Em resumo: um cofre digital em conformidade com o RGPD na França não possui uma definição única. Dependendo da sua profissão — RH, paramédica, contabilidade, jurídica —, os requisitos variam desde uma simples compartimentação criptografada até a certificação NF Z42 e a hospedagem HDS. Aqui está o guia de leitura para escolher e por que a via soberana do WordPress pode ser suficiente — ou não.
O termo “cofre digital” tornou-se um conceito genérico. Coffreo reivindica o título, Digiposte também, SmartVault da mesma forma, e a versão mais recente do seu WordPress com um plugin GED online às vezes se apresenta como tal. Todos esses produtos não fazem a mesma coisa, não cobrem as mesmas obrigações e não implicam a mesma responsabilidade por parte de seus desenvolvedores. Para escolher, é preciso primeiro saber o que se busca.
Três definições de cofre digital, três usos
A primeira definição é a de arquivamento eletrônico probatório com valor oponível. É regida pela norma NF Z42-013 para arquivamento eletrônico e pela NF Z42-026 para arquivamento probatório. Esta via é destinada a grandes volumes documentais de longa conservação: holerites, prontuários hospitalares, contratos comerciais de alto risco. Coffreo e Digiposte estão nesta categoria. O custo é elevado, assim como a complexidade de implementação.
A segunda definição é a de portal documental seguro para o cliente. É o que fazem HoneyBook, SuiteDash, Copilot, Clustdoc ou Client Vault. Essas ferramentas não pretendem substituir um sistema de arquivamento probatório. Elas resolvem um problema operacional: receber, validar, organizar e conservar os documentos que os clientes depositam no escritório, em condições compatíveis com o RGPD e o sigilo profissional.
A terceira definição é a da GED (Gestão Eletrônica de Documentos) puramente documental: Document Library Pro, Box, Dropbox Business. Estas ferramentas armazenam e compartilham. Elas não fornecem nem a solicitação estruturada, nem o carimbo de data/hora (timestamp) oponível, nem a compartimentação rígida por setor. São úteis, mas para outra finalidade.
O que o RGPD impõe a um cofre digital francês
Independentemente da via escolhida, um cofre que processe dados de caráter pessoal — ou seja, praticamente todos — deve respeitar os princípios do RGPD. O artigo 32 impõe medidas técnicas e organizacionais apropriadas: criptografia em repouso, controle de acesso, registro de logs (journalisation), backups. O artigo 28 regulamenta a subcontratação por meio de um contrato de processamento detalhado. O artigo 5 impõe a limitação dos prazos de conservação ao estritamente necessário para a finalidade.
« Tendo em conta o estado dos conhecimentos, os custos de implementação e a natureza, o âmbito, o contexto e as finalidades do tratamento (…), o responsável pelo tratamento e o subcontratante implementam as medidas técnicas e organizacionais adequadas para garantir um nível de segurança adaptado ao risco. »
RGPD, artigo 32, parágrafo 1
O artigo 32 não define um padrão técnico único. Ele impõe um raciocínio proporcional: quanto mais sensível for o dado, mais robustas devem ser as medidas. Para dados contábeis ou comerciais padrão, uma criptografia em repouso em um servidor francês devidamente administrado pode ser suficiente. Para dados de saúde ou dados penais, é necessário muito mais.
Quando a NF Z42 é realmente necessária e quando não é
NF Z42-013 e Z42-026 são normas de arquivamento eletrônico. Elas descrevem as condições para que um documento digital seja admissível como prova a longo prazo em contextos críticos: litígios trabalhistas sobre holerites de mais de cinco anos, contestação fiscal sobre documentos mantidos além do prazo legal, prontuário hospitalar oponível após dez anos.
Para esses usos, Coffreo e Digiposte são os players franceses que cobrem a cadeia completa. Para usos mais cotidianos — coleta de documentos de clientes, área privada por cliente, validação e conservação nos termos do RGPD — a NF Z42 não é exigida por lei. Confundi-la com a conformidade ao RGPD é um erro frequente.
Concretamente: se você é um escritório de advocacia que deseja um portal do cliente para a coleta de documentos de processos, a NF Z42 não é uma obrigação. O RGPD, o RIN e o artigo 66-5 o são. Se você é um departamento de RH que gerencia os holerites de cinco mil funcionários, você está no segmento onde a NF Z42 faz sentido. Os dois mundos coexistem.
HDS: o caso específico dos dados de saúde
A hospedagem de dados de saúde é regulamentada por um referencial específico, supervisionado pela Agence du Numérique en Santé. O referencial HDS impõe requisitos técnicos e organizacionais reforçados sobre segurança física, disponibilidade, rastreabilidade e confidencialidade. A certificação HDS é entregue a provedores de hospedagem, não a desenvolvedores de software — essa é uma distinção fundamental.
