Nº 7432 – 27 safar 1447 (21-8-2025)
BULLETIN OFFICIEL
3.14.3. Conformité avec les politiques et les normes de sécurité Le prestataire de services, par l'intermédiaire du responsable de la sécurité des systèmes d’information, doit régulièrement vérifier que toutes les procédures de sécurité placées sous sa responsabilité sont correctement mises en œuvre afin de garantir leur conformité avec les politiques et normes de sécurité établies. 3.14.4. Examen de la conformité technique Le prestataire de services doit élaborer documenter et mettre en œuvre une politique pour vérifier la conformité technique du service aux exigences du présent référentiel. Cette politique doit définir les objectifs, les méthodes d'évaluation, la fréquence des vérifications, les résultats attendus ainsi que les mesures correctives à prendre le cas échéant.
3.15.Exigences en ce qui concerne la convention de service, la localisation
des données et la protection des données à caractère personnel 3.15.1. Convention de service Le prestataire de services est tenu de rédiger une convention de service avec chaque commanditaire. Toute modification de cette convention doit être approuvée par le commanditaire. Le prestataire de services doit préciser dans la convention de service : ⎯ Les obligations, droits et responsabilités de chaque partie, y compris le prestataire de services, les tiers impliqués, et les commanditaires ; ⎯ Les éléments expressément exclus de ses responsabilités, dans le respect des exigences légales et réglementaires en vigueur ; ⎯ La localisation du service. La localisation du support doit être précisée lorsqu’il est réalisé en dehors du territoire marocain. La convention de service doit être régie par la législation et la réglementation marocaines et spécifier, le cas échéant, tout autre droit qui pourrait être applicable à cette convention. La convention de service doit préciser que la collecte, la manipulation, le stockage et, de manière générale, le traitement des données liées à l'avant-vente, à la mise en œuvre, à la maintenance et à l'arrêt du service seront effectués conformément aux exigences légales en vigueur. La convention de service doit préciser que le prestataire de services est tenu de fournir au commanditaire, sur demande, les éléments d'appréciation des risques associés à la soumission des données du commanditaire à la législation d'un pays autre que le Maroc. Le prestataire de services doit détailler dans la convention de service les mesures techniques et organisationnelles qu'il met en place pour garantir le respect de la législation applicable. La convention de service doit inclure une clause de révision permettant au commanditaire de résilier la convention sans pénalité en cas de perte de la qualification du service. Le prestataire de services doit intégrer dans la convention de service une clause de réversibilité permettant au commanditaire de récupérer toutes ses données, qu'elles soient fournies directement par lui ou générées à partir de ses données ou actions dans le cadre du service. 26
2367