Sécurité et conformité de niveau entreprise

Le RGPD est un règlement européen sur la protection des données et la vie privée (données personnelles).

Le règlement est mis en œuvre dans toutes les lois locales sur la vie privée à travers l'ensemble de l'UE et de l'EEE. Il s'applique à toutes les entreprises vendant à et stockant des informations personnelles sur les citoyens européens, y compris les entreprises d'autres continents. Il offre aux citoyens de l'UE et de l'EEE un meilleur contrôle sur leurs données personnelles et la garantie que leurs informations sont protégées de manière sécurisée à travers l'Europe.

Qu'est-ce qui est considéré comme des données personnelles ?

Selon la directive RGPD, une donnée personnelle est toute information liée à une personne telle qu'un nom, une photo, une adresse e-mail, des coordonnées bancaires, des mises à jour sur les réseaux sociaux, des informations de localisation, des informations médicales ou une adresse IP d'ordinateur.

Qu'est-ce que cela signifie ?

Le RGPD contient plusieurs exigences qui bénéficient aux consommateurs en imposant un contrôle accru et une transparence concernant les données personnelles collectées par les organisations. En même temps, il existe des amendes importantes en cas d'infraction — jusqu'à 4 % du chiffre d'affaires mondial ou un maximum de 20 millions d'euros. Les différences importantes par rapport à la politique de confidentialité précédente sont qu'il inclut des conditions beaucoup plus strictes pour le consentement et des obligations pour les sous-traitants et les responsables du traitement des données, où des clauses contractuelles obligatoires entre les parties sont requises.

Protection de la vie privée dès la conception

GetAccept est conçu dès le départ pour intégrer les principes de protection des données et de la vie privée dès la conception (Privacy by Design).

Vos droits selon le RGPD

Le droit d'accès – cela signifie que les individus ont le droit de demander l'accès à leurs données personnelles et de demander comment leurs données sont utilisées par l'entreprise après leur collecte. L'entreprise doit fournir une copie des données personnelles, gratuitement et au format électronique si demandé.

• Le droit à l'oubli – si les consommateurs ne sont plus clients, ou s'ils retirent leur consentement à une entreprise d'utiliser leurs données personnelles, ils ont alors le droit de faire supprimer leurs données.
• Le droit à la portabilité des données – Les individus ont le droit de transférer leurs données d'un prestataire de services à un autre. Et cela doit se faire dans un format couramment utilisé et lisible par machine.
• Le droit d'être informé – cela couvre toute collecte de données par les entreprises, et les individus doivent être informés avant la collecte des données. Les consommateurs doivent donner leur consentement pour que leurs données soient collectées, et ce consentement doit être donné librement et non de manière implicite.
• Le droit de rectification – cela garantit que les individus peuvent faire mettre à jour leurs données si elles sont obsolètes, incomplètes ou incorrectes.
• Le droit de limiter le traitement – Les individus peuvent demander à ce que leurs données ne soient pas utilisées pour le traitement. Leur dossier peut rester en place, mais ne pas être utilisé.
• Le droit d'opposition – cela inclut le droit pour les individus de stopper le traitement de leurs données à des fins de marketing direct. Il n'y a pas d'exceptions à cette règle, et tout traitement doit cesser dès que la demande est reçue. De plus, ce droit doit être clairement indiqué aux individus dès le début de toute communication.
• Le droit d'être notifié – S'il y a eu une violation de données compromettant les données personnelles d'un individu, celui-ci a le droit d'être informé dans les 72 heures suivant la première prise de connaissance de la violation.

Accord de traitement des données (DPA)

Le RGPD impose des exigences spécifiques pour les accords entre les responsables du traitement des données et leurs sous-traitants utilisés pour traiter les données personnelles dont ils ont la charge. Ces accords sont appelés Accords de Traitement des Données et doivent toujours être mis en place si des données sont partagées avec des tiers. Vous pouvez trouver le DPA standard de GetAccept ici.

Schrems II et les SCC

Le 16 juillet 2020, la Cour de justice de l'Union européenne (CJUE), dans son affaire appelée « Schrems II », a modifié la manière dont les données peuvent être transférées vers un pays tiers en dehors de l'UE, invalidant l'ancien Privacy Shield UE-États-Unis. Les Clauses Contractuelles Types (SCC) de la Commission sont valides comme mécanisme de transfert mais nécessitent des mesures de sécurité supplémentaires et des évaluations d'impact sur le transfert (voir ci-dessous). GetAccept a mis en place les dernières SCC avec tous les sous-traitants. Pour plus d'informations sur les dernières initiatives et notre point de vue sur le transfert de données UE - États-Unis, veuillez nous contacter.

