Conditions Générales d'Utilisation

FASO LOGIN est un service d'identification numérique burkinabè, édité par TINO-TI, SARL de droit burkinabè dont le siège social est à Ouagadougou, Burkina Faso (ci-après « l'Éditeur »). Il permet à ses utilisateurs de s'authentifier auprès de services en ligne partenaires (ci-après « Services Tiers ») à l'aide de leur numéro de téléphone et d'un code PIN personnel, sans créer de compte propre à chaque service.

Contact : notifications@tino-ti.com.

Le service est accessible à toute personne :

• disposant d'un numéro de téléphone burkinabè (+226) actif ;
• âgée d'au moins 18 ans.

L'inscription requiert la vérification du numéro par code OTP reçu par SMS, la création d'un code PIN personnel, et la fourniture de votre prénom et nom.

Un seul compte par numéro de téléphone est autorisé.

FASO LOGIN implémente le protocole OpenID Connect (OIDC) avec flux Authorization Code et PKCE. Lorsqu'un Service Tiers demande une authentification :

• vous êtes redirigé(e) vers FASO LOGIN ;
• vous vous identifiez par numéro de téléphone et PIN ;
• une page de consentement vous indique quelles données seront transmises au Service Tiers ;
• vous choisissez d'accepter ou de refuser.

Vous pouvez révoquer l'accès d'un Service Tiers à tout moment depuis la section « Consentements » de votre profil FASO LOGIN.

FASO LOGIN collecte et traite les données suivantes :

• Obligatoires : numéro de téléphone (identifiant principal), prénom, nom, PIN (stocké sous forme de hash bcrypt non réversible)
• Optionnelles : adresse e-mail, date de naissance, genre, ville, région
• Techniques : adresse IP, user-agent de l'appareil, horodatages de connexion

Les codes OTP sont à usage unique, valables 10 minutes et non conservés après vérification.

Le traitement a fait l'objet d'une déclaration auprès de la Commission de l'Informatique et des Libertés (CIL) du Burkina Faso, conformément à la loi n° 010-2004/AN du 20 avril 2004.

Vos données sont traitées exclusivement pour :

• assurer votre authentification auprès des Services Tiers que vous choisissez ;
• garantir la sécurité de votre compte (détection de connexions suspectes, verrouillage après tentatives échouées) ;
• vous permettre de gérer et révoquer vos consentements ;
• tenir un journal d'audit pour la sécurité et la conformité.

Vos données ne sont jamais vendues, cédées ou exploitées à des fins commerciales. Elles ne sont transmises à un Service Tiers qu'avec votre consentement explicite, et uniquement les données que vous avez autorisées.

• Données de compte : conservées pendant toute la durée d'activité du compte.
• Journal d'audit de sécurité : 12 mois glissants.
• Sessions actives : 30 jours maximum.
• Tokens d'accès OIDC : 1 heure. Tokens de rafraîchissement : 14 jours.

En cas de suppression du compte, toutes les données personnelles sont effacées dans un délai de 30 jours, à l'exception des données nécessaires à des obligations légales spécifiques.

Seules les données correspondant aux autorisations que vous avez accordées lors du consentement sont transmises au Service Tiers. Si vous n'accordez pas l'accès à votre profil, prénom et nom ne sont pas transmis.

L'identifiant stable transmis aux Services Tiers (appelé « sub ») est un identifiant technique unique et différent de votre numéro de téléphone. Il permet à un Service Tiers de vous reconnaître d'une session à l'autre sans pouvoir vous tracer sur d'autres plateformes.

Chaque Service Tiers est contractuellement tenu d'utiliser les données reçues uniquement aux fins déclarées et de respecter la loi n° 010-2004/AN.

L'Éditeur met en œuvre les mesures techniques suivantes :

• Chiffrement de toutes les communications (HTTPS/TLS)
• PIN stocké sous forme de hash bcrypt non réversible — irrécupérable même par l'Éditeur
• Verrouillage automatique du compte après tentatives de PIN incorrectes répétées
• Vérification OTP par SMS pour chaque nouvel appareil
• Notification SMS à chaque connexion depuis un appareil inconnu
• Tokens d'accès à courte durée de vie (1 heure) avec rotation automatique
• Journal d'audit complet de toutes les opérations sensibles

En cas de compromission suspectée, déconnectez tous vos appareils depuis votre profil ou contactez immédiatement : notifications@tino-ti.com.

Conformément à la loi n° 010-2004/AN, vous disposez des droits suivants :

• Accès : consulter vos données depuis votre profil
• Rectification : modifier vos informations depuis votre profil
• Suppression : demander la clôture de votre compte
• Opposition : vous opposer à certains traitements
• Révocation du consentement : retirer l'accès d'un Service Tiers depuis votre profil, à tout moment

Pour exercer vos droits : notifications@tino-ti.com. Délai de réponse : 30 jours. Vous pouvez également saisir la CIL (cil.bf).

L'Éditeur met tout en œuvre pour assurer la disponibilité et la sécurité du service (objectif 99,9 % — voir accord de niveau de service). Sa responsabilité est limitée aux dommages directs prouvés et ne peut excéder les sommes versées au cours des 12 derniers mois. Pour les utilisateurs bénéficiant d'un accès gratuit, cette limite est de 0 FCFA.

Sont exclus de toute responsabilité de l'Éditeur :

• les cas de force majeure (catastrophe naturelle, conflit, coupure réseau nationale) ;
• la divulgation volontaire ou involontaire du PIN par l'utilisateur ;
• la perte ou le vol du téléphone non signalé à l'Éditeur sans déconnexion des appareils ;
• les actes des Services Tiers dans le traitement des données qu'ils reçoivent ;
• les dommages indirects, pertes d'exploitation ou manques à gagner.

En cas d'utilisation frauduleuse de votre compte due à une négligence de votre part (PIN communiqué, téléphone perdu non signalé), la responsabilité de l'Éditeur ne peut être engagée. Signalez tout incident immédiatement via votre profil ou ànotifications@tino-ti.com.

L'Éditeur se réserve le droit de modifier les présentes CGU. En cas de modification substantielle, les utilisateurs en seront informés par notification dans l'application au moins 30 jours avant l'entrée en vigueur des nouvelles conditions.

La poursuite de l'utilisation du service après ce délai vaut acceptation des nouvelles CGU.

Les présentes CGU sont régies par le droit burkinabè, et notamment par la loi n° 010-2004/AN du 20 avril 2004 portant protection des données à caractère personnel.

En cas de litige, les parties s'engagent à rechercher une résolution amiable dans un délai de 30 jours. À défaut, le Tribunal de Grande Instance de Ouagadougou sera seul compétent.

TINO-TI — FASO LOGIN
Ouagadougou, Burkina Faso
notifications@tino-ti.com

Autorité de contrôle : Commission de l'Informatique et des Libertés — cil.bf, BP 7006, Ouagadougou.