Accord de traitement des données

Dernière mise à jour : 4 septembre 2026 · Version 1.0

Le présent Accord de traitement des données (« DPA ») fait partie du Contrat relatif à Maildroppa. Il s’applique chaque fois que Maildroppa traite des données à caractère personnel pour le compte d’un Client.

Parties

Responsable du traitement (« Client ») : la personne physique ou morale identifiée comme Client dans la Commande ou le compte Maildroppa, y compris une Entité affiliée au Client valablement incluse lorsque cette Entité affiliée est responsable du traitement des Données à caractère personnel du Client.

Sous-traitant (« Maildroppa ») :

Marcus Biel, exerçant sous le nom commercial « Maildroppa »
Dr.-Peter-Hecker-Str. 4b
82031 Grünwald
Allemagne
Contact : formulaire de contact

Le Client et Maildroppa sont désignés ensemble les « Parties ».

1. Champ d’application, durée et primauté

1.1 Le présent DPA régit le traitement par Maildroppa de données à caractère personnel pour le compte du Client dans le cadre du service (« Données à caractère personnel du Client »). L’objet, la nature, la finalité, les catégories de personnes concernées et les types de données sont décrits à l’Annexe 1.

1.2 Le DPA prend effet lorsque le Client accepte les Conditions, une Commande l’incorporant ou une confirmation électronique distincte. Il reste en vigueur pendant la durée du Contrat et aussi longtemps que Maildroppa traite des Données à caractère personnel du Client.

1.3 Le présent DPA prévaut sur le Contrat principal pour les traitements effectués pour le compte du Client. Les dispositions impératives du droit de la protection des données prévalent dans tous les cas.

1.4 Pour ses propres finalités — notamment la gestion contractuelle et la facturation, la sécurité de ses propres comptes, la protection de la plateforme et de l’infrastructure d’envoi, la prévention des abus et le respect des obligations légales — Maildroppa peut agir en qualité de responsable du traitement distinct. Ces traitements sont régis par la Notice de confidentialité, et non par le présent DPA. Maildroppa ne se prévaudra pas de son rôle de sous-traitant pour utiliser les Données à caractère personnel du Client à des fins publicitaires pour Maildroppa.

2. Définitions et droit applicable

2.1 Les termes « données à caractère personnel », « traitement », « responsable du traitement », « sous-traitant », « personne concernée », « violation de données à caractère personnel » et « autorité de contrôle » ont le sens qui leur est donné dans le RGPD.

2.2 La « Législation sur la protection des données » désigne le RGPD, la loi fédérale allemande sur la protection des données et toute autre législation sur la protection des données applicable au traitement concerné.

2.3 Si le Client est lui-même sous-traitant pour un autre responsable du traitement, Maildroppa agit en qualité de sous-traitant ultérieur. Le Client garantit qu’il est autorisé à donner des instructions à Maildroppa et à recourir à ses services, et mettra à la disposition de Maildroppa les informations et les droits du responsable du traitement dans la mesure nécessaire à l’exécution du présent DPA.

3. Responsabilités et instructions du Client

3.1 Le Client est responsable de la licéité du traitement, du respect des droits des personnes concernées, de l’exactitude et de la nécessité des données, ainsi que de ses instructions. Il veille notamment à la base juridique, à l’information, au consentement lorsque celui-ci est requis, aux décisions de conservation et d’effacement, ainsi qu’à la licéité de la communication aux destinataires.

3.2 Les instructions documentées sont constituées du Contrat principal, du présent DPA, de la configuration et de l’utilisation du service par le Client, ainsi que des instructions complémentaires sous forme textuelle. Une instruction ne doit pas modifier fondamentalement la nature, la finalité ou l’étendue du service convenu. Des instructions supplémentaires peuvent nécessiter un accord distinct et une facturation raisonnable.

3.3 Le Client ne doit pas traiter dans Maildroppa de catégories particulières de données au sens de l’article 9 du RGPD, de données relatives aux condamnations pénales et aux infractions au sens de l’article 10 du RGPD, de données complètes d’instruments de paiement, de secrets officiels ou d’autres informations spécialement protégées, sauf si Maildroppa approuve expressément au préalable, sous forme textuelle, la finalité spécifique et les garanties.

