Politique de confidentialité

Protection des données personnelles et transparence des traitements réalisés dans le cadre de Pexin.

Éditeur

INOVASYS SARL

Version

1.0

Dernière mise à jour

28 octobre 2026

INOVASYS accorde une importance particulière à la protection des données personnelles traitées dans le cadre de Pexin. La présente Politique de confidentialité décrit les catégories de données susceptibles d’être traitées, leurs finalités, les destinataires, les mesures de protection et les droits des personnes concernées.

Pexin est une solution exclusivement B2B. Selon le traitement concerné, INOVASYS peut agir en qualité de responsable du traitement ou de sous-traitant pour le compte d’un Client.

1. Identité et coordonnées

Pexin est exploitée par INOVASYS SARL, B Living Office N°407, Bd Taddart, Oasis, Casablanca, Maroc. RC : 590301. ICE : 003306307000072.

Contact confidentialité : privacy@inovasys.ma — Support : connect@inovasys.ma — Contact général : contact@inovasys.ma — Site : www.inovasys.ma.

2. Rôles d’INOVASYS et du Client

Pexin est une application de gestion des achats et des notes de frais pour les entreprises qui utilisent Microsoft Dynamics 365 Business Central avec l’extension Pexin. Les demandes, validations, notes de frais et budgets sont enregistrés dans l’environnement Business Central du Client.

Pour ces données métier, le Client est responsable du traitement et INOVASYS agit en qualité de sous-traitant, dans la mesure où elle fournit l’application et les services qui l’accompagnent.

INOVASYS agit comme responsable du traitement pour les traitements propres au fonctionnement de l’application : sécurité, diagnostic des erreurs, distribution des notifications et support.

Pour les traitements soumis au Règlement général sur la protection des données (« RGPD »), les obligations respectives peuvent être complétées par un accord de traitement des données (DPA) conclu entre le Client et INOVASYS.

3. Catégories de données personnelles

Selon la configuration et les fonctionnalités utilisées, Pexin peut traiter les catégories de données suivantes.

Données de compte

nom, adresse e-mail professionnelle, identifiant du compte Microsoft, société, environnement Business Central, rôles et autorisations, et le cas échéant la photo de profil du compte.

Données de connexion

jetons d’authentification délivrés par Microsoft Entra ID, dates de connexion et informations nécessaires à la sécurité de la session. La connexion se fait sur la page de Microsoft : Pexin ne voit ni ne conserve le mot de passe.

Photos et documents

photos de reçus, de devis ou de factures que l’Utilisateur prend avec l’appareil photo ou choisit dans sa photothèque ou ses fichiers, pour les joindre à une demande ou à une dépense. Pexin n’accède à l’appareil photo et aux photos que sur action de l’Utilisateur.

Données techniques

identifiant de l’appareil pour les notifications (jeton push), modèle d’appareil, système d’exploitation, version de l’application, rapports de plantage et informations de diagnostic.

4. Données métier

Pexin traite les données de gestion des achats et des frais du Client : demandes d’achat et leurs lignes, montants, devises, budgets, fournisseurs et offres, validations, refus et commentaires, notes de frais, dépenses et leurs justificatifs, informations du commerçant figurant sur un reçu (nom, ICE, TVA), salariés, sites et départements.

Certaines de ces informations constituent des données personnelles (par exemple le nom du demandeur ou de l’approbateur). Leur nature exacte dépend du paramétrage de Business Central et des choix du Client.

5. Origine des données

Les données proviennent de l’Utilisateur, du Client, de l’environnement Microsoft Dynamics 365 Business Central du Client, de Microsoft Entra ID et Microsoft Graph (compte et photo de profil), et des photos ou documents que l’Utilisateur choisit de joindre.

6. Stockage, consultation et synchronisation

Les données métier sont lues et enregistrées dans l’environnement Business Central du Client. INOVASYS ne les conserve pas dans sa propre infrastructure, en dehors des traitements décrits aux articles sur la lecture des reçus, les notifications et les diagnostics.

Pour fonctionner hors connexion, l’application garde sur l’appareil une copie chiffrée des données nécessaires et des opérations en attente, puis les synchronise avec Business Central dès que le réseau revient. Cette copie est effacée à la déconnexion du compte ou à la désinstallation de l’application.

7. Finalités des traitements

Les données peuvent être traitées pour les finalités suivantes :

• authentifier les Utilisateurs et appliquer leurs droits ;
• créer, suivre et valider les demandes d’achat ;
• saisir les dépenses, joindre les justificatifs et regrouper les notes de frais ;
• lire un reçu photographié pour préremplir une dépense ;
• afficher les budgets disponibles et contrôler leur consommation ;
• envoyer des notifications sur les demandes et les validations ;
• permettre le travail hors connexion et la synchronisation ;
• assurer le support, la sécurité et la prévention des incidents ;
• diagnostiquer les anomalies et améliorer la stabilité de l’application ;
• respecter les obligations légales, réglementaires et contractuelles applicables.

