--- title: "Conformité SOC 2 Type II de Papermark en 2026 : périmètre d'audit et les 5 critères des services de confiance" lang: fr canonical_url: https://www.papermark.com/fr/blog/papermark-soc2-compliance last_updated: 2026-04-24 published: 2025-01-27 category: [datarooms] author: "Marc Seitz" summary: "La conformité SOC 2 Type II de Papermark expliquée : les cinq critères des services de confiance, le périmètre d'audit et ce que cela signifie pour les fusions-acquisitions, la levée de fonds et les flux de travail VDR réglementés." --- # Conformité SOC 2 Type II de Papermark en 2026 : périmètre d'audit et les 5 critères des services de confiance **Papermark est conforme à la norme SOC 2 Type II.** L'audit couvre les critères des services de confiance de l'AICPA (sécurité, disponibilité, confidentialité) sur l'ensemble de notre salle de données virtuelle, notre plateforme de partage de documents et d'analyse. Pour une vue complète de la sécurité et de la conformité (chiffrement, régions d'hébergement, certifications, sous-traitants), consultez la **[page sécurité de Papermark](https://www.papermark.com/fr/security.md)**. ![Interface de la salle de données virtuelle Papermark](https://img.papermarkassets.com/upload/file_PozrdqqxGja9TfGN7FuYHT-Screenshot-2024-07-10-at-5.47.16-PM.png) Ce guide explique ce que signifie SOC 2 Type II, ce que couvre notre audit et pourquoi cela est important pour les équipes achats qui évaluent Papermark pour les fusions-acquisitions, les levées de fonds et les flux de travail réglementés. ## Récapitulatif rapide - **SOC 2** (System and Organization Controls 2) est une norme d'audit de l'AICPA pour les organisations de services évaluant les contrôles liés aux données clients. - **SOC 2 Type II** (par opposition au Type I) évalue l'efficacité opérationnelle des contrôles sur une période donnée (généralement 6 à 12 mois), et pas seulement leur conception à un instant T. - **Cinq critères des services de confiance (TSC)** : sécurité, disponibilité, intégrité du traitement, confidentialité, protection de la vie privée. - **L'audit SOC 2 Type II de Papermark** couvre les critères de sécurité (obligatoire), de disponibilité et de confidentialité en standard, la protection de la vie privée étant traitée par des contrôles conformes au RGPD. - **Fréquence d'audit** : annuelle, avec surveillance continue entre les audits. - **Disponibilité du rapport** : le rapport SOC 2 Type II est disponible pour les clients entreprise sous accord de confidentialité. - **Lien avec le RGPD, HIPAA, ISO 27001** : SOC 2 constitue une base solide ; des cadres supplémentaires s'appliquent pour certains secteurs réglementés. ## Qu'est-ce que la conformité SOC 2 Type II ? > SOC 2 (System and Organization Controls 2) est une procédure d'audit rigoureuse développée par l'American Institute of Certified Public Accountants (AICPA). Elle évalue la manière dont les organisations de services traitent les données clients selon cinq critères de services de confiance : la sécurité, la disponibilité, l'intégrité du traitement, la confidentialité et la protection de la vie privée. Les rapports de Type II évaluent l'efficacité opérationnelle des contrôles sur une période d'audit de 6 à 12 mois, et non uniquement leur conception à un instant donné. SOC 2 est l'attestation de sécurité et de contrôles dominante pour les SaaS B2B en Amérique du Nord et devient de plus en plus attendue en Europe et en Asie-Pacifique. Pour les salles de données virtuelles gérant des opérations de fusions-acquisitions, de levées de fonds et d'audits réglementaires, SOC 2 Type II constitue une exigence de base en matière d'approvisionnement, et non un facteur de différenciation. ## Les cinq critères de services de confiance Les audits SOC 2 sont définis autour de cinq critères de services de confiance de l'AICPA. Chaque audit SOC 2 inclut la Sécurité (les critères communs) ; des critères supplémentaires sont ajoutés en fonction du périmètre de l'organisation de services. **Sécurité.** Protection contre l'accès non autorisé, la divulgation, l'altération et les dommages. Couvre les contrôles d'accès, le chiffrement, la sécurité réseau, la réponse aux incidents et la gestion des changements. Requis dans chaque audit SOC 2. **Disponibilité.** Disponibilité du système pour l'exploitation et l'utilisation selon les engagements ou accords convenus. Couvre le temps de disponibilité, la résilience, la reprise après sinistre et la planification des capacités. **Intégrité du traitement.