Conformité.

Lorsque CyberListen opère depuis le Royaume, ces pages suivent le droit du Royaume.

Un régime étranger ne s’applique que lorsque ses propres règles le disent. L’Arrangement de Wassenaar ne lie pas, à lui seul, une société saoudienne. Le règlement américain ITAR ne s’attache pas à chaque ligne de code écrite à Riyad. Quand nous adoptons une règle, nous disons que c’est la nôtre. Quand la compétence américaine s’attache vraiment, la conformité est un devoir légal.

Un certificat est un document d’une autorité. Rien sur ce site n’est ce document.

Les données personnelles sont régies par la loi de protection des données personnelles, décret royal n° M/19 du 9/2/1443 H, modifié par le décret royal n° M/148 du 5/9/1444 H, les règlements d’application, et le règlement sur le transfert hors du Royaume. L’autorité compétente est la SDAIA.

Les règles pratiques sont sur la page Confidentialité. En bref : réduire, ne pas traiter une destination comme adéquate tant que la SDAIA ne l’a pas listée. Lorsqu’une garantie est exigée, elle doit être une garantie que le règlement de transfert reconnaît.

La loi de lutte contre la cybercriminalité, décret royal n° M/17 du 8/3/1428 H (26 mars 2007), est une limite dure. Nous ne développons, ne fournissons ni n’assistons un outil dont le but est un accès non autorisé ou une autre conduite que cette loi incrimine.

« Forces de l’ordre » n’est pas, à soi seul, une autorité. Le client a besoin d’une base légale pour les informations précises et le système précis. Si cela ne peut pas être dit, nous déclinons.

L’Autorité nationale de cybersécurité est l’autorité nationale. Ses textes ne s’appliquent pas tous à chaque société privée.

Pour notre propre exploitation, nous visons un socle proportionné aux contrôles de cybersécurité pour les entités privées hors infrastructures nationales critiques (NCNICC-1:2025). Nommer cet instrument n’est pas un certificat, et ce n’est pas une affirmation que l’Autorité nous a évalués.

Lorsqu’un client ou un système entre dans le champ d’un texte national, ce texte est nommé dans le contrat. Ceux que nous nous attendons à rencontrer sont les contrôles essentiels (ECC-2:2024) et, lorsque leur propre champ est rempli, les contrôles sur les systèmes critiques, les données et le cloud.

Ce site n’est pas un cloud public au sens du cadre de la Commission des communications, de l’espace et des technologies. Si une mission héberge des données d’administrations ou classifiées, le lieu, la classification et tout contrôle CST ou NCA sont écrits dans le contrat.

Le Royaume ne publie pas une liste duale unique qui copierait les listes de Wassenaar. Les contrôles existent, mais ils sont organisés par marchandise et par autorité.

La loi sur les armes et les munitions, décret royal n° M/45 du 25/7/1426 H (30 août 2005), et les règlements du ministère de l’Intérieur, régissent les armes et les munitions. Ce n’est pas une loi générale d’exportation de logiciels. Le Royaume a aussi notifié à l’Organisation mondiale du commerce une restriction à l’exportation de certaines armes et munitions (G/MA/QR/N/SAU/2, 24 octobre 2024), administrée par le ministère de l’Intérieur.

Les contrôles douaniers s’appliquent sous la loi douanière commune du CCG telle que mise en œuvre dans le Royaume, avec l’autorité zakat, taxe et douane. Nous respectons toute restriction qui touche un envoi ou une personne. Comme ces règles ne donnent pas à une société une liste logicielle de type Wassenaar, nous appliquons nous-mêmes les listes de Wassenaar. C’est un choix. Ce n’est pas une affirmation que le Royaume a édicté ces listes.

L’Arrangement de Wassenaar sur le contrôle des exportations d’armes classiques et de biens et technologies à double usage est volontaire entre ses États participants. La déclaration du président de la plénière du 4 décembre 2025 compte 42 États participants. L’Arabie saoudite n’en fait pas partie. L’Arrangement ne lie pas, par sa seule force, une société établie seulement dans le Royaume.

Nous nous lions quand même aux listes. Avant qu’un logiciel ou une technologie ne franchisse une frontière — par téléchargement, par accès distant, ou dans la tête de quelqu’un — nous le classons au regard de la liste des munitions et de la liste des biens et technologies à double usage en vigueur.

