Protection des données
RGPD et protection des données chez Mail.Land
Rédigé pour les délégués à la protection des données : où vos données sont hébergées, quels fournisseurs les traitent et où, combien de temps elles sont conservées et quelles conditions les régissent.
Une remarque sur la conformité
Héberger des données dans l’UE ne rend pas à lui seul un service conforme au RGPD, et nous n’utilisons aucun badge de conformité. Cette page expose les faits afin que vous puissiez évaluer Mail.Land au regard de vos propres obligations. L’Accord de traitement des données et la Politique de confidentialité sont les documents contraignants ; en cas de divergence entre cette page et ces documents, ces derniers prévalent.
Qui est responsable de quoi
- Mail.Land est exploité par VENTRYA LTD, une société immatriculée en Angleterre et au pays de Galles.
- Pour les e-mails que vous envoyez via Mail.Land et les données des destinataires qu’ils contiennent, vous êtes le responsable du traitement et nous sommes votre sous-traitant, en vertu de notre Accord de traitement des données (article 28 du RGPD).
- Pour les données de votre compte, ainsi que pour les données limitées que nous utilisons afin de prévenir les abus et de protéger notre infrastructure d’envoi, nous sommes un responsable du traitement indépendant. Notre Politique de confidentialité décrit ce traitement.
Où vos données sont hébergées
La copie principale de vos données se trouve en Allemagne.
| Quoi | Où |
|---|---|
| Application, API, bases de données, serveurs de messagerie, e-mails entrants stockés et leurs pièces jointes, exports de données, supervision et journaux | Hetzner, Allemagne (Nuremberg et Falkenstein) |
| Copie de sauvegarde secondaire chiffrée | Infrastructure exploitée par VENTRYA LTD à Varsovie, Pologne (UE) |
| Envoi de secours des notifications système de Mail.Land | Scaleway, France (Paris) |
| Paiements et facturation | Stripe, Irlande et États-Unis |
| DNS, proxy du trafic web et protection contre les attaques DDoS | Cloudflare, réseau mondial |
| Vérification de la sécurité des liens | Google Cloud Web Risk, mondial |
Quand des données peuvent quitter l’UE
Nous ne présentons pas Mail.Land comme un service exclusivement européen, car trois de nos sous-traitants ultérieurs peuvent traiter des données limitées en dehors de l’UE, y compris aux États-Unis :
- Cloudflare : assure la terminaison TLS du trafic web transitant par son proxy et traite, sur son réseau mondial, les données de requêtes web en transit, telles que les adresses IP et les métadonnées de requête, ainsi que les journaux d’identité et d’accès de nos opérateurs.
- Stripe : coordonnées de facturation et données de paiement, en Irlande et aux États-Unis.
- Google : les adresses complètes des liens de vos campagnes et des liens suivis cliqués, y compris les éventuels paramètres de requête ; toute donnée personnelle contenue dans un lien est donc également transmise. Nous ne transmettons pas séparément les adresses e-mail des destinataires.
Ces transferts sont couverts par les clauses contractuelles types de l’UE, le UK International Data Transfer Addendum et l’EU-U.S. Data Privacy Framework (avec son extension britannique), comme le précise l’Annexe A du DPA pour chaque fournisseur. VENTRYA LTD est établie au Royaume-Uni, qui bénéficie d’une décision d’adéquation de l’UE.
Sous-traitants ultérieurs
La liste complète, avec les entités juridiques et les références contractuelles, figure à l’Annexe A du DPA.
| Fournisseur | Finalité | Lieu de traitement | Garantie de transfert |
|---|---|---|---|
| HetznerHetzner Online GmbH | Hébergement : calcul, bases de données, serveurs de messagerie, stockage d’objets, supervision et journaux | Allemagne (Nuremberg, Falkenstein) | Aucune requise (UE) |
| CloudflareCloudflare, Inc. | DNS, proxy inverse et protection contre les attaques DDoS pour le trafic web ; contrôle d’accès aux panneaux d’exploitation | Réseau mondial en périphérie (edge) | Clauses contractuelles types et EU-U.S. Data Privacy Framework |
| ScalewayScaleway SAS | Envoi de secours des notifications système et transactionnelles de Mail.Land | France (Paris) | Aucune requise (UE) |
| StripeStripe Payments Europe, Limited | Traitement des paiements et facturation | Irlande et États-Unis | Clauses contractuelles types et EU-U.S. Data Privacy Framework |
| GoogleGoogle LLC | Vérification des liens pour détecter l’hameçonnage, les logiciels malveillants et les logiciels indésirables (Web Risk API) | Mondial (Google Cloud) | Clauses contractuelles types et UK Addendum ; Google LLC participe également à l’EU-U.S. Data Privacy Framework |
Nous informons par e-mail les utilisateurs Owner et Admin de votre compte au moins 14 jours avant d’ajouter ou de remplacer un sous-traitant ultérieur. Vous pouvez vous y opposer pour des motifs raisonnables liés à la protection des données dans un délai de 14 jours (Section 8 du DPA).
Autres fournisseurs cités dans notre Politique de confidentialité
- Microsoft (Microsoft Ireland Operations Limited): Assure la traduction automatique des textes publics relatifs aux incidents et à la maintenance de notre page d’état (Azure AI Translator, Sweden Central). Il ne reçoit aucune donnée personnelle et n’est donc pas un sous-traitant ultérieur.
