Politique de Confidentialité et de Protection des Données Personnelles

1. Objet et champ d'application

La présente Politique de Confidentialité s'applique à l'ensemble des visiteurs, utilisateurs inscrits et clients de la plateforme SOUQ TURQUIE sur ses interfaces arabe et française. La plateforme permet aux clients résidant au Maroc de consulter et commander des articles de mode, caftans, pièces de décoration et services artisanaux turcs approvisionnés depuis Istanbul et l'Anatolie, avec des prix affichés en Dirhams Marocains (MAD).

Cette politique décrit avec exactitude les données réellement traitées par l'application (base de données PostgreSQL et stockage local du navigateur), leur rôle dans le cycle de commande et de vérification des paiements, tout en distinguant clairement le fonctionnement technique vérifié des éléments juridiques nécessitant la confirmation du propriétaire.

2. Catégories de données personnelles traitées

Conformément au schéma de données réel de l'application (PostgreSQL / Prisma), seules les catégories suivantes d'informations sont traitées :

• Données de compte et d'identité : Prénom (firstName), nom de famille (lastName), adresse email unique (email), rôle d'accès (role tel que CUSTOMER) et statut d'activation (isActive). Les mots de passe sont stockés exclusivement sous forme d'empreinte cryptographique irréversible (passwordHash via bcrypt) ; aucun mot de passe en clair n'est conservé.
• Coordonnées téléphoniques et électroniques : Numéro de téléphone associé au profil ou renseigné dans l'adresse de livraison au Maroc, ainsi que l'adresse email utilisée pour l'authentification et le suivi des commandes.
• Adresse de livraison et données de commande : Nom du destinataire (recipientName), téléphone (phone), lignes d'adresse (addressLine1, addressLine2), ville au Maroc (city), région (stateRegion), code postal optionnel (postalCode) et code pays (MA). Chaque commande conserve un instantané immuable de l'adresse de livraison (shippingAddressSnapshot) et les instructions éventuelles (notes).
• Sélections de produits, panier, favoris et historique d'achat : Avant la commande, les articles du panier et de la liste de favoris sont conservés localement dans le navigateur (localStorage via les clés tm_cart et souq_turquie_wishlist_v1). Lors de la validation d'une commande, les lignes d'articles (OrderItem) enregistrent l'identifiant de variante (variantId), le code SKU (variantSku), le titre bilingue, les attributs de taille/couleur (attributesSnapshot), la quantité et le prix unitaire vérifié en MAD.
• Enregistrements de vérification de paiement et références de transaction : Numéro de commande unique (ex. ST-MA-YYYYMMDD-XXXXX), mode de règlement (PERSONAL_BANK_TRANSFER), montant en MAD, statut du paiement (PENDING, CAPTURED, REFUNDED), clé d'idempotence (idempotencyKey) et horodatage de vérification administrative.
• Données techniques, journaux de sécurité et sessions essentielles : Cookies essentiels de session d'authentification (jeton JWT signé) et de protection CSRF gérés par Auth.js, ainsi que les journaux d'audit internes (AuditLog) traçant les opérations sensibles (horodatage, entité concernée, valeurs avant/après modification et identifiant de l'opérateur).

3. Finalités du traitement et justifications opérationnelles

Chaque catégorie de données est traitée pour des besoins opérationnels précis :

4. Création des commandes, vérification des prix et contrôle des stocks

Lorsqu'un client soumet sa commande sur la page de paiement (Checkout), le serveur exécute un processus strict de validation :

1. Authentification et acceptation des conditions : Le serveur vérifie que l'utilisateur est connecté et qu'il a validé les conditions de commande (version enregistrée dans acceptedTermsVersion).
2. Recalcul serveur des prix en MAD : Le serveur ignore les prix stockés dans le navigateur et interroge directement la base de données PostgreSQL pour récupérer le tarif officiel en Dirhams Marocains (basePriceMAD) de chaque variante (ProductVariant) et vérifier que le produit est actif et publié.
3. Contrôle du seuil minimum de 700,00 MAD et des frais de port : Le serveur vérifie que le sous-total atteint au moins 700,00 MAD et applique la règle de livraison (offerte dès 1 000,00 MAD d'achat, ou forfait de 50,00 MAD en dessous).
4. Transaction atomique : L'adresse de livraison, la commande au statut initial PENDING_PAYMENT, les lignes d'articles, l'enregistrement de paiement en attente et l'entrée du journal d'audit sont enregistrés au sein d'une transaction unique.

