ISO 27001 ou SOC 2 : quoi exiger d’un éditeur ?
Vous comparez des logiciels de contrats, chacun affiche ISO 27001 ou SOC 2, et vous devez décider lesquels gardent leur place sur votre liste côté sécurité.
Exigez le document daté avec ce qu’il couvre, pas la phrase du site. ISO 27001 (un certificat d’un organisme tiers sur le système de sécurité de l’éditeur) ou SOC 2 Type 2 (le rapport d’un auditeur sur ses contrôles pendant une période) nous conviennent l’un comme l’autre : l’essentiel est que le document nomme bien cet éditeur et ce produit, et qu’il soit en cours de validité. Si vos contrats sont sensibles et que l’éditeur ne le fournit pas sur demande, il sort de la liste.
Si vos données ne sont pas sensibles et que l’engagement est court, la déclaration de l’éditeur et le contrat de sous-traitance peuvent suffire. Ne bloquez pas un petit achat pour un rapport que personne ne lira.
Notre avis
Ne classez pas les éditeurs sur le logo. Nous regardons d’abord si le document s’obtient, puis nous le lisons avec cinq questions : qui est nommé, ce qui est couvert, quelle période, quels écarts, ce qui reste à votre charge. Un refus de le fournir pèse plus lourd que le choix entre ISO et SOC 2.
Pourquoi
- Les mots affichés ne se valent pas. Gino écrit « respect des exigences », Tomorro « certifié », et Oneflow fait état de SOC 2 Type 1, ce qui n’a pas la même portée que le Type 2.
- Le certificat de l’hébergeur n’est pas celui de l’éditeur. Ironclad rapporte ses mentions ISO à ses fournisseurs de cloud, et l’annexe de Legisway à son hébergeur.
- Ces documents se lisent. Un rapport peut signaler des écarts et lister ce qui reste à votre charge : ces pages valent plus que la couverture.
Ce qui change notre avis
Durcissez si un client, une autorité ou votre direction exige une attestation par contrat : elle devient alors éliminatoire, quelle que soit la taille de l’achat. Allégez pour un engagement d’un an, sans données personnelles en nombre ni secret d’affaires.
Trois documents qui ne prouvent pas la même chose
Les deux référentiels ne se lisent pas de la même manière. Ce tableau s’appuie sur la description de Microsoft pour ses propres rapports et sur celle d’AFNOR Certification pour son cycle, car nous n’avons pas lu les textes de référence eux-mêmes.
| Document | Ce qu’il montre | Où regarder |
|---|---|---|
| Certificat ISO 27001 | Un organisme tiers a audité le système de management de la sécurité de l’information. AFNOR Certification décrit un audit de suivi annuel et un renouvellement tous les 3 ans | Le nom de l’entité, le périmètre (ce que couvre le certificat), les dates, l’organisme. La déclaration d’applicabilité liste les mesures retenues et leurs justifications |
| Rapport SOC 2 Type 1 | Un auditeur s’est prononcé à une date donnée. Selon Microsoft, il ne regarde pas en arrière sur une période | La date, le système décrit |
| Rapport SOC 2 Type 2 | Selon Microsoft, un auditeur indépendant juge aussi l’efficacité des contrôles sur une période donnée | La période, les écarts relevés, les réponses de la direction, et ce qui reste à la charge du client |
Ce que les éditeurs écrivent vraiment
Aucun des documents derrière ces phrases n’a été lu : ce tableau compare des déclarations, et il ne dit pas qui est le plus sûr. Il montre ce que vous devrez demander à chacun. Agiloft, hors du tableau, déclare SOC 1, SOC 2, ISO 27001 et ISO 27701, sans dire le Type de SOC : demandez-le aussi.
