Politique de confidentialité
Dernière mise à jour : 21 octobre 2026
Deux rôles distincts
OCTOPUS DP, éditeur de Sinatura, intervient à deux titres différents, ce qui détermine la manière dont vos droits s'exercent :
- Responsable de traitement pour les données liées à la gestion des comptes, à la facturation et à la sécurité du service.
- Sous-traitant pour les documents que vous déposez et les données des signataires que vous désignez : vous en restez responsable, et notre accord de sous-traitance encadre ce rôle.
Données traitées et durées de conservation
| Catégorie | Finalité | Base légale | Conservation |
|---|---|---|---|
| Adresse électronique, mot de passe chiffré, nom | Création et gestion du compte, authentification | Exécution du contrat | Durée du compte, puis 1 mois |
| Documents déposés et documents scellés | Fourniture du service de signature | Exécution du contrat | 6 mois à compter de la signature |
| Nom et adresse électronique des signataires désignés | Acheminement de l'invitation, identification du signataire | Exécution du contrat, intérêt légitime du demandeur | 10 ans (journal de preuve) |
| Adresse IP, navigateur, horodatage, déroulement du geste de signature | Constitution de la preuve de la signature et de son intégrité | Intérêt légitime tenant à la valeur probante | 10 ans (journal de preuve) |
| Motif du refus de signer, texte libre de 10 à 1 000 caractères saisi par le signataire | Constitution de la preuve du refus | Intérêt légitime tenant à la valeur probante | 10 ans (journal de preuve) |
| Adresse IP, navigateur, horodatage du refus de signer | Constitution de la preuve du refus | Intérêt légitime tenant à la valeur probante | 10 ans (journal de preuve) |
| Accès à l'attestation de refus : adresse électronique (ou référence de la clé d'API), adresse IP et navigateur de l'expéditeur, empreinte du PDF remis | Traçabilité de la preuve du refus | Intérêt légitime tenant à la valeur probante | 10 ans (journal de preuve) |
| Annulation d'un envoi : adresse électronique de l'expéditeur qui annule (ou référence de la clé d'API), motif facultatif en texte libre de 500 caractères au plus, date, adresse IP et navigateur | Traçabilité de l'annulation | Intérêt légitime tenant à la valeur probante | 10 ans (journal de preuve) |
| Webhooks (documents envoyés par l'API) : identifiants du document et du signataire, référence fournie par le logiciel, statut, rang et rôle du signataire, date ; journal des envois : date, code de réponse, motif d'échec, durée | Informer le logiciel de l'expéditeur de l'avancement de ses documents | Exécution du contrat | 30 jours |
| Journal d'audit chaîné et empreintes des documents | Démonstration de l'intégrité des opérations | Intérêt légitime, obligation probatoire | 10 ans |
| Décompte des envois, paiements et factures | Facturation, comptabilité | Obligation légale | 10 ans |
Une distinction importante
Les documents sont supprimés au bout de six mois. Les preuves de leur signature sont conservées dix ans.
Sinatura est un service de signature, non un service d'archivage : il vous appartient de télécharger vos documents scellés et de les conserver selon vos propres obligations. Un rappel vous est adressé avant la suppression.
Conserver le journal dix ans permet de vérifier à tout moment l'authenticité d'un document que vous détenez encore, en comparant son empreinte à celle enregistrée — y compris longtemps après la suppression de notre copie.
Sur l'adresse IP des signataires
L'adresse IP constitue une donnée à caractère personnel. Nous la recueillons au moment précis de la signature parce qu'elle contribue, avec l'horodatage et le déroulement du geste, à établir les circonstances de l'engagement. Sans ces éléments, une signature électronique simple perdrait l'essentiel de sa force probante.
Elle n'est utilisée à aucune autre fin : ni profilage, ni géolocalisation commerciale, ni mesure d'audience. Elle figure dans le certificat de preuve joint au document scellé, remis aux parties.
Sur le refus de signer
Le signataire qui refuse de signer indique un motif, de 10 à 1 000 caractères, qui sert de preuve du refus. Ce motif n'est transmis qu'à l'expéditeur du document, par courriel et dans l'attestation de refus, et rappelé au signataire dans l'accusé qui lui est adressé. Les autres signataires déjà sollicités apprennent qu'un refus est intervenu, mais pas son motif.
La date, l'adresse IP et le navigateur sont recueillis au moment du refus, selon les mêmes règles que pour une signature. Ils figurent sur l'attestation de refus remise à l'expéditeur. Chaque téléchargement de cette attestation est inscrit au journal de preuve, avec l'adresse électronique, l'adresse IP et le navigateur de l'expéditeur, ainsi que l'empreinte du PDF remis. Ces éléments sont conservés dix ans, comme les preuves de signature.
