# ¿Cumple Cyber Crucible con la ley de protección de datos de Marruecos? **Respuesta breve:** Sí. La Ley N.º 09-08 de Marruecos y su decreto de aplicación regulan el tratamiento de datos personales, bajo la supervisión de la CNDP. Se aplican los mismos controles: recopilación mínima, rol de encargado del tratamiento documentado, salvaguardas sólidas e implementación en el país o aislada de la red (air-gapped) cuando se prefiera. ## Qué exige la ley El marco jurídico de Marruecos se basa en la **Ley N.º 09-08** relativa a la protección de las personas físicas en lo referente al tratamiento de datos de carácter personal, junto con el **Decreto N.º 2-09-165** de aplicación. La **CNDP** (Commission Nationale de contrôle de la protection des Données à caractère Personnel) es la autoridad de control, y participa activamente en la cooperación internacional sobre temas emergentes, incluida la IA. ## Qué se aplica específicamente aquí El régimen de Marruecos se encuentra entre los más consolidados del norte de África, con una autoridad en funcionamiento y procedimientos de notificación/autorización que varían según el tipo de tratamiento. Implicaciones prácticas para la evaluación de proveedores: - **Enumerar lo que se recopila.** La lista de datos excluidos de Cyber Crucible es explícita: sin claves, credenciales, tokens ni contenido, lo que respalda la precisión de las notificaciones. - **Rol de encargado del tratamiento** conforme a un DPA (acuerdo de tratamiento de datos) escrito, sobre instrucciones documentadas. - **Transferencia**: alojamiento provisional regional o implementación aislada de la red (air-gapped); esta última elimina la cuestión. ## Para organizaciones que operan en el Magreb Los requisitos difieren considerablemente entre Marruecos, Túnez, Argelia y Libia. Seleccionar un proveedor que cumpla con el régimen aplicable más estricto —en lugar de evaluar cada uno por separado— suele ser el camino que exige menos esfuerzo. > Estado al momento de redactar este documento: confirmar con asesoría legal local.