| Éditeur | Ce qui est écrit | Ce que nous demanderions |
|---|---|---|
| Gino | « Respect des exigences RGPD, ISO 27001 et SOC 2 » | Cela ne dit pas « certifié » : demandez le certificat ou le rapport, s’il existe |
| Tomorro | Certifié ISO 27001:2022 ; rapports d’audit et de tests d’intrusion disponibles sur demande | Le certificat et ce qu’il couvre |
| Oneflow | ISO 27001, 9001 et 14001 ; audits SOC 1 et SOC 2 de Type 1 au 2e trimestre 2026, selon son rapport trimestriel | Le rapport, et la date prévue d’un Type 2 |
| Icertis | Portail avec accès par rôle au certificat ISO 27001, à la déclaration d’applicabilité et aux rapports SOC | L’accès au portail avant la présélection |
| Ironclad | Rapports SOC 1 et SOC 2 Type II sur demande. La mention ISO vise ses fournisseurs de cloud | Le rapport, et ne pas le créditer d’une certification ISO sur cette page |
| Docusign | ISO 27001:2022 à l’échelle de l’entreprise, SOC 1 et SOC 2 Type 2 | Le document, et s’il couvre le produit de contrats que vous achetez |
| Juro | SOC 2 Type II et Cyber Essentials | Le rapport, et la période |
| DiliTrust | ISO 27001, ISO 27701 et SOC 2 ; Type II selon une autre page ; un article de 2023 vise la version 2013 d’ISO 27001 | Les documents à jour, et la version |
| Concord | Rapport SOC 2 Type II accessible par un portail | L’accès au portail |
| Legisway | L’annexe indique que l’hébergeur Claranet est certifié ISO 27001 pour ses activités d’hébergement, pour le déploiement « cloud » | Le document qui couvre l’éditeur lui-même |
| MYLEGITECH | Aucune certification citée dans les pages lues | Posez la question : cela ne prouve pas l’absence |
Cinq questions pour lire le document reçu
- Qui est nommé ? L’entité doit correspondre à celle qui signe votre contrat, ou le lien doit être expliqué. Un hébergeur certifié ne vaut pas pour l’éditeur.
- Que couvre-t-il ? Le produit que vous achetez, ses sites, ses équipes. Chez DiliTrust, la FAQ IA écrit qu’il n’existe pas de certification propre à la solution d’IA : si l’IA compte pour vous, posez la question à part.
- Quelle date, quelle période ? Certificat en cours de validité, dernier audit de suivi. Pour un Type 2, la période couverte. Entre deux rapports, Microsoft décrit des lettres de liaison et précise que ce sont de simples auto-attestations : elles n’ont pas la valeur du rapport.
- Que dit-il des écarts ? Selon Microsoft, un rapport comporte le plus souvent des observations sur certains contrôles, et c’est attendu. Vérifiez qu’aucune ne touche vos sujets, et lisez la réponse de la direction.
- Que vous laisse-t-il à faire ? Selon Microsoft, la toute fin de son rapport liste les responsabilités du client. Attendez-vous, par exemple, aux droits, à la connexion unique et aux revues d’accès, et reprenez-les dans votre plan de déploiement.
Quand la déclaration et le contrat suffisent
L’article 28 du règlement général sur la protection des données ne nomme ni ISO ni SOC 2. Il demande de faire appel à un sous-traitant qui présente des « garanties suffisantes », et exige un contrat écrit, qui prévoit notamment de mettre à votre disposition les informations nécessaires et de permettre des audits. Les conditions générales de Tomorro, par exemple, prévoient un audit par an à vos frais, avec un préavis d’au moins un mois.
Dans un petit achat sans données sensibles, nous nous arrêterions donc à trois pièces : la déclaration de l’éditeur, le contrat de sous-traitance et la liste des sous-traitants. Par données sensibles, nous entendons ici des contrats de travail en nombre, des secrets d’affaires ou des données de santé. Ce repère est le nôtre. Le lieu d’hébergement est un autre sujet, qui a sa page.
Limites de cette page
Nous n’avons lu aucun certificat ni rapport : rien ici ne confirme qu’une déclaration est exacte, ni qu’un éditeur est plus sûr qu’un autre. La description du Type 1 et du Type 2 vient de Microsoft, qui parle de ses propres rapports ; celle du cycle ISO vient d’AFNOR Certification, qui décrit son offre ; les textes de référence n’ont pas été lus. Le rapport d’Oneflow est lu dans une reproduction de son communiqué, en suédois. Une attestation ne garantit pas l’absence d’incident.
Preuves et sources
Pages de sécurité de Gino, Tomorro, Oneflow, Icertis, Ironclad, Docusign, Juro, DiliTrust, Agiloft, Concord et MYLEGITECH, annexe de Legisway, règlement général sur la protection des données, pages de Microsoft et d’AFNOR Certification sur ces référentiels lus le 5 novembre 2026. Non lus : tout certificat ou rapport d’éditeur, le portail de confiance d’Icertis et le centre de confiance de Tomorro, que nous n’avons pas pu ouvrir, le texte de la norme ISO et celui du référentiel SOC 2.
Voir les 19 éléments : ce qui est un fait lu, une déclaration, notre déduction ou notre avis
Notre avis. Il faut exiger l’attestation datée avec ce qu’elle couvre ; un éditeur qui ne la fournit pas sur demande sort de la liste si les contrats sont sensibles.
Portée : Avis de ce site.
Réserve : Pour un petit achat sans données sensibles, la déclaration et le contrat de sous-traitance peuvent suffire.
Relevé le 5 novembre 2026.
