Politique de confidentialité
SACO (Safe Contract) est une plateforme numérique de signature et d'archivage d'accords privés. Cette politique explique quelles données personnelles nous traitons, à quelles fins, avec qui nous les partageons, combien de temps nous les conservons et les droits dont vous disposez au titre du RGPD et de la loi espagnole LOPDGDD (loi organique 3/2018).
1. Responsable du traitement
Le responsable du traitement des données personnelles via SACO est l'entité ci-dessous. Vous pouvez nous contacter ou écrire à notre Délégué à la Protection des Données (DPO).
La société étant en phase finale d'immatriculation, les coordonnées définitives seront publiées prochainement. Les adresses de privacy et du DPO ci-dessus sont actives et surveillées.
2. Champ d'application
Cette politique s'applique à :
- les visiteurs de notre site (saco.app et chemins localisés) ;
- les utilisateurs enregistrés qui créent, envoient, paient ou reçoivent des contrats ;
- les cosignataires invités par un client SACO à examiner et signer un contrat, même sans compte ;
- toute personne qui nous contacte via les formulaires, l'email ou une demande de démo.
Certaines pages ou étapes sont opérées par des tiers pour notre compte — notamment Tecalis (identification et signature électronique) et Stripe (paiements). Dans ce cas, ces prestataires peuvent traiter vos données en tant que responsables indépendants ou conjoints ; voir la section 5.
3. Données personnelles traitées
Nous ne collectons que les données nécessaires pour fournir un service de signature fiable et respecter nos obligations légales. Les principales catégories sont :
- Données de compte — email, mot de passe chiffré, langue, jetons d'authentification et, facultativement, nom et profil.
- Données du contrat — contenu des contrats que vous envoyez ou rédigez, noms et emails des parties, champs remplis, horodatages, empreintes SHA-256 pré et post-signature, PDF signé final.
- Données KYC (option) — images de la pièce, selfie, test de vivacité et résultat. Les données sont captées directement par Tecalis ; SACO ne reçoit que le résultat et un identifiant.
- Données de la cérémonie de signature — horodatages d'envoi et de vérification des OTP, IP et user-agent du signataire, rapport d'audit Tecalis.
- Données de paiement — adresse de facturation, numéro de TVA (si fourni), identifiants client et abonnement Stripe, montant, numéro de facture, statut. Le numéro de carte est saisi dans un élément hébergé par Stripe et n'atteint jamais nos serveurs.
- Données techniques et d'usage — journaux, IP, user-agent, temps de page, registres de consentement et événements de sécurité.
- Communications — messages que vous nous envoyez et nos réponses.
Nous ne collectons pas sciemment de données d'enfants de moins de 16 ans. Si vous pensez qu'un mineur nous a fourni des données, contactez-nous pour suppression.
4. Finalités et bases légales
Nous traitons chaque catégorie de données uniquement pour les finalités ci-dessous, chacune sur la base légale correspondante du RGPD (article 6 ; article 9 pour les catégories particulières).
| Finalité | Base légale | Notes |
|---|---|---|
| Fourniture de SACO : création de compte, envoi, signature, archivage, téléchargement. | Art. 6(1)(b) — exécution du contrat vous liant à nous. | Sans ces données, nous ne pouvons pas exécuter et archiver votre accord. |
| Vérification d'identité (KYC) en cas d'option achetée. | Art. 6(1)(b) et consentement explicite biométrique art. 9(2)(a), capté par Tecalis. | Vous pouvez signer sans KYC si votre plan le permet ; l'option est toujours facultative. |
| Encaissement, facturation, déclarations fiscales. | Art. 6(1)(b) et 6(1)(c) — obligation légale (fiscalité espagnole). | Les factures sont conservées pendant la durée légale même après suppression du compte. |
| Emails transactionnels sur vos contrats. | Art. 6(1)(b). | Ce sont des messages de service, pas du marketing. Ils ne peuvent être désactivés tant que le contrat est actif. |
| Emails marketing, newsletters. | Art. 6(1)(a) — consentement libre et révocable. | Envoyés uniquement si vous le demandez. Lien de désinscription dans chaque message. |
| Journal d'audit plateforme (app.contract_audit_events). | Art. 6(1)(c) et 6(1)(f) — intérêt légitime d'intégrité probatoire. | Source de vérité en cas de litige. En ajout seul, chaîné par hash. |
| Sécurité, prévention de la fraude, détection d'abus, limitations de débit. | Art. 6(1)(f) — intérêt légitime à un service sûr. | Pas de profilage, pas de décision automatisée à effet juridique. |
| Ancrage blockchain de l'empreinte du PDF signé sur Arweave (option). | Art. 6(1)(a) — consentement explicite distinct reconnaissant la permanence. | Seule une empreinte SHA-256 est ancrée. Irréversible au contenu, mais non supprimable. |
| Défense juridique, réponses aux autorités, exercice de nos droits. | Art. 6(1)(c) et 6(1)(f). | Strictement nécessaire et uniquement si exigé. |
5. Partage des données
Nous ne vendons pas de données personnelles. Nous les partageons uniquement avec les sous-traitants et prestataires listés, chacun sous un accord conforme à l'article 28 RGPD. Certains prestataires agissent en tant que responsables indépendants pour certaines parties du parcours ; c'est précisé ci-dessous.
