Accord de traitement des données

Version : 1.4 · En vigueur à partir du : 3 novembre 2026

Le présent Accord de traitement des données (le « DPA ») est conclu entre le Client professionnel qui a accepté les Conditions d’utilisation de Mailistix (les « Conditions ») (le « Client », « vous », « votre », « vos ») et Mailistix UG (haftungsbeschränkt), Kolonnenstr. 8, 10827 Berlin, Allemagne, immatriculée au registre du commerce tenu par l’Amtsgericht Charlottenburg (Berlin) sous le numéro HRB 291268 B (« Mailistix », « nous », « notre », « nos »). Il énonce la manière dont nous traitons des données à caractère personnel pour votre compte lorsque vous utilisez le Service Mailistix, conformément aux exigences de l’article 28 du RGPD, du RGPD britannique et de la LPD suisse. La version actuelle est publiée à l’adresse https://mailistix.com/legal/dpa.

En bref (à titre indicatif uniquement ; seuls les articles ci-dessous font foi) :

• Votre messagerie reste chez vos fournisseurs de messagerie (par exemple Google ou Microsoft) et, sous forme de copie locale, sur vos appareils. Nous n’avons pas accès à cette copie. Le présent DPA ne couvre que ce qui transite par nos Services cloud ou y est conservé.
• Le contenu des e-mails n’atteint nos Services cloud que lorsque l’un de vos utilisateurs utilise une Fonctionnalité d’IA, y compris l’apprentissage à partir des modifications après l’envoi d’un brouillon d’IA modifié. Nous le transmettons à nos fournisseurs d’IA, renvoyons le résultat et ne stockons pas le contenu.
• Pour votre compte, nos serveurs ne conservent que quelques enregistrements techniques : les enregistrements de notifications push (7 jours), les inscriptions de surveillance des boîtes aux lettres (tant qu’une boîte aux lettres est connectée) et les envois à l’assistance (30 jours). Les e-mails d’assistance et les messages du formulaire de contact restent dans notre messagerie pendant 2 ans après le dernier message.
• Vous êtes le responsable du traitement et nous sommes votre sous-traitant. Pour les Comptes de vos utilisateurs, la facturation, la sécurité et la télémétrie facultative, nous sommes un responsable du traitement indépendant au titre de notre Politique de confidentialité.
• Nos sous-traitants ultérieurs sont énumérés à l’annexe 3. Nous donnons un préavis de 14 jours avant d’en ajouter un, et vous pouvez vous y opposer.

1. Conclusion, champ d’application et priorité

1.1 Conclusion. Le présent DPA fait partie des Conditions. Il s’applique automatiquement, sans signature, à tout Client professionnel qui accepte les Conditions, à compter de l’acceptation ou de la date d’entrée en vigueur indiquée ci-dessus, la plus tardive de ces deux dates étant retenue. Il est conclu sous forme électronique, ce qui satisfait à l’exigence de forme écrite de l’article 28, paragraphe 9, du RGPD. Lorsqu’un Utilisateur autorisé accepte les Conditions dans le Logiciel, nous consignons la version des Conditions et du présent DPA qui a été acceptée, le moment de l’acceptation tel qu’enregistré sur notre serveur, la circonstance qu’elle a été donnée lors de l’inscription ou à l’occasion d’une invite ultérieure, ainsi que la version du Logiciel (article 1.8 des Conditions) ; Paramètres › Informations légales indique depuis quand la version actuelle du présent DPA s’applique. Vous pouvez consulter et enregistrer le présent DPA à tout moment à l’adresse indiquée ci-dessus et sous Paramètres › Informations légales, et nous tenons à disposition les versions antérieures. Si vous avez besoin d’un exemplaire signé par nous pour vos dossiers, écrivez à legal@mailistix.com et nous vous enverrons le présent DPA signé par nous. Un exemplaire signé ne modifie pas son contenu.

