RGPD et sécurité des cartes de groupe en entreprise : ce que la DSI doit vérifier

Réponse rapide : SignThisCard est exploité par une société britannique et publie une politique de confidentialité qui précise les données collectées, les bases légales, les durées de conservation et les tiers (Google Fonts, reCAPTCHA, Stripe) susceptibles de traiter des données hors du Royaume-Uni. Il n'y a ni DPA publié ni SSO ; la connexion se fait par e-mail et mot de passe, ou par lien et code envoyés par e-mail. Contactez-nous pour vos questionnaires.

Votre équipe RH veut déployer un outil de cartes de groupe, et la demande est arrivée sur le bureau de la DSI avec une seule question : « C'est conforme au RGPD ? » Ce guide répond aux questions que posent réellement les équipes chargées de l'évaluation sur le RGPD et la sécurité des cartes de groupe en entreprise, honnêtement et sans jargon, et se termine par une checklist utilisable pour SignThisCard comme pour tout autre fournisseur.

Pour les places, les rôles et la facturation, lisez d'abord notre guide des comptes de cartes de groupe pour les entreprises.

SignThisCard est-il conforme au RGPD ?

Nous n'affichons pas de badge « conforme RGPD » ou « certifié ». Nous décrivons plutôt nos pratiques dans notre politique de confidentialité, pour que vous puissiez les évaluer vous-même. À notre avis, un badge en dit moins à un évaluateur que les faits.

Ce que nous pouvons vous dire :

• Qui l'exploite : SignThisCard est exploité par Williation Technologies Ltd, une société à responsabilité limitée immatriculée en Angleterre et au pays de Galles (numéro d'entreprise 17289183).
• Politique de confidentialité : notre politique de confidentialité explique quelles données personnelles sont collectées, sur quelles bases légales nous nous appuyons, combien de temps les données sont conservées et quels tiers peuvent les traiter.
• Conservation : les cartes sont conservées tant qu'elles restent disponibles. Il n'y a pas de date d'expiration publique fixe ; la suppression est possible sur demande.
• Paiements : les données de carte bancaire sont traitées par Stripe, et non stockées par SignThisCard.
• Sécurité des échanges : le site utilise le HTTPS.
• Protection contre les abus : reCAPTCHA v3 et vérification de l'e-mail des organisateurs.

Au Royaume-Uni, le UK GDPR (le RGPD applicable au Royaume-Uni) et le Data Protection Act 2018 s'appliquent aussi à la façon dont votre organisation utilise les données de son personnel. GOV.UK propose un résumé clair des règles britanniques de protection des données.

Signez-vous un accord de traitement des données (DPA) ?

Il n'existe pas de DPA publié. Si votre organisation a besoin d'un accord de traitement des données ou de réponses à un questionnaire de sécurité, contactez-nous et nous en discuterons.

Avant de nous solliciter, il est utile de déterminer comment votre organisation qualifie la relation. L'ICO, l'autorité britannique de protection des données, explique la différence entre un responsable du traitement (qui décide pourquoi et comment les données personnelles sont utilisées) et un sous-traitant (qui agit sur les instructions du responsable du traitement), et liste ce que doit contenir un contrat entre les deux selon l'article 28 du UK GDPR. Votre délégué à la protection des données est la bonne personne pour trancher selon votre cas d'usage.

Où sont stockées les données de nos salariés ?

Les informations sur l'hébergeur sont disponibles sur demande. Certains tiers cités dans la politique de confidentialité (Google Fonts, reCAPTCHA et Stripe) peuvent traiter des données hors du Royaume-Uni. Si vous avez besoin des informations d'hébergement pour une analyse des transferts, demandez-les-nous via la page de contact.

Les recommandations de l'ICO sur les transferts internationaux expliquent, au Royaume-Uni, quand l'envoi de données personnelles hors du pays constitue un transfert encadré et quelles garanties s'appliquent. Votre évaluateur peut comparer nos réponses à ces recommandations.

Quelles données contient une carte de groupe ?

