2026年8月28日
如果你正在为加拿大业务评估 DocuSign，并调研其 CSA STAR 合规情况，简短的回答是：DocuSign 通过每年更新的 CAIQ（Consensus Assessments Initiatives Questionnaire，共识评估倡议问卷）自我评估参与云安全联盟的 STAR（Security, Trust, Assurance and Risk，即安全、信任、保证与风险）计划，并将结果发布在公开的 STAR 注册库中——这属于 Level 1 参与。独立的 Level 2 认证——即对照 ISO 27001 或 SOC 2 的 CCM（Cloud Controls Matrix，云控制矩阵）第三方审计——是另一项独立资质，而两者在供应商对比中经常被混为一谈，因此务必在注册库中核实实际级别。
对加拿大机构而言，CSA STAR 只是决策的一层。它叠加在 PIPEDA、各省电子商务法规、魁北克第 25 号法律以及你自己的数据驻留要求之上。本指南涵盖 STAR 的运作方式、DocuSign 的公开记录、相关的加拿大规则，以及一份供应商核验清单。本文是实用指南，不构成法律意见。
CSA STAR 实际覆盖什么——以及不覆盖什么
CSA STAR 是云安全联盟面向云服务提供商的公开保证计划。其基础是云控制矩阵（Cloud Controls Matrix，CCM），一个专门针对云环境的控制框架——CCM v4 包含 17 个域、197 项控制规格，涵盖加密与密钥管理、身份与访问管理、事件管理、供应链控制等。CCM 与 ISO/IEC 27001、SOC 2、NIST SP 800-53、GDPR 和 PCI DSS 交叉映射，因此一次评估可以同时支撑多场合规对话。
STAR 不是什么：它不是政府授权，也不能替代法律与合同要求。注册库中有条目不代表监管机构已批准该供应商，也不代表其满足加拿大隐私法的义务。托管位置、子处理方以及你自己的配置选择，仍属于你的尽职调查范围。该计划的价值在于标准化的透明度——用一致、可比较的披露格式，取代为每个采购者定制的问卷。
CSA STAR 级别详解：自我评估、审计与持续监控
STAR 是一个三层开放认证框架；级别与标志同样重要，因为每一层代表不同的核验深度。
两点实用说明。Level 2 建立在 ISO 27001 或 SOC 2 之上，因此已持有这些资质的供应商可以逐步达到该级别；仅有 Level 1 的注册条目只是透明度基线，并不代表经过核验的安全态势。此外，STAR 鉴证通常搭配独立审计的 SOC 2 Type II 报告——对北美受监管买家而言，这种组合比单独的自我评估是实质上更有力的证据。
DocuSign 的 CSA STAR 态势：公开记录显示什么
DocuSign 的信任中心说明，该公司每年完成 CAIQ，问卷可公开查看并从 CSA STAR 注册库下载——换言之，这是有据可查、可公开核验的 Level 1 自我评估。截至本文撰写之时，我们无法在公开注册库中独立确认 DocuSign 当前持有 STAR Level 2 认证或鉴证，因此任何声称 DocuSign「持有」Level 2 的说法，在写入采购文件之前都应先自行核实。
这是一个精确性的问题，而非否定。DocuSign 另有一套广泛的保证组合：ISO/IEC 27001 认证、SSAE 18 下的 SOC 2 报告、PCI DSS、用于美国联邦用途的 FedRAMP 授权、APEC 处理者隐私认可（APEC Privacy Recognition for Processors），以及欧盟约束性公司规则（EU Binding Corporate Rules）。与加拿大最相关的是，DocuSign 声称已完成加拿大政府 Protected-B 计划的评估，该评估按部门分别执行——这一框架与 STAR 不同，在联邦公共部门采购中往往更具决定性。
就 STAR 专项尽调而言，请调取 DocuSign 当前的 CAIQ，并核对风险登记册中各域的覆盖情况：数据安全与隐私、加密与密钥管理（对照你自己的加密标准确认静态 AES-256 与传输中的 TLS）、身份与访问管理，以及事件响应。注意发布日期——过时的 CAIQ 是比新鲜的更弱的信号。
