مركز الثقة

ما نقوم به لحماية حسابك ورسائلك وبيانات المستلمين — موصوفًا كما تعمل المنصة فعلًا، مع رابط إلى الوثيقة المرجعية.

آخر تحديث: 22 أكتوبر 2026

أمان المنصة

مفاتيح API: تُحفظ فقط على شكل بصمة (تجزئة SHA-256)، وتُعرض مرة واحدة عند إنشائها، ومحدودة بصلاحيات (الإرسال، الحالة، الرصيد، OTP…)، مع قائمة اختيارية لعناوين IP المسموح بها، ومفاتيح sandbox لا ترسل شيئًا ولا تُحتسب.
لوحة التحكم: مصادقة ثنائية (TOTP) ومفاتيح المرور (passkeys)؛ تغيير كلمة المرور يُلغي الجلسات الأخرى؛ الجلسات معروضة ويمكن إلغاؤها من الإعدادات.
Webhooks: كل إرسال موقَّع بـ HMAC-SHA256 مع طابع زمني (حماية من إعادة الإرسال) وسرّ خاص بكل وجهة قابل للتجديد؛ ويجب أن تكون الوجهات عناوين HTTPS عامة، يُعاد التحقق منها عند كل إعادة توجيه.
رموز OTP: تُحفظ فقط على شكل تجزئة، بصلاحية محدودة المدة.
الوصول الداخلي: أدوار منفصلة (المالك، الدعم)؛ وكل إجراء إداري مُسجَّل باسم من قام به.
مكافحة التصيّد: تُرفض الرسائل التي تنتحل صفة بنك أو مؤسسة، وأسماء المرسِل التي تقلّدها، قبل أي إرسال.
النقل: HTTPS فقط، مع HSTS (مُحمَّل مسبقًا).

المنصة مستضافة على البنية التحتية الطرفية (edge) لـ Cloudflare، مع توزيع أقرب ما يكون إلى المغرب. التفاصيل حسب كل مزوّد في قائمة المعالجين الفرعيين وفي الإشعار القانوني.
البيانات مشفّرة أثناء النقل وعند التخزين.

سجلات التوجيه وإشعارات التسليم: من 30 إلى 90 يومًا متجددة، ثم الحذف أو إخفاء الهوية بشكل لا رجعة فيه.
وسائط واتساب: 12 شهرًا، ثم الحذف التلقائي.
بيانات الحساب: تُحذف أو تُجهَّل خلال 30 يومًا من إغلاق الحساب، باستثناء الالتزامات المحاسبية. التصدير وطلب المحو متاحان ذاتيًا في الإعدادات («بياناتي»).

القائمة الكاملة للمعالجين الفرعيين ودورهم والبيانات المعنية منشورة ومحدّثة.
تحدد اتفاقية معالجة البيانات التزاماتنا بصفتنا معالجًا، بما في ذلك الإخطار بأي خرق للبيانات الشخصية خلال 72 ساعة.

راسلنا على security@envoisms.ma. يوضح ملف security.txt جهة الاتصال وسياسة الإفصاح.
إذا كنت تعتقد أن أحد مفاتيح API الخاصة بك مكشوف، ألغِه وأنشئ مفتاحًا جديدًا من لوحة التحكم، ثم أخبرنا.

لا نملك بعد شهادة أو تقرير تدقيق من طرف ثالث. عند إجراء تقييم خارجي، سننشر ملخصه هنا.