# Protection des données régionales et conformité

Comment Cyber Crucible favorise la conformité aux lois sur la protection des données dans le Golfe, en Afrique, en Europe et au-delà — rôles de responsable du traitement et de sous-traitant, transferts transfrontaliers, résidence des données, données sensibles et représentation locale.

# Pourquoi tant de lois nationales sur la protection des données demandent-elles les mêmes choses ?

**Réponse courte :** Parce que la plupart des lois modernes sur la protection des données s'inspirent du même cadre. Qu'il s'agisse de la PDPL saoudienne, des Émirats arabes unis, de Bahreïn, du Qatar, d'Oman, du Kenya, du Nigéria, de l'Afrique du Sud ou du RGPD de l'UE, elles convergent vers les mêmes exigences fondamentales : ne collecter que le nécessaire, sécuriser les données, faire preuve de transparence, définir les rôles de responsable du traitement et de sous-traitant, et contrôler les mouvements transfrontaliers.

## La structure commune

Presque tous les régimes de cette famille posent les cinq mêmes questions :

1. **Quelle est votre base légale** pour le traitement des données personnelles ?
2. **Quel est le minimum que vous pouvez collecter** tout en atteignant l'objectif visé ? (minimisation des données)
3. **Comment ces données sont-elles sécurisées** — sur le plan technique, contractuel, organisationnel ?
4. **Qui est le responsable du traitement et qui est le sous-traitant**, et cela est-il consigné par écrit ?
5. **Où vont ces données**, et quelles garanties encadrent tout transfert au-delà d'une frontière ?

Le vocabulaire et les seuils diffèrent. L'architecture nécessaire pour bien répondre à ces questions, non.

## Pourquoi cela concerne un produit de sécurité

La plupart des outils de sécurité génèrent un travail de conformité parce qu'ils transmettent en continu des données de télémétrie des points de terminaison — incluant souvent des informations de compte et des artefacts de fichiers — vers un cloud fournisseur situé dans une autre juridiction. Il s'agit d'un transfert transfrontalier permanent qu'il faut justifier, documenter et défendre dans chacun de ces régimes.

La réponse de Cyber Crucible est structurelle plutôt que procédurale :

- **Le contenu, les identifiants, les clés et les jetons ne sont jamais collectés**, de sorte que les catégories les plus à risque sont absentes par conception.
- **L'analyse s'effectue localement sur le point de terminaison**, si bien que la protection ne nécessite aucun déplacement de données.
- **Le déploiement peut être entièrement isolé (air-gapped)**, ne produisant aucune télémétrie sortante — ce qui signifie qu'il n'y a même pas de transfert à évaluer.

Ce dernier point est essentiel. La majeure partie des difficultés de conformité dans cette catégorie provient des flux transfrontaliers. Un produit capable de fonctionner sans aucune télémétrie sortante **élimine la question plutôt que d'y répondre**.

> **Ceci ne constitue pas un conseil juridique.** Ces pages décrivent la manière dont le produit est conçu pour vous aider à respecter vos obligations. Le droit de la protection des données évolue, et plusieurs des régimes mentionnés ci-dessous font encore l'objet de réglementations en cours d'élaboration. Vérifiez les exigences en vigueur auprès de votre propre conseil juridique et de votre délégué à la protection des données (DPO).

# Quels pays du Golfe disposent de lois sur la protection des données, et en quoi diffèrent-elles ?

**Réponse courte :** Cinq des six États du CCG disposent désormais de lois complètes sur la protection des données — l'Arabie saoudite, les Émirats arabes unis, Bahreïn, le Qatar et Oman. Le Koweït fait exception, adoptant à la place une approche sectorielle. Elles diffèrent principalement sur la rigueur du consentement, la préférence en matière de localisation, et le mécanisme de transfert.

## Le tableau régional

| Juridiction | Statut | Caractéristique distinctive |
|---|---|---|
| **Arabie saoudite** | PDPL en vigueur (pleinement effective depuis septembre 2024) | Préférence de localisation la plus forte ; SCC approuvées par la SDAIA |
| **Émirats arabes unis** | Décret-loi fédéral 45/2021 | Bases légales de type RGPD ; le DIFC et l'ADGM appliquent des régimes distincts |
| **Bahreïn** | En vigueur depuis 2019 | Fortement inspiré du RGPD ; portée extraterritoriale ; application mature |
| **Qatar** | En vigueur depuis 2017 | Le plus ancien de la région ; davantage centré sur le consentement |
| **Oman** | Pleinement effectif le **5 février 2026** | Reflète les principes du RGPD ; fin de la période de grâce |
| **Koweït** | Pas de loi complète | Uniquement sectoriel — réglementation du CITRA pour les télécommunications et les technologies de l'information |

Statut au moment de la rédaction ; à confirmer auprès d'un conseil juridique local.

