Politique de confidentialité

En vigueur le 4 octobre 2026.

1. Qui sommes-nous

« Golzak » est une marque utilisée par deux sociétés indépendantes appartenant au même associé, qui coopèrent dans le cadre d’un accord intra-groupe :

• GOLZAK UK LTD, société à responsabilité limitée de droit anglais immatriculée en Angleterre et au pays de Galles sous le n° 13649050, dont le siège est situé 167-169 Great Portland Street, 5th Floor, Londres W1W 5PF, Royaume-Uni (« Golzak UK »). Golzak UK édite le site golzak.com, exploite le portail client (portal.golzak.com), publie les applications mobiles Golzak, et vend et facture les services payés par carte (Stripe) ou en cryptomonnaie.
• GOLZAK SARL AU, société à responsabilité limitée à associé unique de droit marocain, RC Fès n° 60041, ICE 001562263000028, IF 3371989, dont le siège est situé N°8 rue Omar Ibn Kaltoum, avenue El Kattani, Agdal, bureaux 29, 5e étage, 30000 Fès, Maroc (« Golzak Maroc »). Golzak Maroc est le prestataire de noms de domaine .ma accrédité par l’ANRT, emploie notre personnel au Maroc, vend et facture les services payés par virement bancaire marocain, en espèces ou par carte marocaine (CMI), et héberge techniquement le site golzak.com pour le compte de Golzak UK.

Quelle société est responsable de vos données ? La société mentionnée sur votre commande et votre facture est votre cocontractant. Elle est responsable du traitement de votre compte, de vos commandes, de votre facturation et du support. Golzak UK est responsable du site golzak.com (cookies, mesure d’audience, formulaires de contact) et des applications mobiles, qui ont leurs propres politiques de confidentialité. Notre portail client sert uniquement à encaisser les paiements ; votre facture légale est émise par la société que vous avez payée, depuis son propre logiciel de gestion. Lorsque Golzak UK met le portail client à la disposition de Golzak Maroc, elle agit en qualité de sous-traitant de Golzak Maroc, et lorsque Golzak Maroc héberge le site golzak.com, elle agit en qualité de sous-traitant de Golzak UK. Lorsque vous enregistrez un nom de domaine .ma via Golzak UK (ou un autre revendeur), Golzak Maroc reçoit les données du titulaire en qualité de prestataire accrédité et les transmet à l’ANRT.

↑ Retour au sommaire

2. Données collectées

• Données de compte et de contact : nom, raison sociale, adresse postale, pays, e-mail, téléphone, ICE/identifiant fiscal pour les entreprises, identifiants de connexion (mots de passe chiffrés), langue.
• Données du titulaire d’un nom de domaine : coordonnées du titulaire et des contacts. Pour les domaines .ma, l’ANRT exige le numéro de CIN, de passeport ou de titre de séjour, ou l’identifiant fiscal/ICE de la société.
• Données de commande et de facturation : produits, factures, moyen de paiement, montant et date. Les numéros de carte sont saisis directement auprès de nos prestataires de paiement (Stripe, CMI) et ne sont jamais conservés par Golzak.
• Support et communications : tickets, e-mails, chat, notes d’appel et demandes de devis.
• Données techniques : adresse IP, données du navigateur et de l’appareil, journaux d’accès à notre portail et à nos serveurs, événements de sécurité.
• Données du site et de marketing : cookies et technologies similaires (voir section 13), abonnements et désabonnements aux lettres d’information, et identifiants de campagne associés à un formulaire envoyé.
• Candidats : CV, coordonnées et notes d’entretien que vous nous transmettez.
• Contenu hébergé : fichiers, sites, e-mails et bases de données que vous stockez sur notre hébergement. Nous traitons ce contenu uniquement sur vos instructions, en qualité de sous-traitant. Vous restez responsable des données personnelles que vos propres visiteurs ou clients vous confient. Notre avenant relatif au traitement des données s'applique à ce contenu.

