ANNEXE COMPLÉMENTAIRE RELATIVE Á LA SÉCURITÉ APPLICABLE AUX SERVICES DOCUSIGN
La présente Annexe Sécurité applicable aux Services Docusign (l’« Annexe Sécurité ») énonce les engagements de Docusign en matière de protection des Données Client et fait partie intégrante du Contrat. Sauf définition contraire dans la présente Annexe Sécurité, les termes en majuscules auront la signification qui leur est donnée dans le Contrat.
1. DÉFINITIONS
« Environnement de Production » désigne le paramétrage Système où les logiciels, le matériel (hardware), les données, les process et les programmes sont exécutés pour leurs utilisations finales et attendues par les utilisateurs finaux des Services Docusign
« Personnel » désigne tous les employés et représentants de Docusign impliqués dans l'exécution des Services Docusign pour le Client.
« Sous-traitant » désigne un tiers que Docusign a engagé pour exécuter tout ou partie des Services Docusign pour le compte de Docusign.
« Traiter » ou « Traitement » signifie, en ce qui concerne la présente Annexe Sécurité, toute opération ou ensemble d'opérations effectuées sur les Données Client, que ce soit ou non par des moyens automatisés, tels que la collecte, l'enregistrement, l'organisation, la conservation, l'adaptation ou la modification, l'extraction, la consultation, l'utilisation, la divulgation par transmission, diffusion ou toute autre mise à disposition, l'alignement ou la combinaison, le blocage, l'effacement ou la destruction.
2. PROGRAMME DE SÉCURITÉ DES INFORMATIONS
2.1 Programme de Sécurité des Informations. Docusign maintient et continuera de maintenir un programme écrit de sécurité des informations qui comprend des politiques, des procédures et des contrôles régissant le Traitement des Données Client via les Services Docusign (« Programme de Sécurité des Informations »). Le Programme de Sécurité des Informations est conçu pour protéger la confidentialité, l'intégrité et la disponibilité des Données Client en utilisant une approche de contrôle technique, procédurale et humaine à plusieurs niveaux, conformément aux meilleures pratiques de l'industrie et aux lois et réglementations applicables.
2.2 Utilisation autorisée des Données Client. Docusign ne Traitera pas les Données Client pour une finalité autre que celle autorisée ou requise par le Contrat.
2.3 Reconnaissance de Responsabilités Partagées. Docusign et le Client sont tenus d’assurer, au titre d’une responsabilité partagée, la sécurité des données et des informations accessibles, qui sont stockées, partagées ou Traitées de toute autre manière via les Services de Docusign. Docusign est responsable de la mise en œuvre et de la réalisation du Programme de Sécurité des Informations et des mesures de protection décrites dans le Contrat et dans la présente Annexe Sécurité. Le Client est responsable de la mise en œuvre adéquate des contrôles d'accès et d'utilisation et de la configuration de certaines fonctions et fonctionnalités des Services Docusign que le Client peut choisir d'utiliser de la manière qu'il juge adéquate pour maintenir la sécurité, la protection, la suppression et la sauvegarde nécessaire des Données Client.
2.4 Applicabilité aux Données Client. La présente Annexe Sécurité et le Programme de Sécurité des Informations s'appliquent spécifiquement aux Données Client traitées via les Services de Docusign et ne s'étendent pas aux données conservées sur les systèmes ou environnements du Client ou à toute solution « on-premise » pouvant être proposée par Docusign. Dans la mesure où le Client échange avec Docusign des données et des informations qui ne répondent pas à la définition des « Données Client », Docusign traitera ces données et informations conformément aux conditions de confidentialité énoncées dans le Contrat.
3. GESTION DE LA SÉCURITÉ
3.1 Maintenance du Programme de Sécurité des Informations. Docusign prendra et mettra en œuvre les mesures techniques et organisationnelles nécessaires pour protéger les Données Client présentes dans les Services Docusign et maintiendra le Programme de Sécurité des Informations conformément aux normes ISO 27001 ou à d'autres normes alternatives substantiellement équivalentes à ISO 27001. Docusign peut mettre à jour ou modifier le Programme de Sécurité des Informations, à condition que ces mises à jour et modifications n'entraînent pas une dégradation de la sécurité globale des Services Docusign.
