Toute demande d'accès à des données personnelles émanant d'une autorité publique (autorité judiciaire, police, administration ou régulateur, au Maroc ou à l'étranger) est traitée selon les règles suivantes, qu'elle porte sur les données de nos utilisateurs, dont nous sommes responsable de traitement, ou sur les données que nous traitons pour le compte de nos clients en qualité de sous-traitant (voir notre DPA) :
•Forme et canal : nous ne donnons suite qu'aux demandes écrites, fondées sur le droit applicable et émanant d'une autorité compétente, adressées à
[email protected]. Nous n'accordons à aucune autorité publique d'accès direct, massif ou indiscriminé à nos systèmes, et ne lui remettons ni clé de chiffrement ni porte dérobée.
•Contrôle de légalité : avant toute communication, chaque demande est examinée par le représentant légal de la société, assisté si nécessaire d'un conseil externe : compétence de l'autorité, base légale invoquée, nécessité et proportionnalité de la mesure, périmètre des données visées. Une demande émanant d'une autorité d'un pays situé hors de l'Union européenne et de l'Espace économique européen n'est satisfaite que sur le fondement d'un accord international, tel qu'un traité d'entraide judiciaire, ou d'une procédure reconnue par le droit applicable (article 48 du RGPD) ; une demande d'une autorité marocaine est examinée au regard de la loi n° 09-08 et des règles de procédure marocaines applicables.
•Contestation : nous demandons des précisions, sollicitons la réduction du périmètre ou refusons toute demande illicite, excessive ou juridiquement viciée, et exerçons les voies de recours disponibles. Tant qu'une contestation est pendante, nous ne communiquons aucune donnée, sauf obligation légale contraignante.
•Minimisation des données : nous ne communiquons que le minimum de données strictement nécessaire pour répondre à une demande valide. Le contenu des messages n'est communiqué que si l'acte juridique l'exige expressément.
•Information : avant toute communication, nous informons le client concerné et, pour les données de nos propres utilisateurs, la personne concernée, sauf si la loi l'interdit. En cas d'interdiction, nous mettons tout en œuvre pour en obtenir la levée et informons dès que l'interdiction prend fin.
•Urgences : en cas de danger imminent pour la vie ou l'intégrité physique d'une personne, une communication strictement limitée peut être effectuée ; elle est documentée et réexaminée a posteriori selon les mêmes règles.
•Documentation : chaque demande est consignée dans un registre interne — date, autorité, base légale, périmètre demandé, analyse de légalité et raisonnement juridique, personnes impliquées, réponse apportée, données communiquées, information donnée ou non et motif — conservé pendant 5 ans.
•Transparence : nous publions chaque année le nombre de demandes reçues. Au 10 septembre 2026, EnvoiSMS.ma n'a reçu aucune demande d'une autorité publique portant sur des données personnelles au cours des 12 derniers mois.
•Champ d'application : ces règles s'appliquent également aux données que nous recevons par l'intermédiaire des API de la plateforme WhatsApp Business de Meta.