↑ Retour au sommaire

3. Finalités et bases légales

Lorsque nous nous fondons sur nos intérêts légitimes, nous les avons mis en balance avec vos droits. Vous pouvez à tout moment vous opposer à un traitement fondé sur des intérêts légitimes ; nous y mettrons fin, sauf si nous justifions de motifs légitimes impérieux ou si les données sont nécessaires à la constatation, à l’exercice ou à la défense de droits en justice. Les oppositions à la prospection directe sont toujours prises en compte.

Comment nous recueillons votre consentement. Nos formulaires sur golzak.com et dans notre portail client (contact, devis, support, newsletter, prise de rendez-vous et commande) comportent une case à cocher qui n’est jamais pré-cochée. Une case obligatoire confirme que vous avez lu la présente politique et que vous acceptez le traitement de vos données pour répondre à votre demande ou fournir les services commandés. Sur les formulaires de contact, de devis et de support et lors de la commande, une case distincte et facultative vous permet de choisir de recevoir nos offres par e-mail ; vous pouvez envoyer votre demande sans la cocher. Les réponses données sur les formulaires de notre site sont enregistrées avec votre demande, et votre choix concernant la newsletter ou la liste de diffusion est enregistré avec vos coordonnées. Vous pouvez retirer votre consentement à tout moment, via le lien de désinscription présent dans chaque e-mail ou en écrivant à privacy@golzak.com. Ce retrait n’affecte pas les traitements effectués avant celui-ci.

Nous ne prenons aucune décision produisant des effets juridiques ou significatifs à votre égard sur le seul fondement d’un traitement automatisé. Nous utilisons un assistant de rédaction par IA (API Claude d’Anthropic) pour préparer les réponses aux demandes commerciales. Son utilisation est supervisée par un membre de l’équipe Golzak, et le fournisseur n’utilise pas nos données pour entraîner ses modèles.

↑ Retour au sommaire

4. Destinataires de vos données

Nous ne partageons les données que dans la mesure nécessaire aux finalités ci-dessus, avec :

• l’autre société Golzak, dans le cadre de l’accord intra-groupe (portail client, hébergement du site, revente des .ma et clauses de traitement des données) ;
• les registres et registraires de noms de domaine : ANRT (.ma, Maroc) et Enom, LLC (autres extensions, États-Unis). Certaines données du titulaire peuvent figurer dans les annuaires publics WHOIS/RDAP selon les règles du registre ;
• les hébergeurs et éditeurs de logiciels : CrocWeb Inc. (serveurs et portail client, Canada), Odoo S.A. (bases ERP/CRM distinctes pour chaque société, Belgique, serveurs en France), Cloudflare, Inc. (sécurité et diffusion, États-Unis), Amazon Web Services, Inc. (envoi d’e-mails, États-Unis), Celonis SE / Make (automatisation, Allemagne), Anthropic, PBC (assistant IA, États-Unis) ;
• les prestataires de paiement et banques : Stripe (pour Golzak UK), CMI et banques marocaines (pour Golzak Maroc), et Cryptomus (si vous payez en cryptomonnaie) ;
• sur golzak.com : Google (Analytics, Tag Manager, Ads) et Meta Platforms (Meta Pixel), pour la mesure d’audience et la publicité ;
• nos comptables et conseils juridiques, ainsi que les autorités publiques ou les tribunaux lorsque la loi l’exige.

Nous ne vendons pas vos données personnelles.

↑ Retour au sommaire

5. Transferts internationaux

Vos données peuvent être traitées au Maroc, au Royaume-Uni, dans l’Union européenne (France, Belgique, Allemagne, Irlande), au Canada et aux États-Unis. Pour les transferts hors du Royaume-Uni ou de l’UE, nous nous appuyons sur des décisions d’adéquation (UE, Royaume-Uni et Canada), sur l’avenant britannique de transfert international (IDTA) et les clauses contractuelles types de l’UE figurant dans les accords de traitement de nos prestataires et, le cas échéant, sur l’EU-US Data Privacy Framework et son extension britannique. Pour les données dont Golzak Maroc est responsable, les transferts à l’étranger sont notifiés à la CNDP et réalisés dans le cadre du régime d’autorisation des articles 43 et 44 de la loi 09-08.

