Politique de confidentialité

1. Objet de la Politique de confidentialité

La présente Politique de confidentialité a pour objet d’informer les utilisateurs de Sanaday, les représentants et administrateurs des organisations clientes, les intervenants autorisés ainsi que toute autre personne concernée sur les conditions dans lesquelles leurs données à caractère personnel sont collectées, utilisées, conservées, protégées et, le cas échéant, communiquées.

Sanaday est une plateforme de bien-être au travail, d’autogestion, d’auto-évaluation indicative, de contenus guidés et d’accompagnement non médical, mise à disposition des utilisateurs dans le cadre d’une offre souscrite par leur organisation.

La présente Politique est établie conformément à la loi marocaine n°09-08 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et aux exigences applicables de la Commission Nationale de contrôle de la protection des Données à caractère Personnel, ci-après la CNDP.

Conformément à la loi n°09-08, les personnes auprès desquelles des données sont directement collectées doivent notamment être informées de l’identité du responsable du traitement, des finalités poursuivies, des destinataires ou catégories de destinataires, du caractère obligatoire ou facultatif des informations demandées, de leurs droits et des références de la formalité CNDP applicable.

2. Responsable du traitement

Pour les traitements décrits dans la présente Politique et dont elle détermine les finalités et les moyens, le responsable du traitement est :

PSY LAB Société à responsabilité limitée à associé unique Capital social : 100 000,00 MAD Registre de commerce de Casablanca : RC n° 569013 ICE : 003195694000090 Siège social : 82 ANG BD Abdelmoumen et Rue Soumaya, Étage 2, n°4, Palmier, chez SOFIDEL, Casablanca Activité : Conseil et prévention en risques psychosociaux

PSY LAB exploite la solution Sanaday.

Pour toute question relative à la présente Politique ou au traitement des données personnelles, Sanaday peut être contactée à l’adresse suivante : contact@sanaday.com

La répartition des rôles entre PSY LAB et l’organisation cliente peut, lorsque cela est nécessaire, être précisée dans les documents contractuels applicables au service concerné.

3. Personnes concernées

La présente Politique concerne notamment les utilisateurs bénéficiant d’un accès à Sanaday, les représentants et contacts professionnels des organisations clientes, les administrateurs et responsables habilités des espaces entreprise, ainsi que les coachs, accompagnants et autres intervenants dont les données sont traitées dans le cadre du service.

L’organisation cliente désigne la personne morale ayant souscrit à Sanaday.

L’utilisateur désigne la personne physique bénéficiant d’un accès à la plateforme. L’administrateur du compte entreprise ou responsable habilité désigne la personne désignée par l’organisation cliente pour gérer son espace entreprise et accéder aux informations autorisées dans le cadre du tableau de bord collectif.

4. Caractère volontaire de l’utilisation de Sanaday

Sanaday est mise à disposition des utilisateurs dans le cadre de l’offre souscrite par leur organisation.

L’activation et l’utilisation personnelle de Sanaday reposent sur une démarche volontaire de l’utilisateur.

Le fait qu’une organisation cliente mette Sanaday à disposition de ses utilisateurs ne lui confère pas un droit d’accès aux données relatives à leur utilisation personnelle de la plateforme.

La visibilité de l’organisation cliente est limitée aux informations administratives strictement nécessaires à la gestion du service et aux indicateurs collectifs prévus par Sanaday.

Lorsque le consentement de l’utilisateur est requis pour un traitement déterminé, celui-ci est recueilli après communication des informations nécessaires, de manière permettant à l’utilisateur d’exprimer un choix libre, spécifique et informé.

La loi n°09-08 définit le consentement comme une manifestation de volonté libre, spécifique et informée.

5. Principes applicables au traitement des données

Sanaday traite les données personnelles de manière loyale et licite, pour des finalités déterminées, explicites et légitimes.

Sanaday veille à ce que les données collectées soient adéquates, pertinentes et non excessives au regard des finalités poursuivies, qu’elles soient exactes lorsque cela est nécessaire et qu’elles ne soient pas conservées sous une forme permettant l’identification des personnes pendant une durée supérieure à celle nécessaire à la réalisation des finalités concernées.

Les données collectées pour une finalité déterminée ne sont pas réutilisées pour une finalité incompatible sans analyse préalable et, lorsque cela est nécessaire, sans accomplissement des formalités et information correspondantes.

6. Données susceptibles d’être traitées

6.1. Données relatives au compte utilisateur

Sanaday peut traiter les informations nécessaires à la création, à l’activation, à la gestion et à la sécurisation du compte utilisateur.

Ces informations peuvent notamment comprendre le nom, le prénom, l’adresse email, l’identifiant de compte, l’organisation de rattachement, la langue, les préférences d’utilisation, les informations nécessaires à l’authentification, le statut du compte, les informations de sécurité, les historiques de connexion et les logs techniques nécessaires au fonctionnement de la plateforme.

