Politique de confidentialité

En vigueur à compter du 14 août 2026. S'applique à CommonLynk (« CommonLynk », « nous », « notre »), exploitée par Common Ground Solutions (CGS), société à responsabilité limitée constituée en vertu de la loi égyptienne n° 159 de 1981, New Maadi, Le Caire, Égypte.

1. À propos de la présente politique

La présente politique explique la manière dont CommonLynk traite les données à caractère personnel lorsque vous consultez notre site web, créez un compte et utilisez la plateforme CommonLynk. Nous nous engageons à protéger les données à caractère personnel et à les traiter conformément aux principaux cadres de protection des données, notamment le Règlement général sur la protection des données de l'Union européenne (RGPD) (General Data Protection Regulation, GDPR), ainsi qu'aux lois sur la protection des données applicables à votre utilisation de la plateforme.

CommonLynk est une plateforme multilocataire (multi-tenant) que des organisations (ONG, organisations de la société civile et entités similaires — les « Organisations ») utilisent pour gérer leurs programmes, leurs bénéficiaires, leurs formulaires et leurs rapports.

2. Nos deux qualités

• En qualité de responsable du traitement (controller) : pour les données relatives à nos clients directs et aux personnes qui consultent notre site web — titulaires de compte, contacts de facturation et personnes qui nous contactent —, nous déterminons les finalités et les moyens du traitement de ces données. La présente politique régit ce traitement.
• En qualité de sous-traitant (processor) : pour les données qu'une Organisation saisit au sujet des individus, des ménages et des établissements qu'elle enregistre et qu'elle sert sur la plateforme (chacun étant un « Bénéficiaire ») ainsi qu'au sujet de ses activités, l'Organisation est le responsable du traitement et CommonLynk agit uniquement en qualité de sous-traitant, sur les instructions documentées de l'Organisation. Ce traitement est régi par notre Accord de traitement des données, et toute question relative à ces données doit être adressée à l'Organisation concernée.

3. Données à caractère personnel que nous collectons (en qualité de responsable du traitement)

• Compte et identité : nom, adresse électronique professionnelle, organisation, fonction, préférences linguistiques et régionales.
• Authentification : mot de passe (haché), codes de connexion à usage unique et métadonnées de sécurité et de connexion.
• Facturation : nom de facturation, adresse, numéro d'identification fiscale, abonnement, factures et références de paiement. Nous ne conservons pas les numéros de carte complets — les paiements par carte sont traités par notre prestataire de paiement ; les références de virement bancaire et les justificatifs que vous téléversez sont conservés afin de rapprocher les paiements.
• Utilisation et données techniques : adresse IP (utilisée, entre autres, pour afficher la devise et la langue appropriées), données relatives à l'appareil et au navigateur, et données de journalisation.
• Communications : messages que vous nous adressez et métadonnées relatives à la remise des courriels.
• Données de diagnostic et d'assistance : lorsque la plateforme rencontre une erreur, ou lorsque vous signalez un problème ou formulez une suggestion, nous enregistrons des informations techniques sur ce qui s'est produit — l'adresse de la page, le détail technique de l'erreur, votre navigateur et votre système d'exploitation, votre langue, l'heure, votre compte et votre organisation, ainsi qu'un relevé des actions effectuées immédiatement auparavant (le type d'action et le nom de la commande utilisée — jamais le contenu que vous avez saisi ni les fiches que vous consultiez). Si vous choisissez de joindre une capture d'écran ou un fichier à un signalement, nous les conservons également. La section 6 explique la manière dont ces données sont traitées, y compris les garanties que nous appliquons aux captures d'écran.

4. Finalités et bases juridiques

Nous traitons les données susmentionnées afin de : fournir et sécuriser le service ; vous authentifier ; traiter les abonnements, les paiements et les factures ; fournir une assistance ; diagnostiquer, corriger et prévenir les dysfonctionnements de la plateforme (section 6) ; envoyer des courriels de service et des courriels transactionnels ; et respecter nos obligations légales. Selon la loi applicable, nos bases juridiques comprennent l'exécution d'un contrat, l'intérêt légitime, le consentement et le respect d'obligations légales. Lorsque le traitement repose sur le consentement, vous pouvez le retirer à tout moment. Notre intérêt légitime à l'égard des données de diagnostic consiste à assurer le bon fonctionnement et la sécurité de la plateforme ; nous limitons la collecte à ce qui est nécessaire à cette finalité.

