سياسة الخصوصية

1. من نحن

تُعدّ Tresoria منصة لتدبير الخزينة موجهة للمقاولات. وتشمل الموقع tresoria.ma، والتطبيق app.tresoria.ma، وبوابة الأداء الموضوعة رهن إشارة زبناء زبنائنا، والإشعارات المرسلة عبر البريد الإلكتروني وعبر WhatsApp.

تتولى نشرَ الخدمة شركةُ Tresoria، وهي شركة في طور التسجيل بالمغرب، يوجد مقرها بالدار البيضاء (ويُشار إليها فيما يلي بـ « Tresoria » أو « نحن »). وستُنشر بيانات تسجيلها (التسمية التجارية، الشكل القانوني، رأس المال، المقر، RC، ICE، IF) في الإشعار القانوني فور تسجيلها.

لكل سؤال يتعلق بمعطياتكم: contact@tresoria.ma.

2. دورنا بحسب نوع المعطيات

نُعدّ المسؤول عن المعالجة فيما يخص المعطيات التي تعنينا مباشرة: زوار الموقع، وطلبات العرض التوضيحي، وحسابات مستخدمي التطبيق، وفوترة الاشتراك، والأمن والدعم.

أما المعطيات التي يسجلها زبناؤنا في Tresoria لأجل نشاطهم الخاص (كشوفاتهم وعملياتهم البنكية، ومورّدوهم، وزبناؤهم وجهات الاتصال لديهم، والمستفيدون لديهم، وفواتيرهم ووثائقهم)، فإننا نتصرف بشأنها لحساب زبوننا ووفقاً لتعليماته. فزبوننا هو من يقرر بشأن هذه المعطيات ويتحمل المسؤولية عن مشروعيتها تجاه الأشخاص المعنيين؛ ونحن نساعده على احترام التزاماته.

3. المعطيات التي نعالجها

• مستخدمو التطبيق: عنوان البريد الإلكتروني، والاسم الشخصي، والاسم العائلي، ورقم الهاتف (اختياري)، والدور والصلاحيات، وتفضيلات العرض. ولا تُحفظ كلمة المرور أبداً بنص واضح: إذ لا يُحفظ سوى بصمتها (BCrypt).
• الشركة الزبونة: التسمية التجارية، والمعرّفات القانونية (ICE، IF، RC)، والعنوان، والمدينة، والهاتف، وجهة الاتصال ومعلومات الفوترة.
• المعطيات البنكية: الحسابات (بما فيها IBAN / RIB)، والكشوفات المستوردة، والعمليات، والأرصدة، وكذا، إذا فعّلها الزبون، المعطيات التي تتلقاها موصِّلاته (SFTP أو API) من خوادمه الخاصة أو من خوادم بنكه.
• الأغيار المسجلون من طرف الزبون: المورّدون (الاسم، العنوان، ICE، الملاحظات)، والمستفيدون من الأداءات (الاسم، العنوان، الحساب، البنك، BIC)، وزبناء الزبون وجهات الاتصال لديهم (الاسم، البريد الإلكتروني، الهاتف، الوظيفة)، والشيكات والأوراق التجارية وأوامر الأداء (اسم المستفيد)، والمراسلات والمستندات المودعة في بوابة الأداء.
• الوثائق: الفواتير، والكشوفات، والعقود، وإثباتات الأداء، والشيكات، والأوراق التجارية، وجداول الإيداع، والملفات المصدَّرة، وكذا رسائل البريد الإلكتروني المتضمنة للفواتير الواردة على العنوان المخصص للشركة.
• طلبات العرض التوضيحي المرسلة من الموقع: الاسم، والشركة، ونوع البنية، والبريد الإلكتروني، والهاتف (اختياري)، وشرائح عدد الموظفين وعدد الحسابات، والرسالة، واللغة، وكذا عنوان IP والمتصفح المستعملان.
• الآثار الأمنية: سجل التدقيق (صاحب الإجراء، عنوان IP، المتصفح، الإجراء، الحالة قبل التعديل وبعده)، ومحاولات تسجيل الدخول، والجلسات المفتوحة، ومدة النشاط، والبلاغات عن الأعطال التي ترسلونها إلينا (مع لقطات الشاشة التي تختارون إرفاقها).
• WhatsApp: رقم الهاتف المُتحقَّق منه، واختيارات الإشعارات، وسجل الرسائل المرسلة (انظر القسم 6).
• Gmail: عنوان حساب Google المرتبط وإذن الإرسال (انظر القسم 7).

