FAQ conformité réglementaire + WhatsApp : 25 questions de conformité

La conformité réglementaire encadre au Maroc tout traitement de données personnelles au titre de la loi 09-08. Utiliser WhatsApp Business pour communiquer avec des clients ou prospects tombe dans son périmètre. Voici les 25 questions les plus fréquentes qu'on nous pose, avec des réponses concrètes.

Fondamentaux

1. Utiliser WhatsApp Business API implique-t-il une déclaration conformité réglementaire ?

Oui, dès que vous traitez des numéros clients et historiques de conversations. La déclaration se fait via le portail e-conformité réglementaire.

2. Quelle est la base légale pour envoyer un OTP par WhatsApp ?

Exécution du contrat ou obligation légale (KYC, lutte anti-blanchiment). Pas besoin de consentement marketing.

3. Puis-je envoyer un message marketing sans opt-in ?

Non. Meta ET la loi 09-08 imposent l'opt-in explicite préalable pour le marketing.

4. Comment recueillir un opt-in valide ?

Case à cocher non pré-cochée sur un formulaire, avec finalité claire ("recevoir des offres promotionnelles via WhatsApp").

5. Un opt-in générique "recevoir nos communications" suffit-il ?

Non. La finalité doit être précise, par canal si possible.

Transferts internationaux

6. WhatsApp Cloud API est hébergée aux USA. C'est un transfert international ?

Oui. Il faut soit une autorisation conformité réglementaire, soit un mécanisme équivalent (contrat type, Privacy Framework applicable).

7. Puis-je héberger les logs et l'historique au Maroc ?

Oui, chez N+ONE, Datacenter Maroc, ou dans votre propre infrastructure. C'est même recommandé.

8. Un BSP français ou européen est-il conforme ?

Le RGPD européen est reconnu comme offrant un niveau de protection équivalent, mais la déclaration conformité réglementaire reste nécessaire.

Consentement et droits

9. Combien de temps garder l'historique d'une conversation ?

Le strict nécessaire. Recommandation pratique : 12 à 24 mois, avec justification écrite.

10. Le client peut-il demander la suppression de ses données ?

Oui, c'est un droit garanti par la loi 09-08. Vous devez avoir une procédure documentée.

11. Un client qui répond STOP est-il désinscrit ?

Il doit l'être. Prévoir un mécanisme automatique dans votre plateforme WhatsApp.

12. Puis-je réactiver un client désinscrit ?

Uniquement s'il vous redonne son consentement explicite.

Contenu des messages

13. Puis-je envoyer une facture par WhatsApp ?

Oui, avec les précautions habituelles. La facture est une donnée personnelle en soi.

14. Puis-je envoyer des données de santé ?

Extrême prudence : les données de santé sont sensibles, autorisation conformité réglementaire préalable requise, chiffrement renforcé.

15. Puis-je enregistrer les conversations pour la qualité ?

Oui, avec information préalable du client et durée de rétention justifiée.

Chatbots et IA

16. Un chatbot IA doit-il déclarer qu'il n'est pas humain ?

Bonne pratique éthique, non explicitement obligatoire mais recommandée.

17. Puis-je entraîner un modèle IA sur mes conversations clients ?

Non sans base légale et information des clients concernés.

18. Un LLM externe (OpenAI, Anthropic) est-il conforme ?

Traiter les données client via un LLM tiers implique un transfert international à déclarer.

Cas pratiques

19. Un particulier peut-il porter plainte à la réglementation applicable ?

Oui, la réglementation applicable reçoit et instruit les plaintes gratuitement.

20. Quelles sanctions en cas de non-conformité ?

Amendes administratives, sanctions pénales prévues par la loi, atteinte à la réputation.

21. Faut-il nommer un responsable de la protection des données ?

Recommandé pour toute organisation traitant des volumes significatifs. Pas encore obligatoire au sens strict.

22. Combien coûte une déclaration conformité réglementaire ?

Gratuit. C'est le temps de préparation du dossier qui est facturé si vous passez par un consultant.

23. Combien de temps prend l'instruction ?

De 1 à 3 mois selon la complexité et le type de demande.

24. Peut-on utiliser WhatsApp pour le KYC bancaire ?

Oui, mais avec les contrôles renforcés imposés par Bank Al-Maghrib pour l'onboarding client.

25. Où trouver la documentation officielle ?

Site officiel de la réglementation applicable (cndp.ma) et guides sectoriels publiés régulièrement.

Conclusion

La conformité réglementaire n'est pas un obstacle mais une méthode. Documenter proprement ses traitements, obtenir des consentements clairs, respecter les droits des personnes, choisir des sous-traitants sérieux : c'est aussi ce qui protège la marque et rassure les clients marocains de plus en plus attentifs à la vie privée.