Política de privacidad

1. Quiénes somos

Tresoria es una plataforma de gestión de tesorería para empresas. Comprende el sitio tresoria.ma, la aplicación app.tresoria.ma, el portal de pago puesto a disposición de los clientes de nuestros clientes y las notificaciones enviadas por correo electrónico y por WhatsApp.

El servicio es editado por Tresoria, sociedad en proceso de inscripción en Marruecos, con sede en Casablanca (en adelante, « Tresoria », « nosotros »). Sus datos registrales (razón social, forma jurídica, capital, domicilio social, RC, ICE, IF) se publicarán en nuestro aviso legal en cuanto quede inscrita.

Para cualquier pregunta sobre sus datos: contact@tresoria.ma.

2. Nuestro papel según los datos

Somos responsables del tratamiento de los datos que nos conciernen directamente: los visitantes del sitio, las solicitudes de demostración, las cuentas de los usuarios de la aplicación, la facturación de la suscripción, la seguridad y el soporte.

Respecto de los datos que nuestros clientes registran en Tresoria para su propia actividad (sus extractos y operaciones bancarias, sus proveedores, sus clientes y sus contactos, sus beneficiarios, sus facturas y documentos), actuamos por cuenta de nuestro cliente y siguiendo sus instrucciones. Es nuestro cliente quien decide sobre estos datos y quien responde de su licitud ante los interesados; nosotros le ayudamos a cumplir sus obligaciones.

3. Los datos que tratamos

• Usuarios de la aplicación: dirección de correo electrónico, nombre, apellidos, número de teléfono (opcional), rol y permisos, preferencias de visualización. La contraseña nunca se conserva en claro: solo se conserva una huella criptográfica (BCrypt).
• Empresa cliente: razón social, identificadores legales (ICE, IF, RC), dirección, ciudad, teléfono, contacto y datos de facturación.
• Datos bancarios: cuentas (incluidos IBAN / RIB), extractos importados, operaciones, saldos y, si el cliente los activa, los datos recibidos a través de sus conectores (SFTP o API) desde sus propios servidores o desde los de su banco.
• Terceros registrados por el cliente: proveedores (nombre, dirección, ICE, notas), beneficiarios de pagos (nombre, dirección, cuenta, banco, BIC), clientes del cliente y sus contactos (nombre, correo electrónico, teléfono, cargo), cheques, efectos y órdenes de pago (nombre del beneficiario), intercambios y documentos depositados en el portal de pago.
• Documentos: facturas, extractos, contratos, justificantes de pago, cheques, efectos, remesas, exportaciones, así como los correos electrónicos de facturas recibidos en la dirección dedicada de la empresa.
• Solicitudes de demostración enviadas desde el sitio: nombre, empresa, estructura, correo electrónico, teléfono (opcional), tramos de plantilla y de número de cuentas, mensaje, idioma, así como la dirección IP y el navegador utilizados.
• Registros de seguridad: registro de auditoría (autor, dirección IP, navegador, acción, antes y después de una modificación), intentos de conexión, sesiones abiertas, tiempo de actividad, y los informes de incidencias que nos envía (con las capturas de pantalla que decida adjuntar).
• WhatsApp: número de teléfono verificado, elección de notificaciones y el historial de los mensajes enviados (véase la sección 6).
• Gmail: dirección de la cuenta de Google conectada y la autorización de envío (véase la sección 7).

4. Por qué los tratamos

• Prestar el servicio contratado: llevar la tesorería, importar y conciliar las operaciones, gestionar las facturas, los pagos, los recordatorios de cobro y las notificaciones (ejecución del contrato).
• Proteger el servicio: autenticación, prevención de abusos, registro de auditoría, investigación de un incidente (interés legítimo y obligación de seguridad).
• Facturar la suscripción y cumplir nuestras obligaciones legales y contables (obligación legal).
• Asistir al cliente: soporte, tratamiento de los informes de incidencias (ejecución del contrato).
• Responder a una solicitud de demostración y realizar su seguimiento comercial (medidas precontractuales adoptadas a petición suya).
• Enviar notificaciones por WhatsApp, únicamente a los usuarios que lo hayan elegido (consentimiento).

No vendemos, alquilamos ni cedemos ningún dato. No hacemos publicidad dirigida, no utilizamos ninguna herramienta de medición de audiencia y no evaluamos la solvencia de nadie.

