Centre de confiance
Ce que nous faisons pour protéger vos comptes, vos messages et les données de vos destinataires — décrit tel que la plateforme fonctionne, avec un lien vers le document qui fait foi.
Mis à jour le 22 octobre 2026
Sécurité de la plateforme
- Clés API : stockées uniquement sous forme d'empreinte (hachage SHA-256), affichées une seule fois à la création, limitées par permissions (envoi, statut, solde, OTP…), avec liste d'adresses IP autorisées en option et des clés sandbox qui n'envoient et ne facturent rien.
- Tableau de bord : double authentification (TOTP) et clés d'accès (passkeys) ; changer son mot de passe révoque les autres sessions ; les sessions sont listées et révocables depuis les paramètres.
- Webhooks : chaque livraison est signée en HMAC-SHA256 avec un horodatage (protection contre le rejeu) et un secret propre à chaque destination, renouvelable ; les destinations doivent être des URL HTTPS publiques, vérifiées à chaque redirection.
- Codes OTP : conservés uniquement sous forme hachée, avec une durée de validité limitée.
- Accès internes : rôles séparés (propriétaire, support) ; chaque action d'administration est journalisée avec son auteur.
- Anti-hameçonnage : les messages qui imitent une banque ou une institution, et les noms d'expéditeur qui les imitent, sont refusés avant tout envoi.
- Transport : HTTPS uniquement, avec HSTS (préchargement).
Localisation des données
- La plateforme est hébergée sur l'infrastructure edge de Cloudflare, avec une diffusion au plus près du Maroc. Le détail par prestataire figure dans la liste des sous-traitants et les mentions légales.
- Les données sont chiffrées en transit et au repos.
Conservation
- Journaux de routage et accusés de livraison : 30 à 90 jours glissants, puis purge ou anonymisation irréversible.
- Médias WhatsApp : 12 mois, puis suppression automatique.
- Données de compte : supprimées ou anonymisées sous 30 jours après la clôture, hors obligations comptables. L'export et la demande d'effacement sont disponibles en libre-service dans les paramètres (« Mes données »).
Sauvegardes et continuité
- Restauration à un instant donné de la base de données sur les 30 derniers jours.
- Une sauvegarde logique complète chaque nuit vers un stockage objet distinct, conservée 35 jours.
- L'état du service est publié sur la page de statut.
Sous-traitants et contrat de traitement (DPA)
- La liste complète des sous-traitants ultérieurs, leur rôle et les données concernées est publiée et tenue à jour.
- Le DPA (accord de traitement des données) encadre nos engagements en tant que sous-traitant, y compris la notification d'une violation de données sous 72 heures.
Signaler une vulnérabilité
- Écrivez à security@envoisms.ma. Notre fichier security.txt indique le contact et la politique de divulgation.
- Si vous pensez qu'une de vos clés API est exposée, révoquez-la et créez-en une nouvelle depuis le tableau de bord, puis prévenez-nous.
Évaluations indépendantes
- Nous ne détenons pas encore de certification ni de rapport d'audit tiers. Lorsqu'une évaluation externe sera réalisée, son résumé sera publié ici.