加拿大合规层：PIPEDA、UECA 与魁北克第 25 号法律
CSA STAR 告诉你供应商的云控制情况；加拿大法律告诉你当合同和个人信息流经该云时你要承担什么责任。
在联邦层面，PIPEDA 管辖商业活动中的个人信息，承认电子文件和电子签名，并将问责、同意与保障原则适用于电子签名数据，例如姓名、电子邮件地址、IP 地址和审计追踪元数据；自 2018 年起，它还要求对可能造成严重损害的切实风险的数据泄露进行泄露通知。电子签名的效力主要依据以《统一电子商务法》（UECA）为蓝本的各省法规——安大略省《电子商务法》、不列颠哥伦比亚省和阿尔伯塔省的《电子交易法》——根据这些法规，只要签名方式能可靠识别签名人并保持文件完整性，签名即有效。遗嘱、土地权属及某些其他文件仍属例外情形，继续适用纸质流程。
魁北克再加两层：《确立信息技术法律框架的法案》规范电子文件和电子签名的法律价值，而第 25 号法律施加更严格的隐私义务，包括影响评估以及魁北克境外数据传输的透明度。如果你的签署人群包含魁北克居民，请将第 25 号法律的尽调当作一项独立工作流，而不是 PIPEDA 的脚注。
由于加拿大电子签名的效力取决于可靠性——身份、意图与完整性——平台产生的操作性证据与它的证书同样重要。当签名受到质疑时，防篡改的审计追踪、签名人身份验证和带时间戳的完成证书就是你依赖的凭证；请把它们当作合规证据材料来评估，而不只是产品功能。
加拿大采购团队的供应商核验清单
无论你评估的是 DocuSign 还是其他任何电子签名供应商，都请使用这份清单：
- 确认 STAR 级别，而不只是成员身份。 在 CSA STAR 注册库中搜索供应商，记录该条目是 Level 1 自我评估还是 Level 2 认证/鉴证，并记下发布日期。
- 索取底层的审计证据。 若声称是 Level 2，请索取 ISO 27001 证书范围或 SOC 2 报告类型，并将 CCM 域——数据安全、加密、身份与访问、事件管理、子处理方——映射到你的风险登记册。
- 叠加加拿大的要求。 确认签署人个人信息按 PIPEDA 对齐的方式处理，检查供应商如何支持基于 UECA 的可靠性证据，并在涉及魁北克数据时评估第 25 号法律的风险敞口。
- 落实数据驻留与传输透明度。 询问文件、元数据和审计日志存储在何处，涉及哪些子处理方，跨境传输由什么覆盖；并与供应商核实当前的托管选项。
- 测试操作性安全控制。 评估签署人的身份验证与多因素认证、加密细节以及管理访问控制——这正是更广泛的电子签名安全审查所涵盖的项目。
- 检查采购适配性。 确认定价结构、信封或交易上限以及支持模式，确保你核验过的合规不会被不合适的商业安排所削弱。
评估加拿大工作负载的 DocuSign 替代方案
DocuSign 的保证组合很广泛，对许多受监管的加拿大企业而言已经达标。买家另寻他处的原因在于商业结构——随团队增长而水涨船高的按席位定价和信封上限——以及北美以外的区域深度。如果你要签订跨入欧盟的跨境协议，你会关心 eIDAS 对齐的高级与合格签名级别；在亚太地区，你会关心除邮箱验证之外与政府数字身份方案（如 iAM Smart 和 Singpass）的集成。
对任何替代方案的纪律都一样：以相同方式套用清单，要求同样的注册库与审计证据，并对任何把自我评估说成认证的供应商——无论是老牌还是挑战者——保持怀疑。在最终筛选前，如需按框架逐项核对的系统化指引，可参阅我们关于 DocuSign 是否符合美国 E-SIGN Act（2000 联邦法律）的指南。
为什么加拿大团队选择 Nota Sign
CSA STAR 之所以有分量，是因为它是经过核验的而非宣称的，Nota Sign 也以同样的方式对待安全：平台发布 SOC 2 Type II 鉴证报告，并向客户开放其安全材料供审阅。这份纪律背后是法大大（FaDaDa）——IDC 连续多年将其评为中国电子签名市场第一的服务商——拥有覆盖 100 多个国家和地区的法律效力研究、亚太数据驻留选项，且不按席位收费——因此一个只需要可靠电子签名的加拿大团队不必为一堆用不上的席位买单。如果你的供应商清单写着「给我们看鉴证报告，而不是幻灯片」，请通过联系 Nota Sign。
