Data Processing Agreement
Version v1.3 — effective 16 juillet 2026
Doc E Sign — Accord de Traitement des Données
Date d'entrée en vigueur : 16 juillet 2026 Version : v1.3 URL : doc-e-sign.com/dpa
Avis de traduction : La présente traduction est fournie à titre de commodité. En cas de divergence entre cette version et la version anglaise, la version anglaise prévaudra.
Le présent Accord de Traitement des Données (la « DPA ») est conclu entre Doc E Sign (le « Sous-traitant ») et l'expéditeur qui accepte les Conditions Générales d'Utilisation de Doc E Sign (le « Responsable du traitement »). Il fait partie intégrante des Conditions Générales d'Utilisation de Doc E Sign et y est incorporé par référence.
La présente DPA régit le traitement par Doc E Sign de données à caractère personnel pour le compte du Responsable du traitement au titre de l'article 28 du Règlement général sur la protection des données du Royaume-Uni (UK GDPR) et de l'article 28 du Règlement général sur la protection des données de l'Union européenne (RGPD), selon le cas applicable.
1. Définitions
« Responsable du traitement » désigne l'expéditeur — le titulaire du compte Doc E Sign qui téléverse des documents et donne instruction à Doc E Sign d'engager des cérémonies de signature.
« Sous-traitant » désigne Doc E Sign.
« Données à caractère personnel » a le sens qui lui est donné par le droit applicable en matière de protection des données.
« Traitement » a le sens qui lui est donné par le droit applicable en matière de protection des données.
« Personne concernée » désigne la personne physique dont les données à caractère personnel sont traitées — dans le présent contexte, principalement le signataire.
« Sous-traitant ultérieur » désigne tout tiers auquel Doc E Sign fait appel pour traiter des Données à caractère personnel au titre de la présente DPA.
« Droit applicable » désigne l'UK GDPR, le RGPD, ainsi que toute autre législation en matière de protection des données applicable au traitement décrit dans la présente DPA.
« Services » désigne le service de signature de documents Doc E Sign tel que décrit dans les Conditions Générales d'Utilisation et dans la documentation disponible sur docs.doc-e-sign.com.
2. Portée et nature du traitement
2.1 Objet
Doc E Sign traite des données à caractère personnel pour le compte du Responsable du traitement afin de fournir les Services : l'engagement des cérémonies de signature, la remise des documents aux signataires, la capture des signatures et des valeurs de champs, et le renvoi des PDF signés finalisés.
2.2 Données à caractère personnel traitées au titre de la présente DPA
La présente DPA régit les catégories suivantes de données à caractère personnel pour lesquelles le Responsable du traitement est le responsable du traitement :
| Catégorie | Détail |
|---|---|
| Adresses e-mail des signataires | Fournies par le Responsable du traitement lors de la création d'une enveloppe ; utilisées pour la remise de l'invitation à signer |
| Noms des signataires | Fournis par le Responsable du traitement ou saisis par le signataire pendant la cérémonie ; intégrés au PDF signé |
| Contenu du document | Le PDF téléversé par le Responsable du traitement ; peut contenir des données à caractère personnel des signataires ou de tiers |
| Signatures et valeurs de champs | Capturées auprès des signataires pendant la cérémonie ; intégrées au PDF finalisé |
| PDF signés finalisés | Stockés dans l'espace de stockage sécurisé de Doc E Sign pendant la durée de l'abonnement actif du Responsable du traitement |
Remarque sur les données faisant l'objet d'une responsabilité conjointe : Doc E Sign détermine de manière indépendante les finalités et les moyens du traitement de certaines données du signataire (adresse IP, user agent, horodatage des événements, et le registre de confirmation). Doc E Sign est un responsable du traitement pour ces données, et non un sous-traitant agissant sur les instructions du Responsable du traitement. Ces données sont régies par l'Accord de Responsabilité Conjointe du Traitement et la Politique de Confidentialité, et non par la présente DPA.
2.3 Catégories de personnes concernées
Les signataires — personnes physiques qui reçoivent une invitation à signer de la part du Responsable du traitement et sont invitées à signer un document via la plateforme Doc E Sign. Il incombe au Responsable du traitement de déterminer l'identité des signataires et de disposer d'un fondement licite pour communiquer leurs coordonnées à Doc E Sign.
