# ANNEXE DE CONFORMITÉ RÉGLEMENTAIRE — DIRECTIVE BANK AL-MAGHRIB N° 4/W/2022 ## Externalisation d'Activités Opérationnelles & Recours aux Services Cloud par les Établissements Assujettis --- **Référence Contractuelle :** `ANNEXE-BAM-4W2022-ENVOISMS-V1` **Réglementation Applicable :** Directive Bank Al-Maghrib n° 4/W/2022 du 22 décembre 2022 régissant l'externalisation d'activités opérationnelles critiques et le recours aux services d'informatique en nuage (Cloud Computing). **Parties Concernées :** 1. **Le Prestataire :** EnvoiSMS Maroc (Opérateur & Plateforme CPaaS). 2. **L'Établissement Assujetti :** Banque, Société de Financement ou Établissement de Paiement agréé par Bank Al-Maghrib. **Objet :** Fourniture de services d'acheminement de notifications SMS, vérification d'identité OTP et flux WhatsApp Business API. --- ### ARTICLE 1 — OBJET & QUALIFICATION DU SERVICE EXTERNALISÉ 1.1. La présente Annexe a pour objet de formaliser les obligations du Prestataire en conformité stricte avec les exigences de la Directive BAM n° 4/W/2022, relatives aux prestations informatiques pouvant impacter des activités importantes ou critiques (envoi d'OTP d'authentification forte bancaire, notifications de débit/crédit, alertes anti-fraude). 1.2. Les stipulations de la présente Annexe prévalent sur toute disposition contraire des Conditions Générales de Vente ou du Contrat Cadre. --- ### ARTICLE 2 — REGISTRE DES SOUS-TRAITANTS ULTÉRIEURS & AUDITABILITÉ 2.1. Conformément à l'Article 14 de la Directive 4/W/2022, le Prestataire tient un registre exhaustif et à jour de l'ensemble de ses sous-traitants d'infrastructure intervenant dans l'exécution de la chaîne de service : | Sous-Traitant | Siège Social | Rôle dans la Chaîne de Service | Données Traitées | Certifications de Sécurité | |---|---|---|---|---| | **Cloudflare, Inc.** | États-Unis / Europe | Réseau de distribution Edge Anycast, WAF applicatif, Workers serverless, base D1 et stockage R2. | Métadonnées de routage en transit chiffré TLS 1.3. Zéro secret OTP persistant. | ISO/IEC 27001, SOC 2 Type II, SOC 3, PCI-DSS Level 1 (certifications détenues par Cloudflare, pas par EnvoiSMS). | | **Maroc Telecom (IAM)** | Rabat, Maroc | Opérateur Télécom National (Liaison SMSC directe). | Numéros MSISDN destinataires (+212 6/7) & SMS injectés. | Agréé ANRT, Opérateur d'Importance Vitale (OIV). | | **Orange Maroc** | Casablanca, Maroc | Opérateur Télécom National (Liaison SMSC directe). | Numéros MSISDN destinataires (+212 6/7) & SMS injectés. | Agréé ANRT, Opérateur d'Importance Vitale (OIV). | | **inwi (Wana Corporate)** | Casablanca, Maroc | Opérateur Télécom National (Liaison SMSC directe). | Numéros MSISDN destinataires (+212 6/7) & SMS injectés. | Agréé ANRT, Opérateur d'Importance Vitale (OIV). | | **Meta Platforms Ireland Ltd** | Dublin, Irlande | Fournisseur officiel WhatsApp Cloud API (Canal WABA). | Numéros MSISDN & messages de gabarits d'authentification. | ISO/IEC 27001, SOC 2 Type II, SOC 3. | 2.2. Tout changement ou adjonction de sous-traitant critique fait l'objet d'une notification préalable écrite transmise au RSSI de l'Établissement Assujetti au moins trente (30) jours calendaires avant sa prise d'effet opérationnelle. --- ### ARTICLE 3 — LOCALISATION DES DONNÉES & ARCHITECTURE SOUVERAINE ÉPHÉMÈRE 3.1. **Modèle de Traitement Éphémère (Zero-Payload Persistence) :** Conformément aux impératifs de souveraineté des flux financiers et aux exigences de la CNDP (Loi 09-08) et de Bank Al-Maghrib : - Le contenu textuel des codes OTP bancaires et des données financières sensibles n'est **jamais persisté en clair** sur les serveurs du Prestataire. - Dès que le message est enfilé pour remise à l'opérateur national, les chiffres de l'OTP sont masqués (`******`) dans la base de données. - Aucun secret bancaire ne réside au repos en dehors des frontières du Royaume du Maroc. 3.2. **Chiffrement de Bout en Bout :** Toutes les données en transit sont chiffrées via le protocole TLS 1.3 strict. Les données au repos (métadonnées de facturation et journaux de livraison) sont chiffrées au moyen d'algorithmes standardisés robustes (AES-256). --- ### ARTICLE 4 — ENGAGEMENTS DE NIVEAU DE SERVICE (SLA), RTO & RPO 4.1. **Disponibilité Mensuelle Garantie :** Le Prestataire s'engage sur un taux de disponibilité mensuel de la plateforme API d'au moins **99,95%**, mesuré 24h/24 et 7j/7, hors fenêtres de maintenance programmées préalablement notifiées. 4.2. **Objectifs de Continuité & Reprise d'Activité :** - **RTO (Recovery Time Objective / Délai Maximal d'Interruption Admissible) :** Moins de **15 minutes**. - **RPO (Recovery Point Objective / Perte de Données Maximale Admissible) :** Moins de **5 minutes** (assuré par la réplication transactionnelle continue et la fonctionnalité Time Travel de la base D1). 