Politique de Confidentialité

Éditeur : M&T AFRIQUE SARL (éditeur de la plateforme Tbibek) Siège social : 10 Rue Mohammedia, Imm REX, Étage 2, N°13, Tanger 90000, Maroc ICE : 003661376000010 — RC : 202500085647049 (Tanger) — IF : 66218889 Email : contact@tbibek.com Date de dernière mise à jour : 21 juin 2026

PRÉAMBULE

La présente Politique de Confidentialité est établie en conformité avec :

• Loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel
• Règlement Général sur la Protection des Données (RGPD) - Standard européen appliqué volontairement
• Constitution marocaine - Article 24 sur la protection de la vie privée

TBIBEK s'engage à protéger la vie privée et les données personnelles de santé de ses utilisateurs.

ARTICLE 1 - RESPONSABLE DU TRAITEMENT

Identité du Responsable :

• Dénomination : M&T AFRIQUE SARL (éditeur de la plateforme Tbibek)
• Siège social : 10 Rue Mohammedia, Imm REX, Étage 2, N°13, Tanger 90000, Maroc
• ICE : 003661376000010 — RC : 202500085647049 (Tanger) — IF : 66218889
• DPO (Délégué à la Protection des Données) : M. Yacine Tirichine — dpo@tbibek.com — 0669036921

Déclaration CNDP : Demande d'autorisation préalable déposée (Loi 09-08, formulaire F-112)

ARTICLE 2 - DONNÉES COLLECTÉES

Pour les Patients

Données d'identification :

• Nom, prénom, date de naissance, sexe
• Numéro de téléphone et adresse email
• Adresse postale (ville, code postal — précision minimale)

⚠️ TBIBEK NE COLLECTE PAS la Carte d'Identité Nationale (CIN), ni passeport, ni numéro de Sécurité Sociale des patients. Cette minimisation place le traitement sous le régime allégé CNDP F-214 (Loi 09-08).

Données de santé (Article 21 Loi 09-08) : ⚠️ DONNÉES SENSIBLES - Protection renforcée

• Antécédents médicaux, allergies, traitements en cours
• Motif de consultation, comptes-rendus
• Ordonnances médicales, résultats d'examens
• Historique des consultations

Données de connexion : Adresse IP, type de navigateur, date/heure de connexion, journaux d'audit (Loi 09-08 Art. 23).

Données de paiement patient : AUCUNE. Le règlement de la consultation entre patient et médecin se fait directement, hors plateforme. Tbibek ne traite ni n'enregistre aucune information bancaire patient.

Pour les Médecins

Données professionnelles :

• Numéro INPE (Identifiant National des Professionnels de l'Éducation et de la Santé)
• Spécialité, sous-spécialités, langues parlées
• Adresse cabinet (avec géolocalisation pour la recherche), horaires
• Tarifs de consultation indicatifs
• Biographie professionnelle, années d'expérience

Données de facturation (abonnement médecin) :

• Plan d'abonnement choisi (Mensuel/Annuel/Early Adopter gratuit)
• Historique de facturation (numéro de facture, montant, statut, période)
• Référence de transaction du prestataire de paiement (token, jamais le numéro de carte)
• RIB / IBAN bancaire (pour les remboursements éventuels uniquement, jamais utilisé pour des prélèvements)

ARTICLE 3 - FINALITÉS DU TRAITEMENT

Finalités Principales

1. Gestion des comptes utilisateurs - Authentification sécurisée
2. Gestion des rendez-vous - Prise de RDV, rappels Email et notifications push
3. Téléconsultations - Mise en relation vidéo Patient-Médecin
4. Dossier médical numérique - Stockage sécurisé données santé
5. Facturation - Paiements, reçus, remboursements

Finalités Secondaires

6. Amélioration du service - Statistiques anonymisées
7. Sécurité - Détection fraudes, logs d'audit
8. Communication marketing Tbibek (newsletter, nouveautés, conseils santé — opt-in)
9. Prospection pour les futurs outils édités par M&T AFRIQUE SARL (opt-in spécifique) — l'éditeur de Tbibek développe d'autres plateformes numériques destinées aux professionnels de santé (formation continue, outils administratifs, mises en relation B2B). Avec votre consentement explicite, vos coordonnées (téléphone, email, métier/spécialité) peuvent être utilisées pour vous proposer ces futurs services. Vous pouvez refuser à l'inscription ou retirer ce consentement à tout moment depuis votre profil. Aucune donnée médicale n'est concernée par cette finalité.

