Politique de Traitement des Données Personnelles

Information sur la manière dont Validocus collecte, utilise et protège les données personnelles, conformément à la Loi statutaire colombienne 1581 de 2012 et aux réglementations connexes, ainsi qu'au RGPD lorsque celui-ci s'applique.

1. Responsable du traitement

   Le responsable du traitement des données personnelles collectées via la plateforme Validocus est la société Validocus (ci-après, « Validocus » ou « le Responsable »), dont le siège principal est situé à Medellín, Antioquia, Colombie.

   Nous avons désigné un point de contact unique pour toute question relative à la protection des données personnelles et à l'exercice des droits des personnes concernées. Pour toute demande, requête ou réclamation, vous pouvez nous contacter par les moyens suivants :

   Validocus — Medellín, Antioquia, Colombie.
   Courriel du DPO (Délégué à la protection des données) : hello@validocus.com
   Téléphone : +57 317 3025584.

2. Cadre légal applicable

   La présente politique est soumise au cadre normatif de la protection des données personnelles en vigueur en Colombie, en particulier à la Loi statutaire 1581 de 2012 (régime général de protection des données personnelles), à son Décret d'application 1377 de 2013, et aux circulaires et instructions émises par la Superintendance de l'Industrie et du Commerce (SIC) en sa qualité d'autorité de contrôle.

   Lorsque le traitement porte sur des données de personnes concernées situées dans l'Espace économique européen, ou lorsque Validocus propose des produits ou services à des résidents de ce territoire, le traitement est également soumis au Règlement (UE) 2016/679 (Règlement Général sur la Protection des Données, « RGPD »). Dans ce cas, les droits et garanties reconnus par le RGPD seront pleinement respectés.

   Validocus révisera périodiquement la présente politique pour l'aligner sur les évolutions normatives, jurisprudentielles ou doctrinales de l'autorité de contrôle.

3. Données personnelles collectées

   Pour la fourniture du service de signature électronique, Validocus est susceptible de collecter et de traiter les catégories de données personnelles suivantes, aussi bien de l'utilisateur souscripteur que des signataires invités :

   Données d'identification et de contact : nom, prénom, adresse de courrier électronique, numéro de téléphone, numéro de pièce d'identité (lorsque l'utilisateur le fournit pour la signature).

   Données techniques et probatoires : adresse IP du signataire au moment de la signature, horodatages, géolocalisation approximative dérivée de l'IP, type d'appareil et de navigateur. Preuve vidéo du signataire exprimant son consentement (pouvant inclure visage et voix), image de la signature manuscrite numérisée, document PDF signé, et empreinte SHA-256 du document.

   Nous ne demandons ni ne stockons de données sensibles au-delà de ce qui est nécessaire à la fourniture du service. Nous ne collectons pas d'informations relatives aux moyens de paiement : le traitement des paiements est assuré par la passerelle ePayco, conformément à sa propre politique de protection des données.

4. Finalités du traitement

   Validocus traite les données personnelles collectées aux fins spécifiques et déterminées suivantes :

   (i) Fournir le service de signature électronique, y compris la gestion du cycle complet de signature (envoi des invitations, recueil des signatures, génération du document signé et production de la preuve) ; (ii) Produire des preuves juridiques vérifiables attestant la validité et la traçabilité des signatures réalisées, par la capture de l'IP, de la vidéo, de la géolocalisation approximative et de l'ancrage de l'empreinte sur la blockchain ; (iii) Respecter les obligations légales applicables au Responsable, y compris les obligations de conservation documentaire, de réponse aux demandes des autorités et les obligations comptables et fiscales.

   Par ailleurs, nous pouvons traiter les données pour (iv) fournir un support technique et répondre aux demandes des personnes concernées ; (v) améliorer le service via une analyse agrégée et anonyme de l'utilisation de la plateforme ; et (vi) envoyer des communications opérationnelles relatives à la fourniture du service. Les communications marketing ne seront envoyées qu'avec consentement préalable et exprès, révocable à tout moment.

5. Base légale du traitement

   Le traitement des données personnelles par Validocus repose sur les bases légales suivantes, appliquées en fonction de chaque finalité :

   Exécution d'un contrat : le traitement est nécessaire à la fourniture du service souscrit par l'utilisateur ou à l'adoption de mesures précontractuelles à sa demande. Consentement exprès et éclairé : la personne concernée donne son consentement lors de l'inscription, lors de l'acceptation des conditions au moment de la signature d'un document, et de manière spécifique lors de l'enregistrement de la preuve vidéo.

   Le traitement peut également reposer sur le respect d'obligations légales applicables au Responsable (par exemple, conservation à fins probatoires, réponse aux demandes judiciaires ou administratives) et sur l'intérêt légitime du Responsable lorsque celui-ci ne prévaut pas sur les droits de la personne concernée (par exemple, prévention de la fraude, améliorations agrégées du service).

6. Catégories particulières de données

   La preuve vidéo capturée pendant le processus de signature peut contenir le visage et la voix du signataire, ce qui peut être considéré comme des données biométriques dans la mesure où elles permettent ou confirment l'identification unique d'une personne physique.

