Politique de confidentialité

1. Qui traite vos données ?

Le service est édité par Saint Eloi Holding, 1 rue Marius Petipa, 13009 Marseille, France (« l'éditeur », voir les mentions légales). Selon les données, l'éditeur intervient à deux titres :

Si une organisation vous a adressé un contrat ou un document par Contraktia (pour relecture, signature ou ouverture sécurisée), ou si vous figurez dans ses contenus (interlocuteur, salarié, candidat…), c'est elle qui décide du traitement de vos données : adressez-lui en priorité vos questions et vos demandes. L'éditeur les traite pour son compte, selon l'accord de traitement des données.

Aucun délégué à la protection des données n'a été désigné à ce jour. Pour toute question, voir Contact.

2. Traitements dont l'éditeur est responsable

Aucune décision produisant des effets juridiques à votre égard n'est prise sur le seul fondement d'un traitement automatisé. Vos données ne sont ni vendues ni utilisées à des fins publicitaires, et aucune mesure d'audience n'est réalisée.

3. Données traitées pour le compte des organisations

Au nom de chaque organisation cliente et selon ses instructions, l'éditeur héberge et traite les données que ses utilisateurs saisissent ou déposent, ou qu'elle recueille par le service :

• parties et signataires des contrats, interlocuteurs des tiers, membres, salariés ou candidats mentionnés dans les documents : identité, coordonnées, fonction et toute information figurant dans les contrats (rémunération, dates, conditions…) ;
• informations sur les entreprises issues des registres publics (dénomination, identifiants, adresse, représentants légaux) ;
• parties externes : nom, adresse électronique, accès au portail, commentaires et propositions, vérification des codes d'accès ;
• preuves de signature : consentement exprimé, vérification du code à usage unique (le code lui-même n'est jamais conservé en clair), date et heure, adresse IP, navigateur, empreinte du document, mandat éventuel et, lorsque l'organisation exige un code SMS, vérification de ce code et numéro de mobile du signataire désigné par l'organisation (conservé avec la demande de signature ; dans la preuve remise aux parties, seulement masqué et sous forme d'engagement cryptographique salé) ;
• ouverture sécurisée (document qu'une organisation adresse à des destinataires qu'elle désigne) : nom, adresse électronique et langue du destinataire ; numéro de mobile désigné par l'organisation (téléphone de la fiche de l'interlocuteur ou numéro saisi par l'expéditeur), pour lui envoyer le code d'accès par SMS ; vérification du code à usage unique (le code lui-même n'est jamais conservé en clair), canal utilisé (SMS ou courriel) et, le cas échéant, repli sur le courriel et son motif ; dates d'envoi du lien et du code, d'ouverture et de chaque accès authentifié ; plus haute page affichée et date d'affichage de la dernière page, telles que relevées par le navigateur ; confirmation de lecture (date et mention validée), lorsque l'organisation la demande ; téléchargements du document ; signalement « ce document ne me concerne pas » et son motif facultatif ; relances ; adresse IP et navigateur ; certificat d'ouverture sécurisée, où le numéro de mobile n'apparaît que masqué et sous forme d'engagement cryptographique salé ;
• journal d'audit de l'organisation : actions réalisées dans son espace, auteur, date, adresse IP et navigateur ;
• intégrations par l'API : clés d'API de l'organisation (nom, préfixe affiché, mode, portées, membre responsable, adresses IP autorisées, expiration, date et adresse IP de la dernière utilisation, révocation ; le secret de la clé n'est jamais conservé en clair, seulement son empreinte) ; journal des appels (date et heure, méthode, chemin appelé sans ses paramètres, statut et durée de la réponse, adresse IP et client HTTP de l'intégration, identifiant de requête, clé utilisée) ; réponses des requêtes de création conservées pour l'idempotence ; référence externe et métadonnées de rapprochement fournies par l'intégration ;
• notifications (webhooks) : adresse de réception déclarée par l'organisation, événements choisis, description, secret de signature (conservé chiffré) ; notifications émises (identifiants de l'événement et du document, référence externe, statut et dates) et journal de leurs livraisons (dates, nombre d'essais, code de réponse, extrait tronqué de la réponse du destinataire, durée).

