Chez EnvoiSMS.ma, la protection de vos données n'est pas une option, c'est le socle de notre relation de confiance. Nous nous engageons à traiter vos informations avec une transparence totale, conformément aux lois marocaines en vigueur (Loi n° 09-08).
Engagement de Sécurité, Notification d'Incidents & Non-Responsabilité
EnvoiSMS.ma applique des mesures de sécurité de pointe (Cloudflare Edge, purge automatique des OTP en 5 min, HMAC-SHA256). En cas d'incident avéré, nous notifions nos clients sous 72h. La sécurité des clés API et des serveurs clients relève de la responsabilité exclusive de chaque utilisateur.
Le présent site et les services associés (« Services ») sont édités et exploités par la société ALLNOACROBÁTICO - CONSULTORIA DE ANÁLISE DADOS, UNIPESSOAL LDA (éditeur de la plateforme EnvoiSMS.ma) :
•
Responsable de traitement : ALLNOACROBÁTICO - CONSULTORIA DE ANÁLISE DADOS, UNIPESSOAL LDA
Siège social : Rua do Conde de Redondo, nº 79, 1150-102 Lisboa, Portugal
•
Contact général : contact@envoisms.ma
•
Contact vie privée / DPO : privacy@envoisms.ma
Cette politique s'applique à envoisms.ma, à ses sous-domaines (envoisms.ma/dashboard, api.envoisms.ma) et à l'ensemble des Services (API SMS, WhatsApp Business, dashboard).
Moyen de paiement (traité par Stripe, jamais stocké par nous), adresse de facturation, historique d'achats
Fournies lors du paiement
Données d'usage de l'API
Numéros de téléphone destinataires, contenu des messages envoyés, logs d'envoi, statuts de livraison (DLR)
Générées par l'utilisation du Service
Données techniques
Adresse IP, type de navigateur, pages visitées, cookies
Collectées automatiquement
Données de support
Échanges avec le support, tickets, enregistrements d'appels le cas échéant
Fournies lors des échanges
Important : en tant que client, vous restez responsable de la licéité de la collecte du consentement des destinataires finaux de vos SMS/WhatsApp (loi 09-08 et réglementation ANRT applicable à la prospection directe).
3. Finalités du traitement
Nous traitons vos données pour :
•
Fournir, exploiter et sécuriser le Service (envoi de messages, API, dashboard)
•
Facturer et gérer votre compte client
•
Assurer le support technique et commercial
•
Respecter nos obligations légales et réglementaires (comptabilité, lutte anti-fraude, réquisitions judiciaires)
•
Améliorer nos Services et mesurer leur performance (statistiques agrégées et anonymisées)
•
Vous adresser des communications relatives à votre compte (jamais de prospection sans consentement séparé)
4. Base légale
Selon le RGPD et la loi 09-08 relative à la protection des données à caractère personnel, nos traitements reposent sur :
•
L'exécution du contrat qui nous lie (fourniture du Service)
•
Le respect d'obligations légales (facturation, fiscalité)
•
Notre intérêt légitime (sécurité, prévention de la fraude, amélioration du Service, mesure de l'efficacité de nos propres publicités — voir section 9 ; vous pouvez vous y opposer à tout moment)
•
Votre consentement, lorsque celui-ci est requis (ex. cookies non essentiels, communications marketing)
5. Durée de conservation
Type de donnée
Durée
Données de compte actif
Pendant toute la durée de la relation contractuelle
Logs d'envoi SMS/WhatsApp (contenu, DLR)
12 mois, à des fins de preuve de livraison et de support
Données de facturation
10 ans (obligations comptables)
Données après clôture de compte
Suppression ou anonymisation sous 30 jours, sauf obligation légale de conservation plus longue
6. Partage des données
Nous ne vendons, ne louons et ne partageons jamais vos données à des fins commerciales avec des tiers. Elles peuvent néanmoins être transmises à :
•
Nos sous-traitants techniques strictement nécessaires à l'exploitation du Service (hébergeur, opérateurs télécoms et agrégateurs de messagerie licenciés, pour l'acheminement des messages, prestataire de paiement Stripe, fournisseurs de modèles d'IA pour les assistants WhatsApp — liste complète : https://envoisms.ma/fr/legal/subprocessors/)
•
Les autorités administratives ou judiciaires, sur demande légalement fondée, dans les conditions de la section 7
•
Un repreneur éventuel, en cas de fusion/acquisition, sous les mêmes engagements de confidentialité
•
Meta Platforms Ireland Ltd, uniquement pour mesurer nos propres publicités (section 9) : l'événement d'inscription ou de recharge, l'identifiant du clic publicitaire, et votre email, téléphone et identifiant de compte chiffrés par hachage (SHA-256) — jamais le contenu de vos messages ni ceux de vos destinataires
7. Demandes d'accès des autorités publiques
Toute demande d'accès à des données personnelles émanant d'une autorité publique (autorité judiciaire, police, administration ou régulateur, au Maroc ou à l'étranger) est traitée selon les règles suivantes, qu'elle porte sur les données de nos utilisateurs, dont nous sommes responsable de traitement, ou sur les données que nous traitons pour le compte de nos clients en qualité de sous-traitant (voir notre DPA) :
•
Forme et canal : nous ne donnons suite qu'aux demandes écrites, fondées sur le droit applicable et émanant d'une autorité compétente, adressées à privacy@envoisms.ma. Nous n'accordons à aucune autorité publique d'accès direct, massif ou indiscriminé à nos systèmes, et ne lui remettons ni clé de chiffrement ni porte dérobée.