ARTICLE 4 - BASE LÉGALE

ARTICLE 5 - CONSENTEMENT

Consentement Explicite Obligatoire (Données de Santé)

Lors de l'inscription :

• ☐ J'accepte que TBIBEK collecte et traite mes données de santé (Loi 09-08)
• ☐ J'autorise la conservation de mon historique médical (10 ans)
• ☐ J'ai pris connaissance de mes droits

Révocabilité : Consentement révocable à tout moment via contact@tbibek.com

⚠️ Conséquence du retrait : Impossibilité de continuer le service

ARTICLE 6 - DESTINATAIRES ET SOUS-TRAITANTS

Hébergement (données de santé et identifiantes)

Nindohost (Cloud Maroc) — hébergement 100% marocain

• Les données de santé et identifiantes sont hébergées et stockées exclusivement au Maroc.
• Chiffrement AES-256 au repos, TLS 1.3 en transit
• Contrat de sous-traitance conforme à la Loi 09-08

Registre des sous-traitants (Article 31 Loi 09-08 / Article 28 RGPD)

⚠️ Tous les sous-traitants traitant des données personnelles font l'objet d'une clause de sous-traitance conforme à l'Article 31 de la Loi 09-08. Le détail des clauses (obligations de sécurité, secret, confidentialité, sous-traitance, audit, destruction des données en fin de contrat) est documenté dans le contrat liant Tbibek à chaque prestataire.

Autorités

Transmission possible à : CNDP, autorités judiciaires, Ordre des Médecins (réquisitions légales)

ARTICLE 7 - TRANSFERTS HORS DU MAROC

Données de santé et identifiantes : aucun transfert hors du Maroc. Elles sont hébergées exclusivement au Maroc (Nindohost), chiffrées au repos (AES-256) et en transit (TLS 1.3).

Transferts limités et accessoires : certaines fonctionnalités optionnelles s'appuient sur des sous-traitants situés hors du Maroc (cf. registre ci-dessus) :

• Assistant IA (Anthropic Claude / Google Gemini) : symptômes anonymisés et pseudonymisés, sans nom ni identifiant, et uniquement avec consentement ;
• Notifications push mobile (Google LLC — Firebase Cloud Messaging pour Android, Apple Inc. — APNs pour iOS) : transit technique d'un jeton opaque de votre appareil et de libellés génériques (« Nouveau rendez-vous », « Rappel », sans nom ni motif). Aucune donnée médicale n'est transmise à ces services. Vous pouvez désactiver les notifications push à tout moment dans les réglages système de votre téléphone.
• Emails transactionnels (Google Workspace, Gmail SMTP) : adresse email destinataire + contenu du message (vérification, confirmation RDV, réinitialisation). Aucune donnée médicale n'est transmise en clair. Cet acheminement est couvert par le Google Cloud DPA déjà signé pour Firebase et Gemini (même responsable de traitement : Google LLC).

Ces transferts ne concernent jamais le dossier médical. Ils sont réalisés avec votre consentement et encadrés par les engagements de confidentialité des prestataires. Vous pouvez vous opposer à ces fonctionnalités optionnelles à tout moment.

ARTICLE 8 - SÉCURITÉ DES DONNÉES

Chiffrement (état de l'art ANSSI / OWASP) :

• En transit : TLS 1.3 (HTTPS obligatoire, HSTS preload activé)
• Au repos : AES-256-GCM pour les fichiers médicaux ET pour les colonnes de DB sensibles (ordonnances, notes de consultation, messages)
• Mots de passe : argon2id (m=19MiB, t=2, p=1 — recommandation OWASP 2024)
• Signature de session : JWT HS256 avec rotation de clé (header kid)

Mesures techniques :

• WAF Nginx (filtres scanners + paths suspects)
• Rate-limiting distribué (Redis)
• Antivirus ClamAV sur tous les uploads
• Validation magic-byte des fichiers
• Audit trail systématique (DataAccessLog) sur les accès aux données patients
• Sauvegardes quotidiennes + test mensuel automatisé de restauration
• Monitoring 24/7 avec alerte mail sur dégradation

Mesures organisationnelles :

• RBAC strict côté serveur (rôles patient / médecin / secrétaire / admin)
• Aucun secret en dur dans le code (variables d'environnement uniquement)
• Procédure de gestion de clés cryptographiques (escrow Shamir 3-of-5)
• Pas de CIN patient collectée (minimisation)
• Pseudonymisation patient avant tout appel à un service tiers IA

Notification de violation de données : sous 72 heures à la CNDP et information directe des utilisateurs concernés, conformément à l'Article 24 bis de la Loi 09-08 et à l'Article 33 du RGPD. Procédure documentée et opérationnelle.