Ces données servent uniquement à fournir le service à l'organisation : préparation, validation, revue, signature, scellement, conservation, suivi, ouverture sécurisée et exports. L'organisation détermine la base légale de ses propres traitements et la durée de conservation de ses contrats.

Ouverture sécurisée. Cette fonction permet à l'organisation émettrice d'établir, pour elle-même, qu'un document a été remis à la personne qu'elle a désignée et ouvert par celle-ci après authentification par un code à usage unique, reçu par SMS sur le mobile enregistré par l'organisation ou à l'adresse électronique du destinataire. Pour chaque destinataire, un certificat d'ouverture sécurisée, signé et horodaté, est établi à la première ouverture authentifiée ou, si l'organisation l'a demandée, à la confirmation de lecture. Il atteste l'ouverture authentifiée et, le cas échéant, la confirmation déclarée par le destinataire ; il ne prouve ni la compréhension ni l'acceptation du contenu, et ne constitue ni une signature ni une lettre recommandée électronique. Le certificat est réservé à l'organisation : il n'est pas adressé au destinataire, qui peut relire et télécharger le document tant que son lien est valable. L'organisation, responsable de ce traitement, en détermine la base légale (par exemple son intérêt légitime à pouvoir prouver la remise d'un document, ou une obligation qui lui incombe) et en informe les destinataires ; le service leur présente une information résumée sur la page d'accès au document.

API et notifications. Une organisation peut connecter ses propres outils (gestion commerciale, ressources humaines, outils internes…) au service par une interface de programmation (API). Les clés d'API sont créées par ses administrateurs ; chacune est rattachée à un membre responsable, limitée aux portées choisies, et agit avec les droits de ce membre, sans jamais donner accès à l'administration de l'organisation (membres, clés, réglages, facturation). Le secret d'une clé n'est affiché qu'une fois, à sa création. L'API ne crée pas de traitement nouveau : elle donne accès, avec les mêmes contrôles, aux données et aux fonctions décrites ci-dessus (par exemple, la lecture d'un document restitue le nom et l'adresse électronique de ses signataires et l'état de leur signature). Chaque appel est consigné dans un journal des appels, qui sert à la sécurité des accès, au diagnostic et à informer l'organisation de l'usage de ses clés : ses administrateurs consultent les derniers appels et la dernière utilisation de chaque clé dans la page « Intégrations », et le journal figure dans l'export complet de l'organisation. À la demande de l'organisation, le service envoie à l'adresse https qu'elle a déclarée des notifications signées lorsqu'un de ses documents change d'état (signature, changement de statut, reconduction, résiliation) : chacune contient les identifiants de l'événement et du document, la référence externe que l'organisation lui a donnée, son statut et des dates, jamais le contenu du document ni de donnée de ses signataires. Cette transmission a lieu sur instruction de l'organisation, qui choisit ce destinataire et en répond. Les documents créés avec une clé de test (bac à sable) ne sont jamais envoyés aux parties, signés ni scellés, et leurs courriels ne sont jamais expédiés ; ils sont supprimés 30 jours après leur création. Les tiers et les interlocuteurs créés à cette occasion sont des tiers et des interlocuteurs de l'organisation, conservés comme ceux créés dans l'interface.

4. Registres publics consultés

Pour identifier une entreprise (l'organisation elle-même ou l'un de ses tiers), le service interroge Company Enrich, service de l'éditeur qui rassemble les registres publics. Seul le terme recherché lui est transmis : nom de l'entreprise, numéro SIREN ou SIRET, ou adresse de son site (pour un entrepreneur individuel, ce nom est une donnée personnelle) ; jamais les documents ni les autres contenus des organisations.

5. Destinataires et sous-traitants

Au sein d'une organisation, les données sont accessibles à ses membres selon leurs rôles et leurs droits ; une partie externe n'accède qu'au contrat qui lui a été adressé. Le personnel de l'éditeur n'y accède que dans les cas décrits dans les CGU (assistance exceptionnelle, journalisée et signalée ; exploitation technique, sécurité, obligations légales).

