Ce que nous faisons pour qu'une signature tienne.

Avant de signer, la personne voit le consentement aux documents électroniques et doit l'accepter. Cette acceptation est enregistrée avec la signature, elle n'est pas présumée.

Chaque moment important — créé, envoyé, consulté, signé, refusé, annulé, avec le motif donné — est inscrit dans le journal d'audit avec l'heure, l'adresse IP ainsi que le navigateur et l'appareil utilisés.

La table d'audit n'accepte que des ajouts. Le droit de modifier ou de supprimer une ligne est révoqué dans la base de données elle-même : ni notre équipe ni notre propre application ne peuvent antidater ou effacer une entrée.

Figurer sur un document ne revient pas à le signer. Une personne est enregistrée comme signataire uniquement lorsque chaque champ de signature ou de paraphe qui lui revient porte une marque réelle. Remplir un texte, une date, un montant ou une case à cocher n’est jamais traité comme une signature.

Un téléchargement, une impression, une pièce jointe, un courrier recommandé : chacun est enregistré avec son propre numéro de série, qui l’a pris, quand, depuis quelle adresse et quel appareil. Ouvrir un document dans XOsign n’est pas une sortie et n’est pas consigné.

Le registre n’est lisible que par votre propre compte, et c’est la base de données qui l’impose. Personne — nous compris — ne peut modifier ou supprimer une ligne depuis l’application ; elle ne disparaît que si vous supprimez votre compte.

Sur les formules payantes, chaque copie porte une marque dissimulée qui survit à l’impression, à la photocopie, au scan et aux captures d’écran : une page qui a fuité peut être rattachée à la sortie dont elle provient. Les comptes gratuits n’ont rien de tout cela : ni registre, ni marque.

Chaque table contenant des données de compte porte une sécurité au niveau des lignes Postgres liée à votre compte. Le cloisonnement est imposé par la base de données, pas par du code applicatif qui pense à filtrer.

TLS sur chaque connexion, AES-256 au repos sur le Postgres et le stockage Supabase. Les clés qui pourraient contourner cela n'existent que dans des fonctions côté serveur ; un navigateur n'en reçoit jamais.

Le suivi des erreurs est configuré pour recevoir l'erreur et rien d'autre : pas d'adresses IP d'utilisateurs, pas de cookies, pas d'en-têtes d'authentification et aucun enregistrement de session. Ce que nos clients voient à l'écran, ce sont les contrats de leurs clients : l'outil n'y a pas accès.

Vos contrats ne servent jamais à entraîner un modèle, et notre IA fonctionne avec une configuration à rétention nulle. Les données de paiement restent chez Stripe : nous ne stockons qu'un identifiant client.

Vous pouvez activer dès aujourd’hui un code d’authentification pour votre propre compte. Le propriétaire d’une équipe peut l’imposer à tous ses membres, avec un délai de grâce, un avertissement préalable et un report individuel : personne n’est bloqué au milieu de son travail. Nos propres outils internes l’exigent depuis toujours.

Téléchargez immédiatement un résumé de tout ce que nous conservons sur vous, ou demandez l’archive complète — vos enregistrements, votre journal d’audit et tous vos fichiers — qui arrive par lien dans un e-mail. Une archive complète par compte et par jour, depuis Réglages → Confidentialité.

Un document téléversé reste exactement tel que vous l’avez déposé. Si vous demandez une copie modifiable, cette copie est un document de travail distinct : l’original reste attaché et intact, et tout le reste continue de s’appuyer sur lui.

Vous pouvez demander la suppression depuis les paramètres de votre compte dès aujourd'hui. Elle est programmée à 30 jours pour qu'une erreur puisse être annulée, puis les données sont purgées. Le journal d'audit survit à dessein : un registre légal que vous pouvez effacer n'est pas un registre légal. Les comptes de démonstration créés sans inscription sont supprimés sept jours après leur création.

Nous visons WCAG 2.1 AA. La déclaration dit clairement où nous y répondons et où ce n'est pas encore le cas.

Un audit SOC 2 Type II est prévu. Nous ne l'avons pas commencé et nous ne revendiquons aucune certification aujourd'hui.