Politique de confidentialité
Dernière mise à jour : 10 octobre 2026
Cette politique explique quelles données Mersal (mersal.ma) traite, pourquoi, où elles sont hébergées et combien de temps elles sont gardées. Mersal applique la loi marocaine n° 09-08 sur la protection des données personnelles.
Qui fait quoi
Pour les comptes, la facturation et l’assistance, Mersal est responsable du traitement. Pour le contenu des boîtes (messages, pièces jointes, contacts, agendas), c’est l’entreprise cliente qui est responsable du traitement et Mersal agit pour son compte. Mersal ne lit pas les messages ; elle n’y accède que pour répondre à une demande d’assistance du client, à une obligation légale ou à un incident de sécurité.
Données traitées
| Données | Pourquoi |
|---|
| Nom de l’entreprise, nom et adresse e-mail des propriétaires et administrateurs | Créer et gérer le compte, envoyer les e-mails de service (codes de confirmation, alertes, factures) |
| Offre, statut de l’abonnement, dates, marque et 4 derniers chiffres de la carte | Gérer l’abonnement et afficher la page Abonnement |
| Messages, pièces jointes, dossiers, contacts, agendas | Fournir le service de messagerie |
| Adresses IP, heures de connexion, échecs d’authentification | Sécurité : bloquer les attaques, détecter les comptes compromis |
| Expéditeur, destinataires, taille et statut de livraison des messages (pas leur contenu) | Acheminer le courrier, lutter contre le spam, protéger la réputation d’envoi, statistiques de volume |
Mersal ne vend aucune donnée et n’utilise pas le contenu des boîtes à des fins publicitaires.
Prestataires et hébergement
Les données sont hébergées hors du Maroc, principalement dans l’Union européenne :
| Prestataire | Rôle | Lieu |
|---|
| Contabo GmbH | Serveur qui héberge les boîtes et l’espace d’administration | Allemagne |
| Amazon Web Services (SES, S3) | Envoi des messages vers l’extérieur ; stockage des sauvegardes chiffrées | Suède (UE) |
| Cloudflare | DNS de mersal.ma et, si le client l’autorise, de son domaine ; site mersal.ma ; vérification anti-robots à l’inscription (Turnstile) | International |
| Lemon Squeezy | Paiement des abonnements en tant que revendeur : il reçoit le nom, l’adresse e-mail, le pays et les données de paiement saisis lors du paiement, selon sa propre politique de confidentialité | États-Unis |
Durées de conservation
| Données | Durée |
|---|
| Contenu des boîtes | Jusqu’à suppression par l’utilisateur ; supprimé 30 jours après la fin du contrat |
| Boîtes et domaines archivés | 30 jours, puis suppression définitive (e-mail au moins 7 jours avant) |
| Inscriptions jamais payées | Supprimées après 7 jours |
| Sauvegardes sur le serveur | 14 jours |
| Sauvegardes chiffrées hors site | 7 jours (quotidiennes) et 4 semaines (hebdomadaires) |
| Copie de sauvegarde chiffrée hors ligne | 90 jours |
| Événements d’envoi (livraisons, rebonds, plaintes) | 90 jours |
| Journaux de sécurité et de connexion | 90 jours |
| Historique de facturation | Durée légale de conservation comptable |
Sécurité
Connexions chiffrées (TLS) ; sauvegardes chiffrées (AES-256) avant de quitter le serveur ; double authentification pour l’équipe Mersal ; blocage automatique des adresses IP qui essaient de deviner des mots de passe ; limites d’envoi par boîte ; alertes en cas de connexion ou d’envoi inhabituel.
Vos droits
Toute personne concernée peut demander l’accès à ses données, leur rectification ou s’opposer à leur traitement (articles 7 à 9 de la loi 09-08). Pour le contenu d’une boîte professionnelle, adressez-vous d’abord à l’entreprise qui vous la fournit ; Mersal l’aidera à répondre. Pour le reste, écrivez à support@mersal.ma. Vous pouvez aussi saisir la CNDP (www.cndp.ma).
Incident de sécurité
Si un incident touche les données d’un client, Mersal l’en informe dans les meilleurs délais, avec les mesures prises.
Cookies
Le site mersal.ma n’utilise ni publicité ni outil de suivi. Il garde seulement votre choix de langue dans votre navigateur. L’espace d’administration utilise un cookie de session nécessaire à la connexion.
Modifications
En cas de changement important, les clients sont prévenus par e-mail. La date en haut de cette page indique la dernière mise à jour.
