Politique de confidentialité

1. Qui sommes-nous

Tresoria est une plateforme de gestion de trésorerie pour les entreprises. Elle comprend le site tresoria.ma, l'application app.tresoria.ma, le portail de paiement mis à disposition des clients de nos clients, et les notifications envoyées par e-mail et par WhatsApp.

Le service est édité par Tresoria, société en cours d'immatriculation au Maroc, établie à Casablanca (ci-après « Tresoria », « nous »). Ses mentions d'immatriculation (raison sociale, forme juridique, capital, siège, RC, ICE, IF) seront publiées dans nos mentions légales dès son immatriculation.

Pour toute question sur vos données : contact@tresoria.ma.

2. Notre rôle selon les données

Nous sommes responsables du traitement des données qui nous concernent directement : les visiteurs du site, les demandes de démonstration, les comptes des utilisateurs de l'application, la facturation de l'abonnement, la sécurité et le support.

Pour les données que nos clients enregistrent dans Tresoria pour leur propre activité (leurs relevés et opérations bancaires, leurs fournisseurs, leurs clients et leurs contacts, leurs bénéficiaires, leurs factures et documents), nous agissons pour le compte de notre client et selon ses instructions. C'est notre client qui décide de ces données et qui répond de leur licéité auprès des personnes concernées ; nous l'aidons à respecter ses obligations.

3. Les données que nous traitons

• Utilisateurs de l'application : adresse e-mail, prénom, nom, numéro de téléphone (facultatif), rôle et droits, préférences d'affichage. Le mot de passe n'est jamais conservé en clair : seule une empreinte (BCrypt) l'est.
• Société cliente : raison sociale, identifiants légaux (ICE, IF, RC), adresse, ville, téléphone, contact et coordonnées de facturation.
• Données bancaires : comptes (dont IBAN / RIB), relevés importés, opérations, soldes, et, si le client les active, les données reçues par ses connecteurs (SFTP ou API) depuis ses propres serveurs ou ceux de sa banque.
• Tiers enregistrés par le client : fournisseurs (nom, adresse, ICE, notes), bénéficiaires de paiements (nom, adresse, compte, banque, BIC), clients du client et leurs contacts (nom, e-mail, téléphone, fonction), chèques, effets et ordres de paiement (nom du bénéficiaire), échanges et pièces déposées sur le portail de paiement.
• Documents : factures, relevés, contrats, preuves de paiement, chèques, effets, remises, exports, ainsi que les e-mails de factures reçus à l'adresse dédiée de la société.
• Demandes de démonstration envoyées depuis le site : nom, société, structure, e-mail, téléphone (facultatif), tranches d'effectif et de nombre de comptes, message, langue, ainsi que l'adresse IP et le navigateur utilisés.
• Traces de sécurité : journal d'audit (auteur, adresse IP, navigateur, action, avant et après une modification), tentatives de connexion, sessions ouvertes, temps d'activité, et les signalements d'anomalie que vous nous envoyez (avec les captures d'écran que vous choisissez de joindre).
• WhatsApp : numéro de téléphone vérifié, choix de notifications, et l'historique des messages envoyés (voir la section 6).
• Gmail : adresse du compte Google connecté et l'autorisation d'envoi (voir la section 7).

4. Pourquoi nous les traitons

• Fournir le service souscrit : tenir la trésorerie, importer et rapprocher les opérations, gérer les factures, les paiements, les relances et les notifications (exécution du contrat).
• Sécuriser le service : authentification, prévention des abus, journal d'audit, enquête sur un incident (intérêt légitime et obligation de sécurité).
• Facturer l'abonnement et respecter nos obligations légales et comptables (obligation légale).
• Assister le client : support, traitement des signalements d'anomalie (exécution du contrat).
• Répondre à une demande de démonstration et en assurer le suivi commercial (mesures précontractuelles prises à votre demande).
• Envoyer des notifications par WhatsApp, uniquement aux utilisateurs qui l'ont choisi (consentement).

Nous ne vendons, ne louons et ne cédons aucune donnée. Nous ne faisons pas de publicité ciblée, n'utilisons aucun outil de mesure d'audience, et n'évaluons pas la solvabilité de qui que ce soit.

