[{"data":1,"prerenderedAt":183},["ShallowReactive",2],{"seo-verification":3,"blog-alojamiento-fuera-de-marruecos-autorizacion-cndp-es":6},{"google":4,"bing":5},"EycwPY2XMyTkVzas3n1ygeNJFGAH513qrMjfDljzsMQ","",{"key":7,"data":8},"blog-alojamiento-fuera-de-marruecos-autorizacion-cndp-es",{"id":9,"slug":10,"slugs":11,"title":15,"excerpt":16,"readTime":17,"views":18,"isPinned":19,"publishedAt":20,"updatedAt":21,"category":22,"categories":26,"featuredImage":28,"bgImage":29,"posterImage":30,"relatedSolution":28,"intro":31,"sections":32,"ctaTitle":127,"ctaBody":128,"ctaButton":129,"ctaUrl":130,"relatedPosts":131},276,"alojamiento-fuera-de-marruecos-autorizacion-cndp",{"fr":12,"en":13,"ar":14,"es":10},"conformite-cndp-hebergement-hors-maroc","hosting-outside-morocco-cndp-prior-authorization","cndp-والاستضافة-خارج-المغرب-الترخيص-المسبق-إلزامي","Alojamiento fuera de Marruecos: autorización previa CNDP","La ley 09-08 regula toda transferencia de datos fuera de Marruecos, desde el primer correo de un formulario. Autorización o simple mención: depende del país de destino.",10,2,false,"2026-08-17T00:00:00+00:00","2026-09-07T11:26:10+00:00",{"id":17,"name":23,"slug":24,"color":25,"icon":24},"Cumplimiento y normativa","conformite","bg-amber-500\u002F10 text-amber-400",[27],{"id":17,"name":23,"slug":24,"color":25,"icon":24},null,"\u002Fblog\u002Fcovers\u002Fbg.svg","\u002Fblog\u002Fcovers\u002Fconformite-cndp-hebergement-hors-maroc-poster.svg","Su agencia aloja decenas de sitios en Europa. Cada formulario de contacto, cada boletín, cada área de cliente recoge direcciones de correo electrónico. Esas direcciones son datos de carácter personal en el sentido de la ley marroquí 09-08 — y su transferencia a un servidor situado fuera de Marruecos genera una obligación legal que pocas agencias han cumplido: el trámite de transferencia previsto por la ley 09-08. Su naturaleza depende del país de destino: hacia un Estado que la CNDP reconoce como garante de un nivel de protección suficiente, la transferencia se menciona en la declaración del tratamiento; hacia cualquier otro país, hace falta una autorización previa, y el silencio de la CNDP equivale a una negativa. Este artículo explica dónde pasa esa frontera, qué presentar a cada lado, y qué ocurre si no se presenta nada.",[33,37,48,51,79,82,101,105,108,111,114,117],{"type":34,"title":35,"body":36},"h2","La ley 09-08: qué protege y a quién se aplica","La ley n.º 09-08 relativa a la protección de las personas físicas respecto al tratamiento de datos de carácter personal se publicó en el Boletín Oficial de Marruecos n.º 5682 de 23 de rabi' II de 1430 (19 de abril de 2009). Se aplica a todo tratamiento de datos personales efectuado en Marruecos, sea cual sea el soporte. Su artículo 1 define el dato personal como toda información, de cualquier naturaleza que sea e independientemente de su soporte, incluidos el sonido y la imagen, relativa a una persona física identificada o identificable. Consecuencia directa: una dirección de correo electrónico recogida mediante un formulario de contacto es un dato personal. El titular del sitio, ya sea la empresa cliente o la agencia que lo administra por cuenta de esta, es un responsable del tratamiento en el sentido de esta ley. La ubicación geográfica del servidor determina después si se produce una transferencia internacional — y si se requiere la autorización de la CNDP.",{"type":38,"title":39,"items":40},"ul","Datos personales: lo que un sitio web recoge sin darse siempre cuenta",[41,42,43,44,45,46,47],"**Direcciones de correo electrónico** — todo formulario de contacto, de registro o de presupuesto recoge al menos una.","**Nombres y apellidos** — presentes en los formularios de registro, las áreas de cliente y las solicitudes de presupuesto.","**Números de teléfono** — frecuentes en los sitios de servicios, de comercio o de despachos