   Ce traitement est réalisé sur la base du consentement explicite et spécifique du signataire, recueilli au début de l'enregistrement vidéo, et exclusivement à la finalité probatoire décrite : étayer la traçabilité et l'authenticité de la signature électronique. Ces données ne sont pas utilisées à des fins d'identification biométrique de masse, ne sont pas intégrées dans des bases biométriques et ne sont pas cédées à des tiers à des fins autres que strictement nécessaires à la fourniture du service.

   La personne concernée peut retirer son consentement au traitement de ces données à tout moment, sans préjudice de l'obligation de Validocus de conserver les preuves produites pendant les délais légaux de prescription applicables.

7. Sous-traitants (tiers ayant accès aux données)

   Pour la fourniture du service, Validocus peut partager des informations avec les sous-traitants suivants, tous liés par des contrats garantissant des niveaux adéquats de sécurité et de confidentialité :

   Wasabi Technologies : fournisseur de stockage cloud (compatible S3) où sont conservés les documents PDF signés, les preuves vidéo et les images de signature. ePayco : passerelle de paiement traitant les transactions ; nous ne partageons pas les documents signés avec ePayco, uniquement les données nécessaires à la facturation. Avalanche (réseau blockchain public) : seule l'empreinte cryptographique SHA-256 du document est publiée sur la chaîne. L'empreinte est un identifiant unidirectionnel ne contenant aucune donnée personnelle et ne permettant pas la reconstitution du document d'origine.

   Fournisseur de messagerie : utilisé pour envoyer les notifications opérationnelles (invitations à signer, confirmations, rappels). Ces sous-traitants n'accèdent qu'aux données strictement nécessaires à la fourniture de leur service et sont tenus de mettre en œuvre des mesures de sécurité équivalentes à celles de Validocus.

8. Transferts internationaux

   Certains sous-traitants sont situés hors de Colombie, ce qui implique des transferts internationaux de données personnelles. En particulier : le stockage Wasabi peut s'effectuer dans des centres de données situés aux États-Unis et/ou en Europe ; le réseau Avalanche est un réseau décentralisé avec des nœuds distribués mondialement, sur lequel n'est publiée que l'empreinte cryptographique du document (sans donnée personnelle).

   Ces transferts s'effectuent avec les garanties exigées par la règlementation colombienne (Loi 1581, article 26, et Décret 1377), notamment des clauses contractuelles avec les sous-traitants et, le cas échéant, des mécanismes analogues aux Clauses Contractuelles Types (CCT). La personne concernée consent expressément à ces transferts en acceptant la présente politique et en utilisant le service.

   Pour les personnes concernées situées dans l'Espace économique européen, les transferts internationaux sont en outre régis par les articles 44 et suivants du RGPD.

9. Durée de conservation

   Validocus ne conserve les données personnelles que pendant la durée nécessaire aux finalités du traitement, selon les critères suivants :

   Documents signés et preuves associées (PDF, vidéo, image de signature, métadonnées) : conservés tant que le compte de l'utilisateur souscripteur est actif et pendant une période supplémentaire pouvant aller jusqu'à sept (7) ans après la résiliation, conformément aux délais généraux de prescription applicables en Colombie pour le soutien aux opérations commerciales et aux besoins probatoires.

   Données de compte (profil, paramètres, données de facturation) : conservées tant que le compte est actif et jusqu'à demande de suppression par la personne concernée, sans préjudice des délais légaux imposant une conservation plus longue. Au terme des délais applicables, les données sont supprimées ou anonymisées de manière irréversible. L'empreinte enregistrée sur la blockchain, par sa nature immuable, ne peut être supprimée ; toutefois, ne contenant aucune donnée personnelle reconstituable, sa permanence n'affecte pas les droits de la personne concernée.

10. Droits des personnes concernées

    En application de l'article 8 de la Loi colombienne 1581 de 2012, les personnes concernées disposent des droits suivants : (i) Accéder, mettre à jour et rectifier leurs données personnelles ; (ii) Demander la preuve de l'autorisation accordée au Responsable ; (iii) Être informées de l'utilisation de leurs données ; (iv) Déposer une plainte auprès de la Superintendance de l'Industrie et du Commerce (SIC) pour toute infraction au régime de protection des données ; (v) Révoquer l'autorisation et/ou demander la suppression des données lorsque le traitement ne respecte pas les principes, droits et garanties constitutionnels et légaux ; et (vi) Accéder gratuitement aux données ayant fait l'objet d'un traitement.

    Pour les personnes concernées situées dans l'Espace économique européen, sont également reconnus les droits prévus par le RGPD : droits d'accès, de rectification, d'effacement (« droit à l'oubli »), de limitation du traitement, de portabilité, d'opposition et droit de ne pas faire l'objet d'une décision automatisée produisant des effets juridiques significatifs.

    L'exercice de ces droits est gratuit, sauf cas expressément permis par la loi.

