Politique de confidentialité et de protection des données personnelles

La présente Politique de confidentialité explique comment ROBY® Technologies collecte, utilise, conserve, protège et partage les données personnelles des Utilisateurs de son site internet, de ses applications mobiles et de ses services associés.

Elle concerne notamment les Passagers, les Chauffeurs de taxi, les Chauffeurs de véhicules touristiques, les titulaires d’agréments ou d’autorisations d’exploitation, les propriétaires et exploitants de véhicules, les représentants d’entreprises de transport, les partenaires professionnels ainsi que toute personne communiquant avec ROBY.

Cette Politique complète les Conditions générales d’utilisation de la Plateforme. Elle doit être lue avec les informations particulières présentées lors de l’utilisation d’une fonctionnalité, d’un moyen de paiement ou d’un service soumis à des règles spécifiques.

ROBY s’engage à ne collecter que les données nécessaires au fonctionnement de la Plateforme, à la sécurité des Utilisateurs, à la mise en relation, au respect de la réglementation et à l’amélioration de ses services.

ROBY ne vend pas, ne loue pas et ne cède pas les données personnelles de ses Utilisateurs à des fins commerciales.

Un engagement historique en faveur de la protection et de la souveraineté des données

ROBY a fait de la protection et de la souveraineté des données un principe fondateur de son activité.

Dès 2018, bien avant la généralisation des applications de mobilité au Maroc, ROBY Technologies a engagé auprès de la Commission nationale de contrôle de la protection des données à caractère personnel, la CNDP, les démarches de conformité relatives au traitement des données au moyen de son application.

Cette démarche a donné lieu à la délivrance, le 4 février 2019, du récépissé de déclaration CNDP n° D-GC-551/2018, correspondant à la déclaration n° D-551/2018 déposée le 15 octobre 2018, pour un traitement intitulé « Traitement des données par application » ayant pour finalité la « Gestion des clients ».

Cette démarche pionnière témoigne de la volonté de ROBY Technologies de développer une solution marocaine de mobilité fondée, dès son origine, sur la conformité, la confiance, la sécurité et la protection des données personnelles.

Dans l’architecture actuellement retenue par ROBY, les bases de données principales, les données de mobilité placées sous le contrôle de ROBY et leurs sauvegardes sont hébergées au Maroc dans un cloud souverain reposant sur un data center souverain situé sur le territoire marocain.

Cette architecture constitue un élément essentiel du modèle ROBY. Elle permet de maintenir au Maroc l’hébergement, la maîtrise, la gouvernance et la valeur stratégique des données générées par la mobilité marocaine.

La souveraineté des données ne consiste pas uniquement à les héberger au Maroc. Elle consiste également à contrôler leur utilisation, à empêcher leur appropriation commerciale par des plateformes étrangères et à permettre qu’elles bénéficient aux Chauffeurs, aux Passagers, aux institutions et à l’écosystème marocain.

La présente Politique est établie notamment conformément :

• à la loi marocaine n° 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel ;
• au décret n° 2-09-165 pris pour l’application de la loi n° 09-08 ;
• aux décisions, recommandations et formalités de la CNDP ;
• à la loi n° 31-08 édictant des mesures de protection du consommateur ;
• au règlement UE 2016/679, dit Règlement général sur la protection des données ou « RGPD », lorsque celui-ci est applicable ;
• aux règles nationales relatives à la protection des données, aux communications électroniques et à la prospection commerciale applicables dans les pays où ROBY propose ses services.

Article 1. Responsable du traitement et champ d’application

1.1 Identité du responsable du traitement

Le responsable des traitements réalisés pour le fonctionnement de la Plateforme est :

ROBY® Technologies, société à responsabilité limitée au capital de 50 000 dirhams

Siège social : 474, bureau 13, Quartier industriel Sidi Ghanem, 40000 Marrakech, Maroc

Registre du commerce du tribunal de Marrakech : 89879

Identifiant fiscal : 26058229

Taxe professionnelle : 64000465

Contact : formulaire de contact du site roby.taxi

Pour toute question relative à la protection des données personnelles, l’Utilisateur peut écrire via le formulaire de contact en indiquant dans l’objet : « Protection des données personnelles ».

1.2 Référence CNDP

Le traitement initial des données réalisé au moyen de l’application ROBY a fait l’objet du récépissé de CNDP n° D-GC-551/2018, délivré le 4 février 2019, à la suite de la déclaration n° D-551/2018 déposée le 15 octobre 2018.

La dénomination du traitement déclarée auprès de la CNDP est : « Traitement des données par application ».

La finalité initialement déclarée est : « Gestion des clients ».

Cette déclaration constitue le socle historique de la démarche de conformité de ROBY Technologies. Elle ne dispense pas ROBY de respecter l’ensemble des dispositions de la loi n° 09-08 et de ses textes d’application. Le récépissé couvre le traitement déclaré dans les limites de sa finalité et de son périmètre. Toute nouvelle catégorie de données, nouvelle finalité, interconnexion de fichiers ou modification substantielle fait l’objet des formalités nécessaires. Les traitements complémentaires liés notamment à la vérification des Chauffeurs, aux numéros de CIN, aux permis de confiance, aux agréments, aux autorisations d’exploitation, aux données de géolocalisation, à la prévention de la fraude, aux paiements, aux incidents de sécurité et aux éventuelles données sensibles sont déclarés, autorisés ou mis à jour auprès de la CNDP lorsque la réglementation l’exige.

Consulter le récépissé de déclaration CNDP

1.3 Application territoriale

La présente Politique constitue le socle commun de protection des données de ROBY.

Lorsque ROBY propose ses services dans un autre pays, cette Politique peut être complétée par des dispositions locales précisant notamment l’entité responsable, les coordonnées du représentant local, les autorités de contrôle compétentes, les fondements juridiques applicables et les droits particuliers reconnus aux Utilisateurs.

Lorsque ROBY propose des services à des personnes situées dans l’Union européenne ou suit leur comportement dans le cadre de ces services, le RGPD et les règles nationales applicables dans le pays concerné sont respectés.

