Entre :

Firma (1600 Holdings LLC) (« Sous-traitant » ou « Firma.dev »)

Et :

L'entité acceptant les Conditions Générales de Firma.dev (« Responsable du traitement » ou « Client »)

Date d'effet : Dès l'acceptation par le Client des Conditions Générales de Firma.dev

1. Définitions

« Données personnelles » désigne toute information relative à une personne physique identifiée ou identifiable traitée par Firma.dev pour le compte du Client via le Service.

« Personne concernée » désigne une personne physique identifiée ou identifiable dont les Données personnelles sont traitées.

« Traitement » désigne toute opération effectuée sur des Données personnelles, qu'elle soit automatisée ou manuelle, y compris la collecte, le stockage, la récupération, l'utilisation, la divulgation et la suppression.

« Sous-traitant ultérieur » désigne tout tiers engagé par Firma.dev pour traiter des Données personnelles pour le compte du Client.

« Service » désigne l'API de signature électronique de Firma.dev et les services associés décrits dans les Conditions Générales.

« CCT » désigne les Clauses contractuelles types pour le transfert de données à caractère personnel vers des pays tiers conformément au Règlement (UE) 2016/679, telles qu'adoptées par la Commission européenne.

« RGPD » désigne le Règlement (UE) 2016/679 (Règlement général sur la protection des données).

2. Portée et rôles

2.1 Cet ATD s'applique lorsque Firma.dev traite des Données personnelles pour le compte du Client dans le cadre du Service.

2.2 Le Client agit en tant que Responsable du traitement. Le Client détermine les finalités et les moyens du traitement des Données personnelles.

2.3 Firma.dev agit en tant que Sous-traitant. Firma.dev traite les Données personnelles uniquement sur instructions documentées du Client, comme décrit dans cet ATD et les Conditions Générales.

3. Détails du traitement des données

3.1 Catégories de Personnes concernées

• Employés, prestataires et utilisateurs autorisés du Client

• Signataires finaux qui interagissent avec les documents envoyés via le Service

3.2 Types de Données personnelles

• Noms et adresses e-mail

• Données de signature (signatures dessinées, saisies ou importées)

• Adresses IP et horodatages

• Contenu du document (dans la mesure où il contient des Données personnelles)

• Informations de la piste d'audit

3.3 Activités de traitement

• Stockage et rendu des documents pour signature

• Capture et application de signatures électroniques

• Génération de pistes d'audit et de certificats de complétion

• Envoi de notifications de demande de signature

• Fourniture d'accès API et de webhooks

3.4 Durée du traitement

Firma.dev traitera les Données personnelles pour la durée de l'accord et selon les besoins de conformité légale, comme spécifié dans la Politique de confidentialité.

4. Obligations de Firma.dev

Firma.dev s'engage à :

4.1 Traiter les Données personnelles uniquement sur instructions documentées du Client, y compris en ce qui concerne les transferts vers des pays tiers, sauf si la loi de l'UE ou d'un État membre l'exige. Firma.dev informera le Client de cette exigence légale avant le traitement, sauf si la loi l'interdit.

4.2 Veiller à ce que les personnes autorisées à traiter les Données personnelles s'engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité.

4.3 Mettre en œuvre des mesures techniques et organisationnelles appropriées telles que décrites dans l'Annexe 1 (Mesures techniques et organisationnelles).

4.4 Respecter les conditions de recours à des Sous-traitants ultérieurs décrites à la Section 6.

4.5 Aider le Client, compte tenu de la nature du traitement, par des mesures techniques et organisationnelles appropriées pour s'acquitter de l'obligation du Client de donner suite aux demandes d'exercice des droits des Personnes concernées.

4.6 Aider le Client à garantir le respect des obligations découlant des articles 32 à 36 du RGPD, compte tenu de la nature du traitement et des informations à la disposition de Firma.dev.

4.7 Selon le choix du Client, supprimer ou renvoyer toutes les Données personnelles au terme du Service, sauf si la conservation est requise par la loi applicable.

4.8 Mettre à la disposition du Client toutes les informations nécessaires pour démontrer le respect des obligations prévues à l'article 28 du RGPD, et permettre et contribuer aux audits décrits à la Section 10.

