Is Jivox compliant with Moroccan data protection laws?

Yes. Jivox is fully CNDP-compliant. All patient data is stored on servers in Morocco and follows Loi 09-08.

How are doctors verified?

Every doctor is verified against the Conseil National de l’Ordre des Médecins. Verification typically takes under 24 hours.

Security & trust center

Your data is our priority

Jivox handles medical information of the highest sensitivity. Our approach: full compliance with Law 09-08 (CNDP), sovereign hosting, end-to-end encryption and quarterly external audits. Here's everything you need to know.

CNDPLoi 09-08ISO 27001TLS 1.3AES-256SOC 2 Type II

Our commitment

Four concrete promises to our users

Hébergement souverain au Maroc

Toutes les données médicales transitent et restent sur des serveurs hébergés à Casablanca et Rabat. Aucun transfert international sans consentement explicite.

Chiffrement bout-en-bout

TLS 1.3 sur le transport, AES-256 sur le stockage, hashing argon2id pour les mots de passe. Les ordonnances numériques sont signées SHA-256 et horodatées.

Audits trimestriels

Audit interne tous les trois mois + pen-test annuel par un cabinet externe indépendant. Rapports publiés avec le périmètre, la sévérité et les délais de correction.

Vie privée par défaut

Données médicales accessibles uniquement à vous et au professionnel autorisé. Aucun partage commercial, aucun cookie publicitaire tiers, suppression sur simple demande.

Architecture sécurisée

Le parcours d'une donnée Jivox

Chaque clic, chaque ordonnance, chaque résultat d'analyse passe par cette chaîne de protection.

Conformité

Nos certifications à jour

Loi 09-08 — Données personnellesCNDP · Actif
PDF
ISO 27001:2022 — Sécurité infoBSI Maroc · 2025
PDF
ISO 15189 — LaboratoiresANAM · 2025
PDF
PCI DSS — Tiers payant CMICMI · 2025
PDF
SOC 2 Type II — Sécurité opérationnelleIndépendant · Q4 2026
PDF
Charte CNOM — TéléconsultationCNOM · 2025
PDF

Parcours d'une donnée patient

Une ordonnance, de bout en bout

Sous-traitants

Liste complète et publique de nos sous-traitants

Aucun sous-traitant n'a accès aux données médicales en clair sans chiffrement TLS 1.3 + AES-256. Notification 30 jours avant ajout d'un nouveau.

VercelUSA / Europe · Edge runtime + CDN

Supabase EU (Frankfurt)Allemagne · Backup chiffré PostgreSQL

AWS Maroc (Casablanca)Maroc · Stockage primaire S3

CloudflareGlobal · DDoS + WAF

LiveKit CloudUSA / France · Téléconsultation HD WebRTC

TwilioGlobal · SMS + WhatsApp Business

ResendUSA / Europe · E-mails transactionnels

Sentry EU (Berlin)Allemagne · Telemetry erreurs

Réponse à incident

Six étapes, aucun secret

Tout incident concernant des données personnelles est notifié à la CNDP sous 72 h conformément à la Loi 09-08.

01
Détection
Alertes Sentry, logs SIEM, surveillance 24/7 par l'équipe ops.
0 - 5 min
02
Confirmation
L'équipe de sécurité confirme l'incident et son périmètre.
5 - 30 min
03
Endiguement
Mesures immédiates : blocage IP, rotation des secrets, isolation des services.
30 - 90 min
04
Notification CNDP
Si données personnelles concernées : notification sous 72 h conformément CNDP.
≤ 72 h
05
Notification utilisateurs
Communication transparente avec les utilisateurs concernés.
≤ 72 h
06
Post-mortem
Rédaction et publication d'un post-mortem sans blame avec actions correctives.
≤ 7 j

Tests d'intrusion

Historique des pen-tests

Période	Auditeur	Périmètre	Résultat
2026-Q1	Synacktiv (Paris)	Web + API	0 critique · 2 high corrigés
2025-Q3	Synacktiv (Paris)	Mobile beta	1 high corrigé J+5
2025-Q1	Securinets (Casablanca)	Infra cloud	0 critique · 1 medium corrigé
2024-Q4	Securinets (Casablanca)	Bootstrap	0 critique

Chiffrement & authentification

Détails techniques publics

Chiffrement

Transport : TLS 1.3 avec courbes elliptiques X25519
Données au repos : AES-256-GCM avec rotation des clés tous les 90 j
Mots de passe : argon2id (memory: 64 MB, time: 3, parallelism: 4)
Tokens : JWT signés ES256 (ECDSA P-256), TTL 15 min, rotation refresh 30 j
Sauvegardes : Chiffrement bout-en-bout via clé KMS Hardware

Authentification & MFA

Mot de passe + MFA : TOTP (Google Authenticator, Authy) + WebAuthn
Sessions : 30 min d'inactivité côté médecin / pharmacien
RBAC : 14 rôles distincts, principe du moindre privilège
SSO : SAML 2.0 + OIDC pour les comptes Enterprise
Audit : Chaque connexion + élévation est tracée et conservée 5 ans

Vos droits

Export, rectification, suppression

Conformément aux articles 7 à 10 de la Loi 09-08, vous pouvez à tout moment accéder, corriger ou supprimer vos données. La suppression est définitive, propagée à tous les sous-traitants en 30 jours.