↑ Retour au sommaire

6. Durées de conservation

• Données de compte client et de contrat : pendant la durée du contrat, puis 5 ans (prescription).
• Factures et pièces comptables : 10 ans (Code de commerce marocain) ou 6 ans (Companies Act britannique), selon la société émettrice.
• Numéros d’identité des titulaires .ma : durée de vie du domaine plus 1 an.
• Tickets de support et journaux d’activité du compte : pendant la durée de votre compte et du contrat, puis 5 ans.
• Prospects et abonnés aux lettres d’information : 3 ans après notre dernier contact, ou jusqu’à votre désinscription. Votre opposition est conservée afin de pouvoir la respecter.
• Candidats : 2 ans, sauf si vous nous demandez de supprimer votre candidature plus tôt.
• Journaux des serveurs proxy (applications) : 7 jours au maximum, puis suppression automatique.
• Vantom VPN in-app feedback: messages 90 days; attached diagnostics and diagnostic log 30 days; earlier if you delete your account.
• Comptes des applications : jusqu’à la suppression de votre compte, ou 2 ans après votre dernière utilisation de l’application.

↑ Retour au sommaire

7. Mobile apps (Blue Proxy, Proxynel, Vantom VPN)

Les applications Blue Proxy et Proxynel sont publiées sur Google Play par GOLZAK UK LTD, responsable du traitement des données décrites dans la présente section.

• Compte (facultatif) : si vous vous connectez avec Google, nous recevons votre adresse e-mail, votre nom, votre photo de profil et un identifiant utilisateur (Firebase Authentication), que nous utilisons pour associer votre abonnement à votre compte.
• Achats : les abonnements sont vendus via Google Play. Nous recevons de Google Play le jeton d’achat, le produit et le statut de l’abonnement ; nous ne recevons jamais les données de votre carte de paiement.
• Publicité : les versions gratuites affichent des publicités diffusées par Google AdMob et Meta Audience Network. Ces prestataires collectent l’identifiant publicitaire et l’identifiant de groupe d’applications (app set ID) de votre appareil, votre adresse IP (utilisée pour estimer votre localisation approximative), des informations sur votre appareil et vos interactions avec les publicités, à des fins de publicité, de mesure et de prévention de la fraude. Dans l’EEE, au Royaume-Uni et en Suisse, les versions gratuites de nos applications sont financées par la publicité personnalisée. Avant l’affichage de toute publicité, l’outil de consentement de Google (certifié dans le cadre de l’IAB Transparency & Consent Framework) vous demande votre consentement. Si vous ne souhaitez pas donner votre consentement, vous pouvez opter à la place pour l’abonnement sans publicité (Blue Proxy+ ou Proxynel+). Vous pouvez modifier votre choix à tout moment dans les paramètres de confidentialité de l’application.
• Mesure d’audience et qualité des applications : nous utilisons Google Analytics for Firebase, Firebase Crashlytics, Performance Monitoring, Remote Config, Cloud Messaging (notifications push) et, dans Proxynel, In-App Messaging. Ces outils collectent les interactions avec l’application, les journaux de plantage, des diagnostics, des informations sur l’appareil et un jeton de notification push.
• Service proxy : votre trafic est chiffré entre l’application et nos serveurs proxy. Pour assurer le service, prévenir les abus et respecter la loi, nos serveurs enregistrent votre adresse IP, la date et l’heure, votre identifiant de compte ou de session et le site de destination (pour les sites HTTPS, uniquement le nom de domaine, jamais le contenu des pages). Ces journaux sont conservés sur le serveur pendant 7 jours au maximum, puis supprimés automatiquement. Nous ne vendons jamais votre historique de navigation.
• Sécurité : Proxynel utilise Google Play Integrity pour détecter les applications modifiées et la fraude ; Blue Proxy envoie à nos serveurs des diagnostics anonymes sur la qualité de connexion.
• Autorisations des sites web : Proxynel n’accède pas pour son propre compte à votre localisation, à votre caméra ni à votre microphone. Si un site que vous visitez les demande, l’application affiche une invite ; si vous l’autorisez, les données sont transmises uniquement à ce site, et non à Golzak.