3.4 Le Client configure les fonctions disponibles de gestion des rôles, d’export, d’effacement, de consentement, de suivi et d’intégration de manière adaptée aux risques, et protège les comptes, les domaines, les clés API et les identifiants d’accès.

4. Traitement uniquement sur instructions documentées

4.1 Maildroppa traite les Données à caractère personnel du Client uniquement sur les instructions documentées du Client, y compris pour un transfert vers un pays tiers, à moins que le droit de l’Union ou d’un État membre n’exige ce traitement. Dans ce cas, Maildroppa informe le Client de cette obligation juridique avant le traitement, sauf si le droit interdit une telle information pour des motifs importants d’intérêt public.

4.2 Maildroppa utilise les Données à caractère personnel du Client uniquement pour fournir et sécuriser le service convenu, en assurer l’assistance et y mettre fin, ainsi que pour exécuter des instructions licites. La vente, la publicité pour des tiers et la constitution d’une liste de destinataires pour une autre partie sont interdites.

4.3 Si Maildroppa estime qu’une instruction enfreint la Législation sur la protection des données, elle en informe le Client dans les meilleurs délais et peut suspendre l’exécution de l’instruction concernée jusqu’à ce que celle-ci soit confirmée, modifiée ou clarifiée par l’organisme compétent. Les Parties coopèrent de bonne foi pour trouver une solution de remplacement licite.

4.4 Seuls les membres du personnel ayant besoin d’y accéder dans le cadre de leurs fonctions peuvent accéder aux Données à caractère personnel du Client. Avant tout accès, ces personnes sont soumises à une obligation de confidentialité ou à une obligation légale appropriée et reçoivent des instructions en matière de protection des données et de sécurité.

5. Mesures techniques et organisationnelles

5.1 Maildroppa met en œuvre les mesures prévues à l’Annexe 2 conformément aux articles 28(3)(c) et 32 du RGPD. Ces mesures tiennent compte de l’état des connaissances, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du traitement, ainsi que de la probabilité et de la gravité du risque.

5.2 Maildroppa peut faire évoluer certaines mesures ou les remplacer par des dispositifs de contrôle équivalents ou plus efficaces. Le niveau global de protection convenu ne doit pas être sensiblement réduit. Les modifications défavorables substantielles sont notifiées à l’avance, sauf si une action immédiate est nécessaire pour faire face à un risque aigu.

5.3 La sécurité est une responsabilité partagée. Maildroppa n’est pas responsable des risques causés exclusivement par un Contenu du Client illicite, des appareils du Client non sécurisés, le partage d’identifiants d’accès, des intégrations du Client mal configurées ou des instructions du Client. Les obligations légales et contractuelles propres à Maildroppa demeurent inchangées.

6. Assistance concernant les droits des personnes concernées

6.1 Compte tenu de la nature du traitement, Maildroppa aide le Client, par des mesures techniques et organisationnelles appropriées, à donner suite aux demandes au titre du chapitre III du RGPD, notamment en matière d’accès, de rectification, d’effacement, de limitation, de portabilité, d’opposition et d’information sur les décisions automatisées.

6.2 Lorsque les données demandées sont accessibles au moyen des fonctionnalités du produit, le Client traite lui-même la demande. Pour toute assistance complémentaire proportionnée, Maildroppa fournit les informations disponibles ou rectifie, exporte, limite le traitement ou efface les données sur instruction documentée.

6.3 Si Maildroppa reçoit une demande d’une personne concernée qui porte de manière identifiable sur les Données à caractère personnel du Client, elle en informe le Client dans les meilleurs délais et ne répond pas sur le fond, sauf sur instruction du Client ou si la loi l’exige. Maildroppa peut indiquer à la personne concernée que la demande a été transmise au responsable du traitement.

6.4 Le Client transmet uniquement les informations nécessaires pour retrouver les données visées par la demande et y donner suite en toute sécurité. Maildroppa peut facturer des frais raisonnables, notifiés au préalable, pour une assistance manifestement excessive, répétée ou non standard, dans la mesure permise par l’article 28 du RGPD.

