ARTICLE 1 — Objet et champ d’application

1.1 Objet

La présente Politique de protection des données personnelles (ci-après la « Politique ») a pour objet d’informer les utilisateurs de la plateforme SIGNATELO, les signataires invités et les visiteurs du site www.signatelo.com sur les conditions dans lesquelles COLABL FRANCE SAS collecte, traite, conserve et protège leurs données personnelles, conformément au Règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel (RGPD) et à la loi n°78-17 du 6 janvier 1978 modifiée (loi Informatique et Libertés).

1.2 Identité du responsable de traitement

Le responsable du traitement des données personnelles est :

COLABL FRANCE SAS Société par Actions Simplifiée au capital de 10 000 euros Siège social : 83 A rue des Alliés, 42100 Saint-Étienne, France RCS Saint-Étienne : 953 740 743 N° TVA intracommunautaire : FR49953740743

Délégué à la protection des données (DPO) : dpo@signatelo.com

1.3 Personnes concernées

La présente Politique s’applique aux utilisateurs professionnels titulaires d’un compte SIGNATELO, aux signataires invités à apposer leur signature électronique sur un document via la plateforme, aux observateurs autorisés à suivre un processus de signature, aux visiteurs du site www.signatelo.com, et à toute personne dont les données personnelles sont traitées dans le cadre de la fourniture des services SIGNATELO.

ARTICLE 2 — Rôles et responsabilités respectives

2.1 SIGNATELO en qualité de responsable de traitement

COLABL FRANCE SAS agit en qualité de responsable de traitement au sens de l’article 4(7) du RGPD pour les traitements de données personnelles réalisés aux fins de gestion de la relation contractuelle avec les utilisateurs professionnels, de facturation et de gestion des abonnements, de support technique et d’assistance, de sécurisation de la plateforme et de prévention des fraudes, de respect des obligations légales incombant à COLABL FRANCE SAS, d’amélioration et de développement des services, et de prospection commerciale relative aux services SIGNATELO.

2.2 SIGNATELO en qualité de sous-traitant

COLABL FRANCE SAS agit en qualité de sous-traitant au sens de l’article 28 du RGPD pour le traitement des données personnelles contenues dans les documents soumis à signature par les utilisateurs professionnels. Dans ce cadre, l’utilisateur professionnel conserve la qualité de responsable de traitement et détermine les finalités et moyens du traitement de ces données.

SIGNATELO s’engage, en tant que sous-traitant, à ne traiter les données personnelles que sur instruction documentée du responsable de traitement, à garantir que les personnes autorisées à traiter les données s’engagent à respecter la confidentialité, à mettre en œuvre les mesures techniques et organisationnelles appropriées, à ne pas recruter de sous-traitant ultérieur sans autorisation préalable, à assister le responsable de traitement dans l’exercice des droits des personnes concernées, et à supprimer ou restituer les données au terme de la prestation.

2.3 Responsabilité de l’utilisateur professionnel

L’utilisateur professionnel est responsable de la licéité des traitements de données personnelles qu’il initie via la plateforme SIGNATELO. Il lui appartient de s’assurer de la conformité au RGPD du traitement des données personnelles contenues dans les documents soumis à signature, de l’information préalable des signataires et des personnes concernées, du respect des bases légales applicables aux traitements qu’il met en œuvre, et de la réponse aux demandes d’exercice de droits formulées par les personnes concernées.

ARTICLE 3 — Données collectées

3.1 Données des utilisateurs professionnels

Dans le cadre de la création et de la gestion du compte SIGNATELO, les données suivantes sont collectées : nom et prénom du représentant, dénomination sociale, numéro SIRET/SIREN, adresse du siège social, adresse électronique professionnelle, numéro de téléphone, coordonnées bancaires et informations de facturation.

3.2 Données des signataires

Lors des processus de signature électronique, les données suivantes sont collectées : nom et prénom du signataire, adresse électronique, numéro de téléphone mobile (pour la signature avancée), adresse IP, horodatage de la signature, données de navigation (agent utilisateur, résolution d’écran), et données de trajectoire du geste de signature (swipe).

3.3 Données des visiteurs du site

Lors de la navigation sur le site www.signatelo.com, les données suivantes peuvent être collectées : adresse IP (anonymisée pour les cookies de mesure d’audience), données de navigation et informations techniques, et données de formulaire de contact le cas échéant.

3.4 Données contenues dans les documents

Les documents soumis à signature via la plateforme peuvent contenir des données personnelles dont la nature et la sensibilité dépendent exclusivement du contenu déterminé par l’utilisateur professionnel. SIGNATELO ne contrôle pas le contenu de ces documents et n’en est pas responsable de traitement.