** Le traitement du système est complet, valide, précis, opportun et autorisé. Pertinent pour les systèmes effectuant des calculs ou un traitement automatisé (moins central pour une VDR). **Confidentialité.** Les informations désignées comme confidentielles sont protégées. Couvre la classification des données, les contrôles d'accès, la conservation et l'élimination sécurisée. **Protection de la vie privée.** Les informations personnelles sont collectées, utilisées, conservées, divulguées et éliminées conformément aux principes de confidentialité généralement acceptés (GAPP) de l'AICPA. Recoupe le RGPD mais constitue un cadre distinct. ## Périmètre de l'audit SOC 2 Type II de Papermark L'audit SOC 2 Type II de Papermark couvre la Sécurité (Critères communs obligatoires) ainsi que la Disponibilité et la Confidentialité. La Confidentialité des données personnelles est traitée via des contrôles conformes au RGPD documentés séparément dans notre [présentation de la conformité RGPD](/fr/blog/papermark-gdpr-compliance.md). ### Contrôles de sécurité ![Autorisations d'accès granulaires sur une data room Papermark](https://img.papermarkassets.com/upload/file_LkU4BNY6MKUKMgDucSzzFg-papermark-granular-permissions.png) - **Gestion des accès** : authentification multifacteur, contrôles d'accès basés sur les rôles, jetons API à portée limitée, révisions régulières des accès. - **Chiffrement des données** : AES-256 au repos pour tous les documents stockés, métadonnées et journaux d'audit ; TLS 1.3 en transit pour toutes les communications client-serveur. - **Sécurité réseau** : pare-feu applicatif web, protection DDoS, limitation du débit, détection et surveillance des intrusions. - **Sécurité des terminaux** : politiques de gestion des appareils, détection et réponse sur les terminaux (EDR), et authentification sécurisée pour l'accès des employés. - **Sécurité physique** : centres de données cloud sécurisés (fournisseurs d'infrastructure attestés SOC 2) avec surveillance 24h/24 et 7j/7, contrôles d'accès et mesures de protection environnementales. ### Contrôles de disponibilité - **Disponibilité** : surveillance opérationnelle avec objectifs de niveau de service (SLA) pour les offres Papermark hébergées. - **Redondance** : sauvegardes de base de données multi-régions et redondance au niveau applicatif. - **Reprise après sinistre** : procédures de reprise documentées avec objectifs de temps de reprise (RTO) et objectifs de point de reprise (RPO) testés annuellement. - **Planification de la capacité** : dimensionnement proactif et surveillance des performances. ### Contrôles de confidentialité - **Classification des données** : schéma de classification documenté pour le contenu téléchargé par les clients versus les données opérationnelles de la plateforme. - **Restrictions d'accès** : données confidentielles des clients accessibles uniquement aux systèmes et employés autorisés selon le principe du besoin d'en connaître. - **Conservation et élimination** : calendriers de conservation documentés et procédures de suppression sécurisée alignés sur les contrats clients. - **Accords de confidentialité** : accords de non-divulgation (NDA) et obligations de confidentialité pour les employés et sous-traitants. ### Contrôles opérationnels - **Gestion des incidents** : astreinte 24h/24 et 7j/7, procédures de réponse aux incidents documentées, workflows de notification en cas de violation. - **Gestion des changements** : cycle de développement contrôlé (revue basée sur Git, déploiements en staging, approbations de production). - **Gestion des fournisseurs** : évaluations de sécurité pour les sous-traitants et fournisseurs tiers. - **Formation des employés** : formation en sécurité et confidentialité pour tous les collaborateurs ayant accès aux données clients. ## Pourquoi la SOC 2 est importante pour les salles de données virtuelles La SOC 2 Type II est l'attestation de conformité la plus couramment demandée lors des évaluations de fournisseurs de VDR. Quatre flux de travail spécifiques en dépendent. **Achats dans les secteurs réglementés.** Les banques, les établissements de santé, les compagnies d'assurance et les organisations liées au secteur public exigent généralement la SOC 2 Type II comme référence minimale avant de collaborer avec un fournisseur cloud. Sans cette certification, le fournisseur ne passe pas le filtre des achats. **Diligence raisonnable des fournisseurs en entreprise.