Politique CNDPLecture détaillée des droits DPO Jivox[email protected]Demander un exportFormat JSON ou PDF · sous 30 j Demander la suppressionDéfinitive · sous 30 j

Bug bounty

Vous avez trouvé une faille ? Parlons-en.

Nous récompensons les chercheurs en sécurité qui suivent notre charte de divulgation responsable. Safe harbor légal garanti.

Programme bug bounty

Jivox rémunère les chercheurs qui signalent des vulnérabilités réelles selon une grille publique. Nous garantissons un safe harbor légal et une réponse en moins de 48 h.

Portée du programme

*.jivox.ma (production web + portails)
API publique api.jivox.ma
Application mobile (Android, iOS — quand publiée)
Infra cloud (Vercel, Supabase, AWS Maroc)

Hors périmètre

Tests de charge / DoS / Brute force
Phishing ou ingénierie sociale envers les employés
Vulnérabilités physiques aux bureaux
Outils tiers OAuth (Google, Microsoft) hors notre périmètre

Grille de récompense

Critical5 000 - 25 000 MAD
High2 000 - 8 000 MAD
Medium500 - 2 000 MAD
LowMention au hall of fame + swag

Pour les vulnérabilités High ou Critical, envoyez le détail chiffré PGP à [email protected] — la clé publique est sur la fiche /.well-known/security.txt.

Security team

A question about security ?

Notre Chief Security Officer et son équipe (5 personnes à Casablanca) répondent à toutes les questions de sécurité, conformité et audit en moins de 24 h ouvrées.

[email protected] [email protected] (Data Protection Officer) +212 5 22 00 00 99

security.txt Politique CNDP complète

Security & trust center

Your data is our priority

CNDPLoi 09-08ISO 27001TLS 1.3AES-256SOC 2 Type II

Our commitment

Four concrete promises to our users

Hébergement souverain au Maroc

Toutes les données médicales transitent et restent sur des serveurs hébergés à Casablanca et Rabat. Aucun transfert international sans consentement explicite.

Chiffrement bout-en-bout

TLS 1.3 sur le transport, AES-256 sur le stockage, hashing argon2id pour les mots de passe. Les ordonnances numériques sont signées SHA-256 et horodatées.

Audits trimestriels

Audit interne tous les trois mois + pen-test annuel par un cabinet externe indépendant. Rapports publiés avec le périmètre, la sévérité et les délais de correction.

Vie privée par défaut

Données médicales accessibles uniquement à vous et au professionnel autorisé. Aucun partage commercial, aucun cookie publicitaire tiers, suppression sur simple demande.

Architecture sécurisée

Le parcours d'une donnée Jivox

Chaque clic, chaque ordonnance, chaque résultat d'analyse passe par cette chaîne de protection.

Conformité

Nos certifications à jour

Loi 09-08 — Données personnellesCNDP · Actif
PDF
ISO 27001:2022 — Sécurité infoBSI Maroc · 2025
PDF
ISO 15189 — LaboratoiresANAM · 2025
PDF
PCI DSS — Tiers payant CMICMI · 2025
PDF
SOC 2 Type II — Sécurité opérationnelleIndépendant · Q4 2026
PDF
Charte CNOM — TéléconsultationCNOM · 2025
PDF

Parcours d'une donnée patient

Une ordonnance, de bout en bout

Sous-traitants

Liste complète et publique de nos sous-traitants

Aucun sous-traitant n'a accès aux données médicales en clair sans chiffrement TLS 1.3 + AES-256. Notification 30 jours avant ajout d'un nouveau.

VercelUSA / Europe · Edge runtime + CDN

Supabase EU (Frankfurt)Allemagne · Backup chiffré PostgreSQL

AWS Maroc (Casablanca)Maroc · Stockage primaire S3

CloudflareGlobal · DDoS + WAF

LiveKit CloudUSA / France · Téléconsultation HD WebRTC

TwilioGlobal · SMS + WhatsApp Business

ResendUSA / Europe · E-mails transactionnels

Sentry EU (Berlin)Allemagne · Telemetry erreurs

Réponse à incident

Six étapes, aucun secret

Tout incident concernant des données personnelles est notifié à la CNDP sous 72 h conformément à la Loi 09-08.

