واتساب API واللجنة الوطنية CNDP: الدليل الأساسي للامتثال في المغرب (القانون 09-08)

رقم الهاتف المحمول يُعرّف شخصاً ذاتياً. وبمجرد أن تسجّله شركتك لمراسلته عبر واتساب، فأنت تقوم بمعالجة معطيات ذات طابع شخصي بمفهوم المادة الأولى من القانون 09-08 (الظهير 1-09-15 بتاريخ 18 فبراير 2009). القناة لا تغيّر شيئاً: ما ينظّمه القانون هو قاعدة جهات الاتصال، والأغراض التي تستعملها لها، والمزوّدون الذين تعهد إليهم بها.

يجمع تكامل WhatsApp Business API أربع عمليات على الأقل تنظر إليها اللجنة الوطنية CNDP كلٌّ على حدة:

• جمع الرقم (استمارة، طلبية، حجز موعد، إعلان Click-to-WhatsApp)؛
• إرسال الرسائل الصادرة، بما فيها الحملات التسويقية التي تُعدّ استكشافاً مباشراً (المادة 10)؛
• استقبال وأرشفة المحادثات الواردة (صندوق الوارد، روبوت المحادثة، تفريغ الرسائل الصوتية)؛
• إحالة الأرقام والمحتوى إلى معالجين من الباطن: منصة الإرسال، ثم Meta التي تستضيف الرسائل عبر Cloud API خارج المغرب.

كل عملية تستدعي التزاماً محدداً. يتناولها هذا الدليل واحداً تلو الآخر، مع رقم المادة والاستمارة المعتمدة لدى CNDP، لأن عبارة «مطابق لـ CNDP» على صفحة تجارية لن تحميك أثناء المراقبة. وهو يكمّل دليلنا حول CNDP وANRT للرسائل القصيرة ومقارنتنا بين اللائحة الأوروبية والقانون 09-08.

يميّز القانون بين المسؤول عن المعالجة الذي يحدد الأغراض والوسائل، والمعالج من الباطن الذي يعمل وفق تعليماته (المادة 23). في WhatsApp Business API السلسلة ثابتة دائماً، وتؤكدها Meta في شروط معالجة بيانات واتساب للأعمال: الشركة هي Controller وواتساب هو Processor.

النتيجة العملية: لا يمكن لأي مزوّد أن «يمتثل نيابةً عنك». وصل التصريح يُسلَّم باسمك، ودليل الموافقة ملك لك، والمادة 64 تستهدف شخصك الاعتباري. المعالج الجيد يمنحك الأدوات والعقد؛ ولا يحلّ محل تصريحك.

تُخضع المادة 12 كل معالجة لتصريح مسبق، أو لإذن مسبق في الحالات الحساسة. تسلّم CNDP وصل التصريح خلال 24 ساعة (المادة 19)، ويمكنها خلال 8 أيام إعادة تصنيف الملف تحت نظام الإذن إذا كانت المعالجة تنطوي على مخاطر واضحة (المادة 20). بدون وصل، أنت في نطاق المادة 52.

الاستمارات المعمول بها منشورة في صفحة مساطر التصريح لدى CNDP (تسمية 2025):

قراران إطاريان تجدر قراءتهما قبل ملء F214. تجيز المداولة 32-2015 (تدبير الزبناء) صراحةً «إنجاز أعمال الاستكشاف والترويج تجاه الزبناء في احترام للمادة 10» وتحدد المعطيات المقبولة (الهوية، الهاتف، سجل المشتريات، المراسلات). أما المداولة D-940-2025 (النشرات الإخبارية، 28 نونبر 2025) فهي النموذج الأقرب لقائمة بث عبر واتساب: موافقة بخانة اختيار، إلغاء الاشتراك في كل رسالة، الاحتفاظ حتى إلغاء الاشتراك، وتذكير حاسم: «كل استعمال لمعطيات المشترك من أجل إعداد ملفه الشخصي يستلزم إذناً مسبقاً». روبوت المحادثة الذي يمنح نقاطاً لعملائك المحتملين لا يغطيه تصريح بسيط.

توضح نسخة 2025 من استمارة F214 أن الوصل «يشهد على التسجيل» و«لا يشكّل تصديقاً عملياً»: يمكن لـ CNDP المراقبة على الوثائق أو في عين المكان وسحب الوصل. التصريح نقطة انطلاق، لا شهادة.

