2026年8月28日
如果你正在為加拿大業務評估 DocuSign，並調研其 CSA STAR 合規情況，簡短的回答是：DocuSign 透過每年更新的 CAIQ（Consensus Assessments Initiatives Questionnaire，共識評估倡議問卷）自我評估參與雲安全聯盟的 STAR（Security, Trust, Assurance and Risk，即安全、信任、保證與風險）計劃，並將結果發布在公開的 STAR 註冊庫中——這屬於 Level 1 參與。獨立的 Level 2 認證——即對照 ISO 27001 或 SOC 2 的 CCM（Cloud Controls Matrix，雲控制矩陣）第三方審計——是另一項獨立資質，而兩者在供應商對比中經常被混為一談，因此務必在註冊庫中核實實際級別。
對加拿大機構而言，CSA STAR 只是決策的一層。它疊加在 PIPEDA、各省電子商務法規、魁北克第 25 號法律以及你自己的數據駐留要求之上。本指南涵蓋 STAR 的運作方式、DocuSign 的公開記錄、相關的加拿大規則，以及一份供應商核實清單。本文是實用指南，不構成法律意見。
CSA STAR 實際涵蓋什麼——以及不涵蓋什麼
CSA STAR 是雲安全聯盟面向雲端服務供應商的公開保證計劃。其基礎是雲控制矩陣（Cloud Controls Matrix，CCM），一個專門針對雲端環境的控制框架——CCM v4 包含 17 個域、197 項控制規格，涵蓋加密與密鑰管理、身份與存取管理、事件管理、供應鏈控制等。CCM 與 ISO/IEC 27001、SOC 2、NIST SP 800-53、GDPR 和 PCI DSS 交叉對映，因此一次評估可以同時支撐多場合規對話。
STAR 不是什麼：它不是政府授權，也不能替代法律與合約要求。註冊庫中有條目不代表監管機構已批准該供應商，也不代表其滿足加拿大私隱法的義務。託管位置、子處理方以及你自己的配置選擇，仍屬於你的盡職審查範圍。該計劃的價值在於標準化的透明度——用一致、可比較的披露格式，取代為每個採購者定制的問卷。
CSA STAR 級別詳解：自我評估、審計與持續監控
STAR 是一個三層開放認證框架；級別與標誌同樣重要，因為每一層代表不同的核實深度。
兩點實用說明。Level 2 建立在 ISO 27001 或 SOC 2 之上，因此已持有這些資質的供應商可以逐步達到該級別；僅有 Level 1 的註冊條目只是透明度基線，並不代表經過核實的安全態勢。此外，STAR 鑒證通常搭配獨立審計的 SOC 2 Type II 報告——對北美受監管買家而言，這種組合比單獨的自我評估是實質上更有力的證據。
DocuSign 的 CSA STAR 態勢：公開記錄顯示什麼
DocuSign 的信任中心說明，該公司每年完成 CAIQ，問卷可公開查看並從 CSA STAR 註冊庫下載——換言之，這是有據可查、可公開核實的 Level 1 自我評估。截至本文撰寫之時，我們無法在公開註冊庫中獨立確認 DocuSign 當前持有 STAR Level 2 認證或鑒證，因此任何聲稱 DocuSign「持有」Level 2 的說法，在寫入採購文件之前都應先自行核實。
這是一個精確性的問題，而非否定。DocuSign 另有一套廣泛的保證組合：ISO/IEC 27001 認證、SSAE 18 下的 SOC 2 報告、PCI DSS、用於美國聯邦用途的 FedRAMP 授權、APEC 處理者私隱認可（APEC Privacy Recognition for Processors），以及歐盟約束性公司規則（EU Binding Corporate Rules）。與加拿大最相關的是，DocuSign 聲稱已完成加拿大政府 Protected-B 計劃的評估，該評估按部門分別執行——這一框架與 STAR 不同，在聯邦公共部門採購中往往更具決定性。
就 STAR 專項盡職審查而言，請調取 DocuSign 當前的 CAIQ，並核對風險登記冊中各域的涵蓋情況：數據安全與私隱、加密與密鑰管理（對照你自己的加密標準確認靜態 AES-256 與傳輸中的 TLS）、身份與存取管理，以及事件回應。注意發布日期——過時的 CAIQ 是比新鮮的更弱的訊號。