## L'axe le plus déterminant

Deux variables distinguent ces régimes en pratique :

- **Rigueur du consentement.** Le Qatar et l'Arabie saoudite privilégient une approche centrée sur le consentement. Les Émirats arabes unis autorisent un ensemble plus large de bases légales, se rapprochant du RGPD.
- **Préférence en matière de localisation.** L'Arabie saoudite est la plus stricte ; les Émirats arabes unis et le Qatar adoptent une approche davantage fondée sur le risque et axée sur les garanties.

## Pourquoi une seule architecture répond aux six régimes

Ces régimes divergent sur le mécanisme mais convergent sur le fond : collecter le minimum, le sécuriser, et contrôler sa destination.

Étant donné que Cyber Crucible ne collecte jamais de clés, d'identifiants, de jetons ou de contenu, et peut fonctionner en environnement isolé (air-gapped) avec une télémétrie sortante nulle, la réponse à la question « quelles données personnelles ce fournisseur détient-il, et où vont-elles ? » est brève dans chacun de ces régimes. Répondre aux exigences les plus strictes — celles de l'Arabie saoudite — couvre le reste.

**Oman constitue la priorité à court terme** pour quiconque n'a pas encore examiné son infrastructure, compte tenu de l'échéance de février 2026.

> Le détail par pays figure dans les **Guides de conformité par pays**.

# Comment les lois africaines sur la protection des données influencent-elles la sélection des fournisseurs de sécurité ?

**Réponse courte :** La plupart des juridictions africaines restreignent le transfert transfrontalier, et plusieurs vont plus loin avec une localisation stricte des données — le Nigeria et la Zambie exigent que les données personnelles soient stockées sur le territoire national. Cela exclut structurellement les outils de sécurité dépendants du cloud, et non de manière contractuelle.

## Le tableau régional

| Juridiction | Cadre réglementaire | Position sur la sortie des données du pays |
|---|---|---|
| **Nigeria** | Data Protection Act 2023 | **Localisation** — les données personnelles des citoyens doivent être stockées au Nigeria |
| **Zambie** | Data Protection Act, Partie X | **Localisation** — la Section 70 exige un stockage sur un serveur situé en Zambie |
| **Kenya** | Data Protection Act 2019 | Transfert restreint ; les données sensibles nécessitent un consentement **et** des garanties |
| **Afrique du Sud** | POPIA (2013) | Consentement, ou destination offrant une protection substantiellement similaire |
| **Égypte** | Loi sur la protection des données | **Approbation préalable** requise pour le transfert |
| **Rwanda** | Loi supervisée par la NCSA | Localisation sectorielle — les banques doivent conserver leurs données principales au Rwanda |
| **Ghana** | Cadre de protection des données | Exception notable — aucune condition supplémentaire pour les transferts transfrontaliers |
| **Maroc** | Loi 09-08 + Décret 2-09-165 | Supervisée par la CNDP ; régime établi |
| **Libye** | Pas encore de cadre complet | La souveraineté relève d'une décision commerciale plutôt que juridique |

Statut au moment de la rédaction ; à confirmer auprès d'un conseil juridique local.

## Le schéma à comprendre

Trois modèles distincts apparaissent, et ils exigent des choses différentes de la part d'un fournisseur :

1. **Obligations de localisation du stockage** (Nigeria, Zambie ; Rwanda pour le secteur bancaire). Les contrats et le chiffrement ne satisfont pas ces exigences — seul l'emplacement physique des données compte.
2. **Transfert conditionnel** (Kenya, Afrique du Sud). Autorisé avec des garanties, un consentement ou une adéquation — une évaluation que vous devez pouvoir justifier.
3. **Transfert soumis à autorisation** (Égypte). Approbation préalable, avec des risques liés aux délais et au renouvellement.

Les règles sectorielles ajoutent fréquemment une localisation supplémentaire, en particulier dans les services financiers.

## Pourquoi cela favorise une architecture de traitement local

Un produit de sécurité conçu pour envoyer la télémétrie des points de terminaison vers le cloud d'un fournisseur exporte, par conception, des données personnelles comme condition de fonctionnement. Dans le cadre du modèle 1, cela est insoluble.