Déclaration de l’éditeur. Microsoft décrit un rapport SOC 2 Type 2 comme l’opinion d’un cabinet indépendant sur la conception des contrôles, leur fonctionnement à une date donnée et leur efficacité sur une période donnée, et précise qu’un audit de Type 1 ne regarde pas en arrière sur une période.
Portée : Rapports d’Office 365.
Réserve : Microsoft décrit son cas ; le référentiel de l’AICPA n’a pas été lu.
Relevé le 5 novembre 2026.
- Microsoft : System and Organization Controls (SOC) 2 Type 2 - Microsoft Compliance page mise à jour le 2 juin 2026. Lu le 5 novembre 2026. Page de l’éditeur.
Déclaration de l’éditeur. Microsoft indique que ses lettres de liaison sont des auto-attestations et non des rapports d’auditeur, que les examens comportent le plus souvent des observations sur certains contrôles et que la fin du rapport liste les responsabilités du client.
Portée : Rapports d’Office 365.
Réserve : D’autres rapports peuvent être organisés autrement.
Relevé le 5 novembre 2026.
- Microsoft : System and Organization Controls (SOC) 2 Type 2 - Microsoft Compliance page mise à jour le 2 juin 2026. Lu le 5 novembre 2026. Page de l’éditeur.
Déclaration de l’éditeur. Microsoft décrit ISO/IEC 27001 comme la spécification d’un système de management de la sécurité de l’information, audité par un organisme de certification tiers accrédité.
Portée : Page de Microsoft sur ses certifications.
Réserve : Le texte de la norme n’a pas été lu.
Relevé le 5 novembre 2026.
- Microsoft : ISO/IEC 27001 Information Security Management Standards - Microsoft Compliance page mise à jour le 1er septembre 2026. Lu le 5 novembre 2026. Page de l’éditeur.
Déclaration de l’éditeur. AFNOR Certification décrit la définition du périmètre comme première étape, la déclaration d’applicabilité comme le document qui contient les mesures et leurs justifications, et un cycle avec audit de suivi annuel et renouvellement tous les 3 ans.
Portée : Offre d’AFNOR Certification.
Réserve : Un autre organisme peut présenter son cycle autrement.
Relevé le 5 novembre 2026.
- AFNOR Certification : Certification ISO 27001 non datée. Lu le 5 novembre 2026. Page de l’éditeur.
Déclaration de l’éditeur. Gino écrit respecter les exigences RGPD, ISO 27001 et SOC 2, sans joindre d’attestation.
Portée : Page sécurité.
Réserve : « Respect des exigences » n’est pas « certifié ».
Relevé le 5 novembre 2026.
- Gino LegalTech : Sécurité et souveraineté non datée (pied de page © 2026 ou sans date). Lu le 5 novembre 2026. Page de l’éditeur.
Déclaration de l’éditeur. Tomorro se déclare certifié ISO 27001:2022 et indique que les rapports d’audit et de tests d’intrusion sont disponibles sur demande.
Portée : Page en anglais.
Réserve : Certificat non lu ; centre de confiance inaccessible à la lecture.
Relevé le 5 novembre 2026.
- Tomorro : Security (version anglaise de la page Sécurité) non datée. Lu le 5 novembre 2026. Page de l’éditeur.
Déclaration de l’éditeur. Oneflow déclare des certifications ISO 27001, 9001 et 14001, et son rapport du deuxième trimestre 2026 fait état d’audits indépendants SOC 1 Type 1 et SOC 2 Type 1.
Portée : Page sécurité et communiqué du 14 août 2026.
Réserve : Communiqué lu dans une reproduction par un tiers ; aucun rapport de Type 2 déclaré.
Relevé le 5 novembre 2026.
- Oneflow : Security non datée. Lu le 5 novembre 2026. Page de l’éditeur.
- Oneflow via Cision / Placera : Delårsrapport Q2 2026 14 août 2026. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Déclaration de l’éditeur. Icertis présente un portail donnant, par des accès selon les rôles, son certificat ISO 27001, sa déclaration d’applicabilité et ses rapports SOC.
Portée : Page de présentation.
Réserve : Le portail lui-même était inaccessible à la lecture.
Relevé le 5 novembre 2026.
- Icertis : Information / Trust Center non datée. Lu le 5 novembre 2026. Page de l’éditeur.
Déclaration de l’éditeur. Ironclad déclare des rapports SOC 1 et SOC 2 Type II, avec documents à demander par un portail ; sa mention ISO 27001/17/18 renvoie à ses fournisseurs de cloud.
Portée : Page sécurité.
Réserve : Rapports non lus.
Relevé le 5 novembre 2026.
- Ironclad : Enterprise-Grade Contract Security & Compliance non datée (© 2026). Lu le 5 novembre 2026. Page de l’éditeur.