5. Sous-traitants ultérieurs et communication des données

Nous faisons appel à des tiers soigneusement sélectionnés pour exploiter le service — par exemple pour l'envoi de courriels, le traitement des paiements, l'hébergement en nuage et les sauvegardes. Ils ne traitent les données que sur nos instructions et moyennant des garanties appropriées. La liste à jour des sous-traitants ultérieurs (sub-processors) — qui nomme chaque prestataire et indique ce qu'il traite et en quel lieu — figure dans la section Sous-traitants ultérieurs (liste actuelle) à la fin de la présente politique. Nous donnons un préavis d'au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur, afin que les Organisations puissent s'y opposer pour des motifs raisonnables tenant à la protection des données. Nous ne vendons pas de données à caractère personnel.

5A. Connexion de votre propre espace de stockage (Google Drive, Dropbox, OneDrive ou S3)

Une Organisation peut, si elle le souhaite, connecter son propre espace de stockage en nuage afin que CommonLynk y dépose une copie des paquets de sauvegarde chiffrés de l'Organisation (voir la section 4A(8) de l'Accord de traitement des données). Lorsque vous connectez un tel compte, CommonLynk utilise un accès limité au seul dossier de l'application : la connexion ne peut jamais que lire et écrire les fichiers de sauvegarde que CommonLynk crée elle-même dans son propre dossier dédié — elle ne peut en aucun cas voir, lire ni consulter vos autres fichiers dans ce compte.

Utilisation limitée des API Google (Google API Limited Use). Lorsque vous connectez Google Drive, l'utilisation et le transfert par CommonLynk des informations reçues des API Google respectent la Google API Services User Data Policy, y compris les exigences relatives à l'utilisation limitée (Limited Use). En particulier, CommonLynk n'utilise pas les données des utilisateurs Google pour diffuser de la publicité ; ne les vend pas et ne les transfère pas à des courtiers en données ou à des revendeurs d'informations ; ne les utilise pas à des fins d'évaluation de la solvabilité ou d'octroi de crédit ; et ne les utilise pas pour entraîner, créer ou améliorer un quelconque modèle généraliste d'intelligence artificielle ou d'apprentissage automatique. Aucune personne ne lit ces données, sauf avec votre consentement explicite, lorsque cela est nécessaire pour des raisons de sécurité ou pour se conformer à la loi, ou sous une forme agrégée ou anonymisée à des fins d'exploitation interne. La même limitation au dossier de l'application s'applique à Dropbox (App Folder) et à OneDrive (Microsoft Graph Files.ReadWrite.AppFolder).

6. Données de diagnostic et signalements de dysfonctionnements

Lorsqu'un incident survient sur la plateforme, ou lorsque vous signalez un problème, nous enregistrons des données de diagnostic afin de comprendre et de corriger le dysfonctionnement : le détail technique de l'erreur, l'adresse de la page, le navigateur et le système d'exploitation, la langue de l'interface, l'horodatage, l'identité de l'utilisateur ou de l'utilisatrice connecté(e) et l'espace de travail concerné, ainsi qu'une trace des actions effectuées immédiatement avant le dysfonctionnement — limitée au type d'action et au nom de la commande utilisée, jamais à ce qui a été saisi ni au contenu d'une quelconque fiche. Vous pouvez également choisir de joindre une capture d'écran ou un fichier.

Les signalements sont lus par des personnes. Notre personnel d'assistance reçoit chaque jour un récapitulatif interne unique énumérant les signalements reçus, de sorte que chacun d'eux est lu par une personne. Ce récapitulatif est transmis par courriel et ne contient jamais de capture d'écran ni de fichier téléversé — il contient un lien qui ouvre le signalement au sein de la plateforme, de sorte que les protections décrites ci-dessous continuent de s'appliquer, y compris l'enregistrement de l'identité des personnes qui l'ont ouvert.