2.4 Finalité du traitement
Exécuter la cérémonie de signature sur instruction du Responsable du traitement : remettre le document aux signataires, capturer les signatures et autres valeurs de champs, sceller le PDF finalisé, et le stocker dans le compte du Responsable du traitement.
2.5 Durée du traitement
Doc E Sign traitera les Données à caractère personnel au titre de la présente DPA pendant la durée de l'abonnement actif du Responsable du traitement et pendant une période pouvant aller jusqu'à 30 jours après la résiliation du compte (la fenêtre de téléchargement post-résiliation), à l'issue de laquelle les PDF signés stockés sont définitivement supprimés.
3. Instructions du Responsable du traitement
3.1 Traitement sur instruction
Doc E Sign ne traitera les Données à caractère personnel que sur instruction documentée du Responsable du traitement. Les instructions du Responsable du traitement sont énoncées dans la présente DPA et sont exercées par l'intermédiaire du tableau de bord et de l'API (le cas échéant) de Doc E Sign. Le fait de créer une enveloppe, de désigner des signataires et d'engager la cérémonie de signature constitue l'instruction du Responsable du traitement de procéder au traitement.
3.2 Conformité légale
Doc E Sign informera rapidement le Responsable du traitement si, de l'avis de Doc E Sign, une instruction enfreint le Droit applicable. Doc E Sign n'est pas tenu de suivre une instruction qui l'obligerait à enfreindre le Droit applicable.
3.3 Confidentialité
Doc E Sign veillera à ce que l'ensemble du personnel autorisé à traiter des Données à caractère personnel au titre de la présente DPA soit soumis à des obligations de confidentialité appropriées.
4. Sécurité
Doc E Sign mettra en œuvre et maintiendra des mesures techniques et organisationnelles appropriées afin de protéger les Données à caractère personnel contre tout traitement non autorisé ou illicite, ainsi que contre toute perte, destruction ou dommage accidentel. Ces mesures comprennent notamment :
| Mesure | Mise en œuvre |
|---|---|
| Chiffrement au repos | L'ensemble des documents stockés et des données personnelles des signataires sont chiffrés au repos ; les champs de données personnelles des signataires utilisent des clés de chiffrement des données (DEK) propres à chaque signataire, gérées par Supabase Vault |
| Chiffrement en transit | TLS 1.2 ou version supérieure imposé sur l'ensemble des connexions |
| Contrôles d'accès | Accès fondé sur les rôles ; politiques de sécurité au niveau des lignes de la base de données ; contrôles en insertion seule sur les registres d'audit |
| Gestion des clés | DEK gérées par Supabase Vault ; les clés sont détruites en cas de demande d'effacement valide |
| Analyse des dépendances | GitHub Dependabot et npm audit intégrés au pipeline d'intégration continue |
| Gestion des vulnérabilités | Mises à jour régulières des dépendances ; analyse de sécurité du code intégrée à l'intégration continue |
| Réponse aux incidents | Processus documenté de réponse aux incidents ; notification des violations de données conformément à la clause 7 |
Doc E Sign révisera régulièrement ces mesures afin de garantir qu'elles demeurent adaptées au risque.
5. Sous-traitants ultérieurs
5.1 Autorisation
Le Responsable du traitement autorise Doc E Sign à faire appel aux sous-traitants ultérieurs suivants aux fins de la fourniture des Services :
| Sous-traitant ultérieur | Finalité | Localisation | DPA en place |
|---|---|---|---|
| Supabase | Base de données, authentification, stockage de fichiers, gestion des clés de chiffrement | UE (Francfort, Allemagne) | Oui |
| Lettermint | Envoi des e-mails d'invitation à signer et des e-mails de document finalisé aux signataires | UE (Pays-Bas) | Oui — signé le 28 juin 2026, copie signée déposée |
| Nuntly | Envoi des e-mails d'invitation à signer et des e-mails de document finalisé aux signataires | UE (Irlande) | Oui — signé le 14 juillet 2026, copie signée déposée |
Doc E Sign ne fera appel à aucun sous-traitant ultérieur supplémentaire sans en informer préalablement le Responsable du traitement. La notification de tout nouveau sous-traitant ultérieur sera effectuée par la mise à jour de la présente DPA (avec un préavis de 30 jours pour tout ajout substantiel) et par notification par e-mail à l'adresse enregistrée du Responsable du traitement.