6.2. Données relatives à l’espace entreprise

Sanaday traite les informations nécessaires à la création, au paramétrage et à l’administration de l’espace de l’organisation cliente.

Elles peuvent notamment comprendre la dénomination de l’organisation, les coordonnées professionnelles des personnes de contact, les informations relatives à l’administrateur du compte, les habilitations, les droits d’accès, les paramètres de l’espace entreprise, le sous-domaine ou l’environnement dédié, ainsi que les informations nécessaires à la gestion contractuelle, technique et opérationnelle du service.

6.3. Données relatives à l’utilisation de la plateforme

Selon les fonctionnalités effectivement activées, Sanaday peut traiter des informations relatives aux contenus consultés, ressources utilisées, parcours suivis, quiz réalisés, auto-évaluations complétées, réponses fournies dans les fonctionnalités structurées, badges et éléments de gamification, progression, préférences et interactions avec les fonctionnalités disponibles.

Les auto-évaluations proposées dans le périmètre actif de Sanaday sont conçues comme des outils indicatifs de bien-être et de réflexion personnelle. Elles ne sont pas présentées comme des outils de diagnostic médical ou clinique.

Les données d’utilisation personnelles ne sont pas communiquées à l’organisation cliente sous une forme individuelle ou permettant d’identifier l’utilisateur.

6.4. Données relatives aux demandes d’accompagnement

Lorsqu’un utilisateur sollicite un accompagnement, Sanaday traite les informations nécessaires à l’organisation et au suivi de la demande.

Celles-ci peuvent notamment comprendre le sujet général d’accompagnement, le créneau demandé, la langue souhaitée, le format du rendez-vous, l’intervenant affecté, le statut du rendez-vous, ainsi que les informations relatives à une annulation, un report, une reprogrammation ou, le cas échéant, une satisfaction post-séance.

Sanaday applique un principe de minimisation aux informations demandées dans le cadre de ce parcours.

Les informations individuelles relatives à l’accompagnement ne sont pas communiquées à l’organisation cliente.

6.5. Données utilisées pour les indicateurs collectifs

Sanaday peut produire des indicateurs collectifs destinés à l’organisation cliente.

Ces indicateurs peuvent notamment porter sur l’adoption globale de la plateforme, le niveau général d’utilisation, l’engagement collectif, l’utilisation des contenus et parcours, l’activité globale du service d’accompagnement, la satisfaction globale et certaines tendances collectives prévues dans le tableau de bord collectif.

Les données communiquées à l’organisation cliente sont présentées sous une forme agrégée et non individualisée.

Le tableau de bord collectif est conçu de manière à ne pas permettre à l’organisation cliente d’identifier directement ou indirectement un utilisateur à partir de ses réponses, résultats, demandes, rendez-vous, parcours ou interactions personnelles.

6.6. Données techniques et de sécurité

Sanaday peut traiter l’adresse IP, les données de connexion et d’horodatage, les informations relatives au navigateur ou au terminal utilisé, les journaux d’erreur, les événements techniques de sécurité et les informations nécessaires à la maintenance, au support, à la prévention des incidents et à la protection de la plateforme.

7. Finalités des traitements

Sanaday traite les données personnelles afin de créer, activer, administrer et sécuriser les comptes utilisateurs ; permettre l’authentification et la gestion des accès ; administrer les espaces des organisations clientes ; mettre à disposition les contenus, ressources, parcours guidés, quiz, auto-évaluations, fonctionnalités de gamification et autres fonctionnalités actives ; permettre à l’utilisateur de retrouver sa progression et ses préférences ; recevoir et gérer les demandes d’accompagnement et de rendez-vous ; assurer le fonctionnement, la sécurité, la maintenance et le support de la plateforme ; produire les indicateurs collectifs

prévus dans le tableau de bord collectif de l’organisation cliente ; gérer la relation contractuelle avec les organisations clientes ; et respecter les obligations légales, administratives et de conformité applicables.

Les données issues de l’utilisation personnelle de Sanaday ne sont pas destinées à permettre à l’organisation cliente d’évaluer individuellement la performance professionnelle d’un utilisateur, de surveiller son comportement personnel ou de prendre une décision individuelle le concernant sur la base de ses réponses, auto-évaluations, demandes d’accompagnement ou usages personnels.

8. Informations accessibles à l’organisation cliente

L’organisation cliente peut accéder aux informations nécessaires à la gestion de son espace entreprise et aux indicateurs collectifs mis à sa disposition.

Selon la configuration retenue, cela peut notamment comprendre les paramètres de l’espace entreprise, les données administratives nécessaires à la gestion des accès et des habilitations, ainsi que des statistiques agrégées relatives à l’adoption, l’utilisation et l’activité générale du service.