1.2 Utilisateurs autorisés. Vous utilisez le Service par l’intermédiaire des personnes physiques qui détiennent des Comptes et les utilisent pour vos besoins professionnels, telles que vos salariés et prestataires (les « Utilisateurs autorisés »). Chaque Compte est destiné à une seule personne physique (voir le CLUF). La personne qui accepte les Conditions pour vous confirme être habilitée à vous engager. Vous répondez du respect du présent DPA par vos Utilisateurs autorisés. Le Service ne comporte pas de comptes d’organisation : veuillez nous indiquer, par e-mail adressé à legal@mailistix.com, quels Comptes relèvent de vous et quelle personne nous devons informer au titre du présent DPA (article 17.6).

1.3 Champ d’application. Le présent DPA s’applique au traitement de Données à caractère personnel du Client effectué par nos soins pour votre compte dans les Services cloud. Il ne s’applique pas :

(a) au traitement effectué par le Logiciel sur vos appareils (article 3) ; ni

(b) au traitement pour lequel nous sommes un responsable du traitement indépendant (article 2.4).

1.4 Priorité. En cas de contradiction entre le présent DPA et la Partie I des Conditions, le CLUF ou la Politique d’utilisation acceptable, le présent DPA prévaut en ce qui concerne le traitement de Données à caractère personnel du Client. Les Conditions régionales conservent la priorité que les Conditions leur donnent. Lorsque les CCT s’appliquent (article 12), elles prévalent sur le présent DPA et sur les Conditions. Aucune disposition du présent DPA ou des Conditions ne limite les droits dont disposent les personnes concernées ou les autorités de contrôle en vertu des CCT ou des Lois sur la protection des données.

1.5 Termes utilisés. Les termes commençant par une majuscule qui ne sont pas définis dans le présent DPA ont le sens qui leur est donné dans les Conditions.

2. Définitions et rôles

2.1 Définitions. Dans le présent DPA :

• « Lois sur la protection des données » désigne toutes les lois relatives à la protection des données à caractère personnel qui s’appliquent au traitement au titre du présent DPA, en particulier le RGPD, la loi fédérale allemande sur la protection des données (BDSG), le RGPD britannique, la LPD et, le cas échéant, les lois des États américains mentionnées à l’article 16.
• « RGPD » désigne le règlement (UE) 2016/679.
• « RGPD britannique » désigne le RGPD tel qu’il fait partie du droit du Royaume-Uni, lu conjointement avec le Data Protection Act 2018, tel que modifié, y compris par le Data (Use and Access) Act 2025.
• « LPD » désigne la loi fédérale suisse du 25 septembre 2020 sur la protection des données et ses ordonnances.
• « Data Act » désigne le règlement (UE) 2023/2854 (le règlement de l’UE sur les données).
• « Données à caractère personnel du Client » désigne les données à caractère personnel contenues dans le Contenu du Client que nous traitons pour votre compte dans les Services cloud afin de fournir le Service, comme décrit à l’annexe 1.
• « Sous-traitant ultérieur » désigne un sous-traitant engagé par nous qui traite des Données à caractère personnel du Client.
• « Violation de données à caractère personnel » désigne une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération ou la divulgation non autorisée de Données à caractère personnel du Client transmises, conservées ou traitées d’une autre manière par nous ou nos Sous-traitants ultérieurs, ou l’accès non autorisé à de telles données.
• « CCT » désigne les clauses contractuelles types annexées à la décision d’exécution (UE) 2021/914 de la Commission du 4 juin 2021.
• « Addendum britannique » désigne l’addendum sur le transfert international de données aux clauses contractuelles types de la Commission européenne (International Data Transfer Addendum), publié par l’Information Commissioner du Royaume-Uni, version B1.0, en vigueur depuis le 21 mars 2022, tel que révisé par l’Information Commissioner en vertu de la section 18 de ses Mandatory Clauses.
• « Transfert restreint » désigne un transfert de Données à caractère personnel du Client vers un pays situé en dehors de l’EEE, du Royaume-Uni ou de la Suisse (selon le cas) qui nécessite des garanties appropriées en vertu des Lois sur la protection des données, parce qu’aucune décision ou aucun règlement d’adéquation ne le couvre.
• « responsable du traitement », « sous-traitant », « personne concernée », « données à caractère personnel », « traitement » et « autorité de contrôle » ont le sens qui leur est donné dans le RGPD. En vertu d’autres Lois sur la protection des données, ils comprennent les termes équivalents (par exemple « entreprise » (« business ») et « prestataire de services » (« service provider »)).

