Pourquoi l’ARPCE compte pour les startups cloud
L’Autorité de Régulation de la Poste et des Communications Électroniques (ARPCE) est l’instance qui autorise les opérateurs de communications électroniques en Algérie, y compris les prestataires d’hébergement cloud et de stockage de données. Sous le cadre posé par la Loi n° 22-39 du 10 janvier 2022, l’ARPCE certifie les prestataires cloud et surveille leur conformité aux règles d’hébergement.
D’après le portail cloud de l’ARPCE et le suivi de state-of-algeria.dev, l’ARPCE a autorisé les principaux opérateurs de datacenter locaux — notamment ISAAL, AYRADE, eBS et ADEX Cloud — à fournir de l’hébergement web et des services cloud. C’est l’univers régulé dans lequel opèrent les fondateurs SaaS et hébergeurs algériens.
Cet article est une carte de conformité pratique pour les fondateurs, CTO et architectes infrastructure qui prévoient d’opérer depuis l’Algérie, de vendre du SaaS à des clients algériens, ou de s’adosser à un hébergeur certifié ARPCE. Il explique les obligations, pas la politique.
La triade CIA, traduite en attentes ARPCE
Au cœur de l’approche ARPCE se trouve une triade de sécurité familière — confidentialité, intégrité, disponibilité — posée sur le droit des communications électroniques et alignée avec le cadre de protection des données personnelles (Loi 18-07 amendée par la Loi 25-11).
Confidentialité
Les opérateurs du secteur des communications électroniques doivent assurer la confidentialité des données qu’ils manipulent et coopérer avec les autorités compétentes. La Loi n° 18-04 sur les communications électroniques exige des fournisseurs de sauvegarder la confidentialité des données et d’empêcher toute interception non autorisée. Pour une pile SaaS, cela se traduit par :
- Chiffrement au repos des données des tenants (au niveau base ou applicatif).
- TLS 1.2+ pour tout le trafic externe, TLS mutuel pour les liens back-end critiques.
- Contrôle d’accès basé sur les rôles avec une séparation claire des responsabilités entre développeurs, ops et support.
- Gestion des clés avec journaux d’audit, idéalement un coffre matériel pour les charges sensibles.
Intégrité
L’intégrité couvre à la fois les données et les systèmes qui les traitent. Les prestataires doivent démontrer que les données ne peuvent pas être altérées silencieusement en stockage ou en transit, et que les changements systèmes passent par un processus documenté. Contrôles pratiques :
- Contraintes d’intégrité au niveau base et checksums cryptographiques pour les objets à forte valeur.
- Gestion du changement avec revue par les pairs, versionnage et capacité de rollback.
- Infrastructure-as-code pour des environnements reproductibles.
- Tests d’intégrité des sauvegardes (exercices de restauration) au moins chaque trimestre.
Disponibilité
La disponibilité est l’endroit où l’ARPCE recoupe le plus clairement la protection du consommateur. Un hébergeur qui chute régulièrement fait défaut à ses clients, mais aussi au régulateur. Contrôles attendus :
- SLA documentés et crédits de service alignés sur les données de supervision réelles.
- Architecture redondante entre domaines de défaillance (énergie, réseau, stockage).
- Plans de reprise d’activité testés avec RPO et RTO définis.
- Planification capacitaire qui anticipe la croissance plutôt que de la poursuivre.
Licences et écosystème
Un opérateur d’hébergement cloud ou de stockage de données en Algérie doit être autorisé par l’ARPCE. Les frais de gestion du dossier pour une licence cloud computing sont fixés à 28 000 DZD hors taxes, selon le barème publié par l’ARPCE. Obtenir l’autorisation suppose de démontrer que l’opérateur peut tenir les règles d’hébergement — pas seulement payer les frais.
Pour une startup SaaS qui ne veut pas opérer sa propre pile d’hébergement, la voie pragmatique est de s’asseoir sur un prestataire autorisé ARPCE :
- ISAAL, AYRADE, eBS, ADEX Cloud — quatre prestataires locaux listés dans l’écosystème ARPCE. AYRADE DC 1 à Rahmania (Alger) figure parmi les datacenters privés les plus établis, avec plus de 1 000 entreprises hébergées.
- Les contrats avec ces prestataires devraient inclure les contrôles de sécurité et de disponibilité ci-dessus en annexes contractuelles, et non en engagements verbaux.
- Les fondateurs SaaS restent responsables de la couche applicative, même quand l’infrastructure est sous-traitée — les régulateurs regarderont toujours l’expérience client de bout en bout.
Publicité
Intégrer les attentes ARPCE avec la protection des données
Le cadre amendé de protection des données (Loi 18-07 amendée par la Loi 25-11) fonctionne par-dessus la couche ARPCE. Comme le résument le guide CMS sur l’Algérie et le guide CookieYes, un SaaS ou hébergeur conforme doit combiner les deux régimes :
- Cartographier les contrôles d’hébergement face aux attentes ARPCE (triade CIA, licence).