3.2 Vérifications des antécédents et formation. Docusign veillera à ce que des vérifications d'antécédents raisonnables et appropriées soient effectuées sur l'ensemble du Personnel, conformément aux lois et réglementations applicables. Le Personnel doit satisfaire aux exigences de Docusign en matière de vérification des antécédents avant d'être affecté à des postes dans lesquels il aura, ou Docusign s'attend raisonnablement à ce qu'il ait accès aux Données Client. Docusign organisera une formation annuelle obligatoire de sensibilisation à la sécurité afin d'informer son Personnel sur les procédures et politiques relatives au Programme de Sécurité de l'Information et sur les conséquences de la violation de ces procédures et politiques. Docusign mènera un processus d'intégration ou de sortie à l'égard de tout Personnel en cas de cessation d'emploi, qui inclura la suppression de l'accès du Personnel sortant aux Données Client et aux systèmes et biens sensibles de Docusign.
3.3 Sous-traitants. Docusign évaluera tous les Sous-traitants pour s'assurer qu'ils maintiennent des contrôles physiques, techniques, organisationnels et administratifs adéquats, basés sur le niveau de risque approprié aux services sous-traités, qui participent à la conformité de Docusign aux exigences prévues au sein du Contrat et de la présente Annexe Sécurité. Docusign sera responsable des actes et omissions de ses Sous-traitants pour les services fournis dans le cadre du Contrat, dans les mêmes conditions que si elle avait été à l’origine de ces actes ou omissions. Toute sous-traitance ne réduira pas les obligations de Docusign dans le cadre du Contrat envers le Client.
3.4 Contact pour l’Assurance des Risques et de la Sécurité. L'équipe de gestion de compte du Client de Docusign sera le premier point de contact du Client pour les informations et l'assistance relatives au Programme de Sécurité des Informations. L'équipe de gestion des comptes de Docusign travaillera directement avec le Client pour transmettre si nécessaire les questions, problèmes et demandes du Client aux équipes internes de Docusign.
4. MESURES DE SÉCURITÉ PHYSIQUE
4.1 Généralités. Docusign maintiendra des mesures de sécurité physique appropriées conçues pour protéger les éléments tangibles, tels que les systèmes informatiques physiques, les réseaux, les serveurs et les appareils, qui Traitent les Données Client. Docusign s'assurera que des logiciels et du matériel de sécurité de bonne qualité commerciale et reconnus sur le marché sont utilisés pour protéger les Services Docusign et l'Environnement de Production.
4.2 Accès aux Installations. Docusign veillera à ce que : (a) l'accès aux installations de l'entreprise Docusign est strictement contrôlé par le biais, au minimum, d'une identification par carte d'accès physique ; (b) tous les visiteurs des installations de l'entreprise doivent signer un registre, accepter des obligations de confidentialité et être accompagnés par le Personnel à tout moment ; et (c) les registres des visiteurs sont régulièrement examinés par l'équipe de sécurité de Docusign. Docusign suspendra de manière définitive l'accès physique du Personnel aux installations de l'entreprise Docusign en cas de cessation d'emploi.
4.3 Centres de Données. Docusign utilisera des fournisseurs de centre de données (datacenters) et de services d'hébergement d'infrastructures connus sur le marché pour fournir les Services Docusign et s'assurera que tous les centres de données ont la certification ISO 27001 ou une certification équivalente. Au minimum, tous les centres de données doivent répondre aux exigences suivantes :
(a) Des mesures de sécurité physique à multi-facteurs, y compris des mécanismes d'entrée/sortie vérifiables qui enregistrent l'identité de toute personne qui entre et sort de l'installation, doivent être maintenues.
(b) L'accès doit être limité au personnel autorisé. Les vendeurs tiers et les visiteurs doivent être escortés à tout moment par du personnel autorisé lorsqu'ils se trouvent dans le centre de données.
(c) Des contrôles de sécurité environnementale doivent être mis en place, notamment : (i) des alimentations électriques ininterrompues et des alimentations secondaires sur tous les systèmes clés ; (ii) des contrôles de température et d'humidité pour les équipements de chauffage, de ventilation et de climatisation ; (iii) des dispositifs de détection de chaleur et de fumée et des systèmes d'extinction d'incendie ; et (iv) des inspections périodiques par le responsable de la sécurité incendie ou similaire.
