- الرئيسية
- الحلول
- لماذا Klytic
- الأدلة
- الأسعار
- الشركاء
- اتصل بنا
-
-
تحمى المقاولة من قانون CLOUD Act باختيار الجهة التي تحوز المعطيات، لا بمجرد نقل الخوادم. يتيح هذا القانون الأمريكي الصادر سنة 2018 لسلطة أمريكية، في إطار مسطرة، أن تلزم مزود خدمة خاضعا لولايتها القضائية بتقديم المعطيات التي يحوزها هذا المزود أو يتحكم فيها، حتى لو كانت مخزنة خارج الولايات المتحدة. ولا ينشئ هذا القانون وصولا تلقائيا إلى مراكز البيانات الأوروبية.
يعدل CLOUD Act (Clarifying Lawful Overseas Use of Data Act) القانون الأمريكي المتعلق بالاتصالات المخزنة. وثلاثة حدود تجنب سوء الفهم.
فالخطر الفعلي إذن أضيق مما يقال، وأدوم: طلب محدد الهدف، موجه إلى مزود الخدمة، في إطار مسطرة.
وينظم القانون أيضا اتفاقات بين الحكومات لتأطير بعض الطلبات العابرة للحدود. ولا يغير هذا الجانب سؤال الشراء: من في سلسلتكم مزود خدمة أمريكي يتحكم في المعطيات؟
يوجه الأمر القضائي إلى مزود الخدمة ويتعلق بالمعطيات التي في حيازته أو تحت تحكمه. ويصبح العميل حينئذ رهينا بما سيفعله مزود الخدمة بالطلب.
وفقا لـ 18 U.S.C. § 2703(h)، يمكن لمزود الخدمة أن يطلب إلغاء الأمر القضائي أو تعديله إذا رأى أن العميل ليس « United States person »، ولا يقيم في الولايات المتحدة، وأن الإفصاح سيعرضه لخطر جدي بانتهاك قانون « حكومة أجنبية مؤهلة ». ويتوفر على 14 يوما بعد التبليغ.
« الحكومة الأجنبية المؤهلة » دولة أبرمت مع الولايات المتحدة اتفاقا تنفيذيا دخل حيز التنفيذ. وتنشر وزارة العدل الأمريكية اتفاقات مع المملكة المتحدة، موقعة في 3 أكتوبر 2019، ومع أستراليا، موقعة في 15 دجنبر 2021. ولا يوجد أي اتفاق ساري المفعول مع الاتحاد الأوروبي؛ وقد استؤنفت سنة 2023 مفاوضات بين الاتحاد الأوروبي والولايات المتحدة بشأن الأدلة الإلكترونية. ولا تذكر صفحة الوزارة أي اتفاق مع فرنسا.
النتيجة: آلية الطعن الخاصة بالفقرة § 2703(h) تفترض وجود مثل هذا الاتفاق. ولا ينبغي لمقاولة فرنسية أن تعول على هذا الطعن كحماية مكتسبة.
معيار القانون هو التحكم، لا الجغرافيا. لنأخذ مقاولة صناعية صغيرة أو متوسطة لها موقعان، اختارت منطقة بيانات أوروبية لدى ناشر أمريكي. رسائلها مخزنة في أوروبا. لكن الشركة التي تدير الخدمة ويمكنها استعادة صندوق بريد تظل أمريكية. وأمام أمر قضائي، لا تغير منطقة التخزين السؤال: هل هذه المعطيات تحت تحكمها؟
في 10 يونيو 2025، أمام لجنة التحقيق التابعة لمجلس الشيوخ الفرنسي حول الصفقات العمومية، سئل مدير الشؤون العامة والقانونية في Microsoft France: هل يستطيع أن يضمن تحت القسم أن معطيات المواطنين الفرنسيين المعهود بها إلى Microsoft عبر Ugap لن تنقل أبدا، إثر أمر من الحكومة الأمريكية، دون موافقة صريحة من السلطات الفرنسية؟ فكان جوابه: « لا، لا أستطيع ضمان ذلك، لكن، مرة أخرى، لم يحدث هذا قط حتى الآن. » ولشطري الجملة أهميتهما. فالأول يصف الإطار القانوني؛ والثاني الممارسة كما عاينتها الشركة.