7. Conformité, analyses d’impact et autorités

7.1 Compte tenu de la nature du traitement et des informations disponibles, Maildroppa aide le Client à respecter les articles 32 à 36 du RGPD, notamment en matière de sécurité, de notification et de communication des violations, d’analyses d’impact relatives à la protection des données et de consultation préalable.

7.2 Sur demande raisonnable, Maildroppa fournit les informations sur le service, les flux de données, les mesures, les sous-traitants ultérieurs et les risques connus qui sont nécessaires à l’analyse d’impact du Client, lorsqu’elles ne sont pas déjà disponibles dans la documentation ou le compte.

7.3 Si Maildroppa reçoit une demande contraignante d’une autorité ou d’une juridiction portant sur les Données à caractère personnel du Client, elle en informe le Client avant toute divulgation lorsque la loi le permet. Maildroppa vérifie la compétence et la portée de la demande, ne divulgue que ce qui est légalement requis et consigne les éléments correspondants.

8. Violations de données à caractère personnel

8.1 Maildroppa notifie au Client dans les meilleurs délais toute Violation de données à caractère personnel affectant les Données à caractère personnel du Client après en avoir pris connaissance. Les premières informations peuvent être fournies par étapes et leur transmission ne sera pas retardée jusqu’à la clôture de l’enquête.

8.2 Dans la mesure où les informations sont disponibles, la notification comprend :

• la nature de la violation, y compris les catégories et les nombres approximatifs de personnes et d’enregistrements concernés ;
• les conséquences probables ;
• les mesures prises ou proposées pour la contenir et y remédier ;
• le moment ou la période de survenance et l’état actuel de l’enquête ;
• un point de contact pour toute question.

8.3 Maildroppa prend rapidement des mesures raisonnables pour contenir la violation, préserver les preuves, en rechercher la cause profonde et y remédier, documente la violation et fournit les informations disponibles nécessaires au respect des obligations du Client au titre des articles 33 et 34 du RGPD.

8.4 Le Client reste responsable de l’évaluation et de toute notification à l’autorité de contrôle dans les 72 heures suivant le moment où il a lui-même pris connaissance de la violation, ainsi que de toute communication aux personnes concernées. Une notification de Maildroppa ne constitue pas une reconnaissance de manquement à une obligation ni de responsabilité.

8.5 Le Client informe rapidement Maildroppa des incidents de sécurité survenant dans son environnement qui pourraient affecter les Données à caractère personnel du Client ou le service, et coopère aux mesures d’atténuation.

9. Sous-traitants ultérieurs

9.1 Le Client donne une autorisation écrite générale pour les sous-traitants ultérieurs figurant à l’Annexe 3. Maildroppa reste responsable envers le Client de l’exécution, par un sous-traitant ultérieur, de ses obligations au titre de l’article 28(4) du RGPD.

9.2 Maildroppa impose contractuellement à chaque sous-traitant ultérieur un niveau de protection des données substantiellement équivalent pour le service concerné, notamment en matière d’instructions, de confidentialité, de sécurité, d’assistance, d’effacement et de droits d’audit.

9.3 Maildroppa informe généralement le Client au moins 30 jours avant l’ajout ou le remplacement d’un sous-traitant ultérieur, à l’adresse e-mail professionnelle enregistrée dans le compte, et publie la modification datée dans la liste des sous-traitants ultérieurs. Un délai plus court peut s’appliquer en cas de besoins urgents liés à la sécurité ou à la disponibilité ; Maildroppa en explique la raison et adresse la notification le plus tôt possible.

9.4 Le Client peut s’opposer à la modification pendant le délai de préavis pour des motifs précis et étayés tenant à la protection des données. Les Parties recherchent une solution raisonnable, telle qu’une modification de la configuration. Si aucune solution n’est possible et que l’opposition est justifiée, le Client peut résilier le Contrat principal pour motif légitime, sans frais supplémentaires, avant le recours au nouveau sous-traitant ultérieur. Des objections purement commerciales ou concurrentielles ne suffisent pas.

9.5 Les services qui ne traitent pas de Données à caractère personnel du Client, ainsi que les destinataires ou intégrations connectés par le Client sur ses instructions, ne sont pas des sous-traitants ultérieurs de Maildroppa. Cela inclut tout service auquel le Client se connecte et pour lequel il conclut un contrat au moyen de son propre compte auprès d’un tiers.