8. Bases juridiques

Selon la nature du traitement et la réglementation applicable, les traitements peuvent reposer sur l’exécution d’un contrat ou de mesures précontractuelles, l’intérêt légitime lié à la sécurité et au fonctionnement de Pexin, le respect d’une obligation légale ou le consentement lorsque celui-ci est requis.

Pour les données métier traitées par INOVASYS en qualité de sous-traitant, la détermination de la base juridique relève du Client responsable du traitement.

9. Lecture des reçus (OCR et intelligence artificielle)

Lorsque le Client a activé la lecture des reçus et que l’Utilisateur scanne un reçu, la photo est transmise au service de lecture des reçus d’INOVASYS, qui en extrait la date, le montant, la devise, la TVA et les informations du commerçant pour préremplir la dépense. L’Utilisateur vérifie et corrige ces informations avant de les enregistrer.

Ce service peut s’appuyer sur un fournisseur d’intelligence artificielle, notamment Anthropic, pour extraire ces informations. Seule la photo du reçu concerné est transmise, et uniquement pour cette extraction.

Les modalités de conservation, de localisation et d’utilisation des données par le fournisseur dépendent du service, de la configuration et des conditions contractuelles applicables. INOVASYS limite les données transmises au strict nécessaire.

10. Diagnostics

Pexin utilise Firebase Crashlytics (Google) pour recevoir les rapports de plantage et les erreurs de l’application : modèle d’appareil, système d’exploitation, version de l’application et trace technique de l’erreur. Ces rapports ne sont pas associés au nom ni à l’adresse e-mail de l’Utilisateur.

Pexin utilise également Firebase Remote Config pour recevoir les réglages de l’application (par exemple l’activation d’une fonctionnalité).

11. Absence de tracking publicitaire

Pexin n’affiche pas de publicité, ne vend pas les données personnelles des Utilisateurs à des annonceurs et n’utilise pas les données afin de créer des profils publicitaires inter-applications ou inter-sites. Pexin n’utilise pas l’identifiant publicitaire de l’appareil.

12. Notifications

Pexin peut envoyer des notifications sur l’appareil, par exemple lorsqu’une demande attend une validation ou change d’étape. Elles sont distribuées par le service de notifications d’INOVASYS, au moyen du service de notifications d’Apple (APNs) ou de Firebase Cloud Messaging (Google), à l’aide du jeton push de l’appareil associé au compte. L’Utilisateur peut les désactiver dans les réglages de son appareil.

13. Destinataires des données

Selon leurs missions, habilitations et le contexte du traitement, les données peuvent être accessibles au Client, aux Utilisateurs et Administrateurs Client autorisés, à certains collaborateurs habilités d’INOVASYS pour le support et la sécurité, ainsi qu’aux prestataires techniques nécessaires au fonctionnement du service.

Au sein du Client, une demande ou une dépense est visible des personnes qui interviennent dans sa validation, selon les droits définis dans Business Central. Rien n’est public.

INOVASYS ne commercialise pas les données personnelles des Utilisateurs.

14. Prestataires et sous-traitants

Pexin s’appuie sur les prestataires suivants :

• Microsoft (Entra ID, Dynamics 365 Business Central, Microsoft Graph) : connexion, données métier et photo de profil ;
• Google Firebase (Crashlytics, Remote Config, Cloud Messaging) : diagnostics, réglages et notifications ;
• Apple (service de notifications) : notifications sur iPhone et iPad ;
• Anthropic : extraction des informations d’un reçu, lorsque la lecture des reçus est activée ;
• hébergeurs VPS : services de notifications et de lecture des reçus d’INOVASYS.

La liste peut varier selon le Client et le périmètre déployé. INOVASYS peut communiquer au Client la liste des sous-traitants utilisés pour son environnement lorsque cela est prévu par le contrat ou requis par la réglementation applicable.

15. Hébergement

Les données métier sont hébergées dans l’environnement Microsoft Dynamics 365 Business Central du Client, dans la région Microsoft choisie par celui-ci. Les services de notifications et de lecture des reçus d’INOVASYS sont hébergés sur une infrastructure VPS.

La région d’hébergement est définie en fonction des contraintes techniques, contractuelles et réglementaires du projet. Une région européenne est privilégiée lorsque cela est pertinent.

16. Transferts internationaux

Du fait de l’utilisation de fournisseurs Cloud, de notifications, de diagnostic et d’intelligence artificielle, certaines données peuvent être traitées ou transférées en dehors du Maroc.

Lorsque la loi marocaine n° 09-08 s’applique, les transferts de données sont soumis aux exigences et formalités applicables auprès de la Commission Nationale de contrôle de la protection des Données à caractère Personnel (« CNDP »).