** Les grandes entreprises menant des processus de gestion des risques fournisseurs demandent systématiquement le rapport SOC 2 Type II (sous NDA) dans le cadre de l'intégration. Il s'agit d'une pratique standard d'hygiène des achats, et non d'une exigence exceptionnelle. **Salles de données pour fusions-acquisitions et levées de fonds.** Les investisseurs institutionnels et les acquéreurs stratégiques demandent de plus en plus quelles attestations de conformité détient le fournisseur de VDR de leur cible. La SOC 2 Type II est la réponse qui clôt la discussion. **Responsabilité post-incident.** En cas d'incident de sécurité, disposer d'un rapport SOC 2 Type II à jour ainsi que d'un programme de surveillance continu réduit considérablement la responsabilité et l'exposition réglementaire par rapport à l'absence d'attestation. ## SOC 2 Type II vs Type I : quelle est la différence ? Un rapport **SOC 2 Type I** évalue si les contrôles sont correctement conçus à un instant donné. Un rapport **SOC 2 Type II** évalue si les contrôles sont correctement conçus _et_ fonctionnent efficacement sur une période d'audit définie (généralement 6 à 12 mois). Le Type I est plus facile à obtenir mais constitue une attestation moins solide : il confirme l'existence des contrôles, mais pas leur fonctionnement fiable dans le temps. Le Type II est l'exigence standard du secteur pour les fournisseurs SaaS matures traitant des données clients sensibles. Papermark fait l'objet d'un audit annuel selon la norme SOC 2 Type II. ## SOC 2 vs ISO 27001 vs RGPD vs HIPAA Les cadres de conformité ne sont pas interchangeables. Le tableau ci-dessous établit une correspondance entre les quatre cadres les plus courants pour l'acquisition de VDR. | Cadre | Périmètre | Audit/Certification | Courant dans | | ----------------- | -------------------------------------------------- | ------------------------------------------------------------ | ----------------------------------------------- | | **SOC 2 Type II** | Critères des Services de Confiance AICPA | Audit annuel, rapport sous NDA | Centré sur les États-Unis, SaaS B2B | | **ISO 27001** | Système de gestion de la sécurité de l'information | Certification formelle par un organisme accrédité | Entreprises européennes et internationales | | **RGPD** | Protection des données personnelles UE | Conformité légale, DPA, liste des sous-traitants | Tout traitement de données de résidents de l'UE | | **HIPAA** | PHI dans le secteur de la santé aux États-Unis | BAA, programme de conformité (pas de certification formelle) | Santé, biotechnologie, dispositifs médicaux | De nombreux clients entreprise demandent plusieurs cadres. Papermark maintient la conformité SOC 2 Type II et RGPD en standard, prend en charge ISO 27001 via un déploiement auto-hébergé sur l'infrastructure du client, et propose la conformité HIPAA via l'auto-hébergement et un BAA signé dans les contrats entreprise. ## Voir les contrôles SOC 2 dans le produit La journalisation d'audit en mode ajout seul capture chaque consultation et téléchargement pour le critère de Confidentialité SOC 2 : ![Analyse de documents page par page](https://img.papermarkassets.com/upload/file_VnvhR1hNWeJAbmwPYyMnPA-pitch-deck-analytics-Papermark-v2-.png) Le filigrane dynamique par session marque chaque page avec l'e-mail du lecteur, l'IP et l'horodatage : ![Filigrane dynamique sur un document Papermark](https://img.papermarkassets.com/upload/file_K5YrPULdsZpdY6zaxnGHsN-Screenshot-2025-03-27-at-1.47.20-PM.png) Pour la liste actualisée des certifications, des régions d'hébergement, des normes de chiffrement et de la procédure de demande de NDA SOC 2, consultez la **[page sécurité de Papermark](https://www.papermark.com/fr/security.md)**. ## Comment obtenir le rapport SOC 2 Type II de Papermark Le rapport SOC 2 Type II de Papermark est disponible pour les clients et prospects entreprise sous NDA mutuel. Pour demander le rapport : 1. Contactez votre représentant de compte Papermark ou envoyez un e-mail à security@papermark.com. 2. Complétez un accord de confidentialité (NDA mutuel standard ou formulaire fourni par le client accepté). 