2.2 Vous en tant que responsable du traitement. Pour les Données à caractère personnel du Client, vous êtes le responsable du traitement et nous sommes votre sous-traitant.

2.3 Vous en tant que sous-traitant. Si vous traitez des Données à caractère personnel du Client pour le compte d’un autre responsable du traitement (par exemple l’un de vos clients), vous êtes un sous-traitant et nous sommes votre sous-traitant ultérieur. Dans ce cas :

(a) vous confirmez que l’autre responsable du traitement a autorisé le traitement au titre du présent DPA, y compris le recours à nos services et à ceux de nos Sous-traitants ultérieurs ;

(b) vous êtes le seul point de contact de l’autre responsable du traitement avec nous ; vous transmettez ses instructions et demandes, et nous n’acceptons d’instructions que de vous ;

(c) vous transmettez à l’autre responsable du traitement, lorsque cela est nécessaire, nos avis et informations au titre du présent DPA ; et

(d) l’autre responsable du traitement exerce ses droits d’information et d’audit par votre intermédiaire, conformément à l’article 11 ; et

(e) vous veillez à ce que le présent DPA nous impose les obligations en matière de protection des données que votre contrat avec l’autre responsable du traitement exige pour un sous-traitant ultérieur (article 28, paragraphe 4, du RGPD).

2.4 Notre propre traitement en tant que responsable du traitement. Nous traitons certaines données à caractère personnel de vos Utilisateurs autorisés en tant que responsable du traitement indépendant, au titre de notre Politique de confidentialité et non du présent DPA, à savoir pour :

(a) le Compte, la connexion et l’authentification ;

(b) les Formules, les Crédits et la facturation ; les paiements sont gérés par Polar Software, Inc. en tant que marchand officiel (merchant of record), qui agit en tant que responsable du traitement indépendant et reçoit l’adresse e-mail de l’Utilisateur autorisé et son identifiant d’utilisateur Mailistix (et, lors du paiement, l’adresse IP) ;

(c) les métadonnées d’utilisation des requêtes d’IA (fonctionnalité, modèle, nombre de jetons, Crédits, heure, réussite ou erreur, sans aucun contenu) pour la facturation, la maîtrise des coûts et la sécurité ;

(d) la sécurité, la limitation de débit, ainsi que la prévention des abus et les enquêtes y afférentes ;

(e) les statistiques d’utilisation facultatives et les rapports de plantage, uniquement avec le consentement (opt-in) de l’Utilisateur autorisé ;

(f) les enregistrements de consentement, l’enregistrement de l’acceptation des Conditions et du présent DPA (article 1.1), le Paramètre de région, les mises à jour de l’application et notre communication avec les Utilisateurs autorisés, y compris l’assistance (à l’exception des Données à caractère personnel du Client contenues dans les envois à l’assistance et les messages d’assistance, que nous traitons au titre du présent DPA) ; et

(g) le respect de nos obligations légales.

Lorsque les Lois sur la protection des données exigent que vous informiez vos Utilisateurs autorisés de ce traitement, vous pouvez les renvoyer à la Politique de confidentialité.

3. Données sur vos appareils

3.1 Traitement local sous votre contrôle. Le Logiciel stocke les Données de messagerie et d’autres éléments du Contenu du Client sur les appareils sur lesquels vos Utilisateurs autorisés l’installent, dans une base de données chiffrée dont la clé est protégée par le magasin d’identifiants du système d’exploitation. Le Logiciel synchronise la messagerie directement entre l’appareil et la Boîte aux lettres connectée. Ce traitement a lieu sur vos appareils, sous votre seul contrôle et celui de vos Utilisateurs autorisés. Nous n’avons accès ni à la base de données locale, ni à sa clé, ni aux jetons de boîte aux lettres stockés sur l’appareil, ni aux e-mails qu’elle contient. Nous n’en recevons pas de copies et ne les traitons pas pour votre compte. La fourniture du Logiciel ne fait pas de nous votre sous-traitant pour ces données.

