Conformité : le niveau exact, sans ambiguïté
Le marché de la signature vit d’imprécisions savamment entretenues. Voici ce que nous faisons, sous quel cadre, et ce que nous ne faisons pas.
Règlement eIDAS
Trois niveaux, un seul champ
| Niveau | Définition (règlement UE n° 910/2014) | Chez nous |
|---|---|---|
| Simple (art. 3.10) | Données électroniques jointes ou associées logiquement à d’autres, utilisées pour signer. Effet juridique non refusable ; force probante selon la preuve. | Oui — signature_level: "simple" |
| Avancée (art. 26) | Liée univoquement au signataire, permet de l’identifier, créée sous son contrôle exclusif, détecte toute modification ultérieure. N’exige ni certificat ni prestataire qualifié. | Oui — signature_level: "advanced", certificat au nom du signataire, identité attestée, PAdES-B-LTA |
| Qualifiée (art. 3.12) | Avancée, créée par un dispositif qualifié, sur certificat qualifié délivré par un prestataire qualifié. Équivalente à la signature manuscrite. | Non — hors périmètre, volontairement |
Statut
Ce que nous sommes, ce que nous ne sommes pas
Nous sommes
- un fournisseur de signatures électroniques simples et avancées, et d’émargement ;
- opérateur d’une autorité de certification interne (clés dans un HSM géré) émettant des certificats éphémères au nom des signataires ;
- audités au regard des normes ETSI applicables aux prestataires de services de confiance (EN 319 401, EN 319 411-1, EN 419 241-1), sans statut qualifié ;
- hébergés et opérés en France, soumis au RGPD, avec un registre et un accord de sous-traitance disponibles.
Nous ne sommes pas
- un prestataire de services de confiance qualifié au sens d’eIDAS ;
- qualifiés ni certifiés par l’ANSSI — aucune de nos pages, aucun de nos commerciaux ne l’affirmera ;
- un fournisseur de signatures qualifiées, d’horodatage qualifié en propre, ni d’archivage à valeur probante à dix ans (à venir, en liste d’attente) ;
- un service adapté aux marchés publics, aux actes notariés, aux formalités INPI, à la banque et à l’assurance réglementées.
Pourquoi cette franchise : présenter une signature avancée comme « certifiée eIDAS » ou « qualifiée » serait une pratique commerciale trompeuse. Et l’article 26 rend le niveau avancé accessible sans statut : c’est précisément ce qui permet notre prix.
RGPD
Données personnelles : le minimum, pas longtemps
- Documents purgés à la fin de la rétention choisie (90 jours au plus après complétion) ; journal de preuve et empreintes conservés.
- Jamais de copie de pièce d’identité : seuls les attributs vérifiés et l’empreinte du numéro de pièce sont stockés. Droit à l’effacement des identités, sans effet sur les signatures déjà émises.
- Emails envoyés depuis la France, base de données chiffrée, clés dans un service de gestion de clés managé.
- Accord de sous-traitance (DPA) et registre des sous-traitants sur demande et dans la politique de confidentialité.
Questions fréquentes
Conformité
- Êtes-vous inscrits sur la liste de confiance européenne ?
- Non. Cette liste recense les prestataires qualifiés. Nous fournissons des signatures simples et avancées, qui ne requièrent pas ce statut, et nous ne fournissons pas de signature qualifiée.
- Puis-je utiliser votre service pour répondre à un marché public ?
- Non. L’arrêté du 22 mars 2019 impose au minimum une signature avancée reposant sur un certificat qualifié. C’est hors de notre périmètre, et notre contrat partenaire l’exclut expressément.
- Où est le registre des sous-traitants ?
- Dans notre politique de confidentialité : hébergement Scaleway (France), emails transactionnels Scaleway (France), SMS chez un opérateur français, paiement Stripe pour le libre-service.