加拿大合規層：PIPEDA、UECA 與魁北克第 25 號法律
CSA STAR 告訴你供應商的雲端控制情況；加拿大法律告訴你當合約和個人資料流經該雲端時你要承擔什麼責任。
在聯邦層面，PIPEDA 管轄商業活動中的個人資料，承認電子文件和電子簽名，並將問責、同意與保障原則適用於電子簽名數據，例如姓名、電郵地址、IP 地址和審計追蹤元數據；自 2018 年起，它還要求對可能造成嚴重損害的實際風險的數據洩漏進行洩漏通知。電子簽名的效力主要依據以《統一電子商務法》（UECA）為藍本的各省法規——安大略省《電子商務法》、不列顛哥倫比亞省和亞伯達省的《電子交易法》——根據這些法規，只要簽名方式能可靠識別簽署人並保持文件完整性，簽名即有效。遺囑、土地業權及某些其他文件仍屬例外情形，繼續適用紙本流程。
魁北克再加兩層：《確立資訊科技法律框架的法案》規範電子文件和電子簽名的法律價值，而第 25 號法律施加更嚴格的私隱義務，包括影響評估以及魁北克境外數據傳輸的透明度。如果你的簽署群體包含魁北克居民，請將第 25 號法律的盡職審查當作一項獨立工作流程，而不是 PIPEDA 的註腳。
由於加拿大電子簽名的效力取決於可靠性——身份、意圖與完整性——平台產生的操作性證據與它的證書同樣重要。當簽名受到質疑時，防篡改的審計追蹤、簽署人身份驗證和附時間戳的完成證書就是你依賴的憑證；請把它們當作合規證據材料來評估，而不只是產品功能。
加拿大採購團隊的供應商核實清單
無論你評估的是 DocuSign 還是其他任何電子簽名供應商，都請使用這份清單：
- 確認 STAR 級別，而不只是成員身份。 在 CSA STAR 註冊庫中搜尋供應商，記錄該條目是 Level 1 自我評估還是 Level 2 認證/鑒證，並記下發布日期。
- 索取底層的審計證據。 若聲稱是 Level 2，請索取 ISO 27001 證書範圍或 SOC 2 報告類型，並將 CCM 域——數據安全、加密、身份與存取、事件管理、子處理方——對映到你的風險登記冊。
- 疊加加拿大的要求。 確認簽署人個人資料按 PIPEDA 對齊的方式處理，檢查供應商如何支持基於 UECA 的可靠性證據，並在涉及魁北克數據時評估第 25 號法律的風險敞口。
- 落實數據駐留與傳輸透明度。 詢問文件、元數據和審計日誌儲存在何處，涉及哪些子處理方，跨境傳輸由什麼涵蓋；並與供應商核實當前的託管選項。
- 測試操作性安全控制。 評估簽署人的身份驗證與多重因素認證、加密細節以及管理存取控制——這正是更廣泛的電子簽名安全審查所涵蓋的項目。
- 檢查採購適配性。 確認定價結構、信封或交易上限以及支援模式，確保你核實過的合規不會被不適合的商業安排所削弱。
評估加拿大工作負載的 DocuSign 替代方案
DocuSign 的保證組合很廣泛，對許多受監管的加拿大企業而言已經達標。買家另尋他處的原因在於商業結構——隨團隊增長而水漲船高的按席位定價和信封上限——以及北美以外的區域深度。如果你要簽訂跨入歐盟的跨境協議，你會關心 eIDAS 對齊的高級與合資格簽名級別；在亞太地區，你會關心除電郵驗證之外與政府數碼身份方案（如 iAM Smart 和 Singpass）的整合。
對任何替代方案的紀律都一樣：以相同方式套用清單，要求同樣的註冊庫與審計證據，並對任何把自我評估說成認證的供應商——無論是老牌還是挑戰者——保持懷疑。在最終篩選前，如需按框架逐項核對的系統化指引，可參閱我們關於 DocuSign 是否符合美國 E-SIGN Act（2000 聯邦法律）的指南。
為什麼加拿大團隊選擇 Nota Sign
CSA STAR 之所以有分量，是因為它是經過核實的而非宣稱的，Nota Sign 也以同樣的方式對待安全：平台發布 SOC 2 Type II 鑒證報告，並向客戶開放其安全材料供審閱。這份紀律背後是法大大（FaDaDa）——IDC 連續多年將其評為中國電子簽名市場第一的服務商——擁有覆蓋 100 多個國家和地區的法律效力研究、亞太數據駐留選項，且不按席位收費——因此一個只需要可靠電子簽名的加拿大團隊不必為一堆用不上的席位買單。如果你的供應商清單寫着「給我們看鑒證報告，而不是投影片」，請透過聯絡 Nota Sign。