| Prestataire | Rôle | Finalité | Localisation |
|---|---|---|---|
| Tecalis | Sous-traitant (signature) et responsable indépendant (données KYC captées directement) | Vérification d'identité, envoi/vérification OTP, cérémonie de signature, rapport d'audit. | Union européenne (Espagne) |
| Amazon Web Services (S3) | Sous-traitant | Stockage chiffré des brouillons, PDF signés et rapports d'audit pendant la conservation. | Union européenne (Irlande / Francfort) |
| Supabase | Sous-traitant | Base PostgreSQL managée, authentification et métadonnées de fichiers. | Union européenne |
| Stripe | Responsable indépendant pour les données carte ; sous-traitant pour les métadonnées de facturation. | Paiement, tokenisation, calcul de taxes, facturation, SCA / 3-D Secure. | UE / États-Unis via le cadre EU–US Data Privacy Framework et CCT. |
| Arweave / ArDrive (option blockchain uniquement) | Registre public indépendant | Ancrage permanent de l'empreinte SHA-256 du PDF signé. Aucune donnée personnelle n'est ancrée. | Réseau distribué mondial. Entrées immuables par conception. |
| Mailgun (ou fournisseur transactionnel équivalent) | Sous-traitant | Envoi des emails transactionnels. | Région Union européenne |
| ClamAV (auto-hébergé) ou équivalent | Sous-traitant | Analyse antivirus des fichiers envoyés avant stockage. | Infrastructure UE |
| Google reCAPTCHA | Responsable indépendant | Protection anti-bot des formulaires publics. Activé seulement lors de l'envoi. | États-Unis sous CCT. Données minimisées au score de risque. |
6. Transferts internationaux
Notre infrastructure principale est hébergée dans l'Union européenne. Pour les données transférées hors UE/EEE (par exemple vers Stripe ou Google reCAPTCHA aux États-Unis), nous utilisons l'un des mécanismes prévus au Chapitre V du RGPD :
- la décision d'adéquation de la Commission et le cadre EU–US Data Privacy Framework (pour les destinataires adhérents) ; et
- les Clauses Contractuelles Types (CCT) approuvées par la Commission, avec mesures supplémentaires techniques et organisationnelles conformément à l'arrêt Schrems II.
Vous pouvez demander copie des garanties pour un transfert spécifique à dpo@saco.app.
7. Durées de conservation
Nous appliquons des durées strictes. Les documents et données sont supprimés lorsqu'ils ne sont plus nécessaires à la finalité pour laquelle ils ont été collectés, sauf obligation légale de conservation plus longue.
