Ne nous croyez pas sur parole. Vérifiez.
Conformité démontrable, certifications vérifiables et infrastructure auditable : la documentation dont votre DPO, votre auditeur ou un jury de marché public a besoin.
- RGPD
- eIDAS
- Décret-loi 12/2021
- FIPS 140-2 Level 3
Cadre juridique
Conçu dans le cadre du droit européen, pas adapté après coup.
Les trois piliers juridiques qui encadrent le service, et ce que chacun garantit concrètement.
RGPD : règlement (UE) 2016/679
Traitement des données dans l’UE (Portugal), sans transfert vers des pays tiers. Traçabilité complète, minimisation des données et registres des traitements à la disposition des clients qui doivent les intégrer à leur propre documentation de conformité.
eIDAS : règlement (UE) n° 910/2014
L’E-mail recommandé s’appuie sur des horodatages et des certificats qualifiés délivrés par des prestataires figurant sur la liste de confiance de l’UE, reconnus dans tous les États membres.
Décret-loi portugais 12/2021
Le texte qui met en œuvre le règlement eIDAS au Portugal et fournit le cadre des services d’envoi recommandé électronique. La plateforme opère dans ce cadre, avec des preuves d’envoi et de remise à valeur probante devant les tribunaux.
Certifications techniques
La cryptographie n’est pas une promesse. C’est du matériel audité.
Les certifications techniques derrière les communications certifiées, vérifiables par tout auditeur.
HSM Thales : FIPS 140-2 niveau 3
Les opérations cryptographiques des communications certifiées s’exécutent sur des modules matériels de sécurité (HSM) certifiés FIPS 140-2 niveau 3, le même standard que celui utilisé dans le secteur bancaire. Les clés ne quittent jamais le matériel, même en cas d’attaque.
Autorités de certification qualifiées
Les horodatages qualifiés et les certificats sont émis par Asseco et Multicert, prestataires de services de confiance inscrits sur la liste de confiance de l’UE, supervisés par les autorités nationales compétentes.
Certificats SSL/TLS
Sooma s’associe également aux autorités de certification Asseco et Multicert pour délivrer des certificats SSL/TLS Wildcard à ses clients : la même chaîne de confiance que celle qui protège notre propre infrastructure.
Due diligence
De la documentation pour votre processus d’évaluation.
Si vous évaluez Sooma dans le cadre d’une procédure d’achat, d’un audit ou d’un marché public, l’équipe vous fournit la documentation de conformité nécessaire : description technique de l’infrastructure, accord de traitement des données, politique de confidentialité et justificatifs des certifications applicables. Contactez-nous et dites-nous ce que votre processus exige.
Demander la documentation →Questions fréquentes
Certifications et conformité
Les questions que les DPO, les auditeurs et les jurys de marchés publics nous posent le plus souvent.
L’E-mail recommandé de Sooma a-t-il la même validité juridique qu’une lettre recommandée ?
Il n’a pas l’équivalence formelle, mais il a une valeur probante devant les tribunaux : en vertu de l’article 43 du règlement eIDAS, les données envoyées au moyen d’un service d’envoi recommandé électronique ne peuvent être refusées comme preuve au motif qu’elles sont électroniques, et la date et l’heure sont attestées par un horodatage qualifié. L’équivalence formelle avec la lettre recommandée avec accusé de réception, prévue par le décret-loi portugais 12/2021, s’applique aux services qualifiés.
Qui délivre les certificats qualifiés ?
Des prestataires de services de confiance qualifiés (Asseco et Multicert), inscrits sur la liste de confiance de l’UE et supervisés par les autorités compétentes.
Puis-je utiliser la documentation de Sooma dans mon propre audit RGPD ?
Oui. Nous fournissons les informations nécessaires aux registres des traitements et aux évaluations de conformité de nos clients. Adressez-vous à l’équipe d’assistance.
Sooma est-elle soumise au CLOUD Act américain ?
Non. Sooma est une entreprise de l’UE (Portugal), avec son infrastructure dans l’UE, soumise exclusivement au droit européen, contrairement aux fournisseurs relevant de la juridiction américaine, où que se trouvent leurs serveurs.
Une conformité vérifiée, pas tamponnée.
Demandez à notre équipe en Europe la documentation dont votre processus a besoin.