5. LA SÉCURITÉ LOGIQUE
5.1 Contrôles d'accès. Docusign maintiendra une politique de contrôle d'accès formelle et utilisera un système centralisé de gestion des accès pour contrôler l'accès du Personnel à l'Environnement de Production.
(a) Docusign veillera à ce que tous les accès à l'Environnement de Production soient soumis à une authentification à deux facteurs conforme, tant au niveau de l'entreprise que des sites distants, et qu'ils soient limités au Personnel autorisé qui démontre un besoin commercial légitime pour y avoir accès. Docusign maintiendra un processus de contrôle d'accès associé pour examiner et mettre en œuvre les demandes d'accès du Personnel. Docusign examinera régulièrement les droits d'accès du Personnel autorisé et, en cas de modification de l'emploi nécessitant une suspension ou une cessation d'emploi, supprimera ou modifiera ces droits d'accès de manière appropriée.
(b) Docusign contrôlera et évaluera l'efficacité des restrictions d'accès applicables au contrôle des administrateurs du système de Docusign dans l'Environnement de Production, ce qui impliquera la génération d'informations sur l'activité de chaque administrateur du système et la conservation de ces informations pendant une période d'au moins douze (12) mois.
(c) Docusign n'utilisera pas les Données Client de l'Environnement de Production dans des environnements de non-production sans l'autorisation expresse du Client.
5.2 Audit et journalisation. En ce qui concerne l'audit et la journalisation (logging) dans l'Environnement de Production :
(a) Docusign utilisera et maintiendra un mécanisme d'audit et de journalisation (logging) qui, au minimum, capturera et enregistrera les connexions et déconnexions réussies et échouées des utilisateurs (horodatage, un ID utilisateur, le nom de l’application et un indicateur de réussite/échec). Les activités d'accès des utilisateurs seront auditées et enregistrées périodiquement par Docusign afin d'identifier les accès non autorisés et déterminer les éventuelles failles du système de contrôle d'accès de Docusign.
(b) Tous les composants d’application qui ont des capacités d’enregistrements (tels que les systèmes d'exploitation, les bases de données, les serveurs web et les applications) seront configurés pour produire des enregistrements d'audit de sécurité.
(c) Les journaux d'audit (audit logs) seront configurés pour une capacité de stockage suffisante.
(d) Chaque log sera configuré de manière à ne pas pouvoir être désactivé sans autorisation appropriée et enverra des alertes en cas de succès ou d’échec de chaque événement auditable.
(e) L'accès aux fichiers de journaux de sécurité (security logs) sera limité au Personnel autorisé.
5.3 Sécurité du réseau. Docusign maintiendra une approche de défense en profondeur pour renforcer l'Environnement de Production contre toute exposition et attaques. Docusign maintiendra un Environnement de Production isolé qui comprendra des contrôles de gestion de réseau de qualité commerciale et reconnus sur le marché tels que des « load balancers », des pares-feux, des systèmes de détection d'intrusion répartis sur les réseaux de production et des protections contre les logiciels malveillants. Docusign complétera l'architecture de son Environnement de Production par des technologies de prévention et de détection qui surveillent toute activité générée et envoient des alertes basées sur les risques aux groupes de sécurité concernés.
5.4 Protection contre les codes malveillants. Docusign s'assurera que : (a) ses systèmes d'information et ses opérations de transfert de fichiers disposent d'un logiciel antivirus efficace et opérationnel ; (b) tous les logiciels antivirus sont configurés pour le déploiement et la mise à jour automatique ; et (c) les logiciels antivirus applicables sont intégrés à des procédures et génèrent automatiquement des alertes à l'équipe de réponse aux cyber incidents de Docusign pour leur enquête et leur analyse si un code potentiellement dangereux est détecté.
5.5 Modifications du code. Docusign maintiendra de manière documentée un cycle de vie des développements des logiciels qui inclut des pratiques de codage sécurisées par rapport à l'OWASP et aux normes connexes et effectuera des modifications de code manuelles et automatisées. Les équipes d'ingénierie, de développement de produits et de gestion des opérations de produits de Docusign examineront les changements inclus dans les versions de production afin de vérifier que les développeurs ont effectué des modifications de code manuelles et automatisées conçues pour minimiser les risques associés. Si un problème important est identifié lors d'une modification du code, ce problème sera porté à l'attention de la direction de Docusign et sera surveillé de près jusqu'à sa résolution avant actualisation du code dans l'Environnement de Production.