Pour le diagnostic des fonctions d'assistance par intelligence artificielle, lorsqu'un appel à un fournisseur d'intelligence artificielle échoue, le texte qui lui a été transmis et sa réponse sont conservés chiffrés quelques jours pour en établir la cause ; l'éditeur peut, pour un diagnostic ponctuel, étendre temporairement cette conservation aux appels réussis (72 h au plus). Ce contenu n'est consulté que par un superadministrateur de l'éditeur, dans les conditions de l'accès d'assistance exceptionnel prévu par les CGU : accès motivé, en lecture seule, limité à 1 h et au seul contenu des appels de l'organisation concernée, journalisé et signalé à ses administrateurs.

L'éditeur fait appel aux sous-traitants ultérieurs suivants :

Fournisseur d'intelligence artificielle actuellement en service : Mistral AI (France, Union européenne), pour toutes les fonctions d'intelligence artificielle. Ce réglage est en vigueur depuis le 25 septembre 2026. Lorsque la lecture des PDF importés comme modèles est en service, le fichier PDF entier est transmis à Mistral AI, sauf si l'utilisateur décoche la case « Utiliser l'assistance IA / OCR ».

Transferts hors de l'Union européenne. Les courriels et les SMS (codes de signature, lorsque l'organisation active le code SMS de signature, et codes d'accès de l'ouverture sécurisée) sont envoyés par Twilio Inc. (SendGrid et Programmable Messaging), société établie aux États-Unis. Selon les documents publiés par Twilio, ce transfert est encadré par les clauses contractuelles types de la Commission européenne, intégrées à son accord de traitement des données, et Twilio Inc. déclare adhérer au cadre de protection des données UE–États-Unis (Data Privacy Framework). Si Anthropic est sélectionné, le transfert est encadré par les clauses contractuelles types intégrées à l'accord de traitement des données d'Anthropic. Aucun autre transfert hors de l'Union européenne n'a lieu.

Outils et destinataires choisis par l'organisation. Les outils qu'une organisation connecte au service par l'API, et l'adresse à laquelle elle demande l'envoi de notifications, sont choisis par elle : ce ne sont pas des sous-traitants de l'éditeur. Les données leur sont transmises sur instruction de l'organisation et sous sa responsabilité, y compris lorsqu'ils sont situés hors de l'Union européenne.

Tout ajout ou remplacement d'un sous-traitant ultérieur de cette liste donne lieu à une nouvelle version de cette politique et de l'accord de traitement des données. Le passage de l'un à l'autre des deux fournisseurs d'intelligence artificielle listés, que l'accord de traitement autorise, ne modifie pas la liste : il est annoncé aux administrateurs des organisations au moins 30 jours à l'avance, et le fournisseur en service est indiqué ci-dessus avec la date de ce réglage.

Horodatage. Pour dater ses preuves indépendamment de ses propres serveurs, le service fait horodater, selon la norme RFC 3161, les exemplaires signés et les manifestes de leurs dossiers de preuve, les ancrages du journal d'audit et les certificats d'ouverture sécurisée par un prestataire d'horodatage tiers, à ce jour FreeTSA (service gratuit, non qualifié au sens du règlement eIDAS). Seule une empreinte cryptographique (SHA-256) lui est transmise, jamais le document ni aucune donnée qui identifie une personne ; il ne figure donc pas parmi les sous-traitants ci-dessus.

6. Durées de conservation

Les preuves contractuelles et les données techniques obéissent à des durées différentes : conserver durablement un contrat signé et sa preuve ne signifie pas conserver indéfiniment les données techniques. Les durées ci-dessous sont celles que le service applique ; les purges automatiques s'exécutent chaque jour.