5. La inteligencia artificial

Algunas funciones de Tresoria utilizan un modelo de inteligencia artificial proporcionado por Anthropic (modelos Claude), a través de su interfaz de programación (API). El tratamiento por parte de este proveedor tiene lugar fuera de Marruecos.

Según la función utilizada, le enviamos:

• el archivo completo de un extracto bancario (PDF o foto), para leer sus operaciones, con la lista de categorías de la empresa;
• el archivo completo de una factura de proveedor o de cliente, de un documento que deba dividirse en varias facturas, de un calendario de vencimientos o de una tabla de comisiones bancarias, para leer sus campos;
• el contrato de suscripción firmado, para verificar la presencia de la firma;
• conceptos, importes, fechas, referencias y nombres de contrapartes de operaciones, para proponer categorías, reglas y conciliaciones, y detectar pagos recurrentes;
• el nombre y el ICE de un proveedor leídos en una factura, con un máximo de tres proveedores candidatos, para reconocerlo;
• nombres de categorías y totales, para otras sugerencias (naturaleza del costo, informes del cuadro de mando, explicaciones de saldos, sin IBAN).

Anthropic indica que, por defecto, no utiliza los datos recibidos a través de su API para entrenar sus modelos. No conservamos ni el texto enviado ni la respuesta del modelo: solo guardamos, para cada llamada, la empresa, el usuario, la función, el modelo, el número de unidades procesadas (tokens), el costo estimado y el resultado.

Lo que propone la inteligencia artificial sigue siendo una sugerencia: es el usuario quien la verifica y la valida. Un cliente también puede utilizar su propia clave ante el proveedor; en ese caso, se conserva cifrada.

6. WhatsApp

Tresoria puede enviar notificaciones por WhatsApp, mediante la plataforma WhatsApp Business de Meta, desde un número único de Tresoria. Estos mensajes se dirigen únicamente a los usuarios de la aplicación, nunca a los clientes o proveedores de nuestros clientes.

WhatsApp solo se utiliza si usted lo elige:

• usted verifica su número enviando usted mismo un código desde WhatsApp (código válido durante 15 minutos);
• usted elige, notificación por notificación, cuáles recibe por WhatsApp;
• los códigos de conexión y de firma también pueden llegarle por WhatsApp si así lo ha elegido; nunca quedan grabados en nuestros registros;
• responder « STOP » desactiva inmediatamente todas las notificaciones de WhatsApp; « Retirar » en su perfil borra su número verificado; cambiar de número anula la verificación;
• si un mensaje de WhatsApp no puede entregarse, se le envía la misma notificación por correo electrónico.

Meta recibe su número y el contenido del mensaje: el nombre de la empresa y los hechos objeto de la notificación (por ejemplo, un número de facturas por validar). Meta trata estos datos fuera de Marruecos, conforme a sus propias condiciones y a su política de privacidad. Conservamos el historial de los mensajes enviados (destinatario, tipo, plantilla de mensaje, estado); los mensajes recibidos de Meta se guardan durante 24 horas. Respetamos la política de mensajería de WhatsApp Business: solo escribimos a las personas que lo han aceptado, y se respeta toda solicitud de baja.

7. Google (envío por Gmail)

Una empresa puede optar por enviar sus correos electrónicos (facturas, recordatorios de cobro, extractos) desde su propia cuenta de Gmail. Para ello, el usuario conecta su cuenta de Google y autoriza a Tresoria con los únicos permisos « openid », « email » y « gmail.send ».

Tresoria recibe la dirección de la cuenta de Google y el derecho a enviar correos electrónicos en su nombre. Tresoria nunca lee, enumera, modifica ni elimina los mensajes del buzón. Estos datos sirven únicamente para enviar, desde esa cuenta, los correos electrónicos que el usuario activa o programa en Tresoria.

No se comparten con nadie más que con Google, y nunca se utilizan con fines publicitarios ni para evaluar una solvencia. Solo se conserva el token de acceso de larga duración, cifrado (AES-256-GCM), junto con la dirección de la cuenta, el autor y la fecha de la conexión. Los tokens nunca aparecen en nuestros registros.

La desconexión de Gmail en Tresoria revoca la autorización ante Google y borra estos datos. También puede retirar el acceso en cualquier momento desde su cuenta de Google (Seguridad › Aplicaciones de terceros).