5. L'intelligence artificielle

Certaines fonctions de Tresoria utilisent un modèle d'intelligence artificielle fourni par Anthropic (modèles Claude), par son interface de programmation (API). Le traitement par ce fournisseur a lieu hors du Maroc.

Selon la fonction utilisée, nous lui envoyons :

• le fichier complet d'un relevé bancaire (PDF ou photo), pour en lire les opérations, avec la liste des catégories de la société ;
• le fichier complet d'une facture fournisseur ou client, d'un document à découper en plusieurs factures, d'un échéancier ou d'une grille de frais bancaires, pour en lire les champs ;
• le contrat d'abonnement signé, pour vérifier la présence de la signature ;
• des libellés, montants, dates, références et noms de contreparties d'opérations, pour proposer des catégories, des règles, des rapprochements et détecter des paiements récurrents ;
• le nom et l'ICE d'un fournisseur lu sur une facture, avec au plus trois fournisseurs candidats, pour le reconnaître ;
• des noms de catégories et des totaux, pour d'autres suggestions (nature de coût, rapports de tableau de bord, explications de soldes, sans IBAN).

Anthropic indique ne pas utiliser, par défaut, les données reçues par son API pour entraîner ses modèles. Nous ne conservons ni le texte envoyé ni la réponse du modèle : nous gardons seulement, pour chaque appel, la société, l'utilisateur, la fonction, le modèle, le nombre d'unités traitées (jetons), le coût estimé et le résultat.

Ce que l'intelligence artificielle propose reste une suggestion : c'est l'utilisateur qui la vérifie et la valide. Un client peut aussi utiliser sa propre clé auprès du fournisseur ; elle est alors conservée chiffrée.

6. WhatsApp

Tresoria peut envoyer des notifications par WhatsApp, au moyen de la plateforme WhatsApp Business de Meta, depuis un numéro unique de Tresoria. Ces messages sont adressés uniquement aux utilisateurs de l'application, jamais aux clients ou fournisseurs de nos clients.

WhatsApp n'est utilisé que si vous le choisissez :

• vous vérifiez votre numéro en envoyant vous-même un code depuis WhatsApp (code valable 15 minutes) ;
• vous choisissez, notification par notification, celles que vous recevez sur WhatsApp ;
• les codes de connexion et de signature peuvent aussi vous parvenir par WhatsApp si vous l'avez choisi ; ils ne sont jamais enregistrés dans nos journaux ;
• répondre « STOP » coupe immédiatement toutes les notifications WhatsApp ; « Retirer » dans votre profil efface votre numéro vérifié ; changer de numéro annule la vérification ;
• si un message WhatsApp ne peut pas être remis, la même notification vous est envoyée par e-mail.

Meta reçoit votre numéro et le contenu du message : le nom de la société et les faits de la notification (par exemple un nombre de factures à valider). Meta traite ces données hors du Maroc, selon ses propres conditions et sa politique de confidentialité. Nous conservons l'historique des messages envoyés (destinataire, type, modèle de message, statut) ; les messages reçus de Meta sont gardés 24 heures. Nous respectons la politique de messagerie de WhatsApp Business : nous n'écrivons qu'aux personnes qui ont accepté, et toute demande d'arrêt est respectée.

7. Google (envoi par Gmail)

Une société peut choisir d'envoyer ses e-mails (factures, relances, relevés) depuis son propre compte Gmail. Pour cela, l'utilisateur connecte son compte Google et autorise Tresoria avec les seules autorisations « openid », « email » et « gmail.send ».

Tresoria reçoit l'adresse du compte Google et le droit d'envoyer des e-mails en son nom. Tresoria ne lit, ne liste, ne modifie ni ne supprime jamais les messages de la boîte. Ces données servent uniquement à envoyer, depuis ce compte, les e-mails que l'utilisateur déclenche ou programme dans Tresoria.

Elles ne sont partagées avec personne d'autre que Google, et jamais utilisées pour de la publicité ni pour évaluer une solvabilité. Seul le jeton d'accès de longue durée est conservé, chiffré (AES-256-GCM), avec l'adresse du compte, l'auteur et la date de la connexion. Les jetons n'apparaissent jamais dans nos journaux.

La déconnexion de Gmail dans Tresoria révoque l'autorisation auprès de Google et efface ces données. Vous pouvez aussi retirer l'accès à tout moment depuis votre compte Google (Sécurité › Applications tierces).