•
Contrôle de légalité : avant toute communication, chaque demande est examinée par le représentant légal de la société, assisté si nécessaire d'un conseil externe : compétence de l'autorité, base légale invoquée, nécessité et proportionnalité de la mesure, périmètre des données visées. Une demande émanant d'une autorité d'un pays situé hors de l'Union européenne et de l'Espace économique européen n'est satisfaite que sur le fondement d'un accord international, tel qu'un traité d'entraide judiciaire, ou d'une procédure reconnue par le droit applicable (article 48 du RGPD) ; une demande d'une autorité marocaine est examinée au regard de la loi n° 09-08 et des règles de procédure marocaines applicables.
•
Contestation : nous demandons des précisions, sollicitons la réduction du périmètre ou refusons toute demande illicite, excessive ou juridiquement viciée, et exerçons les voies de recours disponibles. Tant qu'une contestation est pendante, nous ne communiquons aucune donnée, sauf obligation légale contraignante.
•
Minimisation des données : nous ne communiquons que le minimum de données strictement nécessaire pour répondre à une demande valide. Le contenu des messages n'est communiqué que si l'acte juridique l'exige expressément.
•
Information : avant toute communication, nous informons le client concerné et, pour les données de nos propres utilisateurs, la personne concernée, sauf si la loi l'interdit. En cas d'interdiction, nous mettons tout en œuvre pour en obtenir la levée et informons dès que l'interdiction prend fin.
•
Urgences : en cas de danger imminent pour la vie ou l'intégrité physique d'une personne, une communication strictement limitée peut être effectuée ; elle est documentée et réexaminée a posteriori selon les mêmes règles.
•
Documentation : chaque demande est consignée dans un registre interne — date, autorité, base légale, périmètre demandé, analyse de légalité et raisonnement juridique, personnes impliquées, réponse apportée, données communiquées, information donnée ou non et motif — conservé pendant 5 ans.
•
Transparence : nous publions chaque année le nombre de demandes reçues. Au 10 septembre 2026, EnvoiSMS.ma n'a reçu aucune demande d'une autorité publique portant sur des données personnelles au cours des 12 derniers mois.
•
Champ d'application : ces règles s'appliquent également aux données que nous recevons par l'intermédiaire des API de la plateforme WhatsApp Business de Meta.
8. Sécurité des systèmes, politique en cas de fuite de données et limitation de responsabilité
Sécurité & Incident
EnvoiSMS.ma applique des mesures techniques et organisationnelles (TOMs) rigoureuses conformes aux standards les plus stricts de l'industrie pour préserver la sécurité, l'intégrité et la confidentialité des données traitées :
•
Mesures techniques de pointe : Chiffrement intégral au repos en AES-256 (bases de données réparties D1 SQLite Edge, compartiments de stockage R2, cache mémoire KV) ; chiffrement de bout en bout en transit via TLS 1.3 strict avec HSTS actif et Perfect Forward Secrecy.
•
Zéro stockage des codes en clair : Les codes de vérification OTP sont stockés de façon éphémère sous forme hachée dans le cache mémoire KV (OTP_CODES) avec purge automatique irréversible après 300 secondes (5 minutes), sans enregistrement en clair dans les bases relationnelles.