11. Comment exercer vos droits

    La personne concernée peut exercer ses droits en adressant une demande au courriel hello@validocus.com, en indiquant : (i) nom complet et coordonnées ; (ii) description claire du droit exercé et des faits qui le motivent ; (iii) données dont elle demande l'accès, la rectification, la mise à jour ou la suppression, selon le cas ; et (iv) copie de la pièce d'identité lorsque cela est raisonnablement nécessaire pour vérifier l'identité du demandeur.

    Conformément à l'article 22 du Décret 1377 de 2013, Validocus répondra aux demandes dans un délai maximal de dix (10) jours ouvrables à compter de leur réception. Lorsqu'il ne sera pas possible de répondre dans ce délai, le demandeur sera informé des motifs du retard et de la date à laquelle la demande sera traitée, qui ne pourra en aucun cas excéder cinq (5) jours ouvrables supplémentaires.

    Les réclamations seront traitées dans un délai maximal de quinze (15) jours ouvrables. Si, à l'expiration de ces délais, la personne concernée ne reçoit pas de réponse ou que celle-ci s'avère insatisfaisante, elle pourra saisir la Superintendance de l'Industrie et du Commerce.

12. Sécurité de l'information

    Validocus met en œuvre des mesures techniques et organisationnelles raisonnables pour protéger les données personnelles contre la perte, l'utilisation abusive, l'accès non autorisé, la divulgation, l'altération ou la destruction. Les mesures adoptées incluent : chiffrement en transit via TLS 1.3 pour toutes les communications entre le client et nos services ; chiffrement au repos AES-256 pour les documents stockés chez Wasabi ; contrôles d'accès basés sur les rôles selon le principe du moindre privilège ; et journalisation d'audit des opérations pertinentes effectuées sur les données.

    De plus, l'ancrage de l'empreinte du document sur le réseau Avalanche fournit une couche probatoire immuable permettant de vérifier a posteriori l'intégrité des documents signés. Aucune mesure de sécurité ne peut garantir une protection absolue ; Validocus s'efforce néanmoins de maintenir des pratiques de sécurité alignées sur les standards raisonnables du secteur du SaaS B2B.

    En cas d'incident de sécurité affectant des données personnelles, Validocus notifiera les personnes concernées et l'autorité de contrôle compétente conformément à la règlementation applicable.

13. Cookies et technologies similaires

    Le site web et la plateforme Validocus utilisent des cookies et technologies similaires à des fins strictement nécessaires au fonctionnement du service : gestion de la session authentifiée, protection contre les attaques CSRF, préférences de langue et d'interface.

    Nous utilisons Cloudflare Web Analytics, un outil d'analyse qui n'installe pas de cookies et ne procède pas à un suivi individuel des utilisateurs, fournissant des mesures agrégées et anonymes sur l'utilisation du site. Nous n'utilisons pas de cookies publicitaires ni de suivi inter-sites.

    L'utilisateur peut configurer son navigateur pour refuser les cookies ; cela peut toutefois limiter le fonctionnement de la plateforme, en particulier les fonctionnalités requérant une authentification.

14. Données des mineurs

    Validocus est une plateforme orientée vers un usage professionnel (B2B) et n'est pas destinée aux personnes de moins de 18 ans. Nous ne collectons pas sciemment de données personnelles auprès de mineurs. Si nous prenions connaissance qu'un mineur a fourni des données personnelles via la plateforme, nous procéderions à leur suppression avec diligence, sauf obligation légale contraire.

    Les parents ou représentants légaux qui estiment qu'un mineur a fourni des données à la plateforme peuvent nous contacter à hello@validocus.com pour demander leur suppression.

15. Modifications de la politique

    Validocus pourra mettre à jour la présente politique périodiquement pour refléter des changements dans ses pratiques, dans la règlementation applicable ou dans les critères de l'autorité de contrôle. Les changements substantiels seront notifiés moyennant un préavis minimal de trente (30) jours calendaires, par avis dans la plateforme et courriel aux adresses enregistrées.

    La version en vigueur sera toujours accessible à ce lien, en indiquant la date de dernière mise à jour. La poursuite de l'utilisation du service après la date d'entrée en vigueur des changements vaudra acceptation de ceux-ci.

    Les modifications mineures, corrections typographiques ou clarifications qui n'altèrent pas substantiellement les droits des personnes concernées pourront être apportées sans préavis.

16. Contact et DPO

    Pour toute demande, réclamation, exercice de droits ou requête relative au traitement des données personnelles, la personne concernée peut contacter le Délégué à la protection des données (DPO) de Validocus par les moyens suivants :

    Validocus — Délégué à la protection des données
    Medellín, Antioquia — Colombie
    Courriel : hello@validocus.com
    Téléphone : +57 317 3025584

    Par ailleurs, les personnes concernées peuvent saisir la Superintendance de l'Industrie et du Commerce (SIC), autorité colombienne de contrôle en matière de protection des données personnelles, en présentant une réclamation lorsqu'elles estiment leurs droits violés, après avoir épuisé au préalable la procédure auprès du Responsable.