3.2 Fournisseurs de messagerie. Vos fournisseurs de messagerie (Google, Microsoft ou le fournisseur d’une boîte aux lettres connectée via IMAP) fournissent vos Boîtes aux lettres connectées en vertu de vos propres contrats avec eux. Ils ne sont pas nos Sous-traitants ultérieurs. Cela s’applique également lorsque Google ou Microsoft autorisent l’accès à la boîte aux lettres par OAuth et lorsque Microsoft envoie des notifications de modification concernant votre boîte aux lettres à notre fonction serveur.

3.3 Lorsque des données quittent l’appareil. Les Données à caractère personnel du Client n’atteignent les Services cloud que dans les situations énumérées à l’annexe 1, chacune déclenchée par un Utilisateur autorisé ou par une boîte aux lettres qu’un Utilisateur autorisé a connectée : utilisation d’une Fonctionnalité d’IA (y compris l’apprentissage à partir des modifications après qu’un Utilisateur autorisé a envoyé un brouillon d’IA modifié), connexion d’une boîte aux lettres, notifications push concernant les nouveaux e-mails, désabonnement d’une newsletter en un clic et envois à l’assistance.

3.4 Vos responsabilités côté appareil. Il vous incombe de sécuriser les appareils et les comptes utilisateur du système d’exploitation sur lesquels le Logiciel s’exécute, d’effectuer des sauvegardes et de supprimer les données locales lorsqu’un Utilisateur autorisé quitte l’organisation ou qu’un appareil est mis hors service. L’annexe 2, partie B, et le CLUF décrivent les fonctions du Logiciel prévues à cet effet.

4. Instructions

4.1 Traitement uniquement sur instructions. Nous ne traitons les Données à caractère personnel du Client que sur vos instructions documentées, y compris en ce qui concerne les transferts vers des pays tiers, sauf si le droit de l’Union ou le droit d’un État membre (ou, pour les données britanniques ou suisses, le droit britannique ou suisse) auquel nous sommes soumis l’exige. Dans ce cas, nous vous informons de cette obligation juridique avant le traitement, sauf si ce droit interdit cette information pour des motifs importants d’intérêt public.

4.2 Vos instructions. Au moment de la conclusion du présent DPA, vos instructions documentées sont, de manière exhaustive :

(a) les Conditions et le présent DPA, y compris ses annexes ;

(b) l’utilisation et la configuration du Service par vous et vos Utilisateurs autorisés, en particulier l’activation des Fonctionnalités d’IA dans la boîte de dialogue de consentement à l’IA, le lancement d’une Fonctionnalité d’IA, l’envoi d’un brouillon d’IA modifié alors que les Fonctionnalités d’IA sont activées (apprentissage à partir des modifications), le Paramètre de région, la connexion ou le retrait d’une boîte aux lettres, le lancement d’un désabonnement en un clic et le fait d’effectuer un envoi à l’assistance ; et

(c) toute autre instruction écrite convenue entre les parties.

4.3 Paramètre de région. Chaque Utilisateur autorisé indique au Logiciel où il réside (le Paramètre de région au titre des Conditions). Ce paramètre est votre instruction sur le lieu de traitement des requêtes d’IA :

(a) « En Europe » (l’UE, l’EEE, le Royaume-Uni ou la Suisse), ou pas de réponse : tout le traitement par l’IA a lieu dans l’UE (annexe 3) ;

(b) « Hors d’Europe » : certains modèles Gemini s’exécutent sur le point de terminaison global de Google, qui peut traiter des données dans tout pays où Google exerce ses activités ; tout autre traitement par l’IA reste dans l’UE.

Il vous incombe de veiller à ce que vos Utilisateurs autorisés répondent conformément à vos exigences. Un Utilisateur autorisé peut modifier le Paramètre de région sous Paramètres › Confidentialité et IA. Une modification ne s’applique qu’aux requêtes ultérieures.

4.4 Instructions supplémentaires. Les instructions supplémentaires doivent être données par écrit (l’e-mail suffit) et être compatibles avec les Conditions et avec le Service tel que proposé. Si une instruction nous oblige à modifier le Service, ou à traiter des Données à caractère personnel du Client d’une manière que le Service ne prend pas en charge, nous pouvons la refuser. Vous pouvez alors résilier les Conditions pour les Comptes concernés.