10. Transferts internationaux

10.1 Maildroppa ne transfère les Données à caractère personnel du Client en dehors de l’Espace économique européen que sur instructions documentées et conformément au chapitre V du RGPD.

10.2 En l’absence de décision d’adéquation applicable, Maildroppa conclut avec l’importateur les clauses contractuelles types de la Commission européenne alors en vigueur (SCC). Le Module 2 s’applique généralement lorsque le Client est responsable du traitement, et le Module 3 lorsque le Client est sous-traitant. Le présent DPA et ses Annexes complètent les annexes correspondantes des SCC.

10.3 Lorsqu’un prestataire dispose d’une certification valide au titre du cadre de protection des données UE–États-Unis pour les données concernées, la décision d’adéquation peut être utilisée. Maildroppa vérifie la certification concernée à intervalles raisonnables et maintient, si nécessaire, un mécanisme alternatif permettant de poursuivre le transfert.

10.4 Maildroppa documente une analyse d’impact du transfert lorsque cela est requis et met en œuvre des mesures supplémentaires techniques, contractuelles ou organisationnelles adaptées au droit applicable, aux possibilités d’accès et aux risques pour les données. Le Client fournit les informations nécessaires à l’évaluation de ses propres instructions.

11. Restitution et effacement

11.1 Pendant la durée du Contrat, le Client peut utiliser les fonctions d’exportation et d’effacement disponibles. Avant la fin du contrat, le Client peut demander la restitution des Données à caractère personnel du Client utilisées en exploitation dans un format disponible, couramment utilisé et lisible par machine.

11.2 Après la fin des services, Maildroppa efface toutes les Données à caractère personnel du Client ainsi que leurs copies dans les meilleurs délais, sauf si le Client en a préalablement demandé la restitution ou si le droit de l’Union ou d’un État membre impose leur conservation. L’effacement commence dès que toute restitution convenue est achevée. Sur demande, Maildroppa confirme l’effacement sous forme textuelle.

11.3 Les données subsistant dans des sauvegardes à accès restreint ne sont pas utilisées à de nouvelles fins de production et sont écrasées conformément au cycle régulier de sauvegarde documenté. Jusqu’à cette échéance, elles restent inaccessibles dans le cadre des accès habituels. Si une sauvegarde est utilisée pour une restauration, Maildroppa réapplique rapidement les demandes d’effacement, d’opposition et de limitation enregistrées qui restent à prendre en compte.

11.4 Les données conservées en vertu de la loi et les informations minimales strictement nécessaires à la sécurité, à la prévention des abus ou au respect permanent des désabonnements sont isolées, soumises à un accès restreint et utilisées uniquement à la fin concernée, puis effacées lorsqu’elles ne sont plus nécessaires. Maildroppa indique au Client la catégorie et la base juridique lorsque celles-ci ne sont pas déjà documentées.

12. Informations et audits

12.1 Maildroppa fournit les informations nécessaires pour démontrer le respect de l’article 28 du RGPD et du présent DPA. Celles-ci peuvent comprendre les mesures techniques et organisationnelles (TOMs) en vigueur, des informations sur les sous-traitants ultérieurs et les transferts, des certifications appropriées, des rapports d’audit, des questionnaires et des confirmations d’effacement.

12.2 Si ces éléments ne permettent pas de lever un risque étayé, le Client ou un auditeur indépendant compétent soumis à une obligation de confidentialité peut procéder à un audit. Les audits ont normalement lieu au maximum une fois tous les douze mois, moyennant un préavis d’au moins 30 jours, pendant les heures ouvrées habituelles et sans perturbation évitable pour les autres clients ou pour la sécurité.

12.3 Un audit supplémentaire ou assorti d’un préavis plus court est autorisé lorsqu’il est justifié par une Violation de données à caractère personnel, une préoccupation précise et importante ou une instruction de l’autorité de contrôle. Maildroppa peut mettre à disposition des éléments de sécurité hautement sensibles au moyen d’un rapport approprié établi par un tiers et limiter l’accès aux données d’autres clients, au code source, aux vulnérabilités ou aux secrets d’affaires, dès lors que l’objectif de l’audit peut néanmoins être atteint.

