Centro de confianza

Lo que hacemos para proteger su cuenta, sus mensajes y los datos de sus destinatarios — descrito tal como funciona la plataforma, con un enlace al documento que lo rige.

Actualizado el 22 de octubre de 2026

Seguridad de la plataforma

Claves API: almacenadas solo como huella (hash SHA-256), mostradas una sola vez al crearlas, limitadas por permisos (envío, estado, saldo, OTP…), con lista opcional de IP autorizadas y claves sandbox que no envían ni facturan nada.
Panel: autenticación de dos factores (TOTP) y claves de acceso (passkeys); cambiar la contraseña revoca las demás sesiones; las sesiones se listan y revocan desde la configuración.
Webhooks: cada entrega se firma con HMAC-SHA256 sobre una marca de tiempo (protección contra la reproducción) y un secreto propio de cada destino, renovable; los destinos deben ser URL HTTPS públicas, verificadas de nuevo en cada redirección.
Códigos OTP: se guardan solo como hash, con una validez limitada.
Acceso interno: roles separados (propietario, soporte); cada acción de administración queda registrada con su autor.
Anti-phishing: los mensajes que suplantan a un banco o a una institución, y los nombres de remitente que los imitan, se rechazan antes de cualquier envío.
Transporte: solo HTTPS, con HSTS (precargado).

Ubicación de los datos

La plataforma está alojada en la infraestructura edge de Cloudflare, con una distribución lo más cerca posible de Marruecos. El detalle por proveedor figura en la lista de subencargados y en el aviso legal.
Los datos se cifran en tránsito y en reposo.

Conservación

Registros de enrutamiento y acuses de entrega: de 30 a 90 días móviles, luego purga o anonimización irreversible.
Medios de WhatsApp: 12 meses, luego eliminación automática.
Datos de la cuenta: eliminados o anonimizados en los 30 días siguientes al cierre, salvo obligaciones contables. La exportación y la solicitud de supresión están disponibles en autoservicio en la configuración («Mis datos»).

Copias de seguridad y continuidad

Restauración de la base de datos a cualquier momento de los últimos 30 días.
Una copia lógica completa cada noche en un almacenamiento de objetos independiente, conservada 35 días.
El estado del servicio se publica en la página de estado.

Subencargados y acuerdo de tratamiento (DPA)

La lista completa de subencargados, su función y los datos implicados está publicada y actualizada.
El DPA recoge nuestros compromisos como encargado del tratamiento, incluida la notificación de una violación de datos personales en un plazo de 72 horas.

Reportar una vulnerabilidad

Escriba a security@envoisms.ma. Nuestro archivo security.txt indica el contacto y la política de divulgación.
Si cree que una clave API está expuesta, revóquela y cree una nueva desde el panel, y avísenos.

Evaluaciones independientes

Todavía no disponemos de una certificación ni de un informe de auditoría de terceros. Cuando se realice una evaluación externa, publicaremos aquí su resumen.