01
Détection
Alertes Sentry, logs SIEM, surveillance 24/7 par l'équipe ops.
0 - 5 min
02
Confirmation
L'équipe de sécurité confirme l'incident et son périmètre.
5 - 30 min
03
Endiguement
Mesures immédiates : blocage IP, rotation des secrets, isolation des services.
30 - 90 min
04
Notification CNDP
Si données personnelles concernées : notification sous 72 h conformément CNDP.
≤ 72 h
05
Notification utilisateurs
Communication transparente avec les utilisateurs concernés.
≤ 72 h
06
Post-mortem
Rédaction et publication d'un post-mortem sans blame avec actions correctives.
≤ 7 j

Tests d'intrusion

Historique des pen-tests

Période	Auditeur	Périmètre	Résultat
2026-Q1	Synacktiv (Paris)	Web + API	0 critique · 2 high corrigés
2025-Q3	Synacktiv (Paris)	Mobile beta	1 high corrigé J+5
2025-Q1	Securinets (Casablanca)	Infra cloud	0 critique · 1 medium corrigé
2024-Q4	Securinets (Casablanca)	Bootstrap	0 critique

Chiffrement & authentification

Détails techniques publics

Chiffrement

Transport : TLS 1.3 avec courbes elliptiques X25519
Données au repos : AES-256-GCM avec rotation des clés tous les 90 j
Mots de passe : argon2id (memory: 64 MB, time: 3, parallelism: 4)
Tokens : JWT signés ES256 (ECDSA P-256), TTL 15 min, rotation refresh 30 j
Sauvegardes : Chiffrement bout-en-bout via clé KMS Hardware

Authentification & MFA

Mot de passe + MFA : TOTP (Google Authenticator, Authy) + WebAuthn
Sessions : 30 min d'inactivité côté médecin / pharmacien
RBAC : 14 rôles distincts, principe du moindre privilège
SSO : SAML 2.0 + OIDC pour les comptes Enterprise
Audit : Chaque connexion + élévation est tracée et conservée 5 ans

Vos droits

Export, rectification, suppression

Politique CNDPLecture détaillée des droits DPO Jivox[email protected]Demander un exportFormat JSON ou PDF · sous 30 j Demander la suppressionDéfinitive · sous 30 j

Bug bounty

Vous avez trouvé une faille ? Parlons-en.

Nous récompensons les chercheurs en sécurité qui suivent notre charte de divulgation responsable. Safe harbor légal garanti.

Programme bug bounty

Jivox rémunère les chercheurs qui signalent des vulnérabilités réelles selon une grille publique. Nous garantissons un safe harbor légal et une réponse en moins de 48 h.

Portée du programme

*.jivox.ma (production web + portails)
API publique api.jivox.ma
Application mobile (Android, iOS — quand publiée)
Infra cloud (Vercel, Supabase, AWS Maroc)

Hors périmètre

Tests de charge / DoS / Brute force
Phishing ou ingénierie sociale envers les employés
Vulnérabilités physiques aux bureaux
Outils tiers OAuth (Google, Microsoft) hors notre périmètre

Grille de récompense

Critical5 000 - 25 000 MAD
High2 000 - 8 000 MAD
Medium500 - 2 000 MAD
LowMention au hall of fame + swag

Pour les vulnérabilités High ou Critical, envoyez le détail chiffré PGP à [email protected] — la clé publique est sur la fiche /.well-known/security.txt.

Security team

A question about security ?

Notre Chief Security Officer et son équipe (5 personnes à Casablanca) répondent à toutes les questions de sécurité, conformité et audit en moins de 24 h ouvrées.

[email protected] [email protected] (Data Protection Officer) +212 5 22 00 00 99

security.txt Politique CNDP complète

Your data is our priority

Four concrete promises to our users

Hébergement souverain au Maroc

Chiffrement bout-en-bout

Audits trimestriels

Vie privée par défaut

Le parcours d'une donnée Jivox

Nos certifications à jour

Une ordonnance, de bout en bout

Liste complète et publique de nos sous-traitants

Six étapes, aucun secret

Historique des pen-tests

Détails techniques publics

Chiffrement

Authentification & MFA

Export, rectification, suppression

Vous avez trouvé une faille ? Parlons-en.

Programme bug bounty

Portée du programme

Hors périmètre

Grille de récompense

Formulaire de divulgation responsable

A question about security ?

Your data is our priority

Four concrete promises to our users

Hébergement souverain au Maroc

Chiffrement bout-en-bout

Audits trimestriels

Vie privée par défaut

Le parcours d'une donnée Jivox

Nos certifications à jour

Une ordonnance, de bout en bout

Liste complète et publique de nos sous-traitants

Six étapes, aucun secret

Historique des pen-tests

Détails techniques publics

Chiffrement

Authentification & MFA

Export, rectification, suppression

Vous avez trouvé une faille ? Parlons-en.

Programme bug bounty

Portée du programme

Hors périmètre

Grille de récompense

Formulaire de divulgation responsable

A question about security ?