安全性與合規
信任是 Certyneo 的核心價值。本頁詳細說明目前我們基礎架構與應用程式中實際採用的各項措施。
最後更新於 .
符合 eIDAS 規範
我們的簡單簽名(SES)與進階簽名(AES,採用電子郵件 + 簡訊 OTP)均符合歐盟 eIDAS 規則。
TLS 1.3 加密
所有客戶端與伺服器間的通訊,皆透過我們的反向代理(Let's Encrypt 自動續發憑證)以 TLS 1.3 加以保護。
法國境內主機代管
應用程式、PostgreSQL 資料庫與物件儲存,皆代管於我們位於法國的基礎架構(IONOS)。
簽名稽核軌跡
每一項動作(開啟、OTP、簽名、拒絕、逾期)皆附有時間戳記並予以保存。稽核頁尾會內嵌於已簽署的 PDF 中。
簽署人身分驗證
進階等級(AES):採用雙重 OTP 電子郵件 + 簡訊(OTP SMS)。寄件者登入則採用電子郵件 + 密碼、Google 或 Microsoft Entra。
GDPR
符合 GDPR(通用資料保護規則):涵蓋存取權、更正權、刪除權,以及處理活動紀錄簿。
法規合規性
Certyneo 符合適用於電子簽名與資料保護的歐盟規則。
eIDAS
SES 與 AES 簽名
預設為簡單電子簽名(SES)。為強化證據效力,進階電子簽名(AES)採用電子郵件 + 簡訊 OTP,符合歐盟規則(EU)第 910/2014 號。
GDPR
資料保護
符合歐盟規則(EU)2016/679。資料代管於歐盟境內,保存期限已明文記錄,並備有處理活動紀錄簿;資料處理合約(DPA)可依申請提供。
我們的安全實務
以下是正式環境中所部署的具體措施。
- 所有 HTTP 通訊採用 TLS 1.3 加密(Caddy 2、Let's Encrypt)
- 使用者密碼採用 scrypt 雜湊(含 salt 與時序安全比較)
- 電子郵件驗證與密碼重設代碼為一次性使用,有效期 1 小時
- 進階簽名採用 OTP SMS OTP,有效期短,僅限一次使用
- 敏感端點依方案進行應用程式層級的速率限制(Redis)
- 相容於 S3 的物件儲存,文件已啟用版本控制
- 信封生命週期每一步驟皆附時間戳記之稽核紀錄
- 每個信封生命週期步驟的時間戳記審計日誌
Security roadmap
Our upcoming milestones to strengthen trust and compliance.
- 2026 年第四季
ISO 27001 audit
計劃中ISO 27001 certification audit planned with an accredited body.
- 2027
SOC 2 Type II
計劃中SOC 2 Type II report covering security, availability and confidentiality.
Responsible disclosure
Found a vulnerability? Please contact us responsibly before any public disclosure. We acknowledge receipt within 48 business hours.
[email protected]Data Processing Agreement
Our DPA details Certyneo's obligations as a data processor under the GDPR, including technical and organisational measures.
Download DPA (PDF)Certyneo 安全性常見問題
- Certyneo 資料託管在哪裡？
- 所有資料均以獨佔方式託管在德國（IONOS SE，法蘭克福），位於歐盟內。不會向歐盟外伺服器進行任何複製或委外。
- Certyneo 是否受美國雲法案約束？
- 否。Certyneo 是法國實體（法國法律下的 SAS），不受美國雲法案的域外管轄權約束。與 DocuSign、Adobe Sign 或 Dropbox Sign（美國公司）不同，美國當局無法強制 Certyneo 披露您的數據。
- Certyneo 是否符合 RGPD？
- 是。Certyneo 符合 RGPD：歐盟託管、傳輸中採用 TLS 1.3 加密、靜態採用 AES-256 加密、提供 DPA（RGPD 第 28 條）、數據保留期限有限且有文檔記錄、尊重訪問和刪除權。
- 已簽名文件如何防止偽造？
- 每份已簽名的文件都受密碼學印章（SHA-256 雜湊）保護，該印章記錄在帶時間戳的審計跟蹤中。簽名後對文件的任何修改都會使印章失效，並立即被檢測到。審計跟蹤保留 10 年。
- Certyneo 是否提供 DPA（數據處理協議）？
- 是。Certyneo 提供符合 RGPD 第 28 條的 DPA，可以從您的儀表板以電子方式簽署或按需提供。它詳細說明了分包商、技術和組織措施 (TOMs) 以及數據主體的權利。