El uso y la transferencia, por parte de Tresoria, de la información recibida de las API de Google se ajustan a la Política de datos de usuario de los servicios de API de Google (https://developers.google.com/terms/api-services-user-data-policy), incluidos los requisitos de uso limitado (« Limited Use »). En inglés: « Tresoria's use and transfer of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. »

Los datos recibidos de las API de Google Workspace nunca se utilizan para desarrollar, mejorar o entrenar modelos generalizados de inteligencia artificial o de aprendizaje automático, ni se transmiten a un proveedor de inteligencia artificial.

8. Los correos electrónicos

Los correos electrónicos de Tresoria (conexión, notificaciones, facturas, recordatorios de cobro) se envían a través de nuestro proveedor de mensajería Nindomail (Nindohost), desde no-reply@tresoria.ma y contact@tresoria.ma. Una empresa también puede optar por enviarlos a través de su propio servidor de correo o por Gmail (sección 7). Cada envío queda inscrito en el registro de auditoría: destinatario, asunto, nombre del archivo adjunto y, si lo desencadenó un clic, la dirección IP y el navegador; el cuerpo del mensaje no se conserva.

Las facturas enviadas por sus proveedores a la dirección de recepción de su empresa las recibe nuestro proveedor Mailgun (Unión Europea): conservamos el destinatario, el remitente, el asunto, los archivos adjuntos y el resultado de los controles de autenticidad.

9. Quién recibe sus datos

Sus datos son accesibles para su equipo según los permisos que su empresa le otorgue y, en las condiciones de la sección 12, para el personal de Tresoria. Recurrimos a los siguientes proveedores, cada uno únicamente para el uso indicado:

• Oracle Cloud Infrastructure: alojamiento de la aplicación, de la base de datos, de los documentos y de las copias de seguridad, en Marruecos (región de Casablanca).
• Anthropic: inteligencia artificial (sección 5), fuera de Marruecos.
• Meta (WhatsApp Business): notificaciones de WhatsApp (sección 6), fuera de Marruecos.
• Google: envío por Gmail, solo para las empresas que lo elijan (sección 7), fuera de Marruecos.
• Nindohost (Nindomail): envío de los correos electrónicos (sección 8).
• Mailgun: recepción de los correos electrónicos de facturas (sección 8), Unión Europea.
• Atlassian (Trello): seguimiento de los informes de incidencias (empresa, nombre y correo electrónico del autor, descripción, contexto técnico y capturas adjuntas), fuera de Marruecos.
• Cloudflare: únicamente gestión de los nombres de dominio; ningún dato personal transita por Cloudflare.

10. Transferencias fuera de Marruecos

La aplicación, la base de datos, los documentos y las copias de seguridad están alojados en Marruecos. No obstante, algunos datos se transmiten fuera de Marruecos a los proveedores indicados como tales en la sección 9 (Anthropic, Meta, Google, Atlassian y Mailgun en la Unión Europea), exclusivamente para el uso descrito.

Estas transferencias se basan en las condiciones contractuales de cada proveedor. Los trámites que la Ley n.º 09-08 exige ante la CNDP (Commission Nationale de contrôle de la protection des Données à caractère Personnel) para estas transferencias se realizarán en cuanto Tresoria quede inscrita, y su referencia se publicará en esta página.

11. Durante cuánto tiempo los conservamos

• Datos de la cuenta y datos de la empresa: durante toda la vigencia de la suscripción y, después, hasta el borrado que sigue al cierre de la cuenta (sección 13).
• Justificantes contables y datos de facturación de la suscripción: 10 años, plazo impuesto por la legislación marroquí.
• Registro de auditoría y registro de los correos electrónicos enviados: conservados con fines probatorios y de seguridad, sin duración máxima fijada hasta la fecha.
• Actividad del personal de Tresoria en el espacio de un cliente: 90 días.
• Tiempo de actividad de los usuarios: 13 meses día a día y, después, agrupado por mes.
• Cuentas bancarias eliminadas: 3 meses. Operaciones eliminadas por una importación: 90 días.
• Documentos recibidos y no verificados: 30 días. Datos de ejecución de los conectores: 30 días. Historial de « Mi jornada »: 90 días.
• Archivo de exportación de sus datos: 7 días después de su creación.
• Copias de seguridad de la base de datos: 14 días.
• Registros técnicos del servidor: 7 días.
• Mensajes recibidos de WhatsApp: 24 horas. Historial de los mensajes de WhatsApp enviados: sin duración máxima fijada hasta la fecha.
• Solicitudes de demostración: sin duración máxima fijada hasta la fecha.
• Sesiones de conexión: eliminadas, a más tardar, 24 horas después de su expiración.