Durée de conservation des données
Selon la Section 7 de notre Politique de confidentialité. Les données de traitement des e-mails suivent votre plan.
| Données | Conservation |
|---|---|
| Données de traitement des e-mails | 30 jours pour Free, 90 jours pour Pro et 180 jours pour Max |
| Données de référence des plaintes et des rebonds (identifiant du message et adresse du destinataire) | 60 jours à compter de l’envoi |
| Événements analytiques bruts | 2 ans |
| Données analytiques agrégées horaires | 3 ans |
| Données analytiques agrégées journalières | 5 ans |
| Résultats du contrôle de sécurité des liens | 30 jours après la dernière utilisation du lien ; 180 jours lorsque le lien a été signalé comme dangereux |
| Données de compte | Tant que le compte est actif, plus 30 jours après sa suppression |
| Registres de facturation et de paiement | 7 ans |
| Communications d’assistance | 2 ans |
Suppression, export et demandes des personnes concernées
- L’Owner de votre compte peut exporter les données du compte depuis le tableau de bord sous la forme d’un fichier ZIP de documents JSON.
- L’Owner peut programmer la suppression de l’ensemble du compte avec un délai de grâce de 7 à 90 jours, et l’annuler avant cette date.
- À la fin du service, nous supprimons ou vous restituons vos données personnelles dans un délai de 30 jours à compter de votre instruction et, en l’absence d’instruction, nous les supprimons, sauf lorsque la loi nous impose de conserver certaines données.
- Au-delà, la Section 9.1 du DPA nous autorise à conserver, uniquement aux fins indiquées : les sauvegardes chiffrées jusqu’à leur écrasement dans le cadre de la rotation ordinaire, les enregistrements de suppression, de plaintes et de rebonds nécessaires pour ne plus envoyer d’e-mails à ces personnes, et les registres que nous conservons en tant que responsable du traitement indépendant.
- Une demande de l’un de vos destinataires concernant ses données vous est adressée, en tant que responsable du traitement. Nous vous aidons à y répondre, comme le prévoit la Section 4 du DPA.
- Pour vos propres données, écrivez à notre contact confidentialité. Nous répondons dans un délai de 30 jours.
Suivi des ouvertures et des clics
Le suivi des ouvertures est désactivé par défaut pour les e-mails marketing et transactionnels. Le suivi des clics est activé par défaut pour les e-mails marketing et désactivé par défaut pour les e-mails transactionnels. Les paramètres qui s’appliquaient déjà à un domaine avant le 4 novembre 2026 restent inchangés jusqu’à ce que vous les modifiiez. Vous pouvez désactiver le suivi pour l’ensemble de votre compte ; dans l’UE et au Royaume-Uni, ce type de suivi peut nécessiter le consentement du destinataire, ce qu’il vous appartient de déterminer en tant que responsable du traitement.
Notification des violations de données
Si une violation de données à caractère personnel affecte vos données, nous vous la notifions dans les meilleurs délais après en avoir pris connaissance, comme l’exige l’article 33, paragraphe 2, du RGPD. La notification est adressée à votre contact sécurité désigné ou, à défaut de désignation, aux utilisateurs Owner et Admin de votre compte.
L’Accord de traitement des données
- Le DPA couvre les exigences de l’article 28 du RGPD et du UK GDPR. Il fait partie de nos Conditions d’utilisation et prend effet lorsque vous les acceptez.
- Lorsque nous publions une nouvelle version, celle-ci s’applique dès qu’un Owner ou un Admin de votre compte l’accepte dans le tableau de bord ; d’ici là, la version précédente s’applique.
- Si la décision d’adéquation de l’UE concernant le Royaume-Uni cesse de s’appliquer, les clauses contractuelles types (Module Deux) s’appliquent entre vous et nous.
- Les audits commencent par vos questions écrites et notre documentation ; la Section 4 du DPA précise dans quels cas un audit ou une inspection a lieu ensuite.
Contact confidentialité
Pour les questions relatives à la confidentialité, les demandes des personnes concernées et les questions sur le DPA, écrivez à notre contact confidentialité. Vous pouvez également introduire une réclamation auprès de l’Information Commissioner’s Office du Royaume-Uni ou de l’autorité de protection des données de votre pays.
- E-mail:
- [email protected]
- Adresse postale:
- VENTRYA LTD, 71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, United Kingdom
Questions fréquentes
Mail.Land est-il conforme au RGPD ?
Nous n’utilisons aucun label de conformité. Nous proposons un DPA au titre de l’article 28, hébergeons la copie principale de vos données en Allemagne, listons chaque sous-traitant ultérieur avec sa garantie de transfert et vous permettons d’exporter et de supprimer vos données. La licéité de votre utilisation dépend également de votre propre base légale pour l’envoi.
Des données quittent-elles l’UE ?
Oui, dans des cas limités : Cloudflare, Stripe et Google peuvent traiter des données limitées en dehors de l’UE, avec les garanties indiquées ci-dessus. La copie principale de vos données reste en Allemagne.
Vendez-vous des données personnelles ?
Non. Nous ne vendons pas de données personnelles à des tiers.
Comment serons-nous informés d’un nouveau sous-traitant ultérieur ?
Par e-mail adressé aux utilisateurs Owner et Admin de votre compte, au moins 14 jours à l’avance, avec l’identité du fournisseur, le traitement concerné et son lieu.
Besoin d’un élément pour votre évaluation ?
Écrivez à notre contact confidentialité ou lisez le DPA et sa liste de sous-traitants ultérieurs.