Protection des données
Cette notice est écrite pour être comprise, pas pour être opposée. Elle décrit ce que la plateforme enregistre réellement, la raison de chaque enregistrement, la durée pendant laquelle il est conservé, les personnes qui peuvent le consulter, et les moyens dont vous disposez pour refuser, retirer, obtenir une copie ou faire effacer vos données — par la voix, par SMS ou par écrit, sans savoir lire ni écrire.
Statut de cette notice
Cette notice décrit la conception et le fonctionnement de la plateforme tels qu'ils sont aujourd'hui. Elle est en cours de revue avec l'autorité nationale compétente et avec les ministères concernés avant l'ouverture publique. Le responsable de traitement doit être désigné avant tout lancement : sa désignation est une condition de lancement du programme, au même titre que l'analyse d'impact relative à la protection des données et le calendrier de conservation.
Qui traite vos données
Responsable de traitement. L'institution publique qui porte le programme dans votre province — un ministère ou le programme national — détermine les finalités et les moyens du traitement. Sa désignation formelle est un préalable au lancement : tant qu'elle n'est pas publiée, aucun déploiement public n'est autorisé.
Sous-traitant. Groupe Nseya Digital / JNN Global Ltd exploite la plateforme pour le compte de cette institution, sur instruction documentée, dans le cadre d'un contrat de sous-traitance qui doit être signé avant toute mise en service.
Le détail
Ce tableau est la référence. Tout ce qui n'y figure pas n'est pas collecté.
| Donnée | Finalité | Base | Conservation | Qui peut la voir |
|---|---|---|---|---|
| Identifiants de contact | Vous reconnaître d'une session à l'autre et vous rappeler | Consentement au service | Le temps du compte ; effacés ou remplacés par un jeton irréversible sur demande d'effacement | Vous, et l'agent qui traite votre cas |
| Enregistrements vocaux | Transcrire ce que vous dites | Consentement au service | 90 jours par défaut, paramétrable par programme | Vous, l'agent qui traite votre cas, l'équipe technique en cas d'incident tracé |
| Transcriptions et traductions | Comprendre la demande et permettre à un humain de reprendre le dossier | Consentement au service | Avec le dossier structuré correspondant ; effacées sur demande | Vous et l'agent qui traite votre cas |
| Photos de cultures et d'animaux | Identifier une maladie ou un ravageur probable | Consentement au service | 12 mois | Vous et l'agent agricole du territoire |
| Réponses de triage en santé | Déterminer le niveau de gravité et la conduite à tenir | Consentement explicite (donnée de santé) | Selon la politique du ministère de tutelle ; effaçables sous réserve d'obligation légale | Vous et le relais communautaire ou l'agent de santé saisi |
| État de grossesse | Adapter l'orientation et les rappels | Consentement explicite et distinct | Selon la politique du ministère de tutelle | Vous et l'agent de santé saisi |
| Profil d'apprenant et preuves d'apprentissage | Adapter les explications au niveau et suivre les acquis | Consentement explicite et distinct pour un profil enfant | Selon la politique du ministère de tutelle | L'apprenant, le parent ou le tuteur, l'enseignant référent |
| Localisation au niveau de la province et du territoire | Orienter vers la structure la plus proche et produire des statistiques territoriales | Consentement au service | Avec le dossier correspondant | Vous et l'agent du territoire ; en agrégé pour les institutions |
| Localisation précise | Orienter avec plus d'exactitude | Consentement distinct, refusable sans perdre le service | Avec le dossier correspondant ; supprimée au retrait du consentement | Vous et l'agent qui traite votre cas |
| Accusés de livraison des messages | Savoir si un rappel ou une alerte vous est parvenu | Consentement aux rappels, ou intérêt vital pour une alerte d'urgence | 12 mois | L'exploitation du programme |
| Dossiers relevant de la protection des personnes | Protéger une personne exposée à des violences, de l'exploitation ou un danger immédiat | Intérêt vital et obligation de protection | Selon la politique de protection applicable | Uniquement les personnes habilitées, dans un espace restreint |
| Registre de consommation et journaux techniques | Facturer le programme, exploiter et sécuriser le service | Intérêt légitime de l'institution qui porte le programme | Journaux de requêtes 90 jours, journaux d'usage 24 mois, registre de consommation 7 ans | L'exploitation du programme et l'administration |
| Journal d'audit | Prouver ce que le programme et ses agents ont fait | Obligation légale et redevabilité | Durée statutaire ; survit à une demande d'effacement | Les rôles habilités à l'audit ; toute consultation est elle-même journalisée |
| Corpus linguistique vérifié | Améliorer la compréhension des langues nationales | Consentement distinct de recherche, refusable | Selon la politique du programme ; l'échantillon est vidé de son texte à l'effacement | Les relecteurs habilités ; export dé-identifié et tracé |
Ne sont jamais collectés : données de carte bancaire, données biométriques d'identification, opinions politiques, religieuses ou syndicales, orientation sexuelle. Il n'existe dans la plateforme aucun traitement de publicité, de profilage commercial, de courtage de données ni d'enrichissement auprès de tiers, et ces traitements ne doivent jamais y être ajoutés.
