Politique de confidentialité

Qui nous sommes

Image Registrars Limited (« Image Registrars », « nous ») est un registraire de titres au Kenya. Nous tenons les registres d'actionnaires de sociétés (les « émetteurs ») et exploitons le site web et l'application mobile Investor Portal (« le Portail ») afin que leurs actionnaires puissent consulter et gérer leurs avoirs.

Pour votre compte sur le Portail et les informations que vous nous communiquez par son intermédiaire, nous sommes le responsable du traitement des données au sens de la loi kényane sur la protection des données (Data Protection Act, 2019). Le registre des actionnaires appartient à l'émetteur : nous le tenons pour le compte de l'émetteur, en tant que sous-traitant.

Vous pouvez nous joindre aux coordonnées suivantes :

• Adresse: 5th Floor, Absa Towers, Loita Street, P.O. Box 9287-00100 GPO, Nairobi, Kenya
• Téléphone: +254 709 170 000
• E-mail: info@image.co.ke (veuillez écrire « Data protection » en objet du message)
• Site web: www.image.co.ke

Ce que nous collectons

Nous collectons ce que vous nous donnez, ce que le registre de l'émetteur contient déjà à votre sujet, et un petit nombre de données techniques lorsque vous utilisez le Portail :

• Compte: votre adresse e-mail, votre numéro de mobile et votre langue préférée. Votre mot de passe est conservé par le service de connexion de Microsoft, qui vous authentifie pour nous ; nous ne le voyons jamais.
• Identité: vos nom et prénoms, votre nationalité, votre numéro de pièce d'identité nationale ou de passeport, votre date de naissance et votre adresse, ainsi que le numéro d'immatriculation d'une société lorsque vous agissez pour son compte.
• Documents: des copies de votre pièce d'identité ou de votre passeport et d'un justificatif de domicile, ainsi que les documents prouvant votre droit d'agir pour un avoir, tels qu'une résolution du conseil d'administration, un jugement d'homologation de testament (grant of probate) ou des lettres d'administration, une procuration, un acte de naissance ou de décès, ou un relevé de compte joint.
• Avoirs: votre numéro de compte CDSC ainsi que les actions, dividendes et paiements enregistrés à votre nom dans le registre de l'émetteur.
• Profil: votre sexe, votre situation matrimoniale, votre KRA PIN, votre profession, votre employeur, l'origine de vos fonds, le fait que vous soyez ou non une personne politiquement exposée, votre comté et votre circonscription, ainsi que votre plus proche parent (nom, lien de parenté, numéro de téléphone, numéro de pièce d'identité ou de passeport et part de droits).
• Coordonnées de paiement: le compte bancaire ou le numéro de mobile money sur lequel vos dividendes sont versés.
• Handicap (facultatif): le fait que vous soyez en situation de handicap, sa nature et tout aménagement dont vous avez besoin. Il s'agit de données personnelles sensibles. Vous décidez de les fournir ou non, et vous pouvez modifier votre réponse à tout moment.
• Demandes et messages: les demandes de renseignements, de transfert, de modification et de lettre UFAA que vous envoyez, les approbations des co-titulaires, ainsi que les messages et fichiers échangés avec notre personnel.
• Données de l'appareil et de sécurité: le type d'appareil que vous utilisez, le jeton de notification de l'application, l'adresse IP et les informations sur le navigateur ou l'application lors des connexions et des actions importantes, ainsi que les codes à usage unique que nous envoyons pour confirmer votre numéro de téléphone ou une modification sensible. Nous ne conservons ces codes que sous forme brouillée (hachée), et ils expirent en quelques minutes.

