Politique de confidentialité

1. Préambule

La présente politique informe les utilisateurs du site https://signature-qualifiee.fr (ci-après « le Site ») de la manière dont leurs données à caractère personnel sont collectées et traitées, conformément au Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel (ci-après « RGPD ») et à la loi française n°78-17 du 6 janvier 1978 modifiée, dite « Informatique et Libertés ».

Elle s'adresse aussi bien aux clients qui commandent une signature qu'aux signataires désignés par eux, dont les données sont nécessairement traitées pour que la signature puisse être recueillie.

2. Responsable de traitement

3. Délégué à la protection des données

Compte tenu de la taille de la structure et de la nature des traitements réalisés, la désignation d'un délégué à la protection des données n'est pas obligatoire au sens de l'article 37 du RGPD. Securit Expert SAS n'a, à ce jour, pas désigné de délégué à la protection des données.

Le point de contact pour toute question relative à la protection des données personnelles est [email protected].

4. Rôle du Site et rôle d'Universign

Le service repose sur deux acteurs distincts, dont les responsabilités ne se confondent pas :

• Securit Expert SAS exploite le Site, recueille la commande, encaisse le prix, assure le support et met à disposition l'espace client. Elle est responsable de traitement pour ces opérations.
• Universign (groupe Signaturit), prestataire de services de confiance qualifié au sens du règlement eIDAS (UE) n°910/2014 et inscrit sur la liste de confiance européenne (LOTL), réalise la vérification d'identité du signataire, délivre le certificat qualifié, appose la signature et produit les preuves. À ce titre, Universign intervient comme sous-traitant de Securit Expert SAS pour la fourniture du service et, s'agissant des opérations de confiance qualifiées, met en œuvre ses propres obligations réglementaires en matière d'identification et de conservation des preuves.

5. Catégories de données traitées

5.1 Données du client

• prénom et nom de la personne qui passe la commande ;
• raison sociale, SIREN ou SIRET ;
• adresse électronique de facturation et, le cas échéant, adresse électronique de contact distincte ;
• numéro de téléphone.

5.2 Données des signataires

• prénom et nom ;
• adresse électronique, utilisée pour l'invitation à signer ;
• numéro de téléphone mobile, utilisé pour l'invitation par SMS et pour les opérations d'authentification liées à la signature.

5.3 Données d'identité traitées par Universign

• pièce d'identité en cours de validité (carte nationale d'identité, passeport ou titre de séjour) et photographie du visage (selfie), au moyen d'un procédé automatisé de vérification d'identité à distance certifié par l'ANSSI ;
• ces données sont collectées et traitées exclusivement par Universign. Elles ne transitent pas par le Site et n'y sont pas stockées ;
• la vérification est réalisée une seule fois par signataire ; il en résulte une identité numérique valable 5 ans, réutilisée automatiquement pour les signatures suivantes du même signataire.

5.4 Données de commande

• documents PDF téléversés en vue de leur signature, ainsi que leur nom de fichier et leur taille ;
• position des encarts de signature sur les pages ;
• formule choisie, nombre de crédits, nombre d'identités signataires, montants hors taxes, TVA et toutes taxes comprises ;
• référence de commande (numéro de facture), statut d'avancement et horodatages associés.

5.5 Données de paiement

• identifiant technique de la transaction chez le prestataire de paiement Stripe, montant et statut du règlement ;
• aucune donnée bancaire (numéro de carte, date d'expiration, cryptogramme) n'est collectée ni conservée par le Site : ces informations sont traitées directement par Stripe.

5.6 Données techniques

• journaux techniques générés automatiquement par l'hébergeur et le réseau de diffusion : adresse IP, horodatage, ressource demandée, code de réponse, type de navigateur et de système d'exploitation ;
• données enregistrées dans le stockage de session de votre navigateur (clé msq:tunnel) afin que votre saisie ne soit pas perdue si vous rechargez la page du tunnel de commande. Ces données restent sur votre appareil et sont effacées à la fermeture de l'onglet. Le détail figure dans la politique cookies.