5.6 Analyses de Vulnérabilité et Tests d’Intrusions. Docusign effectuera des analyses de vulnérabilité internes et externes et des analyses d'applications. Les analyses externes et les tests d’intrusion des Services Docusign et de l'Environnement de Production seront effectués par des organisations externes qualifiées, accréditées et reconnues par l'industrie, à une fréquence régulière basée sur l’analyse de risques, mais au minimum une fois par an. Docusign remédiera aux vulnérabilités identifiées lors des analyses et des tests d'intrusion d'une manière et dans des délais commercialement raisonnables, en fonction du niveau de gravité classé et hiérarchisé. Docusign mettra à disposition toutes les attestations de tiers résultant des analyses de vulnérabilité et des tests d’intrusion pour chaque rapport d'audit réalisés par des auditeurs externes indépendants. À titre de clarification, le Client ne sera en aucun cas autorisé à effectuer des analyses de vulnérabilité ou des tests d’intrusion dans l'Environnement de Production.
6. STOCKAGE, CHIFFREMENT ET SUPPRESSION
6.1 Stockage et ségrégation des données. Les Données Client seront stockées dans l'infrastructure physique et logique des Services Docusign dans les installations mutualisées ou de centre de données de Docusign. Des exceptions en matière de stockage ne peuvent être faites qu'avec l'autorisation écrite du Client à des fins spécifiques, telles que, par exemple, l'extraction des Données Client pour le stockage sur des supports portables chiffrés. Docusign effectuera la ségrégation des Données Client situées dans l'Environnement de Production des autres données de clients de Docusign.
6.2 Technologies de chiffrement. Docusign chiffrera les Données Client conformément à la Documentation, en utilisant des normes standards acceptées par l'industrie, des techniques de chiffrement puissantes et des protocoles de sécurité actuels. La transmission ou l'échange électronique des Données Client avec les Services Docusign sera effectué à l’aide de moyens sécurisés.
6.3 Suppression. Docusign mettra en œuvre des process et des procédures reconnues par l'industrie pour la gestion de l'équipement et la suppression sécurisée des supports conformément aux recommandations identifiées dans les lignes directrices du National Institute of Standards (« Guidelines for Media Sanitization »), SP800-88.
7. CONTINUITÉ DES ACTIVITÉS ET REPRISE APRÈS SINISTRE
7.1 Plan de Continuité. Docusign maintiendra des plans de continuité écrits des activités et de reprise après sinistre qui concernent la disponibilité des Services Docusign (« Plans de Continuité »). Les Plans de Continuité comprendront des éléments tels que : (a) la gestion de crise, la mise en place des équipes et du plan, la documentation des événements et des procédures de communication ; (b) la reprise des activités, les emplacements de sites alternatifs et les tests de « call tree » ; et (c) l'infrastructure, la technologie, les détails du ou des systèmes, les activités de reprise et l'identification du Personnel et des équipes nécessaires à cette reprise. Docusign effectuera, au minimum une fois par an, un test du Plan de Continuité. Les Plans de Continuité de Docusign doivent permettre de remédier à toute insuffisance ou lacune découverte lors de ces tests du Plan de Continuité dans des délais raisonnablement adaptés au niveau de risque posé par cette insuffisance ou lacune. Les rapports d'audit internes et indépendants décrits dans la clause 9.1 (Garanties indépendantes) prouveront ou rendront compte de l'exécution des tests du Plan de Continuité de Docusign et de toute action corrective qui en résulte.
7.2 Continuité des Services Docusign. L'architecture de production de Docusign pour les Services Docusign est conçue pour effectuer une redondance sécurisée en temps quasi réel vers plusieurs systèmes actifs dans des centres de données géographiquement éloignés et physiquement sécurisés. Docusign s'assurera que : (a) les systèmes d'infrastructure pour les Services Docusign ont été conçus pour éliminer les points de défaillance uniques et pour minimiser l'impact des risques environnementaux anticipés ; (b) chaque centre de données prenant en charge les Services Docusign comprend une infrastructure entièrement redondante et de tolérance aux pannes pour les systèmes électriques, de refroidissement et de réseau ; et (c) les serveurs de l'Environnement de Production sont des serveurs d’entreprise dotés d’une alimentation électrique redondante afin de garantir un temps de fonctionnement et une disponibilité de service maximum.
