الثقة والامتثال

التزام المطابقة للجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (CNDP) - EnvoiSMS.ma

بصفتها مشغل رسائل في المغرب، تحترم EnvoiSMS.ma بدقة أحكام القانون رقم 09-08 المتعلق بحماية الأشخاص الذاتيين تجاه معالجة المعطيات ذات الطابع الشخصي.

Dernière mise à jour : 11 شتنبر 2026

1. الإطار القانوني

تعمل EnvoiSMS.ma في إطار القانون رقم 09-08 المتعلق بحماية الأشخاص الذاتيين تجاه معالجة المعطيات ذات الطابع الشخصي (الظهير رقم 1-09-15 بتاريخ 18 فبراير 2009)، ومرسومه التطبيقي رقم 2-09-165، ومداولات اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (CNDP). انضم المغرب إلى الاتفاقية 108 لمجلس أوروبا في 28 ماي 2019؛ وقد صيغت التزاماتنا لتبقى صالحة في ظل إصلاح القانون 09-08 قيد الإعداد (المواءمة مع اللائحة الأوروبية).

2. من المسؤول عن ماذا

يميّز القانون بين المسؤول عن المعالجة الذي يحدد الأغراض والوسائل، والمعالج من الباطن الذي يعمل وفق تعليماته (المادة 23).

الطرف	الدور (القانون 09-08)	الواجبات
الزبون	المسؤول عن معالجة جهات اتصاله ورسائله	التصريح أو الإذن لدى CNDP (المادة 12)، الإعلام (المادة 5)، الموافقة على الاستكشاف (المادة 10)، حق التعرض (المادة 9)، مدة الاحتفاظ، الإبلاغ عن عمليات النقل (المادتان 43-44)
EnvoiSMS.ma	معالج من الباطن (المادة 23) للتوجيه؛ ومسؤول عن المعالجة لحسابات زبنائها وفوترتها وسجلاتها	العمل وفق التعليمات، التأمين، التعاقد كتابةً (DPA)، مسك قائمة الاستبعاد، إتاحة التصدير والمحو، تسجيل الولوج
المشغلون المغاربة (اتصالات المغرب، أورنج، إنوي) والبوابات	معالجون لاحقون للرسائل القصيرة	التوصيل عبر الشبكة؛ معطيات مقتصرة على الرقم والمحتوى وإشعارات التسليم
Meta / واتساب	معالج لاحق لـ WhatsApp Business API	توجيه الرسائل واستضافتها؛ شروطها تجعل الزبون هو Controller وتتضمن ملحقاً للنقل الدولي

3. معالجاتنا الخاصة

•

تُنجَز إجراءات التصريح الخاصة بالمعالجات التي نتحمل مسؤوليتها (حسابات الزبناء، الفوترة، الدعم، سجلات الأمن) لدى CNDP وفقاً للمادة 12.

•

تقتصر الأغراض على تقديم الخدمة: لا نبيع ولا نؤجر ولا ننمّط قواعد جهات اتصال زبنائنا أبداً (سياسة الخصوصية، اتفاق معالجة البيانات).

•

المدد المطبقة على مستوى المنصة: سجلات التوجيه وإشعارات التسليم من 30 إلى 90 يوماً متحركة ثم الحذف أو إخفاء الهوية بشكل لا رجعة فيه؛ بيانات الحساب تُحذف أو تُخفى هويتها خلال 30 يوماً من الإغلاق، باستثناء الالتزامات المحاسبية.

•

الأمن (المادتان 23-24): التشفير أثناء النقل وفي حالة السكون، الأسرار مجزّأة (hash)، ولوج اسمي مسجَّل ومنسوب، نسخ احتياطية مشفرة، مسطرة للحوادث مع الإبلاغ خلال 72 ساعة.

4. ما يبقى الزبون ملزماً به

•

التصريح بالمعالجة لدى CNDP قبل أول إرسال (استمارة F214 لنموذج إطار مثل تدبير الزبناء — المداولة 32-2015 — أو النشرات الإخبارية — المداولة D-940-2025؛ وF211 خارج النموذج؛ وF112 للمعطيات الحساسة أو التنميط أو الربط بين الملفات).

