Politique de protection des données (RGPD)
La présente politique décrit la manière dont Octoshow collecte, utilise, conserve et protège les données à caractère personnel des utilisateurs de sa plateforme, dans le respect du Règlement (UE) 2016/679 (« RGPD ») et de la loi n° 78-17 du 6 janvier 1978 modifiée dite « Informatique et Libertés ».
1. Responsable de traitement
Le responsable du traitement pour les données collectées via le site vitrine, le compte utilisateur et la facturation est :
- Monsieur Jérôme BOUCHET — entrepreneur individuel — Village Le Couderc, 48190 Allenc — SIRET 792 230 880 00017.
- Contact RGPD : contact@jandbprod.fr
Pour les données traitées dans le cadre des Contrats de travail produits et signés par une Structure ou son Gestionnaire (état civil du Salarié, n° de sécurité sociale éventuel, rémunérations, etc.), l'Éditeur agit en qualité de sous-traitant au sens de l'article 28 du RGPD, le responsable de traitement étant la Structure employeur.
2. Données collectées et finalités
| Catégorie de données | Finalité | Base légale |
|---|---|---|
| Identité (nom, prénom), adresse email, mot de passe haché, n° de téléphone mobile | Création et gestion du compte utilisateur, authentification, envoi des codes OTP de signature | Exécution du contrat (CGU) — art. 6.1.b RGPD |
| Coordonnées professionnelles (raison sociale, SIRET, adresse, fonction) | Gestion du compte Gestionnaire ou Structure, facturation, annuaire public | Exécution du contrat et intérêt légitime — art. 6.1.b et 6.1.f RGPD |
| Données de signature : journaux d'audit, IP, user-agent, horodatage, n° de téléphone au moment de la signature, code OTP HMAC archivé | Constitution de la preuve juridique de la signature électronique, intégrité du document signé | Obligation légale (preuve), art. 6.1.c RGPD ; art. 1366 du Code civil ; règlement eIDAS |
| Contrats de travail (CDDU) et données salariales (état civil, rémunération, dates de prestation, lieu, n° d'objet) | Production, signature et archivage du contrat de travail | Exécution du contrat de travail entre Structure et Salarié — art. 6.1.b ; obligations légales sociales — art. 6.1.c |
| Bulletins de paie, attestations, déclarations DSN/AEM/Audiens | Mise à disposition centralisée des documents sociaux, archivage probatoire | Obligation légale (art. L3243-2, L3243-4 et R3243-9 du Code du travail) — art. 6.1.c RGPD |
| Données de paiement (montant, devise, identifiant Stripe ; aucune donnée bancaire stockée) | Encaissement des prestations, comptabilité | Exécution du contrat et obligation légale comptable — art. 6.1.b et 6.1.c RGPD |
| Logs techniques (journaux applicatifs, erreurs) | Sécurité, supervision, lutte contre la fraude, amélioration du service | Intérêt légitime — art. 6.1.f RGPD |
3. Destinataires des données
Les données personnelles sont accessibles aux seules personnes habilitées au sein d'Octoshow et aux sous-traitants ci-dessous, dans la stricte mesure nécessaire à l'exécution de leurs missions. Elles ne sont jamais cédées, louées ou vendues à des tiers à des fins commerciales.
3.1 Sous-traitants techniques (art. 28 RGPD)
| Sous-traitant | Mission | Localisation des données |
|---|---|---|
| PlanetHoster Inc. | Hébergement serveurs, base de données, fichiers (PDF signés, bundles de preuve) | France (data centers européens, offre « The World ») |
| Stripe Payments Europe Ltd. | Encaissement par carte bancaire | Irlande (Union européenne). Stripe peut transférer des données vers les États-Unis dans le cadre du Data Privacy Framework et de clauses contractuelles types. |
| Octopush (Smsmode Group) | Acheminement des codes OTP par SMS | France |
3.2 Tiers de confiance
Une autorité d'horodatage tierce conforme à la norme RFC 3161 (PSCo eIDAS) appose un horodatage qualifié sur chaque signature. Aucune donnée personnelle nominative n'est transmise à l'autorité d'horodatage : elle ne reçoit que l'empreinte cryptographique (hash) du document à horodater.
3.3 Autres destinataires légaux
Sur réquisition d'une autorité judiciaire ou administrative compétente, l'Éditeur pourra communiquer les données nécessaires dans le strict cadre légal.
