Politique de confidentialité

1. Responsable de traitement

Nahouda (coordonnées ci-dessus, privacy@nahouda.fr) est responsable du traitement des données personnelles décrites ci-après lorsqu'il agit pour son propre compte : gestion des comptes clients, sécurité et journaux techniques. Aucun délégué à la protection des données n'est désigné à ce jour ; toute question relative aux données personnelles peut être adressée à privacy@nahouda.fr.

Pour les données des signataires que le client fait signer via le service (identité, adresse électronique, éléments de preuve), le client est responsable de traitement et Nahouda agit en qualité de sous-traitant, dans les conditions précisées aux conditions générales d'utilisation.

2. Données collectées

Dans le cadre du fonctionnement du service, Nahouda traite :

• les données de compte des utilisateurs clients : nom, adresse électronique et mot de passe, ce dernier stocké sous forme hachée et jamais en clair ;

• les données des signataires invités par le client : nom, adresse électronique, ainsi que les éléments constitutifs du dossier de preuve d'une signature (adresse IP, horodatage des événements de consultation, d'authentification et de signature, code de vérification à usage unique envoyé par courrier électronique) ;

• les documents déposés en vue de leur signature, les documents signés scellés et les rapports de preuve ;

• des données techniques et des journaux d'audit : adresse IP, agent utilisateur et horodatage des connexions et des accès du personnel Nahouda habilité ;

• le journal d'acceptation des conditions générales d'utilisation : version acceptée, date, adresse IP et agent utilisateur au moment de l'acceptation.

Les données personnelles les plus sensibles (nom et adresse électronique des signataires, adresse IP, motifs de refus ou d'annulation, message d'accompagnement) sont chiffrées au repos dans la base de données. Les documents PDF ne sont pas chiffrés au repos sur le stockage objet.

Le suivi des erreurs techniques du navigateur n'est activé qu'avec votre accord, donné ou refusé dans la bannière de cookies ; aucune mesure d'audience n'est utilisée aujourd'hui. Si nous en ajoutons une, votre accord sera demandé avant tout dépôt.

3. Finalités et base légale

Les données de compte sont traitées pour permettre l'authentification et la gestion des comptes clients, ce qui relève de l'exécution du contrat. Les données des signataires et les éléments de preuve sont traités pour fournir le service de signature demandé par le client et pour constituer le dossier probant associé. Le traitement des journaux techniques et d'audit relève de l'intérêt légitime de Nahouda : assurer la sécurité du service et la traçabilité des accès. La conservation des documents signés et des rapports de preuve pendant dix ans répond à une finalité probatoire.

Le journal d'acceptation des conditions générales d'utilisation établit la preuve de l'acceptation du contrat par le client. Il repose sur l'intérêt légitime de Nahouda : conserver la preuve de cette acceptation en cas de litige (prescription de l'action en justice, article 2224 du Code civil).

Lorsqu'un client souscrit un abonnement payant, Plizsign enregistre sa demande expresse que le service commence pendant le délai de rétractation, avec la date, le palier choisi, la version et le texte exacts de cette demande, la version des conditions générales de vente acceptée, l'identifiant du compte et de l'espace, l'adresse IP et le user agent du navigateur. Ce traitement repose sur notre intérêt légitime à disposer d'une preuve en cas de litige (article 6, paragraphe 1, point f, du RGPD). L'adresse IP et le user agent sont conservés pendant toute la relation contractuelle, puis effacés un an après la suppression du compte ou de l'espace. Le reste de l'enregistrement est ensuite conservé cinq ans sous forme pseudonymisée, l'adresse e-mail n'étant plus conservée que sous forme d'empreinte irréversible, puis supprimé : c'est le délai de prescription de l'article 2224 du Code civil.

4. Destinataires et sous-traitants

Les données sont hébergées et traitées par les catégories de destinataires suivantes :

• Hébergement (OVH SAS, France) : hébergement du serveur sur lequel l'ensemble de l'infrastructure est déployé ;

• Routage des courriers électroniques transactionnels (Sweego, France) : acheminement des invitations à signer, relances et notifications ;

• Paiement des abonnements (Stripe), via notre plateforme interne d'authentification et de facturation : traitement des paiements des abonnements payants.

• Banque d'images du blog (Unsplash, Unsplash Inc., groupe Getty Images, États-Unis) : affichage des couvertures d'articles ; reçoit l'adresse IP et la page consultée, sans cookie à notre connaissance.

Le stockage objet des documents déposés, des documents signés scellés et de l'archivage probatoire, ainsi que la supervision des erreurs applicatives, sont opérés en propre par Nahouda sur son infrastructure OVH. Il ne s'agit pas d'une sous-traitance au sens de l'article 28 du RGPD : ces traitements ne font l'objet d'aucun transfert vers un tiers.

