Documents légaux
Politique de confidentialité
Comment SERMA collecte, utilise et protège les données personnelles, et comment exercer vos droits.
Dernière mise à jour : 8 octobre 2026
01Qui est responsable de vos données ?
SERMA intervient selon deux rôles distincts :
| Situation | Rôle de SERMA | Responsable de traitement |
|---|---|---|
| Données des étudiants, enseignants et personnels gérées par un établissement sur la plateforme | Sous-traitant : nous traitons ces données uniquement sur instruction de l’établissement | L’établissement concerné |
| Demandes de démonstration ou d’essai, prospects, contacts commerciaux | Responsable de traitement | KMY SERVICES |
| Comptes utilisateurs (authentification, sécurité, journaux), relation client et facturation | Responsable de traitement | KMY SERVICES |
Si vous êtes étudiant ou membre du personnel d’un établissement, l’établissement est votre interlocuteur principal pour vos données : il en fixe les finalités et la durée de conservation.
02Nous contacter
Responsable de traitement : KMY SERVICES, RUE EL MANSOUR ABI AMER Q. DRISSIA 3EM ETG N 6 TANGER MAROC.
Contact données personnelles : contact@serma.app. Délégué à la protection des données : non designé.
03Données traitées
| Personnes concernées | Catégories de données |
|---|---|
| Prospects (formulaire de démonstration ou d’essai) | Nom, prénom, e-mail professionnel, téléphone, établissement, pays, ville, fonction, effectif, offre envisagée, message, langue |
| Utilisateurs de la plateforme | Identité, e-mail, rôle, préférences (langue, thème), mot de passe (haché), secret de double authentification (chiffré), journaux de connexion et d’activité (date, adresse IP, navigateur) |
| Étudiants (pour le compte des établissements) | État civil, coordonnées, photo, parcours et inscriptions, notes et résultats, assiduité et justificatifs, stages et soutenances, situation financière (échéanciers, paiements), documents et diplômes |
| Enseignants et personnels (pour le compte des établissements) | Identité, coordonnées, affectations, emplois du temps, heures et rémunération des vacataires |
| Contacts des clients | Identité, fonction, coordonnées, échanges, données de facturation |
Nous ne demandons pas de données sensibles au sens de la loi. Si un établissement en enregistre (par exemple un justificatif médical d’absence), il en assume la responsabilité et doit en limiter l’accès.
04Finalités et bases légales
| Finalité | Base légale |
|---|---|
| Répondre aux demandes de démonstration ou d’essai, ouvrir un espace d’essai | Mesures précontractuelles prises à votre demande ; consentement recueilli sur le formulaire |
| Fournir la plateforme aux établissements (comptes, fonctionnalités, support) | Exécution du contrat avec l’établissement |
| Sécuriser la plateforme (authentification, prévention des fraudes, journal d’audit) | Intérêt légitime ; obligations de sécurité |
| Facturation, comptabilité, recouvrement | Exécution du contrat ; obligations légales |
| Informer les clients des évolutions du service | Intérêt légitime (vous pouvez vous y opposer à tout moment) |
| Traitements des établissements (scolarité, notes, finances…) | Définie par l’établissement, responsable de traitement |
05Durées de conservation
| Données | Durée |
|---|---|
| Demandes de démonstration non suivies d’un contrat | 3 ans à compter du dernier contact |
| Comptes utilisateurs | Durée de l’abonnement de l’établissement, puis suppression selon la clause de restitution |
| Journaux de connexion et d’audit | 12 mois glissants (sauf durée plus longue fixée par l’établissement pour son journal d’audit) |
| Données des établissements | Durée du contrat + 30 jours de restitution, puis suppression sous 90 jours (sauvegardes comprises) |
| Factures et pièces comptables | Durée légale (10 ans) |
06Destinataires et sous-traitants
Les données sont accessibles aux seules personnes habilitées : équipes de l’établissement selon leurs droits, et personnel de SERMA en charge du support et de l’exploitation, tenu à la confidentialité. Nous ne vendons ni ne louons aucune donnée.
