Le RGPD est le règlement de l’UE sur la protection des données et la vie privée (données personnelles).

Le règlement est intégré dans toutes les lois locales sur la vie privée dans l’ensemble de l’UE et de l’EEE. Il s’appliquera à toutes les entreprises qui vendent et stockent des informations personnelles sur les citoyens en Europe, y compris les entreprises sur d’autres continents. Il donne aux citoyens de l’UE et de l’EEE un contrôle accru sur leurs données personnelles et des assurances que leurs informations sont protégées à travers l’Europe.

Qu’est-ce qui compte comme données personnelles ?

Selon la directive RGPD, les données personnelles désignent toute information relative à une personne telle qu’un nom, une photo, une adresse e-mail, des détails bancaires, des mises à jour sur les sites réseaux sociaux, des détails de localisation, des informations médicales ou une adresse IP d’un ordinateur.

Qu’est-ce que cela signifie ?

Le RGPD impose plusieurs exigences qui bénéficient aux consommateurs en exigeant un meilleur contrôle et une plus grande transparence concernant les données personnelles collectées par les organisations. En même temps, il existe des amendes importantes pour les violations — jusqu’à 4 % du chiffre d’affaires mondial ou un maximum de 20 millions d’euros. Les différences importantes par rapport à l’ancienne politique de confidentialité sont qu’il inclut des termes beaucoup plus forts pour le consentement et les obligations pour les responsables du traitement et les collecteurs de données, où des termes contractuels obligatoires entre les parties sont requis.

Confidentialité par conception

GetAccept est conçu dès le départ pour intégrer les principes de protection des données et de confidentialité par conception (Privacy by Design).

Vos droits en vertu du RGPD

Le droit d’accès — cela signifie que les individus ont le droit de demander l’accès à leurs données personnelles et de demander comment leurs données sont utilisées par l’entreprise après leur collecte. L’entreprise doit fournir une copie des données personnelles, gratuitement et sous format électronique si demandé.

• Le droit d’être oublié — si les consommateurs ne sont plus clients, ou s’ils retirent leur consentement à l’utilisation de leurs données personnelles par une entreprise, ils ont le droit de faire supprimer leurs données.
• Le droit à la portabilité des données — Les individus ont le droit de transférer leurs données d’un prestataire de service à un autre. Et cela doit se faire dans un format couramment utilisé et lisible par machine.
• Le droit d’être informé — cela couvre toute collecte de données par les entreprises, et les individus doivent être informés avant que les données ne soient collectées. Les consommateurs doivent accepter que leurs données soient collectées, et le consentement doit être librement donné plutôt qu’impliqué.
• Le droit à ce que les informations soient corrigées — cela garantit que les individus peuvent voir leurs données mises à jour si elles sont obsolètes, incomplètes ou incorrectes.
• Le droit de restreindre le traitement — Les individus peuvent demander que leurs données ne soient pas utilisées pour le traitement. Leur enregistrement peut rester en place, mais ne pas être utilisé.
• Le droit d’opposer — cela comprend le droit des individus d’arrêter le traitement de leurs données pour le marketing direct. Il n’existe pas d’exemptions à cette règle, et tout traitement doit s’arrêter dès que la demande est reçue. De plus, ce droit doit être clairement indiqué aux individus dès le tout début de toute communication.
• Le droit d’être informé — En cas de violation de données qui compromet les données personnelles d’un individu, celui-ci a le droit d’être informé dans les 72 heures suivant la prise de connaissance de la brèche.

Accord de traitement des données (DPA)

Le RGPD énonce des exigences spécifiques pour les accords entre les contrôleurs de données et leurs sous-traitants qui traitent les données personnelles qu’ils contrôlent. Ces accords s’appellent accords de traitement des données et doivent toujours être gérés si des données sont partagées avec des tiers. Vous pouvez trouver le DPA standard de GetAccept ici.

Schrems II et les SCC

Le 16 juillet 2020, la Cour de justice de l’Union européenne (CJUE) dans son affaire « Schrems II » a modifié la façon dont les données peuvent être transférées vers un pays tiers en dehors de l’UE, invalidant le vieux bouclier de protection des données UE-US. Les clauses contractuelles-types (CCT) de la Commission sont valides comme mécanisme de transfert mais exigent des mesures de sécurité supplémentaires et des évaluations d’impact de transfert (voir ci-dessous). GetAccept dispose des dernières CCT avec tous les sous-traitants. Pour des informations plus détaillées sur les dernières initiatives et notre vue sur le sujet du transfert de données UE - US, veuillez nous contacter.