Les dispositions impératives du pays dans lequel le Service est proposé prévalent sur toute stipulation incompatible de la présente Politique.

Article 2. Rôles des différents intervenants

2.1 ROBY Technologies

ROBY détermine les finalités et les moyens des traitements nécessaires :

• à la création et à la gestion des comptes ;
• à la vérification des Chauffeurs, des véhicules et des autorisations ;
• à la mise en relation entre Passagers et Chauffeurs ;
• à la gestion des Courses ;
• à la sécurité de la Plateforme ;
• à la prévention de la fraude ;
• à l’assistance des Utilisateurs ;
• à la gestion des paiements et des crédits Chauffeur ;
• à la gestion des réclamations et incidents ;
• à l’amélioration des services ;
• au respect de ses obligations légales.

2.2 Chauffeurs, titulaires d’agréments et exploitants

Le Chauffeur, le titulaire de l’agrément, le propriétaire, l’entreprise de transport touristique ou l’exploitant autorisé peut être responsable des traitements qu’il réalise pour ses propres besoins professionnels, notamment pour exécuter la prestation de transport, respecter ses obligations comptables, fiscales, sociales, assurantielles ou réglementaires et traiter ses propres réclamations.

Ces personnes ne peuvent utiliser les données obtenues par l’intermédiaire de ROBY que pour l’exécution de la Course, la sécurité, la gestion d’un incident, la restitution d’un objet oublié ou le respect d’une obligation légale.

Elles ne sont pas autorisées à réutiliser les coordonnées du Passager pour le démarcher, le contacter à titre personnel, constituer leur propre fichier commercial ou lui proposer des prestations extérieures à la Plateforme sans fondement légal approprié.

2.3 Prestataires de paiement

Les banques, établissements de paiement, établissements de monnaie électronique, opérateurs de portefeuille électronique et autres prestataires financiers agréés peuvent agir comme responsables indépendants pour les traitements nécessaires à l’identification des clients, à la lutte contre la fraude, à la lutte contre le blanchiment, au traitement des paiements, aux remboursements et aux obligations réglementaires qui leur sont propres.

Leurs politiques de confidentialité et conditions particulières sont communiquées lorsque leurs services sont utilisés.

Article 3. Données personnelles collectées

3.1 Données d’identité et de contact

ROBY peut collecter :

• les nom et prénom ;
• le numéro de téléphone ;
• l’adresse électronique ;
• l’adresse postale ;
• la date de naissance ;
• la nationalité lorsqu’elle est nécessaire à une vérification réglementaire ;
• la photographie de profil ;
• la langue préférée ;
• les informations communiquées au service d’assistance.

3.2 Données relatives au compte et à l’authentification

ROBY peut collecter :

• l’identifiant interne du compte ;
• les dates de création, de connexion et de dernière activité ;
• les codes de vérification et informations relatives à l’authentification ;
• les préférences et réglages du compte ;
• l’historique des acceptations des Conditions et de la Politique de confidentialité ;
• les appareils autorisés et événements de sécurité ;
• les tentatives de connexion et de récupération du compte.

ROBY ne conserve pas les mots de passe en clair.

3.3 Données relatives aux Chauffeurs et professionnels du transport

Pour vérifier qu’un Chauffeur exerce légalement son activité, ROBY peut collecter :

• une copie de la carte nationale d’identité, du passeport ou d’un document équivalent ;
• le numéro de la pièce d’identité ;
• le permis de conduire et ses dates de validité ;
• le permis de confiance, la carte professionnelle ou toute habilitation équivalente ;
• l’agrément, la licence ou l’autorisation d’exploitation du taxi ;
• l’identité et les coordonnées du titulaire de l’agrément ;
• les documents établissant le lien entre le Chauffeur, le titulaire de l’agrément, le propriétaire et l’exploitant du véhicule ;
• les autorisations propres au transport touristique ;
• le nom de l’entreprise ou de l’exploitant auquel le Chauffeur est rattaché ;
• les informations professionnelles, fiscales, sociales ou comptables nécessaires ;
• les attestations d’assurance ;
• les documents du véhicule et du contrôle technique ;
• les informations relatives à la validité, à la suspension ou au retrait des autorisations ;
• les coordonnées bancaires ou identifiants de paiement nécessaires aux reversements ;
• les informations relatives au compte Chauffeur, à ses crédits et à ses opérations.

La collecte du numéro de la CIN, de données relatives à des infractions ou d’autres catégories soumises à autorisation ne peut intervenir qu’après accomplissement des formalités requises auprès de la CNDP.

3.4 Données relatives aux véhicules

ROBY peut collecter :

• la marque, le modèle, l’année, la couleur et la catégorie du véhicule ;
• le numéro d’immatriculation ;
• la carte grise ;
• le numéro de châssis lorsque celui-ci est nécessaire à une vérification ;
• le nombre de places ;
• les photographies du véhicule ;
• les informations d’assurance et de contrôle technique ;
• les équipements d’accessibilité ;
• la catégorie de transport autorisée ;
• l’identité du propriétaire ou de l’exploitant ;
• les changements de véhicule et véhicules de substitution.

3.5 Données relatives aux Courses

ROBY peut collecter :

• le lieu de prise en charge ;
• la destination ;
• la date et l’heure de la demande ;
• le trajet, la distance et la durée ;
• l’identité du Chauffeur et du Passager concernés ;
• le véhicule affecté ;
• les horaires d’acceptation, d’arrivée, de départ et de fin de Course ;
• les modifications de destination et les arrêts intermédiaires ;
• le prix, son estimation ou son mode de calcul ;
• les suppléments, péages, frais d’attente et frais d’annulation ;
• le moyen de paiement ;
• le statut de la Course ;
• les annulations et non-présentations ;
• les évaluations et commentaires ;
• les objets oubliés ;
• les réclamations, incidents et pièces justificatives associés.

Lorsqu’une personne réserve une Course pour un tiers, elle doit s’assurer qu’elle est autorisée à communiquer les informations nécessaires concernant ce tiers et l’informer de l’utilisation de ses données.