5.2 Obligations des sous-traitants ultérieurs
Doc E Sign imposera à chaque sous-traitant ultérieur des obligations de protection des données équivalentes à celles énoncées dans la présente DPA, notamment en matière de confidentialité, de sécurité et de droits des personnes concernées. Doc E Sign demeure responsable envers le Responsable du traitement des actes et omissions de ses sous-traitants ultérieurs, dans la même mesure que si Doc E Sign avait effectué le traitement directement.
6. Droits des personnes concernées
Doc E Sign assistera le Responsable du traitement dans l'exécution de ses obligations de répondre aux demandes d'exercice des droits des personnes concernées relatives aux Données à caractère personnel traitées au titre de la présente DPA. Plus précisément :
- Lorsqu'un signataire contacte Doc E Sign au sujet d'une demande d'accès, d'effacement, de rectification, de limitation ou de portabilité relative à des données contrôlées par le Responsable du traitement (contenu du document, données d'identité du signataire fournies par le Responsable du traitement), Doc E Sign en informera le Responsable du traitement dans un délai de 5 jours ouvrés et lui apportera l'assistance raisonnablement requise.
- Doc E Sign maintient un mécanisme de recherche par e-mail permettant d'identifier les registres des signataires sans déchiffrement intégral de la base de données, facilitant ainsi une réponse efficace aux demandes d'effacement et d'accès.
- Pour les demandes d'effacement relatives à des données dont Doc E Sign est responsable en son nom propre (adresse IP, user agent, structure du registre d'audit), Doc E Sign répondra directement à la personne concernée. Voir l'Accord de Responsabilité Conjointe du Traitement pour la répartition des responsabilités en matière de traitement des demandes.
7. Notification des violations de données à caractère personnel
Doc E Sign notifiera au Responsable du traitement, sans délai injustifié — et en tout état de cause dans les 72 heures suivant sa prise de connaissance —, toute violation de données à caractère personnel affectant des Données à caractère personnel traitées au titre de la présente DPA. La notification comprendra, dans la mesure où ces éléments sont alors connus :
- La nature de la violation, y compris les catégories et le nombre approximatif de personnes concernées et de registres affectés
- Les conséquences probables de la violation
- Les mesures prises ou envisagées pour remédier à la violation
Doc E Sign coopérera avec le Responsable du traitement dans le cadre de l'enquête sur la violation et de l'exécution des obligations de notification propres au Responsable du traitement à l'égard des autorités de contrôle et des personnes concernées.
8. Analyses d'impact relatives à la protection des données
Doc E Sign fournira au Responsable du traitement une assistance raisonnable dans la réalisation de toute analyse d'impact relative à la protection des données (AIPD) requise par le Droit applicable en lien avec le traitement effectué au titre de la présente DPA.
9. Suppression et restitution des Données à caractère personnel
9.1 En cas de résiliation
À la résiliation du compte Doc E Sign du Responsable du traitement, ou sur demande écrite de ce dernier :
- Les PDF signés finalisés stockés dans l'espace de stockage sécurisé de Doc E Sign seront mis à disposition pour téléchargement pendant 30 jours après la clôture du compte, puis définitivement supprimés
- Toute donnée à caractère personnel détenue par Doc E Sign en sa seule qualité de sous-traitant sera supprimée ou anonymisée dans les 30 jours suivant la fin de la fenêtre de téléchargement de 30 jours
9.2 Dérogation en matière de conservation
Nonobstant la clause 9.1, Doc E Sign peut conserver des données à caractère personnel pendant la durée et dans la mesure requises par le Droit applicable. En particulier :
- La chaîne d'audit cryptographique (qui ne contient aucune donnée à caractère personnel lisible — les champs de données personnelles des signataires sont chiffrés et les DEK sont détruites en cas d'effacement) est conservée pendant 7 ans à compter de la date de signature, conformément aux obligations de Doc E Sign en tant que responsable du traitement et à son fondement d'intérêt légitime
- Les registres comptables et financiers sont conservés pendant 7 ans à compter de la date de l'opération concernée, conformément au droit fiscal britannique
Doc E Sign confirmera par écrit, sur demande, que la suppression a été effectuée.