كل شخص تُطلب منه معطياته يجب إعلامه «بشكل صريح ودقيق ولا لبس فيه»، قبل الجمع. تعدّد المادة 5 البيانات الواجبة، وتضيف المادة 19 شرطاً لا يطبّقه أحد تقريباً على واتساب: خصائص الوصل «يجب أن ترد في جميع عمليات جمع المعطيات أو إحالتها».

لذلك يجب أن تبيّن استمارتك أو صفحة الطلب أو رسالتك الأولى:

1. هوية المسؤول عن المعالجة (اسم شركتك، لا اسم المزوّد)؛
2. الأغراض: إشعارات الطلبيات، تذكير بالمواعيد، عروض تجارية، كل غرض باسمه؛
3. المرسل إليهم أو فئاتهم، بما في ذلك النقل إلى Meta في الخارج (تشترط المداولة D-940-2025 ذكر عمليات النقل «المأذون بها من CNDP»)؛
4. الطابع الإجباري أو الاختياري للإجابة؛
5. وجود حقوق الولوج والتصحيح والتعرض، مع جهة اتصال لممارستها؛
6. رقم وصل CNDP الخاص بالمعالجة.

هذا البند الأخير هو أبسط اختبار يجريه المراقب: استمارة بلا رقم وصل تعني إما أنك لم تصرّح أو أنك لا تُعلم. وفي الحالتين المادة 5 غير محترمة.

تحظر المادة 10 «الاستكشاف المباشر بواسطة جهاز اتصال آلي أو فاكس أو بريد إلكتروني أو أي وسيلة تستعمل تقنية من الطبيعة نفسها» دون موافقة مسبقة. يدخل واتساب في هذه الفئة الأخيرة: نص 2009 لا يسمّيه، لكنه صيغ ليشمل القنوات اللاحقة. وتُعرَّف الموافقة بأنها «كل تعبير عن الإرادة حر ومحدد ومستنير» — خانة مُعلَّمة مسبقاً، أو رقم مأخوذ من موقع، أو قائمة مشتراة، لا تُعدّ موافقة.

تنص المادة 10 على استثناء وحيد مستوحى من القانون الأوروبي: الاستكشاف الموجه إلى زبون قائم جُمعت بياناته مباشرةً أثناء عملية بيع، لمنتجات مماثلة، شريطة إتاحة تعرض بسيط ومجاني عند الجمع وفي كل رسالة. هذا الاستثناء مفيد لمتابعة زبون تجارة إلكترونية؛ لكنه لا يشمل عميلاً محتملاً طلب عرض أسعار فقط، ولا جهة اتصال مستوردة من نظام CRM خارجي.

يقابل الجدول فئات رسائل Meta الأربع مع الأساس القانوني المغربي:

فخّان يتكرران في عمليات المراقبة. رسالة تفوترها Meta كـ utility لكنها تدسّ عرضاً تجارياً هي استكشاف بمفهوم المادة 10 أياً كانت فئة الفوترة. ومحادثة service فتحها الزبون ليست موافقة تسويقية: الرد على سؤال لا يخوّل إضافة الرقم إلى قائمة بث الشهر المقبل.

الموافقة لا قيمة لها إلا إذا استطعت إثباتها، مؤرخةً ومرتبطةً برقم. ثلاث صيغ تفي بالمادتين 10 و5 في جملة واحدة؛ كيّفها باسم شركتك ورقم الوصل.

استمارة ويب أو نقطة بيع (خانة غير معلَّمة مسبقاً):

☐ أوافق على تلقي عروض وأخبار [الشركة] عبر واتساب على الرقم المذكور. تُعالَج بياناتي لهذا الغرض (وصل CNDP رقم …)، وتُحال إلى مزوّد الإرسال وإلى Meta (الولايات المتحدة) لأغراض التوصيل، ويُحتفظ بها حتى إلغاء اشتراكي. يمكنني إلغاء الاشتراك في أي وقت بالرد بكلمة STOP أو عبر privacy@…

أول رسالة واتساب بعد طلبية (utility، دون موافقة تسويقية):

مرحباً سارة، طلبيتك رقم 4821 مؤكدة. ستصلك تحديثات التوصيل على هذا الرقم. هل تودين أيضاً تلقي عروضنا؟ ردّي بـ نعم. ردّي بـ STOP لعدم تلقي أي رسائل أخرى. [الشركة] — وصل CNDP رقم …

النسخة بالدارجة (نفس البنية):

سلام سارة، الطلبية ديالك رقم 4821 تكونفيرمات. غادي توصلك الليفريزون فهاد الرقم. بغيتي يوصلوك العروض ديالنا؟ جاوبي OUI. جاوبي STOP باش ما يوصلك والو. [الشركة] — CNDP رقم …

