Cyber Crucible est-il conforme à la loi POPIA d'Afrique du Sud ?
Réponse courte : Oui. La POPIA restreint les transferts transfrontaliers, sauf si la destination offre une protection substantiellement similaire ou si la personne concernée y consent. Cyber Crucible minimise dès le départ ce qui est traité, et peut être déployé de manière à ce qu'aucun transfert n'ait lieu.
Ce qu'exige la loi
La loi sud-africaine sur la protection des informations personnelles (Protection of Personal Information Act, 2013) interdit le transfert d'informations personnelles hors du pays sans le consentement de la personne concernée, sauf si la juridiction destinataire est soumise à une loi offrant une protection substantiellement similaire.
Ce qui s'applique spécifiquement ici
Le critère de « protection substantiellement similaire » constitue une évaluation que vous devez pouvoir justifier. Deux éléments simplifient cette évaluation :
- La portée est réduite. Les clés de chiffrement, les identifiants, les jetons de session et le contenu des fichiers ne sont jamais collectés. Ce qui reste est constitué de télémétrie comportementale, pseudonymisée lorsqu'elle pourrait permettre d'identifier une personne.
- Protections contractuelles — le traitement s'effectue dans le cadre d'un DPA écrit comprenant des clauses de sécurité, de confidentialité et de notification des violations, étendues à tout sous-traitant.
Ou éviter entièrement ce test
Le staging régional maintient le traitement en Afrique du Sud. Le déploiement en isolation complète (air-gapped) ne génère aucun flux sortant, auquel cas les dispositions relatives au transfert ne s'appliquent tout simplement pas — une voie généralement plus rapide que de démontrer l'adéquation.
Statut au moment de la rédaction — à confirmer auprès d'un conseil juridique local.