ISO 27018:2019, protection des données dans le cloud
ISO 27018 procédure : de l'autoévaluation au certificat vérifiable
Vous répondez en ligne à 32 questions oui/non, vous réglez, puis le certificat vous est remis dans les 4 heures. Aucune visite sur site n'est nécessaire. Chaque certificat reste contrôlable par son numéro et son code QR.
01: Aperçu
Les étapes de la procédure ISO 27018 avec Zertify
La procédure tient en six étapes, toutes en ligne. Vous n'avez pas besoin de compte pour commencer, ni de rendez-vous avec un auditeur.
Ouvrir l'autoévaluation
Vous lancez le questionnaire depuis le site, sans inscription et sans frais.
Répondre aux 32 questions
Chaque question appelle une réponse par oui ou par non. Elles portent sur le traitement des données personnelles dans votre service cloud.
Atteindre le seuil de réussite
Les 11 exigences obligatoires doivent toutes recevoir un oui. Parmi les 21 autres questions, il faut au moins 14 oui.
Régler l'abonnement annuel
Le paiement intervient une fois le questionnaire réussi. Les montants figurent plus bas.
Examen et émission
SICE examine votre évaluation. Le certificat est émis par G6 Agency AG sous licence de SICE, dans les 4 heures après la réussite et le paiement.
Vérification et réaudit annuel
Le certificat PDF porte un numéro et un code QR. Chaque année, un court réaudit en ligne confirme que vos réponses sont toujours exactes.
02: Questionnaire
Comment se déroule l'autoévaluation de 32 questions ?
Le questionnaire reprend les exigences d'ISO 27018:2019 pour les fournisseurs cloud qui agissent comme sous-traitants de données personnelles. Il ne demande pas de rédiger des textes. Vous répondez par oui ou par non, et vous pouvez interrompre puis reprendre.
Deux règles décident du résultat. Une seule réponse négative sur l'une des 11 exigences obligatoires suffit pour échouer. Sur les 21 autres questions, vous disposez d'une marge: 14 oui suffisent.
| Bloc | Nombre de questions | Condition pour réussir |
|---|---|---|
| Exigences obligatoires de la norme | 11 | Toutes en oui |
| Autres questions | 21 | Au moins 14 en oui |
| Total | 32 | Au moins 25 oui au minimum, dont les 11 obligatoires |
03: Préparation
Que préparer avant de répondre au questionnaire ?
Les réponses sont plus rapides si vous avez sous la main les documents qui décrivent vos pratiques. Cinq thèmes reviennent dans la norme.
- Finalités du traitement
- Vous traitez les données personnelles de vos clients uniquement selon leurs instructions. Votre contrat ou vos conditions d'utilisation doivent le dire clairement.
- Suppression et restitution
- Vous savez comment un client récupère ses données, et comment elles sont effacées à la fin du contrat.
- Sous-traitants ultérieurs
- Vous tenez la liste des prestataires qui touchent aux données, par exemple un hébergeur ou un service de sauvegarde, et vous leur imposez les mêmes exigences de protection.
- Notification des violations
- Une procédure décrit qui informe le client, dans quel ordre et par quel canal en cas d'incident.
- Analyses d'impact
- Pour les traitements à risque, vous documentez l'analyse d'impact relative à la protection des données.
ISO 27018 complète ISO 27001 par des mesures propres aux données personnelles. Si votre organisation applique déjà une gestion de la sécurité de l'information, beaucoup de réponses seront immédiates.
04: Certificat
Paiement, examen par SICE et émission du certificat
Le prix est de 799 CHF (799 €) la première année, puis 529 CHF (529 €) par an, réaudit annuel en ligne inclus. Le certificat est valable 3 ans. L'abonnement se renouvelle chaque année automatiquement. Vous pouvez le résilier à tout moment dans votre compte client, jusqu'à la fin de l'année en cours, et le certificat prend alors fin avec l'année payée.
Les prix incluent la TVA suisse de 8,1 % pour les clients en Suisse et au Liechtenstein. Si vous certifiez plusieurs normes, un rabais de 20 % s'applique pour deux normes et de 30 % à partir de trois, aussi sur la cotisation annuelle.
SICE examine chaque évaluation avant l'émission. G6 Agency AG émet ensuite le certificat sous licence de SICE. Un acheteur ou un auditeur client peut saisir le numéro ou scanner le code QR sur la page de vérification publique et voir que le certificat existe.
05: Comparaison
Procédure Zertify ou audit sur site : quelles différences ?
La voie classique passe par un audit sur site mené par un organisme de certification. Elle convient à ceux dont un client exige explicitement ce format. La procédure Zertify repose sur une autoévaluation en ligne, relue par SICE.
Les valeurs de la voie classique ci-dessous sont des ordres de grandeur indicatifs. Elles varient selon l'organisme et la taille de l'entreprise.
| Critère | Zertify | Voie classique avec audit sur site |
|---|---|---|
| Méthode | Autoévaluation en ligne, examen par SICE | Audit sur site par un organisme de certification |
| Délai jusqu'au certificat | 4 heures après réussite et paiement | Plusieurs semaines à plusieurs mois (indicatif) |
| Coût | 799 CHF la première année, puis 529 CHF par an | Souvent plusieurs milliers de francs (fourchette indicative) |
| Contrôle ultérieur | Réaudit annuel en ligne | Audits de surveillance, en général sur site |
| Vérification | Page publique, numéro et code QR | Selon l'organisme |
06: Zertify
Où Zertify s'intègre dans votre démarche ISO 27018
Zertify s'adresse aux fournisseurs SaaS, aux éditeurs de logiciels RH et de paie, aux plateformes de e-commerce et aux autres prestataires cloud qui traitent des données pour le compte de leurs clients. Le certificat répond aux questionnaires fournisseurs et aux appels d'offres où la protection des données dans le cloud est demandée.
Pour comprendre ce que couvre la norme avant de commencer, lisez la page dédiée à ISO 27018. Pour connaître le détail des montants, consultez les prix. Et si vous voulez simplement voir où vous en êtes, l'autoévaluation vous donne la réponse en quelques minutes.
07: FAQ
Questions fréquentes sur la procédure ISO 27018
08: Guide
Pages liées
Vérifiez où vous en êtes avec ISO 27018
Répondez aux 32 questions et voyez en quelques minutes si votre service cloud atteint le seuil.
Gratuit et sans inscription.