يتناول القانون المغربي المسألة من الطرف الآخر. فوفقا للمادة 43 من القانون رقم 09-08، لا يجوز نقل معطيات شخصية إلى دولة أجنبية إلا إذا كانت هذه الدولة تضمن مستوى حماية كافيا. وتنص المادة 44 على استثناءات، منها الموافقة الصريحة للشخص المعني، أو تنفيذ عقد، أو إذن صريح ومعلل من اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (CNDP).
في المغرب، صدر القانون رقم 09-08 بتنفيذه الظهير رقم 1-09-15 بتاريخ 18 فبراير 2009، ونشر في الجريدة الرسمية عدد 5711 بتاريخ 23 فبراير 2009. ويطبق تحت رقابة CNDP، ويخضع المعالجات لتصريح مسبق أو، بالنسبة لبعضها، لإذن مسبق (المادة 12). ويجري نقاش حول إصلاحه؛ والنص الساري يظل نص 2009.
قد يجد مزود خدمة أمريكي يخدم عملاء مغاربة نفسه إذن بين قانونين: أمر قضائي أمريكي من جهة، وقانون مغربي يؤطر كل نقل نحو دولة أجنبية من جهة أخرى. ولا تحسم المادتان 43 و44 هذا التعارض نيابة عن مزود الخدمة. وبالنسبة للمشتري، فالرهان ملموس: أن يسأل كيف يتعامل هذا المزود مع مثل هذا الطلب، وهل يطعن فيه، وهل يخبر العميل به حين يسمح القانون بذلك.
تتضمن خدمة ناشر أمريكي عادة عمليات نقل نحو دولة أجنبية: التخزين في منطقة واقعة خارج البلد، ووصول فرق الدعم، والتصعيدات. ويجب أن تستند كل منها إلى المادة 43 (مستوى حماية كاف في دولة الوجهة) أو إلى أحد استثناءات المادة 44، ومنها الموافقة الصريحة، أو تنفيذ عقد، أو إذن صريح ومعلل من CNDP. ويفرض القانون أيضا تدابير تقنية وتنظيمية ملائمة، واختيار متعاقد من الباطن يقدم ضمانات كافية، يؤطره عقد (المادة 23).
تؤطر هذه القواعد عمليات النقل بمفهوم القانون المغربي. لكنها لا تخرج مزود خدمة أمريكيا من نطاق CLOUD Act. والمقاولة الحذرة توثق هذا الأساس وتتوقع ما يجب فعله إن سقط. وهذه المتابعة جزء من توثيق المعالجات، لا شعار.
اختيار المشغّل. إذا كانت الشركة التي تفوتر الخدمة وتنسخها احتياطيا وتديرها أوروبية، ولا تعتمد على مجموعة أمريكية في حيازة المعطيات، فإن أمر CLOUD Act لا يوجه إليها. تلك هي الرافعة الرئيسية.
قراءة قائمة المتعاقدين من الباطن. المشغّل الأوروبي الذي يرسل الرسائل أو النسخ الاحتياطية أو الدعم إلى متعاقد من الباطن أمريكي يعيد إدخال مزود خدمة خاضع للقانون الأمريكي. فقائمة المتعاقدين من الباطن جزء من الحماية. والخطأ الشائع: التحقق من المستضيف الرئيسي ونسيان أداة التذاكر أو النسخ الاحتياطي.
التمييز بين الناشر والمشغّل. استعمال برنامج ناشره أمريكي لا يعادل تسليم المعطيات لهذا الناشر. فـ Zimbra تنشره Synacor في الولايات المتحدة. وإذا ثبته مستضيف أوروبي وتولى نسخه احتياطيا، في قاعات هذا المستضيف، فإن الحائز التشغيلي لصناديق البريد هو المستضيف. ويجب أن يمنع العقد الناشر من أي وصول إلى المحتويات، وأن يحدد من يطبق التصحيحات.
معاملة الدعم كوصول. التقني الذي يفتح صندوق بريد أو نسخة احتياطية يعالج معطيات. ومكان هذا التقني، وأثر الوصول، وسببه، لها نفس أهمية مكان القرص.