profesionales.","**Direcciones IP** — registradas en los registros del servidor (logs) de cualquier alojamiento web.","**Cookies de identificación** — una cookie que vincula una sesión con un usuario identificable constituye un dato personal.","**Datos de facturación** — nombre, dirección, datos bancarios parciales en los sitios de comercio electrónico.","**Mensajes de formulario** — el contenido de un formulario de contacto enviado por correo electrónico sigue siendo un dato personal archivado.",{"type":34,"title":49,"body":50},"Artículos 43 y 44: lo que exige la ley, según el país de destino","Este es el núcleo del asunto para cualquier agencia que aloje sitios fuera de Marruecos. El artículo 43 de la ley 09-08 sienta el principio: un responsable del tratamiento solo puede transferir datos personales a un Estado extranjero si ese Estado garantiza un nivel de protección suficiente de la vida privada y de las libertades y derechos fundamentales. La CNDP evalúa ese nivel teniendo en cuenta las disposiciones legales aplicables en el Estado destinatario, las medidas de seguridad vigentes y las características del tratamiento (naturaleza, duración, finalidades). El artículo 44 enumera excepciones — consentimiento explícito, necesidad contractual, interés vital, registro público — pero no eximen de toda formalidad en todos los casos. En la práctica, un sitio marroquí cuyos datos acaban en un servidor europeo o estadounidense está sujeto a esta exigencia: el alojamiento físico de los datos en el extranjero constituye una transferencia en el sentido de la ley.",{"type":52,"title":53,"headers":54,"rows":58},"comparison","Declaración previa frente a autorización previa: no confundir ambas",[55,56,57],"Criterio","Declaración previa","Autorización previa",[59,63,67,71,75],[60,61,62],"Formularios correspondientes","F211 o F214","F112 o F113 (+ F118 para la transferencia)",[64,65,66],"Plazo de tramitación","Acuse de recibo en 24 horas","Decisión en 2 meses (prorrogable una vez)",[68,69,70],"Tipos de datos cubiertos","Datos personales estándar","Datos sensibles, NIN, interconexiones — y toda transferencia internacional",[72,73,74],"Transferencia al extranjero","No aplicable a la transferencia en sí","Obligatoria para todo país sin nivel de protección adecuado",[76,77,78],"Silencio de la CNDP","No procede (declaración autoejecutiva)","Equivale a una denegación — la transferencia solo comienza tras recibir el número de autorización",{"type":34,"title":80,"body":81},"Procedimiento en dos etapas: declarar el tratamiento y luego autorizar la transferencia","El cumplimiento se organiza en dos tiempos distintos que la CNDP impone en este orden. La autorización de transferencia solo puede concederse si el tratamiento subyacente ha sido a su vez declarado o autorizado. Esta secuencia es la principal fuente de omisión en las agencias: algunas conocen la declaración del tratamiento pero ignoran que el formulario F118 — específico de la transferencia al extranjero — es un trámite aparte. La CNDP dispone después de dos meses para emitir su dictamen, prorrogables una vez. Un expediente incompleto interrumpe ese plazo hasta que se completa. Esta secuencia solo rige, sin embargo, para los países ausentes de la lista del artículo 43: sin número de autorización, la transferencia hacia uno de ellos es ilícita, y Estados Unidos es el caso más frecuente. Hacia Francia o Alemania, ambas incluidas en la lista, no se pide ningún F118 — es la declaración del tratamiento, con su apartado de transferencia cumplimentado, la que cubre el envío.",{"type":83,"title":84,"steps":85},"steps","Las etapas del procedimiento CNDP para un alojamiento fuera de Marruecos",[86,89,92,95,98],{"title":87,"body":88},"Identificar y cartografiar los tratamientos","Enumerar todos los tratamientos de datos personales realizados por cuenta de los clientes: formularios, áreas de