3. Recevez le rapport SOC 2 Type II couvrant la période d'audit en cours. Le rapport comprend l'opinion de l'auditeur indépendant, la description du système et de ses contrôles, les résultats des tests d'efficacité opérationnelle et l'assertion de la direction. ## Posture de conformité de Papermark | Cadre réglementaire | Statut Papermark | | ---------------------- | ------------------------------------------------------------- | | SOC 2 Type II | ✔️ Audité annuellement | | RGPD | ✔️ Conforme, DPA disponible | | ISO 27001 | Via déploiement auto-hébergé sur l'infrastructure client | | HIPAA | Via auto-hébergement + BAA signé (forfait entreprise) | | CCPA | ✔️ Conforme | | FDA 21 CFR Part 11 | Via déploiement auto-hébergé avec export des journaux d'audit | | Chiffrement au repos | AES-256 | | Chiffrement en transit | TLS 1.3 | | MFA | ✔️ | | Option auto-hébergée | ✔️ (open-source AGPL) | ## FAQ ### Papermark est-il conforme SOC 2 ? Oui. Papermark est conforme SOC 2 Type II, audité annuellement selon les critères de services de confiance de l'AICPA. L'audit couvre la Sécurité (obligatoire), la Disponibilité et la Confidentialité. La Confidentialité des données personnelles est traitée via des contrôles alignés sur le RGPD documentés séparément. ### Quelle est la différence entre SOC 2 Type I et Type II ? SOC 2 Type I évalue si les contrôles sont correctement conçus à un moment donné. SOC 2 Type II évalue si les contrôles sont correctement conçus ET fonctionnent efficacement sur une période d'audit définie (généralement 6 à 12 mois). Le Type II est la norme attendue du secteur pour les fournisseurs SaaS matures. ### Puis-je obtenir le rapport SOC 2 de Papermark ? Oui. Le rapport SOC 2 Type II de Papermark est disponible pour les clients et prospects entreprise sous accord de confidentialité mutuel. Contactez votre représentant Papermark ou envoyez un e-mail à security@papermark.com pour initier le processus de signature de l'accord et de livraison du rapport. ### À quelle fréquence Papermark renouvelle-t-il son SOC 2 Type II ? Annuellement. Les audits SOC 2 Type II couvrent une période définie (généralement 6 à 12 mois). Papermark maintient une conformité continue entre les audits grâce à une surveillance continue, des révisions d'accès trimestrielles et des tests de pénétration réguliers. ### Quels critères de services de confiance l'audit de Papermark couvre-t-il ? Sécurité (critères communs obligatoires), Disponibilité et Confidentialité. La Confidentialité des données personnelles est traitée via des contrôles alignés sur le RGPD documentés dans notre aperçu de conformité RGPD. L'Intégrité du traitement n'entre pas dans le périmètre car Papermark n'effectue pas de calculs automatisés sur les données des clients. ### Le SOC 2 Type II remplace-t-il le RGPD, l'ISO 27001 ou l'HIPAA ? Non. Les cadres de conformité ne sont pas interchangeables. SOC 2 Type II est une attestation centrée sur les États-Unis des contrôles opérationnels ; le RGPD est la législation européenne sur le traitement des données personnelles ; l'ISO 27001 est une certification SMSI mondiale ; l'HIPAA est la législation américaine sur la santé. Papermark maintient SOC 2 Type II et RGPD en standard et prend en charge HIPAA et ISO 27001 via un déploiement auto-hébergé. ### Ai-je besoin du SOC 2 Type II pour ma salle de données virtuelle ? Oui si vous opérez dans un secteur réglementé (finance, santé, juridique, gouvernement), si vos clients entreprise ou investisseurs effectuent des évaluations de fournisseurs, ou si vous traitez des informations matérielles non publiques (opérations de fusions-acquisitions, processus d'introduction en bourse, levées de fonds institutionnelles). Le SOC 2 Type II est l'exigence de base pour les fournisseurs de salles de données virtuelles sérieux. ### Quels contrôles de sécurité le SOC 2 Type II couvre-t-il ? Gestion des accès (MFA, RBAC), chiffrement (AES-256 au repos, TLS 1.3 en transit), sécurité réseau (WAF, protection DDoS, IDS), sécurité des terminaux, sécurité physique de l'infrastructure, réponse aux incidents, gestion des changements, gestion des fournisseurs et formation des employés. ## Ressources associées - [Conformité RGPD de Papermark](/fr/blog/papermark-gdpr-compliance.md) - [Qu'est-ce qu'une salle de données virtuelle ?](/fr/blog/what-is-virtual-data-room.md) - [15 fonctionnalités de salle de données virtuelle qui comptent](/fr/blog/virtual-data-room-features.md) - [Guide complet de la salle de données de due diligence](/fr/blog/best-virtual-data-rooms-for-due-diligence.md) - [Meilleures salles de données virtuelles en 2026](/fr/blog/best-virtual-data-rooms.md) - [Salle de données virtuelle pour la biotechnologie (HIPAA)](/fr/blog/virtual-data-room-for-biotech.md) - [Page sécurité de Papermark](https://www.papermark.com/fr/security.md) --- _Markdown version of [this article](https://www.papermark.com/fr/blog/papermark-soc2-compliance) for AI agents and LLMs._ _More Papermark content: [llms.txt](https://www.papermark.com/fr/llms.txt) · [full index (English)](https://www.papermark.com/llms-full.txt)._