Politique de confidentialité

1. Préambule

La présente politique décrit la manière dont le Guichet Tourisme Congo (rupro.africa) collecte, utilise, conserve et protège les données personnelles des professionnels du tourisme inscrits au registre, des agents instructeurs et des visiteurs publics.

Elle s'applique de plein droit à tout utilisateur des services. L'usage du Guichet vaut acceptation des termes ci-après.

2. Responsable du traitement

Le responsable de traitement principal est le Ministère de l'Industrie touristique de la République du Congo, autorité administrative compétente pour la délivrance des autorisations professionnelles dans le secteur du tourisme.

SOROM Holding agit en qualité de sous-traitant au sens de la réglementation applicable, dans le cadre d'un contrat de services avec ledit Ministère. Les finalités et moyens essentiels sont définis par le Ministère.

3. Données collectées

Nous collectons les catégories suivantes, strictement nécessaires aux finalités listées au paragraphe 4 :

• Données d'identification : nom, prénom, civilité, numéro d'identité nationale (pour les guides et chauffeurs touristiques uniquement), photo d'identité pour la carte professionnelle.
• Données professionnelles : raison sociale, nom commercial, numéro RCCM, numéro fiscal, adresse de l'établissement, secteur et catégorie d'activité, pièces justificatives téléversées.
• Données de contact : adresse email, numéro de téléphone.
• Données techniques : adresse IP, type de navigateur, horodatage des connexions, journaux d'audit des actions sur le dossier.
• Données financières : références de paiement Mobile Money ou virement, montants des redevances acquittées. Les coordonnées bancaires complètes ne sont jamais stockées par RUPRO — elles transitent uniquement via le prestataire de paiement agréé.

4. Finalités

Les données sont traitées pour :

• Instruire les demandes d'autorisation d'exercer dans le tourisme.
• Délivrer, suspendre, renouveler ou révoquer les titres et cartes professionnelles.
• Permettre la vérification publique d'une autorisation par QR code.
• Détecter et prévenir les fraudes (paiements, falsifications de pièces, usurpation d'identité).
• Établir des statistiques anonymisées à destination du Ministère.
• Notifier les utilisateurs des étapes de leur dossier (email, notifications applicatives).

5. Base légale

Les traitements reposent sur :

• L'exécution d'une mission d'intérêt public dont est investi le Ministère de l'Industrie touristique (instruction et délivrance des titres).
• L'exécution du contrat passé par le professionnel avec l'administration via le Guichet (inscription, paiement de la redevance).
• Le respect d'obligations légales en matière de lutte contre la fraude et de tenue d'un registre public.

6. Durée de conservation

• Dossiers actifs : conservés pendant toute la durée de validité du titre et 5 ans après son expiration ou révocation, à des fins de contrôle a posteriori.
• Journaux d'audit : 5 ans (durée de prescription des irrégularités administratives).
• Comptes inactifs : un compte sans activité depuis 24 mois reçoit une notification ; à défaut de connexion dans les 30 jours suivants, il est anonymisé.

7. Destinataires

Les données sont accessibles aux :

• Agents et superviseurs habilités de la Direction du Tourisme, dans le cadre de l'instruction et du contrôle.
• Équipes techniques de SOROM Holding (sous-traitant), dans le strict cadre de l'exploitation du service, soumises à un engagement de confidentialité.
• Autorités judiciaires ou administratives compétentes sur réquisition légale.
• Hébergeurs techniques (Vercel, Fly.io, Supabase, Cloudflare R2) en qualité de sous-traitants ultérieurs, encadrés par des clauses contractuelles types.

Les données ne sont jamais vendues, louées ou cédées à des tiers à des fins commerciales.

8. Transferts hors zone CEMAC / UE

Certains sous-traitants techniques sont basés aux États-Unis (Vercel, Fly.io, Cloudflare). Les transferts sont encadrés par des clauses contractuelles types et des accords de protection assurant un niveau de protection équivalent à celui prévu par le RGPD européen.

9. Vos droits

Toute personne dispose des droits suivants sur ses données :

• Droit d'accès et d'information.
• Droit de rectification.
• Droit à l'effacement, sous réserve des obligations légales de conservation.
• Droit à la limitation du traitement.
• Droit à la portabilité.
• Droit de saisir l'autorité de contrôle compétente en cas de litige non résolu.

Ces droits s'exercent par écrit à dpo@rupro.africa en justifiant de votre identité. Une réponse est apportée sous un délai d'un mois.

10. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles appropriées au regard de la sensibilité des données :

• Chiffrement des communications (TLS 1.3 + HSTS preload).
• Chiffrement au repos des secrets et mots de passe (Argon2id).
• Authentification forte des agents (mot de passe + MFA roadmap).
• Journalisation et audit des accès aux dossiers.
• Sauvegardes chiffrées quotidiennes avec rétention 7 jours et test périodique de restauration.
• Contrôle d'accès par rôle (RBAC) et isolation par pays/institution (RLS au niveau base de données).

11. Cookies

Le Guichet utilise uniquement des cookies strictement nécessaires (authentification, préférences d'affichage). Aucun cookie de traçage publicitaire n'est déposé. La mesure d'audience est anonymisée.

12. Évolution de la politique

La présente politique peut être révisée à tout moment pour tenir compte d'évolutions législatives, jurisprudentielles ou techniques. Les utilisateurs inscrits seront notifiés des modifications substantielles. La date de mise à jour figure en tête du document.