Privacy policy
Last updated: 10 October 2026
This policy explains which data Mersal (mersal.ma) processes, why, where it is hosted and how long it is kept. Mersal follows Moroccan law 09-08 on the protection of personal data.
Who does what
For accounts, billing and support, Mersal is the data controller. For mailbox contents (messages, attachments, contacts, calendars), the customer company is the data controller and Mersal processes them on its behalf. Mersal does not read messages; it only accesses them to answer a support request from the customer, to meet a legal obligation or to handle a security incident.
Data we process
| Data | Why |
|---|
| Company name, name and email address of owners and administrators | Create and manage the account, send service emails (confirmation codes, alerts, invoices) |
| Plan, subscription status, dates, card brand and last 4 digits | Manage the subscription and show the Subscription page |
| Messages, attachments, folders, contacts, calendars | Provide the email service |
| IP addresses, sign-in times, failed sign-ins | Security: block attacks, detect compromised accounts |
| Sender, recipients, size and delivery status of messages (not their content) | Deliver mail, fight spam, protect sending reputation, volume statistics |
Mersal sells no data and does not use mailbox contents for advertising.
Providers and hosting
Data is hosted outside Morocco, mainly in the European Union:
| Provider | Role | Location |
|---|
| Contabo GmbH | Server hosting the mailboxes and the administration area | Germany |
| Amazon Web Services (SES, S3) | Sending messages to the outside world; storing encrypted backups | Sweden (EU) |
| Cloudflare | DNS for mersal.ma and, if the customer allows it, for its domain; the mersal.ma website; bot check at sign-up (Turnstile) | International |
| Lemon Squeezy | Subscription payments as merchant of record: it receives the name, email address, country and payment details entered at checkout, under its own privacy policy | United States |
Retention
| Data | How long |
|---|
| Mailbox contents | Until the user deletes them; deleted 30 days after the contract ends |
| Archived mailboxes and domains | 30 days, then permanently deleted (email at least 7 days before) |
| Sign-ups never paid for | Deleted after 7 days |
| Backups on the server | 14 days |
| Encrypted off-site backups | 7 days (daily) and 4 weeks (weekly) |
| Encrypted offline backup copy | 90 days |
| Sending events (deliveries, bounces, complaints) | 90 days |
| Security and sign-in logs | 90 days |
| Billing history | The legal accounting retention period |
Security
Encrypted connections (TLS); backups encrypted (AES-256) before they leave the server; two-factor authentication for the Mersal team; automatic blocking of IP addresses that try to guess passwords; sending limits per mailbox; alerts on unusual sign-ins or sending.
Your rights
Anyone concerned can ask to access their data, correct it or object to its processing (articles 7 to 9 of law 09-08). For the contents of a work mailbox, contact the company that provides it first; Mersal will help it answer. For anything else, write to support@mersal.ma. You can also contact the CNDP, Morocco’s data protection authority (www.cndp.ma).
Security incidents
If an incident affects a customer’s data, Mersal tells the customer as soon as possible, with the measures taken.
Cookies
The mersal.ma website uses no advertising and no tracking. It only keeps your language choice in your browser. The administration area uses a session cookie needed to stay signed in.
Changes
Customers are notified by email of any significant change. The date at the top of this page shows the last update.
سياسة الخصوصية
آخر تحديث: 10 أكتوبر 2026
توضح هذه السياسة المعطيات التي تعالجها مرسال (mersal.ma)، ولماذا، وأين تُستضاف، وكم من الوقت تُحفظ. وتلتزم مرسال بالقانون المغربي رقم 09-08 المتعلق بحماية المعطيات الشخصية.
من المسؤول عن ماذا
بالنسبة للحسابات والفوترة والدعم، تكون مرسال هي المسؤولة عن المعالجة. أما محتوى الصناديق (الرسائل والمرفقات وجهات الاتصال والمواعيد)، فالشركة العميلة هي المسؤولة عن المعالجة، وتعالجه مرسال لحسابها. لا تقرأ مرسال الرسائل، ولا تطّلع عليها إلا للرد على طلب دعم من العميل، أو تنفيذًا لالتزام قانوني، أو لمعالجة حادث أمني.