De forma concreta: se processar dados de saúde — balanços de pacientes, prescrições, acompanhamentos terapêuticos —, deve hospedá-los em um provedor certificado HDS. OVHcloud Healthcare e Outscale são os dois principais players franceses que cobrem este perímetro. O software que utiliza acima disso, por sua vez, não precisa de uma certificação HDS específica: o que conta é o ambiente de hospedagem.
Comparativo das três grandes vias em França 2026
Primeira via: um SaaS francês certificado NF Z42 — Coffreo, Digiposte. Vantagens: forte conformidade com o arquivamento probatório, jurisdição francesa, ecossistema profissional de RH sólido. Limites: custo elevado, peso na integração, pouco adaptado a pequenos escritórios, fora de contexto para o portal do cliente clássico.
Segunda via: um SaaS americano — TaxDome, SmartVault, Box, Dropbox. Vantagens: integrações ricas, ecossistemas maduros, rápida aprendizagem. Limites: jurisdição americana, exposição ao CLOUD Act, dependência operacional, custo recorrente crescente, forte vendor lock-in.
Terceira via: um plugin WordPress soberano hospedado em um provedor francês — Client Vault, ou um desenvolvimento específico. Vantagens: propriedade plena, hospedagem escolhida, independência de um editor, conformidade RGPD by design, custo total controlável. Limites: exige know-how em WordPress, não adaptado a usos NF Z42 nem HDS sem integração específica com um provedor HDS.
A grade de escolha por caso de uso
Você gerencia um departamento de RH com várias centenas de contracheques por mês. A via SaaS NF Z42 é coerente. Coffreo ou Digiposte. O investimento é justificado pelo volume documental e pela criticidade da conservação a longo prazo.
Você é profissional paramédico liberal e recebe prontuários de pacientes. A via WordPress em hospedagem HDS — OVHcloud Healthcare ou Outscale — é coerente. Plugin WordPress de cofre digital por cima para a coleta estruturada. Não é necessária a certificação NF Z42 para este uso.
Você é um escritório de advocacia, empresa de contabilidade, corretora ou escritório de arquitetura. A via WordPress soberano em hospedagem francesa padrão é coerente. Coffreo não é necessário. TaxDome ou Clio expõem você ao CLOUD Act sem benefício adicional.
Você é freelancer, fotógrafo, coach ou agência web. A via WordPress soberano é a mais adaptada. Bonsai, HoneyBook ou Plutio fornecem uma experiência mais polida, mas terceirizam seus dados de clientes.
Como Client Vault se posiciona nesta grade
Client Vault está na terceira via: plugin WordPress, instalação na hospedagem de sua escolha, propriedade plena dos dados. Ele cobre os usos de portal do cliente e coleta de documentos para perfis que não necessitam de NF Z42 nem de HDS. Para profissionais da área paramédica, o Client Vault é instalado em uma hospedagem HDS, o que torna o conjunto compatível com as exigências de saúde sem a necessidade de uma certificação editorial específica.
Para agências WordPress que equipam profissionais: esta é precisamente a grade que vocês apresentam aos seus clientes. Para o escritório de advocacia comum, o Client Vault no OVH ou Infomaniak é suficiente. Para o fisioterapeuta que deseja hospedar prontuários de pacientes, vocês devem orientar para o OVHcloud Healthcare. Para o departamento de RH que deseja arquivar dez mil holerites por mês, vocês devem orientar para o Coffreo ou Digiposte. O papel da agência é precisamente esta intermediação técnica.
Limites honestos
O Client Vault não é certificado NF Z42 e não o será num futuro próximo. Esta certificação destina-se a outro mercado e impõe restrições arquiteturais que não estão alinhadas com o segmento de portal do cliente. Para usos de arquivamento probatório de longuíssimo prazo e alto volume, o caminho continua sendo o Coffreo, Digiposte ou um desenvolvimento específico.
O Client Vault também impõe um know-how em WordPress. Se você está sozinho, sem uma agência WP de confiança, e a manutenção de um site lhe parece um fardo, o caminho da soberania torna-se um esforço. Reconhecer este limite é manter a credibilidade.
Vamos nos conhecer
Se você hesita entre os três caminhos para o seu escritório ou por conta de um cliente, vamos conversar por vídeo. Vinte a trinta minutos para entender seu caso de uso, seu volume documental, suas restrições regulatórias e orientar para o caminho que lhe convém. Se não for o Client Vault, eu direi também.
Perguntas frequentes
O que é um cofre digital em conformidade com o RGPD?
Um cofre digital em conformidade com o RGPD é um dispositivo que cobre as exigências dos artigos 5, 28 e 32: cifragem em repouso, controlo de acesso, rastreabilidade, enquadramento da subcontratação e limitação de prazos. O termo abrange várias realidades conforme o uso profissional.
