Protection des données dans le cloud
ISO 27018 sans audit : le certificat par auto-évaluation en ligne
Zertify délivre un certificat ISO 27018 sans visite d'un auditeur dans vos locaux. Vous répondez à 32 questions en ligne, chaque évaluation est examinée avant l'émission, et le certificat est publiquement vérifiable par numéro et par QR code.
01: Principe
Comment l'auto-évaluation remplace la visite sur place
Dans la voie classique, un auditeur se rend chez vous, consulte des documents et interroge vos collaborateurs. Avec Zertify, cette étape est remplacée par un questionnaire structuré que vous remplissez vous-même, à votre rythme, depuis votre poste de travail.
Le questionnaire couvre les exigences de la norme sous forme de questions fermées. Le déroulement tient en quatre étapes.
Répondre aux 32 questions
Chaque question appelle une réponse par oui ou par non. Onze d'entre elles correspondent à des exigences obligatoires de la norme.
Atteindre le seuil de réussite
Les onze exigences obligatoires doivent toutes recevoir un oui. Parmi les 21 autres questions, il faut au moins 14 réponses positives.
Passer l'examen de SICE
SICE contrôle chaque évaluation avant l'émission du certificat. Votre déclaration n'est donc pas validée automatiquement.
Recevoir le certificat
Le certificat arrive dans les 4 heures suivant la réussite et le paiement. Le PDF porte un numéro et un QR code qui renvoient à la page de vérification.
02: Portée
Que confirme un certificat ISO 27018 obtenu sans audit ?
ISO 27018:2019 s'adresse aux fournisseurs cloud qui traitent des données à caractère personnel pour le compte de leurs clients. Elle complète ISO 27001 par des mesures propres à la protection des données. Le certificat Zertify atteste que votre entreprise a évalué sa situation au regard de ces mesures et qu'elle satisfait aux critères de réussite.
- Transparence et finalités
- Vous traitez les données personnelles uniquement selon les instructions de votre client et vous pouvez le documenter.
- Suppression et restitution
- Les données peuvent être restituées ou effacées à la demande du client, y compris à la fin du contrat.
- Sous-traitants ultérieurs
- Les prestataires auxquels vous faites appel sont intégrés dans vos règles de protection des données.
- Violations de données
- Vous disposez d'une procédure pour notifier un incident à vos clients, avec les analyses d'impact relatives à la protection des données qui s'y rattachent.
Le certificat n'est pas un test d'intrusion ni un contrôle technique de votre infrastructure. Il documente une évaluation structurée, examinée par SICE et confirmée chaque année par un court réaudit en ligne.
03: Public cible
Quelles entreprises choisissent ISO 27018 sans audit sur place ?
Le certificat convient surtout aux petites et moyennes entreprises qui reçoivent des questionnaires fournisseurs ou des demandes de la part d'un service achats et qui doivent répondre vite. Un éditeur SaaS B2B qui prépare une offre y trouve une preuve concrète à joindre au dossier.
Les cas typiques sont les fournisseurs SaaS en B2B et en B2C, les éditeurs de logiciels RH et de paie, les plateformes de e-commerce, les fournisseurs cloud du secteur de la santé et, plus généralement, tout sous-traitant au sens du RGPD.
Si un client exige explicitement un audit sur site par un organisme de certification, la voie classique reste le bon choix. Cela figure rarement dans un questionnaire standard, mais cela arrive dans certains appels d'offres. Vérifiez la clause avant de commencer.
04: Zertify
Comment Zertify s'intègre à votre démarche ISO 27018
Le certificat est émis par G6 Agency AG sous licence de SICE (Swiss Institute of Certification and Education). Il est valable trois ans et confirmé chaque année par un réaudit en ligne.
Le prix est de 799 CHF (799 €) la première année, puis de 529 CHF (529 €) par an, réaudit en ligne compris. Il s'agit d'un abonnement annuel à reconduction automatique, résiliable à tout moment dans votre compte jusqu'à la fin de l'année en cours. Après résiliation, le certificat prend fin avec l'année payée. Un rabais de 20 % s'applique pour deux normes et de 30 % dès trois normes, y compris sur la cotisation annuelle. Pour la Suisse et le Liechtenstein, la TVA de 8,1 % est incluse. L'achat ne demande aucun compte.
L'auto-évaluation elle-même est gratuite et sans inscription. Vous voyez donc où vous en êtes avant de payer quoi que ce soit.
05: Comparaison
Zertify ou audit classique : délai et coût
Les chiffres de la voie classique varient fortement selon l'organisme, la taille de l'entreprise et le périmètre. Ceux du tableau sont des ordres de grandeur indicatifs, à confirmer par une offre.
| Critère | Zertify | Voie classique |
|---|---|---|
| Visite sur place | Aucune, auto-évaluation en ligne | Audit dans vos locaux par un organisme de certification |
| Délai jusqu'au certificat | 4 heures après réussite et paiement | Plusieurs semaines à quelques mois (indicatif) |
| Coût | 799 CHF la première année, puis 529 CHF par an | Souvent plusieurs milliers de francs par cycle (indicatif) |
| Suivi annuel | Réaudit en ligne inclus dans la cotisation | Audits de surveillance sur place, facturés séparément |
| Vérification par un tiers | Page publique, numéro et QR code | Selon l'organisme |
Le temps interne compte aussi. Un audit classique mobilise vos équipes sur plusieurs jours, alors que le questionnaire se remplit par étapes, sans rendez-vous à coordonner.
06: FAQ
Questions fréquentes sur ISO 27018 sans audit
07: Guide
Pages associées
Testez votre niveau ISO 27018
L'auto-évaluation de 32 questions vous montre en quelques minutes où vous en êtes.
Gratuit et sans inscription.