cliente, boletines, registros del servidor. Para cada tratamiento, documentar la finalidad, las categorías de datos, el plazo de conservación y los destinatarios — incluido el proveedor de alojamiento extranjero.",{"title":90,"body":91},"Presentar la declaración del tratamiento (F211 o F214)","Presentar la declaración previa del tratamiento ante la CNDP a través de la plataforma en línea disponible en \u003Ca href=\"https:\u002F\u002Fwww.cndp.ma\u002Fnotifier-un-traitement\u002F\">cndp.ma\u003C\u002Fa>. El acuse de recibo se emite en 24 horas. Si el tratamiento implica datos sensibles (salud, opiniones políticas, afiliación sindical), procede en su lugar un formulario de autorización previa (F112 o F113).",{"title":93,"body":94},"Si el país de destino no está en la lista: presentar el F118","Esta etapa solo afecta a los países ausentes de la lista del artículo 43 — para Finlandia, Alemania o Francia no hay F118 que presentar, basta el apartado «transferencia al extranjero» de la declaración. En caso contrario, una vez declarado o autorizado el tratamiento, presentar por separado el formulario F118 disponible en \u003Ca href=\"https:\u002F\u002Fwww.cndp.ma\u002Fnotifier-une-demande-de-transfert-a-letranger\u002F\">cndp.ma\u003C\u002Fa>. Adjuntar la carta de habilitación del firmante y los contratos de encargo del tratamiento que regulan las medidas de seguridad en el proveedor de alojamiento extranjero.",{"title":96,"body":97},"Esperar la decisión de la CNDP (plazo: hasta 2 meses)","Solo en ese caso: la CNDP instruye la solicitud y notifica su decisión en un plazo de dos meses desde la recepción de un expediente completo. Ese plazo puede prorrogarse una vez. Durante ese periodo, la transferencia no debe producirse. Un expediente incompleto suspende el plazo — la CNDP señala los documentos que faltan en los 10 a 15 primeros días.",{"title":99,"body":100},"Conservar el número de autorización e incorporarlo al aviso legal","Cuando se ha concedido una autorización, su número debe figurar en el aviso legal y en la política de privacidad del sitio. Todo cambio de proveedor de alojamiento que implique una transferencia hacia un nuevo Estado exige una actualización del expediente ante la CNDP.",{"type":102,"title":103,"body":104},"tip","La lista de la CNDP nombra 32 Estados — y no es «la Unión Europea»","La CNDP no juzga caso por caso: publica una lista. La deliberación n.º 236-2015 del 18 de diciembre de 2015, dictada en aplicación del artículo 43, nombra 32 Estados — entre ellos Alemania, Finlandia, Francia y los Países Bajos, pero también Canadá, Islandia, Liechtenstein, Noruega, el Reino Unido y Suiza, que no son miembros de la Unión Europea. Croacia, en cambio, no figura pese a ser Estado miembro: la lista original es de septiembre de 2013, dos meses después de su adhesión, y no se ha actualizado desde 2015. «Está en Europa, luego vale» es por tanto falso en ambos sentidos — lea el nombre del país en la deliberación, no su bandera. Estados Unidos no está en ella, y ningún acuerdo del tipo Data Privacy Framework la sustituye: esos marcos son europeos y no vinculan a la CNDP.",{"type":34,"title":106,"body":107},"La objeción frecuente: mis clientes no tienen datos sensibles","Es la objeción que las agencias plantean con más frecuencia — y se apoya en una confusión entre datos sensibles y datos personales. La ley 09-08 distingue dos categorías. Los datos sensibles (salud, origen étnico, opiniones políticas, convicciones religiosas, afiliación sindical) se someten a un régimen aún más estricto. Pero los datos personales ordinarios — un nombre, una dirección de correo electrónico, un número de teléfono — bastan para activar las obligaciones de la ley, entre ellas la autorización de transferencia internacional. Un formulario de contacto que solo pide el nombre y el correo electrónico del visitante basta para crear