Politique de confidentialité
Dernière mise à jour : 18/10/2026
1. Introduction
Callisto Signal (« nous », « notre », « nos ») s'engage à protéger la confidentialité de vos informations personnelles. Cette politique de confidentialité explique comment nous collectons, utilisons, partageons et protégeons vos données quand vous utilisez notre plateforme : envoi de SMS et de codes OTP, messagerie WhatsApp, intégrations et topics, monitoring et cloud.
Responsable du traitement
Le responsable du traitement est PAPAC & CO SARL, dont le siège est à Abidjan, Cocody Riviera Palmeraie, Côte d'Ivoire. Pour toute question sur vos données : [email protected].
2. Données collectées
Nous collectons les données suivantes sur vous et sur votre compte :
- Informations de compte : nom, adresse e-mail, numéro de téléphone, entreprise, pays, fuseau horaire et préférences
- Données d'utilisation : l'historique de vos envois et de vos ressources, vos statistiques, votre consommation et vos factures
- Données techniques : adresse IP, type de navigateur, appareil utilisé et historique de connexion
- Données de paiement : le numéro de téléphone utilisé pour payer, le moyen de paiement, le montant et la référence de chaque transaction
Données traitées pour chaque service
Selon les services que vous utilisez, nous traitons aussi les données ci-dessous. Celles qui concernent vos destinataires, vos utilisateurs ou vos serveurs, nous les traitons pour votre compte, uniquement pour fournir le service que vous nous demandez.
SMS et OTP
- Ce que nous traitons : le numéro de vos destinataires, le contenu de vos messages, le nom d'expéditeur, le statut de livraison et le coût de chaque envoi. Pour l'OTP : le code envoyé et son statut de vérification.
- Pourquoi : acheminer vos messages, vous montrer leur statut, facturer chaque envoi et vérifier les codes OTP.
- Combien de temps : voir la section 6, Durées de conservation.
- Ce que nous traitons : le numéro et le nom du compte WhatsApp que vous connectez, les données de session de votre instance, les messages envoyés et reçus (numéro et nom du contact, contenu, fichiers joints) et leur statut de livraison.
- Pourquoi : connecter votre numéro, envoyer et recevoir vos messages WhatsApp, vous montrer leur statut et facturer votre instance.
- Combien de temps : voir la section 6, Durées de conservation.
Intégrations et topics
- Ce que nous traitons : les identifiants des services que vous connectez (Slack, Telegram, e-mail, SMS, notifications push, webhooks), que nous stockons chiffrés, et pour chaque événement envoyé à un topic : son contenu, sa destination et le résultat de l'envoi.
- Pourquoi : transmettre vos événements aux services que vous avez choisis et vous montrer le résultat.
- Combien de temps : voir la section 6, Durées de conservation.
Monitoring
-
Ce que nous traitons : selon les outils que vous activez :
- URL et heartbeat : les adresses surveillées, le résultat de chaque vérification et l'heure des pings reçus
- Serveurs : les métriques envoyées par l'agent callisto-jupiter (processeur, mémoire, disque, GPU, réseau, nombre de processus, et consommation de vos conteneurs Docker avec leur nom)
- Erreurs : les événements envoyés par nos SDK (message, trace d'appel, contexte, requête concernée et, si votre application les envoie, des informations sur l'utilisateur concerné)
- Capture de webhooks : chaque requête reçue sur votre URL de capture (méthode, en-têtes, corps, paramètres et adresse IP de l'expéditeur)
- Pourquoi : surveiller vos services, vous alerter quand quelque chose ne va pas, et vous montrer l'historique et les rapports.
- Combien de temps : l'historique dépend de votre offre, voir la section 6.
Cloud
- Ce que nous traitons : la configuration de vos ressources (serveurs, services web, bases de données, key-value, agents IA), vos variables d'environnement, l'accès à vos dépôts Git, les journaux de déploiement, les identifiants d'accès à vos ressources (stockés chiffrés), le texte des commandes et des requêtes SQL que vous lancez depuis le tableau de bord (hors session de terminal interactive) et, pour les agents IA, leurs instructions et la clé d'API que vous fournissez (stockée chiffrée). Les données que vous mettez sur vos serveurs et vos bases de données sont hébergées chez notre fournisseur d'infrastructure cloud.
- Pourquoi : créer, déployer, faire fonctionner et facturer vos ressources, et vous donner accès à leur terminal et à leurs journaux.
