Sites web & plateformes

Qui est concerné par un site web ou une plateforme développés sur mesure ?

L'offre sur mesure répond à un besoin propre à votre organisation, par exemple :

• présenter votre organisation ou vendre en ligne, avec un site web ou un site e-commerce ;
• mettre un service à la disposition de vos utilisateurs au moyen d'une plateforme SaaS ;
• automatiser un processus métier, ou suivre vos données dans des tableaux de bord et des rapports.

La demande peut venir de la direction comme d'une fonction support, par exemple QHSE ou RH, qui souhaite digitaliser un processus qu'elle gère aujourd'hui sur papier ou dans des fichiers.

Le développement sur mesure se distingue des plateformes de SS4U : celles-ci sont réservées aux clients sous contrat, c'est SS4U qui crée les comptes et il n'existe pas d'inscription publique. Un projet sur mesure passe, lui, par une demande de devis.

Sur le site de SS4U, sites web, applications mobiles, plateformes SaaS et digitalisation de processus figurent dans un même bloc, et le formulaire de devis les propose comme types de projet distincts.

Quel cadre réglementaire s'applique à un site web ou à une plateforme au Maroc ?

Deux lois marocaines sont à examiner dès la conception d'un site ou d'une plateforme : la loi n° 09-08, dès que l'outil collecte des données à caractère personnel, et la loi n° 05-20, selon le statut de l'organisation et la nature du service en ligne.

La loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, promulguée par le dahir n° 1-09-15 du 22 safar 1430 (18 février 2009), s'applique dès qu'un formulaire, un compte utilisateur ou une commande enregistre une information concernant une personne physique identifiée ou identifiable. Son respect est contrôlé par la Commission nationale de contrôle de la protection des données à caractère personnel (CNDP). Pour un site ou une plateforme, elle se traduit notamment par :

• l'information des personnes lors de la collecte (article 5) : identité du responsable du traitement, finalités et caractéristiques du récépissé de déclaration ou de l'autorisation de la CNDP, ainsi que, lorsque c'est nécessaire à un traitement loyal, les destinataires, le caractère obligatoire ou facultatif des réponses et l'existence des droits d'accès et de rectification ; les documents qui servent de base à la collecte doivent contenir ces informations ;
• en cas de collecte en réseaux ouverts, l'information de la personne sur le fait que ses données peuvent circuler sur les réseaux sans garanties de sécurité, sauf si elle le sait déjà (article 5) ;
• les droits d'accès, de rectification et d'opposition des personnes concernées (articles 7, 8 et 9), auxquels l'organisation doit pouvoir répondre ;
• sauf dispositions législatives particulières, une déclaration préalable auprès de la CNDP ou une autorisation préalable pour certains traitements, notamment ceux qui portent sur des données sensibles ou sur le numéro de la carte d'identité nationale, et certaines interconnexions de fichiers (article 12) ;
• des mesures techniques et organisationnelles appropriées pour protéger les données, notamment lorsque le traitement comporte des transmissions de données dans un réseau (article 23).

La loi n° 05-20 relative à la cybersécurité, promulguée par le dahir n° 1-20-69 du 4 hija 1441 (25 juillet 2020), et son décret d'application n° 2-21-406 du 4 hija 1442 (15 juillet 2021) fixent des règles de sécurité pour les systèmes d'information des administrations de l'État, des collectivités territoriales, des établissements et entreprises publics et des autres personnes morales de droit public, ainsi que pour les infrastructures d'importance vitale (article premier de la loi). Ces entités doivent notamment veiller à la conformité de leurs systèmes d'information aux directives de l'autorité nationale et se doter d'une politique de sécurité ; tout système d'information d'une entité offrant des services numériques à des tiers doit faire l'objet d'un audit de sa sécurité avant sa mise en exploitation (articles 3 et 4).

La loi n° 05-20 vise aussi des « opérateurs », parmi lesquels les prestataires de services numériques et les éditeurs de plateformes Internet. Est notamment prestataire de services numériques celui qui fournit à distance, par voie électronique et à la demande d'un destinataire, un service permettant de conclure des contrats de vente ou de service en ligne, ou un service d'accès à des ressources informatiques partagées, y compris l'hébergement de données et l'informatique en nuage (article 2). Ces prestataires doivent identifier les risques qui menacent leurs systèmes d'information et prendre les mesures techniques et organisationnelles nécessaires (article 32), et déclarer à l'autorité nationale les incidents ayant un impact significatif sur la fourniture de leurs services (article 33). Une plateforme de vente en ligne, ou une plateforme SaaS qui répond à cette définition, peut donc relever de ce régime ; la qualification se vérifie au cas par cas.