•
Webhooks signés par clé secrète : Chaque événement et accusé de réception (DLR) transmis vers les serveurs du client est signé cryptographiquement via HMAC-SHA256 (en-tête X-EnvoiSMS-Signature).
•
Protection périmétrique et pare-feu applicatif : Hébergement sur l'infrastructure Edge sécurisée de Cloudflare avec atténuation DDoS continue, pare-feu applicatif WAF et isolation stricte des environnements.
•
Politique de gestion des incidents et fuites de données : EnvoiSMS.ma applique une procédure stricte de réponse à tout incident de sécurité comportant (1) détection et isolement immédiat de l'anomalie 24/7, (2) investigation forensique et remédiation technique, (3) évaluation d'impact sur les droits et libertés, et (4) notification écrite à la CNDP et aux clients concernés sous un délai maximal de 72 heures suivant la confirmation d'une violation de données avérée.
•
Obligation de moyens et exonération en cas de fuite externe ou faute du client : Les engagements de sécurité d'EnvoiSMS.ma constituent une obligation de moyens stricte et non une obligation de résultat. EnvoiSMS.ma décline expressément toute responsabilité et ne saurait être tenue pour responsable de toute fuite ou violation de données résultant : (a) de la compromission, perte, vol ou divulgation des clés d'API ou identifiants par le client ou ses préposés, (b) d'une faille ou intrusion sur les serveurs, applications ou webhooks du client, (c) d'une interception ou défaillance survenue sur les réseaux des opérateurs télécoms tiers ou de Meta Platforms, ou (d) d'actes de cyber-guerre ou d'attaques de type Zero-Day imprévisibles échappant aux standards de l'état de l'art. La notification d'un incident ne vaut en aucun cas reconnaissance de faute ou de responsabilité.
En cas de suspicion de compromission de vos identifiants ou clés d'API, vous devez immédiatement régénérer vos clés dans le tableau de bord et alerter notre équipe de sécurité à security@envoisms.ma.
9. Cookies et traceurs
Notre site utilise des cookies et traceurs pour :
•
Le fonctionnement du site (session, authentification) — nécessaires au service
•
La mesure de nos publicités Meta (Facebook, Instagram, WhatsApp) : si vous arrivez sur le site depuis l'une de nos publicités, nous conservons l'identifiant du clic (fbclid / fbc) avec votre première visite ; si vous créez ensuite un compte, nous signalons cette inscription à Meta via son API Conversions, avec cet identifiant et vos email, téléphone et identifiant de compte hachés. De même, si vous nous écrivez depuis une publicité « Cliquer pour WhatsApp », l'inscription ou la recharge qui suit est signalée à Meta. Ces signaux servent uniquement à savoir quelles publicités amènent des clients
•
La mesure d'audience et l'amélioration du service (Google Analytics via Cloudflare Zaraz, Google Tag Manager, Microsoft Clarity) — statistiques d'usage agrégées
Vous pouvez vous opposer à la mesure publicitaire en écrivant à privacy@envoisms.ma (nous cessons alors d'envoyer ces signaux pour votre compte), et à la mesure d'audience en bloquant les cookies tiers dans les paramètres de votre navigateur ou via une extension de blocage. Pour toute demande relative à vos données, contactez-nous ou utilisez notre page de désinscription.
10. Vos droits
Conformément au RGPD et à la loi 09-08, vous disposez des droits suivants sur vos données personnelles :
•
Droit d'accès : obtenir une copie des données que nous détenons sur vous
•
Droit de rectification : corriger des données inexactes
•
Droit d'opposition : vous opposer à un traitement, sous réserve de motifs légitimes
•
Droit de suppression : demander l'effacement de vos données, sous réserve de nos obligations légales de conservation
•
Droit de retrait du consentement, lorsque le traitement repose sur celui-ci
Pour exercer ces droits, contactez-nous à privacy@envoisms.ma. Nous répondons sous 30 jours.
11. Modifications
Nous pouvons mettre à jour cette politique. La date de dernière mise à jour figure en haut de cette page. En cas de changement substantiel, nous vous en informerons par email ou notification dans votre dashboard.
12. Contact
•
Email confidentialité : privacy@envoisms.ma
•
Email support : support@envoisms.ma
•
Email commercial : sales@envoisms.ma
•
Téléphone : +212 776 272 164
•
Siège social : Rua do Conde de Redondo, nº 79, 1150-102 Lisboa, Portugal