التشفير بمفتاح تحوزونه، حين تسمح الخدمة بذلك. التشفير أثناء التخزين الذي يحوز مزود الخدمة مفتاحه يحميه من سرقة القرص. لكنه لا يمنعه من قراءة المعطيات لتقديم الخدمة، ولا من تقديمها إن ألزم بذلك. أما التشفير الذي لا تحوزون مفتاحه إلا أنتم، فيغير المعادلة بالنسبة للمحتوى. وفي حزمة متكاملة، لا يغطي دائما جميع المراحل: بعضها يقتضي أن تعالج الخدمة المحتوى، ويكون التشفير فيها حينئذ من اختصاص الناشر أو المشغّل (التصفية والحجر، والفهرسة لأغراض البحث، ومعالجة الوثائق في نظام CRM). فالأسئلة الصحيحة إذن: في أي مراحل يدير مزود الخدمة المفتاح، وكم تبقى المعطيات فيها، ومن يمكنه الوصول إليها؟ يجب قراءة النطاق.
الحفاظ على مخرج. تصدير منتظم، وصيغ مفتوحة، وتجربة استعادة. فالحماية القانونية دون نسخة قابلة للاسترجاع حماية ناقصة.
وليس CLOUD Act المعيار الوحيد كذلك. فالمقاولة التي معطياتها قليلة الحساسية، وتعتمد على وظائف متقدمة في Microsoft 365 أو Google Workspace، وتوثق أساس عمليات النقل لديها، يمكنها أن تبقى بشكل معقول. ويصبح الاختيار محل نقاش حين لا يكون قد اتخذ أصلا: لم يسم أحد حائز المعطيات ولم يتوقع أحد مخرجا. وتتناول صفحتا السحابة الأوروبية أو السحابة الأمريكية وMicrosoft 365 أو حل سيادي هذه الموازنة بتفصيل.
مثال: مكتب للخبرة المحاسبية يضم 25 شخصا ويقوم بهذا التمرين يلاحظ غالبا أن البريد الإلكتروني المهني محدد جيدا، لكن أداة التوقيع، أو مشاركة الملفات مع العملاء، أو النسخ الاحتياطي، أضيفت دون التحقق من المشغّل. وهذه هي البنود التي يجب تأطيرها بالأولوية.
تقارن صفحة Microsoft 365 وGoogle Workspace وKlytic بين Microsoft 365 وGoogle Workspace وKlytic؛ أما المعايير العامة، ففي صفحة ما هي السحابة السيادية.
لا. يستهدف القانون مزود الخدمة الخاضع للقانون الأمريكي الذي يحوز المعطيات أو يتحكم فيها، أينما كانت مخزنة. ويظل مكان القرص مفيدا، لكنه لا يجيب عن سؤال المشغّل.
تنص الفقرة § 2703(h) على طعن بالإلغاء أو التعديل، داخل أجل 14 يوما من التبليغ. ويفترض هذا الطعن وجود اتفاق تنفيذي ساري المفعول مع البلد المعني. ولا تذكر صفحة وزارة العدل الأمريكية أي اتفاق مع فرنسا، ولا يوجد أي اتفاق ساري المفعول مع الاتحاد الأوروبي.
يضع قاعدة مغربية: النقل نحو دولة أجنبية يفترض مستوى حماية كافيا (المادة 43)، مع استثناءات (المادة 44). ويضع مزود الخدمة الأمريكي في حالة تنازع قوانين، دون أن يحله نيابة عنه.
تشغّل Dedicace Software، وهي شركة فرنسية، خدمة Klytic. وتتم الاستضافة في أي منطقة جغرافية توافق الولاية القضائية المطبقة، رهنا بتوفر الخدمات المطلوبة، أو على خوادم العميل. وبرنامج البريد الإلكتروني هو Zimbra، المنشور في الولايات المتحدة: فالحماية تأتي من المشغّل ومن عقد التشغيل، لا من جنسية الناشر. ولا يملك الناشر حق الوصول إلى المعطيات ولا يمكنه إلزام Klytic بنقلها إليه.
لا تقوم الحماية من المخاطر المرتبطة بـ CLOUD Act على مكان استضافة المعطيات وحده. بل تتوقف أيضا على الولاية القضائية التي يخضع لها المشغّل، وعلى تنظيمه، وعلى صلاحيات وصوله التقنية، وعلى الطريقة التي تشفر بها المعطيات.
لدى Klytic، الاتصالات بين المستخدمين وخدمات المنصة محمية بواسطة TLS. وبالنسبة إلى البريد الإلكتروني، يتم تأمين هذا التشفير من Klytic MTA إلى جهاز المستخدم أو برنامج البريد الإلكتروني الخاص به، وفي الاتجاه المعاكس. وحين يتم تبادل رسالة مع نطاق خارجي، يحافظ Klytic على التشفير إذا كان الخادم البعيد يدعم TLS؛ غير أن Klytic لا يستطيع ضمان الجزء الأخير من المسار حين لا يدعمه خادم المرسل إليه.