Vantom VPN

Vantom VPN uses Android's VpnService to create an encrypted WireGuard tunnel between your device and a Vantom server in the country you choose (currently the United States, the United Kingdom and Germany). The tunnel runs only when you turn it on, and your traffic then reaches the internet through that server.

• Account: the app works without signing in: it creates an anonymous account with a random Firebase user identifier. If you choose to link your Google account, we also receive your e-mail address, name and profile picture.
• Device: a random device identifier, the platform, your device's WireGuard public key and a push-notification token used to end sessions. To protect the service from abuse, the app proves it is unmodified and running on a genuine Android device using Android key attestation; we receive a device public key and its attestation certificate, which contain no personal data.
• Connection records: for each session, the country and server used, start and end time, the private tunnel address assigned to you, the time of the last WireGuard handshake and the total bytes sent and received. They are deleted automatically 30 days after the session ends. Before that, we combine them into anonymous daily totals per country (number of connections, connected time and data volume) that contain no account or device identifiers; we keep these totals to decide which locations to offer.
• No browsing logs: we never record the websites or apps you use through the VPN, your DNS queries or the content of your traffic.
• Service request logs: our control servers (Cloudflare) log each request the app makes to our service, including your IP address, the time, the request and technical details such as the app version and device, to keep the service secure, prevent abuse and improve it. We also record app and connection activity, including IP address, account and device IDs, for up to 3 months to fix problems and improve the service; these activity records are then deleted automatically, and deleting your account does not remove them earlier. While connected, your DNS queries are resolved by Cloudflare (1.1.1.1) and Google (8.8.8.8) public resolvers; we do not log them.
• Diagnostic logs: the app keeps a diagnostic log of its own events (connections, location switches, disconnections, errors and tunnel state) on your device for about 7 days. It is redacted as it is written and never contains your traffic, your DNS queries, the websites or apps you use, keys, sign-in tokens or e-mail addresses. We may collect app diagnostic logs to fix problems: when our support team requests it, the app uploads this log to our service, which keeps it for 30 days and deletes it earlier if you delete your account.
• In-app feedback: when you send us feedback, we keep your message for 90 days and the diagnostics and diagnostic log attached to it for 30 days, then delete them; deleting your account deletes them earlier.
• Providers: Google Firebase (sign-in, Crashlytics, Analytics, Cloud Messaging, In-App Messaging), Cloudflare (control servers and database), DigitalOcean (VPN servers) and Google Fonts (the app downloads its typefaces once from Google's font servers, which see your IP address; the fonts are then cached on your device). Vantom VPN currently shows no ads; if ads are added, this section and section 8 will be updated before release and you will be asked for consent where the law requires it.
• Deleting your account: in the app, open your profile and tap Request account deletion, or use our page de suppression de compte or write to privacy@golzak.com. We delete your account, devices, keys and connection records from all Golzak systems within 30 days and confirm by e-mail.

Suppression de votre compte : vous pouvez demander la suppression de votre compte d’application et des données associées sur notre page de suppression de compte ou en écrivant à privacy@golzak.com depuis l’adresse e-mail associée à votre compte. Nous supprimons votre compte, votre identifiant utilisateur et vos données de profil dans un délai de 30 jours. Nous conservons les justificatifs d’achat aussi longtemps que l’exige la législation fiscale (jusqu’à 6 ans) et les journaux proxy expirent automatiquement après 7 jours. La désinstallation de l’application n’annule pas un abonnement Google Play.

↑ Retour au sommaire

8. Publicité et mesure d’audience

Nous utilisons Google Analytics, Google Tag Manager, Google Ads (mesure des conversions et remarketing), Meta Pixel et Hotjar (Contentsquare SAS) sur golzak.com, ainsi que Google AdMob et Meta Audience Network dans nos applications. Ces partenaires peuvent utiliser des cookies, des identifiants d’appareil et des technologies similaires pour collecter des informations sur votre utilisation de nos services et d’autres sites et applications, et pour mesurer et personnaliser les publicités. Découvrez comment Google utilise les informations des sites ou applications qui utilisent ses services.