ARTICLE 4 — Bases légales des traitements

Les traitements de données personnelles mis en œuvre par COLABL FRANCE SAS sont fondés sur les bases légales suivantes :

Exécution du contrat (article 6(1)(b) du RGPD) : création et gestion du compte utilisateur, fourniture des services de signature électronique, gestion des abonnements, support technique.

Obligations légales (article 6(1)(c) du RGPD) : conservation des factures et documents comptables conformément au Code de commerce, conservation des données d’identification conformément à la loi pour la confiance dans l’économie numérique (LCEN), réponse aux réquisitions des autorités judiciaires.

Intérêt légitime (article 6(1)(f) du RGPD) : sécurisation de la plateforme et prévention des fraudes, amélioration des services et développement de nouvelles fonctionnalités, gestion des incidents de sécurité.

Consentement (article 6(1)(a) du RGPD) : envoi de communications commerciales et de newsletters, dépôt de cookies non essentiels.

ARTICLE 5 — Durées de conservation

5.1 Données des utilisateurs professionnels

Les données du compte utilisateur sont conservées pendant toute la durée de la relation contractuelle, puis pendant une durée de trois (3) ans à compter de la résiliation ou de la fermeture du compte, à des fins de gestion des réclamations et de respect des délais de prescription.

Les données de facturation sont conservées pendant dix (10) ans à compter de la clôture de l’exercice comptable, conformément à l’article L.123-22 du Code de commerce.

5.2 Données des signataires

Les données des signataires intégrées dans les fichiers de preuve sont conservées pendant la durée de conservation des documents signés, laquelle varie selon l’abonnement souscrit par l’utilisateur professionnel : un (1) an pour l’offre Free, trois (3) ans pour l’offre Basic, cinq (5) ans pour l’offre Pro, et dix (10) ans pour les offres Team et API.

Les données de connexion (logs techniques, adresses IP) sont conservées pendant une durée d’un (1) an conformément à l’article 6 II de la loi n°2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique (LCEN).

5.4 Données de prospection commerciale

Les données collectées à des fins de prospection commerciale sont conservées pendant une durée de trois (3) ans à compter du dernier contact actif avec la personne concernée.

ARTICLE 6 — Destinataires des données

6.1 Destinataires internes

L’accès aux données personnelles est strictement limité aux personnels de COLABL FRANCE SAS dûment habilités et dont l’intervention est nécessaire à l’accomplissement de leurs missions : équipe technique pour la maintenance et la sécurité, service commercial pour la gestion de la relation client, service comptable pour la facturation.

6.2 Sous-traitants

COLABL FRANCE SAS peut faire appel à des sous-traitants pour le traitement de données personnelles, dans le strict respect de l’article 28 du RGPD. Les sous-traitants auxquels il est fait appel sont l’hébergeur (OVH SAS — hébergement des données en France), le Prestataire de Services de Confiance qualifié (PSCo — émission des certificats électroniques), et le prestataire de paiement (traitement des transactions bancaires).

Chaque sous-traitant est lié par un contrat conforme aux exigences de l’article 28 du RGPD, garantissant un niveau de protection adéquat des données personnelles.

6.3 Autorités et tiers autorisés

Les données personnelles peuvent être communiquées aux autorités judiciaires, administratives ou de régulation dans le cadre du respect des obligations légales de COLABL FRANCE SAS, notamment en réponse à des réquisitions judiciaires ou à des demandes de la CNIL.

ARTICLE 7 — Transferts de données hors UE

Les données personnelles sont hébergées exclusivement dans des centres de données situés en France. COLABL FRANCE SAS ne procède à aucun transfert de données personnelles vers des pays situés en dehors de l’Espace économique européen.

Dans l’hypothèse où un tel transfert serait rendu nécessaire, il ne serait réalisé que dans le respect du chapitre V du RGPD, sur la base d’une décision d’adéquation de la Commission européenne ou de garanties appropriées telles que les clauses contractuelles types adoptées par la Commission européenne, et après information préalable des personnes concernées.

ARTICLE 8 — Sécurité des données

8.1 Mesures techniques

COLABL FRANCE SAS met en œuvre les mesures techniques appropriées pour garantir la sécurité des données personnelles, notamment le chiffrement des données en transit (TLS 1.3) et au repos (AES-256), le stockage des clés cryptographiques dans des modules de sécurité matériels (HSM) certifiés NIST FIPS 140-3, le contrôle d’accès strict basé sur le principe du moindre privilège, la journalisation des accès et des opérations sensibles, les contrôles d’intégrité automatisés par fonctions de hachage cryptographiques, la redondance géographique des données (triple exemplaire dans des centres distincts), et la surveillance continue de la plateforme (24h/24, 7j/7).