5. Rôle de la vérification manuelle des virements et données de paiement stockées

À la création de la commande, un enregistrement Payment au statut PENDING est généré avec une clé d'idempotence unique (payment-[orderId]-manual). Le client effectue son virement depuis sa propre banque en indiquant sa référence de commande. Après vérification effective de la réception des fonds par l'administration, le statut passe à PAYMENT_VERIFIED et l'opération est inscrite de manière traçable dans OrderStatusHistory et AuditLog.

6. Conservation des données et critères d'archivage

Les durées de conservation dépendent de la nature opérationnelle et légale de chaque catégorie d'enregistrement :

• Données de compte client : Conservées tant que le compte demeure actif. En cas de demande de suppression, le compte peut être désactivé (isActive: false) ou anonymisé, sous réserve des commandes en cours.
• Dossiers de commande, paiements et écritures comptables : Les enregistrements Order, OrderItem, Payment et les écritures en partie double (FinancialLedgerEntry) sont conservés afin de respecter les obligations comptables, fiscales et probatoires liées aux transactions commerciales.
• Journaux de sécurité et d'audit : Les tables AuditLog et OrderStatusHistory constituent une piste d'audit intègre destinée à la sécurité opérationnelle et à la prévention des fraudes.

7. Contrôles d'accès, mesures de sécurité et limites des garanties

La plateforme met en œuvre les mécanismes de protection suivants vérifiés dans l'application :

• Contrôle d'accès basé sur les rôles (RBAC) : Séparation stricte côté serveur entre les rôles CUSTOMER, OPERATIONS, FINANCE et ADMIN.
• Hachage des mots de passe et sessions signées : Hachage systématique via bcrypt et jetons de session JWT signés côté serveur.
• Validation binaire des fichiers téléversés : Inspection des octets d'en-tête (Magic-Byte validation) et restriction de taille sur les images téléversées par l'administration afin de bloquer tout fichier exécutable.
• Limites de sécurité : Bien que ces contrôles soient appliqués avec rigueur, aucune transmission sur Internet ni aucun système de stockage électronique ne peut offrir une garantie d'inviolabilité absolue. L'utilisateur est également responsable de la confidentialité de son mot de passe.

8. Circonstances de partage des données avec des tiers

SOUQ TURQUIE ne vend ni ne loue aucune donnée personnelle à des tiers publicitaires. Le partage d'informations est strictement limité aux besoins d'exécution suivants :

• Fournisseurs et ateliers en Turquie : Les références de produits, variantes et quantités commandées sont utilisées pour l'approvisionnement auprès des fournisseurs enregistrés après validation du paiement.
• Prestataires de transport international et de livraison au Maroc : Le nom du destinataire, l'adresse de livraison et le numéro de téléphone sont nécessaires à l'acheminement et à la remise du colis. (Note : aucune API tierce de transporteur n'est actuellement connectée de manière automatisée dans le code ; la logistique est coordonnée par l'équipe des opérations).
• Hébergeurs et prestataires techniques : Pour l'exploitation de l'application web et de la base de données PostgreSQL.
• Autorités douanières, administratives ou judiciaires : Lorsque la communication est requise par la loi ou pour les formalités de dédouanement.

9. Transferts internationaux de données (Turquie, Maroc et hébergement)

En raison de la nature transfrontalière du service — approvisionnement en Turquie et livraison aux clients situés au Maroc — le traitement des commandes implique une coordination opérationnelle entre la Turquie et le Maroc ainsi que l'hébergement technique de la base de données.

10. Droits des utilisateurs et procédures pratiques

Vous disposez des droits suivants concernant vos données personnelles :

• Droit d'accès : Obtenir la confirmation des données associées à votre compte et à vos commandes.
• Droit de rectification : Demander la correction d'informations inexactes (nom, téléphone, adresse de livraison avant expédition).
• Droit de suppression / clôture de compte : Demander la désactivation de votre compte et la suppression des données qui ne sont plus nécessaires à l'exécution d'une commande ou au respect d'une obligation comptable légale.
• Droit d'opposition : Vous opposer, pour des motifs légitimes, à certains traitements non essentiels à l'exécution d'une commande en cours.

Procédure : Pour exercer vos droits, adressez votre demande via les coordonnées indiquées sur notre page Contact en précisant l'adresse email de votre compte et, le cas échéant, votre numéro de commande afin de permettre la vérification de votre identité.

11. Nous contacter au sujet de la confidentialité

Pour toute question relative à cette Politique de Confidentialité ou au traitement de vos données personnelles, veuillez consulter notre page Contact (İletişim).

12. Mises à jour de la politique et prise d'effet

Cette Politique de Confidentialité peut être mise à jour afin de refléter les évolutions fonctionnelles, opérationnelles ou réglementaires de la plateforme (telles que l'activation de nouveaux moyens de paiement ou partenaires logistiques). Toute modification substantielle sera publiée sur cette page.