•

إدراج رقم الوصل وبيانات المادة 5 (الهوية، الأغراض، المرسل إليهم بمن فيهم Meta لواتساب، الحقوق، جهة الاتصال) في كل وسيلة جمع.

•

جمع موافقة حرة ومحددة ومستنيرة قبل أي استكشاف عبر الرسائل القصيرة أو واتساب (المادة 10) والاحتفاظ بدليلها المؤرَّخ.

•

إتاحة وسيلة تعرض بسيطة ومجانية (STOP) في كل رسالة استكشاف واحترامها دون تأخير (المادتان 9 و10).

•

تحديد مدة احتفاظ والتصريح بها واحترامها (المادة 55).

•

الإبلاغ عن أي نقل للمعطيات إلى الخارج باستمارة F118 بالتزامن مع التصريح (المادتان 43-44).

5. الأدوات التي نوفرها لهذه الالتزامات

التزام الزبون	أداة EnvoiSMS.ma
إثبات الموافقة (المادة 10)	سجل موافقات بالإضافة فقط (GET/POST /v1/consents): كل موافقة وكل سحب مؤرَّخ بمصدره ودليله؛ الكلمات المفتاحية STOP/START المستلمة على واتساب والرسائل القصيرة تُكتب تلقائياً؛ تصدير CSV حسب الرقم
التعرض (المادة 9)	قائمة استبعاد مشتركة بين الرسائل القصيرة وواتساب (GET/POST/DELETE /v1/optouts)، كلمات STOP متعددة اللغات تُعالَج دون تدخل بشري، حجب وقائي في كل حملة
حقوق الولوج والتصحيح والمحو (المادتان 7-8)	تصدير JSON كامل وطلب محو ذاتي من لوحة التحكم، يُعالَجان خلال 30 يوماً
عقد معالجة مكتوب (المادة 23)	اتفاق معالجة بيانات عمومي وقائمة المعالجين اللاحقين، مع الإعلان عن التغييرات قبل 30 يوماً
التتبع (المادتان 23-24)	سجل تدقيق ولوج API وسجل نشاط حساب واتساب للأعمال
فئات الرسائل والمادة 10	كل قالب واتساب يحمل فئته لدى Meta (marketing، utility، authentication)؛ ويميّز صندوق الوارد المحادثات التي فتحها الزبون

6. عمليات النقل الدولية

تُوصَّل الرسائل القصيرة الموجهة إلى المغرب عبر المشغلين الوطنيين. أما WhatsApp Business API فتقدمه Meta التي يستضيف Cloud API الخاص بها الرسائل افتراضياً في الولايات المتحدة، وهي دولة لا ترد في قائمة البلدان ذات الحماية الكافية التي حددتها CNDP (المداولة رقم 236-2015). هذا النقل قائم أياً كان المزوّد الوسيط؛ ونحن لا نخفيه.

•

يبلّغ الزبون، بصفته المسؤول عن المعالجة، عن هذا النقل لدى CNDP (استمارة F118) ويؤسسه على أحد أسس المادة 44: الموافقة الصريحة للشخص، أو الضرورة التعاقدية لرسائل الخدمة والمصادقة، أو إذن صريح من CNDP مبني على البنود التعاقدية لـ Meta.

•

يصف اتفاق معالجة البيانات الخاص بنا الأدوار والمعالجين اللاحقين والبنود التعاقدية المطبقة، لإرفاقه بملف F118.

•

يفصّل دليلنا «واتساب API واللجنة الوطنية CNDP» المسطرة مادةً بمادة، مع نماذج موافقة تذكر النقل.

المزوّد الذي يدّعي أن لا معطى من واتساب يغادر المغرب يصف بنية لا تقدمها Meta: التخزين المحلي لـ Cloud API متاح لنحو عشرة أسواق فقط، والمغرب ليس من بينها.

7. ممارسة حقوقك والتواصل معنا

يمكن لكل شخص معني ممارسة حقوقه في الولوج والتصحيح والتعرض (المواد 7 إلى 9) بمراسلة [email protected]. نجيب خلال 30 يوماً. وعندما يتعلق الطلب برسائل أرسلها أحد زبنائنا، نحيله إليه دون تأخير لأنه المسؤول عن المعالجة، ونساعده في الرد.