Checklist conformité réglementaire pour projet conversationnel

Lancer un projet conversationnel au Maroc — chatbot WhatsApp, agent IA, plateforme de messaging clients — sans traiter la conformité conformité réglementaire est une prise de risque majeure. Sanctions financières, atteinte à la réputation, blocage administratif : les conséquences dépassent largement l'économie de temps réalisée. Voici une checklist opérationnelle, structurée par phase de projet, pour ne rien oublier.

Rappel du cadre légal

La loi 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel est le texte fondateur au Maroc, complétée par ses décrets d'application. La conformité réglementaire (Commission Nationale de Protection des Données Personnelles) en est l'autorité de contrôle. Tout traitement automatisé de données personnelles doit être déclaré, sauf exceptions limitativement énumérées.

Phase 1 : cadrage projet

Cartographier les données traitées

• Recenser toutes les données personnelles collectées : identité, coordonnées, données de contact, historique conversationnel, métadonnées WhatsApp (numéro, statut de lecture), données de paiement si applicable.
• Classifier les données selon leur niveau de sensibilité (courantes, sensibles au sens de la loi 09-08).
• Identifier les traitements dérivés : profilage, scoring, ciblage marketing.

Définir la finalité et la base légale

• Formuler clairement l'objectif du traitement (service client, marketing, sécurité).
• Identifier la base légale : consentement, exécution d'un contrat, obligation légale, intérêt légitime.
• Vérifier que les finalités sont déterminées, explicites et légitimes.

Analyser les flux de données

• Documenter le parcours de la donnée : de la collecte à la suppression.
• Identifier tous les acteurs impliqués : BSP WhatsApp, fournisseur IA, hébergeur, sous-traitants.
• Localiser physiquement les données (Maroc, UE, USA, autres).

Phase 2 : formalisation et déclaration

Rédiger la déclaration conformité réglementaire

• Utiliser le formulaire officiel disponible sur le portail de la réglementation applicable.
• Décrire précisément la finalité, les catégories de données, les destinataires, la durée de conservation, les mesures de sécurité.
• Anticiper un délai de traitement conformité réglementaire typique de plusieurs semaines à quelques mois.

Rédiger la politique de confidentialité

• Langage clair, accessible, non-juridique quand possible.
• Sections obligatoires : responsable de traitement, finalités, données collectées, destinataires, durée de conservation, droits de la personne, coordonnées du responsable de la protection des données.
• Version disponible en français et en arabe.
• Publication en ligne sur le site du responsable de traitement.

Encadrer les sous-traitants

• Contractualiser avec chaque sous-traitant (BSP, hébergeur, éditeur IA) via un contrat de sous-traitance conforme.
• Exiger des garanties : sécurité, notification en cas de violation, coopération avec les autorités.
• Auditer périodiquement les pratiques réelles.

Phase 3 : opt-in et information de l'utilisateur

Recueillir un consentement explicite

• Case à cocher non pré-cochée lors de l'inscription sur un site ou une app.
• Formulation claire : "J'accepte de recevoir des messages WhatsApp de la part de X à propos de mes commandes et de mes préférences."
• Journaliser la preuve du consentement : date, heure, canal, contenu accepté.

Premier message chatbot conforme

• Indication claire que l'utilisateur discute avec un chatbot IA (obligation Meta et bonne pratique conformité réglementaire).
• Rappel de la politique de confidentialité avec lien.
• Possibilité immédiate de se désabonner (mot-clé STOP, DÉSABONNER).

Gérer les désabonnements

• Traitement effectif dans un délai maximum de 24-48h.
• Confirmation écrite au demandeur.
• Purge programmée des données ou anonymisation selon la politique.

Phase 4 : sécurité technique

Chiffrement

• Chiffrement TLS 1.2 minimum pour tous les échanges API.
• Chiffrement au repos des bases de données conversationnelles.
• Hash des données sensibles (tokens, mots de passe, éventuels codes OTP historisés).

Contrôle d'accès

• Authentification forte pour les agents et administrateurs.
• Rôles et permissions granulaires (RBAC).
• Journalisation des consultations et exports.

Sauvegarde et continuité

• Sauvegardes chiffrées, testées régulièrement.
• Plan de reprise d'activité documenté.

Phase 5 : droits des personnes

Droit d'accès

• Canal dédié (email, formulaire, WhatsApp) pour recevoir les demandes.
• Procédure de vérification d'identité du demandeur.
• Réponse dans le délai légal.

Droit de rectification et de suppression

• Procédure documentée et testée.
• Attention aux données présentes chez les sous-traitants : orchestration nécessaire.

Droit d'opposition

• Notamment pour le profilage et le marketing direct.

Phase 6 : gouvernance et suivi

Désigner un responsable de la protection des données ou référent conformité réglementaire

• Point de contact unique interne pour toute question conformité réglementaire.
• Coordonnées publiées dans la politique de confidentialité.

Journal des traitements

• Registre tenu à jour de tous les traitements de l'organisation.
• Prêt à être présenté en cas de contrôle conformité réglementaire.

Procédure de notification de violation

• Détection et qualification des incidents.
• Notification à la réglementation applicable dans les 72 heures pour les violations majeures.
• Information des personnes concernées si le risque est élevé.

Formation des équipes

• Sensibilisation initiale et rappels annuels.
• Modules spécifiques pour les développeurs, agents et managers.

Phase 7 : audit continu

• Revue annuelle de la conformité globale.
• Audit à chaque évolution majeure du projet (nouveau cas d'usage, nouveau sous-traitant).
• Suivi des évolutions réglementaires (jurisprudence conformité réglementaire, nouveaux textes).

Conclusion

La conformité réglementaire n'est pas un obstacle au déploiement d'un projet conversationnel — c'est un cadre qui, bien intégré dès la conception, renforce la confiance client, sécurise l'organisation et facilite les évolutions. Cette checklist, adaptée au contexte spécifique de chaque projet, permet de traiter la question de manière méthodique plutôt que réactive.