Une carte de groupe contient généralement :

• Les informations du compte de l'organisateur (nom et e-mail)
• L'image de couverture, le message de couverture et la musique ou la vidéo éventuellement ajoutées par l'organisateur
• Le message de chaque signataire et le nom qu'il saisit, ainsi que la photo ou la signature dessinée qu'il choisit d'ajouter
• L'adresse e-mail du destinataire, si l'organisateur utilise le bouton d'envoi par e-mail

SignThisCard prend-il en charge le SSO avec Microsoft ou Google ?

Non. SignThisCard ne prend pas en charge l'authentification unique (SAML, connexion Microsoft ou Google). Les organisateurs se connectent avec un e-mail et un mot de passe, ou avec un lien et un code de connexion envoyés par e-mail. Les signataires ne se connectent pas du tout.

Concrètement :

• Qui a besoin d'un compte : uniquement les organisateurs, c'est-à-dire les personnes qui créent des cartes. Avec un compte équipe, ce sont les personnes qui ont une place.
• Adhésion : le propriétaire ou les administrateurs invitent des personnes par e-mail (les liens d'invitation fonctionnent une fois, pendant 14 jours), ou le propriétaire peut autoriser toute personne disposant d'un e-mail confirmé sur le domaine de l'entreprise à rejoindre l'équipe tant qu'il reste des places. Les domaines de messagerie personnelle ne peuvent pas être utilisés. Il n'y a pas de SCIM ni d'autre provisionnement automatique.
• Rôles : propriétaire, administrateur et membre. Seuls le propriétaire et les administrateurs voient la liste des membres ; seul le propriétaire gère la facturation.
• Départs : le propriétaire et les administrateurs peuvent retirer des membres de l'équipe. Les cartes appartiennent à la personne qui les a créées et restent dans son propre compte ; le retrait ramène cette personne sur sa propre formule. Ajoutez ce point à votre checklist de départ.

Le National Cyber Security Centre (NCSC), l'agence britannique de cybersécurité, inclut l'authentification unique dans ses questions simplifiées sur les services cloud. Si le SSO est une exigence ferme de votre politique, SignThisCard n'est pas adapté aujourd'hui ; notre guide sur la meilleure plateforme de cartes de groupe pour les entreprises compare les options de façon équitable.

Qui peut voir une carte ?

Toute personne disposant du lien de signature ou du lien de la carte terminée peut l'ouvrir. Le lien fait office de contrôle d'accès, comme le lien de partage d'un document.

Bonnes pratiques à inclure dans les consignes destinées aux organisateurs :

1. Ne partagez les liens de signature qu'avec les signataires prévus, dans des canaux privés ou des messages privés.
2. Gardez le lien de gestion de la carte confidentiel ; il est réservé à l'organisateur.
3. N'envoyez le lien de la carte terminée qu'au destinataire et aux personnes de son choix.
4. Téléchargez un PDF en souvenir, puis demandez à l'assistance de supprimer la carte si vous ne voulez plus qu'elle reste en ligne.

Notre guide général pour savoir si les sites de cartes de groupe sont sûrs aborde ce sujet du point de vue des signataires.

Checklist d'évaluation de la sécurité pour les équipes informatiques

Utilisez cette checklist pour n'importe quel fournisseur de cartes de groupe. Elle reprend les thèmes de l'approche simplifiée de la sécurité du cloud proposée par le NCSC britannique. La colonne de droite donne les réponses de SignThisCard en novembre 2026.

Tout ce qui n'est pas traité ici, comme le chiffrement au repos ou la réponse aux incidents, est à nous demander directement. Nous préférons y répondre correctement plutôt que de faire des suppositions dans un article.

Quand SignThisCard est-il adapté, et quand ne l'est-il pas ?

Il convient aux organisations qui veulent un outil de cartes simple et peu coûteux, où seuls quelques organisateurs ont un compte et où les signataires restent anonymes pour le système. Il est moins adapté quand la politique interne exige le SSO, un DPA signé avant toute utilisation, un provisionnement SCIM ou des journaux d'audit centralisés.

