Politique de confidentialité
Dernière mise à jour : 20 juillet 2026
Deux rôles distincts
OCTOPUS DP, éditeur de Sinatura, intervient à deux titres différents, ce qui détermine la manière dont vos droits s'exercent :
- Responsable de traitement pour les données liées à la gestion des comptes, à la facturation et à la sécurité du service.
- Sous-traitant pour les documents que vous déposez et les données des signataires que vous désignez : vous en restez responsable, et notre accord de sous-traitance encadre ce rôle.
Données traitées et durées de conservation
| Catégorie | Finalité | Base légale | Conservation |
|---|---|---|---|
| Adresse électronique, mot de passe chiffré, nom | Création et gestion du compte, authentification | Exécution du contrat | Durée du compte, puis 1 mois |
| Documents déposés et documents scellés | Fourniture du service de signature | Exécution du contrat | 6 mois à compter de la signature |
| Nom et adresse électronique des signataires désignés | Acheminement de l'invitation, identification du signataire | Exécution du contrat, intérêt légitime du demandeur | 10 ans (journal de preuve) |
| Adresse IP, navigateur, horodatage, déroulement du geste de signature | Constitution de la preuve de la signature et de son intégrité | Intérêt légitime tenant à la valeur probante | 10 ans (journal de preuve) |
| Journal d'audit chaîné et empreintes des documents | Démonstration de l'intégrité des opérations | Intérêt légitime, obligation probatoire | 10 ans |
| Historique des crédits, paiements et factures | Facturation, comptabilité | Obligation légale | 10 ans |
Une distinction importante
Les documents sont supprimés au bout de six mois. Les preuves de leur signature sont conservées dix ans.
Sinatura est un service de signature, non un service d'archivage : il vous appartient de télécharger vos documents scellés et de les conserver selon vos propres obligations. Un rappel vous est adressé avant la suppression.
Conserver le journal dix ans permet de vérifier à tout moment l'authenticité d'un document que vous détenez encore, en comparant son empreinte à celle enregistrée — y compris longtemps après la suppression de notre copie.
Sur l'adresse IP des signataires
L'adresse IP constitue une donnée à caractère personnel. Nous la recueillons au moment précis de la signature parce qu'elle contribue, avec l'horodatage et le déroulement du geste, à établir les circonstances de l'engagement. Sans ces éléments, une signature électronique simple perdrait l'essentiel de sa force probante.
Elle n'est utilisée à aucune autre fin : ni profilage, ni géolocalisation commerciale, ni mesure d'audience. Elle figure dans le certificat de preuve joint au document scellé, remis aux parties.
Ce que nous ne faisons pas
- Nous ne lisons pas le contenu de vos documents.
- Nous ne les utilisons pour entraîner aucun modèle.
- Nous ne vendons ni ne louons aucune donnée.
- Nous n'employons ni traceur publicitaire ni mesure d'audience.
Destinataires et sous-traitants
| Prestataire | Rôle | Localisation |
|---|---|---|
| OVH SAS | Hébergement, stockage et sauvegardes | France |
| Brevo (Sendinblue SAS) | Acheminement des courriels du service | Union européenne |
| Stripe | Traitement des paiements par carte | Irlande, avec transferts vers les États-Unis |
| Pennylane | Émission et conservation des factures | France |
Sur les transferts hors de l'Union européenne
Notre prestataire de paiement appartient à un groupe établi aux États-Unis. Les données de facturation — identité, adresse, montant — peuvent à ce titre faire l'objet d'un transfert hors de l'Union européenne, encadré par les garanties appropriées prévues au chapitre V du règlement général sur la protection des données.
Les documents, les signatures et les preuves associées ne lui sont jamais transmis et ne quittent pas la France. Le traitement métier reste intégralement souverain ; seul le règlement financier emprunte cette voie.
Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité prévus par le règlement général sur la protection des données. Ces droits s'exercent auprès de notre délégué à la protection des données, à l'adresse dpo@sinatura.fr.
Une réserve mérite d'être explicitée : les données inscrites au journal d'audit et au certificat de preuve d'un document signé ne peuvent être modifiées ni effacées sans détruire la valeur probante que les parties étaient en droit d'attendre. Une demande d'effacement portant sur ces éléments sera examinée au regard de cet intérêt, conformément aux exceptions prévues par le règlement.
Si vous êtes signataire d'un document sans être client de Sinatura, adressez-vous en premier lieu à la personne qui vous a envoyé ce document : c'est elle qui décide des données vous concernant. Nous vous orienterons vers elle et l'informerons de votre demande.
Vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (cnil.fr).
Sécurité
- Serveur dédié situé en France, disques intégralement chiffrés.
- Chiffrement des échanges par protocole TLS.
- Cloisonnement des données par organisation, appliqué au niveau de la base de données et non seulement de l'application.
- Accès aux documents restreint à des liens temporaires signés ; aucun accès direct au stockage.
- Journal d'audit chaîné cryptographiquement, en écriture seule : toute altération rompt la chaîne et devient démontrable.
- Sauvegardes chiffrées, conservées sur un site géographiquement distinct.
- Administration accessible uniquement par tunnel chiffré, sans exposition publique.