Doc E Sign — Accord de Responsabilité Conjointe du Traitement au titre de l'Article 26
Date d'entrée en vigueur : 16 juillet 2026 Version : v1.3 URL : doc-e-sign.com/dca
Avis de traduction : La présente traduction est fournie à titre de commodité. En cas de divergence entre cette version et la version anglaise, la version anglaise prévaudra.
À propos du présent accord
Le présent Accord de Responsabilité Conjointe du Traitement (l'« Accord ») est conclu au titre de l'article 26 du Règlement général sur la protection des données du Royaume-Uni (UK GDPR) et de l'article 26 du Règlement général sur la protection des données de l'Union européenne (RGPD) entre :
Partie A — Doc E Sign, établie au Royaume-Uni. Contact : [email protected]
Partie B — l'Expéditeur, c'est-à-dire toute personne ou organisation titulaire d'un compte Doc E Sign et utilisant le service Doc E Sign pour envoyer des documents à signer (« l'Expéditeur »).
Le présent Accord est incorporé par référence aux Conditions Générales d'Utilisation et à l'Accord de Traitement des Données de Doc E Sign. En utilisant le service Doc E Sign, l'Expéditeur accepte le présent Accord.
L'essentiel du présent Accord, conformément aux exigences de l'article 26(2) de l'UK GDPR et du RGPD, est résumé en termes simples dans la Partie 2 de la Politique de Confidentialité de Doc E Sign (doc-e-sign.com/privacy). Les personnes concernées peuvent exercer leurs droits auprès de l'un ou l'autre responsable du traitement, comme indiqué dans cette politique et à la Section 7 ci-dessous.
1. Contexte et finalité
Doc E Sign propose un service de signature de documents. Lorsque l'Expéditeur utilise Doc E Sign pour envoyer un document à signer, Doc E Sign et l'Expéditeur déterminent tous deux certains aspects du traitement des données personnelles du signataire. Dans la mesure où chaque partie détermine de manière indépendante les finalités ou les moyens d'une partie du traitement, elles sont responsables conjoints du traitement pour ces activités au titre de l'article 26.
Le présent Accord ne s'applique pas à l'ensemble des données personnelles traitées dans le cadre du service Doc E Sign. Il ne s'applique qu'aux activités de traitement conjoint spécifiques identifiées à la Section 2. Les activités de traitement pour lesquelles une seule partie détermine de manière indépendante les finalités et les moyens demeurent de la seule responsabilité de cette partie.
2. Activités de traitement conjoint et répartition des responsabilités
Les activités suivantes relèvent de la responsabilité conjointe du traitement. Chaque ligne identifie l'activité de traitement, la partie qui prend les décisions pertinentes, et la partie responsable des droits des personnes concernées au titre de cette activité.
2.1 — Registres de confirmation des informations divulguées
Ce qui est traité : Un registre attestant que le signataire a confirmé avoir pris connaissance de la Politique de Confidentialité et de la Déclaration de Signature de Doc E Sign avant de signer — y compris la version de chaque document présenté, l'horodatage, ainsi que l'adresse IP et le user agent chiffrés du signataire.
Pourquoi ce traitement est effectué : Pour démontrer que les informations de confidentialité requises ont bien été communiquées au cours de la cérémonie de signature. Les deux parties ont un intérêt légitime à ce registre : Doc E Sign, en tant que preuve du respect de ses obligations de conformité ; l'Expéditeur, en tant que preuve que la cérémonie de signature s'est correctement déroulée.
| Responsabilité | Partie | Détail |
|---|---|---|
| Détermine le format et le contenu du registre de confirmation | Doc E Sign | Doc E Sign décide des champs collectés, de leur mode de stockage et de la structure du registre |
| Détermine la durée de conservation | Doc E Sign | 7 ans à compter de la date de signature, sur le fondement des obligations de responsabilité (article 5(2)) et d'éventuelles actions en justice (article 17(3)(b)) |
| Bénéficie du registre en tant que preuve de l'intégrité de la cérémonie | Les deux parties | L'Expéditeur bénéficie de la preuve que la cérémonie s'est correctement déroulée ; Doc E Sign en bénéficie comme preuve de sa propre conformité |
| Répond aux demandes d'accès des personnes concernées (art. 15) relatives à ce registre | Doc E Sign | Contact : [email protected] |
| Répond aux demandes d'effacement des personnes concernées (art. 17) relatives à ce registre | Doc E Sign | Doc E Sign peut refuser l'effacement lorsque la conservation est requise au titre de l'article 17(3)(b) ; répondra par écrit sous 30 jours |
2.2 — Métadonnées de la piste d'audit (adresse IP, user agent, horodatage des événements)
Ce qui est traité : L'enregistrement technique de la cérémonie de signature — le moment où le signataire a ouvert le lien, celui où le consentement a été donné, celui où le document a été signé — ainsi que l'adresse IP chiffrée et le type de navigateur du signataire à chaque événement.