8.2 Mesures organisationnelles

Les mesures organisationnelles mises en œuvre comprennent la sensibilisation et la formation du personnel aux enjeux de protection des données, l’engagement de confidentialité signé par chaque collaborateur, les procédures de gestion des incidents de sécurité conformes au RGPD, les audits de sécurité réguliers, et les plans de continuité d’activité et de reprise après sinistre.

8.3 Notification des violations de données

En cas de violation de données personnelles au sens de l’article 33 du RGPD, COLABL FRANCE SAS notifie la CNIL dans les meilleurs délais et au plus tard dans les soixante-douze (72) heures suivant la prise de connaissance de la violation, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes.

Lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées, COLABL FRANCE SAS les informe dans les meilleurs délais conformément à l’article 34 du RGPD.

Les utilisateurs professionnels agissant en qualité de responsables de traitement sont informés dans les quarante-huit (48) heures suivant la prise de connaissance de la violation.

ARTICLE 9 — Droits des personnes concernées

9.1 Droits garantis

Conformément aux articles 15 à 22 du RGPD et aux articles 48 à 56 de la loi Informatique et Libertés, toute personne dont les données personnelles font l’objet d’un traitement dispose des droits suivants :

Droit d’accès (article 15 du RGPD) : obtenir la confirmation que des données personnelles sont ou ne sont pas traitées, et accéder aux données et aux informations relatives au traitement.

Droit de rectification (article 16 du RGPD) : obtenir la rectification des données personnelles inexactes ou le complément des données incomplètes.

Droit à l’effacement (article 17 du RGPD) : obtenir l’effacement des données personnelles dans les cas prévus par le RGPD, sous réserve des obligations légales de conservation.

Droit à la limitation du traitement (article 18 du RGPD) : obtenir la limitation du traitement lorsque l’exactitude des données est contestée, le traitement est illicite, les données ne sont plus nécessaires mais requises pour la constatation de droits en justice, ou en cas d’opposition en attente de vérification.

Droit à la portabilité (article 20 du RGPD) : recevoir les données personnelles dans un format structuré, couramment utilisé et lisible par machine, et les transmettre à un autre responsable de traitement.

Droit d’opposition (article 21 du RGPD) : s’opposer au traitement des données personnelles fondé sur l’intérêt légitime, et s’opposer sans motif au traitement à des fins de prospection commerciale.

Droit de retirer son consentement : retirer à tout moment le consentement donné pour un traitement, sans que cela n’affecte la licéité du traitement effectué avant le retrait.

Droit de définir des directives post-mortem : définir des directives relatives à la conservation, à l’effacement et à la communication de vos données après votre décès, conformément à l’article 85 de la loi Informatique et Libertés.

9.2 Modalités d’exercice

Pour exercer vos droits, vous pouvez adresser votre demande accompagnée d’un justificatif d’identité à :

Par email : dpo@signatelo.com

Par courrier : COLABL FRANCE SAS — Délégué à la protection des données, 83 A rue des Alliés, 42100 Saint-Étienne, France

COLABL FRANCE SAS s’engage à répondre à toute demande dans un délai maximum d’un (1) mois à compter de la réception de la demande complète. Ce délai peut être prolongé de deux (2) mois supplémentaires en cas de complexité ou de nombre élevé de demandes, sous réserve d’en informer la personne concernée dans le délai initial d’un mois.

9.3 Réclamation auprès de l’autorité de contrôle

Si vous estimez que le traitement de vos données personnelles n’est pas conforme à la réglementation applicable, vous pouvez introduire une réclamation auprès de :

Commission Nationale de l’Informatique et des Libertés (CNIL) 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07 Téléphone : 01 53 73 22 22 Site web : www.cnil.fr

ARTICLE 10 — Modification de la présente politique

COLABL FRANCE SAS se réserve le droit de modifier la présente Politique à tout moment afin de l’adapter aux évolutions réglementaires, jurisprudentielles ou techniques. Toute modification substantielle sera portée à la connaissance des utilisateurs par notification électronique et par affichage lors de la connexion à la plateforme, avec un délai de préavis raisonnable.

La version en vigueur de la présente Politique est celle accessible à l’adresse www.signatelo.com/politique-donnees-personnelles.

ARTICLE 11 — Contact

Pour toute question relative à la protection de vos données personnelles ou à la présente Politique :

Délégué à la protection des données : dpo@signatelo.com

Courrier : COLABL FRANCE SAS — Délégué à la protection des données, 83 A rue des Alliés, 42100 Saint-Étienne, France