La gestion des comptes clients, des licences et de la facturation est assurée par notre plateforme interne d'authentification et de facturation, exploitée par Nahouda sur la même infrastructure.

Note technique : les documents signés font l'objet d'un horodatage cryptographique conforme à la norme RFC 3161 auprès de l'autorité DigiCert. Seule une empreinte cryptographique (condensat) du document lui est transmise ; aucune donnée personnelle ni contenu de document n'est communiqué à ce prestataire.

La liste nominative, datée et détaillée de l'ensemble de nos prestataires, y compris les composants que nous exploitons nous-mêmes, est communiquée à nos clients dans le cadre de l'accord de traitement des données et sur demande.

Aucun de ces traitements n'implique de transfert de données personnelles hors de l'Union européenne, sous réserve du traitement des paiements par Stripe, encadré par des clauses contractuelles types et le cadre de protection des données UE-États-Unis (Data Privacy Framework), et de l'affichage des couvertures d'articles du blog par Unsplash, qui reçoit l'adresse IP et la page consultée. Unsplash est établie aux États-Unis. Ce transfert hors de l'Union européenne se limite à votre adresse IP et à la page consultée, nécessaires à l'affichage de l'image.

5. Durée de conservation

Les données de compte sont conservées tant que le compte existe. En cas de suppression d'un compte ou de fin d'abonnement, elles sont conservées 30 jours (délai d'export prévu aux conditions générales d'utilisation) puis supprimées définitivement.

Les documents signés et leurs rapports de preuve font l'objet d'une copie immuable conservée dix ans à des fins probatoires, y compris après la clôture du compte, conformément aux conditions générales d'utilisation.

Les journaux techniques liés au dispositif de protection contre les tentatives de connexion frauduleuses sont conservés 6 mois. Les journaux d'audit des accès du personnel Nahouda habilité sont conservés 12 mois. Ces durées respectent la fourchette de 6 à 12 mois recommandée par la CNIL pour les journaux de connexion et d'accès.

Le journal d'acceptation des conditions générales d'utilisation est conservé pendant la durée du compte. À la suppression du compte, l'adresse IP et l'agent utilisateur sont effacés au bout d'un an ; la version acceptée, la date et un identifiant pseudonymisé (condensat de l'adresse électronique) sont conservés cinq ans après la suppression, puis supprimés.

6. Droits des personnes concernées

Conformément au Règlement Général sur la Protection des Données (RGPD) et à la loi Informatique et Libertés, toute personne dont les données sont traitées dispose d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de ses données. Lorsque Nahouda agit comme sous-traitant pour le compte d'un client, ces demandes sont à adresser au client concerné ; Nahouda l'assiste dans le traitement de ces demandes. Pour les traitements dont Nahouda est responsable, ces droits peuvent être exercés en écrivant à privacy@nahouda.fr, avec une réponse dans le délai légal d'un mois.

En cas de désaccord persistant, une réclamation peut être introduite auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL).

7. Cookies

Les cookies déposés sans votre accord sont strictement nécessaires au fonctionnement du service : session applicative, maintien de la connexion, déverrouillage d'un lien par code, mémorisation de la langue et de votre choix sur les cookies. Ils sont exemptés de consentement préalable au sens des recommandations de la CNIL et ne servent à aucun croisement à des fins publicitaires ou de profilage. Seul le suivi des erreurs techniques du navigateur demande votre accord. La liste complète est dans la page Cookies.

8. Sécurité

Nahouda applique des mesures de sécurité techniques et organisationnelles adaptées : mots de passe hachés, chiffrement au repos des données personnelles des signataires, authentification des signataires par code à usage unique envoyé par courrier électronique, verrouillage progressif en cas de tentative de connexion suspecte, journalisation des accès du personnel habilité, validation des fichiers déposés.

9. Notification en cas de violation de données

En cas de violation de données personnelles susceptible d'engendrer un risque pour les droits et libertés des personnes concernées, Nahouda notifie la Commission Nationale de l'Informatique et des Libertés dans un délai de 72 heures à compter de la découverte de l'incident, conformément à l'article 33 du RGPD. Lorsque cette violation est susceptible d'engendrer un risque élevé pour les personnes concernées, celles-ci en sont informées directement dans les meilleurs délais, conformément à l'article 34 du RGPD. Lorsque Nahouda agit comme sous-traitant, il informe sans délai le client responsable de traitement.

10. Modification de la présente politique

Nahouda peut modifier la présente politique de confidentialité. Toute modification substantielle est portée à la connaissance des clients par courrier électronique avant son entrée en vigueur.