Au titre de la loi n° 09-08, ces obligations incombent au responsable du traitement, qui doit choisir un sous-traitant apportant des garanties suffisantes et le lier par un contrat ou un acte juridique (article 23). Une conception qui les anticipe en facilite le respect, mais ne remplace ni les formalités auprès de la CNDP, ni les obligations propres aux entités et aux prestataires de services numériques visés par la loi n° 05-20.

Questions fréquentes sur les sites web et plateformes sur mesure

SS4U publie-t-elle des tarifs ou des délais pour un site web ou une plateforme ?

Non. Aucun tarif ni délai n'est publié. Chaque projet fait l'objet d'une demande de devis, dans laquelle vous pouvez indiquer un budget indicatif et le délai souhaité.

Quelle différence entre un développement sur mesure et MyVeille ?

MyVeille est une application web de veille réglementaire conçue et développée par SS4U, déployée chez des clients industriels du cabinet. Comme les autres plateformes de SS4U, elle est réservée aux clients sous contrat : SS4U crée les comptes et il n'existe pas d'inscription publique. Le développement sur mesure aboutit, lui, à une solution conçue pour votre propre besoin, sur devis.

Un site vitrine doté d'un simple formulaire de contact est-il concerné par la loi n° 09-08 ?

Oui, dès lors que le formulaire recueille des informations concernant une personne physique identifiée ou identifiable, comme un nom ou une adresse électronique. Les personnes doivent être informées lors de la collecte (article 5), et le traitement relève en règle générale de la déclaration préalable auprès de la CNDP, l'autorisation préalable étant réservée aux cas énumérés par l'article 12.

Qui porte les obligations de la loi n° 09-08 : votre organisation ou le prestataire qui développe le site ?

La loi distingue le responsable du traitement, qui détermine les finalités et les moyens du traitement, et le sous-traitant, qui traite les données pour le compte du responsable (article premier). L'information des personnes incombe au responsable du traitement ou à son représentant (article 5) : pour un site exploité à vos propres fins, il s'agit en principe de votre organisation. Lorsqu'un traitement est confié à un sous-traitant, il doit être régi par un contrat ou un acte juridique qui le lie au responsable du traitement (article 23).

Quelles technologies, quel hébergement et quelle maintenance sont prévus ?

Ces éléments ne sont pas publiés. Posez ces questions lors de l'étude de votre demande, en particulier celles qui portent sur l'hébergement et la protection des données : l'article 23 de la loi n° 09-08 impose des mesures techniques et organisationnelles appropriées pour protéger les données à caractère personnel.

Comment présenter un projet qui associe un site web et une application mobile ?

Le formulaire de devis propose plusieurs types de projet : site web ou e-commerce, application mobile, plateforme SaaS, digitalisation de processus, ou autre. Si votre projet en combine plusieurs, retenez le type principal et décrivez l'ensemble dans la description du projet.

Comment soumettre un projet sur mesure à SS4U ?

Depuis la page Solutions du site de SS4U, le bouton « Demander un devis » mène à la page de demande de devis, où vous décrivez votre projet et choisissez son type. Vous pouvez aussi utiliser le formulaire de contact, en choisissant le sujet « Solution digitale ».

Pour que l'échange porte sur votre situation, préparez :

• l'objectif du site ou de la plateforme et les utilisateurs visés : public, clients ou salariés ;
• les processus à digitaliser, avec les formulaires, fichiers et tableaux de bord utilisés aujourd'hui ;
• les données à caractère personnel qui seront collectées, en signalant les données sensibles et le numéro de carte d'identité nationale, qui relèvent de l'autorisation préalable de la CNDP ;
• le statut de votre organisation, par exemple établissement ou entreprise public, et la nature du service en ligne envisagé, pour situer l'application de la loi n° 05-20 ;
• vos questions sur les technologies, l'hébergement, la maintenance et la propriété des développements ;
• votre budget indicatif et le délai souhaité, que le formulaire de devis permet d'indiquer.

SS4U est implantée à Casablanca.