Quels référentiels de conformité s’appliquent à vous ?
Répondez à quelques questions sur ce que vous vendez, où se trouvent vos clients et les données que vous traitez. Voyez quels référentiels de sécurité vos clients demanderont et quelles lois sur la protection des données s’appliquent probablement : SOC 2, ISO 27001, HIPAA, PCI DSS, RGPD, CCPA, PIPEDA et d’autres.
Référentiels, lois et attentes des clients
Trois éléments différents déterminent vos besoins. Les lois sur la vie privée et la sécurité s’appliquent selon le lieu où se trouvent les personnes et les données que vous traitez. Les contrats et programmes sectoriels, comme PCI DSS pour les données de carte ou CMMC pour la défense américaine, s’appliquent selon vos clients. Et les référentiels de sécurité comme SOC 2 et ISO 27001 sont rarement exigés par la loi, mais les clients les demandent avant de signer.
SOC 2 ou ISO 27001 ?
Les deux montrent aux clients que votre sécurité est pilotée et vérifiée de façon indépendante. SOC 2 est un rapport d’auditeur, la demande habituelle des clients américains. ISO 27001 est un certificat, plus courant en Europe, au Royaume-Uni et en Asie. Leurs contrôles se recoupent largement : beaucoup d’entreprises commencent par celui que leurs clients demandent et ajoutent l’autre plus tard.
Les lois sur la vie privée s’appliquent-elles aux entreprises B2B ?
Oui. Le RGPD, l’UK GDPR et la PIPEDA protègent toutes les données personnelles, y compris celles des contacts professionnels et des salariés de vos clients. Le CCPA couvre les données des salariés et des contacts professionnels depuis 2023. Quand vous traitez des données personnelles pour le compte de clients, vous êtes généralement leur sous-traitant ou service provider, et ils vous demanderont un accord de traitement des données.
Questions fréquentes
Est-ce un conseil juridique ?
Non. Il vous indique les référentiels et les lois que vos réponses suggèrent, avec la raison de chacun, pour que vous sachiez quoi vérifier. Les lois comportent des exceptions et des seuils ; faites confirmer par un conseiller qualifié.
HIPAA s’applique-t-il si nous hébergeons seulement des données pour des cliniques ?
Généralement oui. Une entreprise qui crée, reçoit, conserve ou transmet des informations de santé pour un prestataire de santé ou un assureur santé est un business associate : elle doit signer un business associate agreement et respecter la HIPAA Security Rule.
Faut-il PCI DSS si nous utilisons un prestataire de paiement ?
Si les données de carte vont directement sur la page ou le formulaire hébergé du prestataire sans jamais toucher vos systèmes, votre périmètre est beaucoup plus réduit, souvent un court questionnaire d’auto-évaluation. Il vous revient toutefois de le confirmer avec votre banque acquéreuse.
Cet outil est-il gratuit ?
Oui. Aucun compte n’est nécessaire. Si vous ajoutez vos coordonnées et téléchargez le PDF, Sourceably les enregistre pour que notre équipe puisse vous aider, sauf si vous cochez « Ne pas me contacter ».