- Combien de temps : tant que la ressource existe. Quand vous supprimez un serveur, une base de données, un service ou une application, la machine qui l'exécute est détruite aussitôt chez notre fournisseur avec les données qu'elle contient, sauf si une autre de vos ressources l'utilise encore. Le reste suit la règle générale de la section 6.
Logs
- Ce que nous traitons : les logs que vos applications nous envoient : date et heure, niveau, nom du service, texte du message, identifiants de trace et attributs que vous y joignez. Ils peuvent contenir des données personnelles de vos utilisateurs si vos applications les y écrivent. Nous les enregistrons tels que vous les envoyez, sans en masquer le contenu. Pour chaque clé d'envoi : son nom, ses adresses IP autorisées, son identifiant pk_… et une empreinte de son secret sk_…, jamais le secret lui-même. Ce secret ne vous est affiché qu'une fois, à la création ou à la régénération de la clé. Vos services sont déduits du nom de service de vos logs.
- Pourquoi : vous permettre de rechercher vos logs, de les relier à vos erreurs et de mesurer le volume utilisé par votre offre.
- Combien de temps : selon votre offre, voir la section 6.
Utilisation des données WhatsApp
Quand vous utilisez les fonctionnalités WhatsApp de Callisto Signal, nous collectons et traitons les données nécessaires pour fournir le service. Il s'agit par exemple des numéros de téléphone, du contenu des messages, des métadonnées (date, heure, statut de livraison) et de toute information liée à l'utilisation de WhatsApp sur la plateforme.
- Ces données servent uniquement à permettre l'envoi, la réception et la gestion des messages WhatsApp via Callisto Signal.
- Pour acheminer vos messages, ces données passent par WhatsApp (Meta) et par notre prestataire de passerelle WhatsApp. Nous ne les partageons avec aucun autre tiers, sauf si la loi l'exige ou si les autorités compétentes le demandent (voir la section 4).
- Vous devez vous assurer d'avoir obtenu le consentement des personnes concernées avant de transmettre leurs données via WhatsApp.
- Nous mettons en œuvre des mesures techniques et organisationnelles pour protéger ces données.
3. Utilisation des données
Nous utilisons vos données pour :
- Fournir et améliorer nos services : SMS et OTP, messagerie WhatsApp, intégrations et topics, monitoring et cloud
- Gérer votre compte et vos abonnements
- Traiter vos paiements et vos transactions
- Vous envoyer des messages importants concernant le service, comme les alertes de monitoring, les rappels de renouvellement et les avis de facturation
- Assurer la sécurité et prévenir la fraude
- Respecter nos obligations légales
Bases légales
| Finalité | Base légale |
|---|---|
| Compte, service, facturation | Exécution du contrat |
| Pièces comptables | Obligation légale |
| Sécurité, prévention de la fraude, journal des connexions | Intérêt légitime |
| Messages de service | Exécution du contrat |
| Données de vos destinataires et de vos utilisateurs (SMS, WhatsApp, monitoring, logs) | Nous agissons pour votre compte, en sous-traitant ; la base légale est la vôtre |
4. Partage des données
Nous ne vendons jamais vos données personnelles. Nous les partageons uniquement avec les prestataires dont nous avons besoin pour fournir le service, et seulement ce qui leur est nécessaire :
- Envoi des SMS : Orange, MTN, LeTexto, Twilio, Infobip
- WhatsApp : WhatsApp (Meta), qui achemine les messages, et, selon votre instance, notre propre passerelle ou notre prestataire de passerelle (Waapi)
- Paiements : Hub2, Novasend, Paymetrust
- E-mails : Resend
- Hébergement du cloud client et des logs : Vultr (Johannesburg, Afrique du Sud)
- DNS, protection anti-robot : Cloudflare
- Connexion avec Google ou GitHub : Google, GitHub (si vous les utilisez)
- Localisation approximative des connexions : ip-api.com
- Avatar : Gravatar (empreinte de votre e-mail)
- Suivi des erreurs de la plateforme : Sentry, qui reçoit les erreurs techniques de nos services ; elles peuvent contenir une adresse IP ou un identifiant de compte
- Mesure d'audience : Meta (Facebook), grâce à un pixel placé sur ce site public et sur les pages de connexion, d'inscription et d'invitation de l'application, qui mesure les visites de nos pages
- Services que vous connectez : avec les intégrations et les topics, vos événements sont envoyés aux services que vous avez configurés, avec vos propres identifiants. Leurs conditions et leurs politiques s'appliquent.
