Applications

Quel cadre réglementaire s'applique à une application métier au Maroc ?

Une application qui enregistre des informations concernant des personnes physiques identifiées ou identifiables, par exemple des salariés, des clients ou des usagers, traite des données à caractère personnel. Avant de lancer un développement, deux lois marocaines et une norme internationale sont utiles à connaître.

• Loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, promulguée par le dahir n° 1-09-15 du 18 février 2009 : le responsable du traitement, c'est-à-dire la personne ou l'organisme qui, seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement, adresse une déclaration préalable à la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP) avant la mise en œuvre du traitement (articles 12 à 14). Une autorisation préalable est requise dans les cas énumérés à l'article 12, notamment pour les données sensibles, les données comportant le numéro de la carte d'identité nationale ou certaines interconnexions de fichiers.
• Loi n° 09-08, article 23 — le responsable du traitement met en œuvre les mesures techniques et organisationnelles appropriées pour protéger les données. Lorsque le traitement est effectué pour son compte, il choisit un sous-traitant qui apporte des garanties suffisantes et veille au respect des mesures de sécurité ; la sous-traitance est régie par un contrat ou un acte juridique prévoyant notamment que le sous-traitant n'agit que sur la seule instruction du responsable du traitement.
• Loi n° 09-08, articles 43 et 44 — un transfert de données à caractère personnel vers un État étranger n'est possible que si cet État assure un niveau de protection suffisant, sauf dérogations prévues par la loi ; la CNDP établit la liste des États répondant à ces critères.
• Loi n° 05-20 relative à la cybersécurité, promulguée par le dahir n° 1-20-69 du 25 juillet 2020 : elle s'applique notamment aux administrations de l'État, aux collectivités territoriales, aux établissements et entreprises publics et aux infrastructures d'importance vitale. Pour ces entités, tout système d'information offrant des services numériques à des tiers fait l'objet d'un audit de sécurité avant sa mise en exploitation (article 4), les données sensibles sont hébergées exclusivement sur le territoire national (article 11) et l'externalisation d'un système d'information sensible fait l'objet d'un contrat de droit marocain (article 12) ; ces dispositions s'appliquent aussi aux infrastructures d'importance vitale (article 14).
• ISO/IEC 27001 — 2022, complétée par l'amendement ISO/IEC 27001:2022/Amd 1:2024 : norme internationale d'application volontaire qui fixe les exigences d'un système de management de la sécurité de l'information. Ce n'est pas un texte de droit marocain.

Ces obligations reposent d'abord sur le responsable du traitement ou sur l'entité qui exploite le système d'information. Il est utile de les traduire dès le cahier des charges : données collectées, droits d'accès, lieu d'hébergement et clauses du contrat avec le prestataire.

Questions fréquentes sur le développement d'applications

SS4U propose-t-elle le développement d'applications mobiles ?

Oui. Les applications mobiles figurent parmi les solutions sur mesure présentées sur la page Solutions du site de SS4U. La conception et le développement d'applications web relèvent quant à eux de son activité de développement logiciel.

Quelle différence avec une plateforme comme MyVeille ?

MyVeille est une application web de veille réglementaire éditée par SS4U et déployée chez des clients industriels. Son accès est réservé aux clients sous contrat : SS4U crée les comptes et il n'y a pas d'inscription publique. Un développement sur mesure porte sur une application conçue pour le besoin d'une organisation donnée.

Faut-il déclarer une application métier à la CNDP ?

Si l'application traite des données à caractère personnel, le responsable du traitement adresse une déclaration préalable à la CNDP avant la mise en œuvre du traitement, ou une demande d'autorisation préalable dans les cas prévus à l'article 12 de la loi n° 09-08. Cette démarche incombe à la personne ou à l'organisme qui détermine les finalités et les moyens du traitement.

Où l'application et ses données sont-elles hébergées ?

Les conditions d'hébergement ne sont pas publiées : elles sont à préciser avec SS4U lors de l'examen de votre demande. Deux points sont à vérifier de votre côté : des données à caractère personnel hébergées hors du Maroc relèvent des règles de transfert des articles 43 et 44 de la loi n° 09-08, et une entité ou une infrastructure d'importance vitale soumise à la loi n° 05-20 doit héberger les données sensibles exclusivement sur le territoire national (article 11).

Quels sont le coût et la durée d'un développement sur mesure ?

Aucun tarif ni délai type n'est publié. Ces éléments dépendent du périmètre du projet et sont examinés à partir de la demande de devis.

Comment demander une présentation ou un devis pour une application ?

Les demandes de développement sur mesure passent par le formulaire « Demander un devis » du site de SS4U. Si vous souhaitez d'abord découvrir l'offre de digitalisation, vous pouvez demander une présentation ou une démonstration par la page Contact de SS4U, implantée à Casablanca.

Pour que votre demande soit directement exploitable, il est utile de préparer :

• l'objectif de l'application et le processus métier concerné ;
• les utilisateurs visés et le support attendu — web, mobile ou les deux ;
• les données à caractère personnel qui seront traitées, afin d'anticiper les formalités auprès de la CNDP ;
• les contraintes d'hébergement et de sécurité propres à votre organisation, notamment si elle relève de la loi n° 05-20 ;
• les documents existants, tels que procédures, formulaires ou fichiers, que l'application doit remplacer.