Vos choix
Le consentement n'est pas une case unique à cocher au début. Chaque finalité est demandée séparément, dans votre langue, avec la version du texte qui vous a été lu, la méthode utilisée — voix, touche, USSD ou saisie par un agent — et, si quelqu'un répond pour vous, la raison pour laquelle il le fait.
| Finalité | Ce qu'elle autorise | Peut-on la refuser ? |
|---|---|---|
| Service | Traiter votre demande, transcrire, comprendre, répondre et ouvrir un cas si nécessaire. | Indispensable pour utiliser le service. |
| Rappels | Vous envoyer des rappels de vaccination, de consultation prénatale, de semis ou de révision. | Refusable. Le service fonctionne sans. |
| Localisation précise | Affiner l'orientation vers une structure proche. | Refusable. L'orientation se fait alors au niveau du territoire. |
| Analytique | Compter et agréger l'usage pour piloter le programme. | Refusable. |
| Recherche et amélioration des modèles | Utiliser vos échanges, dé-identifiés, pour améliorer la compréhension des langues nationales. | Refusable. Aucun modèle de tiers n'est entraîné sur vos données sans ce consentement. |
| Partage avec un partenaire | Permettre à une organisation partenaire nommée d'accéder à votre dossier dans le cadre du programme. | Refusable. |
| Orientation entre programmes | Transmettre votre cas d'un programme à un autre lorsqu'il relève d'un autre service. | Refusable. |
| Données de grossesse | Adapter l'orientation, les rappels et le niveau de vigilance. | Refusable, avec un consentement explicite et séparé. |
| Profil enfant | Créer un profil d'apprenant et suivre les acquis d'un enfant. | Refusable, avec un consentement explicite et séparé. |
Un consentement est un événement, jamais une valeur écrasée : accorder puis retirer laisse deux enregistrements horodatés, ce qui permet de savoir à tout moment ce qui était autorisé au moment d'un traitement. Le consentement est revérifié à l'instant de l'envoi pour chaque rappel et chaque message de masse : retirer le consentement aux rappels annule immédiatement ceux qui étaient déjà programmés.
Refuser une finalité facultative ne vous prive jamais du service de base : vous pouvez toujours poser votre question, obtenir une orientation et être mis en relation avec un humain.
La capture d'une preuve enregistrée du consentement vocal est un développement prévu : aujourd'hui, la version du script, la langue, la méthode et l'horodatage sont enregistrés, mais l'enregistrement audio de la phrase de consentement ne l'est pas systématiquement.
Protections renforcées
Minimisation
Vos droits
| Droit | Ce que vous obtenez | Délai |
|---|---|---|
| Accès | Une copie de tout ce que la plateforme détient sur vous : vos échanges, vos cas, vos consentements, vos messages, vos fichiers et vos dossiers de domaine. | 30 jours |
| Rectification | La correction d'une information inexacte vous concernant. | 30 jours |
| Effacement | La suppression des médias et le remplacement de ce qui vous identifie par un jeton irréversible. Le journal d'audit est conservé : il ne contient aucune donnée personnelle en texte libre et prouve ce que le programme a fait. | 30 jours |
| Opposition | L'arrêt d'un traitement facultatif vous concernant. | 30 jours |
| Retrait d'un consentement | L'arrêt immédiat de la finalité concernée, y compris des rappels déjà programmés. | Immédiat |
| Réclamation | La saisine de l'autorité nationale de protection des données, sans passer d'abord par le programme. | — |
Chaque demande ouvre un dossier avec une échéance de trente jours, suivie automatiquement : une demande en retard est signalée aux responsables. Les demandes d'accès et d'effacement suivent un circuit outillé de bout en bout ; la rectification et l'opposition sont traitées par l'équipe de protection des données, dans le même délai.
Sécurité
Le cloisonnement au niveau des lignes de la base de données est aujourd'hui appliqué par l'application et non par le moteur de base de données ; son renforcement est le point de sécurité ouvert le plus important du programme et il est prévu en phase 3. Le chiffrement au niveau du champ pour les données les plus sensibles est également prévu.