7.3 Reprise après Sinistre. En cas de défaillance des services critiques ou d'interruption matérielle de l'activité, Docusign mettra en place rapidement ses Plans de Continuité et rétablira la capacité des services critiques et la capacité de production de l'infrastructure informatique critique des Services Docusign (y compris, mais sans s'y limiter, les centres de données, le matériel, les logiciels et les systèmes d'alimentation, ainsi que les liaisons critiques de communication vocale, de données et de commerce électronique) et, sauf disposition contraire du Plan de Continuité applicable, Docusign déploiera des efforts commercialement raisonnables pour informer rapidement les Administrateurs de compte du Client du problème. Il incombe à Docusign de faire en sorte que tous ses sous-traitants ou prestataires externes effectuant des activités susceptibles d'avoir un impact sur les processus critiques des Services Docusign aient mis en place des plans répondant aux mêmes exigences et standards que celles exigées par Docusign en vertu des présentes. Nonobstant toute disposition contraire au sein du Contrat (y compris dans la présente Annexe Sécurité) et sans limiter les responsabilités de Docusign en vertu des présentes, Docusign ne sera pas tenue de fournir au Client des plans de continuité des activités ou de reprise après sinistre pour ses installations mutualisées ou de centre de données. Toutefois, Docusign fournira sur demande des informations et des références accessibles au public sur les capacités de ces installations mutualisées ou de centre de données.
8. RÉPONSE ET NOTIFICATION AUX INCIDENTS DE SECURITE
8.1 Généralités. Docusign maintiendra un programme de réponse aux incidents testé, qui sera géré et exécuté par l'Équipe Mondiale de Réponse aux Incidents de Docusign. L'Équipe Mondiale de Réponse aux Incidents de Docusign fonctionnera selon un cadre éprouvé qui comprendra des politiques de gestion des incidents et de notification des violations ainsi que des procédures associées. Le programme de réponse aux incidents de Docusign comprendra, au minimum, la détection initiale, la réponse stratégique initiale, le briefing initial, le briefing de l'incident, la réponse affinée, la communication et le message, l’isolation formelle de l’incident, le rapport d'incident écrit et l'analyse post-mortem de l’incident.
8.2 Notification d’Incident. Docusign se conformera à toutes les lois et réglementations applicables en matière de notification des incidents de sécurité dans le cadre de la fourniture des Services Docusign et, en tout état de cause, informera le Client sans délai indu dès qu'il aura connaissance de tout incident de sécurité de Docusign entraînant la destruction, la perte, l'altération, la divulgation non autorisée ou l'accès non autorisé aux Données Client sur les systèmes gérés par Docusign (un « Incident de Sécurité »). Sans limiter la généralité de ce qui précède, les Parties reconnaissent et conviennent que les Incidents de Sécurité n'incluent pas les tentatives infructueuses, les alertes de sécurité quotidiennes ou d'autres événements qui ne compromettent pas matériellement la sécurité ou la disponibilité des Données Client, y compris les tentatives de connexion infructueuses, les pings, « port scans », les attaques par déni de service (DDoS) et autres attaques de réseau sur les pares-feux ou les systèmes en réseau. La notification par Docusign d'un Incident de Sécurité en vertu de la présente clause ne constitue pas une reconnaissance par Docusign d'une quelconque faute ou responsabilité à l'égard de l'Incident de Sécurité.
8.3 Réponse aux Incidents de Sécurité. Docusign prendra des mesures raisonnables pour atténuer la cause de tout Incident de Sécurité et prendra des mesures correctives raisonnables pour empêcher le même Incident de Sécurité de se reproduire à l'avenir. Au fur et à mesure que les informations sont collectées ou deviennent disponibles pour Docusign, et à moins que la loi ne l'interdise, Docusign fournira les informations concernant la nature et les conséquences de l'Incident de Sécurité qui sont raisonnablement demandées pour permettre au Client d'informer les personnes concernées, les autorités de contrôle et/ou les agences d'évaluation du crédit (Credit bureaus). En raison de la configuration du chiffrement et des contrôles de sécurité associés aux Services de Docusign, Docusign peut ne pas avoir accès ou connaître la nature des informations contenues dans les Données Client et, à ce titre, les Parties reconnaissent qu'il peut être impossible pour Docusign de fournir au Client une description du type d'informations ou l'identité des personnes pouvant être affectées par un Incident de Sécurité. Le Client en sa qualité de responsable de traitement de ses Données est seul responsable pour décider de l'opportunité de notifier l’Incident de Sécurité aux personnes concernées et de réaliser cette notification, ainsi que de la nécessité d'informer les autorités de contrôle de l’utilisation par le Client des Services.
