Le cadre canadien de la signature électronique combine une loi type fédérale avec un régime de droit civil parallèle au Québec. La Loi uniforme sur le commerce électronique (LUCE), rédigée par la Conférence pour l'harmonisation des lois au Canada en 1999, a été adoptée par le gouvernement fédéral et chaque province et territoire à l'exception du Québec, chacun par le biais de sa propre loi d'application (la Loi sur le commerce électronique de l'Ontario, la Loi sur les transactions électroniques de la Colombie-Britannique et des lois similaires ailleurs). Le Québec s'appuie sur sa propre Loi concernant le cadre juridique des technologies de l'information, un instrument de droit civil qui parvient largement au même résultat par des mécanismes différents.

La LUCE adopte une approche d'équivalence fonctionnelle empruntée à la Loi type de la CNUDCI sur le commerce électronique : une signature électronique est valide partout où la loi exige une signature, à condition qu'elle identifie de manière fiable le signataire et démontre son intention de signer. Il n'existe pas de système multiniveau comparable à l'eIDAS de l'UE. Un concept distinct et plus restreint existe au niveau fédéral : la signature électronique sécurisée, définie par le Règlement sur les signatures électroniques sécurisées (DORS/2005-30) et reposant sur des certificats d'infrastructure à clés publiques (ICP) délivrés par une autorité de certification répertoriée. Elle bénéficie d'une présomption légale de fiabilité en vertu de la Loi sur la preuve au Canada, mais seule une liste restreinte de dépôts fédéraux l'exige, principalement les déclarations solennelles et les affidavits faits en vertu de la loi fédérale.

La liste d'exclusions est courte et cohérente d'une province à l'autre, bien que la formulation exacte varie légèrement selon la loi. Les testaments, les codicilles et les fiducies testamentaires sont exclus partout. Il en va de même pour les procurations relatives aux affaires financières, les effets négociables tels que les billets à ordre et les lettres de change, ainsi que tout document nécessitant un enregistrement auprès d'un bureau provincial d'enregistrement des titres fonciers. La notarisation ne peut être effectuée virtuellement nulle part au Canada, ce qui importe pour le petit groupe de documents qui requièrent un notaire plutôt qu'un témoin. En dehors de cette liste, la règle par défaut de la LUCE s'applique : si la loi accepte une signature, elle accepte une signature électronique.

La loi fédérale sur la protection de la vie privée suit une voie distincte de celle sur la signature électronique. La LPRPDE régit la manière dont les organisations du secteur privé gèrent les renseignements personnels à l'échelle nationale, l'Alberta et la Colombie-Britannique appliquant leurs propres lois provinciales substantiellement similaires qui remplacent la LPRPDE dans ces provinces. La loi 25 du Québec, pleinement en vigueur depuis septembre 2024, superpose des obligations de type RGPD : des évaluations des facteurs relatifs à la vie privée pour certaines activités de traitement, un délai de notification des violations de 24 heures et des exigences de consentement renforcées. Aucun de ces trois régimes n'impose de règle générale de localisation des données pour le traitement standard des signatures électroniques commerciales. Les restrictions qui existent sont sectorielles : la LPRPS de l'Ontario conserve les renseignements sur la santé au Canada, et les renseignements fédéraux de type Protégé B/C et classifiés doivent rester au Canada, quel que soit le secteur.

Le Canada bénéficie d'une décision d'adéquation partielle de l'UE depuis 2002, l'une des premières accordées dans le cadre de ce qui est aujourd'hui le RGPD. Elle couvre les organisations commerciales soumises à la LPRPDE et permet aux données de circuler de l'UE vers le Canada sans clauses contractuelles types ni autres mesures de sauvegarde supplémentaires. La décision s'applique dans le sens UE-Canada ; le flux inverse, à savoir une entreprise canadienne envoyant des données à un sous-traitant hébergé dans l'UE comme Firma.dev, est régi par la LPRPDE elle-même, qui autorise les transferts transfrontaliers moyennant un avis et des protections comparables, plutôt que d'exiger une constatation d'adéquation spécifique.

Pour une entreprise SaaS s'appuyant sur Firma.dev, la situation pratique est simple. Les signatures électroniques standard couvrent les contrats commerciaux, les contrats de travail, les accords de non-divulgation (NDA), les licences de logiciels et presque tout ce qu'une plateforme B2B doit signer au Canada, dans toutes les provinces, y compris le Québec. L'exigence de signature électronique sécurisée ne se pose que pour un ensemble restreint de dépôts légaux fédéraux qui sortent du cadre des contrats commerciaux typiques, et la liste d'exclusions de documents est suffisamment courte pour être vérifiée une fois et intégrée dans un flux de travail, plutôt que de nécessiter un examen juridique pour chaque contrat.