Vous pouvez vous y opposer à tout moment :

• via notre bandeau cookies sur le site web, ou les paramètres de confidentialité de nos applications ;
• Google : Mon Centre publicitaire et le module complémentaire de désactivation de Google Analytics;
• Meta : vos préférences publicitaires Meta;
• outils du secteur : NAI, DAA et Your Online Choices;
• sur Android : Paramètres > Google > Annonces, pour supprimer ou réinitialiser votre identifiant publicitaire.

Hotjar enregistre des données d’utilisation anonymisées et des cartes thermiques uniquement après que vous avez accepté les cookies de mesure d’audience ; le texte saisi dans les champs de formulaire est masqué.

↑ Retour au sommaire

9. Données d’enregistrement des noms de domaine

Pour enregistrer un nom de domaine, nous devons transmettre les coordonnées du titulaire au registraire et au registre. Les domaines génériques (.com, .net, etc.) sont enregistrés par l’intermédiaire d’eNom, LLC (groupe Tucows), registraire accrédité par l’ICANN, qui agit en qualité de responsable du traitement indépendant pour ces données en vertu de la Registration Data Policy de l’ICANN. Les données sont transmises au registre, déposées auprès d’un dépositaire de données (data escrow) désigné par l’ICANN et rendues accessibles via les services WHOIS/RDAP, où les données personnelles des personnes physiques sont généralement masquées ; les registraires les communiquent aux tiers justifiant d’un intérêt légitime conformément aux règles de l’ICANN. Pour les domaines .ma, les données sont transmises à l’ANRT, qui les publie dans le WHOIS .ma conformément à sa décision de nommage.

↑ Retour au sommaire

10. Prévention de la fraude et des abus

Afin de protéger nos utilisateurs, nos réseaux et les tiers, nous recourons à des contrôles automatisés :

• Google Play Integrity, pour détecter les applications modifiées et les achats frauduleux ;
• la surveillance des schémas d’utilisation des proxys, tels que le volume de trafic et les échecs de connexion, pour détecter les abus, le spam et les attaques ;
• la protection anti-robots de Cloudflare sur nos sites web ;
• le filtrage de la fraude aux paiements par nos prestataires de paiement.

Ces contrôles peuvent nous conduire à suspendre un compte. Un membre de notre équipe réexamine toute suspension que vous contestez. Nous ne prenons aucune décision produisant des effets juridiques ou des effets similaires significatifs sur le seul fondement d’un traitement automatisé.

↑ Retour au sommaire

11. Droits relatifs à la vie privée dans les États américains

Si vous résidez dans un État américain doté d’une loi sur la protection de la vie privée des consommateurs (comme la Californie) :

• Ce que nous collectons : les catégories visées aux sections 2 et 7 : identifiants, informations commerciales, activité sur Internet, localisation approximative et déductions à des fins publicitaires.
• Vente et partage : nous ne vendons pas d’informations personnelles contre de l’argent. La communication d’identifiants à des partenaires publicitaires à des fins de publicité comportementale intercontextuelle peut constituer un « partage » ou une « vente » au sens de ces lois.
• Vos droits : vous pouvez vous y opposer et demander l’accès à vos informations, leur rectification ou leur suppression, au moyen des paramètres de confidentialité de nos applications, du bandeau cookies, ou en écrivant à privacy@golzak.com. Vous pouvez recourir à un mandataire autorisé.

Signaux d’opposition. Notre site web traite un signal Global Privacy Control (GPC) émis par votre navigateur comme une demande d’opposition à la vente ou au partage de vos informations personnelles, et comme un refus des cookies facultatifs pour ce navigateur. En l’absence de norme commune pour « Do Not Track », nous ne donnons pas suite à ce signal. Utilisez les options Ne pas vendre ni partager mes informations personnelles décrites ici, ou les paramètres de confidentialité de nos applications.

Recours. Si nous rejetons votre demande, vous pouvez former un recours en répondant à notre décision ou en écrivant à privacy@golzak.com avec pour objet « Recours relatif à la confidentialité ». Nous vous répondrons dans un délai de 45 jours. Si vous n’êtes pas satisfait, vous pouvez contacter le procureur général de votre État.