4. Durées de conservation
| Données | Durée de conservation |
|---|---|
| Compte utilisateur actif et données associées | Pendant toute la durée d'utilisation du service. Suppression sur demande après résiliation, sous réserve des durées légales ci-dessous. |
| Contrats de travail signés, bulletins de paie, déclarations sociales, bundles de preuve | 10 ans à compter de la fin du contrat de travail (durée d'archivage probatoire ; bulletins : durée illimitée pour le salarié — article L3243-4 du Code du travail). |
| Factures et pièces comptables | 10 ans (article L123-22 du Code de commerce). |
| Journaux d'audit, IP, user-agent associés aux signatures | 10 ans, alignés sur la durée d'archivage des contrats signés correspondants. |
| Logs techniques bruts (hors signatures) | 12 mois maximum. |
| Comptes inactifs (aucune connexion ni signature pendant 3 ans) | Anonymisation des données de profil après notification de l'utilisateur ; archives probatoires conservées séparément pour la durée légale. |
5. Sécurité des données
Octoshow met en œuvre les mesures techniques et organisationnelles appropriées pour garantir la sécurité, la confidentialité et l'intégrité des données traitées, notamment :
- chiffrement des échanges via HTTPS / TLS 1.2+ ;
- hachage cryptographique des mots de passe (algorithme bcrypt) ;
- séparation des environnements de production et de développement ;
- contrôle d'accès strict par rôle (admin, gestionnaire, structure, salarié) ;
- archivage des codes OTP sous forme hachée (HMAC) avant effacement du cache d'authentification ;
- scellement cryptographique PKCS#7 / PAdES des documents signés ;
- horodatage RFC 3161 et conservation du fichier TSR détaché ;
- journalisation horodatée des actions sensibles (audit log) ;
- sauvegardes régulières et chiffrées des données.
6. Droits des personnes
Conformément aux articles 15 à 22 du RGPD, toute personne dont les données sont traitées dispose des droits suivants :
- droit d'accès à ses données et d'obtention d'une copie ;
- droit de rectification des données inexactes ou incomplètes ;
- droit à l'effacement (« droit à l'oubli »), dans les limites des obligations légales d'archivage ;
- droit à la limitation du traitement ;
- droit à la portabilité des données fournies, dans un format structuré et couramment utilisé ;
- droit d'opposition au traitement, pour motif tenant à la situation particulière de la personne ;
- droit de retirer son consentement à tout moment, lorsque le traitement est fondé sur le consentement ;
- droit de définir des directives relatives au sort de ses données après son décès (article 85 de la loi Informatique et Libertés).
Ces droits peuvent être exercés à tout moment en adressant une demande à contact@jandbprod.fr, accompagnée d'un justificatif d'identité si un doute raisonnable existe sur l'identité du demandeur. L'Éditeur s'engage à répondre dans un délai d'un (1) mois, prorogeable de deux mois en cas de demande complexe.
Important : les contrats signés et les bulletins de paie ne peuvent être supprimés avant l'expiration des durées légales d'archivage. Le « droit à l'oubli » porte sur les données du profil utilisateur, non sur les obligations probatoires et sociales.
7. Réclamation auprès de la CNIL
Toute personne qui estime que ses droits ne sont pas respectés par l'Éditeur peut introduire une réclamation auprès de la Commission Nationale de l'Informatique et des Libertés (CNIL) :
- 3 place de Fontenoy — TSA 80715 — 75334 Paris Cedex 07
- Téléphone : 01 53 73 22 22
- Formulaire en ligne : cnil.fr/fr/plaintes
8. Transferts hors Union européenne
Les données sont principalement hébergées et traitées dans l'Union européenne (France et Irlande). Le seul transfert susceptible de quitter l'Union européenne concerne le sous-traitant Stripe, dans le cadre d'éventuels traitements opérés par ses entités américaines. Stripe a adhéré au cadre EU-US Data Privacy Framework et signé avec ses sous-traitants américains les clauses contractuelles types adoptées par la Commission européenne. Plus d'informations sur stripe.com/privacy.
9. Cookies
Octoshow n'utilise pas de cookies à finalité publicitaire ou de traçage tiers. Les seuls cookies déposés sur le navigateur de l'utilisateur sont des cookies strictement nécessaires au fonctionnement du service :
octoshow_session— identifiant de session, expire à la fermeture du navigateur ou après 2 heures d'inactivité.XSRF-TOKEN— jeton de protection contre les attaques CSRF.
Conformément à l'article 82 de la loi Informatique et Libertés, ces cookies ne nécessitent pas de consentement préalable.
10. Évolution de la présente politique
La présente politique peut être modifiée à tout moment pour refléter une évolution du service, de la réglementation ou des pratiques de l'Éditeur. La date de dernière mise à jour est indiquée en bas de page. Les utilisateurs en sont informés par email lorsque les modifications affectent substantiellement leurs droits.
Version du 23 mai 2026.