4. لماذا نعالجها

• تقديم الخدمة المشترك فيها: مسك الخزينة، واستيراد العمليات ومطابقتها، وتدبير الفواتير والأداءات والتذكيرات والإشعارات (تنفيذ العقد).
• تأمين الخدمة: المصادقة، والوقاية من إساءة الاستعمال، وسجل التدقيق، والتحقيق في حادث (المصلحة المشروعة والالتزام بالأمن).
• فوترة الاشتراك واحترام التزاماتنا القانونية والمحاسبية (التزام قانوني).
• مساعدة الزبون: الدعم، ومعالجة البلاغات عن الأعطال (تنفيذ العقد).
• الرد على طلب عرض توضيحي وضمان تتبعه التجاري (إجراءات سابقة للتعاقد متخذة بناءً على طلبكم).
• إرسال إشعارات عبر WhatsApp، حصرياً إلى المستخدمين الذين اختاروا ذلك (الموافقة).

لا نبيع أي معطيات ولا نؤجرها ولا نتنازل عنها. ولا نقوم بأي إشهار موجَّه، ولا نستعمل أي أداة لقياس الجمهور، ولا نقيّم الملاءة المالية لأي شخص كان.

5. الذكاء الاصطناعي

تستعمل بعض وظائف Tresoria نموذجاً للذكاء الاصطناعي تقدمه Anthropic (نماذج Claude)، عبر واجهتها البرمجية (API). وتتم المعالجة لدى هذا المزوّد خارج المغرب.

وبحسب الوظيفة المستعملة، نرسل إليه:

• الملف الكامل لكشف بنكي (PDF أو صورة)، لقراءة عملياته، مع لائحة فئات الشركة؛
• الملف الكامل لفاتورة مورّد أو زبون، أو لوثيقة يتعين تقسيمها إلى عدة فواتير، أو لجدول استحقاقات، أو لجدول رسوم بنكية، لقراءة حقوله؛
• عقد الاشتراك الموقَّع، للتحقق من وجود التوقيع؛
• تسميات العمليات ومبالغها وتواريخها ومراجعها وأسماء الأطراف المقابلة فيها، لاقتراح فئات وقواعد ومطابقات ورصد الأداءات المتكررة؛
• اسم مورّد ورقم ICE الخاص به كما قُرئا على فاتورة، مع ثلاثة مورّدين مرشحين على الأكثر، للتعرف عليه؛
• أسماء فئات ومجاميع، لاقتراحات أخرى (طبيعة التكلفة، تقارير لوحة القيادة، شروح الأرصدة، دون IBAN).

تُفيد Anthropic بأنها لا تستعمل، افتراضياً، المعطيات التي تتلقاها عبر واجهتها البرمجية لتدريب نماذجها. ولا نحتفظ لا بالنص المرسل ولا بجواب النموذج: إذ لا نحتفظ، بالنسبة لكل استدعاء، إلا بالشركة، والمستخدم، والوظيفة، والنموذج، وعدد الوحدات المعالجة (الرموز)، والتكلفة التقديرية، والنتيجة.

ويظل ما يقترحه الذكاء الاصطناعي اقتراحاً: فالمستخدم هو من يتحقق منه ويصادق عليه. ويمكن للزبون أيضاً استعمال مفتاحه الخاص لدى المزوّد؛ وفي هذه الحالة يُحفظ مشفّراً.

6. WhatsApp

يمكن لـ Tresoria إرسال إشعارات عبر WhatsApp، بواسطة منصة WhatsApp Business التابعة لـ Meta، من رقم وحيد خاص بـ Tresoria. ولا توجَّه هذه الرسائل إلا إلى مستخدمي التطبيق، ولا توجَّه أبداً إلى زبناء زبنائنا أو مورّديهم.

ولا يُستعمل WhatsApp إلا إذا اخترتم ذلك:

• تتحققون من رقمكم بأن ترسلوا بأنفسكم رمزاً من WhatsApp (رمز صالح لمدة 15 دقيقة)؛
• تختارون، إشعاراً تلو الآخر، الإشعارات التي تتلقونها عبر WhatsApp؛
• يمكن أيضاً أن تصلكم رموز تسجيل الدخول والتوقيع عبر WhatsApp إذا اخترتم ذلك؛ ولا تُسجَّل أبداً في سجلاتنا؛
• الرد بـ « STOP » يوقف فوراً جميع إشعارات WhatsApp؛ و« إزالة » في ملفكم الشخصي تمحو رقمكم المُتحقَّق منه؛ وتغيير الرقم يلغي التحقق؛
• إذا تعذر تسليم رسالة WhatsApp، يُرسَل إليكم الإشعار نفسه عبر البريد الإلكتروني.

