Accord de traitement des données (DPA)

Article 1 — Parties et objet

Le présent accord de traitement des données (le « DPA ») est conclu entre :

TEAMSIGN, société par actions simplifiée (SAS) au capital de 500,00 euros, immatriculée au RCS de Paris sous le numéro 108 387 960, dont le siège social est situé 25 rue de Ponthieu, 75008 Paris (n° de TVA intracommunautaire FR07108387960), exploitant le service sous la marque « TeamSign » (le « Sous-traitant » ou « TeamSign »),

et le client professionnel ayant souscrit aux Services (le « Responsable de traitement » ou le « Client »).

Le DPA complète les Conditions Générales de Vente (les « CGV ») et le Bon de commande. Il régit les traitements de données personnelles que TeamSign réalise pour le compte du Client dans le cadre de la fourniture des Services, conformément à l'article 28 du règlement (UE) 2016/679 (« RGPD ») et à la loi n° 78-17 du 6 janvier 1978 modifiée. Les termes commençant par une majuscule non définis ici ont le sens que leur donnent les CGV (Plateforme, Services, Utilisateur, Signataire, Invitation à signer, Environnement de messagerie…).

En cas de contradiction entre le DPA et les CGV sur la protection des données personnelles, le DPA prévaut.

Article 2 — Rôles des parties

2.1. Pour les données des Utilisateurs, des Signataires et des contacts traitées via la Plateforme pour les besoins du Client, le Client est responsable de traitement et TeamSign est sous-traitant.

2.2. TeamSign demeure responsable de traitement pour ses propres traitements (gestion de la relation client et de la facturation, prospection, sécurité de sa Plateforme, obligations légales), qui ne relèvent pas du présent DPA.

2.3. Le Client garantit disposer d'une base légale valable pour les traitements qu'il confie à TeamSign, et être en mesure de répondre aux demandes des personnes concernées. Il lui appartient d'informer ses Utilisateurs et, s'il y a lieu, ses Signataires et contacts, des traitements réalisés via la Plateforme.

Article 3 — Description du traitement

La description détaillée du traitement (nature, finalités, durée, catégories de personnes concernées et de données) figure en Annexe 1, qui fait partie intégrante du DPA.

Le Client s'engage à ne pas soumettre à la Plateforme de données dites « sensibles » (article 9 du RGPD) ni de données relatives à des condamnations (article 10), sauf nécessité justifiée par la nature du document à signer et sous sa seule responsabilité ; le contenu des documents soumis à signature relève du seul Client.

Article 4 — Obligations de TeamSign (sous-traitant)

TeamSign s'engage à :

a) Instructions. Ne traiter les données que sur instruction documentée du Client, y compris en matière de transfert hors de l'Union européenne. Les CGV, le Bon de commande, le présent DPA et l'utilisation des fonctionnalités de la Plateforme par le Client constituent les instructions documentées du Client. TeamSign informe le Client si, selon elle, une instruction constitue une violation du RGPD.

b) Confidentialité. Veiller à ce que les personnes autorisées à traiter les données s'engagent à en respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, et n'y accèdent que dans la mesure nécessaire.

c) Sécurité. Mettre en œuvre les mesures techniques et organisationnelles appropriées au regard de l'article 32 du RGPD, décrites en Annexe 2. Ces mesures peuvent évoluer, sans réduction du niveau de protection.

d) Assistance — droits des personnes. Compte tenu de la nature du traitement, aider le Client, par des mesures techniques et organisationnelles appropriées, à donner suite aux demandes d'exercice des droits des personnes concernées (accès, rectification, effacement, limitation, portabilité, opposition). Toute demande reçue directement par TeamSign est transmise au Client sans délai indu ; TeamSign n'y répond pas elle-même, sauf instruction du Client ou obligation légale.

e) Assistance — sécurité, violations, AIPD. Aider le Client à garantir le respect de ses obligations au titre des articles 32 à 36 du RGPD (sécurité, notification des violations, analyses d'impact et consultation préalable), compte tenu de la nature du traitement et des informations dont TeamSign dispose.

f) Notification des violations. Notifier au Client toute violation de données personnelles sans délai indu après en avoir pris connaissance, et au plus tard dans les quarante-huit (48) heures, en fournissant, dans la mesure du possible, la description de la violation, les catégories et le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises ou proposées. La notification aux autorités et aux personnes concernées relève du Client.

g) Sort des données. Au terme des Services, restituer puis supprimer les données dans les conditions de l'article 18 des CGV (restitution possible dans un format standard exploitable pendant trente (30) jours, puis suppression des environnements de production et des sauvegardes à l'expiration de leur cycle normal), sauf obligation légale de conservation.

h) Documentation et audit. Mettre à la disposition du Client toutes les informations nécessaires pour démontrer le respect du présent article, et permettre la réalisation d'audits. Le Client peut réaliser, à ses frais, au maximum un (1) audit par période de douze (12) mois, moyennant un préavis écrit de trente (30) jours, pendant les heures ouvrées, sans perturber les opérations ni accéder aux données d'autres clients ; TeamSign peut satisfaire à cette obligation par la remise de documentations, attestations ou rapports pertinents.

i) Registre. Tenir le registre des catégories d'activités de traitement effectuées pour le compte du Client (article 30.2 du RGPD).

j) Point de contact. TeamSign n'est pas tenue de désigner un délégué à la protection des données (DPO) au sens de l'article 37 du RGPD et n'en a pas désigné. Elle a désigné un référent protection des données, point de contact unique du Client et des personnes concernées pour toute question relative au présent DPA et aux données personnelles : contact@teamsign.fr (courrier : TEAMSIGN — Référent protection des données, 25 rue de Ponthieu, 75008 Paris).

