RCM
Environnement client
Accès à la production, au support ou à des copies de données depuis une équipe établie au Maroc.
ESN · LOGICIEL · ÉQUIPES OFFSHORE
Vos équipes développent.
Vos équipes développent.
Les données restent maîtrisées.
Une ESN marocaine peut accéder aux environnements, tickets, journaux, bases de test ou outils collaboratifs d’un client européen sans recevoir une base de données formellement exportée. Ces accès restent des traitements à cartographier et peuvent constituer des transferts hors Espace économique européen. Le contrat, l’architecture et les pratiques de l’équipe doivent donc raconter la même histoire.
ARTICLE 28DONNÉES DE TESTACCÈS DISTANTSTRANSFERTS
Votre activité,
ses flux réels.
Le risque apparaît souvent dans les détails : copie de production utilisée en recette, compte administrateur partagé, sous-traitant freelance non déclaré, dépôt contenant des données, support depuis le Maroc ou conservation d’une sauvegarde après la mission. RCM relie ces situations aux rôles des parties, aux instructions du client, aux clauses applicables et aux mesures réellement démontrables.
Notre intervention ne transforme pas une revue privacy en audit de cybersécurité. Elle organise les faits, les preuves et les corrections nécessaires pour répondre à un questionnaire client, préparer un appel d’offres ou rendre un dispositif de développement offshore durablement vérifiable.
Le cadrage commence par les faits : systèmes, équipes, personnes concernées, données, clients, fournisseurs et pays. Les obligations sont ensuite qualifiées séparément au regard du RGPD et de la loi marocaine 09-08. Cette méthode évite d’appliquer une réponse générique à des traitements qui n’ont ni la même finalité ni le même niveau de risque.
QUAND INTERVENIR
Les déclencheurs
Les déclencheurs
les plus fréquents.
Une mission peut commencer avant un lancement, pendant une négociation ou après l’apparition d’un écart.
Nouveau contrat européen
Questionnaire sécurité, DPA, clauses de transfert et preuves demandés avant la signature.
Chaîne de sous-traitance
Freelances, hébergeurs, outils de ticketing, dépôts de code et prestataires ultérieurs à identifier.
DU TERRAIN AUX PREUVES
Un parcours
Un parcours
en quatre étapes.
Les décisions et limites sont rendues visibles à chaque étape.
Cadrer
Applications, équipes, environnements, données, pays, clients et sous-traitants.
Tracer
Accès, copies, journaux, outils, transferts et règles de suppression.
Encadrer
DPA, article 28, clauses contractuelles types, instructions et mesures complémentaires.
Prouver
Registre fournisseur, matrice d’accès, procédure d’incident et dossier client.
RISQUES SECTORIELS
Ce que les documents
Ce que les documents
ne montrent pas toujours.
Ces situations sont des points d’analyse, pas des conclusions automatiques.
Données de production en test
Une copie réaliste accélère le développement mais augmente l’exposition et les obligations de contrôle.
Privilèges techniques
Les comptes d’administration, accès distants et secrets doivent être nominatifs, limités et tracés.
Sous-traitants invisibles
Un freelance ou outil SaaS peut modifier la chaîne contractuelle et les lieux d’accès.
Fin de mission
La restitution, suppression, révocation des comptes et conservation des preuves doivent être organisées.
Incidents et délais
Le prestataire doit détecter, documenter et remonter rapidement les événements au donneur d’ordre.
Transfert UE–Maroc
Le mécanisme, le contexte et les mesures du transfert doivent correspondre aux accès réels.
CONTRÔLES OPÉRATIONNELS
Des mesures que
Des mesures que
les équipes peuvent appliquer.
Chaque contrôle doit avoir un responsable, une fréquence et une preuve proportionnée.
Séparer les environnements
Données fictives ou pseudonymisées par défaut, procédure exceptionnelle pour toute copie de production.
Gérer les habilitations
Comptes nominatifs, moindre privilège, revues périodiques et révocation à la sortie.
Maîtriser les outils
Inventaire des dépôts, tickets, communications, hébergeurs et sous-traitants ultérieurs.
Documenter le transfert
Clauses, évaluation du contexte, mesures complémentaires et information du client.
Préparer l’incident
Canal d’alerte, informations minimales, délais contractuels et conservation des faits.
Clôturer proprement
Checklist de fin de mission, suppression vérifiable, restitution et fermeture des accès.
LIVRABLES
Ce que RCM
Ce que RCM
laisse à vos équipes.
Le périmètre final dépend de la maturité, des risques et des éléments déjà disponibles.
Cartographie technique
Applications, environnements, équipes, outils, accès, données et pays.
Revue DPA
Clauses article 28, instructions, assistance, audit, incident et sort des données.
