Ciberseguridad y Cumplimiento Normativo CNDP para Empresas en Marruecos
Matriz de especificaciones
Requerimientos técnicos esenciales
- ›La grabación telefónica y la transcripción con IA constituyen tratamiento de datos personales según la Ley 09-08 (Dahir n° 1-09-15).
- ›Transferir grabaciones a servidores extranjeros sin autorización previa de la CNDP acarrea sanciones penales y administrativas según el artículo 60.
- ›Toda base de datos en producción debe aplicar cifrado AES-256-GCM con claves segregadas y alojamiento local en Marruecos (Tier-III).
- ›Es obligatorio presentar la declaración previa ante la CNDP e informar de viva voz al inicio de la llamada antes de la activación.
1. Qué exige la Ley 09-08 de la CNDP a los sistemas de voz automatizados
Conforme a la Ley 09-08 de Marruecos (Dahir n° 1-09-15), cualquier sistema telefónico automatizado que recopile nombres, teléfonos, datos clínicos o transacciones comerciales opera un tratamiento de datos personales regulado. Los artículos 23 y 24 imponen la adopción de medidas técnicas que garanticen la confidencialidad. Asimismo, los artículos 53 a 65 contemplan multas de hasta 300.000 MAD y penas de prisión de 3 meses a 2 años para directivos que transfieran datos fuera del país sin autorización expresa de la CNDP.
2. Arquitectura criptográfica, gestión de claves y alojamiento soberano
Para cumplir con las directivas de la DGSSI y las exigencias de almacenamiento de la CNDP, todo audio, transcripción y registro debe cifrarse en reposo mediante AES-256-GCM. La señalización SIP debe exigir TLS 1.3 y el transporte de audio en tiempo real debe forzar SRTP (RFC 3711) con cifrado AES-CM-128 o AES-GCM-256. El protocolo RTP en texto plano queda prohibido. Las claves criptográficas deben gestionarse en HSM o almacenes KMS aislados, alojados en centros de datos Tier-III en Marruecos (Casablanca o Rabat).
# Production SIP TLS 1.3 & SRTP Cipher Suite Verification (Kamailio / Asterisk)
kamailio -c -f /etc/kamailio/tls.cfg
# Ensure strict TLS 1.3 and forward-secret cipher suites
tls_method = TLSv1_3
cipher_list = "TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256"
server_name = "sip.vext.ma"
require_certificate = yes
verify_certificate = yes
private_key = /etc/ssl/sovereign/sip_private.key
certificate = /etc/ssl/sovereign/sip_cert.crt
ca_list = /etc/ssl/sovereign/ca_root.crt3. Notificación preceptiva al interlocutor, derecho de oposición y consentimiento
El artículo 14 exige informar al usuario al inicio de la llamada sobre: la identidad del responsable, la finalidad del servicio, la grabación del audio y el procedimiento para ejercer sus derechos ARCO. Los sistemas de Vext ejecutan este aviso de forma determinista en el idioma del interlocutor. Si el usuario pulsa la tecla "9" o indica verbalmente su oposición, se bloquea al instante la grabación en disco, funcionando únicamente en memoria RAM volátil.
| Requisito Ley 09-08 | Implementación Técnica | Método de Verificación |
|---|---|---|
| Art. 14: Información previa | Mensaje sonoro previo antes de solicitar datos comerciales | Auditoría de trazas de audio |
| Art. 23: Confidencialidad | Cifrado AES-256-GCM en base de datos y señalización TLS 1.3 | Test de penetración y escaneo TLS |
| Art. 43: Declaración previa | Inscripción formal del fichero en el registro de la CNDP | Certificado oficial CNDP |
| Art. 53: Derecho de oposición | Tecla 9 o detección de voz que conmuta a memoria volátil | Llamada de prueba sintética |
4. Trazabilidad inmutable y encadenamiento criptográfico SHA-256
Ante una inspección de la CNDP o requerimiento judicial, la empresa debe acreditar la integridad inalterada de sus registros. Vext aplica un encadenamiento criptográfico SHA-256 en los registros de auditoría: cada entrada incluye el hash de la anterior, impidiendo cualquier manipulación posterior. Además, se aplican rutinas de borrado seguro cuando expira el plazo autorizado de conservación (entre 30 y 90 días).
Preguntas frecuentes de la norma
¿Requiere asesoramiento sobre esta especificación?
Consulte directamente con nuestros ingenieros de sistemas en Casablanca.