يجب التمييز بين تشفير التخزين والتشفير الذي يحوز العميل مفتاحه.
بالنسبة إلى الوثائق، يكون التشفير عند المصدر مفعلا بشكل منهجي. ويولد المفتاح انطلاقا من حساب العميل ولا يستطيع Klytic قراءته. ومن دون السر اللازم لفتحه، لا يستطيع Klytic إذن الوصول إلى المحتوى في صيغته المقروءة. وهكذا تشفر الوثائق قبل حفظها في البنية التحتية، وتظل محمية بمفتاح لا يحوزه Klytic.
ويقوم البريد الإلكتروني على آلية مختلفة. فالرسائل تشفر على وسائط التخزين لدى Klytic بمفاتيح يديرها Klytic. ويحمي هذا التشفير المعطيات على الخصوص من الوصول المباشر إلى الوسائط، لكن Klytic يجب أن يتمكن من فك تشفير الرسائل لضمان وظائف البريد الإلكتروني والتصفية والمعالجة الخاصة بالخدمة.
ويمكن للعميل فضلا عن ذلك استعمال تشفير لكل رسالة على حدة، لا سيما بواسطة S/MIME أو GPG. وفي هذه الحالة، يظل المفتاح الخاص في حيازة العميل حصرا. ويمكن لـ Klytic نقل الرسالة المشفرة وتخزينها، لكنه لا يملك المفتاح الخاص الذي يتيح قراءة محتواها.
كما أن التخزين نفسه مشفر على القرص من طرف Klytic. وهذه الحماية الثانية تؤمن المعطيات الموجودة على الوسائط، لكن لا ينبغي الخلط بينها وبين التشفير عند المصدر: فالتشفير عند المصدر يحمي المحتوى بمفتاح لا يحوزه Klytic، في حين أن تشفير التخزين يديره Klytic لتمكين الخدمة من الاشتغال.
ويتيح هذا التمييز الحد فعليا من المعطيات التي يمكن لـ Klytic الوصول إليها تقنيا. غير أنه لا يشكل، في حد ذاته، حماية قانونية من طلب وصول: فالسيادة تقوم أيضا على الولاية القضائية المطبقة على المشغّل وعلى البنية التحتية، وكذلك على حوكمة الوصول.
لدى Klytic، يمنع الوصول إلى حسابات البريد الإلكتروني الخاصة بالعملاء. وتخضع عمليات الوصول للمراقبة والتدقيق، وتتيح تنبيهات رصد السلوكيات التي قد تكشف عن استعمال احتيالي. وهكذا تأتي آليات الحماية التقنية لتكمل الضمانات التي يوفرها موقع البنية التحتية والولاية القضائية المطبقة.
ولضمان سرية للمحتوى لا يستطيع Klytic رفعها بنفسه، يستفيد العميل إذن، بالنسبة إلى الوثائق، من التشفير المنهجي عند المصدر، ويمكنه أن يستعمل لرسائله تشفيرا من طرف إلى طرف مثل S/MIME أو GPG، يحتفظ بمفتاحه الخاص.
انظر أيضا صفحة الاستضافة والسيادة.
Klytic ليس مؤهلا وفق SecNumCloud. ولا تشكل أي من هذه الجمل حصانة عامة: فالمشغّل الفرنسي يظل خاضعا للقانون الفرنسي.
تصف هذه الصفحة إطارا عاما. ولا تشكل استشارة قانونية.
الوضع القانوني في 5 أكتوبر 2026. لا يغني هذا النص عن تحليل العقد. في المغرب، يؤطر القانون رقم 09-08 معالجة المعطيات الشخصية ونقلها إلى الخارج، وتتولى CNDP مراقبة تطبيقه. يُعتمد كتالوج ANSSI مرجعًا بخصوص SecNumCloud.
تمت مراجعتها في أكتوبر 2026.
البريد الإلكتروني والوثائق ومؤتمرات الفيديو وCRM والهاتف، مستضافة في المنطقة التي تتوافق مع الاختصاص القضائي الذي تخضعون له، أو لديكم.
عرض الترحيب
عرض تجريبي دون التزام. سيتصل بك مستشار لفهم احتياجاتك وتجهيز مساحة Klytic الخاصة بك.