تتلقى Meta رقمكم ومحتوى الرسالة: اسم الشركة ووقائع الإشعار (مثلاً عدد الفواتير المطلوب المصادقة عليها). وتعالج Meta هذه المعطيات خارج المغرب، وفق شروطها الخاصة وسياسة الخصوصية الخاصة بها. ونحتفظ بسجل الرسائل المرسلة (المرسَل إليه، النوع، نموذج الرسالة، الحالة)؛ أما الرسائل الواردة من Meta فتُحفظ لمدة 24 ساعة. ونحترم سياسة المراسلة الخاصة بـ WhatsApp Business: فلا نراسل إلا الأشخاص الذين قبلوا ذلك، ويُحترم كل طلب بالتوقف.

7. Google (الإرسال عبر Gmail)

يمكن للشركة أن تختار إرسال رسائلها الإلكترونية (الفواتير، والتذكيرات، والكشوفات) من حسابها الخاص على Gmail. ولهذا الغرض، يربط المستخدم حسابه على Google ويأذن لـ Tresoria بالأذونات « openid » و« email » و« gmail.send » دون غيرها.

تتلقى Tresoria عنوان حساب Google والحق في إرسال رسائل إلكترونية باسمه. ولا تقرأ Tresoria أبداً رسائل صندوق البريد ولا تسردها ولا تعدّلها ولا تحذفها. ولا تُستعمل هذه المعطيات إلا لإرسال الرسائل الإلكترونية التي يطلقها المستخدم أو يبرمجها في Tresoria، انطلاقاً من هذا الحساب.

ولا تُشارَك مع أي جهة غير Google، ولا تُستعمل أبداً لأغراض الإشهار ولا لتقييم الملاءة المالية. ولا يُحفظ إلا رمز الولوج طويل الأمد، مشفّراً (AES-256-GCM)، مع عنوان الحساب، والشخص الذي قام بالربط وتاريخه. ولا تظهر الرموز أبداً في سجلاتنا.

يؤدي فصل Gmail في Tresoria إلى إلغاء الإذن لدى Google ومحو هذه المعطيات. ويمكنكم أيضاً سحب الولوج في أي وقت من حسابكم على Google (الأمان › تطبيقات الأطراف الثالثة).

يحترم استعمال Tresoria للمعلومات المتلقاة من واجهات Google البرمجية (API) ونقلها سياسةَ معطيات المستخدمين الخاصة بخدمات Google API (https://developers.google.com/terms/api-services-user-data-policy)، بما في ذلك متطلبات الاستعمال المحدود (« Limited Use »). وبالإنجليزية: « Tresoria's use and transfer of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. »

لا تُستعمل أبداً المعطيات المتلقاة من واجهات Google Workspace البرمجية لتطوير أو تحسين أو تدريب نماذج معمَّمة للذكاء الاصطناعي أو للتعلم الآلي، ولا تُحال إلى أي مزوّد للذكاء الاصطناعي.

8. الرسائل الإلكترونية

تُرسَل الرسائل الإلكترونية لـ Tresoria (تسجيل الدخول، والإشعارات، والفواتير، والتذكيرات) عبر مزوّد خدمة المراسلة لدينا Nindomail (Nindohost)، من العنوانين no-reply@tresoria.ma وcontact@tresoria.ma. ويمكن للشركة أيضاً أن تختار الإرسال عبر خادم المراسلة الخاص بها أو عبر Gmail (القسم 7). ويُقيَّد كل إرسال في سجل التدقيق: المرسَل إليه، والموضوع، واسم المرفق، وكذا، إذا كان الإرسال ناتجاً عن نقرة، عنوان IP والمتصفح؛ ولا يُحتفظ بمتن الرسالة.

أما الفواتير التي يرسلها مورّدوكم إلى عنوان الاستقبال الخاص بشركتكم، فيتلقاها مزوّدنا Mailgun (الاتحاد الأوروبي): ونحتفظ منها بالمرسَل إليه، والمرسِل، والموضوع، والمرفقات، ونتيجة عمليات التحقق من الأصالة.