ما يجب تسجيله عند كل موافقة، في سجل قابل للتصدير:

• الرقم بالصيغة الدولية والتاريخ والساعة بدقة؛
• المصدر: استمارة (الرابط)، رد بـ نعم (معرّف رسالة واتساب)، إعلان Click-to-WhatsApp، استيراد موقَّع؛
• النص الحرفي الذي عُرض على الشخص لحظة الموافقة؛
• الغرض الموافَق عليه: تسويق، إشعارات، OTP — سجل لكل غرض؛
• السحب المحتمل، بتاريخه وقناته.

لقطة شاشة من نظام CRM لا تكفي: فهي تثبت حالة، لا واقعة. لهذا توفر EnvoiSMS.ma سجل موافقات عبر API (/v1/consents) يؤرّخ كل موافقة وكل سحب، بما فيها تلك المستلمة تلقائياً بكلمة مفتاحية على واتساب، ويعيدها حسب الرقم عند طلب ولوج أو مراقبة.

تمنح المادة 9 كل شخص الحق في التعرض «دون مصاريف» على استعمال بياناته لأغراض الاستكشاف. وتحدد المادة 10 الشرط في القنوات الإلكترونية: يجب أن تبيّن كل رسالة استكشاف «بيانات اتصال صالحة يستطيع المرسل إليه أن يوجّه إليها طلب» التوقف، ويُمنع إخفاء هوية المرسل. تجاهل التعرض يعاقب عليه بالمادة 59.

على واتساب، يُترجم ذلك إلى أربع قواعد:

1. كل قالب تسويقي يحمل عبارة إلغاء اشتراك مقروءة («ردّ بـ STOP») أو زر رد سريع مخصص. وتشترطه Meta نفسها للموافقة على بعض القوالب التسويقية.
2. تُعالَج الكلمة المفتاحية فوراً ودون تدخل بشري: STOP وARRÊT وإلغاء وBAJA ومشتقاتها يجب أن تحجب الرقم عن كل الحملات اللاحقة، على واتساب والرسائل القصيرة معاً.
3. الرقم المتعرِّض لا يُعاد استيراده أبداً عبر مزامنة CRM أو ملف حملة؛ قائمة الاستبعاد تعلو على أي قائمة إرسال.
4. يُدوَّن السحب بتاريخه، لأن STOP غير المتتبَّع يتكرر عند الاستيراد التالي.

التعرض لا يمحو الرقم: بل يضعه في قائمة استبعاد يجب الاحتفاظ بها تحديداً لإثبات احترامك لها. تصف سياستنا لمكافحة الرسائل المزعجة ونقطة النهاية /v1/optouts الآلية على مستوى المنصة.

لا يعطي القانون رقماً موحداً؛ بل يشترط أن تكون المدة مصرَّحاً بها ومحترمة. تعاقب المادة 55 على الاحتفاظ «لمدة تتجاوز المدة المنصوص عليها في التشريع الجاري به العمل أو المنصوص عليها في التصريح». ويعطي القراران الإطاريان المرجع: تحصر المداولة 32-2015 الاحتفاظ في «المدة اللازمة لتدبير العلاقة التجارية»، مع إمكانية الأرشفة لإثبات عقد أو التزام قانوني؛ وتحتفظ المداولة D-940-2025 بالمشتركين «حتى طلب إلغاء الاشتراك».

سياسة يمكن الدفاع عنها لـ WhatsApp Business API:

دوّن هذه المدد في تصريحك وفي سياسة الخصوصية وفي إعدادات أداتك. يبيّن اتفاق معالجة البيانات العمومي المدد المطبقة على مستوى المنصة، حتى لا تصرّح بمدة لا يلتزم بها مزوّدك.

تفرض المادة 23 «تدابير تقنية وتنظيمية ملائمة»، ثم تنظّم المعالجة من الباطن في ثلاث خطوات: اختيار معالج «يقدم ضمانات كافية»، وربطه بعقد مكتوب يلزمه بألا يعمل إلا وفق التعليمات، وتدوين متطلبات الأمن كتابةً «لأغراض حفظ الأدلة». تعاقب المادة 58 على غياب التدابير؛ وتستهدف المادة 61 المعالج نفسه «ولو بالإهمال».