3.6 Données de géolocalisation

ROBY peut traiter la position précise ou approximative du téléphone :

• du Passager lorsqu’il utilise la fonction de recherche, indique un lieu de prise en charge, suit l’arrivée du Chauffeur, réalise une Course ou utilise une fonction de sécurité ;
• du Chauffeur lorsqu’il est connecté, disponible, en approche, en attente ou en Course ;
• lorsque la Plateforme doit détecter une incohérence, sécuriser une Course, traiter une réclamation ou prévenir une fraude.

Lorsque le Chauffeur est connecté ou exécute une Course, la géolocalisation peut continuer à fonctionner en arrière-plan, y compris lorsque l’application n’est pas affichée à l’écran, dans la mesure nécessaire à la mise en relation, au suivi de la Course et à la sécurité.

ROBY n’a pas vocation à suivre en permanence un Utilisateur lorsqu’il n’utilise pas le Service et, pour le Chauffeur, lorsqu’il est déconnecté de la Plateforme.

L’Utilisateur peut gérer les autorisations de géolocalisation dans les réglages de son téléphone. Le refus ou la désactivation de la géolocalisation peut empêcher le fonctionnement de certaines fonctionnalités ou la réception de Courses.

3.7 Données de paiement et données financières

ROBY peut collecter :

• le moyen de paiement sélectionné ;
• le montant et la devise ;
• la date, l’heure et la référence de la transaction ;
• le statut du paiement ;
• les remboursements, annulations et rétrofacturations ;
• les rechargements et retraits ;
• les écritures du crédit Chauffeur ;
• les commissions et frais dus ;
• les coordonnées bancaires nécessaires aux reversements ;
• les identifiants ou jetons techniques communiqués par le prestataire de paiement.

Les données complètes de carte bancaire sont, en principe, collectées et traitées directement par le prestataire de paiement agréé. ROBY n’a pas vocation à conserver le numéro complet de la carte ni son cryptogramme de sécurité.

3.8 Communications et assistance

ROBY peut collecter :

• le contenu des messages échangés dans la Plateforme ;
• les échanges avec le service d’assistance ;
• les courriers électroniques et pièces jointes ;
• les métadonnées des appels, telles que la date, l’heure et la durée ;
• les signalements, réclamations, témoignages et réponses apportées ;
• les photographies, vidéos ou documents volontairement transmis.

Un appel ne peut être enregistré que si les participants en sont préalablement informés et si l’enregistrement repose sur un fondement légal approprié.

ROBY n’active pas le microphone du téléphone pour écouter ou enregistrer en permanence les conversations à bord du véhicule.

3.9 Données techniques

ROBY peut collecter :

• l’adresse IP ;
• le type et le modèle de l’appareil ;
• le système d’exploitation ;
• la version de l’application ;
• la langue et le fuseau horaire ;
• les identifiants techniques ou publicitaires lorsque leur utilisation est autorisée ;
• les journaux de connexion ;
• les rapports d’erreur et de panne ;
• les performances de l’application ;
• les événements de sécurité ;
• les données nécessaires à la détection des appareils compromis ou des utilisations frauduleuses.

3.10 Données relatives à la sécurité, aux incidents et à la fraude

ROBY peut traiter :

• les déclarations d’accident, d’agression, de menace, de harcèlement ou de discrimination ;
• les photographies ou vidéos transmises comme éléments de preuve ;
• les informations relatives à une intervention de police ou d’une autorité ;
• les dommages causés au véhicule ;
• les comptes rendus des Utilisateurs ;
• les comportements inhabituels détectés sur la Plateforme ;
• les incohérences de localisation ou de paiement ;
• les tentatives d’usurpation d’identité ;
• les documents falsifiés ;
• les résultats des contrôles internes ;
• les décisions de suspension et les contestations.

Lorsque ces informations révèlent des données relatives à la santé, à une infraction, à une condamnation ou à une mesure de sûreté, ROBY applique les garanties renforcées et accomplit les formalités particulières exigées.

3.11 Données sensibles et besoins particuliers

Un Passager peut choisir de signaler un besoin particulier, par exemple une mobilité réduite, la nécessité d’un véhicule adapté ou la présence d’un animal d’assistance.

ROBY ne collecte ces informations que lorsqu’elles sont nécessaires à la fourniture du Service, avec le consentement explicite de la personne lorsque celui-ci est requis et après accomplissement des formalités légales applicables.

ROBY ne demande pas de diagnostic médical détaillé lorsque celui-ci n’est pas nécessaire.

Les photographies de profil et documents d’identité ne sont pas utilisés pour effectuer une reconnaissance biométrique ou faciale, sauf si une fonctionnalité distincte est ultérieurement proposée après information spécifique des personnes, obtention des autorisations requises et mise en place des garanties appropriées.

3.12 Sources des données

Les données peuvent provenir :

• directement de l’Utilisateur ;
• du téléphone ou de l’appareil utilisé ;
• d’un Passager réservant pour un tiers ;
• du Chauffeur ou de l’entreprise de transport ;
• du titulaire de l’agrément, du propriétaire ou de l’exploitant du véhicule ;
• des prestataires de paiement ;
• des prestataires techniques ;
• des autorités ou organismes compétents lorsque la communication est légalement autorisée ;
• des systèmes de détection de fraude et de sécurité ;
• d’autres Utilisateurs dans le cadre d’une évaluation, d’une réclamation ou d’un incident.

Article 4. Finalités et fondements des traitements

4.1 Création et gestion des comptes

Les données sont traitées pour :

• créer le compte ;
• vérifier le numéro de téléphone ou l’adresse électronique ;
• authentifier l’Utilisateur ;
• gérer ses préférences ;
• permettre la récupération du compte ;
• conserver la preuve de l’acceptation des Conditions.

Ces traitements sont nécessaires à la création et à l’exécution de la relation contractuelle, à la sécurité de la Plateforme et au respect des obligations légales applicables.