4.3. **Pénalités Contractuelles :** En cas de non-respect du SLA mensuel de disponibilité, l'Établissement Assujetti bénéficie d'un avoir financier sur sa facturation mensuelle selon le barème suivant : - Disponibilité comprise entre 99,50% et 99,94% : Avoir de 10% du montant mensuel. - Disponibilité comprise entre 99,00% et 99,49% : Avoir de 25% du montant mensuel. - Disponibilité inférieure à 99,00% : Avoir de 50% du montant mensuel. --- ### ARTICLE 5 — DROIT D'AUDIT & ACCÈS DE BANK AL-MAGHRIB 5.1. Conformément à l'Article 18 de la Directive BAM 4/W/2022, l'Établissement Assujetti, ses auditeurs internes ou externes dûment mandatés, ainsi que les inspecteurs et représentants assermentés de **Bank Al-Maghrib**, disposent d'un **droit d'audit complet et sans restriction** portant sur les processus, systèmes, mesures de sécurité et données se rapportant aux prestations fournies. 5.2. Le Prestataire s'engage à collaborer pleinement lors de tout audit ou inspection ordonnée par Bank Al-Maghrib, en mettant à disposition les dossiers techniques, la Déclaration d'Applicabilité (SoA), les rapports de tests d'intrusion et les journaux d'accès pertinents dans un délai maximal de quarante-huit (48) heures ouvrées. --- ### ARTICLE 6 — NOTIFICATION DES INCIDENTS DE SÉCURITÉ & LIAISON AVEC LE CERT-BAM 6.1. En cas d'incident de sécurité avéré ou hautement probable impactant la disponibilité, l'intégrité ou la confidentialité des services de l'Établissement Assujetti, le Prestataire s'engage à : 1. Alerter immédiatement le RSSI et le point de contact opérationnel de l'Établissement Assujetti par téléphone et courrier électronique sécurisé dans un délai maximal de **deux (2) heures** suivant la qualification de l'incident. 2. Transmettre un rapport d'incident préliminaire sous douze (12) heures détaillant : la nature de l'incident, l'impact potentiel sur les flux bancaires, les mesures de confinement déployées et le plan de remédiation. 3. Fournir l'ensemble des éléments techniques nécessaires pour permettre à l'Établissement Assujetti de satisfaire à ses obligations de déclaration auprès de **Bank Al-Maghrib (CERT-BAM)** et de la **DGSSI (ma-CERT)**. --- ### ARTICLE 7 — PLAN DE RÉVERSIBILITÉ & CLAUSE DE SORTIE (EXIT PLAN) 7.1. L'Établissement Assujetti peut résilier le contrat ou activer la phase de réversibilité à tout moment, notamment en cas d'injonction de Bank Al-Maghrib, de dégradation persistante des services ou de changement de prestataire stratégique. 7.2. Pendant la période de réversibilité (dont la durée standard est fixée à trois (3) mois) : - Le Prestataire maintient la continuité absolue des acheminements SMS et vérifications OTP selon les conditions contractuelles en vigueur. - Le Prestataire fournit l'ensemble des outils d'exportation structurée permettant le transfert intégral et automatisé des modèles de messages, listes de contacts, historiques DLR et configurations de Sender IDs au format standardisé JSON / CSV. - Dès constatation formelle de la bascule vers la solution cible, le Prestataire procède à l'effacement sécurisé et irréversible de l'ensemble des données résiduelles et remet un procès-verbal de destruction certifié conforme. --- ### ARTICLE 8 — CONFIDENTIALITÉ & SECRET PROFESSIONNEL BANCAIRE 8.1. Le Prestataire et l'ensemble de ses préposés sont expressément soumis au respect rigoureux du secret professionnel prévu par les dispositions de l'**Article 180 de la Loi n° 103-12** relative aux établissements de crédit et organismes assimilés, ainsi que par les dispositions du Code Pénal marocain. 8.2. Cette obligation de secret professionnel et de confidentialité demeure en vigueur sans limitation de durée après l'expiration ou la résiliation de la relation contractuelle. --- ### ARTICLE 9 — LOI APPLICABLE & ATTRIBUTION DE COMPÉTENCE La présente Annexe est exclusivement régie par le droit marocain, notamment la réglementation bancaire édictée par Bank Al-Maghrib. En cas de différend qui ne pourrait être réglé à l'amiable dans un délai de trente (30) jours, compétence exclusive et expresse est attribuée au **Tribunal de Commerce de Casablanca**. --- **Fait à Casablanca, en deux exemplaires originaux.** | Pour l'Établissement Assujetti | Pour EnvoiSMS Maroc | |---|---| | **Nom du Représentant :** ____________________ | **Nom du Représentant :** Direction Générale | | **Qualité :** RSSI / Direction des Achats | **Qualité :** Directeur des Opérations & RSSI | | **Signature & Cachet :** | **Signature & Cachet :** |