Pourquoi l’ARPCE compte pour les startups cloud
L’Autorité de Régulation de la Poste et des Communications Électroniques (ARPCE) est l’instance qui autorise les opérateurs de communications électroniques en Algérie, y compris les prestataires d’hébergement cloud et de stockage de données. Sous le cadre posé par la Loi n° 22-39 du 10 janvier 2022, l’ARPCE certifie les prestataires cloud et surveille leur conformité aux règles d’hébergement.
D’après le portail cloud de l’ARPCE et le suivi de state-of-algeria.dev, l’ARPCE a autorisé les principaux opérateurs de datacenter locaux — notamment ISAAL, AYRADE, eBS et ADEX Cloud — à fournir de l’hébergement web et des services cloud. C’est l’univers régulé dans lequel opèrent les fondateurs SaaS et hébergeurs algériens.
Cet article est une carte de conformité pratique pour les fondateurs, CTO et architectes infrastructure qui prévoient d’opérer depuis l’Algérie, de vendre du SaaS à des clients algériens, ou de s’adosser à un hébergeur certifié ARPCE. Il explique les obligations, pas la politique.
La triade CIA, traduite en attentes ARPCE
Au cœur de l’approche ARPCE se trouve une triade de sécurité familière — confidentialité, intégrité, disponibilité — posée sur le droit des communications électroniques et alignée avec le cadre de protection des données personnelles (Loi 18-07 amendée par la Loi 25-11).
Confidentialité
Les opérateurs du secteur des communications électroniques doivent assurer la confidentialité des données qu’ils manipulent et coopérer avec les autorités compétentes. La Loi n° 18-04 sur les communications électroniques exige des fournisseurs de sauvegarder la confidentialité des données et d’empêcher toute interception non autorisée. Pour une pile SaaS, cela se traduit par :
- Chiffrement au repos des données des tenants (au niveau base ou applicatif).
- TLS 1.2+ pour tout le trafic externe, TLS mutuel pour les liens back-end critiques.
- Contrôle d’accès basé sur les rôles avec une séparation claire des responsabilités entre développeurs, ops et support.
- Gestion des clés avec journaux d’audit, idéalement un coffre matériel pour les charges sensibles.
Intégrité
L’intégrité couvre à la fois les données et les systèmes qui les traitent. Les prestataires doivent démontrer que les données ne peuvent pas être altérées silencieusement en stockage ou en transit, et que les changements systèmes passent par un processus documenté. Contrôles pratiques :
- Contraintes d’intégrité au niveau base et checksums cryptographiques pour les objets à forte valeur.
- Gestion du changement avec revue par les pairs, versionnage et capacité de rollback.
- Infrastructure-as-code pour des environnements reproductibles.
- Tests d’intégrité des sauvegardes (exercices de restauration) au moins chaque trimestre.
Disponibilité
La disponibilité est l’endroit où l’ARPCE recoupe le plus clairement la protection du consommateur. Un hébergeur qui chute régulièrement fait défaut à ses clients, mais aussi au régulateur. Contrôles attendus :
- SLA documentés et crédits de service alignés sur les données de supervision réelles.
- Architecture redondante entre domaines de défaillance (énergie, réseau, stockage).
- Plans de reprise d’activité testés avec RPO et RTO définis.
- Planification capacitaire qui anticipe la croissance plutôt que de la poursuivre.
Licences et écosystème
Un opérateur d’hébergement cloud ou de stockage de données en Algérie doit être autorisé par l’ARPCE. Les frais de gestion du dossier pour une licence cloud computing sont fixés à 28 000 DZD hors taxes, selon le barème publié par l’ARPCE. Obtenir l’autorisation suppose de démontrer que l’opérateur peut tenir les règles d’hébergement — pas seulement payer les frais.
Pour une startup SaaS qui ne veut pas opérer sa propre pile d’hébergement, la voie pragmatique est de s’asseoir sur un prestataire autorisé ARPCE :
- ISAAL, AYRADE, eBS, ADEX Cloud — quatre prestataires locaux listés dans l’écosystème ARPCE. AYRADE DC 1 à Rahmania (Alger) figure parmi les datacenters privés les plus établis, avec plus de 1 000 entreprises hébergées.
- Les contrats avec ces prestataires devraient inclure les contrôles de sécurité et de disponibilité ci-dessus en annexes contractuelles, et non en engagements verbaux.
- Les fondateurs SaaS restent responsables de la couche applicative, même quand l’infrastructure est sous-traitée — les régulateurs regarderont toujours l’expérience client de bout en bout.
Publicité
Intégrer les attentes ARPCE avec la protection des données
Le cadre amendé de protection des données (Loi 18-07 amendée par la Loi 25-11) fonctionne par-dessus la couche ARPCE. Comme le résument le guide CMS sur l’Algérie et le guide CookieYes, un SaaS ou hébergeur conforme doit combiner les deux régimes :
- Cartographier les contrôles d’hébergement face aux attentes ARPCE (triade CIA, licence).
- Cartographier les traitements face aux obligations de la Loi 25-11 (registre, DPO, AIPD, notification).
- Aligner les contrats clients : un contrat d’hébergement doit nommer le sous-traitant, préciser les finalités et inclure une clause de notification des violations.
- Pour les transferts transfrontaliers, documenter la base légale et appliquer des garanties — l’ensemble cadre ARPCE + discussions résidence des données fait de l’hébergement local la voie la plus simple pour la donnée client algérienne dans la plupart des cas.