9. من يتلقى معطياتكم

يمكن لفريقكم الولوج إلى معطياتكم وفق الصلاحيات التي تمنحها له شركتكم، كما يمكن لموظفي Tresoria الولوج إليها وفق الشروط المبينة في القسم 12. ونلجأ إلى مقدمي الخدمات التالين، كلٌّ منهم لهذا الاستعمال وحده:

• Oracle Cloud Infrastructure: استضافة التطبيق وقاعدة البيانات والوثائق والنسخ الاحتياطية، في المغرب (منطقة الدار البيضاء).
• Anthropic: الذكاء الاصطناعي (القسم 5)، خارج المغرب.
• Meta (WhatsApp Business): إشعارات WhatsApp (القسم 6)، خارج المغرب.
• Google: الإرسال عبر Gmail، فقط بالنسبة للشركات التي تختار ذلك (القسم 7)، خارج المغرب.
• Nindohost (Nindomail): إرسال الرسائل الإلكترونية (القسم 8).
• Mailgun: استقبال الرسائل الإلكترونية المتضمنة للفواتير (القسم 8)، الاتحاد الأوروبي.
• Atlassian (Trello): تتبع البلاغات عن الأعطال (الشركة، واسم صاحب البلاغ وبريده الإلكتروني، والوصف، والسياق التقني، واللقطات المرفقة)، خارج المغرب.
• Cloudflare: تدبير أسماء النطاقات فقط؛ ولا تمر أي معطيات شخصية عبر Cloudflare.

10. النقل إلى خارج المغرب

يُستضاف التطبيق وقاعدة البيانات والوثائق والنسخ الاحتياطية في المغرب. غير أن بعض المعطيات تُحال إلى خارج المغرب إلى مقدمي الخدمات المشار إليهم بهذه الصفة في القسم 9 (Anthropic وMeta وGoogle وAtlassian، وMailgun في الاتحاد الأوروبي)، للاستعمال الموصوف وحده.

ويستند هذا النقل إلى الشروط التعاقدية لكل مقدم خدمة. وستُستكمل الإجراءات التي يفرضها القانون رقم 09-08 لدى اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (CNDP) بشأن هذا النقل فور تسجيل Tresoria، وسيُنشر مرجعها في هذه الصفحة.

11. مدة الاحتفاظ بها

• معطيات الحساب ومعطيات الشركة: طوال مدة الاشتراك، ثم إلى غاية المحو الذي يلي إغلاق الحساب (القسم 13).
• المستندات المحاسبية ومعطيات فوترة الاشتراك: 10 سنوات، وهي المدة التي يفرضها القانون المغربي.
• سجل التدقيق وسجل الرسائل الإلكترونية المرسلة: يُحتفظ بهما لأغراض الإثبات والأمن، دون مدة قصوى محددة إلى حدود اليوم.
• نشاط موظفي Tresoria داخل فضاء زبون: 90 يوماً.
• مدة نشاط المستخدمين: 13 شهراً بشكل يومي، ثم مجمَّعة حسب الشهر.
• الحسابات البنكية المحذوفة: 3 أشهر. العمليات المحذوفة بواسطة استيراد: 90 يوماً.
• الوثائق المتلقاة وغير المُتحقَّق منها: 30 يوماً. معطيات تشغيل الموصِّلات: 30 يوماً. سجل « يومي »: 90 يوماً.
• أرشيف تصدير معطياتكم: 7 أيام بعد إنشائه.
• النسخ الاحتياطية لقاعدة البيانات: 14 يوماً.
• السجلات التقنية للخادم: 7 أيام.
• الرسائل الواردة من WhatsApp: 24 ساعة. سجل رسائل WhatsApp المرسلة: دون مدة قصوى محددة إلى حدود اليوم.
• طلبات العرض التوضيحي: دون مدة قصوى محددة إلى حدود اليوم.
• جلسات تسجيل الدخول: تُحذف في أجل أقصاه 24 ساعة بعد انتهاء صلاحيتها.

12. الأمن وولوج الموظفين

توجد إجراءات أمنية معمول بها لحماية سرية معطياتكم وسلامتها وتوافرها.

• جميع الاتصالات مشفّرة ببروتوكول TLS (الإصداران 1.2 و1.3).
• الأسرار المعهود بها إلينا (بيانات تعريف الموصِّلات، ومفاتيح الذكاء الاصطناعي، وكلمات مرور المراسلة، ورمز Gmail) مشفّرة بـ AES-GCM.
• تُحفظ كلمات المرور في شكل بصمة BCrypt؛ وتُحفظ رموز تسجيل الدخول وروابط الدعوة أو إعادة التعيين في شكل بصمة. ويُقفل الحساب بعد 5 محاولات فاشلة لتسجيل الدخول خلال 15 دقيقة. وتتوفر مصادقة ثنائية بواسطة رمز.
• تُخفي السجلات التقنية عناوين البريد الإلكتروني، ورموز الولوج، ورموز التحقق، وأرقام IBAN / RIB، وأرقام الهاتف.
• النسخ الاحتياطية اليومية مشفّرة (AES-256) ومحفوظة في المغرب.
• لا يلج أي موظف من موظفي Tresoria إلى فضاء زبون إلا بعد موافقة مالكه أو أحد مديريه، ولمدة محدودة (60 دقيقة افتراضياً)؛ ويُسجَّل كل إجراء من إجراءاته. ولمعالجة حادث، يمكن لمؤسسي Tresoria الولوج إلى فضاء زبون دون موافقة مسبقة؛ ويُسجَّل كل ولوج في سجل التدقيق الخاص بنا.