4.9 Ne pas utiliser le contenu des enveloppes, le contenu des documents ou les données du signataire pour entraîner, développer ou améliorer des modèles d'intelligence artificielle ou d'apprentissage automatique, ou à des fins d'amélioration de produit ou d'analyse propres à Firma.dev.

5. Obligations du Client

Le Client s'engage à :

5.1 S'assurer que les Données personnelles sont collectées et traitées conformément aux lois applicables sur la protection des données, y compris l'obtention de tous les consentements nécessaires ou la fourniture des avis requis aux Personnes concernées.

5.2 Fournir des instructions documentées à Firma.dev concernant le traitement des Données personnelles.

5.3 S'assurer que l'utilisation du Service par le Client est conforme à toutes les lois et réglementations applicables.

6. Sous-traitants ultérieurs

6.1 Le Client autorise Firma.dev à faire appel aux Sous-traitants ultérieurs énumérés dans l'Annexe 2 (Liste des sous-traitants ultérieurs).

6.2 Firma.dev informera le Client de tout changement prévu concernant les Sous-traitants ultérieurs en mettant à jour la Liste des sous-traitants ultérieurs. Le Client peut s'opposer à ces changements dans les 30 jours suivant la notification. Si le Client s'y oppose et que Firma.dev ne peut raisonnablement répondre à cette objection, le Client peut résilier le Service concerné.

6.3 Firma.dev conclura des accords écrits avec chaque Sous-traitant ultérieur imposant des obligations de protection des données qui ne sont pas moins protectrices que celles de cet ATD.

6.4 Firma.dev demeure pleinement responsable des prestations de ses Sous-traitants ultérieurs.

7. Transferts internationaux

7.1 Résidence des données de l'UE : Les documents et les données de signature du Client sont stockés et traités au sein de l'Union européenne. L'infrastructure principale de Firma.dev est située dans AWS eu-west-3 (Paris, France), avec des services CDN dans AWS eu-north-1 (Stockholm, Suède). Des Données personnelles limitées, telles que les noms et adresses e-mail des signataires, peuvent être traitées par des sous-traitants ultérieurs situés en dehors de l'UE, comme indiqué dans l'Annexe 2, sous réserve des garanties appropriées prévues à la Section 7.2. Les Clients qui exigent que toutes les Données personnelles restent au sein de l'UE peuvent désactiver les e-mails envoyés par Firma et utiliser leur propre infrastructure de messagerie, comme décrit dans la documentation sur la marque blanche (white-labeling).

7.2 Si Firma.dev transfère des Données personnelles en dehors de l'Espace économique européen, Firma.dev s'assurera que des garanties appropriées sont en place, telles que les Clauses contractuelles types (CCT) approuvées par la Commission européenne.

7.3 Sur demande, Firma.dev conclura des CCT avec le Client pour tout transfert vers des pays tiers ne bénéficiant pas d'une décision d'adéquation.

8. Demandes des Personnes concernées

8.1 Firma.dev informera rapidement le Client si elle reçoit une demande d'une Personne concernée afin d'exercer ses droits en vertu du RGPD (accès, rectification, effacement, portabilité, limitation ou opposition).

8.2 Firma.dev ne répondra pas directement aux demandes des Personnes concernées, sauf si elle y est autorisée par le Client ou requise par la loi.

8.3 Firma.dev fournira une assistance raisonnable au Client pour répondre à ces demandes, compte tenu de la nature du traitement.

9. Incidents de sécurité

9.1 Firma.dev informera le Client dans les meilleurs délais (et en tout état de cause dans les 72 heures) après avoir pris connaissance d'une violation de Données personnelles affectant les données du Client.

9.2 La notification comprendra, dans la mesure du possible :

• La nature de la violation, y compris les catégories et le nombre approximatif de Personnes concernées touchées

• Les conséquences probables de la violation

• Les mesures prises ou proposées pour remédier à la violation

9.3 Firma.dev coopérera avec le Client et prendra des mesures raisonnables pour aider à l'enquête et à l'atténuation de chaque violation.