9. GARANTIES ET AUDITS INDÉPENDANTS
9.1 Auditeurs indépendants. Docusign fait appel à des auditeurs indépendants externes pour vérifier l'adéquation de son Programme de Sécurité des Informations. Docusign fournira ou mettra à la disposition du Client des attestations, certifications et rapports de tiers concernant l'établissement, la mise en œuvre et le contrôle du Programme de Sécurité des Informations, y compris, le cas échéant, les certifications ISO 27001, les certifications PCI DSS et les rapports SOC (Service Organization Controls).
9.2 Exigences supplémentaires. Dans la mesure où le Client a besoin d'informations d'audit ou d'assistance supplémentaires de la part de Docusign, au-delà de celles énoncées à la clause 9.1 (Auditeurs indépendants), conformément aux lois et réglementations applicables, le Client peut soumettre sa demande d'informations et d'assistance supplémentaires, qui comprendra des informations concernant les lois ou réglementations applicables constituant la base de la demande, à son représentant de gestion de compte. Docusign travaillera avec le Client pour parvenir à des conditions mutuellement convenues concernant l'étendue, le calendrier, la durée et d'autres détails relatifs aux informations et à l'assistance supplémentaires demandées.
9.3 Audit pour Incident de Sécurité. À la suite d'un Incident de Sécurité, Docusign engagera, dans un délai raisonnable, un auditeur indépendant tiers, sélectionné par Docusign et aux frais de Docusign, pour effectuer un audit sur site du Programme de Sécurité des Informations de Docusign. Sur demande, Docusign fournira ou mettra à disposition du Client une copie de ce rapport d'audit.
9.4 Conditions de l'Audit.
(a) Tout audit réalisé conformément à la présente Annexe Sécurité doit : (i) être réalisé à des heures raisonnables et être d'une durée raisonnable ; (ii) ne pas interférer de manière déraisonnable dans les activités commerciales et opérations quotidiennes de Docusign ; et (iii) être réalisé selon des modalités mutuellement convenues et conformément aux politiques et procédures de sécurité de Docusign. Docusign se réserve le droit de limiter un audit des paramètres de configuration, des capteurs, des moniteurs, des dispositifs et équipements de réseau, des fichiers ou d'autres éléments si Docusign, à sa discrétion raisonnable, détermine qu'un tel audit peut compromettre la sécurité des Services Docusign ou des données d'autres clients de Docusign. Les droits d'audit du Client n'incluent pas les tests de pénétration ou les évaluations actives de vulnérabilité de l'Environnement de production ou des Systèmes Docusign dans leur champ d'application.
(b) Dans le cas où le Client effectue un audit par l'intermédiaire d'un entrepreneur indépendant tiers, ledit entrepreneur indépendant doit conclure un accord de non-divulgation contenant des dispositions de confidentialité substantiellement similaires à celles énoncées dans le Contrat afin de protéger les informations confidentielles de Docusign.
(c) Le Client doit fournir rapidement à Docusign tous les rapports d'audit, d'évaluation de la sécurité, d'évaluation de la conformité ainsi que les conclusions associées, préparées par lui-même ou par ses sous-traitants tiers, afin de recueillir leurs commentaires et leurs suggestions avant de formaliser et/ou de partager ces informations avec un tiers.
9.5 Remédiation et délai de réponse. Si un audit réalisé conformément à la présente Annexe Sécurité révèle ou identifie une non-conformité de Docusign à ses obligations en vertu du Contrat et de la présente Annexe Sécurité, (a) Docusign s'efforcera de corriger ces non-conformités ; et (b) pendant soixante (60) jours maximum après la date à laquelle l'audit a été réalisé, le Client peut demander un retour d'information et des informations concernant les actions correctives et réparatrices prises dans le cadre de cet audit.