قبل إرسال أول قالب، تحقق من أن منصة واتساب التي تعتمدها توفر:

• اتفاق معالجة بيانات موقَّعاً أو قابلاً للقبول إلكترونياً، يسمّي الأدوار والمدد والمعالجين اللاحقين — اتفاقنا عمومي: اتفاق معالجة البيانات؛
• قائمة المعالجين اللاحقين مع مواقعهم، محدَّثة بإشعار مسبق — قائمتنا؛
• التشفير أثناء النقل وفي حالة السكون، ولوجاً اسمياً مسجَّلاً، ومسطرة للإبلاغ عن الحوادث؛
• آليات للتصدير والمحو عند الطلب، دون تذكرة يدوية؛
• سجل نشاط لحساب واتساب للأعمال (من عدّل قالباً، من ربط رقماً، من عطّل الروبوت).

المزوّد الذي يجيب «نحن مطابقون لـ CNDP» دون أن يسلّمك عقداً لا يجعلك ممتثلاً: غياب الوثيقة المكتوبة هو بالضبط ما تستهدفه المادة 23-4.

هذا هو الالتزام الأكثر تجاهلاً في السوق، والأثقل. لا تجيز المادة 43 نقل المعطيات الشخصية إلا إلى دولة «توفر مستوى حماية كافياً»، وتحدد CNDP قائمتها. هذه القائمة، المحددة بـ المداولة 236-2015، تضم 32 بلداً: دول الاتحاد الأوروبي والمنطقة الاقتصادية الأوروبية، سويسرا، المملكة المتحدة وكندا. الولايات المتحدة ليست فيها.

وتشير Meta في وثائقها إلى أن Cloud API يخزّن البيانات افتراضياً في الولايات المتحدة، وأن خيار التخزين المحلي لا يُتاح إلا لنحو عشرة أسواق (أستراليا، إندونيسيا، الهند، اليابان، سنغافورة، كوريا الجنوبية، ألمانيا للاتحاد الأوروبي، سويسرا، المملكة المتحدة). المغرب ليس بينها. فكل رسالة واتساب ترسلها إلى زبون مغربي عبر API الرسمية هي إذن نقل إلى بلد خارج القائمة، أياً كان المزوّد الوسيط.

يقدم القانون ثلاثة مخارج في المادة 44:

1. الموافقة الصريحة للشخص على النقل — ومن هنا عبارة «تُحال إلى Meta (الولايات المتحدة)» في نماذج الموافقة أعلاه. وهي الأساس الأبسط للتسويق، لأنك تجمع الموافقة أصلاً.
2. الضرورة التعاقدية (المادة 44-1-د): تأكيد الطلبية أو رمز OTP ضروري لتنفيذ العقد المبرم مع الشخص. يغطي هذا الأساس رسائل utility وauthentication، لا الاستكشاف.
3. إذن صريح ومعلَّل من CNDP (المادة 44-3) عندما تقدم المعالجة ضمانات كافية «بسبب البنود التعاقدية». تتضمن شروط معالجة البيانات لدى Meta ملحقاً للنقل الدولي؛ وهو المستند الذي يُرفق.

وفي كل الأحوال، يُبلَّغ عن النقل باستمارة F118 — إذ تذكّر استمارة F214 نفسها بأن النقل «يجب أن يكون موضوع طلب متزامن»، وتمنع المداولة D-940-2025 أي نقل «دون إذن مسبق من CNDP». تطلب استمارة F118 اسم المرسل إليه والبلد والغرض والتواتر وتاريخ أول نقل ورقم وصل المعالجة الأساسية؛ وتبتّ CNDP خلال شهرين قابلين للتمديد مرة واحدة.

النقل غير المشروع هو جريمة المادة 60: الحبس من ثلاثة أشهر إلى سنة وغرامة من 20.000 إلى 200.000 درهم، تُضاعَف للشخص الاعتباري. لا يمكن لأي منصة، مغربية أو أجنبية، إلغاء هذا النقل ما دامت Meta لا توفر تخزيناً محلياً في المغرب؛ الامتثال الصادق الوحيد هو التصريح به وتأسيسه على المادة 44.

تنشر CNDP القائمة الرسمية للمخالفات والعقوبات. مطبَّقةً على مشروع WhatsApp Business API، هذه هي الأكثر مباشرةً. المبالغ بالدرهم؛ تضاعف المادة 64 الغرامات للشخص الاعتباري وتضيف إغلاق المؤسسة والمصادرة؛ وتضاعف المادة 65 مجدداً في حالة العود.