| Catégorie | Durée |
|---|---|
| Contrats signés, PDF brouillons, rapports d'audit (Amazon S3) | Cinq (5) ans à compter de la signature. Un traitement automatisé supprime les fichiers à retention_expires_at. |
| Événements d'audit plateforme | Conservés en métadonnées (empreintes, horodatages, type) au-delà de la suppression des documents à des fins probatoires. Pas de contenu documentaire. |
| Données de compte sans abonnement actif ni contrat en cours | Supprimées après 24 mois d'inactivité ou sur demande. |
| Factures et registres fiscaux | Durée exigée par la loi commerciale et fiscale espagnole (4 à 6 ans en général). |
| Journaux de sécurité et d'accès | Jusqu'à 12 mois, puis agrégés ou supprimés. |
| Consentements et désabonnements marketing | Pendant la validité du consentement plus la période de preuve (3 ans en général). |
| Empreintes SHA-256 ancrées (Arweave) | Permanentes et immuables par conception du protocole Arweave — d'où le consentement explicite requis. |
8. Vos droits au titre du RGPD
Vous disposez des droits suivants. Vous pouvez les exercer en écrivant à privacy@saco.app. Nous répondrons sous un mois, prolongeable de deux mois si la demande est complexe.
- Accès — confirmation et copie de vos données.
- Rectification — corriger les données inexactes ou incomplètes.
- Effacement (« droit à l'oubli ») — suppression dans les cas prévus par le RGPD. Limites : une fois un contrat signé, sa finalité probatoire et la loi peuvent nous imposer de conserver certains registres jusqu'à la fin de la période ; les empreintes ancrées sur Arweave ne peuvent être révoquées (voir ci-dessous).
- Limitation — restreindre le traitement pendant l'instruction d'une réclamation.
- Portabilité — recevoir vos données dans un format structuré et lisible par machine.
- Opposition — vous opposer au traitement fondé sur l'intérêt légitime ou au marketing direct à tout moment.
- Retirer le consentement — sans affecter la licéité du traitement antérieur.
- Ne pas subir de décision entièrement automatisée à effet juridique ou significatif. Nous n'en prenons pas.
- Réclamation — auprès de la AEPD (Espagne) ou de l'autorité de votre pays de résidence.
Limite Arweave : si vous avez acheté l'option d'ancrage blockchain, l'empreinte SHA-256 de votre document signé a été inscrite sur un registre public et immuable avec votre consentement explicite préalable. Cette empreinte n'est pas en soi une donnée personnelle (empreinte cryptographique à sens unique) et, par conception du protocole, ne peut être supprimée sur demande. Nous l'expliquons à l'achat et enregistrons votre consentement comme événement d'audit avant l'ancrage.
10. Sécurité
Nous appliquons des mesures techniques et organisationnelles proportionnées au risque, notamment :
- Chiffrement en transit (TLS 1.2+) et au repos (AES-256) des documents et sauvegardes ;
- Row-Level Security sur toutes les tables, scopé par utilisateur authentifié ;
- Hachage des mots de passe via KDF standards et MFA sur les accès administrateur ;
- Analyse antivirus de chaque fichier avant stockage ;
- Rate limiting et anti-bot sur les endpoints publics ;
- Journal d'audit en ajout seul, chaîné par hash, à chaque transition d'état ;
- Moindre privilège et revue périodique documentée des accès.
En cas de violation avec risque pour vos droits, nous notifions l'AEPD dans les 72 heures et, si la loi l'exige, informons sans retard injustifié les utilisateurs concernés.
11. Cosignataires invités
Lorsqu'un client SACO vous invite à examiner et signer un contrat, nous traitons le minimum nécessaire : votre email, le contenu du contrat à signer, les horodatages de revue et de signature, votre IP et user-agent au moment de la signature, et (si l'option KYC a été achetée) le résultat de la vérification Tecalis.
Vous pouvez exercer tous vos droits RGPD directement auprès de nous (section 8). Pour toute question relative au contenu ou au motif de l'invitation, contactez le client SACO qui vous l'a envoyée — il est responsable de ce contenu.
12. Modifications
Cette politique peut être mise à jour pour refléter des évolutions du service, de nos sous-traitants ou du droit. Les changements significatifs sont notifiés par email aux utilisateurs enregistrés au moins 15 jours avant leur entrée en vigueur. La date « Dernière mise à jour » correspond toujours à la révision la plus récente.
13. Contact
Pour toute question liée à la confidentialité, contactez :
- Boîte privacy : privacy@saco.app
- Délégué à la Protection des Données : dpo@saco.app
- Autorité de contrôle (Espagne) : Agencia Española de Protección de Datos
- Comité européen de la protection des données : edpb.europa.eu