Comment nous les utilisons, et pourquoi nous y sommes autorisés

• Pour gérer votre compte: le créer, vous connecter et le sécuriser. Nous en avons besoin pour vous fournir le Portail.
• Pour vous vérifier: contrôler votre identité et vos documents et vous rapprocher du registre avant de vous montrer le moindre avoir. La loi l'exige (la loi sur le produit du crime et la lutte contre le blanchiment d'argent (Proceeds of Crime and Anti-Money Laundering Act, 2009) et la réglementation des marchés de capitaux), et cela vous protège contre quiconque revendiquerait vos actions.
• Pour traiter vos demandes: examiner et traiter les demandes de renseignements, de transfert, de modification et de lettre UFAA, et mettre à jour le registre sur instruction de l'émetteur.
• Pour verser les dividendes: payer le compte que vous indiquez, retenir l'impôt à l'aide de votre KRA PIN comme l'exige la loi de l'impôt sur le revenu (Income Tax Act), et reverser les dividendes non réclamés à l'Autorité des avoirs financiers non réclamés (Unclaimed Financial Assets Authority, UFAA) comme l'exige la loi sur les avoirs financiers non réclamés (Unclaimed Financial Assets Act, 2011).
• Pour vous tenir informé: envoyer des codes de vérification, des mises à jour sur vos demandes et des avis de dividende par e-mail, SMS et notification de l'application. Cela fait partie du service.
• Pour diffuser des annonces: envoyer des convocations d'assemblée générale et d'autres annonces des émetteurs sur les canaux que vous autorisez. Vous pouvez désactiver des canaux, ou vous désabonner de toutes les annonces, dans Préférences de communication.
• Pour protéger le Portail: tenir une piste d'audit, détecter la fraude et les abus, et corriger les problèmes. Cela relève de notre intérêt légitime et du vôtre, et est parfois exigé par la loi.
• Informations sur le handicap: uniquement avec votre consentement explicite, et uniquement pour mettre en place l'aménagement que vous demandez.

Notre personnel prend toutes les décisions concernant votre identité et vos demandes ; nous ne prenons aucune décision à votre sujet par des moyens exclusivement automatisés. Nous ne vendons pas vos données et ne les utilisons pas à des fins publicitaires.

Avec qui nous les partageons

Nous ne partageons vos données que lorsque c'est nécessaire, et uniquement ce qui est nécessaire :

• L'émetteur: la société dont vous détenez des actions, à laquelle appartient son registre.
• Co-titulaires: si vous détenez des actions conjointement, les autres titulaires voient les demandes portant sur cet avoir, y compris votre nom, et sont invités à les approuver.
• Institutions de marché: la Central Depository and Settlement Corporation (CDSC, dépositaire central et organisme de règlement) et votre courtier ou conservateur, lorsqu'une demande les concerne.
• Prestataires de paiement: les banques et les fournisseurs de mobile money qui versent vos dividendes.
• Autorités: l'Autorité fiscale du Kenya (Kenya Revenue Authority), l'UFAA, l'Autorité des marchés de capitaux (Capital Markets Authority), les tribunaux et les forces de l'ordre, lorsque la loi l'exige.
• Nos prestataires de services: Microsoft (hébergement Azure et connexion), Twilio SendGrid (e-mail), Africa's Talking (SMS) et Google Firebase (notifications de l'application). Ils ne traitent les données que sur nos instructions et en vertu de contrats qui les obligent à les protéger.

Où vos données sont stockées

Le Portail et ses bases de données sont hébergés sur Microsoft Azure en Afrique du Sud. Certains de nos prestataires de services traitent des données dans d'autres pays, notamment aux États-Unis, pour envoyer des e-mails et des notifications d'application. Nous ne transférons des données hors du Kenya qu'avec les garanties exigées par la loi sur la protection des données (Data Protection Act, 2019), telles que des contrats qui les protègent et des prestataires respectant des normes de sécurité reconnues.

