Accord de traitement des données (DPA)

Parties et portée

L’organisation qui détermine les finalités et les destinataires de ses communications agit comme responsable du traitement. SUCHET & BUTTIER intervient comme sous-traitant pour les données qu’elle lui confie dans Mailie. L’identité du client, son représentant habilité et la référence de l’accord doivent être identifiables dans la relation contractuelle.

La notice comptes décrit séparément les traitements propres à l’éditeur. Accepter les CGU d’un compte ne doit pas être présenté par un outil comme la signature d’une organisation non identifiée. Le présent cadre et ses annexes s’appliquent selon l’accord effectivement conclu ; les conditions TEST ne deviennent pas des conditions commerciales LIVE.

Traitements et instructions

Les fonctions concernées sont le stockage et l’organisation des contacts, des contenus et des éléments d’envoi, la préparation de communications, la remise aux transports autorisés, le traitement des retours opérationnels et des préférences, ainsi que les exports, restrictions et effacements demandés. Les paramètres et validations de l’espace documentent les instructions, dans les limites du service convenu.

Les données usuelles comprennent adresse email, nom ou attributs utiles fournis par le client, origine et preuve de permission, préférences, contenus et métadonnées opérationnelles. Les personnes concernées sont les contacts et destinataires du client. Les données sensibles et usages exigeant des garanties spécifiques ne sont pas couverts sans examen et accord adaptés.

Engagements de traitement

Mailie traite les données pour les instructions documentées et les finalités convenues, sans réutilisation générale pour une autre activité. Une instruction jugée contraire aux règles applicables doit être signalée au client. Toute obligation légale imposant un traitement ou une communication doit être examinée et portée à sa connaissance lorsque le droit le permet.

• Limiter les accès aux personnes habilitées et soumises à une obligation de confidentialité.
• Appliquer les mesures appropriées à la nature des données et aux risques ; documenter leurs évolutions utiles.
• Aider le client à traiter les demandes de droits, incidents, analyses et obligations qui lui incombent, selon les informations disponibles.
• Mettre à disposition les informations nécessaires à démontrer le respect de l’accord et contribuer aux vérifications proportionnées, sans exposer les données d’autres clients ni les secrets de sécurité.

Incidents et demandes de droits

Une violation de données concernant les traitements confiés doit être signalée au client sans retard injustifié après en avoir pris connaissance, avec les informations disponibles et les compléments utiles au fil de l’examen. Le client décide des notifications qui lui incombent ; un délai légal applicable au responsable du traitement ne doit pas être confondu avec un délai garanti de découverte d’incident.

Les demandes reçues directement d’un destinataire sont orientées vers le client concerné, avec l’assistance nécessaire. Les oppositions et protections existantes ne doivent pas être réactivées par une nouvelle importation ou une reprise de traitement.

Sous-traitants ultérieurs et transferts

Le recours à un sous-traitant ultérieur doit être documenté et autorisé selon l’accord conclu, avec des obligations de protection appropriées. L’ajout ou le remplacement d’un prestataire doit être porté à la connaissance du client selon les modalités convenues pour qu’il puisse formuler une objection. Une liste incomplète n’est pas une autorisation générale implicite.

Une opération hors de l’Espace économique européen exige une base et des garanties propres au transfert. Ce cadre n’est pas, à lui seul, un mécanisme de transfert international. Les fonctions et prestataires non précisés dans les annexes restent à examiner ; aucune promesse de traitement exclusivement en France ou sans service cloud n’est faite.

Durée, restitution et effacement

Le traitement suit la durée du service convenu et les opérations de sortie nécessaires. En fin de prestation, les données doivent être rendues ou supprimées selon le choix et les instructions du client, sous réserve des obligations de conservation applicables. Les exceptions, leur objet et leur échéance ou réexamen doivent être identifiés, sans assimiler fermeture d’accès et effacement de toutes les copies.

Les sauvegardes, versions de fichiers, preuves d’opposition et opérations au résultat incertain nécessitent leurs contrôles propres. Une restauration ne doit pas réautoriser silencieusement un accès révoqué ou rejouer un envoi incertain. Les périodes et modalités détaillées doivent figurer dans les annexes de la configuration retenue.

Annexe A — éléments établis

Le service sépare les organisations et leurs droits, utilise des autorisations limitées, des contrôles de MFA pour les opérations privilégiées et des vérifications avant les opérations sensibles. Les données privées concernées sont protégées par chiffrement et les sauvegardes sont traitées par une procédure distincte. Ces mesures ne constituent pas une certification ou une garantie d’absence d’incident.

L’infrastructure OVHcloud est décrite dans les mentions légales. Le chemin de messagerie observé comprend Exim, un filtre Imunify local et une réinjection avant le transport SMTP distant. Les retours ne constituent pas du suivi individuel de lecture. Les fournisseurs externes éventuellement choisis pour une fonction ne sont pas autorisés en bloc par cette description.

Cloud Linux Software, Inc. publie un DPA couvrant Imunify Email. Son annexe indique des prestataires en Europe et aux États-Unis ; cela ne prouve ni notre contrat applicable ni les régions effectivement utilisées.

Annexe B — détails à compléter avant accord complet

Les éléments suivants restent à préciser et à rattacher à la configuration et à l’accord du client. Leur absence est signalée, plutôt que remplacée par une garantie non prouvée.

• Entités contractuelles intervenant pour l’hébergement, le filtrage, les sauvegardes et chaque fonction externe ; opérations confiées, pays et garanties associées.
• Contrat applicable et destinations effectives du filtrage Imunify, y compris ses éventuels flux statistiques ; fonctions d’IA activées et garanties de transfert correspondantes.
• Périodes détaillées des journaux techniques, supports, copies de sauvegarde et exceptions ; modalités de notification des changements de sous-traitants et de vérification de leur exécution.
• Identification de l’organisation cliente, de son représentant et de la preuve d’accord pertinente. Aucune acceptation n’est créée par l’affichage de cette page.

Coordination et contact

Contact : contact@suchetbuttier.com. Adresse postale : 102 avenue des Champs-Élysées, 75008 Paris, France.

Les annexes factuelles doivent être complétées sans modifier rétroactivement une version acceptée. Ce texte adapté n’est pas présenté comme des clauses types officielles reprises sans modification, ni comme un avis d’avocat.