Les captures d'écran appellent une précision particulière. Une capture d'écran d'une page de la plateforme peut contenir des données à caractère personnel relatives aux personnes que sert une Organisation. Par conséquent : les captures d'écran ne sont réalisées que lorsqu'une personne choisit d'en joindre une ; cette personne en voit un aperçu et peut en masquer toute partie, ou y renoncer, avant l'envoi ; elles sont conservées dans un espace de stockage protégé, inaccessible depuis le web public ; seul le personnel d'assistance autorisé peut les ouvrir, et chaque ouverture est consignée dans notre journal d'audit ; enfin, elles sont conservées et supprimées conformément à la Politique de conservation des données.

7. Transferts internationaux

La plateforme peut traiter des données dans plusieurs pays. Lorsque des données à caractère personnel font l'objet d'un transfert transfrontalier, nous appliquons les garanties exigées par la loi applicable (qui peuvent comprendre les autorisations de l'autorité de contrôle, des garanties contractuelles telles que les clauses contractuelles types (Standard Contractual Clauses) ou un hébergement dans la région lorsque la juridiction concernée l'exige). Les Organisations sont invitées à consulter l'Accord de traitement des données pour les précisions relatives aux données de leurs bénéficiaires.

8. Conservation

Nous ne conservons les données à caractère personnel que pendant la durée nécessaire aux finalités susmentionnées et exigée par la loi. Les données des comptes et des espaces de travail suivent le cycle de vie défini dans notre Politique de conservation des données (actif → délai de grâce → inactif → suppression).

9. Vos droits

Sous réserve de la loi applicable, vous pouvez disposer du droit d'accéder à vos données à caractère personnel, de les faire rectifier ou effacer, d'en demander la limitation du traitement ou de vous opposer à leur traitement, de retirer votre consentement et de demander la portabilité de vos données, ainsi que du droit d'introduire une réclamation auprès de votre autorité de protection des données. Pour exercer ces droits à l'égard des données que nous détenons en qualité de responsable du traitement, veuillez contacter notre déléguée à la protection des données, Yasmine Ossama — dpo@commonlynk.com. Pour les données qu'une Organisation détient à votre sujet en tant que Bénéficiaire, veuillez contacter cette Organisation (nous l'assisterons en qualité de sous-traitant).

10. Sécurité

Nous mettons en œuvre des mesures techniques et organisationnelles adaptées au risque — notamment le chiffrement des données en transit (HTTPS), des contrôles d'accès, l'isolation des espaces de travail, un accès authentifié aux fichiers téléversés et des sauvegardes régulières. Aucun système n'est parfaitement sûr, mais nous nous employons à protéger vos données et à informer sans délai les parties concernées en cas de violation.

11. Enfants

La plateforme est destinée à être utilisée par les Organisations et leur personnel, et non à être utilisée directement par des enfants. Lorsqu'une Organisation enregistre des données relatives à des enfants en tant que Bénéficiaires, l'Organisation est le responsable du traitement et répond du consentement et de la protection renforcés qu'exige la loi applicable ; CommonLynk l'appuie à cet égard en qualité de sous-traitant.

12. Modifications et contact

Nous pouvons mettre à jour la présente politique ; la date de « dernière mise à jour » sera alors modifiée et les modifications substantielles feront l'objet d'une notification. Questions ou demandes : notre déléguée à la protection des données, Yasmine Ossama — dpo@commonlynk.com / Common Ground Solutions (CGS), société à responsabilité limitée constituée en vertu de la loi égyptienne n° 159 de 1981, New Maadi, Le Caire, Égypte.

Sous-traitants ultérieurs (liste actuelle)

Objet de la présente page

Un sous-traitant ultérieur est une société tierce qui traite des données à caractère personnel pour le compte de CommonLynk afin de fournir le service. La présente page les nomme tous et indique ce que chacun traite et en quel lieu, afin qu'une Organisation utilisant CommonLynk puisse satisfaire à ses propres obligations de redevabilité et de diligence raisonnable envers ses bailleurs de fonds.