منذ 2025 أعلنت CNDP عن عمليات مراقبة قطاعية موجهة — الفندقة، الصحة، التجارة الإلكترونية، التعليم العالي — أي بالضبط القطاعات التي تبنّت WhatsApp Business API أسرع من غيرها. ويهدف إصلاح القانون 09-08 قيد الإعداد إلى المواءمة مع اللائحة الأوروبية (الأسس القانونية، مندوب حماية البيانات، الإبلاغ عن الخروقات، مستوى العقوبات)؛ والالتزامات الموصوفة هنا لن تزداد إلا صرامة.

أعلنت Meta أن المغرب يغادر التسعيرة الإقليمية «Rest of Africa» نحو تسعيرة مستقلة في 1 أكتوبر 2026، مع رفع تعريفتي utility وauthentication، وتعريفة جديدة authentication-international، وفوترة رسائل الخدمة (بدون قالب، داخل نافذة 24 ساعة) بعد حصة شهرية مجانية لكل رقم. الأرقام أدناه هي التي نقلها مزوّدو BSP عن جداول Meta؛ والتسعيرة الرسمية حسب العملة هي المرجع ويجب التحقق منها قبل أي ميزانية.

لماذا يجد هذا الموضوع مكانه في دليل امتثال: تصنّف Meta القوالب حسب الفئة وتتحقق منها عند الموافقة. رسالة تسويقية متنكرة في صورة utility لتوفير بضعة سنتيمات ستعيد Meta تصنيفها، وتبقى استكشافاً بمفهوم المادة 10 — فتجمع بين المخاطرة التسعيرية والمخاطرة القانونية. وبالمقابل، فإن محادثة service يفتحها الزبون هي الأرخص والأمتن قانونياً في آن واحد: الطلب صادر عن الشخص. تصميم المسارات بحيث يكتب الزبون أولاً (زر في الموقع، رمز QR، إعلان Click-to-WhatsApp بنافذته المجانية لمدة 72 ساعة) هو أفضل قرار امتثال وتكلفة في 2026.

في EnvoiSMS.ma تبقى الفوترة بالدرهم، 0.65 درهم لكل إشعار و1.15 درهم لكل رسالة تسويقية، دون اشتراك، مع ظهور فئة كل قالب في لوحة التحكم.

للتحقق قبل الانتقال إلى الإنتاج، ثم للمراجعة مع كل حالة استعمال جديدة:

1. تصريح مودَع (F214 أو F211) باسم الشركة، مع استلام الوصل وأرشفته.
2. F118 مودَع للنقل إلى Meta، مع تحديد أساس المادة 44 (موافقة صريحة، عقد، أو إذن).
3. رقم الوصل معروض على كل وسيلة جمع (استمارة، شروط، رسالة أولى).
4. بيانات إعلام كاملة: المسؤول، الأغراض، المرسل إليهم بمن فيهم Meta، الحقوق، جهة الاتصال.
5. موافقة تسويقية خاصة بواتساب، خانة غير معلَّمة مسبقاً، مع حفظ النص.
6. سجل موافقات مؤرَّخ، قابل للتصدير حسب الرقم، يُغذَّى أيضاً بالردود نعم/STOP.
7. STOP فعّال في كل قالب تسويقي، متعدد اللغات، يُعالَج تلقائياً، ويُنقل إلى الرسائل القصيرة.
8. فصل الأغراض: الرقم المجموع للدعم لا يدخل الحملات دون موافقة جديدة (المادة 54).
9. مدد الاحتفاظ مدوَّنة في التصريح ومطبَّقة في الأداة.
10. اتفاق معالجة بيانات موقَّع مع المنصة، مع التحقق من قائمة المعالجين اللاحقين.
11. مسطرة الحقوق: الرد على طلب ولوج أو محو خلال 30 يوماً، مع تصدير فعلي للبيانات.
12. إذن مسبق قبل أي تنقيط أو تنميط أو معالجة لبيانات صحية بواسطة روبوت المحادثة.

إذا نقصت نقطة واحدة، فعالجها قبل الإطلاق: عقوبات المواد 52 إلى 61 تتراكم ولا يحلّ بعضها محل بعض.

نحن معالج من الباطن، لا مسؤول عن المعالجة: لا يمكننا إيداع تصريحك، لكن يمكننا جعل كل التزام قابلاً للتحقق من حسابك.

لربط رقمك بـ API الرسمية، تشرح صفحة WhatsApp Business API في المغرب عملية الانضمام عبر Meta Embedded Signup؛ وللتكاليف الكاملة، اقرأ أسعار WhatsApp Business API في المغرب.