Pourquoi ce traitement est effectué : Pour créer une piste d'audit inviolable et vérifiable de manière indépendante, que l'une ou l'autre partie peut utiliser pour établir l'authenticité et la chronologie d'une signature en cas de litige. Les deux parties bénéficient de ce registre.
| Responsabilité | Partie | Détail |
|---|---|---|
| Décide de collecter l'adresse IP et le user agent | Doc E Sign | Doc E Sign détermine de manière indépendante que ces éléments sont nécessaires à l'intégrité de l'audit ; l'Expéditeur ne donne aucune instruction en ce sens |
| Détermine le format et l'algorithme de la chaîne de hachage | Doc E Sign | L'algorithme de la piste d'audit est propre à Doc E Sign ; l'Expéditeur n'exerce aucun contrôle sur celui-ci |
| Détermine la durée de conservation | Doc E Sign | 7 ans à compter de la date de signature |
| Conserve les registres d'audit | Doc E Sign | Sous forme chiffrée ; la destruction de la DEK est possible sur demande d'effacement, sous réserve de la primauté de la durée de conservation |
| Bénéficie du registre d'audit en tant que preuve | Les deux parties | L'une ou l'autre partie peut invoquer le registre d'audit en cas de litige |
| Répond aux demandes d'accès des personnes concernées (art. 15) relatives aux registres d'audit | Doc E Sign | Contact : [email protected] |
| Répond aux demandes d'effacement des personnes concernées (art. 17) relatives aux registres d'audit | Doc E Sign | Peut refuser lorsque l'article 17(3)(b) s'applique ; répondra par écrit sous 30 jours |
3. Activités de traitement NON conjointes
Par souci de clarté, les activités de traitement suivantes relèvent de la seule responsabilité de la partie identifiée et ne sont pas régies par le présent Accord.
| Activité de traitement | Responsable exclusif | Fondement |
|---|---|---|
| Décider quels signataires reçoivent une demande de signature | Expéditeur | L'Expéditeur décide de manière indépendante des destinataires des documents |
| Le contenu du document envoyé à signer | Expéditeur | Doc E Sign ne détermine pas le contenu des documents |
| Le nom et l'adresse e-mail du signataire (fournis par l'Expéditeur) | Expéditeur | Doc E Sign traite ces données sur instruction de l'Expéditeur (Accord de Traitement des Données au titre de l'article 28) |
| Les données du compte de l'Expéditeur (e-mail, informations de facturation, historique d'utilisation de l'Expéditeur) | Doc E Sign | Doc E Sign détermine de manière indépendante les finalités du traitement des données de ses propres clients |
| La mise en œuvre du traitement des paiements via Stripe | Doc E Sign | Les données de facturation sont traitées sur le fondement propre à Doc E Sign (exécution du contrat, article 6(1)(b)) |
4. Responsabilités en matière de sécurité
Doc E Sign est responsable de :
- Le chiffrement de l'ensemble des champs de données personnelles du signataire au moyen de clés de chiffrement des données (DEK) gérées par Supabase Vault
- L'application de contrôles d'accès en insertion seule sur les registres d'audit (aucun registre ne peut être modifié ou supprimé après sa création)
- Le maintien de la sécurité de la plateforme Doc E Sign, y compris les contrôles d'accès, la gestion des dépendances et la réponse aux incidents
- La notification à l'Expéditeur, dans un délai de 72 heures à compter de sa prise de connaissance, de toute violation de données à caractère personnel affectant des données faisant l'objet d'une responsabilité conjointe
L'Expéditeur est responsable de :
- La sécurisation des identifiants de son compte Doc E Sign
- S'assurer que les adresses e-mail qu'il fournit pour les signataires sont exactes et à jour
- La notification rapide à Doc E Sign de toute violation ou soupçon d'utilisation abusive de son compte dont il aurait connaissance
5. Sous-traitants ultérieurs
Doc E Sign fait appel aux sous-traitants ultérieurs suivants dans le cadre des activités de traitement conjoint couvertes par le présent Accord. La liste complète des sous-traitants ultérieurs est tenue à jour dans la Politique de Confidentialité et l'Accord de Traitement des Données de Doc E Sign.
| Sous-traitant ultérieur | Rôle dans le traitement conjoint | Localisation |
|---|---|---|
| Supabase | Stockage de la base de données et gestion des clés de chiffrement des registres d'audit et des registres de confirmation | UE (Francfort) |
| Lettermint | Envoi des e-mails de signature qui déclenchent la cérémonie | UE (Pays-Bas ; DPA signé le 28 juin 2026, copie signée déposée) |
| Nuntly | Envoi des e-mails de signature qui déclenchent la cérémonie | UE (Irlande ; DPA signé le 14 juillet 2026, copie signée déposée) |
L'Expéditeur ne fait appel à aucun sous-traitant ultérieur supplémentaire dans le cadre des activités de traitement conjoint couvertes par le présent Accord ; les sous-traitants de l'Expéditeur pertinents pour le contenu du document et les données d'identité du signataire relèvent des propres obligations de l'Expéditeur en tant que responsable du traitement, et non du présent Accord.