Évaluation de l’impact du transfert (TIA)

GetAccept a mené une évaluation de l’impact du transfert sur ses transferts de données. Pour obtenir une copie de notre évaluation, contactez-nous à legal@getaccept.com.

Informations de contact

Si vous avez des questions ou des suggestions concernant nos politiques ou pratiques, veuillez nous contacter à legal@getaccept.com. Nous sommes toujours heureux d’en discuter !

GetAccept est construit sur une infrastructure stable, redondante et évolutive, conçue pour garantir une disponibilité de 100 %. Nous disposons de sauvegardes, d’un chiffrement complet et effectuons des tests d’intrusion annuels afin de protéger les données contre toutes les menaces possibles. Aucun système n’est meilleur que les personnes qui le font fonctionner : c’est pourquoi nous offrons une formation régulière en sécurité à nos équipes et avons notamment mis en place une séparation des tâches ainsi que des principes d’accès selon le moindre privilège.

SOC 2

Le System and Organization Control (SOC) 2 est un rapport basé sur les normes du Auditing Standards Board de l’American Institute of Certified Public Accountants (AICPA) et sur les Trust Services Criteria (TSC). Ce rapport vise à évaluer les systèmes d’information d’une organisation en ce qui concerne la sécurité, la disponibilité, l’intégrité du traitement, la confidentialité et la protection de la vie privée.

GetAccept est soumis chaque année à un audit rigoureux réalisé par un cabinet tiers certifié et reconnu, afin d’évaluer la conformité de nos services à cette norme. L’auditeur analyse si les contrôles de conformité mis en place par GetAccept sont correctement conçus et s’ils fonctionnent efficacement.

Le dernier rapport SOC 2 Type 2 peut être obtenu en contactant notre support. Les clients potentiels peuvent contacter notre équipe commerciale pour plus d’informations.

Chiffrement et mesures de sécurité supplémentaires

Nous chiffrons les données en transit à l’aide d’ECDSA 256 (certificat SSL/TLS équivalent 3072 bits) et nous chiffrons les données au repos en utilisant la norme industrielle AES-256. En savoir plus sur les mesures de sécurité supplémentaires de GetAccept ici.

Stockage des données

GetAccept n’utilise que des sous-traitants de confiance et sélectionnés avec soin pour le stockage des données. Ces sous-traitants sont évalués en continu. En savoir plus sur les sous-traitants dans notre DPA.

Confidentialité

De manière générale, les informations personnelles que vous nous fournissez sont utilisées pour améliorer notre communication avec vous. GetAccept prend votre vie privée très au sérieux et ne partagera jamais vos informations personnelles avec des tiers, sauf selon les dispositions définies dans notre politique de confidentialité.
En savoir plus ici : Politique de confidentialité.

GetAccept vous fournit une solution de signature électronique juridiquement contraignante pour vos accords et contrats. GetAccept est conforme aux exigences de l’Electronic Signature in Global and National Commerce Act de 2000 (ESIGN) et de l’Uniform Electronic Transactions Act (UETA) aux États-Unis, ainsi qu’au règlement européen eIDAS (UE n°910/2014) concernant les signatures électroniques et les transmissions, ce qui rend les signatures électroniques rapides, simples et juridiquement valables.

Législation sur la signature électronique aux États-Unis

La solution de signature électronique de GetAccept aux États-Unis respecte la définition d’une signature électronique telle qu’établie par l’ESIGN Act et l’UETA.

Législation sur la signature électronique au Royaume-Uni

Au Royaume-Uni, l’équivalent de l’ESIGN Act est l’Electronic Communications Act 2000. La solution de signature électronique de GetAccept est conforme à la définition d’une signature électronique selon cette loi.

Réglementation de la signature électronique dans l’Union européenne

En 2014, le Parlement européen a créé un marché plus harmonisé pour les transactions électroniques avec le règlement (UE) n°910/2014 relatif à l’identification électronique et aux services de confiance pour les transactions électroniques (eIDAS). Les signatures électroniques sont largement utilisées en Europe, et les signatures électroniques de GetAccept sont conformes à eIDAS et aux normes techniques européennes en matière de signature électronique. Vous pouvez en lire davantage ci-dessous.