10. Audits et inspections
Le Responsable du traitement peut auditer la conformité de Doc E Sign à la présente DPA, sous réserve des conditions suivantes :
- Le Responsable du traitement adresse un préavis écrit d'au moins 30 jours
- Les audits sont réalisés pendant les heures normales de bureau et au plus une fois par année civile, sauf exigence contraire d'une autorité de contrôle
- Le Responsable du traitement supporte l'ensemble des coûts de tout audit, sauf si l'audit révèle un manquement substantiel de Doc E Sign
- L'audit n'impose pas à Doc E Sign de divulguer des informations confidentielles relatives à d'autres clients ou à des tiers
À titre d'alternative à un audit direct, le Responsable du traitement peut demander à Doc E Sign de lui communiquer sa documentation de sécurité la plus récente, les résultats de ses tests d'intrusion (lorsqu'ils sont disponibles), ou ses certifications délivrées par des tiers (lorsqu'elles ont été obtenues).
11. Transferts internationaux de données
11.1 Données de l'UE
Les données à caractère personnel provenant de personnes concernées de l'UE sont stockées par Supabase sur une infrastructure située dans l'UE (Francfort, Allemagne). Lorsqu'un transfert international de données à caractère personnel d'origine européenne est requis, il sera couvert par les clauses contractuelles types de l'UE (décision de la Commission 2021/914) ou par une décision d'adéquation applicable.
11.2 Données du Royaume-Uni
Les données à caractère personnel provenant de personnes concernées du Royaume-Uni sont stockées sur la même infrastructure de l'UE. L'UE a renouvelé sa décision d'adéquation à l'égard du Royaume-Uni le 19 décembre 2025 (couvrant à la fois le RGPD et la directive relative à l'application de la loi) — aucun mécanisme de transfert n'est requis pour les flux de données d'origine britannique à destination de pays de l'UE/EEE. Lorsque des données à caractère personnel d'origine britannique sont transférées vers un pays situé hors du Royaume-Uni et de l'EEE ne bénéficiant pas d'une décision d'adéquation britannique, Doc E Sign utilisera, selon le cas, l'International Data Transfer Agreement (IDTA) ou l'Addendum britannique aux clauses contractuelles types de l'UE. Remarque de vérification : les décisions d'adéquation peuvent être modifiées ou révoquées ; ce statut doit être revérifié chaque année, ou dès qu'une évolution substantielle des relations UE-Royaume-Uni en matière de données est signalée.
11.3 Transferts effectués par les sous-traitants ultérieurs
Chaque transfert effectué par un sous-traitant ultérieur est couvert par le DPA propre à ce sous-traitant ultérieur et par les mécanismes de transfert applicables. Le registre des sous-traitants ultérieurs de Doc E Sign (tenu en interne) documente le mécanisme de transfert applicable à chaque flux de données.
12. Responsabilités du Responsable du traitement
Il incombe au Responsable du traitement :
- De disposer d'un fondement licite au titre du Droit applicable pour communiquer des données à caractère personnel des signataires à Doc E Sign et pour donner instruction à Doc E Sign de les traiter
- De s'assurer que les signataires ont été informés que leurs données seront traitées par Doc E Sign conformément à la Politique de Confidentialité de Doc E Sign
- De s'assurer que les documents envoyés pour signature ne contiennent pas de données à caractère personnel de tiers que le Responsable du traitement n'est pas autorisé à communiquer
- De se conformer à l'ensemble des obligations imposées aux responsables du traitement par le Droit applicable en lien avec le traitement décrit dans la présente DPA
13. Droit applicable
La présente DPA est régie par le droit de l'Angleterre et du Pays de Galles. Les parties se soumettent à la compétence exclusive des tribunaux d'Angleterre et du Pays de Galles pour tout litige découlant de la présente DPA, sans préjudice de la compétence de toute autorité de contrôle.
14. Ordre de préséance
En cas de conflit entre la présente DPA et les Conditions Générales d'Utilisation, la présente DPA prévaut en ce qui concerne l'objet du traitement des données. En cas de conflit entre la présente DPA et les clauses contractuelles types (lorsqu'elles sont applicables), les clauses contractuelles types prévalent.