6. Transferts internationaux de données
Les données personnelles traitées au titre du présent Accord sont stockées par Supabase sur une infrastructure située dans l'UE (Francfort). Aucun transfert de données personnelles faisant l'objet d'une responsabilité conjointe vers des pays situés hors du Royaume-Uni ou de l'EEE n'est effectué par Doc E Sign au titre du présent Accord, sauf lorsqu'une décision d'adéquation ou un mécanisme de transfert approprié est en place (l'IDTA pour les données d'origine britannique ; les clauses contractuelles types de l'UE pour les données d'origine européenne). Les mécanismes de transfert applicables à chaque sous-traitant ultérieur sont documentés dans le registre des accords de traitement des données des sous-traitants ultérieurs de Doc E Sign.
7. Droits des personnes concernées
Les personnes concernées (signataires) peuvent exercer leurs droits relatifs aux données faisant l'objet d'une responsabilité conjointe en contactant l'une ou l'autre partie. Les parties ont convenu de la répartition suivante pour le traitement des demandes :
| Droit | Point de contact | Remarques |
|---|---|---|
| Accès (art. 15) aux registres d'audit, à l'adresse IP, au user agent et au registre de confirmation | Doc E Sign : [email protected] | Doc E Sign répondra sous 30 jours |
| Accès (art. 15) au contenu du document et aux données d'identité du signataire détenues par l'Expéditeur | Expéditeur : coordonnées fournies dans l'e-mail de signature | Doc E Sign aidera à identifier le contact approprié si les coordonnées de l'Expéditeur sont inconnues |
| Effacement (art. 17) des données d'audit contrôlées par Doc E Sign | Doc E Sign : [email protected] | Doc E Sign peut refuser lorsque l'article 17(3)(b) s'applique ; répondra par écrit sous 30 jours en expliquant le fondement du refus et le droit de réclamation |
| Effacement (art. 17) des données contrôlées par l'Expéditeur | Expéditeur | |
| Limitation (art. 18) du traitement contrôlé par Doc E Sign | Doc E Sign : [email protected] | |
| Portabilité (art. 20) des données contrôlées par Doc E Sign | Doc E Sign : [email protected] | Renvoie un fichier JSON structuré de l'ensemble des données détenues par Doc E Sign pour la personne concernée à l'origine de la demande |
| Opposition (art. 21) au traitement fondé sur l'intérêt légitime de Doc E Sign | Doc E Sign : [email protected] | Voir l'analyse d'intérêt légitime à l'adresse doc-e-sign.com/legal/legitimate-interest-assessment |
Lorsqu'une personne concernée ne parvient pas à joindre l'Expéditeur ou ne connaît pas ses coordonnées, Doc E Sign aidera, dans la mesure du possible, à identifier le contact approprié, ou transmettra la demande à l'Expéditeur au nom de la personne concernée.
8. Autorité de contrôle
Pour les personnes concernées au Royaume-Uni : l'Information Commissioner's Office (ICO), ico.org.uk.
Pour les personnes concernées dans l'UE : l'autorité de protection des données de l'État membre de l'UE dans lequel se trouve la personne concernée, ou (dans l'attente de l'établissement de Doc E Sign dans l'UE) l'autorité de l'État membre dans lequel Doc E Sign traite le plus grand volume de données de personnes concernées de l'UE.
Chacune des parties peut constituer le contact principal auprès de l'autorité de contrôle pour les aspects du traitement dont elle est responsable au titre du présent Accord.
9. Durée et résiliation
Le présent Accord s'applique pendant toute la durée du compte Doc E Sign de l'Expéditeur, ainsi que pendant la période durant laquelle l'une ou l'autre partie conserve des données personnelles soumises au présent Accord. La conservation des registres d'audit pendant 7 ans implique que les obligations de Doc E Sign au titre du présent Accord relatives aux données d'audit se poursuivent pendant 7 ans après la dernière cérémonie de signature réalisée sur le compte de l'Expéditeur, que ce compte soit encore actif ou non.
La clôture du compte Doc E Sign de l'Expéditeur ne met pas fin au présent Accord en ce qui concerne les registres d'audit déjà créés.
10. Droit applicable
Le présent Accord est régi par le droit de l'Angleterre et du Pays de Galles. Les parties se soumettent à la compétence exclusive des tribunaux d'Angleterre et du Pays de Galles pour tout litige en découlant, sans préjudice du droit de chaque partie de solliciter des mesures provisoires urgentes devant toute autre juridiction compétente.
11. Publication et mises à jour
Le présent Accord est publié à l'adresse doc-e-sign.com/dca. Les modifications substantielles du présent Accord seront communiquées aux Expéditeurs par e-mail avec un préavis de 30 jours. Les modifications affectant les droits des personnes concernées seront également répercutées dans une version mise à jour de la Politique de Confidentialité à l'adresse doc-e-sign.com/privacy.