Article 5 — Sous-traitants ultérieurs

5.1. Le Client autorise de manière générale le recours par TeamSign à des sous-traitants ultérieurs pour des fonctions techniques déterminées. La liste des sous-traitants ultérieurs autorisés à la date du DPA figure en Annexe 3.

5.2. TeamSign informe le Client de tout projet d'ajout ou de remplacement de sous-traitant ultérieur au moins trente (30) jours avant sa prise d'effet (email ou notification dans la Plateforme). Le Client peut formuler des objections légitimes et documentées dans ce délai ; à défaut d'accord sur une solution raisonnable, le Client peut résilier les Services concernés dans les conditions des CGV, sans pénalité de résiliation anticipée.

5.3. TeamSign conclut avec chaque sous-traitant ultérieur un contrat imposant des obligations équivalentes à celles du présent DPA, et demeure pleinement responsable envers le Client de l'exécution de leurs obligations.

Article 6 — Localisation et transferts hors Union européenne

6.1. Les données sont hébergées en France (Annexe 3). TeamSign ne transfère pas de données personnelles en dehors de l'Union européenne de sa propre initiative.

6.2. Si un transfert vers un pays tiers s'avérait nécessaire, il ne serait réalisé que vers un pays bénéficiant d'une décision d'adéquation ou moyennant des garanties appropriées au sens des articles 46 et suivants du RGPD (notamment clauses contractuelles types), le Client en étant préalablement informé.

6.3. La connexion de la Plateforme à l'Environnement de messagerie du Client (Google Workspace, Microsoft 365) est effectuée sur instruction du Client au moyen des autorisations qu'il configure ; les traitements réalisés par ces éditeurs pour le Client relèvent des contrats conclus directement entre le Client et ces éditeurs (article 14.4 des CGV).

Article 7 — Responsabilité

La responsabilité de chaque partie au titre du DPA est soumise aux limitations et plafonds prévus à l'article 16 des CGV, dans les limites permises par la réglementation. Chaque partie demeure responsable des sanctions administratives qui lui seraient personnellement infligées par une autorité de contrôle.

Article 8 — Durée, droit applicable

Le DPA prend effet à la souscription des Services et demeure en vigueur pendant toute la durée du traitement, y compris la période de réversibilité. Il est régi par le droit français ; l'article 22 des CGV (juridiction compétente : Tribunal des activités économiques de Paris) s'applique.

Annexe 1 — Description du traitement

Nature du traitement : hébergement, stockage, structuration, consultation, transmission, horodatage et journalisation ; envoi d'emails et de SMS transactionnels (invitations à signer, codes de vérification à usage unique, notifications, exemplaires signés) ; déploiement de signatures email dans l'Environnement de messagerie du Client ; sauvegarde ; suppression.

Finalités : fourniture des Services décrits aux CGV — (i) signature électronique de documents : envoi des Invitations à signer, authentification des Signataires, constitution et conservation des dossiers de preuve ; (ii) signatures email professionnelles : création, gestion et déploiement centralisé des signatures et campagnes ; (iii) support et administration des comptes Utilisateurs.

Durée : durée de l'abonnement, augmentée de la période de réversibilité de trente (30) jours (article 18 des CGV).

Catégories de personnes concernées : Utilisateurs et collaborateurs du Client ; Signataires invités par le Client ; contacts et destinataires enregistrés par le Client.

Catégories de données :

• Identification et coordonnées professionnelles : nom, prénom, fonction, service, entreprise, adresse email, numéros de téléphone, adresse postale professionnelle, photo et logo le cas échéant ;
• Données des signatures email : contenus des signatures (coordonnées, liens, réseaux sociaux, bannières) ;
• Données de signature électronique : identité déclarée du Signataire, adresse email et le cas échéant numéro de mobile, adresse IP, horodatages, empreintes numériques (SHA-256) des documents, journaux d'événements du dossier de preuve, codes de vérification à usage unique (conservés sous forme hachée) ;
• Contenu des documents soumis à signature : déterminé par le seul Client, susceptible de contenir toute donnée qu'il y insère ;
• Données de connexion et d'usage : identifiants, journaux techniques, adresses IP.

Annexe 2 — Mesures techniques et organisationnelles (article 32 RGPD)

• Hébergement en France auprès d'un hébergeur professionnel (Annexe 3), données au repos sur des infrastructures situées dans l'Union européenne ;
• Chiffrement en transit : accès à la Plateforme exclusivement en HTTPS/TLS ; politique HSTS ;
• Contrôle d'accès : authentification individuelle des Utilisateurs, mots de passe stockés sous forme hachée (algorithme robuste), gestion des rôles et des périmètres (moindre privilège), expiration automatique des sessions inactives ;
• Protection contre les attaques : limitation des tentatives de connexion (anti force brute), liens de signature à usage unique (jetons aléatoires 256 bits, expiration), codes de vérification à usage unique avec verrouillage côté serveur, en-têtes de sécurité HTTP ;
• Traçabilité : journalisation des événements significatifs (connexions, actions d'administration, cycle de vie des documents et signatures) ; dossiers de preuve horodatés avec empreinte SHA-256 ;
• Sauvegardes régulières et procédures de restauration ;
• Intégrité du développement : environnement de production séparé, revues et correctifs de sécurité réguliers ;
• Organisation : accès aux données de production restreint aux personnes habilitées et soumises à confidentialité ; sensibilisation des intervenants ; procédure de gestion des violations de données.

Annexe 3 — Sous-traitants ultérieurs autorisés

Liste des sous-traitants ultérieurs autorisés à la date d'entrée en vigueur du présent DPA (article 5).