Cyber Crucible analyse au niveau du point de terminaison et peut fonctionner entièrement sur site, sans télémétrie sortante — ainsi, les données ne quittent jamais le site, et la question du transfert ne se pose jamais.

> Le détail par pays figure dans les **Guides de conformité par pays**.

# Qu'est-ce qui s'applique en Europe et au Royaume-Uni ?

**Réponse courte :** le RGPD de l'UE et le UK GDPR, qui suivent des trajectoires très proches. Les contrôles pratiques sont identiques ; la principale divergence porte sur l'instrument qui encadre les transferts internationaux — les clauses contractuelles types (SCC) de l'UE par rapport à l'IDTA ou à l'Addendum du Royaume-Uni.

## Les deux régimes

| | RGPD de l'UE | UK GDPR + DPA 2018 |
|---|---|---|
| **Autorité de contrôle** | Autorités nationales de protection des données (DPA) / CEPD | Information Commissioner's Office (ICO) |
| **Instrument de transfert** | Clauses contractuelles types de l'UE (SCC) | International Data Transfer Agreement, ou Addendum britannique aux SCC de l'UE |
| **Principes, bases légales, obligations des sous-traitants** | Substantiellement identiques | Substantiellement identiques |

## Ce que cela signifie en pratique

Les organisations opérant dans les deux juridictions doivent satisfaire aux deux régimes, mais les contrôles sous-jacents se recoupent presque entièrement. Le travail d'évaluation des fournisseurs réalisé pour l'un s'applique à l'autre, moyennant le remplacement de l'instrument de transfert.

## Pourquoi les autres régimes de ce guide comptent également ici

Le RGPD est le modèle sur lequel se sont fondées la plupart des nouvelles lois de protection des données dans le monde. Bahreïn et Oman le reproduisent fidèlement ; le Kenya, le Nigeria et l'Afrique du Sud en empruntent la structure. Le travail effectué pour se conformer au RGPD est rarement perdu ailleurs — c'est pourquoi les organisations opérant sur plusieurs de ces marchés évaluent généralement leurs fournisseurs par rapport au régime applicable le plus strict plutôt que séparément pour chacun.

> Le détail par pays figure dans les **Guides de conformité par pays**.

# Cyber Crucible est-il un responsable du traitement ou un sous-traitant des données ?

**Réponse courte :** Dans la plupart des missions, Cyber Crucible agit en tant que **sous-traitant des données** pour le compte du client, qui est le responsable du traitement. Le client détermine les finalités et les moyens du traitement ; Cyber Crucible ne traite les données que sur les instructions documentées du responsable du traitement, dans le cadre d'un accord de traitement des données (DPA) écrit.

## Pourquoi cette distinction est importante

Presque tous les régimes de cette famille — PDPL, GDPR, et leurs dérivés — répartissent les obligations selon les rôles. Les responsables du traitement décident pourquoi et comment les données sont traitées, et assument les devoirs les plus lourds : informer les personnes concernées, traiter les demandes relatives aux droits, et dans certains cas l'enregistrement.

Les sous-traitants doivent suivre des instructions licites et protéger les données. Selon la PDPL, un sous-traitant qui utiliserait les données au-delà des instructions du responsable du traitement serait lui-même considéré comme un responsable du traitement — c'est pourquoi le périmètre est défini contractuellement plutôt que laissé à l'interprétation.

## En pratique

Cyber Crucible opère dans le cadre d'un DPA écrit ou d'un accord de service précisant le périmètre du traitement, et ne détourne ni ne conserve les données en dehors de ces instructions.

Étant normalement un sous-traitant, les obligations propres au responsable du traitement vous incombent : informer les personnes concernées du traitement, répondre aux demandes relatives aux droits, et autres obligations similaires.

## L'exception

Ce n'est que si Cyber Crucible traitait des données personnelles pour ses propres finalités qu'il serait considéré comme responsable du traitement, et il assumerait alors l'ensemble des obligations d'un responsable du traitement, y compris l'enregistrement et le consentement le cas échéant. Ce n'est pas le modèle opérationnel en vigueur.

# Comment les transferts transfrontaliers de données sont-ils gérés ?

**Réponse courte :** Via le mécanisme reconnu par chaque juridiction — des Clauses Contractuelles Types approuvées par la SDAIA pour les données saoudiennes, des garanties contractuelles équivalentes ailleurs — appuyées par une évaluation des risques de transfert (Transfer Risk Assessment) réalisée. Ou évité entièrement, en déployant de sorte qu'aucune donnée ne franchisse une frontière.