Lorsque le RGPD s’applique, les transferts internationaux sont encadrés conformément aux mécanismes prévus par le chapitre V du RGPD et aux garanties appropriées requises selon la destination et le contexte du traitement.

17. Formalités CNDP

INOVASYS et/ou le Client, selon leur rôle et le traitement concerné, veillent à déterminer et accomplir les formalités requises par la législation marocaine applicable, notamment lorsqu’une déclaration, une autorisation ou une procédure relative au transfert de données à l’étranger est nécessaire.

Le périmètre exact des formalités dépend des traitements réellement mis en œuvre pour chaque projet.

18. Durée de conservation

Les données métier sont conservées dans Business Central selon les règles du Client et ses obligations légales, notamment comptables.

La copie présente sur l’appareil est conservée tant que le compte y est connecté ; elle est effacée à la déconnexion ou à la désinstallation de l’application.

Le jeton push est conservé tant que l’appareil reçoit les notifications du compte ; il est retiré à la déconnexion ou lorsqu’il expire.

Les rapports de diagnostic, les logs techniques et les données de support sont conservés pendant des durées limitées, adaptées aux objectifs de sécurité, de diagnostic et de conformité.

19. Suppression d’un compte et des données

Les comptes Pexin sont les comptes professionnels Microsoft que l’administrateur du Client crée et supprime dans Microsoft Entra ID ; l’application n’en crée aucun. Un Utilisateur peut demander la suppression de son compte ou de ses données à l’administrateur de son entreprise ou à privacy@inovasys.ma.

Lorsque les données sont traitées par INOVASYS pour le compte d’un Client, INOVASYS transmet ou coordonne la demande avec ce Client en sa qualité de responsable du traitement.

La suppression est effectuée sous réserve des obligations légales ou contractuelles, des droits de défense, des exigences de sécurité et des délais techniques liés aux sauvegardes.

20. Droits des personnes concernées au Maroc

Sous réserve des conditions prévues par la loi marocaine n° 09-08, les personnes concernées peuvent notamment disposer de droits à l’information, à l’accès, à la rectification et à l’opposition dans les conditions prévues par la réglementation.

Les demandes peuvent être adressées à privacy@inovasys.ma. Lorsque le Client est responsable du traitement, la demande peut être traitée en coordination avec celui-ci.

21. Droits lorsque le RGPD s’applique

Lorsque le RGPD est applicable, les personnes concernées peuvent, selon les circonstances et sous réserve des conditions légales, bénéficier notamment des droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, ainsi que du droit d’introduire une réclamation auprès de l’autorité de contrôle compétente.

Lorsque INOVASYS agit comme sous-traitant, elle assiste le Client responsable du traitement dans la mesure prévue par le contrat et la réglementation applicable.

22. Sécurité

INOVASYS met en œuvre des mesures techniques et organisationnelles adaptées au contexte du service, notamment HTTPS/TLS pour tous les échanges, la connexion par Microsoft Entra ID, le chiffrement des données conservées sur l’appareil, les contrôles d’accès définis dans Business Central, la gestion des secrets et la supervision technique.

La nature et le niveau exacts des mesures peuvent dépendre de l’architecture et des exigences contractuelles du projet.

23. Confidentialité

L’accès aux données est limité aux personnes qui en ont besoin dans le cadre de leurs fonctions. Les collaborateurs et prestataires habilités sont soumis aux obligations de confidentialité applicables.

24. Incident de sécurité

En cas d’incident affectant des données personnelles, INOVASYS met en œuvre les procédures appropriées afin d’analyser l’incident, d’en limiter les effets, de sécuriser les systèmes, d’informer le Client et/ou les personnes concernées lorsque cela est requis et de coopérer avec les autorités compétentes le cas échéant.

25. Responsabilités du Client

Lorsque le Client agit comme responsable du traitement, il est notamment responsable de la licéité des données et traitements qu’il confie à Pexin, de la détermination des Utilisateurs autorisés, du paramétrage des habilitations dans Business Central, de l’information des personnes concernées, de la détermination des bases juridiques applicables et des formalités réglementaires qui lui incombent.

26. Utilisateurs mineurs

Pexin est une application exclusivement B2B destinée à des utilisateurs professionnels. Elle n’est pas destinée à être utilisée par des enfants ou des mineurs dans un contexte personnel.

27. Modifications de la Politique

INOVASYS peut modifier la présente Politique de confidentialité afin notamment de tenir compte de nouvelles fonctionnalités, de nouveaux prestataires, d’une évolution réglementaire, d’une évolution de l’architecture ou d’une modification des pratiques de traitement.

La date de dernière mise à jour est indiquée en tête du document. Les changements substantiels peuvent être portés à la connaissance des Utilisateurs ou des Clients par un moyen approprié.

28. Contact confidentialité

Toute question ou demande relative à la protection des données personnelles peut être adressée à privacy@inovasys.ma.