Dossier transfert
SCC expliquées, analyse du transfert et mesures complémentaires proposées.
Matrice d’accès
Profils, justification, approbation, revue et révocation.
Kit questionnaire client
Réponses sourcées, preuves disponibles, écarts et responsables.
Plan de remédiation
Actions classées par risque, effort, propriétaire et échéance.
DEUX CADRES
RGPD et loi 09-08,
RGPD et loi 09-08,
sans les confondre.
Une même activité peut relever des deux cadres pour des raisons différentes.
RGPD
Rôles, responsabilité, information, droits, sécurité, sous-traitance et transferts hors EEE.
Loi 09-08
Traitements au Maroc, droits, sécurité et formalités de déclaration ou d’autorisation.
Flux internationaux
Accès, hébergement, destinataires, mécanisme, contexte et mesures complémentaires.
Preuves
Contrats, registres, décisions, contrôles, formations, incidents et actions suivies.
FORMATS D’INTERVENTION
Commencer petit.
Commencer petit.
Maintenir si nécessaire.
Les montants sont confirmés après cadrage; aucune tarification fictive n’est publiée.
Point de départ
Entretiens ciblés, revue des éléments disponibles, risques majeurs et feuille de route sectorielle.
Prix fixe · après cadrageSocle prioritaire
Livrables convenus, corrections, restitution et transfert opérationnel vers les responsables internes.
À partir de — sur devisPilotage continu
Volume, délais, réunions, contrôles, nouveaux projets et dépassements définis au contrat.
Abonnement · sur devis
RESPONSABILITÉS ET LIMITES
Conseiller, structurer
Conseiller, structurer
et faire progresser.
RCM intervient en conseil RGPD, loi 09-08 et assistance opérationnelle. L’organisation cliente conserve ses décisions, responsabilités, budgets, validations et actions techniques. Aucune mission ne garantit une conformité absolue, une absence de sanction ou une décision favorable d’une autorité.
- Les tests d’intrusion, investigations forensiques et certifications sont réalisés par des experts compétents.
- Les consultations juridiques réservées et contentieux sont orientés vers un avocat.
- Les réglementations sectorielles hors protection des données restent hors périmètre sauf mention expresse.
QUESTIONS FRÉQUENTES
Réponses précises.
Réponses précises.
Décisions contextualisées.
Ces réponses présentent des principes généraux. Le traitement, les rôles, les pays et les contrats doivent être examinés avant toute conclusion.
Une équipe au Maroc qui se connecte à un serveur européen réalise-t-elle un transfert ? −
Un accès à distance depuis un pays tiers peut constituer un transfert même si les données restent hébergées dans l’Union. Il faut examiner qui accède, sous quelle autorité, pour quelles finalités et avec quelles garanties. RCM documente le scénario réel avant de recommander le mécanisme et les mesures appropriées.
Peut-on utiliser des données de production pour tester ? +
Ce choix doit rester exceptionnel, justifié et entouré de mesures strictes. La priorité consiste à utiliser des données fictives, synthétiques ou correctement pseudonymisées. Lorsque des données réelles sont indispensables, le périmètre, les accès, la durée, la sécurité et la suppression doivent être précisément validés et tracés.
RCM réalise-t-il un test d’intrusion ? +
Non. RCM examine les preuves, la gouvernance des accès et la cohérence des réponses privacy. Les tests d’intrusion, revues de code, audits d’architecture et investigations techniques relèvent de spécialistes cybersécurité. Nous pouvons coordonner les constats qui influencent la protection des données.
Que doit contenir le contrat avec le client européen ? +
Le contrat doit refléter les rôles réels et, lorsqu’il s’agit de sous-traitance, couvrir les exigences de l’article 28 : instructions, confidentialité, sécurité, sous-traitants ultérieurs, assistance, incidents, audit et sort des données. Les transferts nécessitent un traitement distinct et cohérent avec l’accès depuis le Maroc.
Comment rassurer un prospect sans prétendre être certifié ? +
Présentez des preuves contrôlables : matrice d’accès, politiques appliquées, exemples de revues, procédure d’incident, registre de sous-traitants, formation et plan de correction. RCM évite les déclarations absolues et distingue clairement les contrôles présents, les preuves disponibles et les améliorations planifiées.
L’offre couvre-t-elle les formalités marocaines ? +
RCM vérifie les implications de la loi 09-08, notamment pour les traitements et transferts relevant du Maroc. Une formalité CNDP éventuelle est préparée dans un périmètre distinct, validé et signé par l’organisation concernée.
Votre secteur mérite un cadrage concret.
Présentez vos outils, données, clients, fournisseurs, pays et échéance. RCM indiquera le premier périmètre utile.
Cadrer la mission →