4.5 Instructions illicites. Nous vous informons dans les meilleurs délais si, à notre avis, une instruction enfreint les Lois sur la protection des données. Nous pouvons suspendre l’exécution de cette instruction jusqu’à ce que vous la confirmiez ou la modifiiez.

4.6 Aucune utilisation à nos propres fins. Nous ne traitons pas les Données à caractère personnel du Client à nos propres fins. En particulier, nous ne les vendons pas, ne les utilisons pas à des fins de publicité ou de profilage, et ne les utilisons pas pour entraîner, développer ou améliorer des modèles d’intelligence artificielle ou d’apprentissage automatique, que ce soient les nôtres ou ceux de tiers. Nos Sous-traitants ultérieurs d’IA ont l’interdiction contractuelle de les utiliser pour entraîner leurs modèles. La personnalisation des brouillons décrite à l’annexe 1 repose sur l’ajout d’exemples à la requête ; aucun modèle n’est entraîné ni modifié.

5. Confidentialité

5.1 Nous n’accordons l’accès aux Données à caractère personnel du Client qu’aux personnes qui en ont besoin pour fournir le Service. Chacune d’elles s’est engagée à respecter la confidentialité ou est soumise à une obligation légale appropriée de confidentialité, qui se poursuit après la fin de leur mission.

5.2 Nous ne stockons pas le contenu des requêtes d’IA ni des Résultats de l’IA (annexe 1). Notre personnel ne lit pas les Données à caractère personnel du Client, sauf :

(a) lorsque vous ou un Utilisateur autorisé nous demandez d’examiner un contenu précis, par exemple dans le cadre d’une demande d’assistance ;

(b) lorsque cela est nécessaire pour enquêter sur un incident de sécurité ou un abus ; ou

(c) lorsque la loi l’exige.

Chacun de ces accès est limité à ce que sa finalité exige.

5.3 Secret professionnel. Si vous êtes tenu au secret professionnel, notamment en vertu du § 203, alinéas 1 à 3, du Code pénal allemand (StGB), du § 43e de la loi fédérale allemande sur les avocats (BRAO), du § 62a de la loi allemande sur les conseillers fiscaux (StBerG) ou de règles comparables, nous agissons comme une personne participant à votre activité professionnelle (mitwirkende Person, § 203, alinéa 3, deuxième phrase, du StGB) dans la mesure où nous traitons, au titre du présent DPA, des secrets qui vous sont confiés. Dans ce cas :

(a) nous nous engageons à garder ces secrets confidentiels, et nous savons qu’une divulgation non autorisée est punissable en vertu du § 203, alinéa 4, première phrase, du StGB ;

(b) nous ne prenons connaissance de ces secrets que dans la mesure où la fourniture du Service l’exige (article 5.2) ;

(c) nous astreignons au secret, sous forme de texte, les personnes qui travaillent pour nous et les informons des conséquences pénales d’une violation ; et

(d) nous ne recourons à des Sous-traitants ultérieurs que conformément à l’article 7. Ils sont tenus à la confidentialité par leurs conditions de traitement des données (article 7.2), mais ne nous ont pas donné d’engagement propre au § 203 du StGB, et certains d’entre eux sont établis, ou ont leur société mère, en dehors de l’UE (annexe 3).

Le présent article 5.3 est l’engagement de confidentialité visé à l’article 9.6 des Conditions ; sur demande, nous vous en envoyons un exemplaire signé par nous. Il vous appartient de décider si vos règles professionnelles vous permettent d’utiliser les Fonctionnalités d’IA ou les Services cloud avec des secrets qui vous sont confiés, en particulier eu égard au point (d) (par exemple le § 43e, alinéas 3 et 4, de la BRAO) (article 14.3(d) et article 9.6 des Conditions).

6. Sécurité

6.1 Nous mettons en œuvre et maintenons les mesures techniques et organisationnelles décrites à l’annexe 2. Elles garantissent un niveau de sécurité adapté au risque, compte tenu de l’état des connaissances, des coûts de mise en œuvre, de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les droits et libertés des personnes physiques (article 32 du RGPD).