4.2 Vérification des Chauffeurs, véhicules et autorisations

Les données sont traitées pour :

• vérifier l’identité du Chauffeur ;
• vérifier son permis de conduire et son permis de confiance ;
• vérifier l’agrément, la licence ou l’autorisation d’exploitation ;
• identifier le titulaire de l’agrément ;
• vérifier le lien entre le Chauffeur, le véhicule, le propriétaire et l’exploitant ;
• vérifier les autorisations de transport touristique ;
• vérifier l’assurance et le contrôle technique ;
• prévenir l’utilisation de faux documents ;
• suspendre les comptes dont les documents sont expirés ou invalides.

Ces traitements sont nécessaires à la sécurité, au fonctionnement légal de la Plateforme, à l’exécution du contrat, à la prévention de la fraude et au respect des obligations réglementaires.

4.3 Mise en relation et exécution des Courses

Les données sont traitées pour :

• identifier les Chauffeurs disponibles ;
• calculer leur proximité et leur temps d’arrivée estimé ;
• transmettre la demande de Course ;
• permettre au Passager de sélectionner un Chauffeur ;
• afficher les informations permettant l’identification du Chauffeur et du véhicule ;
• organiser la prise en charge ;
• fournir la navigation ;
• suivre la Course ;
• calculer ou vérifier le prix ;
• gérer les modifications, annulations et non-présentations ;
• établir l’historique de la Course ;
• permettre la restitution d’un objet oublié.

Ces traitements sont nécessaires à la fourniture du Service demandé et à l’exécution des contrats conclus au moyen de la Plateforme.

4.4 Géolocalisation

La géolocalisation est utilisée pour :

• proposer un lieu de prise en charge ;
• afficher les Chauffeurs disponibles ;
• calculer la distance et le temps d’approche ;
• affecter ou présenter les demandes de Course ;
• permettre au Passager de suivre l’arrivée du Chauffeur ;
• fournir la navigation ;
• calculer la distance et la durée ;
• assurer le suivi et la sécurité de la Course ;
• permettre le partage volontaire du trajet ;
• traiter les réclamations ;
• détecter les incohérences et prévenir la fraude.

Lorsque la géolocalisation n’est pas strictement nécessaire au Service ou à la sécurité, elle repose sur le consentement de l’Utilisateur et sur les autorisations choisies dans son téléphone.

4.5 Paiements, crédits et comptabilité

Les données sont traitées pour :

• initier et confirmer un paiement ;
• enregistrer un paiement en espèces ;
• gérer les frais de licence et commissions ;
• tenir l’historique du crédit Chauffeur ;
• effectuer les rechargements, reversements ou remboursements ;
• traiter les annulations et rétrofacturations ;
• prévenir la fraude ;
• établir les justificatifs et écritures comptables ;
• respecter les obligations fiscales et réglementaires.

Ces traitements sont nécessaires à l’exécution du contrat, au respect des obligations légales et à la défense des droits financiers de ROBY et des Utilisateurs.

4.6 Assistance, sécurité et gestion des incidents

Les données sont traitées pour :

• répondre aux demandes d’assistance ;
• vérifier les faits relatifs à une Course ;
• traiter les accidents, agressions, menaces, discriminations ou objets oubliés ;
• protéger les Utilisateurs ;
• enquêter sur une violation des Conditions ;
• conserver les preuves nécessaires ;
• prendre des mesures de sécurité ;
• coopérer avec les autorités lorsque la loi l’exige.

Ces traitements reposent, selon le cas, sur l’exécution du contrat, la protection des personnes, le respect d’une obligation légale, le consentement ou l’intérêt légitime de ROBY à sécuriser la Plateforme et à défendre ses droits.

4.7 Prévention de la fraude et sécurité informatique

Les données sont traitées pour :

• détecter les faux comptes et faux documents ;
• empêcher l’usurpation d’identité ;
• détecter les Courses fictives ;
• identifier les manipulations de prix, de localisation ou de paiement ;
• protéger les comptes ;
• détecter les accès non autorisés ;
• prévenir les attaques informatiques ;
• sécuriser les systèmes et les transactions.

Ces traitements reposent sur les obligations de sécurité de ROBY et sur son intérêt légitime à protéger la Plateforme, ses Utilisateurs et ses partenaires.

4.8 Évaluations et qualité du Service

Les données sont traitées pour :

• permettre les évaluations réciproques ;
• vérifier la qualité et la sécurité des Services ;
• identifier les comportements graves ou répétés ;
• améliorer la formation et l’accompagnement des Chauffeurs ;
• mesurer la satisfaction ;
• améliorer l’application.

Les évaluations ne doivent pas être utilisées seules pour prendre une décision définitive produisant un effet significatif sans possibilité de vérification et de contestation.

4.9 Communications commerciales

Avec le consentement de l’Utilisateur lorsque celui-ci est requis, ROBY peut utiliser son adresse électronique, son numéro de téléphone ou les notifications de l’application pour :

• présenter de nouvelles fonctionnalités ;
• adresser des offres promotionnelles ;
• informer sur les programmes de fidélité ou de parrainage ;
• proposer des services partenaires.

L’Utilisateur peut retirer son consentement ou se désabonner à tout moment.

Les messages indispensables au fonctionnement du compte, à la sécurité, aux Courses ou aux paiements ne constituent pas des communications commerciales et peuvent continuer à être envoyés tant que le compte reste actif.

4.10 Statistiques, recherche et amélioration

ROBY peut utiliser des données agrégées ou rendues anonymes pour :

• établir des statistiques de mobilité ;
• analyser la qualité du Service ;
• améliorer les itinéraires et temps d’arrivée ;
• améliorer la sécurité ;
• développer de nouvelles fonctionnalités ;
• réaliser des études économiques ou opérationnelles ;
• aider les autorités publiques à comprendre les besoins de mobilité lorsque ce partage est légalement autorisé.

Lorsqu’une donnée a été effectivement anonymisée de manière irréversible, elle ne permet plus d’identifier un Utilisateur et ne constitue plus une donnée personnelle.

Aucune donnée permettant d’identifier directement un Utilisateur n’est communiquée à une administration, une collectivité ou un partenaire à des fins statistiques sans base légale, autorisation ou information appropriée.

