Annexe de sous-traitance (article 28 RGPD)
La présente annexe encadre le traitement des données à caractère personnel effectué par PCFRANCE pour le compte de ses Clients, au sens de l'article 28 du Règlement (UE) 2016/679 (« RGPD »). Elle fait partie intégrante des conditions générales de vente et complète la politique de confidentialité. En cas de contradiction, la présente annexe prévaut pour ce qui concerne la sous-traitance.
1. Parties et qualités
Le Client, titulaire du compte JuriSign, agit en qualité de responsable de traitement. Il détermine les documents soumis à signature, les destinataires, les durées de conservation applicables et la licéité du traitement qu'il met en œuvre.
PCFRANCE, entreprise individuelle, 1 allée du Gâte Soie, 37390 Charentilly, SIRET 392 232 054 00040, éditeur de JuriSign, agit en qualité de sous-traitant. Elle traite ces données uniquement sur instruction documentée du Client, l'utilisation du service valant instruction.
PCFRANCE demeure responsable de traitement pour ses propres finalités (gestion des comptes, facturation, mesure d'audience de son site). Ces traitements ne relèvent pas de la présente annexe mais de la politique de confidentialité.
2. Description du traitement
| Objet | Fourniture d'un service de signature électronique simple (niveau SES au sens du règlement eIDAS) et constitution du dossier de preuve associé. |
| Nature des opérations | Collecte, enregistrement, stockage, consultation, transmission aux signataires désignés, apposition de signatures sur document, génération de journaux d'audit, effacement. |
| Finalité | Permettre la signature électronique de documents et en établir la preuve. |
| Catégories de personnes concernées | Signataires désignés par le Client, utilisateurs du compte du Client, et toute personne dont les données figurent dans les documents transmis. |
| Catégories de données | Identité (nom, prénom), coordonnées (adresse électronique, téléphone), données de connexion (adresse IP, agent utilisateur, horodatages), signature manuscrite tracée, contenu des documents transmis, et, si le Client active les options correspondantes, photographie de contrôle ainsi que position et caractéristiques de l'appareil du signataire — ces deux dernières n'étant collectées qu'avec le consentement exprès et horodaté de celui-ci. |
| Données sensibles | Le service n'est pas conçu pour traiter des données relevant de l'article 9 du RGPD. Le Client s'abstient d'en insérer dans les documents transmis, ou en assume seul la licéité et l'analyse d'impact. |
| Durée | Durée du contrat, puis les délais indiqués à l'article 8. |
3. Obligations de PCFRANCE
Conformément à l'article 28.3 du RGPD, PCFRANCE s'engage à :
- ne traiter les données que sur instruction documentée du Client, y compris en matière de transfert hors Union européenne, sauf obligation légale contraire dont le Client serait informé au préalable ;
- garantir que les personnes autorisées à traiter les données sont soumises à une obligation de confidentialité ;
- mettre en œuvre les mesures de sécurité requises par l'article 32 (article 5 ci-dessous) ;
- respecter les conditions relatives au recrutement d'un sous-traitant ultérieur (article 4) ;
- aider le Client, par des mesures techniques appropriées, à donner suite aux demandes d'exercice des droits des personnes concernées ;
- aider le Client à respecter ses obligations en matière de sécurité, de notification de violation et d'analyse d'impact (articles 32 à 36) ;
- au choix du Client, supprimer ou restituer les données au terme de la prestation (article 8) ;
- mettre à disposition toutes les informations nécessaires pour démontrer le respect de ces obligations et permettre les audits prévus à l'article 9 ;
- informer immédiatement le Client si une instruction constitue selon lui une violation du RGPD.
PCFRANCE ne procède à aucune exploitation des documents transmis à d'autres fins que la fourniture du service, et n'en tire aucun usage commercial, statistique ou d'entraînement de modèles.
4. Sous-traitants ultérieurs
Le Client autorise PCFRANCE à faire appel aux sous-traitants ultérieurs listés ci-dessous. Chacun présente des garanties suffisantes et est lié par des obligations équivalentes à celles de la présente annexe.
| Sous-traitant | Rôle | Données transmises | Localisation |
|---|---|---|---|
| IONOS SARL France |
Hébergement de l'infrastructure et des documents ; acheminement des courriels transactionnels | Ensemble des données confiées | Union européenne |
| OVHcloud France |
Acheminement des SMS d'authentification | Numéro de téléphone du signataire et contenu du SMS | Union européenne |
| Brevo (Sendinblue SAS) France |
Acheminement des courriels en cas d'indisponibilité du service principal | Adresse électronique, nom, contenu du courriel | Union européenne |
Stripe et Google, mentionnés dans la politique de confidentialité, n'interviennent pas dans le traitement des documents ni des données de signataires : ils relèvent des traitements pour lesquels PCFRANCE est responsable de traitement (encaissement, mesure d'audience du site public). Le parcours de signature ne charge aucun outil de mesure d'audience.
PCFRANCE informe le Client de tout projet d'ajout ou de remplacement d'un sous-traitant ultérieur, par voie électronique et dans un délai raisonnable avant sa mise en œuvre. Le Client dispose de ce délai pour formuler des objections motivées ; à défaut d'accord, il peut résilier sans pénalité la partie du service concernée.
5. Sécurité
Les mesures techniques et organisationnelles sont détaillées à l'article 8 de la politique de confidentialité et comprennent notamment : chiffrement des communications, hachage irréversible des secrets, empreinte SHA-256 des documents, chaînage cryptographique des journaux d'audit avec vérification d'intégrité, cloisonnement logique entre organisations clientes, authentification des signataires par code à usage unique.
6. Transferts hors Union européenne
Les documents, dossiers de preuve, journaux d'audit et données de signataires ne font l'objet d'aucun transfert hors de l'Union européenne. L'ensemble des sous-traitants ultérieurs listés à l'article 4 est établi et opère dans l'Union.
7. Violation de données
PCFRANCE notifie au Client toute violation de données à caractère personnel le concernant dans les meilleurs délais après en avoir pris connaissance, et au plus tard dans les quarante-huit (48) heures, afin de lui permettre de respecter son propre délai de notification à la CNIL. La notification précise la nature de la violation, les catégories et le volume approximatif de données et de personnes concernées, les conséquences probables et les mesures prises ou envisagées.
8. Sort des données au terme du contrat
- Le Client peut exporter ses documents et dossiers de preuve à tout moment depuis son espace, et pendant trente (30) jours après la clôture du compte.
- Au terme de ce délai, les données sont supprimées, à l'exception de celles dont la conservation est imposée par la loi, notamment les données de facturation conservées dix (10) ans.
- Sur demande écrite formulée avant l'expiration du délai, PCFRANCE procède à une restitution dans un format structuré et couramment utilisé.
9. Audit
PCFRANCE met à la disposition du Client, sur demande écrite motivée, les informations nécessaires pour démontrer le respect de la présente annexe. Le Client peut faire réaliser un audit, au maximum une fois par année civile, sous réserve d'un préavis de trente (30) jours, aux frais du Client, dans des conditions préservant la confidentialité des données des autres clients et la sécurité de l'infrastructure.
10. Limites du service
JuriSign fournit une signature électronique simple (SES) au sens du règlement eIDAS. PCFRANCE n'a pas la qualité de prestataire de services de confiance qualifié et ne délivre ni signature avancée ni signature qualifiée. Il appartient au Client de vérifier que ce niveau est adapté aux actes qu'il fait signer.
Dernière mise à jour : 07/08/2026