Preuves et journal d'audit après la suppression d'un compte. Les demandes de signature, dossiers de preuve et exemplaires scellés contiennent le nom, l'adresse électronique, l'adresse IP et le navigateur du signataire ; le journal d'audit, chaîné par empreintes, contient le nom, l'adresse IP et le navigateur de l'auteur de chaque action. Les modifier ruinerait la valeur probante des actes signés ou rendrait le journal invérifiable : ils sont conservés en l'état, pour la preuve des actes et la défense des droits (ceux d'une organisation tant qu'elle existe, le journal de la plateforme sans suppression automatique à ce jour). Dans les écrans du journal d'audit et dans les exports, les actions dont un compte supprimé est l'auteur apparaissent sous son pseudonyme, sans adresse IP, navigateur ni détails. Les enregistrements d'origine, eux, ne sont pas réécrits, et le nom ou l'adresse du titulaire restent visibles là où ils décrivent un acte : dans les détails des actions faites par d'autres (invitation, demande de signature, envoi de l'exemplaire signé, gel du document…), dans les traces des codes de signature ou d'accès saisis comme signataire ou partie (avec adresse IP et navigateur), dans l'historique des contrats, des membres et des mandats, dans les dossiers de preuve et dans les exports des organisations, ainsi que, dans le journal de la plateforme, dans les actions de l'éditeur qui concernent ce compte.

Fin de l'utilisation. Depuis la page « Données de l'organisation », un administrateur télécharge d'abord l'archive complète de l'organisation : un fichier ZIP qui réunit toutes ses données structurées et tous ses fichiers (exemplaires signés, rapports et dossiers de preuve, pièces jointes, propositions importées, documents sources des modèles, justificatifs de mandat). Il peut ensuite demander la suppression de l'organisation, en ressaisissant son nom. Elle est programmée 30 jours plus tard : tous les membres en sont prévenus, un bandeau la signale dans l'espace de l'organisation, qui continue de fonctionner normalement, les administrateurs reçoivent un rappel 7 jours avant l'échéance, et tout administrateur peut l'annuler d'ici là. À l'échéance, toutes les données de l'organisation sont définitivement supprimées, en une seule opération, notamment : contrats et documents, y compris signés, preuves de signature, fichiers, tiers, interlocuteurs, projets, modèles, appartenances, mandats, notifications, courriels, exports et journal d'audit de l'organisation ; ses anciens membres en sont avertis.

Subsistent seulement : les comptes des membres, qui peuvent appartenir à d'autres organisations (les comptes créés par une invitation jamais acceptée, et attendus nulle part ailleurs, sont anonymisés) ; dans le journal d'audit de la plateforme, la trace de la demande, de l'annulation éventuelle et de la suppression (nom de l'organisation, auteur de la demande, date, adresse IP et navigateur, compteurs) et les autres événements de plateforme qui la concernent (accès d'assistance avec leur motif, suspensions) ; le registre des sceaux (empreinte de chaque exemplaire signé, date de scellement et nombre de signatures, sans nom ni référence), qui permet à la page « Vérifier un document signé » de continuer à les authentifier ; les exemplaires signés déjà remis par courriel aux signataires ; les sauvegardes, jusqu'à leur effacement au terme de 15 jours. L'éditeur ne conserve pas les contrats signés d'une organisation supprimée : il appartient à celle-ci de conserver son archive pour la durée que la loi lui impose.

7. Sécurité

• Isolation des données par organisation, vérifiée par le serveur à chaque accès.
• Échanges chiffrés (HTTPS).
• Documents et secrets de la plateforme chiffrés au repos (AES-256) ; mots de passe conservés sous forme d'empreinte (argon2id) ; codes et liens à usage unique conservés sous forme d'empreinte.
• Contenu des appels d'intelligence artificielle conservé pour le diagnostic chiffré au repos (AES-256), consultable par le seul superadministrateur de l'éditeur, par un accès motivé, limité dans le temps, journalisé et signalé aux administrateurs de l'organisation.
• Journal d'audit chaîné par empreintes, qui rend détectable toute altération.
• Limitation des tentatives de connexion et de saisie des codes.
• Clés d'API conservées sous forme d'empreinte ; secret de signature des notifications chiffré au repos (AES-256) ; notifications envoyées seulement à une adresse https publique, vérifiée avant chaque envoi.
• Sauvegardes quotidiennes chiffrées.

Le chiffrement au repos protège contre la lecture d'une copie du stockage ou d'une sauvegarde ; il ne protège pas contre une intrusion sur le serveur lui-même, où résident les clés.

En cas de violation de données personnelles, l'éditeur la notifie à la CNIL et, le cas échéant, aux personnes concernées, dans les conditions prévues par le RGPD ; pour les données traitées pour le compte d'une organisation, il en informe celle-ci sans délai injustifié.