Authentification de la signature

GetAccept authentifie les signataires afin de garantir une transparence totale sur l’identité de chaque personne signant vos documents. Pour protéger tous les comptes GetAccept, les informations des utilisateurs sont transférées via un chiffrement SSL 256 bits, y compris les données sensibles comme les noms d’utilisateur et les mots de passe. GetAccept empêche également tout accès ou usage non autorisé de votre compte grâce à des expirations automatiques de session et des notifications par email à chaque fois qu’un contrat est envoyé, reçu ou signé via votre compte.

Apposition de la signature

Chaque signature est apposée au contrat. GetAccept crée une piste d’audit complète entre les parties signataires. Pour fournir cet historique, nous suivons et horodatons différentes informations depuis le moment où le document est soumis à signature jusqu’à sa signature complète et sécurisée.

Journal de preuves complet

Un journal de preuves complet est essentiel pour confirmer le choix d’un fournisseur de signatures électroniques. Chaque envoi possède un identifiant unique reflétant le contenu du document. GetAccept suit l’ensemble du processus et le compile dans un historique complet de chaque action effectuée sur le document. Les activités sont marquées par un horodatage certifié, une adresse email, une adresse IP et une localisation associée.

Journal de transactions recevable en justice

GetAccept génère une piste de transaction complète entre les parties signataires. Afin de fournir cet historique, nous suivons et horodatons diverses informations depuis la soumission du document jusqu’à sa signature finale, notamment les données IP et UserAgent. Pour éviter toute altération, le journal de transactions est sécurisé par une technologie de hachage. Cette piste d’audit constitue un journal de preuves complet pouvant être présenté en justice en cas de litige.

Signatures électroniques et eIDAS

eIDAS est un règlement de l’UE sur l’identification électronique et les services de confiance, applicable comme loi dans l’ensemble de l’Union européenne.

Identification électronique, authentification et services de confiance (eIDAS)

L’objectif du règlement eIDAS, lancé en 2014, est de faciliter les échanges commerciaux au sein de l’UE grâce à la transparence, la sécurité, la neutralité technologique, la coopération et l’interopérabilité. Pour ce faire, eIDAS :

• standardise l’usage de l’identification électronique (eID) ;

• définit une nouvelle catégorie de « services de confiance électroniques » (eTS) ;

• clarifie et garantit la validité juridique des signatures électroniques ;

• crée un marché intérieur européen des services de confiance.

Les différents niveaux de signature électronique

Le règlement eIDAS définit trois types de signatures électroniques : la signature électronique (de base), la signature électronique avancée et la signature électronique qualifiée. Selon eIDAS, une signature électronique est définie comme des « données sous forme électronique jointes ou associées logiquement à d’autres données électroniques et utilisées par le signataire pour signer ».

Signature électronique de base

Une signature électronique de base peut être tout type de signature réalisée dans un environnement électronique ou numérique, où le signataire manifeste son intention (par exemple en cliquant sur un bouton ou en cochant une case) d’être lié par le contenu du document.

La solution standard « click-to-sign » de GetAccept est considérée comme une signature électronique de base robuste et suffisante pour la plupart des accords commerciaux.

Signature électronique avancée (AdES)

Selon eIDAS, une signature électronique avancée doit répondre aux exigences suivantes :

• être liée de manière unique au signataire et permettre de l’identifier ;

• être créée de manière à garantir que le signataire en garde le contrôle ;

• être liée au document de façon à rendre toute modification ultérieure détectable.

Ces éléments d’identité, de contrôle et d’intégrité peuvent être garantis par différents moyens. Une eID reconnue assure une authentification fiable de l’identité du signataire dans l’environnement en ligne.

GetAccept propose plusieurs moyens de créer une signature électronique avancée, notamment via une eID ou une solution MFA.

Signature électronique qualifiée (QES)

Selon eIDAS, une « signature électronique qualifiée » est une signature électronique avancée créée à l’aide d’un dispositif de création de signature électronique qualifié et reposant sur un certificat qualifié.

L’utilisation d’une signature électronique qualifiée offre un niveau supplémentaire de confiance et une valeur juridique particulière reconnue par les tribunaux européens.

D’un point de vue juridique, une QES est considérée, dans l’UE, comme équivalente à une signature manuscrite (« wet ink »), et la charge de la preuve incombe à la partie contestant la signature.

Grâce à un partenariat externe, GetAccept peut proposer une intégration fluide de la QES dans le processus de signature dans la plupart des pays européens. Il convient toutefois de noter que la QES ajoute un niveau supplémentaire de sécurité, mais aussi de complexité et de coût.

Pour plus d’informations sur la QES, veuillez nous contacter.