L’accès de l’organisation cliente est limité aux informations nécessaires à ces finalités.

9. Informations non accessibles à l’organisation cliente

L’organisation cliente n’a pas accès aux informations individuelles confidentielles relatives à l’utilisation personnelle de Sanaday.

Elle ne peut notamment pas consulter les réponses individuelles aux quiz ou auto-évaluations, les résultats individuels, les demandes individuelles d’accompagnement, les sujets choisis individuellement, le contenu des échanges avec un coach ou accompagnant, les commentaires confidentiels, les rendez-vous individuels, les parcours personnels détaillés ni les informations permettant de déduire une situation personnelle particulière d’un utilisateur identifié ou identifiable.

Sanaday ne met pas à disposition de l’organisation cliente un outil de surveillance, de classement ou de profilage individuel des utilisateurs.

Cette séparation entre les usages individuels et les indicateurs collectifs constitue un principe structurant du fonctionnement de Sanaday.

10. Confidentialité des demandes d’accompagnement

Les demandes d’accompagnement sont traitées avec un niveau particulier de confidentialité.

L’accès aux informations est limité aux personnes dont l’intervention est nécessaire à l’organisation ou à la réalisation de l’accompagnement.

Les personnes chargées de la gestion opérationnelle n’accèdent qu’aux informations nécessaires à leur mission. Le coach ou accompagnant n’accède qu’aux informations nécessaires à la réalisation de l’accompagnement qui lui est confié.

L’organisation cliente n’a pas accès au contenu individuel des demandes ni aux échanges réalisés dans ce cadre.

Seules des informations globales et non individualisées peuvent être utilisées pour mesurer l’activité générale du service ou produire les indicateurs collectifs prévus dans le tableau de bord collectif.

11. Destinataires des données

Selon le traitement concerné, les données personnelles peuvent être accessibles aux équipes PSY LAB/Sanaday dûment habilitées et dans la limite de leurs fonctions, aux coachs ou accompagnants lorsque leur intervention est nécessaire, aux personnes habilitées de l’organisation cliente pour les seules informations administratives et collectives autorisées, aux prestataires techniques nécessaires à l’hébergement, la maintenance, la sécurité, le support, la gestion des accès ou l’envoi des communications nécessaires au service, ainsi qu’aux autorités légalement habilitées lorsque la communication est requise par la loi.

Les habilitations sont organisées de manière à limiter chaque accès aux données nécessaires à la mission concernée.

Lorsqu’un prestataire traite des données pour le compte de PSY LAB, la relation doit être encadrée contractuellement et le prestataire ne peut traiter les données que conformément aux instructions applicables. L’article 23 de la loi n°09-08 impose notamment au responsable d’encadrer de retenir des sous-traitants présentant des garanties suffisantes et contractuellement la sous-traitance.

12. Transferts de données à l’étranger

Dans le cadre de l’exploitation de Sanaday, certaines données peuvent être hébergées ou traitées en dehors du Maroc lorsqu’un prestataire technique situé à l’étranger intervient dans le fonctionnement de la solution.

À la date de la présente Politique, l’architecture déclarée comprend notamment un hébergement auprès de DigitalOcean dans une région située au Royaume-Uni.

Les catégories de données concernées, les prestataires, pays de destination et flux internationaux font l’objet d’une cartographie spécifique.

Les transferts concernés sont encadrés conformément aux articles 43 et 44 de la loi n°09-08 et aux formalités applicables auprès de la CNDP.

Le transfert des données personnelles vers le Royaume-Uni dans le cadre de l'hébergement de Sanaday fait l'objet des formalités applicables auprès de la CNDP. Le numéro du récépissé sera ajouté aux présentes mentions dès que disponible.

13. Durées de conservation

Sanaday conserve les données pendant des durées adaptées à leurs finalités, à la nature des données, aux fonctionnalités utilisées et aux obligations applicables.

Les durées ci-dessous constituent les durées de conservation retenues pour la présente Politique, sous réserve d’une obligation légale imposant une durée plus longue ou d’une nécessité de conservation limitée à des fins de preuve, de sécurité, de gestion d’un litige ou de respect d’une obligation légale.

À l’issue de la durée applicable, les données sont supprimées, anonymisées ou, lorsque cela est juridiquement justifié, archivées ou verrouillées selon des modalités empêchant leur utilisation courante.

14. Sécurité et confidentialité

Sanaday met en œuvre des mesures techniques et organisationnelles adaptées à la nature des traitements et aux risques associés afin de protéger les données contre notamment la perte, la destruction, l’altération, la divulgation, l’accès non autorisé ou tout autre traitement illicite.

