Politique de confidentialité

commerce.mu — Republic of Mauritius

Dernière mise à jour : 23 mai 2026 · En vigueur à compter de la date de publication

1. Responsable du traitement

Software for Humanity Ltd, société de droit mauricien (la « Société », « nous »), est responsable du traitement des données personnelles collectées via commerce.mu. Contact : privacy@commerce.mu. Siège social : Sottise Road, Grand Baie 30550, Republic of Mauritius.

2. Champ d'application

La présente politique s'applique aux données personnelles que nous collectons lorsque vous visitez commerce.mu, soumettez un formulaire de demande, nous contactez par messagerie, e-mail ou téléphone, ou interagissez avec nos représentants dans le cadre de notre activité de conseil relative au Mauritius Occupation Permit (Investor Category).

3. Catégories de données personnelles

Nous traitons :

• Données d'identification et de contact — nom complet, e-mail, numéro de téléphone, identifiants de messagerie ;
• Données de communication — contenu des demandes, notes d'appels, historique des échanges ;
• Données techniques — adresse IP, métadonnées appareil et navigateur, source de référence ;
• Données d'analyse et de cookies — identifiants pseudonymes, pages consultées, source de trafic et paramètres de campagne (UTM), événements d'interaction ; voir notre Politique cookies et le détail ci-dessous ;
• Informations relatives au statut professionnel ou d'investisseur — lorsque vous choisissez de les communiquer, dans la mesure nécessaire à l'évaluation d'éligibilité.

3.1 Mesure d'audience

Au chargement de la page, le site exécute deux services de mesure d'audience agissant en qualité de sous-traitants pour notre compte : Yandex.Metrica (exploité par Yandex LLC) et Google Analytics 4 (exploité par Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, États-Unis). Ces deux services sont chargés sur le fondement de notre intérêt légitime à mesurer la performance du site et de nos diffusions publicitaires, et non sur la base du consentement.

Google Analytics 4 traite : un identifiant de navigateur pseudonyme (client_id) conservé dans les cookies _ga et _ga_3FJ2DY4CC6 ; les pages consultées ; la source de trafic et les paramètres de campagne (UTM) ; les caractéristiques techniques de l'appareil et du navigateur ; la géolocalisation approximative. Les adresses IP sont traitées sous forme tronquée (anonymize_ip) ; les fonctions Google Signals et la personnalisation publicitaire sont désactivées et aucune liaison avec Google Ads n'est utilisée. Les valeurs saisies dans les champs de formulaire (nom, téléphone, e-mail, message) sont exclues de l'enregistrement par les dispositifs de masquage natifs des outils de mesure d'audience.

Ce traitement repose sur l'article 6, § 1, f) du RGPD (intérêts légitimes). Vous disposez du droit de vous opposer à ce traitement à tout moment et de refuser la collecte par Google Analytics sur l'ensemble des sites en installant le module complémentaire de navigateur de désactivation de Google Analytics ou par les autres moyens décrits dans notre Politique cookies. Le transfert transfrontalier de données vers Google LLC (États-Unis) est décrit à la section 7 ci-dessous.

Le Site utilise Google Tag Manager (exploité par Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, États-Unis), un service de gestion de balises qui charge et exécute la configuration analytique du Site. Google Tag Manager ne collecte pas lui-même de données personnelles, ne dépose pas de cookies analytiques ou publicitaires et n'établit pas de profils d'utilisateurs ; il gère uniquement les balises analytiques actives sur le Site. Les balises gérées via le conteneur se limitent à l'analyse de performance du site décrite ci-dessus (Google Analytics 4 et Yandex.Metrica) ; aucune balise publicitaire, de remarketing, de conversion Google Ads, Floodlight ou Google Signals n'est déployée. Le stockage publicitaire est défini sur « refusé » au niveau du gestionnaire de balises (Consent Mode : ad_storage / ad_user_data / ad_personalization = denied). Le chargement intervient au chargement de la page sur la base de l'intérêt légitime de l'Opérateur (article 6, § 1, f) du RGPD), de manière identique à Google Analytics 4. Les données traitées par Google Tag Manager (données techniques de requête) sont transférées vers Google LLC (États-Unis) — voir la section 7 ci-dessous. Politique de confidentialité de Google : policies.google.com/privacy.

3.2 Notre propre mesure d'audience et notifications opérationnelles

Au chargement d'une page du Site, une requête technique est automatiquement adressée au serveur de la Société (point de terminaison /api/event) aux fins du décompte agrégé de la fréquentation et de l'évaluation de l'efficacité de nos canaux publicitaires. Les données transmises comprennent : l'adresse de la page consultée, les paramètres de campagne publicitaire (balises UTM), la classe d'appareil (mobile / tablette / ordinateur), le fuseau horaire et les paramètres de langue du navigateur. Côté serveur, un condensé pseudonymisé de l'adresse IP (HMAC-SHA256 avec clé rotative) et une géolocalisation approximative (pays, ville) sont ajoutés à l'enregistrement — l'adresse IP d'origine n'est pas conservée en base.