المعطيات التي نعالجها
| المعطيات | الغرض |
|---|
| اسم الشركة، واسم المالكين والمديرين وعناوين بريدهم الإلكتروني | إنشاء الحساب وإدارته، وإرسال رسائل الخدمة (رموز التأكيد، التنبيهات، الفواتير) |
| الباقة، وحالة الاشتراك، والتواريخ، ونوع البطاقة وآخر 4 أرقام منها | إدارة الاشتراك وعرض صفحة الاشتراك |
| الرسائل والمرفقات والمجلدات وجهات الاتصال والمواعيد | تقديم خدمة البريد |
| عناوين IP، وأوقات تسجيل الدخول، ومحاولات الدخول الفاشلة | الأمان: صدّ الهجمات واكتشاف الحسابات المخترقة |
| المرسِل والمستلمون وحجم الرسائل وحالة تسليمها (دون محتواها) | إيصال البريد، ومكافحة السبام، وحماية سمعة الإرسال، وإحصاءات الحجم |
لا تبيع مرسال أي معطيات، ولا تستخدم محتوى الصناديق لأغراض إعلانية.
مقدّمو الخدمات والاستضافة
تُستضاف المعطيات خارج المغرب، أساسًا داخل الاتحاد الأوروبي:
| مقدّم الخدمة | الدور | المكان |
|---|
| Contabo GmbH | الخادم الذي يستضيف الصناديق ومساحة الإدارة | ألمانيا |
| Amazon Web Services (SES, S3) | إرسال الرسائل إلى الخارج، وتخزين النسخ الاحتياطية المشفّرة | السويد (الاتحاد الأوروبي) |
| Cloudflare | نظام DNS لنطاق mersal.ma ولنطاق العميل إذا سمح بذلك؛ موقع mersal.ma؛ التحقق من أن المستخدم ليس روبوتًا عند التسجيل (Turnstile) | دولي |
| Lemon Squeezy | دفع الاشتراكات بصفته البائع المسجَّل: يتلقى الاسم والبريد الإلكتروني والبلد وبيانات الدفع المُدخلة عند الأداء، وفق سياسة الخصوصية الخاصة به | الولايات المتحدة |
مدد الاحتفاظ
| المعطيات | المدة |
|---|
| محتوى الصناديق | إلى أن يحذفه المستخدم؛ ويُحذف بعد 30 يومًا من نهاية العقد |
| الصناديق والنطاقات المؤرشفة | 30 يومًا ثم تُحذف نهائيًا (مع رسالة قبل 7 أيام على الأقل) |
| التسجيلات التي لم تُدفع | تُحذف بعد 7 أيام |
| النسخ الاحتياطية على الخادم | 14 يومًا |
| النسخ الاحتياطية المشفّرة خارج الموقع | 7 أيام (يومية) و4 أسابيع (أسبوعية) |
| نسخة احتياطية مشفّرة غير متصلة بالإنترنت | 90 يومًا |
| أحداث الإرسال (التسليم، الارتداد، الشكاوى) | 90 يومًا |
| سجلات الأمان وتسجيل الدخول | 90 يومًا |
| سجل الفوترة | المدة القانونية لحفظ الوثائق المحاسبية |
الأمان
اتصالات مشفّرة (TLS)؛ نسخ احتياطية مشفّرة (AES-256) قبل مغادرتها الخادم؛ مصادقة ثنائية لفريق مرسال؛ حظر تلقائي لعناوين IP التي تحاول تخمين كلمات المرور؛ حدود للإرسال لكل صندوق؛ تنبيهات عند تسجيل دخول أو إرسال غير معتاد.
حقوقك
يحق لكل شخص معني طلب الاطلاع على معطياته أو تصحيحها أو الاعتراض على معالجتها (المواد 7 إلى 9 من القانون 09-08). بالنسبة لمحتوى صندوق بريد مهني، توجّه أولًا إلى الشركة التي توفّره لك، وستساعدها مرسال على الرد. ولغير ذلك، راسل support@mersal.ma. ويمكنك أيضًا اللجوء إلى اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (www.cndp.ma).
الحوادث الأمنية
إذا مسّ حادث معطيات أحد العملاء، تُبلغه مرسال في أقرب الآجال مع الإجراءات المتخذة.
ملفات تعريف الارتباط
لا يستخدم موقع mersal.ma أي إعلانات أو أدوات تتبّع، ويكتفي بحفظ اختيارك للغة في متصفحك. وتستخدم مساحة الإدارة ملف جلسة ضروريًا لتسجيل الدخول.
التعديلات
يُبلَّغ العملاء عبر البريد الإلكتروني بأي تغيير مهم. ويشير التاريخ أعلى هذه الصفحة إلى آخر تحديث.