10. Audits

10.1 Firma.dev mettra à la disposition du Client les informations raisonnablement nécessaires pour démontrer la conformité avec cet ATD. Cette obligation sera satisfaite par la fourniture de :

• La documentation et les politiques de sécurité

• Les évaluations de sécurité tierces lorsqu'elles sont disponibles

• Les questionnaires de sécurité complétés

10.2 Firma.dev n'autorise pas les audits sur site. Toutes les demandes d'audit seront traitées par le biais de documentations, de réponses écrites et de méthodes de vérification à distance à la discrétion de Firma.dev.

10.3 Les demandes d'audit au-delà de la documentation standard (telles que des questionnaires de sécurité personnalisés, des revues techniques détaillées ou des appels avec le personnel de sécurité) seront soumises à des frais de 500 € par demande, payables d'avance.

10.4 Rien dans cette Section 10 n'oblige Firma.dev à divulguer des informations qui compromettraient la sécurité de ses systèmes, violeraient les obligations de confidentialité envers d'autres clients ou enfreindraient la loi applicable.

11. Durée et résiliation

11.1 Cet ATD prend effet dès l'acceptation par le Client des Conditions Générales et reste en vigueur pendant toute la durée du traitement des Données personnelles par Firma.dev pour le compte du Client.

11.2 Au terme du Service, Firma.dev supprimera ou renverra les Données personnelles comme spécifié à la Section 4.7, sous réserve des exigences légales de conservation.

12. Loi applicable

Cet ATD est régi par les lois spécifiées dans les Conditions Générales. Pour les questions relatives à la conformité au RGPD, les dispositions du RGPD et du droit de l'État membre applicable s'appliqueront.

Annexe 1 : Mesures techniques et organisationnelles

Firma.dev met en œuvre les mesures suivantes pour protéger les Données personnelles :

Contrôle d'accès

• Clés d'API uniques par Client avec autorisations configurables

• Les Espaces de travail Client fournissent un isolement logique entre les ensembles de données des Clients

Chiffrement

• TLS 1.2 ou supérieur pour toutes les données en transit

• Chiffrement AES-256 pour les données au repos

• Connexions de base de données chiffrées

Sécurité de l'infrastructure

• Hébergé sur AWS avec résidence des données dans l'UE (eu-west-3 Paris)

• Segmentation réseau et protection par pare-feu

• Correctifs et mises à jour de sécurité réguliers

• Protection DDoS via AWS CloudFront

Surveillance et journalisation

• Pistes d'audit complètes pour tous les événements de signature

• Alertes automatisées en cas d'activité anormale

• Conservation des journaux pour l'analyse de la sécurité

Intégrité des données

• Pistes d'audit inviolables avec sceaux cryptographiques

• Vérification du hachage des documents

• Sauvegardes automatisées avec récupération à un instant précis (Point-in-Time Recovery)

Gestion des incidents

• Procédures de réponse aux incidents documentées

• Engagement de notification de violation sous 72 heures

Sécurité du personnel

• Accords de confidentialité pour l'ensemble du personnel

Continuité d'activité

• Infrastructure redondante au sein des régions de l'UE

• Tests de sauvegarde réguliers

Annexe 2 : Liste des sous-traitants ultérieurs

Dernière mise à jour : Juin 2026

Le Client sera informé des modifications apportées à cette liste par e-mail envoyé à l'administrateur du compte ou via le tableau de bord de Firma.dev.

Annexe 3 : Clauses contractuelles types

Pour les transferts de Données personnelles vers des pays situés en dehors de l'Espace économique européen ne bénéficiant pas d'une décision d'adéquation, les parties conviennent que les Clauses contractuelles types (Module deux : Responsable de traitement à Sous-traitant) adoptées par la décision d'exécution (UE) 2021/914 de la Commission européenne s'appliquent et sont intégrées par référence.

Les CCT sont réputées complétées comme suit :

• Clause 7 (Clause d'adhésion) : Non utilisée

• Clause 9 (Utilisation de sous-traitants) : L'option 2 (Autorisation écrite générale) s'applique

• Clause 11 (Voies de recours) : Clause facultative non utilisée

• Clause 17 (Droit applicable) : Législation de l'Irlande

• Clause 18 (Choix du forum) : Tribunaux de l'Irlande

Contact pour les questions de protection des données :

Firma.dev (1600 Holdings LLC) E-mail : Par e-mail à support@firma.dev

En utilisant le Service de Firma.dev, le Client reconnaît et accepte les termes du présent Accord de traitement des données.