Cela comprend les transferts intangibles. La note générale sur la technologie contrôle la technologie requise pour le développement, la production ou l’utilisation d’un article listé, selon les termes de cette note. La note générale sur le logiciel est une exclusion : elle écarte du contrôle dual le logiciel généralement disponible au public, ou tombé dans le domaine public. Elle n’impose pas elle-même un contrôle. Nous ne traitons pas ces deux notes comme la même règle.

Le logiciel d’intrusion et la technologie associée relèvent de la catégorie 4. Les systèmes de surveillance des communications sur réseau IP relèvent de la catégorie 5, partie 1. Ce ne sont pas le même contrôle. Nous ne fournissons pas ces articles. Si un développement remplissait un paramètre listé, il ne serait pas transféré sans une autorisation de l’autorité compétente de l’État de départ. S’il n’existe pas une telle autorité, le transfert n’a pas lieu.

Un article non listé est quand même refusé si nous savons qu’il est destiné à un programme d’armes de destruction massive ou à un usage militaire que la loi de l’État exportateur interdit.

L’International Traffic in Arms Regulations, 22 CFR parties 120 à 130, est administré par la Directorate of Defense Trade Controls. Il contrôle les articles de défense de la United States Munitions List (22 CFR § 121.1), les données techniques et les services de défense. Une communication de données techniques à une personne étrangère peut être une exportation réputée.

L’ITAR n’est pas une loi saoudienne, et il ne s’attache pas à chaque produit saoudien. Il s’attache lorsque ses propres règles de compétence sont remplies.

L’Arabie saoudite a été désignée allié majeur non-OTAN (91 FR 3017, 13 janvier 2026), ce qui figure au 22 CFR § 120.23. Ce statut peut compter pour la politique d’octroi de licences. Ce n’est pas une licence, et ce n’est pas une exemption.

Lorsqu’un article ou un service de défense est soumis à l’ITAR, nous ne l’exportons, ne le réexportons, ne le retransférons, ne le courtions ni ne le communiquons sans l’autorisation requise. Si une activité exigeait un enregistrement au titre du 22 CFR partie 122, elle ne commencerait pas sans cet enregistrement.

La plupart des contrôles américains de double usage issus de Wassenaar sont dans l’Export Administration Regulations, 15 CFR parties 730 à 774, administrées par le Bureau of Industry and Security. La Commerce Control List est le premier endroit où un article dual d’origine américaine se classe.

Des articles produits à l’étranger peuvent être soumis à l’EAR au titre des règles du produit direct étranger, ou lorsqu’ils contiennent plus qu’un niveau de minimis de contenu américain contrôlé. Nous l’évaluons avant une sortie transfrontière d’un développement qui incorpore, ou qui a été produit avec, une technologie d’origine américaine.

EAR99 n’est pas une permission d’expédier. Les sanctions et les règles d’usage final peuvent encore interdire le transfert.

Le partage que nous utilisons : s’il est sur la Munitions List, ITAR ; s’il est dual et soumis à la compétence américaine, EAR ; s’il n’est ni l’un ni l’autre, les listes de Wassenaar s’appliquent encore comme notre règle, et les règles saoudiennes sur les biens restreints s’appliquent comme loi.

Nous ne traitons pas avec une partie ou une destination lorsque les lois du Royaume l’interdisent, ou lorsqu’une sanction des Nations unies mise en œuvre dans le Royaume l’interdit. Lorsque la compétence américaine s’attache, nous respectons aussi les sanctions applicables de l’Office of Foreign Assets Control. Nous ne nous décrivons pas comme une US person pour une transaction qui ne touche jamais la compétence américaine.

Avant une sortie transfrontière, nous attendons l’utilisateur final, l’usage final et la destination, et nous filtrons les parties. Un signal d’alerte que nous ne pouvons pas lever arrête le transfert. Le personnel hors du Royaume ne reçoit pas de technologie contrôlée si le classement n’autorise pas cet accès précis.

Nous n’interceptons pas les communications et nous n’accédons pas à un système sans l’autorité du client. La collecte de journaux autorisée par le client, l’acquisition forensique et l’analyse de matière que le client a le droit de fournir sont des parties ordinaires des services. Nous ne fournissons pas de logiciel d’intrusion ni un système de surveillance de réseau IP qui remplit un paramètre listé, sauf lorsque l’autorité compétente de l’État exportateur a réellement autorisé ce transfert. Nous ne communiquons pas de données techniques ITAR ni un article contrôlé par l’EAR sans l’autorisation américaine que cet article exige. Nous n’expédions pas un bien que le ministère de l’Intérieur ou la douane a restreint, sans la licence que cette restriction exige. Nous n’acceptons pas un usage final auquel nous ne croyons pas.