8. Vos droits

Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation du traitement, de portabilité et d'opposition (pour les traitements fondés sur l'intérêt légitime), ainsi que du droit de définir des directives relatives au sort de vos données après votre décès.

• Votre compte : depuis la page « Mon compte », vous modifiez votre nom et votre langue, et la page « Mes données » vous permet de télécharger vos données et de supprimer votre compte ; elle reste accessible même si vous refusez une nouvelle version des CGU. Pour toute autre demande (adresse électronique, limitation, opposition), écrivez à l'éditeur (voir Contact).
• Télécharger vos données (accès et portabilité) : un fichier JSON lisible, produit à la demande et jamais conservé, réunit votre profil, vos préférences, vos consentements (acceptation des CGU, consentements de signature, confirmations de mandat), vos appartenances aux organisations, votre journal de connexion, les actions que vous avez faites et ce que vous avez rédigé (commentaires, décisions de validation, signatures, mandats). Il ne contient ni les données d'autres personnes, ni le contenu des contrats.
• Supprimer votre compte (effacement) : vous confirmez par votre mot de passe ou, pour un compte sans mot de passe, par un code reçu par courriel. La suppression est refusée tant que vous êtes le seul administrateur d'une organisation active ou suspendue : désignez d'abord un autre administrateur, ou supprimez l'organisation. Si vous êtes le seul administrateur d'une organisation dont la suppression est programmée, vous en êtes averti : après la suppression de votre compte, plus personne ne pourra l'annuler ni télécharger son archive. Vous quittez alors toutes vos organisations, vos mandats en cours sont révoqués et votre compte est anonymisé immédiatement ; un courriel de confirmation vous est adressé. La suppression est définitive ; la même adresse peut ensuite ouvrir un nouveau compte. Les contrats, commentaires et décisions auxquels vous avez pris part, les preuves de signature et le journal d'audit restent dans les dossiers des organisations (voir « Durées de conservation »).
• Données figurant dans les contenus d'une organisation (contrats, parties, interlocuteurs…) : adressez-vous à cette organisation, responsable de traitement. Si vous écrivez à l'éditeur, il transmet votre demande à l'organisation concernée et l'aide à y répondre.
• Les administrateurs d'une organisation disposent d'exports (liste des contrats, export complet de l'espace, archive complète avec tous les fichiers, données d'un membre) qui facilitent la réponse aux demandes d'accès et de portabilité.
• Le droit à l'effacement ne s'applique pas lorsque la conservation est nécessaire à la constatation, à l'exercice ou à la défense de droits en justice : un contrat signé et sa preuve peuvent ainsi être conservés malgré une demande d'effacement.

L'éditeur répond dans un délai d'un mois, qui peut être prolongé de deux mois pour une demande complexe ; une justification d'identité peut être demandée en cas de doute raisonnable.

Vous pouvez introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr.

9. Cookies et stockage local

Le service n'utilise que des traceurs strictement nécessaires à son fonctionnement, qui ne requièrent pas de consentement (article 82 de la loi « Informatique et libertés ») : aucun cookie publicitaire, aucune mesure d'audience, aucun traceur tiers.

Les polices de caractères sont servies par le service lui-même : la consultation des pages ne déclenche aucune requête vers un service tiers.

10. Modifications

Cette politique évolue avec le service, notamment en cas de changement de sous-traitant ou de nouvelle fonction. Chaque version porte un numéro et une date, indiqués en tête de cette page ; la version en vigueur est celle publiée ici. Seules l'indication du fournisseur d'intelligence artificielle en service, avec la date de ce réglage, et la durée de conservation du contenu des appels d'intelligence artificielle (entre 1 et 30 jours) se mettent à jour d'elles-mêmes, sans nouvelle version.

11. Contact

Pour toute question sur ce document, sur le service ou sur vos données personnelles, écrivez à l'éditeur :

• Par courriel : fj@scale2sell.company
• Par téléphone : +33 6 37 74 29 36
• Par courrier : Saint Eloi Holding, 1 rue Marius Petipa, 13009 Marseille, France