Lorsque vous cliquez sur un bouton d'ouverture d'une messagerie (WhatsApp, Telegram) ou soumettez un formulaire de demande sur le Site, la Société enregistre cette action afin de traiter le contact que vous avez initié. Une notification est adressée à un membre du personnel habilité via un bot de service interne Telegram (Telegram FZ-LLC), contenant : le canal et l'emplacement du bouton ou du formulaire, les paramètres de campagne publicitaire (balises UTM), le type de navigateur, de système d'exploitation et d'appareil, un horodatage, votre adresse IP ainsi que les informations qui en sont déduites côté serveur — géolocalisation approximative (pays, ville, opérateur / fournisseur d'accès à Internet) et indicateurs de connexion (recours à un proxy, à un hébergeur ou à un réseau mobile). L'adresse IP est incluse dans cette notification de service sous sa forme d'origine, dès lors que le clic sur un bouton de messagerie ou l'envoi du formulaire constitue une action par laquelle vous initiez un contact avec la Société, et que l'identification rapide de la source de la demande est nécessaire à son traitement. La base légale est l'exécution de mesures précontractuelles prises à votre demande, ainsi que l'intérêt légitime de la Société à traiter une demande que vous avez initiée (article 6, § 1, b) et article 6, § 1, f) du RGPD ; pour les utilisateurs situés en Fédération de Russie, article 6, alinéa 1, point 5 et point 7 de la loi fédérale n° 152-FZ). L'adresse IP est utilisée exclusivement pour générer la notification de service et n'est pas conservée par la Société sous sa forme d'origine : le système de conservation est la base de données visée à la section 1, dans laquelle l'adresse IP n'est enregistrée que sous la forme d'un condensé pseudonymisé (HMAC-SHA256 avec clé rotative). Cette notification constitue un canal interne d'alerte rapide d'un membre du personnel habilité.

Avant que vous n'exprimiez votre choix dans le bandeau cookies : aucun identifiant de session n'est créé, aucun cookie n'est déposé et aucune identification de l'utilisateur n'est effectuée. Les données sont traitées sous forme agrégée et utilisées uniquement pour comptabiliser les visites et attribuer les sources publicitaires. La base légale est l'intérêt légitime de la Société (article 6, § 1, f) du RGPD), de manière analogue au traitement des journaux d'accès du serveur.

Après votre consentement aux cookies de mesure d'audience : un identifiant de session est ajouté aux données (conservé dans le sessionStorage du navigateur et non maintenu entre les sessions), permettant de relier les événements au sein d'une même visite.

Les enregistrements sont conservés pendant 90 jours au maximum. Le traitement a lieu sur le serveur propre de la Société et le journal d'audience auto-hébergé n'est communiqué à aucun tiers (hormis le canal d'alerte interne Telegram décrit ci-dessus). Dans la mesure où ce traitement implique un transfert de votre adresse IP et des données qui en sont déduites vers le service de messagerie Telegram, les garanties de transfert transfrontalier prévues à la section 7 s'appliquent.

4. Finalités du traitement

Nous traitons les données personnelles pour :

• répondre aux demandes des investisseurs ;
• préparer et négocier la documentation contractuelle ;
• réaliser des évaluations préliminaires d'éligibilité et d'adéquation ;
• respecter les obligations en matière de lutte contre le blanchiment, de connaissance client et de criblage des sanctions ;
• conserver les enregistrements requis par le droit mauricien et la réglementation financière applicable ;
• améliorer notre site et nos services.

5. Bases légales

Au titre du Règlement général sur la protection des données (UE/UK), lorsque celui-ci s'applique, nous nous fondons sur :

• art. 6, § 1, a) consentement (cookies, communications marketing) ;
• art. 6, § 1, b) exécution du contrat ou mesures précontractuelles (traitement des demandes, intégration) ;
• art. 6, § 1, c) respect des obligations légales (LCB-FT/KYC, archivage) ;
• art. 6, § 1, f) intérêts légitimes (sécurité, prévention de la fraude, analyses internes).

Au titre du Mauritius Data Protection Act 2017, nous nous fondons sur les conditions de licéité de la section 28, en particulier le consentement, la nécessité contractuelle et l'obligation légale.

