous pourrez exiger. Aucune donnée ne sera collectée avant l'obtention de l'autorisation préalable requise par la loi n° 09-08, y compris pour un pilote encadré.
Deux consentements, sur deux écrans
Vos données de paiement sont couvertes par le secret professionnel bancaire, prévu à l'article 180 de la loi n° 103-12. Vos données personnelles sont protégées par la loi n° 09-08. Le programme demandera donc deux autorisations distinctes, chacune sur son propre écran, avec une case non cochée et son propre bouton de validation. Rien ne sera accepté implicitement, et rien ne sera noyé dans des conditions générales.
Les paiements de santé feront l'objet d'un troisième consentement, séparé et facultatif. Si vous le refusiez, le programme continuerait de fonctionner dans tous les autres secteurs. Les textes prévus vous seront présentés dans l'application, avant tout consentement.
Ce que la plateforme recevrait
Pour chaque paiement éligible, sept informations seulement :
- un jeton de carte, qui remplace le numéro de votre carte ;
- le montant ;
- la date et l'heure ;
- l'ICE du commerçant ;
- son code d'activité ;
- le canal, carte ou QR ;
- le statut de l'opération.
S'y ajouteraient les données de votre compte : nom, prénom, téléphone, numéro de CIN chiffré et conservé à part, et les références du compte désigné pour vos versements. La géolocalisation ne servirait qu'au moment d'un signalement sur la carte, et seulement si vous l'acceptez.
Ce qu'elle ne verra jamais
- votre numéro de carte complet, sa date d'expiration, son cryptogramme ou votre code confidentiel ;
- l'historique de vos comptes bancaires et vos revenus ;
- vos paiements en dehors des commerçants éligibles ;
- votre carnet d'adresses ou votre position en continu ;
- une copie de votre CIN, votre photographie ou vos données biométriques.
La liaison de votre carte se fera sur une page hébergée par le service de tokenisation, et non sur une page Malak.
Pourquoi un jeton
Le jeton sera un identifiant aléatoire, propre à la plateforme. Il ne pourra pas être ramené au numéro de votre carte sans le coffre sécurisé du service de tokenisation, auquel la plateforme n'aura pas accès. Lors de la liaison, votre banque confirmera votre consentement par son authentification forte, puis vérifiera que le CIN déclaré correspond à son dossier. Elle répondra seulement par oui ou par non, sans communiquer votre numéro de CIN.
Le secret bancaire s'applique aussi à la plateforme
MALAK FINTECH sera elle-même tenue au secret professionnel pour les informations qu'elle recevra, et devra les conserver confidentielles. Ce secret a des limites fixées par la loi : il ne peut pas être opposé aux autorités qu'elle désigne, notamment à l'autorité judiciaire agissant dans le cadre d'une procédure pénale.
Les usages prévus, et ceux qui sont exclus
Vos données serviraient à attribuer et verser vos récompenses, à prévenir la fraude et à produire des statistiques agrégées et anonymisées. Si une convention était conclue avec l'État, des états agrégés par commerçant pourraient aussi être établis pour l'administration fiscale. Ils ne comporteraient aucune donnée vous concernant.
Seront exclus la cession ou la location de données, l'évaluation de votre solvabilité, la publicité ciblée pour le compte de tiers et toute transmission de données individuelles à l'administration fiscale.
Combien de temps
| Donnée | Durée de conservation |
|---|---|
| Paiements, sous pseudonyme | 24 mois, puis anonymisation irréversible |
| Paiements du secteur santé | 13 mois, puis anonymisation |
| États de liquidation et comptes rendus d'exécution | 10 ans |
| Données de compte après clôture | Suppression sous 3 mois, sous réserve des obligations légales |
Vos droits
La loi n° 09-08 vous reconnaît, à ses articles 7 à 9, un droit d'accès, de rectification, d'effacement et d'opposition. L'application prévoit un accès direct à ces droits : consulter et exporter vos données, les corriger, supprimer votre compte, révoquer vos consentements. La révocation se fera en un geste, sans frais ni justification, et votre jeton quittera la liste de filtrage sous 24 heures.
Un délégué à la protection des données sera désigné. Vous pourrez aussi saisir l'autorité nationale chargée de la protection des données personnelles.
Où seraient vos données
L'ensemble des données traitées par la plateforme serait hébergé au Maroc, sauvegardes et journaux compris, avec un chiffrement en transit et au repos. La plateforme n'effectuerait aucun transfert de données personnelles vers l'étranger. Toute évolution impliquant un traitement hors du Maroc resterait soumise à une autorisation préalable.