Nous ne vous ferons subir aucune discrimination pour avoir exercé vos droits. Nous ne vendons ni ne partageons sciemment les données de personnes âgées de moins de 16 ans.

↑ Retour au sommaire

12. Vos droits

Conformément à la loi n° 09-08, vous pouvez demander l’accès à vos données, leur rectification ou leur effacement, et vous opposer à leur traitement, y compris à la prospection, à tout moment et sans frais. Au titre du RGPD britannique, vous pouvez aussi demander la limitation du traitement et la portabilité de vos données, et retirer votre consentement à tout moment. Écrivez à privacy@golzak.com ou à l’adresse postale de la société concernée. Nous répondons sous un mois et pouvons vous demander de justifier de votre identité.

Vous pouvez introduire une réclamation auprès de l’Information Commissioner’s Office britannique (ico.org.uk) pour Golzak UK, ou auprès de la Commission Nationale de contrôle de la protection des Données à caractère Personnel (CNDP, www.cndp.ma) pour Golzak Maroc. Les résidents de l’UE peuvent également saisir leur autorité de contrôle. Les traitements de Golzak Maroc sont en cours de déclaration et d’autorisation auprès de la CNDP, conformément à la loi 09-08.

Traitement des demandes. Afin de protéger vos données, nous vérifions votre identité avant de donner suite à une demande, généralement en vous demandant d’écrire depuis l’adresse e-mail associée à votre compte ou de confirmer des informations relatives à votre compte. Un mandataire habilité peut agir en votre nom avec votre autorisation signée, et nous pouvons vous demander de confirmer directement la demande. Les demandes sont gratuites, sauf si elles sont manifestement infondées ou excessives.

↑ Retour au sommaire

13. Cookies

golzak.com utilise des cookies strictement nécessaires (session, sécurité, langue et panier), qui ne requièrent pas de consentement. Il utilise également des cookies de mesure d’audience (Google Analytics, via Google Tag Manager) et des cookies et pixels publicitaires (Google Ads, Meta Pixel) pour mesurer notre audience et la performance de nos campagnes. Vous pouvez refuser les cookies optionnels via le bandeau cookies, les bloquer dans votre navigateur, ou vous y opposer sur adssettings.google.com et dans vos préférences publicitaires Meta.

↑ Retour au sommaire

14. Sécurité

Nous protégeons vos données par des connexions chiffrées (HTTPS/TLS), des accès réservés au personnel autorisé, des comptes individuels avec mots de passe robustes et double authentification lorsque disponible, des journaux, des sauvegardes et des contrats avec chaque prestataire couvrant la confidentialité et la sécurité. Aucun système n’est totalement sûr. Si une violation de données est susceptible de porter atteinte à vos droits, nous vous en informerons, ainsi que l’autorité compétente, conformément à la loi.

↑ Retour au sommaire

15. Mineurs

Nos services sont destinés aux personnes âgées de 18 ans ou plus. Nous ne collectons pas sciemment de données concernant des mineurs et nous supprimons de telles données dès que nous en avons connaissance. Nous n’affichons pas sciemment de publicité personnalisée à des personnes de moins de 16 ans.

↑ Retour au sommaire

16. Modifications

Nous pouvons modifier la présente politique. Toute modification importante sera notifiée aux clients par e-mail ou via le portail avant son entrée en vigueur. La date d’entrée en vigueur figure en haut de la page.

↑ Retour au sommaire

17. Contact

Contact protection des données pour les deux sociétés : privacy@golzak.com.
GOLZAK UK LTD, 167-169 Great Portland Street, 5th Floor, Londres W1W 5PF, Royaume-Uni.
GOLZAK SARL AU, N°8 rue Omar Ibn Kaltoum, av. El Kattani, Agdal, bureaux 29, 5e étage, 30000 Fès, Maroc.

↑ Retour au sommaire

Voir aussi nos Conditions d’utilisation, politique d’usage acceptable, politique de remboursement et conditions .ma.