Évaluation d'impact sur le transfert (TIA)

GetAccept a réalisé une évaluation d'impact sur le transfert de ses données. Pour obtenir une copie de notre évaluation, veuillez nous contacter à legal@getaccept.com.

Informations de contact

Si vous avez des questions ou des suggestions concernant nos politiques ou pratiques, veuillez nous contacter à legal@getaccept.com. Nous sommes toujours heureux d'échanger !

GetAccept est construit sur une infrastructure stable, redondante et évolutive, conçue pour une disponibilité de 100 %. Nous avons des sauvegardes, un chiffrement complet et réalisons des tests de pénétration annuels pour sécuriser les données contre toutes les menaces possibles. Aucun système n'est meilleur que les personnes qui y travaillent et nous proposons des formations régulières à la sécurité pour notre personnel et avons, entre autres, mis en place une séparation des tâches et des principes d'accès au moindre privilège dans l'organisation.

SOC2

Le System and Organization Control (SOC) 2 est un rapport basé sur les critères Trust Services Criteria (TSC) existants du Auditing Standards Board de l'American Institute of Certified Public Accountants (AICPA). L'objectif du rapport est d'évaluer les systèmes d'information d'une organisation en ce qui concerne la sécurité, la disponibilité, l'intégrité du traitement, la confidentialité et la vie privée.

GetAccept subit chaque année un audit rigoureux réalisé par un auditeur tiers certifié réputé pour certifier les services GetAccept selon cette norme. Le cabinet d'audit évalue si les contrôles de conformité de GetAccept sont conçus de manière appropriée et s'ils sont effectivement opérationnels.

Le dernier rapport SOC 2 type 2 peut être demandé en contactant notre support. Les clients potentiels peuvent contacter les ventes pour plus d'informations.

Chiffrement et mesures de sécurité supplémentaires

Nous chiffrons nos données en transit à l'aide d'ECDSA 256 (certificat SSL/TLS équivalent à 3072 bits) et nous chiffrons nos données au repos à l'aide de la norme industrielle AES-256. En savoir plus sur les mesures de sécurité supplémentaires de GetAccept ici.

Stockage des données

GetAccept n'utilise que des sous-traitants de confiance et triés sur le volet pour stocker les données. Les sous-traitants sont évalués en continu. En savoir plus sur les sous-traitants dans notre DPA.

Vie privée

En général, les informations personnelles que vous nous fournissez sont utilisées pour mieux communiquer avec vous. GetAccept prend votre vie privée au sérieux et ne partagera jamais vos informations personnelles avec un tiers autre que ce qui est indiqué dans notre politique de confidentialité. En savoir plus ici Politique de confidentialité.

GetAccept vous propose une solution de signature électronique juridiquement contraignante pour vos accords et contrats. GetAccept est conforme aux exigences de l'Electronic Signature in Global and National Commerce Act de 2000 (ESIGN) des États-Unis, de l'Uniform Electronic Transactions Act (UETA) et du règlement européen eIDAS (UE n°910/2014) concernant les signatures électroniques et les transmissions, ce qui rend les signatures électroniques rapides, faciles et juridiquement contraignantes.

Loi sur la signature électronique aux États-Unis

La solution de signature électronique de GetAccept aux États-Unis est conforme à la définition d'une signature électronique selon l'Electronic Signatures in Global and National Commerce (ESIGN) et l'Uniform Electronic Transactions Act (UETA).

Loi sur la signature électronique au Royaume-Uni

Au Royaume-Uni, la législation équivalente à l'ESIGN Act des États-Unis est l'Electronic Communications Act 2000. La solution de signature électronique de GetAccept est conforme à la définition d'une signature électronique selon cette loi.

Réglementation sur la signature électronique dans l'Union européenne

En 2014, le Parlement européen a créé un marché plus uniforme pour les transactions électroniques avec la publication du règlement UE n° 910/2014 sur l'identification électronique et les services de confiance pour les transactions électroniques sur le marché intérieur, également connu sous le nom d'eIDAS. Les signatures électroniques sont activement utilisées en Europe, et les signatures électroniques de GetAccept sont conformes à eIDAS et aux normes techniques européennes sur la signature électronique. Vous pouvez en savoir plus sur eIDAS ci-dessous.

Authentification de la signature

GetAccept authentifie les signataires des documents afin qu'il y ait une transparence totale sur l'identité de la personne qui signe vos documents. Pour protéger tous les comptes utilisateurs GetAccept, les informations utilisateur sont transférées via un chiffrement SSL 256 bits, y compris les informations sensibles comme les noms d'utilisateur et mots de passe. GetAccept empêche également d'autres personnes d'accéder à votre compte ou de l'utiliser en imposant des déconnexions automatiques et en vous envoyant un e-mail chaque fois qu'un contrat est envoyé, reçu ou signé via un compte.