6. Destinataires

Les données personnelles peuvent être communiquées, sur la base du besoin d'en connaître, à :

• nos administrateurs, salariés et conseils professionnels (juridique, fiscal, audit) ;
• les autorités de régulation et organismes publics, notamment l'Economic Development Board of Mauritius, la Financial Services Commission et la Mauritius Revenue Authority ;
• les partenaires bancaires et prestataires KYC/LCB-FT ;
• les prestataires informatiques et CRM agissant en qualité de sous-traitants au titre d'accords écrits ;
• les prestataires de mesure d'audience — Yandex LLC (Yandex.Metrica) et Google LLC, États-Unis (Google Analytics 4, ainsi que le service de gestion de balises Google Tag Manager) — agissant en qualité de sous-traitants pour notre compte sur le fondement de notre intérêt légitime ; pour Google LLC, le transfert transfrontalier décrit à la section 7 s'applique.
• un membre du personnel habilité, via un bot de service interne Telegram (Telegram FZ-LLC), aux fins du traitement rapide des demandes que vous initiez ; les données communiquées sont des métadonnées d'interaction, votre adresse IP et la géolocalisation approximative qui en est déduite, à l'exclusion de toute catégorie particulière de données. Le contenu et la base légale de cette communication sont décrits à la section 3.2 ci-dessus.

7. Transferts internationaux

La Société opère à l'international. Certains sous-traitants servant le pôle commercial russophone sont hébergés en Fédération de Russie ; certains prestataires techniques et d'analyse sont hébergés dans l'Union européenne et dans d'autres juridictions. Lorsque des données personnelles sont transférées hors de Maurice ou de l'EEE, nous mettons en place des garanties appropriées — engagements contractuels équivalents aux Clauses contractuelles types, mesures techniques et organisationnelles — conformément à la section 36 du Mauritius DPA et au chapitre V du RGPD.

Lors de l'utilisation de Google Analytics 4, les données collectées automatiquement (l'identifiant de navigateur pseudonyme ainsi que les paramètres techniques et comportementaux décrits à la section 3.1) sont transférées vers Google LLC, États-Unis. Les États-Unis ne figurent pas, à ce jour, parmi les États reconnus par l'autorité de contrôle russe (Roskomnadzor) comme assurant un niveau de protection adéquat des droits des personnes concernées, et ce transfert ne s'appuie sur aucune décision d'adéquation de l'Union européenne.

Les données techniques de requête traitées par Google Tag Manager (voir la section 3.1) sont également transférées vers Google LLC, États-Unis sur le même fondement légal et sous forme tronquée / technique, à l'exclusion des données personnelles de l'Utilisateur.

La base légale de ce transfert est notre intérêt légitime à mesurer la performance du site et de nos diffusions publicitaires (article 6, § 1, f) du RGPD), qui ne prévaut pas sur vos droits fondamentaux ; seules des données pseudonymisées et techniques, sous forme tronquée (anonymize_ip), sont transférées, à l'exclusion de toute catégorie particulière de données. Vous pouvez vous opposer à ce traitement à tout moment et interrompre le transfert vers Google LLC en installant le module complémentaire de navigateur de désactivation de Google Analytics ou par les moyens décrits dans notre Politique cookies. Les garanties contractuelles de confidentialité sont assurées par les conditions de traitement des données de Google (Google Ads Data Processing Terms).

8. Conservation

Nous conservons les données personnelles uniquement pendant la durée nécessaire à la finalité pour laquelle elles ont été collectées, augmentée de toute durée supplémentaire imposée par la loi (par exemple, les obligations d'archivage LCB-FT, généralement sept ans à compter de la fin de la relation d'affaires). Les données de demande des prospects n'ayant pas donné suite sont supprimées ou anonymisées sous 24 mois.

Les données de mesure d'audience sont conservées sous forme anonymisée jusqu'à 26 mois pour Yandex.Metrica ; les données utilisateur et d'événements de Google Analytics 4 sont conservées 14 mois, à l'issue desquels elles sont automatiquement supprimées par Google.

9. Vos droits

Sous réserve des conditions prévues par le RGPD (articles 15 à 22) et le Mauritius DPA (sections 37 à 42), vous disposez du droit :

• d'accéder à vos données ;
• de demander la rectification ou l'effacement ;
• de limiter ou de vous opposer au traitement ;
• de recevoir vos données dans un format portable ;
• de retirer à tout moment un consentement, sans que cela n'affecte la licéité du traitement antérieur.

Pour exercer ces droits, contactez privacy@commerce.mu. Nous vous répondons dans un délai d'un mois.

10. Autorité de contrôle

Vous pouvez introduire une réclamation auprès du Data Protection Commissioner of Mauritius (dataprotection.govmu.org). Les résidents de l'UE/EEE peuvent en outre saisir l'autorité de contrôle de leur lieu de résidence ou du lieu de l'infraction présumée — en France, la Commission nationale de l'informatique et des libertés (CNIL, cnil.fr). Les résidents du Royaume-Uni peuvent saisir l'Information Commissioner's Office (ICO).

11. Modifications

Nous sommes susceptibles de mettre à jour la présente politique. La date de « Dernière mise à jour » ci-dessus reflète la version en vigueur. Les modifications substantielles seront signalées sur cette page.