un tratamiento en el sentido de la ley 09-08. El tamaño del sitio o el volumen de datos no cambia la obligación: la ley no prevé ningún umbral.",{"type":34,"title":109,"body":110},"Sanciones previstas en caso de transferencia no autorizada","La ley 09-08 prevé sanciones penales aplicables a los responsables del tratamiento que no respeten sus disposiciones. El artículo 60 contempla específicamente la transferencia ilícita de datos personales al extranjero: expone a su autor a una pena de prisión de tres meses a un año y a una multa de 20 000 a 200 000 dirhams — o a una de estas dos penas. Para las personas jurídicas, las multas se duplican. A estas sanciones penales se suman los riesgos reputacionales: la CNDP puede publicar sus decisiones, y un control documentado pesa sobre la relación de la agencia con sus clientes. En febrero de 2023, la CNDP publicó un comunicado dirigido expresamente a las empresas que habían omitido notificar una transferencia de datos al extranjero, lo que confirma que esta obligación es objeto de un control activo.",{"type":34,"title":112,"body":113},"Lo que la agencia debe integrar en su oferta de servicio","El cumplimiento ante la CNDP no es un trámite que el cliente gestione solo. Cuando una agencia elige el proveedor de alojamiento, configura el servidor y se encarga de los formularios del sitio, se sitúa como responsable del tratamiento o como encargado del tratamiento según los contratos firmados. En ambos casos le incumben obligaciones. Integrar un acompañamiento CNDP en los servicios de puesta en línea — auditoría de los tratamientos, presentación de las declaraciones, aviso legal conforme — diferencia a la agencia y elimina una deuda jurídica que el cliente no sospecha. Es además un argumento comercial: el cliente no tiene que navegar solo por un procedimiento administrativo ante una autoridad que no conoce.",{"type":102,"title":115,"body":116},"Comprobar antes de migrar un sitio a un nuevo proveedor de alojamiento","Todo cambio de proveedor de alojamiento que implique un cambio de país de alojamiento reabre la cuestión de la transferencia. Si un sitio estaba alojado en Marruecos y migra a servidores en Finlandia o Alemania, el tratamiento debe volver a declararse con su apartado de transferencia cumplimentado — sin solicitud de autorización, al figurar ambos países en la lista. Hacia un país ausente de la lista, es el F118 el que se impone, y antes de cualquier envío. Una migración entre dos proveedores de un mismo país incluido en la lista no reabre ninguna solicitud, aunque sigue siendo recomendable actualizar los contratos de encargo del tratamiento. Nuestros servidores están en Finlandia y Alemania — dos países de la lista, un hecho que merece documentarse en el expediente CNDP de sus clientes desde la puesta en línea.",{"type":38,"title":118,"items":119},"Checklist de cumplimiento: puntos a controlar antes de la puesta en línea",[120,121,122,123,124,125,126],"**Inventario de los tratamientos** — lista completa de los formularios, cookies, áreas de cliente y registros del servidor que puedan contener datos personales.","**Declaración del tratamiento presentada** — formulario F211 o F214 enviado en la plataforma de la CNDP y acuse de recibo obtenido (plazo: 24 horas).","**País de destino verificado en la deliberación n.