Destinataires
| Catégorie de destinataire | Ce qu'il reçoit | Ce qu'il ne reçoit jamais |
|---|---|---|
| Fournisseurs d'intelligence artificielle (transcription, compréhension, analyse d'image, synthèse vocale) | Un extrait audio, un texte pseudonymisé, une image sans métadonnées, ou le texte à prononcer. | Votre nom, votre numéro, votre identifiant de dossier, votre historique. |
| Opérateurs de téléphonie et de messagerie | Le numéro de destination et le texte du message, strict minimum pour livrer. | Le contenu de votre dossier ; les sujets sensibles sont formulés de manière neutre. |
| Hébergement et stockage | Les données chiffrées en transport, dans la région d'hébergement du programme. | Aucun accès applicatif aux dossiers. |
| Service de prévision météorologique | Le centre géographique d'une province. | Votre position, jamais. |
| Ministères, ONG et bailleurs | Des chiffres agrégés, avec définition, période, dénominateur et suppression des petits effectifs ; les cas nominatifs uniquement dans le territoire et le module qui les concernent. | Les dossiers relevant de la protection des personnes ; les données d'un autre programme. |
Le programme ne s'engage sur aucun nom de fournisseur : les fournisseurs sont interchangeables derrière une passerelle unique, et la liste effective de ceux qui sont activés à un instant donné est documentée et annexée au contrat de sous-traitance, avec les garanties applicables aux transferts hors du pays. Cette liste est communicable sur demande à contact@congovoicecd.com.
L'objectif du programme est que tout reste en République Démocratique du Congo. Il n'existe aujourd'hui aucune région d'hébergement dans le pays : le pilote fonctionne donc depuis la plus proche disponible, et migrera dès qu'une option nationale existera. Le calendrier de ce transfert est une décision de programme.
Cette limite n'est pas seulement documentée, elle est appliquée par la plateforme. Chaque déploiement déclare la liste des juridictions vers lesquelles les données d'un citoyen peuvent être envoyées ; une destination hors de cette liste n'est jamais activée, de sorte qu'aucun ordre de priorité, aucune reprise et aucun repli ne peut l'atteindre. Le contrôle de disponibilité signale l'écart entre ce qui est déclaré et ce qui est configuré.
Déplacer le serveur ne déplace pas le modèle : un enregistrement vocal envoyé à un service de transcription établi à l'étranger a quitté le pays, que le serveur soit à Johannesburg ou à Kinshasa. Sous la politique la plus stricte, la plateforme refuse tout fournisseur distant et continue de fonctionner en mode hors ligne — le tri par protocole, la détection des signes de danger et les scripts d'urgence n'ont jamais utilisé de modèle — mais elle cesse de comprendre la parole libre.
Incidents
Une violation de données suit une procédure écrite : détection — pic d'erreurs, taux d'échec d'un fournisseur, rupture de la chaîne d'audit, alerte d'urgence non prise en charge, demande d'exercice de droits en retard —, confinement, évaluation de la nature et du volume des données concernées à partir de l'identifiant de trace, notification, rétablissement puis retour d'expérience.
Le programme se conforme à une obligation de notification dans les soixante-douze heures à l'autorité compétente, et informe les personnes concernées lorsque la violation présente un risque élevé pour leurs droits. Le responsable de traitement désigné et le responsable sécurité sont alertés automatiquement en cas de rupture de la chaîne d'audit ou de demande d'exercice de droits dépassée.
Questions fréquentes
Le téléphone n'est pas votre identité. Une confirmation légère est demandée en début de session, et aucune conclusion de santé n'est enregistrée dans un profil réutilisable. C'est une protection délibérée, parce que les téléphones sont partagés dans beaucoup de ménages.
Pas sans votre accord distinct de recherche. Même avec cet accord, l'export du corpus est dé-identifié et tracé, et aucun ajustement de modèle n'est automatique. Sans cet accord, vos échanges ne quittent pas la plateforme à cette fin.
Oui. Une session anonyme est possible, et aucune adresse électronique ni aucun téléphone intelligent ne sont exigés.
Les médias sont supprimés, les textes libres sont vidés et ce qui vous identifie est remplacé par un jeton irréversible. Restent le journal d'audit — qui ne contient aucun texte personnel et prouve ce que le programme a fait — et les statistiques dé-identifiées, qui ne permettent plus de remonter jusqu'à vous.
Non. L'accès est limité au rôle, au module et au territoire, et les tableaux de bord ne montrent que des agrégats avec suppression des petits effectifs. Les tableaux de bord ne doivent jamais servir à sanctionner un village, une famille, un apprenant ou un exploitant.
Le service ne promet jamais le secret. Il vous croit, ne demande aucun détail, et prévient une personne formée à la protection. Le dossier est restreint dès son ouverture : aucun détail ne circule dans les notifications ordinaires ni dans les exports.
Dernière mise à jour : 6 septembre 2026. Cette notice est en cours de revue avec l'autorité nationale compétente et les ministères de tutelle avant l'ouverture publique ; elle sera republiée avec la désignation du responsable de traitement, le calendrier de conservation arrêté par domaine et la liste des sous-traitants effectivement activés. Voir aussi la gouvernance et la sécurité, les conditions d'utilisation et les questions fréquentes.
Vous pouvez demander une copie de vos données, leur correction ou leur effacement — par la voix, par SMS, par l'intermédiaire d'un agent, ou par écrit.