2368
BULLETIN OFFICIEL
Nº 7432 – 27 safar 1447 (21-8-2025)
Le prestataire de services doit garantir cette réversibilité en utilisant l'une des méthodes techniques suivantes : ⎯ Fournir les données sous forme de fichiers dans un ou plusieurs formats documentés et exploitables en dehors du service du prestataire de services ; ⎯ Mettre en place des interfaces techniques permettant l'accès aux données selon un schéma documenté et exploitable (API, formats pivots, etc.). Le prestataire de services doit spécifier dans la convention de service le niveau de disponibilité du service. Le prestataire de services doit préciser dans la convention de service qu'il n'a pas le droit d'utiliser les données transmises et générées par le commanditaire, ces données étant exclusivement réservées au commanditaire. La convention de service doit indiquer explicitement que le prestataire de services s’engage à ne communiquer à des tiers, aucune information relative à la prestation fournie au commanditaire, sans avoir obtenu au préalable son autorisation écrite. Le prestataire de services doit préciser dans la convention de service si les données du commanditaire sont automatiquement sauvegardées. Si ce n'est pas le cas, le prestataire de services doit informer le commanditaire des risques associés et indiquer clairement les étapes que le commanditaire doit suivre pour assurer la sauvegarde de ses données. Le prestataire de services doit préciser dans la convention de service s'il permet l'accès distant pour l'administration ou le support du système d'information du service. Le prestataire de services doit indiquer dans la convention de service que : ⎯ Le service est qualifié et fournir l'attestation de qualification ; ⎯ Le commanditaire peut déposer une réclamation concernant le service qualifié auprès de l’autorité nationale de cybersécurité ; ⎯ Le commanditaire autorise l’autorité nationale de cybersécurité à auditer le service et son système d'information pour vérifier la conformité avec les exigences du présent référentiel. 3.15.2. Localisation des données Le prestataire de services doit documenter et informer le commanditaire de la localisation où les données de ce dernier sont stockées et traitées. Lorsqu’il s’agit du Niveau 2, le prestataire de services doit stocker, traiter les données sensibles et administrer le service du commanditaire depuis le territoire marocain. Le prestataire de services doit stocker et traiter les données techniques (telles que les identités des bénéficiaires et des administrateurs de l'infrastructure technique, les données manipulées par le réseau défini par logiciel, les journaux de l'infrastructure technique, l'annuaire, les certificats, la configuration des accès, etc.) au sein du territoire marocain. Cette exigence prend un caractère exclusif lorsqu’il s’agit du niveau 2. Le prestataire de services peut réaliser des opérations de support aux commanditaires depuis un État hors du territoire marocain. Il doit documenter les types d'opérations pouvant être effectuées depuis cet État et décrire les mécanismes de contrôle d'accès et de supervision assurant le suivi de ces 27