Cyber Crucible est-il conforme à la loi PDPL de l'Arabie saoudite ?
Réponse courte : Cyber Crucible a examiné ses opérations au regard de la loi saoudienne sur la protection des données personnelles (PDPL), utilise des clauses contractuelles types (SCC) approuvées par la SDAIA pour tout transfert de données personnelles d'origine saoudienne, et peut être déployé entièrement à l'intérieur du Royaume sans aucun flux transfrontalier. Il ne collecte que des données de télémétrie système et de sécurité — jamais le contenu de fichiers, de documents, de courriels ou de communications.
Ce que la loi exige
La PDPL est entrée en vigueur le 14 septembre 2023, avec une période de grâce jusqu'au 14 septembre 2024. L'Arabie saoudite maintient l'une des préférences de localisation les plus strictes du Golfe, et la Saudi Data & AI Authority (SDAIA) en assure la supervision. Les transferts hors du Royaume nécessitent une garantie reconnue ainsi que, dans la plupart des cas, une évaluation des risques liés au transfert (Transfer Risk Assessment).
Ce qui s'applique spécifiquement ici
- Des SCC pré-approuvées par la SDAIA sont utilisées pour tout transfert de données personnelles d'origine saoudienne vers les États-Unis, adoptées sans modification hormis les champs requis, et étendues à tout sous-traitant ultérieur.
- Une évaluation des risques liés au transfert a été réalisée conformément aux directives structurées de la SDAIA — flux de données, régime juridique de destination, contrôles, risque résiduel, mesures d'atténuation documentées.
- Rôle de sous-traitant — Cyber Crucible agit normalement en tant que sous-traitant dans le cadre d'un accord de traitement des données (DPA) écrit ; le client saoudien est responsable du traitement.
- Représentant local au titre de l'article 33 — en tant que sous-traitant, cette obligation incombe à vous, en tant que responsable du traitement.
La solution la plus simple
Compte tenu de la préférence pour la localisation, le déploiement entièrement sur site et isolé (air-gapped) constitue la réponse la plus solide : toute la gestion du backend s'effectue au sein de vos propres baies physiquement sécurisées, sans aucune télémétrie sortante. Là où rien ne traverse la frontière, les obligations liées au transfert ne s'appliquent pas.
Les SCC et l'évaluation des risques liés au transfert (TRA) sont disponibles auprès de dpo@cybercrucible.com. Statut valable à la date de rédaction — veuillez confirmer les exigences en vigueur auprès de votre conseil juridique local.