12.4 Chaque Partie supporte ses propres frais. Lorsqu’un audit entraîne un travail substantiel au-delà des obligations légales ou ne constate aucun manquement substantiel de Maildroppa, Maildroppa peut facturer des frais raisonnables convenus à l’avance. Si l’audit révèle un manquement substantiel de Maildroppa, celle-ci supporte les frais raisonnables de l’audit et remédie au manquement dans les meilleurs délais.

12.5 Maildroppa tient un registre des catégories d’activités de traitement conformément à l’article 30(2) du RGPD et coopère avec l’autorité de contrôle compétente à la demande de celle-ci.

13. Responsabilité

13.1 La responsabilité entre les Parties est régie par l’article 82 du RGPD, les autres dispositions impératives de la Législation sur la protection des données et les clauses de responsabilité valablement applicables du Contrat principal. Aucune disposition du présent DPA ne limite les droits des personnes concernées ni les pouvoirs des autorités de contrôle.

13.2 Dans les rapports entre les Parties, chacune est responsable des pertes et frais dans la mesure où ils résultent d’un manquement fautif de sa part au présent DPA, à une obligation légale ou à une responsabilité qui lui incombe en droit. Les droits de recours prévus par la loi demeurent inchangés.

14. Résiliation pour manquement à la protection des données

14.1 Si Maildroppa commet un manquement substantiel au présent DPA, le Client peut suspendre le traitement concerné jusqu’à ce qu’il soit remédié au manquement. Si Maildroppa ne remédie pas à un manquement substantiel dans un délai raisonnable, ou s’il est impossible d’y remédier, le Client peut résilier le service concerné pour motif légitime.

14.2 Maildroppa peut suspendre l’exécution d’une instruction illicite conformément à la clause 4.3. Si aucune solution alternative licite ne peut être trouvée et que la poursuite du traitement enfreindrait la Législation sur la protection des données, Maildroppa peut mettre fin au traitement concerné. Les obligations de restitution, d’effacement et de justification subsistent.

15. Dispositions finales

15.1 Les modifications sont convenues sous forme textuelle ou intégrées au moyen d’un processus électronique dont la preuve peut être apportée. Les Annexes peuvent être mises à jour pour refléter les traitements effectivement réalisés, à condition que la protection globale ne soit pas substantiellement réduite et que les droits à notification et d’opposition prévus par le DPA soient respectés.

15.2 Si une disposition est invalide, les autres dispositions demeurent applicables et les règles légales se substituent à la disposition invalide.

15.3 Le droit allemand et la clause attributive de compétence du Contrat principal s’appliquent dans la mesure où les dispositions impératives de la Législation sur la protection des données n’en disposent pas autrement.

15.4 La présente version anglaise est fournie à titre de commodité. En cas de divergence avec la version allemande, la version allemande prévaut, sauf disposition légale impérative contraire.

Annexe 1 – Description du traitement

1. Objet et finalité

Fourniture du service cloud Maildroppa pour le marketing par e-mail fondé sur l’autorisation des destinataires, comprenant la gestion des contacts et des listes, les formulaires et Signup Flows, les campagnes, les modèles, les automatisations, l’envoi, les rapports de livraison et d’interaction, les fichiers, les intégrations, les exportations, l’assistance, la sécurité, les sauvegardes et l’effacement prévu au contrat.

2. Durée

La durée du Contrat principal, augmentée de la période de restitution, d’effacement et d’expiration des sauvegardes prévue à la clause 11.

3. Nature du traitement

Collecte au moyen des formulaires du Client, enregistrement, organisation, structuration, conservation, adaptation, segmentation, rapprochement, extraction, affichage, importation, exportation, transmission, envoi, journalisation, analyse, limitation, sauvegarde et effacement sur instruction du Client.

4. Catégories de personnes concernées

• abonnés, prospects, contacts commerciaux potentiels, clients et autres contacts professionnels du Client ;
• visiteurs des formulaires et pages de destination du Client et personnes y soumettant des informations ;
• destinataires des campagnes, automatisations et messages transactionnels du Client ;
• autres personnes dont le Client transmet licitement les données au service.