- Autorités : les autorités compétentes, lorsque la loi l'exige
Certains sous-traitants traitent les données hors de Côte d'Ivoire, notamment en Afrique du Sud, dans l'Union européenne et aux États-Unis.
5. Sécurité des données
Nous appliquons des mesures de sécurité techniques et organisationnelles pour protéger vos données contre tout accès non autorisé et contre toute modification, divulgation ou destruction illicite. Parmi ces mesures : le chiffrement des données, des pare-feu et un accès restreint aux données personnelles. Les bases de données que vous créez sur Callisto Cloud ne sont joignables que depuis les adresses IP que vous déclarez.
6. Durées de conservation
Nous gardons chaque donnée le temps nécessaire à la raison pour laquelle nous l'avons collectée, puis nous la supprimons. Quand une durée est fixée, une tâche automatique fait la suppression chaque jour.
Messages et codes
| Donnée | Durée | Ensuite |
|---|---|---|
| SMS envoyés ou en échec (numéro, contenu, statut) | 12 mois après l'envoi | Supprimés. Nous gardons des totaux par jour, sans numéro ni contenu. |
| Codes OTP | 12 mois après leur expiration | Supprimés, avec les mêmes totaux par jour. |
| Messages WhatsApp, messages de topics, contacts et campagnes | Tant que votre compte existe | Supprimés avec votre organisation. |
| Historique des livraisons de webhooks WhatsApp | 30 jours | Supprimé. |
| QR code de liaison WhatsApp | Valable quelques dizaines de secondes ; gardé jusqu'à la liaison de l'appareil ou la fin de la tentative de liaison | Effacé. |
| Session de liaison WhatsApp (chiffrée) | Tant que l'instance est reliée | Supprimée à la déconnexion ou à la suppression de l'instance. |
Monitoring
L'historique dépend de votre offre : 7 jours avec Discover, 30 jours avec Start, 90 jours avec Business et 365 jours avec Entreprise ; 30 jours sans offre active. Cela couvre les vérifications d'uptime, les signaux heartbeat, les requêtes webhook capturées, les événements d'erreur et les métriques de vos serveurs. Les incidents et les fiches d'erreur regroupées sont gardés tant que votre compte existe.
Compte, sécurité et facturation
| Donnée | Durée |
|---|---|
| Votre profil de membre (nom, e-mail, téléphone, préférences) | Tant que votre compte existe |
| Historique de connexion (adresse IP, navigateur, localisation approximative) et journal d'activité | Tant que votre compte existe |
| Transactions, recharges et reçus | Tant que votre compte existe, et au-delà pour nos obligations comptables (voir plus bas) |
| Cookie de session | 24 heures |
| Cookie « Se souvenir de moi » | 30 jours |
| Cookie de parrainage | 30 jours |
Cloud
Les données de vos machines, services et bases de données sont gardées tant que la ressource existe et détruites quand vous la supprimez. Les journaux de déploiement sont gardés tant que votre compte existe.
Logs
Chaque log est gardé pendant la durée prévue par votre offre le jour où il est reçu, puis supprimé automatiquement. Un changement d'offre s'applique aux logs reçus ensuite. Si votre offre s'arrête, nous n'acceptons plus de nouveaux logs ; ceux déjà reçus restent consultables jusqu'à la fin de leur durée, puis sont supprimés. Supprimer une clé d'envoi n'efface pas les logs qu'elle a envoyés : ils suivent la même durée. Un propriétaire ou un administrateur peut faire effacer sous 7 jours les logs d'un service, ou ceux envoyés avec une clé, y compris une clé déjà supprimée. Une clé encore active, ou supprimée depuis moins de 30 secondes, peut encore écrire après la demande : il faut alors relancer la purge. Quand votre organisation est fermée, tous ses logs sont effacés sous 7 jours. Les logs ne sont pas sauvegardés : aucune copie ne survit à leur durée de conservation.
Journaux techniques de nos services
Nos propres services écrivent des journaux techniques (requêtes, erreurs, tâches planifiées). Ils peuvent contenir une adresse IP, un identifiant de compte, d'organisation ou de requête. Ils servent à faire fonctionner, déboguer et sécuriser la plateforme, et sont gardés [À COMPLÉTER : durée, par exemple 30 jours].
Outil d'essai /webhook/try
Les requêtes reçues par une URL d'essai (en-têtes, contenu, adresse IP de l'expéditeur) sont gardées sans durée limite pour le moment. N'y envoyez pas de données personnelles ni de secrets.
