Accord de sous-traitance
Dernière mise à jour : 21 octobre 2026
1. Portée
Le présent accord encadre le traitement, par OCTOPUS DP agissant en qualité de sous-traitant, des données à caractère personnel dont le client est responsable : documents déposés, identité et coordonnées des signataires, éléments de preuve recueillis lors de la signature.
Il s'applique dès l'acceptation des conditions générales et pour toute la durée d'utilisation du service.
2. Objet du traitement
| Élément | Description |
|---|---|
| Nature | Réception, conservation, mise à disposition, scellement et transmission de documents soumis à signature électronique simple ; notification de l'avancement des documents au logiciel désigné par le client (webhooks) |
| Finalité | Fourniture du service de signature et constitution de la preuve |
| Personnes concernées | Utilisateurs du client, signataires qu'il désigne |
| Catégories de données | Nom, adresse électronique, contenu des documents, adresse IP, caractéristiques du navigateur, horodatage, tracé et déroulement du geste de signature |
| Durée | Documents : 6 mois après signature. Éléments de preuve : 10 ans. |
3. Engagements de Sinatura
Sinatura s'engage à :
- ne traiter les données que sur instruction documentée du client, l'utilisation du service valant instruction, sauf obligation légale contraire dont le client serait informé ;
- garantir la confidentialité des données et n'y donner accès qu'aux personnes tenues à une obligation de confidentialité, strictement pour les besoins du service ;
- mettre en œuvre les mesures techniques et organisationnelles décrites à l'article 5 ;
- assister le client dans la réponse aux demandes d'exercice de droits, dans la notification d'une violation de données et dans la conduite d'une analyse d'impact ;
- notifier au client toute violation de données le concernant dans les quarante-huit heures suivant la connaissance qu'elle en a, avec les éléments permettant au client de remplir sa propre obligation de notification ;
- mettre à disposition les informations nécessaires pour démontrer le respect de ces obligations.
4. Sous-traitants ultérieurs
Le client autorise Sinatura à recourir aux sous-traitants ultérieurs suivants, chacun lié par des obligations équivalentes :
| Prestataire | Traitement confié | Localisation |
|---|---|---|
| OVH SAS | Hébergement, stockage, sauvegardes | France |
| Brevo (Sendinblue SAS) | Acheminement des courriels | Union européenne |
Le prestataire de paiement ne reçoit aucune donnée relevant du présent accord : il ne traite que les informations de facturation du client, pour lesquelles Sinatura agit comme responsable de traitement.
Lorsque le client envoie ses documents par l'API depuis un logiciel tiers et configure une adresse de réception, Sinatura notifie ce logiciel de chaque étape (signature, refus, scellement, expiration, annulation, adresse électronique injoignable). Ce logiciel est un destinataire choisi par le client, sur son instruction, et non un sous-traitant ultérieur de Sinatura. Chaque notification ne contient que des identifiants (document, référence propre au logiciel, signataire désigné par son rang et son rôle), le statut et la date : aucune donnée à caractère personnel, ni nom, ni adresse électronique, ni lien de signature, ni motif. Le logiciel consulte le détail du document avec la clé d'API du client.
Toute évolution de cette liste est portée à la connaissance du client trente jours avant sa prise d'effet. Le client peut s'y opposer pour un motif légitime tenant à la protection des données ; à défaut d'accord, il peut cesser d'utiliser le service et fermer son compte.
5. Mesures de sécurité
- Serveur dédié situé en France, disques intégralement chiffrés.
- Chiffrement des échanges par protocole TLS.
- Cloisonnement des données par organisation, appliqué au niveau de la base de données et non seulement de l'application.
- Accès aux documents restreint à des liens temporaires signés ; aucun accès direct au stockage.
- Journal d'audit chaîné cryptographiquement, en écriture seule : toute altération rompt la chaîne et devient démontrable.
- Sauvegardes chiffrées, conservées sur un site géographiquement distinct.
- Administration accessible uniquement par tunnel chiffré, sans exposition publique.
- Notifications aux logiciels du client (webhooks) signées par un secret propre à chaque environnement, conservé chiffré ; envoyées uniquement en https vers une adresse publique, jamais vers un réseau privé ou local. Les réponses du logiciel ne sont pas conservées.
6. Sort des données
Les documents et leurs certificats sont supprimés six mois après la signature. En cas de fermeture du compte, le client dispose d'un mois pour télécharger les documents encore disponibles, après quoi ils sont supprimés.
Sont conservés au-delà, pendant dix ans :
- les entrées du journal d'audit et les empreintes des documents, dont la suppression détruirait la valeur probante des signatures recueillies ;
- les données conservées au titre d'une obligation légale, notamment comptable.
Cette réserve mérite d'être soulignée : un document signé n'a de valeur que si la preuve de sa signature subsiste. Le client en est informé et l'accepte comme une caractéristique du service. Elle permet, à l'inverse, d'authentifier un document pendant dix ans même après la suppression de la copie détenue par Sinatura.
7. Audit
Le client peut demander, au maximum une fois par an et moyennant un préavis de trente jours, les éléments documentaires démontrant la conformité de Sinatura : description des mesures de sécurité, liste des sous-traitants, registre des traitements dans sa partie le concernant.