5. Catégories de données à caractère personnel

• données d’identité et de contact : nom, adresse e-mail et coordonnées professionnelles saisis par le Client ;
• champs de profil, étiquettes, segments, listes et affectations à des audiences définis par le Client ;
• données relatives au consentement, à la source et à la preuve : source d’inscription, formulaire, libellé du consentement, horodatages, statut de confirmation et de désabonnement, ainsi que métadonnées IP et du navigateur lorsque leur collecte est activée et licite ;
• données techniques relatives aux formulaires et aux abus : dimensions de l’écran, version du navigateur et du système d’exploitation, identifiant d’appareil dérivé, données IP et de requête, ainsi que l’heure du dernier affichage d’une fenêtre contextuelle enregistrée dans le navigateur lorsque le Client intègre le chargeur de formulaire en conséquence ;
• contenu des campagnes, formulaires, automatisations, modèles et messages ;
• données de livraison et d’interaction : statut de livraison, événements d’ouverture et de clic lorsque leur suivi est activé et licite, rejets, plaintes, désabonnements et exclusions d’envoi ;
• données techniques : adresse IP, informations sur l’appareil, le navigateur, les requêtes, la sécurité, les journaux et les erreurs ;
• fichiers, pièces jointes et contenus téléversés par le Client ;
• informations relatives aux intégrations, aux importations, aux exportations et à l’assistance, y compris les identifiants tiers transmis par le Client.

6. Données particulières

Le traitement des catégories particulières de données visées à l’article 9 et des données relatives aux condamnations pénales visées à l’article 10 ne fait pas partie du service et est interdit, sauf accord exprès préalable sous forme textuelle, pour une finalité précise et assorti de garanties supplémentaires.

7. Fréquence et volume

En continu, selon un volume déterminé par l’utilisation, la configuration, les destinataires, le forfait et les instructions du Client.

8. Droits et obligations du Client

Les droits et obligations du Client découlent du présent DPA, du Contrat principal et de la Législation sur la protection des données. Le Client détermine notamment les finalités, les bases juridiques, les catégories de données, les destinataires, la configuration, la conservation et les réponses apportées à l’exercice des droits des personnes concernées.

Annexe 2 – Mesures techniques et organisationnelles

Maildroppa maintient les mesures suivantes pour les Données à caractère personnel du Client. Leur mise en œuvre peut évoluer avec l’état de l’art, sans réduction substantielle de la protection globale.

1. Organisation et gouvernance

• responsabilités documentées en matière de protection des données, de sécurité et de gestion des incidents ;
• obligations de confidentialité imposées au personnel autorisé ;
• consignes de protection des données et de sécurité adaptées aux rôles et aux tâches ;
• octroi, modification et révocation contrôlés des accès internes ;
• évaluation documentée des prestataires et contrats de traitement des données requis ;
• procédures relatives aux demandes des personnes concernées, aux instructions, à l’effacement et aux demandes des autorités.

2. Authentification et contrôle d’accès

• comptes authentifiés via Auth0/Okta et interfaces du produit et d’administration dont l’accès est restreint selon les rôles ;
• accès internes individuels fondés sur les besoins et le principe du moindre privilège ;
• protection des accès privilégiés et des secrets techniques ; aucun stockage de mots de passe en clair par Maildroppa ;
• journalisation des événements liés aux comptes et à l’administration présentant un intérêt pour la sécurité ;
• réexamen des accès en fonction des événements et des risques, et révocation rapide des accès qui ne sont plus nécessaires.

3. Sécurité des transmissions et des communications

• transmission chiffrée au moyen de connexions HTTPS/TLS à jour ;
• API et webhooks protégés par authentification ou par des méthodes de signature ou de secret lorsque celles-ci sont proposées ;
• vérification des domaines et des expéditeurs, et prise en charge des méthodes courantes d’authentification des e-mails ;
• protection contre les requêtes abusives au moyen de contrôles de proxy, de réseau, de limitation du débit et de sécurité.

4. Séparation des environnements clients et des finalités

• attribution logique des données et des accès aux comptes des Clients ;
• autorisation côté serveur pour les ressources des comptes ;
• séparation des rôles et des finalités pour l’exploitation, l’assistance, la facturation et les traitements du Client ;
• aucune utilisation des Données à caractère personnel du Client à des fins publicitaires pour des tiers ou de commerce de listes.