5.7 Documents signés et preuves

• copie signée et horodatée des documents ;
• preuve de signature produite par le prestataire de services de confiance qualifié, comportant notamment les éléments d'identification du signataire, l'horodatage et les données de vérification de l'intégrité du document ;
• ces éléments sont conservés par Universign et mis à disposition du client depuis son espace client.

6. Finalités et bases légales

Les traitements réalisés reposent sur les bases légales suivantes :

• Exécution du contrat (article 6.1.b du RGPD) : création et traitement de la commande, transmission des documents au prestataire de services de confiance, invitation et authentification des signataires, mise à disposition des documents signés et des preuves, gestion du compte et de l'espace client, facturation, support technique et commercial ;
• Obligation légale (article 6.1.c du RGPD) : conservation des pièces comptables et des factures pendant dix ans (article L123-22 du code de commerce) ; exigences applicables aux prestataires de services de confiance qualifiés au titre du règlement eIDAS pour la conservation des éléments de preuve ;
• Intérêt légitime (article 6.1.f du RGPD) : sécurité du Site et des données, prévention et détection de la fraude, diagnostic technique, amélioration de la qualité du service, constatation et défense de droits en justice ;
• Consentement (article 6.1.a du RGPD) : uniquement pour des traitements qui ne relèveraient d'aucune des bases précédentes. Aucune prospection commerciale par courriel n'est mise en œuvre à ce jour à partir des données collectées sur le Site.

7. Durées de conservation

À l'expiration de ces durées, les données sont supprimées de manière sécurisée ou archivées sous une forme inaccessible aux opérations courantes lorsque leur conservation répond à une obligation légale ou à la constatation d'un droit.

8. Destinataires et sous-traitants

Les données sont accessibles aux seules personnes habilitées au sein de Securit Expert SAS (support, comptabilité, direction), sur la base du strict besoin d'en connaître.

Pour la fourniture du service, Securit Expert SAS recourt aux prestataires suivants, liés par un contrat conforme à l'article 28 du RGPD lorsqu'ils agissent en qualité de sous-traitants :

• Universign (groupe Signaturit) : prestataire de services de confiance qualifié eIDAS. Réalise la vérification d'identité, délivre le certificat qualifié, appose la signature, produit et conserve les preuves ;
• Stripe : prestataire de services de paiement. Traite le règlement par carte bancaire, l'authentification forte du payeur et les contrôles anti-fraude qui lui incombent ;
• Brevo : acheminement des courriels transactionnels (confirmation de commande, facture, notifications relatives à la signature) ;
• Railway Corp. : hébergement de l'application, sur des serveurs situés dans l'Union européenne (région eu-west, Amsterdam, Pays-Bas) ;
• Cloudflare, Inc. : réseau de diffusion (CDN edge) et protection contre les attaques par déni de service.

Les données de suivi des envois et de facturation sont également accessibles au client depuis l'espace client Securit Expert, exploité par le même responsable de traitement.

Aucune donnée personnelle n'est vendue, louée, ni transmise à des tiers à des fins commerciales ou publicitaires.

9. Transferts hors Union européenne

L'essentiel des traitements est réalisé au sein de l'Union européenne. Des transferts limités hors Union européenne peuvent intervenir dans le cadre du recours à Railway Corp. et à Cloudflare, Inc., sociétés de droit américain. Ces transferts sont encadrés par :

• les Clauses Contractuelles Types (Standard Contractual Clauses) adoptées par la Commission européenne ;
• des mesures techniques complémentaires, notamment le chiffrement des communications et la restriction des accès.

Les serveurs d'exécution de l'application sont localisés dans l'Union européenne (région eu-west, Amsterdam, Pays-Bas).