A certificação NF Z42 é obrigatória?
Não. A NF Z42 enquadra o arquivamento probatório a longo prazo. É necessária para usos de arquivamento com elevado valor jurídico (RH de grandes volumes, processos hospitalares de pacientes). Para a recolha de documentos de clientes em consultórios liberais, o RGPD é suficiente como enquadramento.
Um plugin WordPress pode servir como cofre?
Sim, para usos de portal do cliente e recolha de documentos, desde que o plugin cubra as exigências do RGPD (cifragem, rastreabilidade, compartimentação). Não para usos de NF Z42 ou arquivamento probatório com valor jurídico muito elevado, que impõem uma arquitetura específica.
Qual a diferença entre cofre e GED?
Um GED armazena e partilha documentos. Um cofre vai mais longe: compartimentação estrita por utilizador, rastreabilidade oponível, conformidade RGPD by design, conservação controlada. Box ou Dropbox são GED. Coffreo, Digiposte ou Client Vault são cofres.
Coffreo e Digiposte são adaptados a um consultório?
Para um uso clássico de portal do cliente, eles são superdimensionados e custosos. Para arquivamento de RH de grandes volumes ou holerites de longa conservação, eles são perfeitamente adequados. A escolha depende do caso de uso, não do setor.
Qual hospedagem escolher para um cofre digital soberano?
Para um consultório liberal padrão, uma hospedagem francesa qualificada — OVH, Scaleway, Infomaniak, o2switch — é adequada. Para dados de saúde, um provedor certificado HDS — OVHcloud Healthcare ou Outscale. Para volumes muito grandes ou restrições regulatórias setoriais fortes, deve-se estudar caso a caso.
A criptografia em repouso é obrigatória?
O RGPD (GDPR), artigo 32, menciona-a explicitamente entre as medidas técnicas apropriadas. Para dados sensíveis, a ausência de criptografia em repouso será difícil de justificar em caso de fiscalização pela CNIL.
Qual o prazo de conservação por tipo de documento?
Variável de acordo com o setor. Documentos contábeis: dez anos (R. 123-200 do Código de Comércio francês). Registros de presença em treinamentos: cinco anos (L. 6362-7-2 do Código do Trabalho francês). Holerites: cinquenta anos por parte do empregador. Dados de saúde: conforme a profissão, geralmente vinte anos para o prontuário hospitalar (DPI).
{“@context”:”https://schema.org”,”@type”:”Article”,”headline”:”Coffre-fort numérique conforme RGPD France : le guide WordPress”,”author”:{“@type”:”Person”,”name”:”Dragan Stamenkovic”},”datePublished”:”2026-05-10″,”dateModified”:”2026-05-10″,”publisher”:{“@type”:”Organization”,”name”:”Client Vault”},”mainEntityOfPage”:”https://clientvault.pro/blog/coffre-fort-numerique-rgpd-france”}{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[ {“@type”:”Question”,”name”:”Qu’est-ce qu’un coffre-fort numérique conforme RGPD ?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Un dispositif qui couvre les articles 5, 28, 32 du RGPD : chiffrement, contrôle d’accès, traçabilité, encadrement sous-traitance, limitation des durées.”}}, {“@type”:”Question”,”name”:”La certification NF Z42 est-elle obligatoire ?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Non. Elle encadre l’archivage probant à long terme. Pour la collecte de pièces clients standard, le RGPD suffit.”}}, {“@type”:”Question”,”name”:”Un plugin WordPress peut-il servir de coffre-fort ?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Oui pour les usages portail client et collecte de pièces. Non pour les usages NF Z42 ou archivage probant à très forte valeur juridique.”}}, {“@type”:”Question”,”name”:”Quelle différence entre coffre-fort et GED ?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Une GED stocke et partage. Un coffre-fort ajoute cloisonnement strict, traçabilité opposable, conformité RGPD by design.”}}, {“@type”:”Question”,”name”:”Coffreo et Digiposte sont-ils adaptés à un cabinet ?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Surdimensionnés pour un portail client classique. Adaptés pour archivage RH grands volumes ou bulletins de paie longs.”}}, {“@type”:”Question”,”name”:”Quel hébergement choisir pour un coffre-fort souverain ?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”OVH, Scaleway, Infomaniak ou o2switch pour un cabinet libéral. OVHcloud Healthcare ou Outscale pour les données de santé.”}}, {“@type”:”Question”,”name”:”Le chiffrement au repos est-il obligatoire ?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Mentionné par l’article 32 RGPD. Difficile à justifier son absence en cas de contrôle CNIL pour des données sensibles.”}}, {“@type”:”Question”,”name”:”Quelle durée de conservation par type de document ?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Pièces comptables 10 ans, émargements formation 5 ans, bulletins de paie 50 ans côté employeur, DPI santé généralement 20 ans.”}} ]}