5. Disponibilité, résilience et restauration

• exploitation de l’application principale sur une infrastructure contrôlée en Allemagne et stockage principal des données objets dans l’UE ;
• mesures de protection contre les attaques réseau et les charges abusives ;
• surveillance du service, collecte des erreurs et remontée contrôlée aux niveaux d’intervention appropriés ;
• sauvegardes à accès restreint selon un calendrier documenté ;
• procédures de restauration contrôlées ;
• réapplication, après restauration, des demandes d’effacement et de limitation enregistrées qui restent à prendre en compte.

6. Intégrité et sécurité du traitement

• validation technique du type, de la taille et des droits d’accès pour les téléversements pris en charge ;
• déploiement logiciel contrôlé et gestion des dépendances et des vulnérabilités ;
• journalisation des erreurs et des événements de sécurité avec minimisation des données ;
• protection contre les modifications non autorisées au moyen du contrôle d’accès ;
• traitement traçable des rejets, plaintes, désabonnements et exclusions d’envoi.

7. Protection des données dès la conception

• champs obligatoires et traitements limités à la finalité ; les champs supplémentaires du Client sont configurables ;
• fonctions d’exportation, de rectification, d’effacement et d’exclusion d’envoi facilitant les procédures relatives aux personnes concernées ;
• parcours de consentement et d’inscription permettant d’enregistrer le texte, la source et les horodatages pertinents ;
• mesure des ouvertures et des clics présentée comme une option de configuration transparente lorsque cette fonction est applicable ;
• données de diagnostic et d’analyse pseudonymisées ou minimisées dans la mesure du possible.

8. Effacement et conservation

• processus d’effacement opérationnels pour les contacts, campagnes, automatisations, formulaires, fichiers et données connexes du Client ;
• séparation des documents de facturation conservés en vertu de la loi et des données opérationnelles du Client ;
• informations limitées relatives aux exclusions d’envoi et à la sécurité, utilisées uniquement à des fins de protection ;
• effacement des données opérationnelles dans les meilleurs délais après la fin du service et l’achèvement de toute restitution convenue ; expiration des sauvegardes conformément au cycle de sauvegarde documenté ;
• restitution ou effacement documenté sur demande.

9. Gestion des incidents et réexamen

• processus documenté de détection, de classification, de confinement, d’investigation, de remédiation et de réexamen ;
• notification au Client dans les meilleurs délais après la prise de connaissance d’une violation affectant les Données à caractère personnel du Client ;
• consignation de la chronologie, des systèmes et données affectés, des mesures prises et des informations disponibles sur les conséquences ;
• conservation des preuves avec restrictions d’accès ;
• réexamen périodique de l’efficacité des mesures et ajustement de celles-ci en fonction des risques.

Annexe 3 – Sous-traitants ultérieurs autorisés et transferts

La liste suivante s’applique aux fonctions concernées ; les prestataires ne traitent pas tous les mêmes données pour chaque Client. Maildroppa vérifie l’entité juridique, la région et le mécanisme de transfert au regard du contrat effectivement conclu avant le premier recours au prestataire et après toute modification substantielle.

Auth0/Okta ne figure dans la présente Annexe que dans la mesure où il traite des Données à caractère personnel du Client en qualité de sous-traitant ultérieur dans le cadre d’un flux de données particulier. Le traitement par Maildroppa, en qualité de responsable du traitement, des données des utilisateurs de comptes pour ses propres besoins liés aux contrats, aux comptes et à l’authentification est régi par la Politique de confidentialité et ne relève pas du présent accord de traitement des données (DPA).

Notifications de modification

Maildroppa informe les Clients à l’adresse e-mail professionnelle enregistrée dans leur compte et publie une version datée de cette liste. La notification précise le prestataire, la finalité, la localisation, le mécanisme et la date de début prévue. La procédure d’opposition est régie par la clause 9.

Intégrations à l’initiative du Client

Zapier, Make et les autres services connectés par le Client ne sont pas automatiquement des sous-traitants ultérieurs de Maildroppa. Lorsque Maildroppa transmet des données à une telle intégration sur instruction du Client, il incombe au Client de choisir le destinataire, de disposer des autorisations nécessaires, de fournir les informations relatives à la protection des données, de conclure les contrats et de mettre en place les mécanismes de transfert international.