Apposition de la signature

Chaque signature sur un contrat est imposée et apposée sur le contrat. GetAccept crée une piste de transaction complète entre les parties signataires. Pour fournir un historique des transactions, nous suivons et horodatons diverses informations depuis le moment où le document est soumis à la signature jusqu'à ce qu'il soit entièrement signé et sécurisé.

Journal de preuves complet

Un journal de preuves complet est un facteur crucial à vérifier lors du choix d'un fournisseur de signature électronique. Chaque envoi possède un identifiant unique qui reflète le contenu du document. GetAccept suit l'ensemble du processus et le compile dans un historique complet de chaque action effectuée dans le document. Les activités sont marquées avec un horodatage de confiance, un e-mail, une adresse IP et une localisation IP.

Journal des transactions recevable en justice 

GetAccept crée une piste de transaction complète entre les parties signataires. Afin de fournir cet historique des transactions, nous suivons et horodatons diverses informations depuis le moment où le document est soumis à la signature jusqu'à ce qu'il soit entièrement signé et sécurisé, telles que les informations IP et UserAgent. Pour garantir l'intégrité de votre journal des transactions, celui-ci est sécurisé par une technologie de hachage. Cette piste d'audit vous donne un journal de preuves complet à présenter devant un tribunal en cas de litige.

Signatures électroniques et eIDAS

eIDAS est un règlement européen sur l'identification électronique et les services de confiance pour les transactions électroniques qui s'applique comme une loi dans toute l'UE.

Identification électronique, authentification et services de confiance (eIDAS)

L'objectif du règlement eIDAS, lancé en 2014, est de faciliter la circulation des affaires dans l'UE grâce à la transparence, la sécurité, la neutralité technologique, la coopération et l'interopérabilité. Pour atteindre ces objectifs, eIDAS :

• Normalise l'utilisation de l'identification électronique (eID)
• Définit une nouvelle catégorie de « services de confiance électroniques » (eTS)
• Clarifie et garantit la validité juridique des signatures électroniques
• Crée un marché intérieur européen pour les services de confiance électroniques
  
  

Différents niveaux de signatures électroniques

Le règlement eIDAS définit trois types de signatures électroniques : la signature électronique (de base), la signature électronique avancée et la signature électronique qualifiée. Selon eIDAS, une signature électronique est définie comme « des données sous forme électronique qui sont attachées ou associées logiquement à d'autres données sous forme électronique et utilisées par le signataire pour signer ».

Signature électronique de base

Une signature électronique de base peut être tout type de signature réalisée dans un environnement électronique et numérique, où le signataire a manifesté son intention (par exemple en cliquant sur un bouton ou en cochant une case) d'être lié par le contenu du document signé.

La solution standard « cliquer pour signer » de GetAccept est considérée comme une signature électronique de base très robuste et suffisante pour la plupart des accords commerciaux.

Signature électronique avancée (AdES)

Selon eIDAS, une signature électronique avancée doit répondre aux exigences suivantes :

1. être liée de manière unique et permettre d'identifier le signataire ;
2. être créée de manière à permettre au signataire de garder le contrôle;
3. être liée au document de manière à ce que toute modification ultérieure des données soit détectable.
   
   

Ces éléments d'identité unique, de contrôle et d'intégrité du document signé peuvent être obtenus par différents moyens. Un eID reconnu assure une authentification sécurisée de l'identité du signataire dans l'environnement en ligne.

GetAccept propose plusieurs moyens de créer une signature électronique avancée, par exemple avec l'utilisation d'un eID ou d'une solution MFA.

Signature électronique qualifiée (QES)

Selon eIDAS, « une signature électronique qualifiée » désigne une signature électronique avancée créée par un dispositif de création de signature électronique qualifié et basée sur un certificat qualifié pour les signatures électroniques. L'utilisation de signatures électroniques qualifiées ajoute une couche supplémentaire de garantie et de confiance qui se traduit par un effet juridique particulier reconnu par les tribunaux de l'UE.

D'un point de vue juridique, la QES doit, dans l'UE, être équivalente à une signature manuscrite et la charge de la preuve devant un tribunal incombe au contestataire.

GetAccept, via un partenariat externe, a la possibilité d'offrir la QES intégrée de manière transparente dans le flux de signature dans la plupart des pays européens.  Il convient de noter que la QES ajoute un niveau de sécurité supplémentaire mais aussi de la complexité et du coût au processus de signature.

Veuillez nous contacter pour plus d'informations sur la QES.