º 236-2015** — si figura en ella, basta el apartado «transferencia al extranjero» de la declaración; en caso contrario, el formulario F118 debe presentarse por separado, con sus documentos justificativos.","**Número de autorización obtenido, si el F118 era exigible** — solo en ese caso la transferencia comienza tras recibir ese número (plazo: hasta 2 meses).","**Aviso legal actualizado** — número de autorización si procede, identidad del responsable del tratamiento, derechos de las personas afectadas, datos de contacto de la CNDP.","**Contrato de encargo del tratamiento firmado con el proveedor de alojamiento** — debe describir las medidas de seguridad y las condiciones de tratamiento de los datos.","**Procedimiento de actualización documentado** — en caso de cambio de proveedor de alojamiento, de país o de incorporación de nuevos tratamientos, se activa una actualización del expediente CNDP.","Un alojamiento europeo documentado para sus clientes marroquíes","Nuestros servidores están en Helsinki (Finlandia) y Falkenstein (Alemania) — dos países nombrados en la lista de Estados que garantizan un nivel de protección suficiente, fijada por la CNDP en la deliberación n.º 236-2015 del 18 de diciembre de 2015 (art. 43 de la ley 09-08). Para sus clientes, el trámite que cambia es preciso: ningún formulario F118 ni plazo de instrucción de dos meses — la transferencia sigue debiendo mencionarse en la declaración del tratamiento. Le facilitamos por escrito la ubicación del alojamiento y la identidad del proveedor que debe consignar.","Ver los planes de alojamiento","\u002Fhebergement-web",[132,148,164],{"id":133,"slug":134,"slugs":135,"title":139,"excerpt":140,"readTime":141,"views":142,"isPinned":19,"publishedAt":143,"updatedAt":21,"category":144,"categories":145,"featuredImage":28,"bgImage":29,"posterImage":147,"relatedSolution":28},244,"iva-servicios-digitales-marruecos-2026",{"fr":136,"en":137,"ar":138,"es":134},"tva-marocaine-hebergement-web-facturation","vat-on-digital-services-in-morocco-what-changes-in-2026","ضريبة-القيمة-المضافة-الرقمية-بالمغرب-ما-الذي-تغير-في-2026","IVA de servicios digitales en Marruecos: qué cambia en 2026","La Ley de Finanzas 2024 impone el IVA del 20 % sobre los servicios digitales extranjeros en Marruecos. Quién es el sujeto pasivo y cómo darse de alta.",9,1,"2026-08-10T00:00:00+00:00",{"id":17,"name":23,"slug":24,"color":25,"icon":24},[146],{"id":17,"name":23,"slug":24,"color":25,"icon":24},"\u002Fblog\u002Fcovers\u002Ftva-marocaine-hebergement-web-facturation-poster.svg",{"id":149,"slug":150,"slugs":151,"title":155,"excerpt":156,"readTime":157,"views":158,"isPinned":19,"publishedAt":159,"updatedAt":21,"category":160,"categories":161,"featuredImage":28,"bgImage":29,"posterImage":163,"relatedSolution":28},211,"nis2-obligaciones-hosting-clientes-2026",{"fr":152,"en":153,"ar":154,"es":150},"nis2-hebergement-obligations-clients-2026","nis2-what-the-directive-requires-from-your-hosted-clients","nis2-ما-تفرضه-التوجيهات-على-عملائكم-المستضافين","NIS2: lo que la directiva exige a sus clientes alojados","La directiva NIS2 se aplica desde octubre de 2026 en la UE — sus clientes de sectores esenciales deberán elegir proveedores conformes.",4,0,"2026-08-02T00:00:00+00:00",{"id":17,"name":23,"slug":24,"color":25,"icon":24},[162],{"id":17,"name":23,"slug":24,"color":25,"icon":24},"\u002Fblog\u002Fcovers\u002Fnis2-hebergement-obligations-clients-2026-poster.svg",{"id":165,"slug":166,"slugs":167,"title":171,"excerpt":172,"readTime":173,"views":158,"isPinned":19,"publishedAt":174,"updatedAt":21,"category":175,"categories":180,"featuredImage":28,"bgImage":29,"posterImage":182,"relatedSolution":28},253,"alojamiento-web-marruecos-precio-iva-factura",{"fr":168,"en":169,"ar":170,"es":166},"hebergement-web-maroc-prix-et-facturation","web-hosting-in-morocco-price-vat-and-a-compliant-invoice","استضافة-المواقع-في-المغرب-السعر-والضريبة-والفاتورة-النظامية","Alojamiento web en Marruecos: precio, IVA y factura conforme","Cuánto cuesta un alojamiento web en Marruecos: facturación en dírhams, IVA marroquí, factura con IF, ICE y RC, y el costo real en la renovación.",7,"2026-08-13T00:00:00+00:00",{"id":176,"name":177,"slug":178,"color":179,"icon":178},5,"Comparativas","comparatif","bg-info\u002F10 text-info",[181],{"id":176,"name":177,"slug":178,"color":179,"icon":178},"\u002Fblog\u002Fcovers\u002Fhebergement-web-maroc-prix-et-facturation-poster.svg",1789664995129]