Politique d'Utilisation et
Protection des Données Personnelles

1. Objet et champ d'application

La présente politique d'utilisation décrit comment BAB-Access — système de gestion d'accès résidentiel par QR Code — collecte, utilise, conserve et protège les données à caractère personnel de ses utilisateurs (résidents, visiteurs, agents de sécurité et gestionnaires de résidences).

Elle s'applique à toute personne dont les données sont traitées dans le cadre de l'utilisation de la plateforme BAB-Access, conformément à la Loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel (Maroc) et aux recommandations de la Commission Nationale de contrôle de la protection des Données à caractère Personnel (CNDP).

Par ailleurs, la gestion des accès résidentiels constitue une mission statutaire du syndic de copropriété au sens de la Loi n° 18-00 relative au statut de la copropriété des immeubles bâtis (promulguée par le Dahir n° 1-02-298 du 3 octobre 2002, modifiée et complétée par la Loi n° 106-12). À ce titre, le syndic est habilité à mettre en œuvre tout dispositif technique nécessaire à la sécurisation et au contrôle d'accès des parties communes et de l'immeuble, et à collecter les données strictement nécessaires à l'exercice de cette mission.

2. Données collectées

Dans le cadre de ses fonctionnalités, BAB-Access est amené à collecter les données suivantes :

• Données d'identité — nom, prénom
• Coordonnées — adresse e-mail
• Données de résidence — numéro d'appartement, résidence d'appartenance, matricule interne
• Données d'accès — historique des entrées et sorties (date, heure, point d'accès, statut)
• Données QR Code — token de QR code signé numériquement, type d'accès (résident, visiteur, prestataire), période de validité
• Données techniques — adresse IP lors de la connexion, horodatage de la dernière connexion

Aucune donnée biométrique, financière ou sensible au sens de l'article 1er de la Loi 09-08 n'est collectée.

3. Finalité du traitement

Les données collectées sont traitées exclusivement aux fins suivantes :

• Contrôle d'accès résidentiel — identification et autorisation des personnes à entrer ou sortir d'une résidence
• Sécurité résidentielle — prévention des intrusions, gestion des incidents et alerte en temps réel
• Traçabilité des présences — journalisation des passages pour la gestion de la résidence et la résolution des litiges
• Gestion des invitations visiteurs — génération et validation de QR codes temporaires pour les visiteurs et prestataires
• Administration de la plateforme — gestion des comptes utilisateurs, des rôles et des droits d'accès

Les données ne sont en aucun cas utilisées à des fins commerciales, publicitaires ou cédées à des tiers.

4. Base légale du traitement

Conformément à l'article 3 de la Loi n° 09-08, le traitement de vos données repose sur les bases légales suivantes :

• Consentement explicite — lors de l'inscription à la plateforme, l'utilisateur consent expressément au traitement de ses données aux fins décrites ci-dessus. Ce consentement peut être retiré à tout moment en contactant l'administrateur de la résidence.
• Mission légale du syndic (Loi n° 18-00) — la gestion des accès et la sécurisation de l'immeuble constituent une mission légale du syndic de copropriété, telle que définie par la Loi n° 18-00 (articles relatifs aux attributions du syndic). Le traitement des données d'accès est inhérent à l'exercice de cette mission et ne requiert pas de consentement distinct lorsqu'il est strictement limité à cette finalité.
• Intérêt légitime de sécurité (Loi n° 09-08, art. 3-5°) — la traçabilité des présences constitue un intérêt légitime de la résidence pour assurer la sécurité de ses occupants et de leurs biens.
• Obligation contractuelle — dans le cadre du règlement de copropriété, l'utilisation du système de contrôle d'accès peut être une obligation contractuelle pour les résidents, opposable en vertu de la Loi n° 18-00 et du règlement de copropriété de l'immeuble.

5. Durée de conservation

Les données sont conservées selon les durées suivantes, au-delà desquelles elles sont supprimées ou anonymisées :

• Données de compte (identité, email, matricule) — conservées pendant toute la durée de résidence active. En cas de départ, le compte est désactivé et les données personnelles supprimées dans un délai de 30 jours.
• Historique des accès (logs entrées/sorties) — conservé pendant une durée maximale de 12 mois à compter de chaque enregistrement, puis supprimé automatiquement.
• QR codes visiteurs — supprimés à l'expiration de leur validité (24h à 7 jours selon le type) ou immédiatement après révocation.
• Tentatives de connexion — données de rate-limiting supprimées après 24 heures.

6. Droits des personnes concernées

Conformément aux articles 7 à 12 de la Loi n° 09-08 et aux directives de la CNDP, toute personne dont les données sont traitées bénéficie des droits suivants :

• Droit d'accès — obtenir la confirmation que vos données font l'objet d'un traitement, ainsi qu'une copie de celles-ci (article 7 de la Loi 09-08).
• Droit de rectification — demander la correction de données inexactes ou incomplètes (article 8 de la Loi 09-08).
• Droit d'opposition — vous opposer, pour des motifs légitimes, au traitement de vos données, sauf si ce traitement répond à une obligation légale (article 10 de la Loi 09-08).
• Droit à l'effacement — demander la suppression de vos données lorsqu'elles ne sont plus nécessaires ou lorsque vous retirez votre consentement.
• Droit de réclamation auprès de la CNDP — si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de contrôle de la protection des Données à caractère Personnel (www.cndp.ma).

7. Mesures de sécurité

BAB-Access met en œuvre des mesures techniques et organisationnelles appropriées pour assurer la sécurité et la confidentialité de vos données :

• Chiffrement des mots de passe — tous les mots de passe sont hachés avec l'algorithme bcrypt (PHP password_hash). Aucun mot de passe en clair n'est jamais stocké.
• QR codes signés HMAC-SHA256 — chaque QR code est signé numériquement avec une clé secrète serveur via HMAC-SHA256, empêchant toute falsification.
• Contrôle d'accès par rôle (RBAC) — les données ne sont accessibles qu'aux utilisateurs disposant des droits appropriés (administrateur, gérant, co-propriétaire, agent).
• Protection contre les injections SQL — toutes les requêtes base de données utilisent des requêtes préparées PDO avec paramètres liés.
• Protection CSRF — chaque formulaire est protégé par un token CSRF unique, empêchant les attaques de type Cross-Site Request Forgery.
• Protection anti-brute force — le système limite automatiquement les tentatives de connexion (verrouillage après 5 échecs successifs).
• Transmission sécurisée — toutes les communications entre le navigateur et le serveur sont chiffrées via HTTPS (TLS).

8. Contact et exercice des droits

Pour exercer vos droits (accès, rectification, opposition, effacement) ou pour toute question relative à la protection de vos données personnelles, veuillez contacter directement l'administrateur de votre résidence via le tableau de bord BAB-Access ou par les coordonnées fournies lors de votre inscription.

Votre demande sera traitée dans un délai maximum de 30 jours à compter de sa réception, conformément aux dispositions de la Loi n° 09-08.