ARTICLE 9 - DURÉE DE CONSERVATION

ARTICLE 10 - DROITS DES UTILISATEURS

Conformément aux Articles 8-12 de la Loi 09-08 :

Droit d'Accès

• Demander copie de vos données via Paramètres → Télécharger mes données
• Délai : 30 jours maximum

Droit de Rectification

• Corriger données inexactes via Profil → Modifier

Droit d'Opposition

• Marketing : Opt-out immédiat
• Données santé : Implique suspension compte

Droit à l'Effacement

• Demander suppression via Paramètres → Supprimer mon compte
• ⚠️ Limitation : Données médicales conservées 10 ans (obligation légale)

Droit à la Portabilité

• Récupération données format JSON/PDF

Contact DPO

📧 dpo@tbibek.com 📬 Courrier recommandé au siège social

Recours : Si insatisfait → Réclamation CNDP (Avenue Al Arz, Secteur 4, M1, Hay Riad, Rabat)

ARTICLE 11 - COOKIES

Cookies Nécessaires (sans consentement)

• auth_token - Authentification (session)
• lang_pref - Langue (1 an)
• cookie_consent - Choix cookies (13 mois)

Cookies Analytiques (consentement requis)

• Google Analytics (_ga, _gid) - Statistiques anonymisées

Gestion

Bandeau initial : Accepter / Refuser / Personnaliser Révocation : Paramètres → Cookies (à tout moment)

ARTICLE 12 - MINEURS

Âge minimum : 16 ans avec autorisation parentale

Procédure :

1. Compte créé par parent/tuteur
2. Ajout mineur comme "Membre famille"
3. Consentement parental pour données santé

ARTICLE 13 - MODIFICATIONS

Modifications substantielles :

• Notification email 30 jours avant entrée en vigueur
• Obligation ré-acceptation

Historique versions : Disponible sur demande à contact@tbibek.com

ARTICLE 14 - SECRET MÉDICAL

Article 446 Code Pénal Marocain : Le secret médical est une obligation légale

Engagement médecins :

• Respect absolu du secret médical
• Confidentialité consultations
• Sanctions : Emprisonnement 1-6 mois + amende

ARTICLE 15 - INTELLIGENCE ARTIFICIELLE

Assistant IA Gemini :

• Chatbot informatif uniquement (pas de diagnostic)
• Analyse symptômes pour orientation

Disclaimer :

⚠️ Cette analyse IA ne remplace PAS l'avis d'un médecin. Consultez un professionnel ou appelez le 141 (SAMU).

Données IA : Symptômes anonymisés (pas de nom/prénom)

ARTICLE 16 - COOPÉRATION AUTORITÉS

CNDP : Coopération complète, réponse 30 jours

Réquisitions judiciaires :

• Vérification cadre légal
• Transmission données strictement nécessaires
• Information utilisateur (sauf secret instruction)

ARTICLE 17 - RESPONSABILITÉS

TBIBEK s'engage à : ✅ Sécuriser les données ✅ Respecter Loi 09-08 ✅ Notifier violations ✅ Faciliter exercice droits

TBIBEK non responsable de : ❌ Perte données (force majeure) ❌ Utilisation frauduleuse compte tiers ❌ Contenu médical (responsabilité médecin)

ARTICLE 18 - DROIT APPLICABLE

Loi applicable : Loi marocaine 09-08, Code Pénal, Loi 131-13

Juridiction : Tribunaux du siège social TBIBEK (Maroc)

ARTICLE 19 - CONTACT

DPO (Délégué Protection Données) : 📧 dpo@tbibek.com — M. Yacine Tirichine — ☎️ 0669036921

CNDP (Réclamations) : 🏛️ Avenue Al Arz, Secteur 4, M1, Hay Riad, Rabat, Maroc ☎️ +212 (0)5 37 57 11 26 📧 contact@cndp.ma 🌐 www.cndp.ma

Date d'entrée en vigueur : 21 juin 2026 Version : 1.0

TBIBEK - Votre santé, notre priorité. En toute confiance.