Sauvegardes
Nous faisons chaque jour une sauvegarde chiffrée de la base. Les sauvegardes quotidiennes sont gardées 30 jours et les mensuelles 12 mois. Une donnée supprimée peut donc rester jusqu'à 12 mois dans une sauvegarde, sans être consultée, jusqu'à la rotation. Les logs envoyés par vos applications ne sont pas sauvegardés.
À la fermeture du compte
Pour fermer votre compte, écrivez à [email protected]. La fermeture n'est possible que s'il ne vous reste ni crédit ni ressource active. Nous supprimons alors les données de votre organisation : monitoring, webhooks, intégrations, campagnes, contacts, messages WhatsApp, clés API et factures. Nous supprimons aussi les appareils de connexion enregistrés, mais nous gardons encore votre profil de membre, l'historique de vos connexions, le journal d'activité et les transactions. Nous supprimons les premiers sur demande, et gardons les transactions pour nos obligations comptables.
Demander l'effacement
Vous pouvez demander à tout moment la suppression de vos données à [email protected], depuis l'adresse e-mail de votre compte. Nous répondons sous 30 jours. Nous pouvons garder ce que la loi nous oblige à conserver, comme les pièces comptables ; nous vous dirons alors quoi et pourquoi.
Les données de vos destinataires
Les numéros, messages, données de monitoring et logs que vous nous confiez sont traités pour votre compte. Les durées ci-dessus s'y appliquent ; vous pouvez aussi en supprimer une partie plus tôt depuis votre tableau de bord.
7. Vos droits
Vous disposez des droits suivants sur vos données personnelles, notamment au titre de la loi ivoirienne n° 2013-450 relative à la protection des données à caractère personnel :
- Droit d'accès : obtenir une copie de vos données
- Droit de rectification : corriger vos données inexactes
- Droit à l'effacement : demander la suppression de vos données
- Droit d'opposition : vous opposer au traitement de vos données
- Droit à la portabilité : recevoir vos données dans un format structuré
- Droit de réclamation : déposer une plainte auprès de l'ARTCI (Autorité de Régulation des Télécommunications/TIC de Côte d'Ivoire), l'autorité chargée de la protection des données personnelles en Côte d'Ivoire
Si vous êtes dans l'Union européenne, le règlement général sur la protection des données (RGPD) s'applique aussi. Vous avez les mêmes droits, ainsi que le droit de saisir l'autorité de protection des données de votre pays.
Pour exercer ces droits, écrivez-nous à [email protected] (voir la section 9).
8. Cookies
Nous utilisons quelques cookies et stockages du navigateur :
- Session : garde votre connexion, supprimé à la fermeture du navigateur ou après 24 heures.
- Se souvenir de moi (si vous le cochez) : 30 jours.
- Sécurité des formulaires : protection CSRF, et Cloudflare Turnstile sur la connexion et l'inscription.
- Préférences : langue et thème clair ou sombre, gardés dans votre navigateur.
- Mesure d'audience : pixel Meta (cookie _fbp, 90 jours), sur ce site public et sur les pages de connexion, d'inscription et d'invitation de l'application.
9. Demander l'accès, l'export, la suppression ou la rectification de vos données
Vous pouvez nous demander d'accéder à vos données personnelles, de les exporter, de les supprimer ou de les corriger. Voici les demandes possibles :
- Demande d'accès : obtenir une copie complète de toutes vos données personnelles
- Demande d'export : recevoir vos données dans un format portable (JSON/CSV)
- Demande de suppression : demander l'effacement définitif de vos données
- Demande de rectification : corriger des informations inexactes
Pour faire une demande, envoyez un e-mail à [email protected] avec :
- L'adresse e-mail de votre compte
- Le type de demande (accès, export, suppression, rectification)
Envoyez votre demande depuis l'adresse e-mail de votre compte. Nous ne demandons une pièce d'identité qu'en cas de doute sur votre identité.
Délai de traitement : nous répondrons à votre demande sous 30 jours.
10. Modifications
Nous pouvons mettre à jour cette politique de confidentialité de temps à autre. En cas de changement important, nous vous préviendrons par e-mail ou par une notification sur notre plateforme.
Informations légales
- PAPAC & CO — SARL
- Siège social : Abidjan — Cocody Riviera Palmeraie, Côte d'Ivoire
11. Contact
Pour toute question sur cette politique de confidentialité, ou pour exercer vos droits, contactez-nous :
Données personnelles : [email protected]
Conditions d'utilisation : [email protected]