Un cadre de préparation en quatre étapes pour les fondateurs SaaS algériens
La triade CIA établit les attentes techniques de l’ARPCE, mais les fondateurs doivent aussi séquencer leur travail de conformité correctement. Les étapes ci-dessous s’enchaînent : sauter l’étape deux en complétant l’étape trois crée des lacunes qui remontent lors des négociations contractuelles ou des contrôles réglementaires.
Étape 1 : Décider du chemin d’autorisation tôt
La licence de cloud computing ARPCE nécessite des frais de gestion de dossier de 28 000 DZD hors taxes, mais les frais sont la moindre partie de la décision. La question de fond est de savoir si détenir l’autorisation directement — avec pleine responsabilité des contrôles CIA, de l’uptime et de la notification des violations — ou construire sur un prestataire certifié (ISAAL, AYRADE, eBS, ADEX Cloud) et hériter de leur conformité couche infrastructure. Pour une startup SaaS de moins de dix ingénieurs, construire sur un prestataire autorisé est presque toujours le bon chemin : cela délègue les obligations d’hébergement à un spécialiste et laisse l’équipe ingénierie se concentrer sur la sécurité de la couche applicative et la conformité Loi 25-11. Cette décision doit être prise avant que le premier client enterprise demande la documentation de conformité — pas après.
Étape 2 : Intégrer les contrôles ARPCE et les obligations Loi 25-11 sur une seule piste
Le cadre de protection des données (Loi 18-07 amendée par la Loi 25-11) et le cadre d’hébergement ARPCE ne sont pas deux pistes de conformité séparées — ils se recoupent à chaque point où le produit SaaS traite des données personnelles. Un DPO (ou DPO externe partagé), un Registre des Activités de Traitement et une AIPD pour les traitements à risque élevé sont des exigences de la Loi 25-11 ; le chiffrement au repos, les journaux de contrôle d’accès et la notification des incidents sont des contrôles CIA alignés sur l’ARPCE. Les traiter séparément double la charge de documentation. L’approche propre est un registre de conformité unique qui mappe chaque contrôle à la fois sur sa base ARPCE et sa base Loi 25-11, afin que les questionnaires de due diligence clients, les audits de sécurité et les demandes du régulateur puissent être traités depuis une seule source de vérité.
Étape 3 : Tester la reprise d’activité avant la signature de tout contrat enterprise
Les attentes de disponibilité de l’ARPCE incluent des plans de reprise d’activité testés avec des objectifs RPO et RTO définis. Pour la plupart des fondateurs SaaS algériens, c’est le contrôle le plus souvent documenté et le moins souvent testé. Un RPO de quatre heures et un RTO de huit heures ne signifient rien si la procédure de restauration n’a jamais été exécutée dans des conditions équivalentes à la production. Lancez au moins un exercice de restauration complet — du backup à l’état opérationnel, sur un jeu de données équivalent production — avant de soumettre une déclaration de conformité à un client enterprise. Le résultat de l’exercice (temps de restauration, données vérifiées, lacunes identifiées) doit être consigné par écrit. Les équipes procurement enterprise dans les secteurs banque, telco et industrie commencent à demander spécifiquement les journaux d’exercice plutôt qu’accepter un objectif RPO/RTO déclaré.
Checklist de conformité pour fondateur
Pour un fondateur SaaS ou un hébergeur algérien qui prépare 2026, les actions concrètes sont :
- [ ] Décider de détenir une autorisation ARPCE en direct ou de bâtir sur un prestataire autorisé (ISAAL, AYRADE, eBS, ADEX Cloud, etc.).
- [ ] Documenter les contrôles CIA que le produit implémente et ceux hérités du prestataire sous-jacent.
- [ ] Désigner un DPO (ou un DPO externe partagé) et un Registre des Activités de Traitement aligné sur la Loi 25-11.
- [ ] Implémenter stockage chiffré, TLS par défaut et moindre privilège dans tous les environnements.
- [ ] Mener au moins un exercice de reprise d’activité par an, avec RPO/RTO documentés.
- [ ] Inclure des clauses ARPCE-pertinentes (confidentialité, coopération avec les autorités, traitement des données) dans tout contrat client et sous-traitant.
- [ ] Suivre les flux transfrontaliers et documenter la base légale de chacun.
- [ ] Rejoindre les associations professionnelles et suivre les publications de l’ARPCE et de l’ANPDP — beaucoup de règles sont précisées par la doctrine plus que par de nouveaux textes.
Questions Fréquemment Posées
Ai-je besoin d’une licence ARPCE pour vendre du SaaS en Algérie ?
Si votre SaaS tourne sur une infrastructure que vous opérez comme activité d’hébergement ou de stockage, vous avez probablement besoin de détenir ou de vous adosser à une autorisation ARPCE. Si vous ne fournissez qu’une fonctionnalité applicative au-dessus d’un hébergeur déjà autorisé, la licence d’hébergement reste côté prestataire, mais votre SaaS doit quand même respecter les obligations de la Loi 25-11.
Quels prestataires cloud algériens sont certifiés ARPCE ?
L’ARPCE a autorisé plusieurs opérateurs de datacenter locaux — notamment ISAAL, AYRADE, eBS et ADEX Cloud — à offrir hébergement et services cloud. La liste peut évoluer, il faut donc consulter la publication ARPCE actuelle avant de s’engager.
Comment les directives cloud ARPCE interagissent-elles avec la loi algérienne sur la protection des données ?
L’ARPCE se concentre sur la sécurité et la disponibilité des services d’hébergement et des communications électroniques, tandis que la Loi 18-07 (amendée par la Loi 25-11) régit le traitement des données personnelles. Quand un SaaS ou hébergeur manipule des données personnelles, les deux cadres s’appliquent en même temps : contrôles alignés ARPCE, plus responsabilité, DPO, AIPD et notification de la Loi 25-11.
