Le présent accord fait partie intégrante des CGV. Il encadre les traitements que ORIANA SYSTEMS (254 Rue Vendôme, 69003 Lyon, FR — le « Sous-traitant ») réalise pour le compte du client (le « Responsable de traitement ») lorsque celui-ci utilise les Services SignCloud, conformément à l'article 28 du RGPD.
Les traitements consistent à héberger, sceller, transmettre, vérifier et conserver des documents, des preuves de signature, des données de vérification d'identité et des preuves d'e-mails, strictement pour fournir les Services, pendant la durée du contrat augmentée des durées de conservation choisies par le Responsable.
Personnes concernées : personnels du Responsable, ses signataires, destinataires et personnes vérifiées.
Le Sous-traitant : ne traite que sur instruction documentée (l'utilisation des Services valant instruction) ; garantit la confidentialité des personnes autorisées ; met en œuvre les mesures techniques et organisationnelles décrites sur la page Sécurité (TLS, chiffrement au repos des contenus au coffre, mots de passe hachés, journaux d'audit chaînés, cloisonnement par organisation, double authentification) ; assiste le Responsable pour les demandes des personnes concernées et les articles 32 à 36 ; notifie au Responsable sans délai injustifié et au plus tard sous 48 heures toute violation de données personnelles affectant ses données ; met à disposition les informations nécessaires à la démonstration de conformité et permet les audits (une fois par an, aux frais du Responsable, avec un préavis de 30 jours, sans accès aux données des autres clients).
Le Responsable autorise de manière générale les sous-traitants ultérieurs listés dans la politique de confidentialité (hébergement O2switch — France ; Sauvegardes chiffrées hors-site : Hetzner (Union européenne) ; stockage des données sensibles : OVHcloud, Paris — hébergement qualifié SecNumCloud ; Stripe pour le traitement des paiements uniquement ; OpenAI (API) lorsque la rédaction, l'analyse ou la transcription assistée par IA est utilisée ; autorité d'horodatage RFC 3161 ne recevant que des empreintes). Le Sous-traitant informe le Responsable au moins 30 jours avant tout ajout ou remplacement ; le Responsable peut s'y opposer pour motif légitime et, dans ce cas, résilier le Service concerné.
Les données principales du service sont hébergées en France, les données sensibles sont stockées dans un environnement OVHcloud à Paris avec hébergement qualifié SecNumCloud, et les sauvegardes chiffrées restent dans l'Union européenne. L'utilisation de la rédaction, de l'analyse ou de la transcription assistée par IA peut impliquer un traitement hors UE. Lorsqu'un sous-traitant ultérieur implique un transfert hors UE (par exemple Stripe ou OpenAI), celui-ci est encadré par une décision d'adéquation ou par les clauses contractuelles types de la Commission européenne.
À la fin du contrat, le Sous-traitant place le compte en lecture seule, restitue les données dans un format standard pendant 60 jours, puis les supprime. Les éléments soumis à une obligation légale de conservation, à un gel juridique ou à un contrat de coffre historique restent isolés pour la seule durée applicable.
Contact protection des données : contact@signcloud.fr. Un exemplaire contresigné du présent DPA est disponible sur demande pour les dossiers du Responsable.
Le Responsable documente ses instructions licites, fournit aux personnes concernées les informations requises, s'assure de la licéité de la collecte et de l'utilisation des données, et ne demande pas au Sous-traitant d'enfreindre le droit applicable. Si une instruction paraît illicite, le Sous-traitant en informe le Responsable et peut la suspendre dans l'attente d'une clarification.
Version 1.4 — 17 septembre 2026. Sous-traitant : ORIANA SYSTEMS · SIRET : 10959159400014 · TVA intracommunautaire : FR58108748526.