10. Sécurité

Securit Expert SAS met en œuvre des mesures techniques et organisationnelles adaptées afin de protéger les données traitées, notamment :

• chiffrement des communications de bout en bout du parcours utilisateur (HTTPS / TLS) ;
• hébergement de l'application sur des serveurs situés dans l'Union européenne ;
• absence de collecte et de conservation des données bancaires, traitées directement par le prestataire de paiement ;
• suppression automatique des documents téléversés au plus tard 60 jours après leur dépôt ;
• accès nominatifs et restreints aux personnes habilitées, avec politique de mots de passe robustes ;
• cloisonnement des environnements de développement et de production ;
• sauvegardes régulières et journalisation des accès techniques.

En cas de violation de données susceptible d'engendrer un risque élevé pour les droits et libertés des personnes concernées, celles-ci en seront informées dans les conditions prévues à l'article 34 du RGPD, la CNIL étant notifiée conformément à l'article 33.

11. Information des signataires

Lorsqu'un client désigne un signataire, il communique les coordonnées de celui-ci à Securit Expert SAS. Le client, qui détermine seul l'identité des signataires et l'objet des documents, s'engage à informer chaque signataire de la transmission de ses coordonnées et du traitement de ses données dans le cadre du service.

Tout signataire peut exercer ses droits directement auprès de Securit Expert SAS dans les conditions prévues à l'article 12, ainsi que, s'agissant des données d'identité et du certificat qualifié, auprès d'Universign.

12. Vos droits

Conformément aux articles 15 à 22 du RGPD, vous disposez des droits suivants :

• droit d'accès (article 15) : obtenir la confirmation que des données vous concernant sont traitées et en recevoir copie ;
• droit de rectification (article 16) : faire corriger ou compléter des données inexactes ;
• droit à l'effacement (article 17), sous réserve des obligations légales de conservation, notamment des pièces comptables et des éléments de preuve attachés à une signature qualifiée, qui ne peuvent être effacés avant l'expiration des durées applicables ;
• droit à la limitation du traitement (article 18) ;
• droit à la portabilité (article 20) : recevoir les données que vous avez fournies dans un format structuré et couramment utilisé ;
• droit d'opposition (article 21) au traitement fondé sur l'intérêt légitime ;
• droit de retirer votre consentement (article 7.3) à tout moment, sans que cela n'affecte la licéité des traitements antérieurs ;
• droit de définir des directives post-mortem relatives au sort de vos données (article 85 de la loi Informatique et Libertés).

Pour exercer ces droits :

• par courriel : [email protected] ;
• par courrier : Securit Expert SAS — Service données personnelles — 12 passage d'Enfer, 75014 Paris.

Une réponse vous est apportée dans un délai d'un mois à compter de la réception de la demande, conformément à l'article 12 du RGPD. Ce délai peut être prolongé de deux mois en cas de complexité ou de nombre élevé de demandes, auquel cas vous en serez informé. Un justificatif d'identité pourra vous être demandé en cas de doute raisonnable sur l'identité du demandeur.

13. Réclamation auprès de la CNIL

Si vous estimez, après nous avoir contactés, que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés :

• en ligne : https://www.cnil.fr/fr/plaintes ;
• par courrier : CNIL — 3 place de Fontenoy, TSA 80715, 75334 PARIS CEDEX 07.

14. Cookies et traceurs

Le Site ne dépose aucun cookie publicitaire ni aucun traceur de mesure d'audience tiers. Le détail de ce qui est réellement enregistré dans votre navigateur est présenté dans la politique cookies.

15. Données des mineurs

Le service s'adresse à des professionnels et à des personnes majeures capables de s'engager sur les documents qu'elles signent. Aucune collecte de données concernant des mineurs n'est recherchée. Si vous constatez qu'un mineur nous a transmis des données personnelles, merci de le signaler à [email protected] afin qu'il soit procédé à leur suppression.

16. Modification de la politique

La présente politique peut évoluer pour tenir compte de changements législatifs, jurisprudentiels, techniques ou fonctionnels. La date de dernière mise à jour figure en tête de page.

En cas de modification substantielle (nouvelle finalité, nouveau sous-traitant, allongement notable d'une durée de conservation), les personnes concernées en seront informées par courriel avec un préavis raisonnable avant l'entrée en vigueur.