Combien de temps nous les conservons

• Registre des actionnaires et dossiers de dividendes: aussi longtemps que l'émetteur et la loi l'exigent. Ce sont des archives permanentes de la société.
• Vérifications d'identité, documents, demandes et messages: tant que vous avez un compte, puis pendant au moins sept ans par la suite, comme l'exige la législation contre le blanchiment d'argent.
• Notifications de l'application et du site web: supprimées automatiquement au bout de 90 jours.
• Journaux de sécurité et d'audit: aussi longtemps que nécessaire pour protéger le Portail et respecter nos obligations légales.

Lorsque nous n'avons plus besoin de données, nous les supprimons ou les anonymisons.

Comment nous les protégeons

Toutes les connexions au Portail sont chiffrées, et nos bases de données sont chiffrées au repos. La connexion est assurée par le service d'identité de Microsoft, les modifications sensibles exigent un code à usage unique, le personnel ne voit que ce que son rôle exige, et nous conservons une trace de qui a fait quoi. Sur l'application mobile, votre connexion est conservée dans l'espace de stockage sécurisé de votre téléphone.

Nous ne vous demanderons jamais votre mot de passe ni un code à usage unique par téléphone, SMS ou e-mail. Si quelqu'un le fait, ne le communiquez pas et prévenez-nous.

Vos droits

En vertu de la loi sur la protection des données (Data Protection Act, 2019), vous avez le droit :

• d'être informé de la manière dont vos données sont utilisées, ce qui est l'objet de la présente politique ;
• d'obtenir une copie des données que nous détenons à votre sujet ;
• de faire corriger les données erronées ou incomplètes. Vous pouvez modifier vous-même la plupart des informations dans le Portail ; les modifications du registre passent par une demande ;
• de faire supprimer les données que nous ne sommes pas tenus de conserver ;
• de vous opposer à la manière dont nous utilisons vos données, y compris pour les annonces ;
• de retirer à tout moment un consentement que vous avez donné, par exemple pour les informations sur le handicap ;
• de recevoir les données que vous nous avez fournies dans un format électronique courant ;
• de ne pas faire l'objet d'une décision prise par des moyens exclusivement automatisés.

Pour exercer l'un de ces droits, écrivez à info@image.co.ke en indiquant « Data protection » en objet, ou écrivez-nous par courrier. Il se peut que nous devions d'abord confirmer votre identité, et nous vous répondrons dans le délai fixé par la loi.

Vous pouvez supprimer vous-même votre compte sur le Portail à tout moment, dans les paramètres de votre compte sur le site web ou sous Paramètres dans l'application, ou nous demander de le faire pour vous. La suppression supprime votre connexion et votre profil sur le Portail ; elle ne vous retire pas du registre de l'émetteur et ne supprime pas les archives que la loi nous oblige à conserver.

Si vous n'êtes pas satisfait de la manière dont nous avons traité vos données, vous pouvez déposer une plainte auprès du Bureau du Commissaire à la protection des données (Office of the Data Protection Commissioner, www.odpc.go.ke). Nous apprécierions toutefois d'avoir d'abord la possibilité d'y remédier.

Enfants

Le Portail s'adresse aux adultes. Un parent ou un tuteur peut gérer des actions détenues par un enfant. Dans ce cas, nous traitons les informations relatives à l'enfant, telles que son nom, sa date de naissance et son acte de naissance, uniquement à cette fin et avec le consentement du parent ou du tuteur.

Cookies et stockage sur votre appareil

Le site web n'utilise que les cookies nécessaires à son fonctionnement : pour vous maintenir connecté, pour protéger les formulaires contre la falsification et pour mémoriser votre langue. Nous n'utilisons aucun cookie publicitaire ni de suivi. L'application mobile conserve votre connexion dans l'espace de stockage sécurisé de votre téléphone, et vos paramètres, comme la langue, sur votre appareil.

Modifications de cette politique

Lorsque nous modifions cette politique, nous publions la nouvelle version ici avec une nouvelle date. Si une modification change de façon importante la manière dont nous utilisons vos données, nous vous en informerons dans le Portail ou par e-mail avant qu'elle ne prenne effet.