Article 5. Autorisations du téléphone et fonctionnalités mobiles

L’application peut demander l’accès :

• à la localisation, pour rechercher un Chauffeur, organiser une Course, fournir la navigation et assurer la sécurité ;
• à l’appareil photo, pour photographier un document, un véhicule ou un élément justificatif ;
• à la photothèque, pour transmettre un document ou une preuve choisie par l’Utilisateur ;
• au microphone, uniquement lorsqu’une fonction choisie par l’Utilisateur nécessite l’enregistrement d’un message ou un appel ;
• aux notifications, pour informer de l’arrivée du Chauffeur, du déroulement de la Course, d’un paiement ou d’un message de sécurité ;
• au téléphone, pour permettre l’appel d’un Chauffeur, d’un Passager, de l’assistance ou d’un service d’urgence ;
• aux contacts, uniquement si l’Utilisateur choisit une fonction nécessitant de sélectionner un contact de confiance.

ROBY ne télécharge pas l’intégralité du carnet d’adresses lorsque seule la sélection d’un contact est nécessaire.

L’Utilisateur peut modifier les autorisations dans les réglages de son téléphone. Certaines fonctionnalités peuvent ne plus fonctionner si une autorisation indispensable est retirée.

Article 6. Destinataires des données

Les données sont accessibles uniquement aux personnes et organismes qui doivent en connaître pour une finalité déterminée.

6.1 Personnel et sociétés du groupe ROBY

Les données peuvent être accessibles aux collaborateurs habilités chargés :

• du service client ;
• de la vérification des Chauffeurs ;
• de la sécurité ;
• de la prévention de la fraude ;
• des paiements ;
• de la comptabilité ;
• des affaires juridiques ;
• de la maintenance technique ;
• de la direction, dans la limite de ses responsabilités.

Les accès sont limités selon les fonctions exercées et font l’objet de mesures de contrôle.

6.2 Informations communiquées entre Passager et Chauffeur

Lors d’une mise en relation, le Chauffeur peut recevoir :

• le prénom ou le pseudonyme du Passager ;
• le lieu de prise en charge ;
• la destination ou les informations nécessaires à la Course ;
• le nombre de Passagers ;
• les besoins particuliers communiqués ;
• un moyen de communication temporaire ou protégé.

Le Passager peut recevoir :

• le nom et la photographie du Chauffeur ;
• sa catégorie professionnelle ;
• les informations permettant d’identifier le véhicule ;
• le numéro d’immatriculation ;
• son temps d’arrivée estimé ;
• certaines informations de réputation ou de qualité lorsque la fonctionnalité est proposée.

ROBY limite ces informations à ce qui est nécessaire à l’identification, à la sécurité et à l’exécution de la Course.

6.3 Prestataires techniques

Les données peuvent être confiées à des prestataires fournissant :

• l’hébergement et le stockage souverain au Maroc ;
• la cartographie et la navigation ;
• l’envoi de SMS, notifications et courriers électroniques ;
• les communications téléphoniques protégées ;
• l’assistance clientèle ;
• l’analyse des performances et incidents techniques ;
• la cybersécurité ;
• la vérification de documents ;
• la prévention de la fraude ;
• les paiements et services financiers.

Ces prestataires n’accèdent aux données que dans la mesure nécessaire à leur mission. Ils sont liés par des obligations contractuelles de confidentialité, de sécurité, de limitation des finalités et de suppression ou restitution des données.

La liste actualisée des principales catégories de prestataires et, lorsque cela est requis, leur identité et leur pays d’établissement, peut être obtenue en écrivant via le formulaire de contact.

6.4 Autorités et organismes compétents

ROBY peut communiquer des données :

• lorsqu’une loi ou une décision de justice l’exige ;
• à la demande régulière d’une autorité compétente ;
• pour signaler une infraction ou un danger grave ;
• pour défendre ses droits en justice ;
• pour protéger la vie, l’intégrité ou la sécurité d’une personne ;
• aux autorités administratives chargées de vérifier les taxis, les véhicules touristiques, les agréments, les permis de confiance et les autorisations d’exploitation.

ROBY vérifie, dans la mesure du possible, la base légale, la compétence et la portée de toute demande avant de communiquer des données.

6.5 Assureurs, conseils et partenaires professionnels

Les données strictement nécessaires peuvent être communiquées :

• aux assureurs ;
• aux avocats, experts et commissaires aux comptes ;
• aux titulaires d’agréments ;
• aux propriétaires ou exploitants autorisés ;
• aux entreprises de transport touristique ;
• aux banques et prestataires financiers ;
• aux partenaires intervenant directement dans le traitement d’une réclamation ou d’un incident.

Aucun partenaire ne peut utiliser ces données pour ses propres campagnes commerciales sans fondement légal et sans information appropriée des personnes.

6.6 Absence de vente des données

ROBY Technologies ne vend pas, ne loue pas et n’échange pas les données personnelles de ses Utilisateurs contre rémunération.

ROBY Technologies ne communique pas les trajets individualisés des Utilisateurs à des annonceurs.

Les données générées par la mobilité ne peuvent être utilisées par un partenaire pour constituer sa propre base commerciale ou prendre le contrôle de la relation entre ROBY Technologies et ses Utilisateurs.

Article 7. Souveraineté et hébergement des données au Maroc

7.1 Principe de souveraineté

La souveraineté des données constitue un engagement central de ROBY Technologies.

Les données principales exploitées par ROBY, notamment les données relatives aux comptes, aux Chauffeurs, aux Passagers, aux véhicules, aux agréments, aux Courses, aux trajets, aux documents professionnels, aux opérations et aux incidents, ainsi que leurs sauvegardes, sont hébergées au Maroc dans un cloud souverain reposant sur un data center souverain situé sur le territoire marocain.

Cette architecture permet à ROBY de conserver la maîtrise de ses données stratégiques et de limiter leur exposition à des infrastructures ou juridictions étrangères.

