安全性与合规
信任是 Certyneo 的核心价值。本页详细说明目前我们基础架构与应用程序中实际采用的各项措施。
最后更新于 .
符合 eIDAS 规范
我们的简单签名(SES)与高级签名(AES,采用电子邮件 + 短信 OTP)均符合欧盟 eIDAS 条例。
TLS 1.3 加密
所有客户端与服务器间的通信,皆通过我们的反向代理(Let's Encrypt 自动续发证书)以 TLS 1.3 加以保护。
法国境内主机托管
应用程序、PostgreSQL 数据库与对象保存,皆托管于我们位于法国的基础架构(IONOS)。
签名审计轨迹
每一项动作(打开、OTP、签名、拒绝、逾期)皆附有时间戳并予以保存。审计页脚会内嵌于已签署的 PDF 中。
签署人身份验证
高级(AES):采用双重 OTP 电子邮件 + 短信(OTP SMS)。发件人登录则采用电子邮件 + 密码、Google 或 Microsoft Entra。
GDPR
符合 GDPR(通用数据保护条例):涵盖访问权、更正权、删除权,以及处理活动台账。
法规合规性
Certyneo 符合适用于电子签名与数据保护的欧盟条例。
eIDAS
SES 与 AES 签名
默认为简单电子签名(SES)。为强化证据效力,高级电子签名(AES)采用电子邮件 + 短信 OTP,符合欧盟条例(EU)第 910/2014 号。
GDPR
数据保护
符合欧盟条例(EU)2016/679。数据托管于欧盟境内,保存期限已明文记录,并备有处理活动台账;数据处理协议(DPA)可依申请提供。
我们的安全实务
以下是正式环境中所部署的具体措施。
- 所有 HTTP 通信采用 TLS 1.3 加密(Caddy 2、Let's Encrypt)
- 用户密码采用 scrypt 哈希(含 salt 与时序安全比较)
- 电子邮件验证与密码重设代码为一次性使用,有效期 1 小时
- 高级签名采用 OTP SMS OTP,有效期短,仅限一次使用
- 敏感端点依方案进行应用程序层级的速率限制(Redis)
- 兼容于 S3 的对象保存,文档已激活版本控制
- 信封生命周期每一步骤皆附时间戳之审计记录
- 每个信封生命周期步骤的时间戳审计日志
Security roadmap
Our upcoming milestones to strengthen trust and compliance.
- 2026年第四季度
ISO 27001 audit
计划中ISO 27001 certification audit planned with an accredited body.
- 2027
SOC 2 Type II
计划中SOC 2 Type II report covering security, availability and confidentiality.
Responsible disclosure
Found a vulnerability? Please contact us responsibly before any public disclosure. We acknowledge receipt within 48 business hours.
[email protected]Data Processing Agreement
Our DPA details Certyneo's obligations as a data processor under the GDPR, including technical and organisational measures.
Download DPA (PDF)Certyneo安全常见问题
- Certyneo数据存储在哪里？
- 所有数据均仅存储于德国（IONOS SE，法兰克福），位于欧盟内。不进行任何向欧盟外服务器的复制或分包。
- Certyneo 是否受美国 Cloud Act 约束？
- 否。Certyneo 是一家法国实体（法国法律下的 SAS），不受美国 Cloud Act 的域外管辖权约束。与 DocuSign、Adobe Sign 或 Dropbox Sign（美国公司）不同，美国当局无法强制 Certyneo 披露您的数据。
- Certyneo 是否符合 RGPD？
- 是的。Certyneo 符合 RGPD：欧盟数据中心托管、传输时使用 TLS 1.3 加密、静态时使用 AES-256 加密、提供 DPA（RGPD 第 28 条）、有限且已记录的数据保留期限、尊重访问权和删除权。
- 已签署的文档如何防止被篡改？
- 每份已签署的文档都受到密码封印（SHA-256 哈希）的保护，该封印记录在带时间戳的审计日志中。签署后对文档的任何修改都将使封印失效，并立即被检测。审计日志保留 10 年。
- Certyneo 是否有 DPA（数据处理协议）？
- 是的。Certyneo 提供符合 RGPD 第 28 条的 DPA，可从您的仪表板电子签署或按需提供。它详细说明了分包商、技术和组织措施 (TOM)，以及数据主体的权利。