Notification des changements. Nous donnons aux Organisations un préavis d'au moins 30 jours avant d'ajouter ou de remplacer un sous-traitant ultérieur. Une Organisation peut s'y opposer pour des motifs raisonnables tenant à la protection des données ; la procédure est décrite à la section 5 de l'Accord de traitement des données (DPA). Pour recevoir les notifications de changement, veuillez contacter notre déléguée à la protection des données, Yasmine Ossama — dpo@commonlynk.com.

Dernier examen : 18 août 2026.

Sous-traitants ultérieurs actuels

Brevo

• Finalité : Envoi de courriels transactionnels — messages relatifs aux comptes, à la facturation, à l'assistance et aux notifications
• Données à caractère personnel traitées : Nom et adresse électronique du ou de la destinataire, objet et corps du message, métadonnées de remise
• Lieu du traitement : UE
• Statut : Actif

Paymob

• Finalité : Traitement des paiements par carte
• Données à caractère personnel traitées : Nom de facturation, coordonnées, identifiants de paiement. CommonLynk ne reçoit ni ne conserve jamais de numéros de carte — ceux-ci sont saisis sur la page hébergée par le prestataire lui-même
• Lieu du traitement : Égypte
• Statut : Configuré — ne traite pas encore de données réelles de titulaires de carte ; activé lors de la réception du premier paiement réel

Contabo GmbH

• Finalité : Hébergement de l'infrastructure serveur (serveur privé virtuel (VPS) exécutant la plateforme et ses bases de données, y compris le premier espace de travail client) et stockage des sauvegardes hors site à accès contrôlé
• Données à caractère personnel traitées : L'ensemble des données de la plateforme — au repos, en cours de traitement et dans les sauvegardes complètes
• Lieu du traitement : Allemagne (UE)
• Statut : Actif

Extension de l'hébergement. À mesure que CommonLynk se développe, des espaces de travail supplémentaires pourront être hébergés auprès d'autres prestataires ou dans d'autres pays. Chacun de ces prestataires sera nommé sur la présente liste et les Organisations en seront avisées à l'avance avant son ajout, conformément à la section 5 de l'Accord de traitement des données (DPA).

Entités qui ne sont pas des sous-traitants ultérieurs

Elles sont énumérées afin de montrer que leur absence de la liste est délibérée et ne résulte pas d'un oubli — les personnes chargées des vérifications de diligence raisonnable posent des questions à leur sujet :

GeoNames

• Raison pour laquelle il ne s'agit pas d'un sous-traitant ultérieur : CommonLynk récupère auprès de ce service des données de référence publiques sur les divisions administratives. Aucune donnée à caractère personnel n'est transmise.

Source publique des taux de change

• Raison pour laquelle il ne s'agit pas d'un sous-traitant ultérieur : Les taux sont récupérés ; aucune donnée n'est transmise.

Localisation du pays à partir de l'adresse IP (base de données locale)

• Raison pour laquelle il ne s'agit pas d'un sous-traitant ultérieur : Le pays de la personne qui consulte le site (pour la devise et la langue) est déterminé à partir d'une base de données locale ; aucune adresse IP n'est transmise à un quelconque tiers.

Maintenance du matériel assurée par Contabo GmbH elle-même

• Raison pour laquelle il ne s'agit pas d'un sous-traitant ultérieur : Elle est couverte par le contrat d'hébergement susmentionné et ne constitue pas une prestation distincte.

Stockage de dépôt connecté par le responsable du traitement (Google Drive / Dropbox / OneDrive / S3)

• Raison pour laquelle il ne s'agit pas d'un sous-traitant ultérieur : Lorsqu'une Organisation connecte son propre espace de stockage pour recevoir des copies de sauvegarde, ce compte constitue une ressource propre à l'Organisation et non un sous-traitant ultérieur de CommonLynk. CommonLynk utilise un accès limité au dossier de l'application et ne peut accéder qu'aux fichiers de sauvegarde qu'elle crée. Voir la section 4A(8) de l'Accord de traitement des données (DPA).

Exigences imposées à chaque sous-traitant ultérieur

Conformément à la section 5 de l'Accord de traitement des données (DPA), chaque sous-traitant ultérieur est lié par un contrat écrit lui imposant des obligations de protection des données au moins aussi protectrices que celles dont CommonLynk est redevable envers ses Organisations, et CommonLynk demeure pleinement responsable de leur exécution.