L’hébergement au Maroc constitue un élément essentiel de la protection des Utilisateurs, de la maîtrise technologique de ROBY et de la souveraineté numérique attachée aux données de mobilité.

7.2 Bases de données et sauvegardes au Maroc

Les bases de données principales de ROBY et leurs sauvegardes sont conservées sur le territoire marocain.

Le prestataire d’hébergement doit présenter des garanties suffisantes en matière :

• de localisation des infrastructures ;
• de contrôle des accès ;
• de chiffrement ;
• de sauvegarde ;
• de continuité d’activité ;
• de restauration des données ;
• de journalisation des opérations ;
• de gestion des incidents ;
• de confidentialité ;
• de respect de la loi marocaine n° 09-08.

Les accès techniques aux infrastructures sont limités aux personnes habilitées et nécessaires au fonctionnement, à la maintenance et à la sécurité de la Plateforme.

7.3 Absence de délocalisation de la base de données ROBY

ROBY Technologies ne délocalise pas sa base principale de données personnelles ni ses sauvegardes en dehors du Maroc dans le cadre de son architecture normale d’hébergement.

Les données de mobilité ne sont ni vendues, ni louées, ni mises à la disposition d’une entreprise étrangère pour lui permettre de constituer sa propre base d’Utilisateurs, d’exploiter commercialement les trajets ou de prendre le contrôle des données générées par la mobilité marocaine.

Les données restent placées sous la responsabilité de ROBY Technologies et sous le contrôle du droit marocain, sans préjudice des demandes légalement formulées par les autorités compétentes.

7.4 Prestataires techniques et accès depuis l’étranger

L’hébergement souverain de la base principale n’exclut pas que certaines fonctionnalités techniques puissent nécessiter l’intervention ponctuelle d’un fournisseur tiers, notamment pour la cartographie, les notifications, les communications, la détection des incidents, la maintenance ou les paiements.

Avant d’utiliser un prestataire susceptible d’accéder à des données depuis l’étranger ou de recevoir des données en dehors du Maroc, ROBY :

• vérifie si cet accès ou cette transmission constitue un transfert à l’étranger ;
• limite les données au strict nécessaire ;
• vérifie les garanties de confidentialité et de sécurité du prestataire ;
• encadre contractuellement le traitement ;
• accomplit les formalités requises auprès de la CNDP ;
• informe les Utilisateurs lorsque la réglementation l’exige.

Aucun transfert régulier de données personnelles à l’étranger ne peut être mis en œuvre sans les garanties et autorisations requises.

7.5 Transferts soumis à la loi marocaine

Lorsqu’un transfert ponctuel ou limité de données à l’étranger est nécessaire, ROBY applique les articles 43 et 44 de la loi n° 09-08 et accomplit les formalités requises auprès de la CNDP.

Les garanties peuvent notamment comprendre :

• la reconnaissance d’un niveau de protection suffisant ;
• le consentement exprès de la personne lorsque ce fondement est légalement approprié ;
• des clauses contractuelles encadrant le transfert ;
• des règles internes contraignantes pour les transferts au sein d’un groupe ;
• toute autre garantie admise ou approuvée par la CNDP.

Pour les données soumises au RGPD, les transferts hors de l’Espace économique européen reposent sur une décision d’adéquation, des clauses contractuelles types approuvées par la Commission européenne ou un autre mécanisme prévu par les articles 44 et suivants du RGPD.

L’Utilisateur peut demander des informations sur les garanties applicables à un transfert en écrivant via le formulaire de contact.

7.6 Données anonymisées et données institutionnelles

ROBY peut produire des statistiques anonymisées et agrégées relatives à la mobilité, à la demande de transport, aux zones de prise en charge, aux temps d’attente, à la disponibilité des véhicules ou à la qualité du Service.

Ces informations peuvent être utilisées pour améliorer la mobilité, accompagner les autorités marocaines et contribuer à la planification des politiques publiques.

Aucune donnée directement identifiable concernant un Chauffeur ou un Passager n’est communiquée à cette fin sans base légale, information appropriée et respect des formalités applicables.

La souveraineté des données consiste à conserver au Maroc leur hébergement, leur gouvernance, leur contrôle, leur valeur économique et leur utilisation au service des Chauffeurs, des Passagers et des institutions marocaines.

Article 8. Durées de conservation

ROBY ne conserve les données que pendant la durée nécessaire à la finalité pour laquelle elles ont été collectées, augmentée, lorsque cela est justifié, des délais nécessaires au respect d’une obligation légale, à l’établissement d’une preuve ou à la défense d’un droit.

8.1 Durées principales

Sous réserve d’une durée différente imposée par la loi ou validée dans les formalités accomplies auprès de la CNDP :

• les données du compte sont conservées pendant la durée d’activité du compte, puis pendant cinq ans à compter de sa fermeture ou de la dernière opération significative ;
• les documents de vérification du Chauffeur sont conservés pendant la durée de validation et d’activité du compte, puis pendant cinq ans à compter de la fin de la relation, sauf obligation différente ;
• les candidatures Chauffeur refusées ou incomplètes sont conservées pendant douze mois à compter de la dernière interaction, sauf fraude suspectée ou obligation légale ;
• l’historique des Courses est conservé pendant cinq ans à compter de la Course ;
• les données précises de trajet et de géolocalisation associées à une Course sont conservées pendant la durée nécessaire au suivi et à la sécurité, puis avec l’historique de la Course lorsque cela est nécessaire à la preuve, au traitement d’une fraude ou à la gestion d’une réclamation ;
• les données de géolocalisation sans lien utile avec une Course sont supprimées ou anonymisées dans un délai maximal de douze mois ;
• les paiements, crédits Chauffeur, factures et écritures comptables sont conservés pendant la durée imposée par les règles fiscales, comptables, bancaires et de lutte contre la fraude applicables ;
• les demandes d’assistance ordinaires sont conservées pendant trois ans après leur clôture ;
• les dossiers d’accident, de fraude, d’agression ou de contentieux sont conservés pendant la durée de la procédure, puis pendant le délai légal de prescription applicable ;
• les enregistrements d’appels, lorsqu’ils sont autorisés, sont conservés pendant quatre-vingt-dix jours, sauf lorsqu’ils sont nécessaires à l’examen d’un incident ou d’un litige ;
• les journaux techniques et de sécurité sont conservés pendant douze mois, sauf incident nécessitant une conservation plus longue ;
• les données de prospection sont conservées jusqu’au retrait du consentement ou pendant la durée maximale autorisée à compter du dernier contact actif ;
• la preuve du retrait du consentement ou de l’opposition est conservée aussi longtemps que nécessaire pour respecter le choix de la personne.