6.2 Les mesures sont appelées à évoluer avec le progrès technique. Nous pouvons les modifier, à condition que le niveau global de protection ne soit pas réduit. Nous documentons les modifications substantielles et mettons à jour l’annexe 2 en conséquence.

6.3 Il vous appartient d’évaluer si les mesures répondent à vos exigences et de veiller aux mesures relevant de votre propre contrôle (article 3.4 et annexe 2, partie B).

7. Sous-traitants ultérieurs

7.1 Autorisation générale. Vous nous donnez une autorisation écrite générale de recourir à des Sous-traitants ultérieurs. Les Sous-traitants ultérieurs énumérés à l’annexe 3 et sur https://mailistix.com/legal/subprocessors au moment de la conclusion du présent DPA sont autorisés.

7.2 Exigences. Avant qu’un Sous-traitant ultérieur ne traite des Données à caractère personnel du Client, nous :

(a) vérifions qu’il présente des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées ;

(b) concluons avec lui un contrat écrit qui lui impose des obligations en matière de protection des données offrant au moins le même niveau de protection que le présent DPA, comme l’exige l’article 28, paragraphe 4, du RGPD ; et

(c) veillons à ce qu’un mécanisme de transfert licite soit en place partout où un Transfert restreint a lieu (article 12).

Nous demeurons pleinement responsables à votre égard de l’exécution des obligations de chaque Sous-traitant ultérieur.

7.3 Notification des modifications. Nous vous informons de tout ajout ou remplacement envisagé d’un Sous-traitant ultérieur au moins 14 jours avant qu’il ne commence à traiter des Données à caractère personnel du Client. Nous le faisons en mettant à jour la page des Sous-traitants ultérieurs, en envoyant un avis aux adresses e-mail de Compte de vos Utilisateurs autorisés ou en l’affichant dans le Logiciel et, si vous nous en avez communiqué un, en l’adressant à votre contact en matière de protection des données (article 17.6). L’avis indique le nom du Sous-traitant ultérieur, son service, le lieu de traitement et le mécanisme de transfert.

7.4 Opposition. Vous pouvez vous opposer à un nouveau Sous-traitant ultérieur en écrivant à legal@mailistix.com dans les 14 jours suivant l’avis, pour des motifs raisonnables liés à la protection des données. Nous examinerons votre opposition avec vous de bonne foi et pourrons proposer une solution, par exemple ne pas recourir au nouveau Sous-traitant ultérieur pour vos Comptes ou désactiver pour eux la fonctionnalité concernée. Si nous ne parvenons pas à lever votre opposition, vous pouvez résilier les Conditions pour les Comptes concernés par notification écrite, avec effet au plus tard à la date à laquelle le nouveau Sous-traitant ultérieur commencerait à traiter des Données à caractère personnel du Client pour vous. Nous vous rembourserons alors au prorata, par l’intermédiaire de Polar en tant que notre marchand officiel (merchant of record), les redevances que vous avez payées d’avance pour la période postérieure à la résiliation. Vos autres droits au titre des Lois sur la protection des données ne sont pas affectés.

7.5 Remplacement urgent. Si nous devons remplacer un Sous-traitant ultérieur à bref délai pour des raisons échappant à notre contrôle raisonnable (par exemple un incident de sécurité chez le Sous-traitant ultérieur, ou la cessation de son service par le Sous-traitant ultérieur), et que le remplacement est nécessaire pour maintenir la sécurité ou la disponibilité du Service, nous pouvons recourir au remplaçant avant la fin du délai de 14 jours. Nous vous en informons alors dans les meilleurs délais, et l’article 7.4 s’applique à compter de cet avis. Lorsque les CCT s’appliquent, leur clause 9 prévaut.

7.6 Copies. Sur demande, nous vous remettons une copie des conditions de protection des données que nous avons convenues avec un Sous-traitant ultérieur, ou un lien vers ses conditions standard. Nous pouvons en retirer les informations commerciales et les clauses sans rapport avec la protection des données.