Ces mesures comprennent, selon les traitements concernés, la gestion des habilitations, la séparation des profils d’accès, l’authentification, la sécurisation des infrastructures, la journalisation des événements appropriés, la limitation des accès internes, la protection des communications, les mécanismes de sauvegarde et de reprise, ainsi que des mesures de confidentialité applicables aux personnes autorisées.

Sanaday veille à ce que seules les personnes dûment habilitées puissent accéder aux données nécessaires à leurs fonctions.

Le responsable du traitement est légalement tenu de mettre en œuvre des mesures techniques et organisationnelles appropriées au regard des risques et de la nature des données traitées.

15. Droits des personnes concernées

Conformément à la loi n°09-08, les personnes concernées disposent notamment d’un droit d’accès à leurs données personnelles, d’un droit de rectification et, dans les conditions

prévues par la loi, de droits à l’actualisation, à l’effacement ou au verrouillage de données dont le traitement n’est pas conforme aux exigences légales.

Elles disposent également d’un droit d’opposition, pour des motifs légitimes, dans les conditions prévues par la loi, ainsi que d’un droit d’opposition sans frais à l’utilisation de leurs données à des fins de prospection.

Pour exercer ces droits, la personne concernée peut adresser sa demande à : contact@sanaday.com

Sanaday peut demander les éléments raisonnablement nécessaires afin de vérifier l’identité du demandeur. Cette vérification doit être proportionnée à la nature de la demande et aux données concernées.

La loi prévoit notamment un délai de dix jours francs pour les rectifications visées par l’article 8.

16. Données obligatoires et facultatives

Certaines informations sont nécessaires à la création du compte, à l’authentification, à la sécurité, à l’accès à certaines fonctionnalités ou au traitement d’une demande.

Lorsque la communication d’une information est obligatoire, Sanaday l’indique au moment de la collecte et précise, lorsque cela est pertinent, les conséquences d’un défaut de réponse.

Les autres informations sont facultatives. L’absence de communication peut toutefois limiter l’accès à la fonctionnalité pour laquelle elles sont nécessaires.

17. Formalités auprès de la CNDP

Les traitements mis en œuvre dans le cadre du périmètre actif de Sanaday font l’objet d’une qualification traitement par traitement afin de déterminer les formalités applicables auprès de la CNDP.

Le périmètre actuellement examiné comprend notamment la gestion des comptes utilisateurs et des accès, la gestion des organisations clientes et de leurs administrateurs, la mise à disposition des contenus et parcours, les quiz et auto-évaluations du périmètre actif, les demandes et rendez-vous d’accompagnement, la production d’indicateurs collectifs ainsi que les transferts de données à l’étranger.

Les références des récépissés, autorisations ou autres formalités applicables seront ajoutées ou rendues accessibles lorsque cela est requis.

18. Cookies, SDK et autres traceurs

Sanaday utilise des cookies et technologies similaires strictement nécessaires au

fonctionnement de ses services, notamment afin d’assurer l’authentification des utilisateurs, la

gestion des sessions, la sécurité des accès, la mémorisation de certains paramètres

techniques et le bon fonctionnement de la plateforme.

Le traitement relatif à la gestion des cookies fait l’objet d’une déclaration auprès de la CNDP,

conformément à la délibération n° D-939-2025 du 28 novembre 2025 applicable au traitement

de données à caractère personnel au moyen de cookies sur un terminal. La référence CNDP

correspondante sera ajoutée aux présentes mentions dès qu’elle sera disponible.

19. Communications et prospection

Les communications nécessaires au fonctionnement de Sanaday, à la sécurité du compte ou à l’exécution d’une demande sont distinguées des communications de prospection.

Lorsque Sanaday utilise des coordonnées électroniques à des fins de prospection directe, les règles prévues par la loi n°09-08 sont appliquées, notamment en matière de consentement préalable lorsque celui-ci est requis et de droit d’opposition.

La personne concernée peut s’opposer sans frais à l’utilisation de ses coordonnées à des fins de prospection dans les conditions prévues par la loi.

20. Mise à jour de la Politique

Sanaday peut mettre à jour la présente Politique afin de tenir compte de l’évolution de ses services, de l’activation de nouvelles fonctionnalités, de modifications techniques ou contractuelles, de nouveaux prestataires ou transferts, ainsi que de l’évolution des obligations et formalités applicables.

Lorsqu’une modification affecte substantiellement les conditions dans lesquelles les données des utilisateurs sont traitées, une information adaptée est communiquée aux personnes concernées.

La version applicable est celle mise à disposition sur la plateforme.

21. Contact

le traitement des données

Pour toute question concernant la présente Politique, personnelles ou l’exercice des droits :

PSY LAB / Sanaday Email : contact@sanaday.com Adresse : 82 ANG BD Abdelmoumen et Rue Soumaya, Étage 2, n°4, Palmier, chez SOFIDEL, Casablanca

Dernière mise à jour : 06/10/2026