- Cartographier les traitements face aux obligations de la Loi 25-11 (registre, DPO, AIPD, notification).
- Aligner les contrats clients : un contrat d’hébergement doit nommer le sous-traitant, préciser les finalités et inclure une clause de notification des violations.
- Pour les transferts transfrontaliers, documenter la base légale et appliquer des garanties — l’ensemble cadre ARPCE + discussions résidence des données fait de l’hébergement local la voie la plus simple pour la donnée client algérienne dans la plupart des cas.
Checklist de conformité pour fondateur
Pour un fondateur SaaS ou un hébergeur algérien qui prépare 2026, les actions concrètes sont :
- [ ] Décider de détenir une autorisation ARPCE en direct ou de bâtir sur un prestataire autorisé (ISAAL, AYRADE, eBS, ADEX Cloud, etc.).
- [ ] Documenter les contrôles CIA que le produit implémente et ceux hérités du prestataire sous-jacent.
- [ ] Désigner un DPO (ou un DPO externe partagé) et un Registre des Activités de Traitement aligné sur la Loi 25-11.
- [ ] Implémenter stockage chiffré, TLS par défaut et moindre privilège dans tous les environnements.
- [ ] Mener au moins un exercice de reprise d’activité par an, avec RPO/RTO documentés.
- [ ] Inclure des clauses ARPCE-pertinentes (confidentialité, coopération avec les autorités, traitement des données) dans tout contrat client et sous-traitant.
- [ ] Suivre les flux transfrontaliers et documenter la base légale de chacun.
- [ ] Rejoindre les associations professionnelles et suivre les publications de l’ARPCE et de l’ANPDP — beaucoup de règles sont précisées par la doctrine plus que par de nouveaux textes.
Questions Fréquemment Posées
Ai-je besoin d’une licence ARPCE pour vendre du SaaS en Algérie ?
Si votre SaaS tourne sur une infrastructure que vous opérez comme activité d’hébergement ou de stockage, vous avez probablement besoin de détenir ou de vous adosser à une autorisation ARPCE. Si vous ne fournissez qu’une fonctionnalité applicative au-dessus d’un hébergeur déjà autorisé, la licence d’hébergement reste côté prestataire, mais votre SaaS doit quand même respecter les obligations de la Loi 25-11.
Quels prestataires cloud algériens sont certifiés ARPCE ?
L’ARPCE a autorisé plusieurs opérateurs de datacenter locaux — notamment ISAAL, AYRADE, eBS et ADEX Cloud — à offrir hébergement et services cloud. La liste peut évoluer, il faut donc consulter la publication ARPCE actuelle avant de s’engager.
Comment les directives cloud ARPCE interagissent-elles avec la loi algérienne sur la protection des données ?
L’ARPCE se concentre sur la sécurité et la disponibilité des services d’hébergement et des communications électroniques, tandis que la Loi 18-07 (amendée par la Loi 25-11) régit le traitement des données personnelles. Quand un SaaS ou hébergeur manipule des données personnelles, les deux cadres s’appliquent en même temps : contrôles alignés ARPCE, plus responsabilité, DPO, AIPD et notification de la Loi 25-11.
Questions fréquentes
Ai-je besoin d'une licence ARPCE pour vendre du SaaS en Algérie ?
Si votre SaaS tourne sur une infrastructure que vous opérez comme activité d’hébergement ou de stockage, vous avez probablement besoin de détenir ou de vous adosser à une autorisation ARPCE. Si vous ne fournissez qu’une fonctionnalité applicative au-dessus d’un hébergeur déjà autorisé, la licence d’hébergement reste côté prestataire, mais votre SaaS doit quand même respecter les obligations de la Loi 25-11.
Quels prestataires cloud algériens sont certifiés ARPCE ?
L’ARPCE a autorisé plusieurs opérateurs de datacenter locaux — notamment ISAAL, AYRADE, eBS et ADEX Cloud — à offrir hébergement et services cloud. La liste peut évoluer, il faut donc consulter la publication ARPCE actuelle avant de s’engager.
Comment les directives cloud ARPCE interagissent-elles avec la loi algérienne sur la protection des données ?
L’ARPCE se concentre sur la sécurité et la disponibilité des services d’hébergement et des communications électroniques, tandis que la Loi 18-07 (amendée par la Loi 25-11) régit le traitement des données personnelles. Quand un SaaS ou hébergeur manipule des données personnelles, les deux cadres s’appliquent en même temps : contrôles alignés ARPCE, plus responsabilité, DPO, AIPD et notification de la Loi 25-11.