8.2 Suspension des suppressions

Une donnée peut être conservée plus longtemps lorsqu’elle est nécessaire :

• à une enquête ;
• à une procédure judiciaire ;
• à une demande d’une autorité ;
• à la défense d’un droit ;
• à la prévention d’une fraude identifiée ;
• au respect d’une obligation légale.

Dans ce cas, son accès est limité aux personnes chargées du dossier.

8.3 Anonymisation

À l’expiration des durées de conservation, les données sont supprimées ou rendues anonymes de manière irréversible.

Les données anonymisées peuvent être conservées à des fins statistiques, de recherche, de planification de la mobilité ou d’amélioration des services, dans le respect des formalités requises.

Article 9. Droits des personnes

9.1 Droits prévus par la loi marocaine

Conformément à la loi n° 09-08, toute personne justifiant de son identité peut exercer :

• son droit d’être informée des traitements ;
• son droit d’accès aux données la concernant ;
• son droit de rectification des données inexactes ou incomplètes ;
• son droit d’opposition, pour des motifs légitimes, à certains traitements ;
• son droit de s’opposer à l’utilisation de ses données à des fins de prospection directe.

9.2 Droits supplémentaires applicables dans l’Union européenne

Lorsque le RGPD est applicable, la personne peut également demander, selon les conditions prévues par la réglementation :

• l’effacement de ses données ;
• la limitation du traitement ;
• la portabilité des données fournies ;
• le retrait de son consentement ;
• l’opposition à un traitement fondé sur l’intérêt légitime ;
• l’opposition à la prospection commerciale ;
• une intervention humaine concernant une décision individuelle automatisée ;
• des informations sur les transferts internationaux ;
• l’introduction d’une réclamation auprès de l’autorité de contrôle compétente.

9.3 Exercice des droits

Les demandes peuvent être adressées :

• via le formulaire de contact, avec l’objet « Exercice de mes droits » ;
• par courrier postal au siège de ROBY Technologies, à l’attention du Référent protection des données.

La demande doit permettre d’identifier le compte concerné et préciser le droit exercé.

ROBY peut demander un justificatif d’identité lorsqu’il existe un doute raisonnable sur l’identité du demandeur. Seules les informations strictement nécessaires à cette vérification sont demandées.

Il est recommandé de masquer sur la copie du document d’identité les informations non nécessaires à la vérification, sous réserve des exigences légales applicables.

ROBY répond dans les délais prévus par la réglementation applicable. Lorsque le RGPD est applicable, la réponse est apportée, en principe, dans un délai d’un mois, sauf prolongation autorisée en raison de la complexité ou du nombre de demandes.

L’exercice d’un droit est gratuit, sauf demande manifestement infondée ou excessive dans les conditions prévues par la loi.

9.4 Limites aux droits

Certaines données ne peuvent pas être immédiatement supprimées lorsque leur conservation est nécessaire :

• à l’exécution d’une Course ou d’un paiement en cours ;
• au respect d’une obligation légale ;
• à la comptabilité ;
• à la prévention de la fraude ;
• à la sécurité ;
• à la constatation, l’exercice ou la défense d’un droit en justice.

ROBY explique, dans la mesure permise par la loi, les motifs d’un refus ou d’une limitation.

9.5 Réclamation auprès d’une autorité

Au Maroc, l’Utilisateur peut saisir la Commission nationale de contrôle de la protection des données à caractère personnel :

CNDP

Avenue Al Arz, Secteur 4, M1, Hay Riad, Rabat, Maroc

Site internet : www.cndp.ma

Lorsqu’il se trouve dans l’Union européenne, l’Utilisateur peut également saisir l’autorité de protection des données compétente dans son pays de résidence, son lieu de travail ou le lieu de la violation alléguée.

Article 10. Sécurité et violations de données

10.1 Mesures de sécurité

ROBY met en œuvre des mesures techniques et organisationnelles adaptées à la nature des données et aux risques, notamment :

• l’hébergement des données principales et des sauvegardes au Maroc ;
• le chiffrement des communications ;
• le chiffrement ou la protection renforcée des données sensibles lorsque cela est approprié ;
• la séparation des environnements techniques ;
• le contrôle des droits d’accès ;
• l’authentification renforcée des comptes sensibles et administratifs ;
• la journalisation des accès et opérations critiques ;
• la sauvegarde et la restauration des données ;
• la surveillance des incidents ;
• la protection contre les logiciels malveillants ;
• les mises à jour de sécurité ;
• les tests de vulnérabilité ;
• la limitation des accès des prestataires ;
• les engagements de confidentialité ;
• la formation des collaborateurs ;
• les procédures de gestion des incidents ;
• la suppression ou l’anonymisation des données arrivées au terme de leur durée de conservation.

Les documents d’identité, permis de conduire, permis de confiance, agréments, autorisations d’exploitation et informations financières font l’objet de restrictions d’accès renforcées.

10.2 Responsabilité de l’Utilisateur

L’Utilisateur doit :

• protéger son téléphone et ses identifiants ;
• utiliser un code de verrouillage ;
• ne pas partager ses codes de vérification ;
• ne pas prêter son compte ;
• maintenir son système et son application à jour ;
• informer immédiatement ROBY en cas de perte, de vol ou d’accès non autorisé.

Aucun système informatique ne pouvant offrir une sécurité absolue, ROBY ne peut garantir l’absence de tout incident malgré les mesures mises en place.