## La voie contractuelle

Pour les données à caractère personnel d'origine saoudienne, Cyber Crucible utilise les CCT pré-approuvées par la SDAIA, adoptées sans modification hormis les champs requis, intégrées aux accords clients ou aux DPA, et étendues à tout transfert ultérieur vers un sous-traitant.

D'autres régimes reconnaissent des mécanismes comparables — décisions d'adéquation, clauses types, ou consentement assorti de garanties. L'exigence commune est que l'importateur soit contractuellement tenu à des protections équivalentes à celles du droit du pays exportateur.

## L'évaluation des risques de transfert (Transfer Risk Assessment)

Lorsque le transfert repose sur des garanties telles que les CCT, ou implique des données sensibles, une évaluation des risques est généralement requise. Cyber Crucible a réalisé une TRA évaluant la nature des flux de données, le régime juridique du pays de destination, les contrôles techniques et organisationnels en place, ainsi que les risques résiduels — avec des mesures d'atténuation documentées incluant la minimisation des données, le chiffrement, les clauses contractuelles et la gestion des incidents.

## La voie architecturale

Les mécanismes contractuels encadrent un transfert. Ne pas transférer le supprime.

- **Sur site, en air gap (air-gapped)** — zéro télémétrie sortante, donc aucun transfert n'a lieu.
- **Hébergement régional (staging)** — infrastructure positionnée pour maintenir le traitement au sein de votre juridiction.

Pour les régimes imposant des exigences de localisation — le Nigéria étant l'exemple le plus clair — c'est souvent la seule réponse nette.

> Documentation disponible auprès de **dpo@cybercrucible.com**.

# Cyber Crucible collecte-t-il des données personnelles sensibles ?

**Réponse courte :** Non. Cyber Crucible ne collecte pas les catégories que ces lois définissent comme sensibles — données biométriques, de santé ou génétiques, ou données révélant l'origine raciale ou ethnique, les convictions religieuses ou les opinions politiques. La télémétrie se concentre sur le comportement du système et les événements de sécurité, et non sur les attributs personnels.

## Pourquoi cette catégorie ne se pose pas

La fonction du logiciel est de déterminer si un *programme* se comporte de manière malveillante. Rien dans cette tâche ne nécessite de connaître quoi que ce soit sur une *personne*. Les données personnelles sensibles n'ont aucun rôle dans la logique de détection ; elles ne sont donc pas collectées.

## Pourquoi cela importe de manière disproportionnée

Les données sensibles font généralement l'objet du traitement le plus strict dans chaque régime réglementaire — consentement explicite, garanties supplémentaires, évaluation des risques obligatoire avant tout transfert, et dans certaines juridictions, des obligations d'enregistrement qui ne s'appliqueraient pas autrement.

Le Kenya, par exemple, n'autorise le transfert de données personnelles sensibles que lorsque la personne concernée a donné son consentement **et** que des garanties appropriées existent. Un fournisseur qui ne collecte jamais de données sensibles vous permet d'éviter entièrement cette contrainte.

## Minimisation des données

Seules les données personnelles strictement nécessaires à la finalité de sécurité sont collectées. Les clients peuvent en outre personnaliser les sources de télémétrie collectées, et les champs non essentiels à la détection des menaces sont exclus ou rapidement supprimés.

# Quelles mesures de protection protègent les données personnelles traitées par Cyber Crucible ?

**Réponse courte :** Chiffrement en transit et au repos, pseudonymisation des identifiants lorsque cela est possible, contrôle d'accès basé sur les rôles, gestion des clés avec rotation, journalisation d'audit et analyses de vulnérabilités régulières — le tout appuyé par des clauses contractuelles dans les DPA clients et un programme interne de sécurité de l'information.

## Technique

- Données personnelles chiffrées **en transit** (TLS 1.3) et **au repos**.
- Chiffrement JSON Web Encryption par agent des charges utiles opérationnelles, utilisant des paires de clés uniques.
- Identifiants sensibles pseudonymisés ou anonymisés dans la mesure du possible.
- Accès contrôlé via l'authentification et des autorisations basées sur les rôles.
- Politiques de gestion des clés cryptographiques garantissant que les clés sont stockées en toute sécurité et régulièrement renouvelées.
- Journalisation et audit des accès et des actions administratives afin de détecter toute activité non autorisée.
- Analyses de vulnérabilités et tests de sécurité réguliers.