Déclaration de l’éditeur. Docusign déclare une certification ISO 27001:2022 à l’échelle de l’entreprise et des rapports SOC 1 Type 2 et SOC 2 Type 2.
Portée : Page non datée.
Réserve : Pas de numéro de certificat ni de périmètre lus.
Relevé le 5 novembre 2026.
- Docusign : Trust Center - Compliance overview non datée. Lu le 5 novembre 2026. Page de l’éditeur.
Déclaration de l’éditeur. Juro déclare SOC 2 Type II et IASME Cyber Essentials.
Portée : Pages de Juro.
Réserve : Rapport non lu.
Relevé le 5 novembre 2026.
- Juro : Microsoft Word integration non datée. Lu le 5 novembre 2026. Page de l’éditeur.
- Juro : Trust and security at Juro non datée (© 2026). Lu le 5 novembre 2026. Page de l’éditeur.
Déclaration de l’éditeur. DiliTrust déclare des certifications ISO 27001, ISO 27701 et SOC 2, Type II selon une page ; un article de 2023 signé par sa filiale canadienne vise ISO/IEC 27001:2013 ; sa FAQ IA écrit qu’il n’existe pas de certification propre à la solution d’IA.
Portée : Pages de l’éditeur et article de 2023.
Réserve : Aucun certificat lu ; ce que chacun couvre n’est pas précisé.
Relevé le 5 novembre 2026.
- DiliTrust : Compliance solution DiliTrust non datée. Lu le 5 novembre 2026. Page de l’éditeur.
- DiliTrust : AI-Powered Corporate Governance & Legal Software non datée. Lu le 5 novembre 2026. Page de l’éditeur.
- DiliTrust Canada Inc. (via Mondaq) : Data Privacy And Security: DiliTrust Certified ISO 27001 And ISO 27701 29 mai 2023. Lu le 5 novembre 2026. Page de l’éditeur.
- DiliTrust : Lini – Frequently Asked Questions about our AI Engine « Modified on Wed, 21 Oct » (année non affichée). Lu le 5 novembre 2026. Page de l’éditeur.
Déclaration de l’éditeur. Concord indique fournir un rapport SOC 2 Type II accessible par un portail.
Portée : Page sécurité.
Réserve : Rapport non lu.
Relevé le 5 novembre 2026.
- Concord : Security non datée. Lu le 5 novembre 2026. Page de l’éditeur.
Déclaration de l’éditeur. L’annexe de Legisway indique, pour le déploiement cloud, que l’hébergement est sous-traité à Claranet, certifié ISO 27001 pour ses activités d’hébergement.
Portée : Annexe de traitement de données, non datée, pour ce déploiement.
Réserve : Ne dit rien d’une certification de l’éditeur lui-même.
Relevé le 5 novembre 2026.
- Wolters Kluwer : Annexe 2bis : fiche produit RGPD et mesures techniques et organisationnelles de LEGISWAY ENTREPRISE non datée. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Les pages lues de MYLEGITECH n’indiquent pas de certification de sécurité.
Portée : Pages lues.
Réserve : L’absence sur ces pages ne prouve pas l’absence de certification.
Relevé le 5 novembre 2026.
- MYLEGITECH (Seraphin.legal) : Mentions légales non datée (pied de page © 2026 ou sans date). Lu le 5 novembre 2026. Page de l’éditeur.
Fait lu. Le responsable de traitement ne fait appel qu’à des sous-traitants présentant des garanties suffisantes ; le contrat écrit prévoit que le sous-traitant met à disposition les informations nécessaires et permet des audits (article 28, paragraphes 1 et 3, du RGPD).
Portée : Version initiale du texte de 2016, pas la version consolidée.
Réserve : L’article ne nomme ni ISO 27001 ni SOC 2.
Relevé le 5 novembre 2026.
- EUR-Lex : Règlement (UE) 2016/679 (RGPD) Texte de 2016, applicable au 25 mai 2018 ; version initiale lue, non la consolidée. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Les conditions générales de Tomorro prévoient la possibilité d’un audit une fois par an aux frais du client, sauf violation de données, incident significatif ou demande d’une autorité, avec un préavis minimum d’un mois.
Portée : Version du 29 juillet 2026.
Réserve : Le contrat signé peut modifier ces termes.
Relevé le 5 novembre 2026.
- Tomorro : Conditions Générales de Vente et d'Utilisation affichées « Version du 29/07/2026 ». Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Agiloft déclare les certifications SOC 1, SOC 2, ISO 27001 et ISO 27701 sur sa page de sécurité.
Portée : Page de l’éditeur.
Réserve : Type de SOC non dit. Aucun certificat lu.
Relevé le 5 novembre 2026.
- Agiloft : Security non datée. Lu le 5 novembre 2026. Page de l’éditeur.