Pour les très grandes organisations, notre guide sur les plateformes de cartes de groupe pour les grandes entreprises aborde le nombre de places, les arrangements sur mesure et la prise de contact au-delà de 500 places.

Points clés à retenir

• SignThisCard est exploité par Williation Technologies Ltd, immatriculée en Angleterre et au pays de Galles (numéro d'entreprise 17289183).
• La politique de confidentialité détaille les données collectées, les bases légales, les durées de conservation et les tiers susceptibles de traiter des données hors du Royaume-Uni.
• Il n'existe pas de DPA publié ; les organisations qui en ont besoin, ou qui ont un questionnaire de sécurité, doivent nous contacter.
• Les informations sur l'hébergeur sont disponibles sur demande.
• Le SSO (SAML, Microsoft, Google) n'est pas pris en charge ; la connexion se fait par e-mail et mot de passe, ou par lien et code envoyés par e-mail.
• Les signataires n'ont pas besoin de compte ; toute personne disposant d'un lien de signature peut ouvrir la carte, alors partagez les liens avec soin.

Questions fréquentes

SignThisCard est-il certifié RGPD ?

Non, et nous ne revendiquons aucun badge de certification. Nous décrivons nos pratiques dans la politique de confidentialité, qui couvre les données collectées, les bases légales, les durées de conservation et les tiers. Votre délégué à la protection des données peut l'examiner et nous contacter pour toute question complémentaire ou un questionnaire de sécurité.

Signerez-vous notre DPA ?

Il n'existe pas de DPA publié. Si votre organisation a besoin d'un accord de traitement des données, contactez-nous via la page de contact en précisant vos exigences, et nous verrons ce que nous pouvons faire. Nous ne pouvons pas garantir de conditions particulières à l'avance : abordez donc le sujet tôt dans votre évaluation.

Nos données sont-elles stockées au Royaume-Uni ?

Les informations sur l'hébergeur sont disponibles sur demande. La politique de confidentialité indique que Google Fonts, reCAPTCHA et Stripe peuvent traiter des données hors du Royaume-Uni. Si vous avez besoin des informations d'hébergement pour une analyse d'impact des transferts, demandez-les-nous via la page de contact avant de déployer l'outil.

Les salariés peuvent-ils se connecter avec leur compte Microsoft ou Google ?

Non. SignThisCard ne prend pas en charge le SSO via SAML, Microsoft ou Google. Les organisateurs se connectent avec un e-mail et un mot de passe, ou avec un lien et un code envoyés par e-mail. Les signataires ne se connectent jamais. Si votre politique de sécurité impose le SSO pour tous les outils SaaS, SignThisCard n'est pas adapté aujourd'hui.

Que deviennent les cartes d'un salarié qui quitte l'entreprise ?

Le propriétaire et les administrateurs peuvent le retirer de l'équipe, ce qui le ramène sur sa propre formule. Ses cartes restent dans son propre compte, car les cartes appartiennent à la personne qui les a créées. Si une carte doit être supprimée, son créateur peut le demander à l'assistance, ou vous pouvez nous contacter.

Les signataires doivent-ils nous fournir des données personnelles ?

Les signataires n'ont pas besoin de compte. Ils saisissent un message et un nom, et peuvent ajouter une photo ou une signature dessinée s'ils le souhaitent. Encouragez chacun à rester général dans ses messages et à éviter les informations sensibles, comme les données de santé, en particulier sur les cartes de prompt rétablissement et de condoléances.

Conclusion

Le RGPD et la sécurité des cartes de groupe en entreprise se résument à des réponses claires : qui exploite le service, quelles données il contient, où elles vont et comment les utilisateurs se connectent. SignThisCard publie une politique de confidentialité, fournit les informations d'hébergement sur demande et dit franchement ce qu'il ne propose pas : pas de DPA publié et pas de SSO.

Si vous évaluez SignThisCard pour votre organisation, lisez la politique de confidentialité, passez la checklist ci-dessus et envoyez vos questions de sécurité à notre équipe.