Nous faisons appel à des prestataires d’hébergement et d’envoi d’e-mails :
Vercel Inc.
Hébergement du site web et de l’interface
440 N Barranca Ave #4133, Covina, CA 91723, USA
vercel.comRailway Corp.
Hébergement de l’API et de la base de données
San Francisco, CA, USA
railway.comCloudflare, Inc.
Gestion du nom de domaine (DNS)
101 Townsend St, San Francisco, CA 94107, USA
www.cloudflare.com
Envoi des e-mails transactionnels : Brevo. La liste à jour des sous-traitants ultérieurs figure dans l’accord de traitement des données.
07Transferts hors du Maroc et de l’Union européenne
Certains prestataires sont établis aux États-Unis ou y hébergent des données. Ces transferts sont encadrés par des garanties appropriées : clauses contractuelles types de la Commission européenne ou mécanisme d’adéquation reconnu, et, pour les données soumises à la loi n° 09-08, autorisation ou déclaration auprès de la CNDP conformément à ses articles 43 et 44.
08Sécurité
- Isolation des établissements : chaque espace est cloisonné ; toutes les requêtes sont filtrées par établissement.
- Chiffrement en transit (HTTPS/TLS) sur l’ensemble du site, de l’API et des échanges avec la base de données.
- Contrôle d’accès par rôles (RBAC) et périmètres de données (campus, départements, filières).
- Double authentification (MFA) disponible pour tous les comptes ; mots de passe hachés, jetons de session à durée courte en cookies sécurisés (httpOnly).
- Journal d’audit des opérations sensibles, consultable par l’établissement.
- Sauvegardes régulières de la base de données et procédures de restauration.
- Limitation du débit, protection contre les attaques par force brute, mises à jour de sécurité régulières.
09Vos droits
Vous disposez des droits d’accès, de rectification, d’opposition (y compris à la prospection), de suppression et, lorsque le RGPD s’applique, de limitation et de portabilité, ainsi que du droit de retirer votre consentement à tout moment.
- Pour les données gérées par un établissement (étudiants, personnels) : adressez votre demande à l’établissement. Nous l’assistons pour y répondre.
- Pour les autres données : écrivez à contact@serma.app en précisant votre demande ; un justificatif d’identité peut être demandé en cas de doute raisonnable.
- Nous répondons dans un délai d’un mois, prolongeable de deux mois pour les demandes complexes.
Vous pouvez introduire une réclamation auprès de la CNDP (Commission nationale de contrôle de la protection des données à caractère personnel, www.cndp.ma) ou, si vous résidez dans l’Union européenne, auprès de l’autorité de contrôle de votre pays (en France : la CNIL).
10Loi marocaine n° 09-08 et CNDP
Les traitements sont mis en œuvre conformément à la loi n° 09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à ses textes d’application. Numéro de déclaration / d’autorisation CNDP : ---.
Chaque établissement client reste responsable des formalités préalables auprès de la CNDP pour ses propres traitements (gestion de la scolarité, du personnel…).
11Utilisateurs situés dans l’Union européenne
Lorsque le Règlement général sur la protection des données (RGPD) s’applique, notamment aux établissements ou personnes situés dans l’Union européenne, nous respectons ses exigences (bases légales, droits, sous-traitance au sens de l’article 28, transferts encadrés). Représentant dans l’Union (article 27) : Non requis.
12Mineurs
Des étudiants peuvent être mineurs. L’établissement, responsable de traitement, est chargé d’informer les élèves et leurs représentants légaux et, lorsque la loi l’exige, de recueillir le consentement parental. Le site public ne s’adresse pas aux mineurs.
14Modifications
Cette politique peut évoluer. La date de dernière mise à jour figure en haut de page ; en cas de changement important, les utilisateurs en sont informés.