L'utilisation et le transfert, par Tresoria, des informations reçues des API Google respectent la Politique relative aux données utilisateur des services API Google (https://developers.google.com/terms/api-services-user-data-policy), y compris les exigences d'utilisation limitée (« Limited Use »). En anglais : « Tresoria's use and transfer of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. »

Les données reçues des API Google Workspace ne sont jamais utilisées pour développer, améliorer ou entraîner des modèles d'intelligence artificielle ou d'apprentissage automatique généralisés, ni transmises à un fournisseur d'intelligence artificielle.

8. Les e-mails

Les e-mails de Tresoria (connexion, notifications, factures, relances) partent par notre fournisseur de messagerie Nindomail (Nindohost), depuis no-reply@tresoria.ma et contact@tresoria.ma. Une société peut aussi choisir d'envoyer par son propre serveur de messagerie ou par Gmail (section 7). Chaque envoi est inscrit au journal d'audit : destinataire, objet, nom de la pièce jointe, et, si un clic l'a déclenché, l'adresse IP et le navigateur ; le corps du message n'est pas conservé.

Les factures envoyées par vos fournisseurs à l'adresse de réception de votre société sont reçues par notre fournisseur Mailgun (Union européenne) : nous en gardons le destinataire, l'expéditeur, l'objet, les pièces jointes et le résultat des contrôles d'authenticité.

9. Qui reçoit vos données

Vos données sont accessibles à votre équipe selon les droits que votre société lui donne, et, dans les conditions de la section 12, au personnel de Tresoria. Nous faisons appel aux prestataires suivants, chacun pour ce seul usage :

• Oracle Cloud Infrastructure — hébergement de l'application, de la base de données, des documents et des sauvegardes, au Maroc (région de Casablanca).
• Anthropic — intelligence artificielle (section 5), hors du Maroc.
• Meta (WhatsApp Business) — notifications WhatsApp (section 6), hors du Maroc.
• Google — envoi par Gmail, seulement pour les sociétés qui le choisissent (section 7), hors du Maroc.
• Nindohost (Nindomail) — envoi des e-mails (section 8).
• Mailgun — réception des e-mails de factures (section 8), Union européenne.
• Atlassian (Trello) — suivi des signalements d'anomalie : société, nom et e-mail de l'auteur, description, contexte technique et captures jointes, hors du Maroc.
• Cloudflare — gestion des noms de domaine uniquement ; aucune donnée personnelle ne transite par Cloudflare.

10. Transferts hors du Maroc

L'application, la base de données, les documents et les sauvegardes sont hébergés au Maroc. Certaines données sont toutefois transmises hors du Maroc aux prestataires indiqués comme tels à la section 9 (Anthropic, Meta, Google, Atlassian, et Mailgun dans l'Union européenne), pour le seul usage décrit.

Ces transferts reposent sur les conditions contractuelles de chaque prestataire. Les formalités prévues par la Loi 09-08 auprès de la CNDP pour ces transferts seront accomplies dès l'immatriculation de Tresoria, et leur référence sera publiée sur cette page.

11. Combien de temps nous les gardons

• Données du compte et données de la société : pendant toute la durée de l'abonnement, puis jusqu'à l'effacement qui suit une fermeture de compte (section 13).
• Pièces comptables et données de facturation de l'abonnement : 10 ans, durée imposée par la loi marocaine.
• Journal d'audit et journal des e-mails envoyés : conservés à des fins de preuve et de sécurité, sans durée maximale fixée à ce jour.
• Activité du personnel de Tresoria dans l'espace d'un client : 90 jours.
• Temps d'activité des utilisateurs : 13 mois au jour le jour, puis regroupé par mois.
• Comptes bancaires supprimés : 3 mois. Opérations supprimées par un import : 90 jours.
• Documents reçus et non vérifiés : 30 jours. Données d'exécution des connecteurs : 30 jours. Historique de « Ma journée » : 90 jours.
• Archive d'export de vos données : 7 jours après sa création.
• Sauvegardes de la base de données : 14 jours.
• Journaux techniques du serveur : 7 jours.
• Messages reçus de WhatsApp : 24 heures. Historique des messages WhatsApp envoyés : sans durée maximale fixée à ce jour.
• Demandes de démonstration : sans durée maximale fixée à ce jour.
• Sessions de connexion : supprimées au plus tard 24 heures après leur expiration.