7.7 Ne sont pas des Sous-traitants ultérieurs. Ne sont pas nos Sous-traitants ultérieurs : vos fournisseurs de messagerie (article 3.2) ; Polar en tant que marchand officiel (merchant of record) (article 2.4) ; les expéditeurs de newsletters auxquels une demande de désabonnement est envoyée sur instruction d’un Utilisateur autorisé ; et les fournisseurs de vos systèmes d’exploitation.

8. Assistance

8.1 Demandes des personnes concernées. La plupart des données à caractère personnel concernant vos Utilisateurs autorisés et leurs correspondants sont détenues par votre fournisseur de messagerie et sur vos appareils, et non par nous (article 3). Compte tenu de ce qui précède, nous vous aidons, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes des personnes concernées qui exercent leurs droits au titre du chapitre III du RGPD et les droits équivalents au titre d’autres Lois sur la protection des données :

(a) Le Logiciel permet à chaque Utilisateur autorisé d’exporter les données que nous détenons pour son Compte, y compris les enregistrements de notifications push et les enregistrements d’envois à l’assistance (Paramètres › Général › Compte › « Exporter les données ») ; de retirer une Boîte aux lettres connectée ; de retirer le consentement à l’IA et de modifier le Paramètre de région (Paramètres › Confidentialité et IA) ; et de supprimer le Compte.

(b) Si une personne concernée nous contacte directement au sujet de Données à caractère personnel du Client et que nous pouvons vous identifier comme le responsable du traitement, nous vous transmettons la demande dans les meilleurs délais. Nous n’y répondons pas nous-mêmes, sauf pour renvoyer la personne concernée vers vous ou lorsque la loi exige le contraire.

(c) Nous fournissons une assistance raisonnable supplémentaire sur demande.

8.2 Sécurité, violations, analyses d’impact et consultation. Compte tenu de la nature du traitement et des informations dont nous disposons, nous vous aidons à respecter les articles 32 à 36 du RGPD. En particulier, nous vous fournissons le présent DPA et ses annexes, l’Avis sur les fonctionnalités d’IA et, sur demande, d’autres informations sur le traitement dans les Fonctionnalités d’IA dont vous avez besoin pour une analyse d’impact relative à la protection des données ou pour une consultation préalable d’une autorité de contrôle.

8.3 Frais. Les fonctions en libre-service et l’assistance décrites dans le présent DPA sont incluses dans le Service. Pour toute assistance dépassant ce cadre et ne résultant pas d’un manquement de notre part au présent DPA, nous pouvons facturer des frais raisonnables, à condition de vous en informer à l’avance.

8.4 Autorités et registres. Nous coopérons, à leur demande, avec les autorités de contrôle dans l’exécution de leurs missions. Nous tenons un registre des activités de traitement comme l’exige l’article 30, paragraphe 2, du RGPD.

8.5 Contact en matière de protection des données. Notre contact en matière de protection des données est legal@mailistix.com.

9. Violations de données à caractère personnel

9.1 Notification. Nous vous notifions dans les meilleurs délais après avoir pris connaissance d’une Violation de données à caractère personnel. Nous nous efforçons de vous la notifier dans un délai de 48 heures.

9.2 Contenu. La notification comprend, dans la mesure où les informations sont disponibles :

(a) une description de la nature de la violation, y compris, si possible, les catégories et le nombre approximatif de personnes concernées et d’enregistrements de données à caractère personnel concernés ;

(b) le nom et les coordonnées de notre point de contact auprès duquel des informations supplémentaires peuvent être obtenues ;

(c) les conséquences probables de la violation ; et

(d) les mesures que nous avons prises ou proposons de prendre pour remédier à la violation et atténuer ses éventuelles conséquences négatives.

Si nous ne pouvons pas fournir toutes les informations en même temps, nous les fournissons de manière échelonnée, sans retard indu supplémentaire.

9.3 Nos mesures. Nous prenons dans les meilleurs délais des mesures raisonnables pour contenir la violation et enquêter sur celle-ci, en atténuer les effets et empêcher qu’elle ne se reproduise. Nous documentons la violation et vous tenons informé.

9.4 Modalités de notification. Nous envoyons la notification par e-mail aux adresses e-mail de Compte des Utilisateurs autorisés concernés et au contact en matière de protection des données que vous nous avez communiqué au titre de l’article 17.6.