## Contractuel

Les contrats clients et les DPA incluent des clauses relatives à la sécurité des données, à la confidentialité et à la notification des violations. Les sous-traitants ne sont engagés que dans le cadre d'accords écrits imposant des protections équivalentes. Les employés et prestataires sont liés par des accords de non-divulgation mutuels.

## Organisationnel

Un programme de gestion de la sécurité de l'information régit la conformité continue, avec une formation de sensibilisation à la sécurité pour le personnel concerné, une réponse aux incidents documentée, des procédures de conservation et de suppression des données, ainsi que des audits internes périodiques.

## À propos des certifications — en toute transparence

Le programme de sécurité de Cyber Crucible est **aligné avec** des référentiels reconnus de l'industrie. **Cyber Crucible ne détient actuellement aucune certification ISO 27001 ou SOC 2, et aucune certification n'est prévue à ce jour.**

L'alignement signifie que les contrôles suivent les pratiques décrites par ces référentiels. Cela ne signifie pas qu'un auditeur externe les a évalués et certifiés, et cela ne doit pas être présenté ainsi dans votre propre documentation de conformité. Si votre processus d'achat exige des preuves certifiées, cette exigence n'est pas satisfaite à ce jour — contactez **dpo@cybercrucible.com** pour discuter de la documentation disponible.

# Dois-je désigner un représentant local ?

**Réponse courte :** En général, c'est votre organisation qui doit le faire, et non Cyber Crucible. Plusieurs régimes exigent que les entités situées hors du pays qui traitent les données personnelles des résidents désignent un représentant local — et comme Cyber Crucible agit normalement en tant que sous-traitant, cette obligation vous incombe en tant que responsable du traitement.

## Comment se répartissent les rôles

- **Cyber Crucible en tant que sous-traitant (cas normal) :** c'est vous, en tant que responsable du traitement, qui désignez le représentant local. Cyber Crucible coopère pleinement avec les obligations de conformité locales.
- **Cyber Crucible en tant que responsable du traitement (cas inhabituel) :** si Cyber Crucible traitait des données personnelles pour ses propres finalités, elle fournirait un représentant local dans la juridiction concernée.

L'article 33 de la PDPL saoudienne constitue l'exemple le plus clair de cette exigence, mais des dispositions similaires apparaissent dans l'ensemble de la famille de textes dérivés du RGPD.

## À propos de l'enregistrement des responsables du traitement

Certains régimes exigent que certains responsables du traitement s'enregistrent auprès de l'autorité de contrôle — généralement les organismes publics, les entités dont l'activité principale consiste à traiter des données personnelles, ou celles qui traitent des données sensibles à haut risque.

L'activité principale de Cyber Crucible est le logiciel de cybersécurité plutôt que le traitement général de données personnelles, elle n'entre donc pas dans ces catégories. Les règles d'enregistrement sont surveillées et la conformité serait mise en œuvre si le rôle ou les activités venaient à changer.

# Comment demander la documentation de conformité ?

**Réponse courte :** Contactez le délégué à la protection des données (Data Protection Officer) à l'adresse **dpo@cybercrucible.com**. La documentation disponible comprend les clauses contractuelles types, l'évaluation des risques de transfert (Transfer Risk Assessment), les accords de traitement des données et la politique de gouvernance des données — fournis sous réserve de mesures de confidentialité raisonnables.

## Ce que vous pouvez demander

- **Clauses contractuelles types** — y compris les clauses préapprouvées par la SDAIA pour les transferts saoudiens.
- **Évaluation des risques de transfert** — la TRA complétée couvrant les flux de données, le régime juridique de destination, les contrôles et les mesures d'atténuation.
- **Accord de traitement des données** — définissant le périmètre du traitement, les conditions de sécurité, la confidentialité et la notification des violations.
- **Politique de gouvernance et de partage des données** — limites de collecte, protections en transit et engagements de non-partage avec des tiers.

## Ce qu'il faut inclure dans votre demande

Il est très utile de préciser votre juridiction, si vous agissez en tant que responsable du traitement, quel modèle de déploiement vous évaluez (isolé du réseau, régional ou hybride), et ce que votre propre régulateur ou auditeur exige.

## Pour les juridictions non couvertes ici

Les régimes décrits dans ce document sont ceux les plus fréquemment demandés. Si le vôtre n'y figure pas, les réponses sous-jacentes sont généralement les mêmes — collecte minimale, traitement local et options de déploiement dans le pays. Contactez le DPO en précisant l'exigence spécifique, et elle pourra être traitée directement.