10.3 Gestion des violations

En cas de violation susceptible de présenter un risque pour les personnes, ROBY :

• prend les mesures nécessaires pour contenir et corriger l’incident ;
• évalue la nature des données et les conséquences possibles ;
• conserve les éléments nécessaires à l’analyse ;
• informe la CNDP ou toute autre autorité compétente lorsque la loi l’exige ;
• informe les personnes concernées lorsqu’une telle information est légalement requise ;
• documente l’incident et les mesures correctrices.

Lorsque le RGPD est applicable, une violation présentant un risque pour les droits et libertés des personnes est notifiée à l’autorité compétente dans le délai légal applicable, en principe dans les soixante-douze heures après sa découverte.

Article 11. Décisions automatisées, classement et prévention de la fraude

ROBY peut utiliser des systèmes automatisés pour :

• identifier les Chauffeurs disponibles ;
• calculer leur distance et leur temps d’arrivée ;
• organiser l’affichage des demandes ;
• détecter des incohérences de paiement ou de localisation ;
• attribuer un niveau de risque à une opération ;
• détecter des comportements susceptibles de constituer une fraude ;
• limiter temporairement une fonctionnalité en cas de risque immédiat ;
• améliorer la qualité et la sécurité du Service.

Les critères utilisés peuvent notamment inclure la localisation, la catégorie de véhicule, la disponibilité, le temps d’approche, la conformité des documents, les annulations, les incidents de sécurité et les préférences exprimées par le Passager.

Une évaluation défavorable ou un signal automatisé ne doit pas entraîner, à lui seul, une fermeture définitive du compte produisant un effet significatif sans vérification appropriée.

ROBY peut prendre une mesure conservatoire automatisée et temporaire lorsqu’elle est nécessaire pour prévenir une fraude, protéger un compte ou répondre à un danger immédiat.

L’Utilisateur peut demander une intervention humaine, présenter ses observations et contester une décision affectant significativement son compte.

Article 12. Cookies, traceurs et mesure d’audience

Le site et l’application peuvent utiliser des cookies, identifiants mobiles, pixels, SDK et technologies similaires.

12.1 Traceurs strictement nécessaires

Ces traceurs peuvent être utilisés sans consentement préalable lorsqu’ils sont indispensables :

• à la connexion ;
• à l’authentification ;
• à la sécurité ;
• à la mémorisation des choix indispensables ;
• au fonctionnement de la réservation ou du paiement ;
• à la prévention de la fraude ;
• à l’équilibrage technique du service.

12.2 Mesure d’audience et amélioration

Des outils peuvent mesurer :

• le nombre de visites ;
• les écrans consultés ;
• les erreurs techniques ;
• les performances ;
• l’utilisation des fonctionnalités ;
• les parcours généraux dans l’application.

Lorsque la loi l’exige, ces outils ne sont activés qu’après le consentement de l’Utilisateur.

12.3 Publicité et personnalisation

ROBY n’utilise des traceurs publicitaires, des identifiants publicitaires ou des technologies de personnalisation commerciale qu’après avoir recueilli le consentement requis.

Le refus doit pouvoir être exprimé aussi facilement que l’acceptation lorsque cette règle est applicable.

L’Utilisateur peut modifier son choix à tout moment depuis les paramètres de confidentialité ou l’outil de gestion des cookies.

Une Politique relative aux cookies distincte précise les outils effectivement utilisés, leur fournisseur, leur finalité et leur durée.

Article 13. Mineurs et personnes sous protection

La création d’un compte ROBY est réservée aux personnes âgées d’au moins dix-huit ans et juridiquement capables de contracter.

ROBY ne cherche pas à collecter sciemment les données d’un mineur titulaire d’un compte.

Un mineur peut être transporté lorsqu’il accompagne un adulte responsable ou lorsque le Service, la réglementation et les mesures de sécurité autorisent expressément sa prise en charge.

Lorsqu’un adulte communique des informations concernant un mineur ou une personne placée sous sa responsabilité, il garantit être autorisé à le faire et limite les informations à ce qui est nécessaire au Service.

Si ROBY apprend qu’un compte a été créé directement par un mineur en violation des Conditions, elle peut le suspendre, demander les vérifications nécessaires et supprimer les données qui ne doivent pas être conservées.

Article 14. Modification de la politique

ROBY peut modifier la présente Politique pour tenir compte :

• d’une évolution légale ou réglementaire ;
• d’une modification des services ;
• de l’ajout d’une fonctionnalité ;
• d’un changement de prestataire ;
• d’un nouveau traitement ;
• d’une évolution des mesures de sécurité.

La date de mise à jour figure en tête de la Politique.

Toute modification importante est portée à la connaissance des Utilisateurs par l’application, le site, une notification ou un courrier électronique.

Lorsque le consentement est nécessaire pour une nouvelle finalité, ROBY recueille ce consentement avant de mettre en œuvre le traitement concerné.

Les anciennes versions peuvent être conservées afin de démontrer les informations communiquées aux Utilisateurs à une date donnée.

Article 15. Langues et accessibilité

La présente Politique doit être mise à la disposition des Utilisateurs dans une langue claire et compréhensible.

Pour le Maroc, une version en langue arabe accompagne la version française conformément aux exigences applicables à l’information des consommateurs.

Dans les autres pays, ROBY fournit les traductions et informations locales nécessaires.

En cas de divergence entre les versions, les règles impératives du pays dans lequel le Service est fourni prévalent.

Article 16. Contact

Pour toute question, réclamation ou demande relative à la protection des données personnelles :

Écrivez-nous via le formulaire de contact en indiquant l’objet « Protection des données personnelles ».

Pour faciliter le traitement de la demande, l’Utilisateur peut préciser :

• son nom et son prénom ;
• le numéro de téléphone ou l’adresse électronique liés au compte ;
• son statut de Passager, de Chauffeur ou de partenaire ;
• l’objet précis de sa demande ;
• la Course ou l’opération concernée, le cas échéant.

ROBY ne demande jamais à un Utilisateur de communiquer son mot de passe ou un code de connexion à usage unique pour exercer ses droits.