Si vous êtes signataire, un refus est définitif. Pour toute question sur le document, adressez-vous à son expéditeur.
Sur l'annulation d'un envoi
L'expéditeur peut annuler un document tant qu'il attend des signatures. Les signataires déjà sollicités, y compris ceux qui ont signé, sont prévenus que la demande est annulée ; ceux qui attendaient leur tour ne reçoivent rien.
L'expéditeur peut indiquer un motif, facultatif, de 500 caractères au plus. Ce motif reste interne : il n'est jamais transmis aux signataires. Il est conservé avec l'adresse électronique de l'auteur de l'annulation (ou la référence de la clé d'API utilisée), la date, l'adresse IP et le navigateur, et inscrit au journal de preuve pour dix ans. N'y indiquez pas de données sensibles.
Sur les webhooks
Un expéditeur qui envoie ses documents par l'API depuis un logiciel tiers (paie, gestion du personnel…) peut demander à Sinatura de prévenir ce logiciel à chaque étape : signature, refus, scellement, expiration, annulation, adresse électronique injoignable. Ces messages, appelés webhooks, transmettent des identifiants de documents sans aucune donnée personnelle : ni nom, ni adresse électronique, ni lien de signature, ni motif de refus ou d'annulation. Le signataire concerné n'y est désigné que par son rang et son rôle dans le document. Le logiciel, choisi par l'expéditeur, consulte ensuite le détail avec la clé d'API de celui-ci.
Les messages sont signés et ne partent qu'en https vers l'adresse indiquée par l'expéditeur. Sinatura ne conserve pas les réponses du logiciel : seulement la date, le code de réponse, un motif d'échec et la durée de chaque envoi, pendant 30 jours.
Ce que nous ne faisons pas
- Nous ne lisons pas le contenu de vos documents.
- Nous ne les utilisons pour entraîner aucun modèle.
- Nous ne vendons ni ne louons aucune donnée.
- Nous n'employons ni traceur publicitaire ni mesure d'audience.
Destinataires et sous-traitants
| Prestataire | Rôle | Localisation |
|---|---|---|
| OVH SAS | Hébergement, stockage et sauvegardes | France |
| Brevo (Sendinblue SAS) | Acheminement des courriels du service | Union européenne |
| Stripe | Traitement des paiements par carte | Irlande, avec transferts vers les États-Unis |
| Pennylane | Émission et conservation des factures | France |
Sur les transferts hors de l'Union européenne
Notre prestataire de paiement appartient à un groupe établi aux États-Unis. Les données de facturation — identité, adresse, montant — peuvent à ce titre faire l'objet d'un transfert hors de l'Union européenne, encadré par les garanties appropriées prévues au chapitre V du règlement général sur la protection des données.
Les documents, les signatures et les preuves associées ne lui sont jamais transmis et ne quittent pas la France. Le traitement métier reste intégralement souverain ; seul le règlement financier emprunte cette voie.
Vos droits
Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité prévus par le règlement général sur la protection des données. Ces droits s'exercent auprès de notre délégué à la protection des données, à l'adresse dpo@sinatura.fr.
Une réserve mérite d'être explicitée : les données inscrites au journal d'audit et au certificat de preuve d'un document signé ne peuvent être modifiées ni effacées sans détruire la valeur probante que les parties étaient en droit d'attendre. Une demande d'effacement portant sur ces éléments sera examinée au regard de cet intérêt, conformément aux exceptions prévues par le règlement.
La même réserve s'applique aux éléments d'un refus de signer : motif, horodatage, adresse IP, navigateur, attestation de refus et traces de son téléchargement. Ils ne peuvent être modifiés ni effacés sans détruire la valeur probante que les parties étaient en droit d'attendre du refus. Une demande d'effacement portant sur ces éléments sera examinée au regard de cet intérêt, dans les mêmes conditions.
Si vous êtes signataire d'un document sans être client de Sinatura, adressez-vous en premier lieu à la personne qui vous a envoyé ce document : c'est elle qui décide des données vous concernant. Nous vous orienterons vers elle et l'informerons de votre demande.
Vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (cnil.fr).
Sécurité
- Serveur dédié situé en France, disques intégralement chiffrés.
- Chiffrement des échanges par protocole TLS.
- Cloisonnement des données par organisation, appliqué au niveau de la base de données et non seulement de l'application.
- Accès aux documents restreint à des liens temporaires signés ; aucun accès direct au stockage.
- Journal d'audit chaîné cryptographiquement, en écriture seule : toute altération rompt la chaîne et devient démontrable.
- Sauvegardes chiffrées, conservées sur un site géographiquement distinct.
- Administration accessible uniquement par tunnel chiffré, sans exposition publique.