12. Sécurité et accès du personnel

Des procédures de sécurité sont en place pour protéger la confidentialité, l'intégrité et la disponibilité de vos données.

• Toutes les communications sont chiffrées en TLS (versions 1.2 et 1.3).
• Les secrets confiés (identifiants de connecteurs, clés d'intelligence artificielle, mots de passe de messagerie, jeton Gmail) sont chiffrés en AES-GCM.
• Les mots de passe sont conservés sous forme d'empreinte BCrypt ; les codes de connexion et les liens d'invitation ou de réinitialisation sous forme d'empreinte. Un compte est verrouillé après 5 échecs de connexion en 15 minutes. Une double authentification par code est disponible.
• Les journaux techniques masquent les adresses e-mail, jetons, codes, IBAN / RIB et numéros de téléphone.
• Les sauvegardes quotidiennes sont chiffrées (AES-256) et conservées au Maroc.
• Un membre du personnel de Tresoria n'accède à l'espace d'un client qu'après l'accord de son propriétaire ou d'un administrateur, pour une durée limitée (60 minutes par défaut) ; chacune de ses actions est enregistrée. Pour traiter un incident, les fondateurs de Tresoria peuvent accéder à l'espace d'un client sans accord préalable ; chaque accès est enregistré dans notre journal d'audit.

13. Vos droits

Conformément à la Loi 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, vous disposez d'un droit d'accès, de rectification, d'opposition pour un motif légitime et de suppression de vos données.

Pour les exercer, écrivez à contact@tresoria.ma ; nous répondons sous 30 jours. Si vos données ont été enregistrées par l'un de nos clients pour sa propre activité (section 2), adressez-vous d'abord à lui ; nous l'aiderons à vous répondre.

Le propriétaire d'un abonnement peut, depuis l'application, demander un export complet des données de sa société (archive disponible 7 jours) et demander la fermeture de son compte. Après acceptation, les données sont effacées 30 jours plus tard : les opérations et comptes bancaires sont supprimés, la société est rendue anonyme, et les données que la loi nous oblige à garder (facturation de l'abonnement, journal d'audit) sont conservées. À ce jour, cette opération n'efface pas les fiches des fournisseurs et des bénéficiaires ni leurs documents : vous pouvez en demander l'effacement à contact@tresoria.ma.

Vous pouvez à tout moment arrêter les notifications WhatsApp (section 6) et déconnecter Gmail (section 7).

Vous pouvez aussi saisir la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP), www.cndp.ma. La référence des formalités de Tresoria auprès de la CNDP sera publiée sur cette page dès leur accomplissement.

14. Cookies et stockage dans votre navigateur

• Site tresoria.ma : un cookie de langue (NEXT_LOCALE) et un enregistrement local indiquant que vous avez fermé le bandeau. Aucun cookie de mesure d'audience ni de publicité.
• Application : vos jetons de connexion et votre profil sont gardés dans le navigateur, pendant la session seulement, ou durablement si vous cochez « Se souvenir de moi » ; vos réglages d'affichage et la société ouverte ; un cookie qui retient les annonces déjà vues (1 an). Aucun outil de mesure d'audience ni de suivi d'erreurs tiers.

15. Signalement d'anomalie

Quand vous signalez un problème depuis l'application, nous recevons votre description, votre nom et votre adresse e-mail, votre société, l'écran concerné, la langue, la version de l'application, la taille de l'écran, la dernière erreur reçue du serveur et les captures d'écran que vous choisissez de joindre. Aucune capture n'est prise automatiquement. Ce signalement est reporté dans notre outil de suivi (Trello, section 9).

16. Mineurs

Tresoria est un service destiné aux entreprises. Il ne s'adresse pas aux personnes de moins de 18 ans.

17. Modifications

Nous mettons cette politique à jour dès que nos traitements changent, et la date de dernière mise à jour figure en haut de cette page. Si un changement modifie la façon dont nous utilisons vos données, notamment les données Google, nous vous en informons dans l'application ou par e-mail avant qu'il ne s'applique.

18. Contact

Pour toute question, demande ou réclamation sur vos données : contact@tresoria.ma.