12. Seguridad y acceso del personal

Existen procedimientos de seguridad para proteger la confidencialidad, la integridad y la disponibilidad de sus datos.

• Todas las comunicaciones se cifran mediante TLS (versiones 1.2 y 1.3).
• Los secretos confiados (credenciales de conectores, claves de inteligencia artificial, contraseñas de correo, token de Gmail) se cifran mediante AES-GCM.
• Las contraseñas se conservan en forma de huella criptográfica BCrypt; los códigos de conexión y los enlaces de invitación o de restablecimiento, en forma de huella criptográfica. Una cuenta se bloquea tras 5 intentos fallidos de conexión en 15 minutos. Está disponible una doble autenticación mediante código.
• Los registros técnicos ocultan las direcciones de correo electrónico, tokens, códigos, IBAN / RIB y números de teléfono.
• Las copias de seguridad diarias se cifran (AES-256) y se conservan en Marruecos.
• Un miembro del personal de Tresoria solo accede al espacio de un cliente tras la autorización de su propietario o de un administrador, durante un tiempo limitado (60 minutos por defecto); cada una de sus acciones queda registrada. Para tratar un incidente, los fundadores de Tresoria pueden acceder al espacio de un cliente sin autorización previa; cada acceso queda registrado en nuestro registro de auditoría.

13. Sus derechos

De conformidad con la Ley n.º 09-08 relativa a la protección de las personas físicas con respecto al tratamiento de los datos de carácter personal, usted dispone de un derecho de acceso, de rectificación, de oposición por un motivo legítimo y de supresión de sus datos.

Para ejercerlos, escriba a contact@tresoria.ma; respondemos en un plazo de 30 días. Si sus datos han sido registrados por uno de nuestros clientes para su propia actividad (sección 2), diríjase primero a él; le ayudaremos a responderle.

El propietario de una suscripción puede, desde la aplicación, solicitar una exportación completa de los datos de su empresa (archivo disponible durante 7 días) y solicitar el cierre de su cuenta. Tras su aceptación, los datos se borran 30 días más tarde: las operaciones y cuentas bancarias se eliminan, la empresa se anonimiza y los datos que la ley nos obliga a conservar (facturación de la suscripción, registro de auditoría) se conservan. A la fecha, esta operación no borra las fichas de los proveedores y de los beneficiarios ni sus documentos: puede solicitar su borrado escribiendo a contact@tresoria.ma.

Puede, en cualquier momento, desactivar las notificaciones de WhatsApp (sección 6) y desconectar Gmail (sección 7).

También puede acudir a la CNDP, www.cndp.ma. La referencia de los trámites de Tresoria ante la CNDP se publicará en esta página en cuanto se hayan realizado.

14. Cookies y almacenamiento en su navegador

• Sitio tresoria.ma: una cookie de idioma (NEXT_LOCALE) y un registro local que indica que usted cerró el banner. Ninguna cookie de medición de audiencia ni de publicidad.
• Aplicación: sus tokens de conexión y su perfil se guardan en el navegador, solo durante la sesión, o de forma duradera si marca « Recordarme »; sus ajustes de visualización y la empresa abierta; una cookie que recuerda los anuncios ya vistos (1 año). Ninguna herramienta de medición de audiencia ni de seguimiento de errores de terceros.

15. Notificación de incidencias

Cuando notifica un problema desde la aplicación, recibimos su descripción, su nombre y su dirección de correo electrónico, su empresa, la pantalla afectada, el idioma, la versión de la aplicación, el tamaño de la pantalla, el último error recibido del servidor y las capturas de pantalla que decida adjuntar. No se toma ninguna captura automáticamente. Esta notificación se traslada a nuestra herramienta de seguimiento (Trello, sección 9).

16. Menores

Tresoria es un servicio destinado a empresas. No está dirigido a personas menores de 18 años.

17. Modificaciones

Actualizamos esta política en cuanto cambian nuestros tratamientos, y la fecha de la última actualización figura en la parte superior de esta página. Si un cambio modifica la forma en que utilizamos sus datos, en particular los datos de Google, se lo comunicamos en la aplicación o por correo electrónico antes de que se aplique.

18. Contacto

Para cualquier pregunta, solicitud o reclamación sobre sus datos: contact@tresoria.ma.