13. حقوقكم

طبقاً للقانون رقم 09-08 المتعلق بحماية الأشخاص الذاتيين تجاه معالجة المعطيات ذات الطابع الشخصي، تتمتعون بحق الولوج إلى معطياتكم، وحق تصحيحها، وحق التعرض على معالجتها لسبب مشروع، وحق حذفها.

لممارسة هذه الحقوق، راسلوا contact@tresoria.ma؛ ونجيب داخل أجل 30 يوماً. وإذا كانت معطياتكم قد سُجلت من طرف أحد زبنائنا لأجل نشاطه الخاص (القسم 2)، فتوجهوا إليه أولاً؛ وسنساعده على الرد عليكم.

يمكن لمالك الاشتراك، من داخل التطبيق، طلب تصدير كامل لمعطيات شركته (أرشيف متاح لمدة 7 أيام) وطلب إغلاق حسابه. وبعد قبول الطلب، تُمحى المعطيات بعد 30 يوماً: إذ تُحذف العمليات والحسابات البنكية، وتصبح الشركة مجهولة الهوية، ويُحتفظ بالمعطيات التي يُلزمنا القانون بالاحتفاظ بها (فوترة الاشتراك، سجل التدقيق). وإلى حدود اليوم، لا تمحو هذه العملية بطاقات المورّدين والمستفيدين ولا وثائقهم: ويمكنكم طلب محوها بمراسلة contact@tresoria.ma.

يمكنكم في أي وقت إيقاف إشعارات WhatsApp (القسم 6) وفصل Gmail (القسم 7).

يمكنكم أيضاً اللجوء إلى اللجنة الوطنية (CNDP)، www.cndp.ma. وسيُنشر مرجع إجراءات Tresoria لدى اللجنة الوطنية في هذه الصفحة فور استكمالها.

14. ملفات تعريف الارتباط والتخزين في متصفحكم

• الموقع tresoria.ma: ملف تعريف ارتباط خاص باللغة (NEXT_LOCALE) وتسجيل محلي يفيد بأنكم أغلقتم الشريط. ولا يوجد أي ملف تعريف ارتباط لقياس الجمهور أو للإشهار.
• التطبيق: تُحفظ رموز تسجيل الدخول وملفكم الشخصي في المتصفح، طوال الجلسة فقط، أو بصفة دائمة إذا حددتم خانة « تذكرني »؛ وكذا إعدادات العرض الخاصة بكم والشركة المفتوحة؛ وملف تعريف ارتباط يحتفظ بالإعلانات التي سبق الاطلاع عليها (سنة واحدة). ولا توجد أي أداة تابعة لأطراف ثالثة لقياس الجمهور أو لتتبع الأخطاء.

15. التبليغ عن عطل

عندما تبلّغون عن مشكلة من داخل التطبيق، نتلقى وصفكم، واسمكم وعنوان بريدكم الإلكتروني، وشركتكم، والشاشة المعنية، واللغة، وإصدار التطبيق، وحجم الشاشة، وآخر خطأ ورد من الخادم، ولقطات الشاشة التي تختارون إرفاقها. ولا تُلتقط أي لقطة تلقائياً. ويُنقل هذا البلاغ إلى أداة التتبع لدينا (Trello، القسم 9).

16. القاصرون

Tresoria خدمة موجهة للمقاولات. ولا تستهدف الأشخاص الذين تقل أعمارهم عن 18 سنة.

17. التعديلات

نحيّن هذه السياسة فور تغيّر عمليات المعالجة التي نقوم بها، ويظهر تاريخ آخر تحديث في أعلى هذه الصفحة. وإذا كان من شأن تغيير ما أن يعدّل الطريقة التي نستعمل بها معطياتكم، ولا سيما معطيات Google، فإننا نخبركم بذلك داخل التطبيق أو عبر البريد الإلكتروني قبل سريانه.

18. الاتصال

لكل سؤال أو طلب أو شكاية بشأن معطياتكم: contact@tresoria.ma.