9.5 Vos obligations. Il vous appartient de décider si la violation doit être notifiée à une autorité de contrôle ou aux personnes concernées, et vous effectuez ces notifications. Nous ne les notifions pas pour votre compte, sauf si vous nous en donnez instruction ou si la loi l’exige.

9.6 Absence de reconnaissance. Notre notification n’est pas une reconnaissance de faute ou de responsabilité.

9.7 Signalements à notre attention. Veuillez signaler les incidents de sécurité présumés concernant le Service à legal@mailistix.com avec un objet commençant par « Security: », comme décrit dans notre Politique de divulgation des vulnérabilités.

10. Suppression et restitution

10.1 Pendant la durée du contrat. Nous ne conservons les Données à caractère personnel du Client dans les Services cloud que pendant la durée indiquée à l’annexe 1, partie H. Des tâches automatisées quotidiennes suppriment les enregistrements dont la durée de conservation a expiré.

10.2 Suppression du Compte. Un Utilisateur autorisé peut supprimer son Compte dans le Logiciel à tout moment (Paramètres › Général › Compte › « Supprimer le compte ») ; l’article 15.3 des Conditions décrit les cas dans lesquels la suppression est refusée (par exemple, tant qu’un abonnement peut encore donner lieu à un prélèvement). La suppression retire des Services cloud les Données à caractère personnel du Client de ce Compte. Sur l’appareil utilisé pour la suppression, le Logiciel met également fin aux notifications push, révoque son accès aux boîtes aux lettres Google connectées et efface les données locales de ce Compte. Vous pouvez aussi nous demander par écrit de supprimer les Comptes de vos Utilisateurs autorisés ; nous le faisons après avoir vérifié que vous y êtes habilité.

10.3 Fin des Conditions pour un Compte. À la fin de la fourniture du Service pour un Compte, nous restituons ou supprimons ses Données à caractère personnel du Client, à votre choix (article 28, paragraphe 3, point g), du RGPD), comme suit (article 15.10 des Conditions) :

(a) Restitution. Vous obtenez une copie par l’export dans le Logiciel (article 8.1(a)), qu’un Utilisateur autorisé peut lancer à tout moment tant que le Compte existe. L’export et la suppression sont gratuits.

(b) Période de récupération des données. Après la fin des Conditions pour un Compte, pour quelque raison que ce soit, ses Données à caractère personnel du Client restent disponibles pour récupération pendant 30 jours (la période de récupération des données au titre de l’article 15.10(d) des Conditions et de l’article 25, paragraphe 2, point g), du Data Act). Pendant cette période, le Compte reste en place et l’Utilisateur autorisé peut se connecter pour exporter ; si cela n’est pas possible, nous vous envoyons l’export sur demande adressée à legal@mailistix.com. À la fin de la période, nous supprimons des Services cloud les Données à caractère personnel du Client de ce Compte, sauf si le droit de l’Union ou d’un État membre nous impose de les conserver. Les durées de conservation de l’annexe 1, partie H, continuent de s’appliquer pendant la période.

(c) Suppression immédiate. Si un Utilisateur autorisé supprime le Compte dans le Logiciel (article 10.2), ou si vous nous demandez de le supprimer, vous choisissez la suppression immédiate au lieu d’une période de récupération des données : nous supprimons immédiatement les Données à caractère personnel du Client de ce Compte.

(d) Données exportables. Pour les Données à caractère personnel du Client, le fichier d’export contient les enregistrements de notifications Gmail et Outlook, les inscriptions de surveillance (watch) Gmail et d’abonnement Outlook, et les enregistrements des envois à l’assistance (par exemple la date et l’heure, la version de l’application et la taille) ; nous fournissons sur demande le contenu des envois à l’assistance (article 15.10(b) des Conditions). Vos Données de messagerie restent à votre disposition chez votre fournisseur de messagerie et dans la base de données locale du Logiciel sur vos appareils ; nous n’en détenons aucune copie que nous pourrions restituer. Comme nous ne stockons pas le contenu des requêtes d’IA ni des Résultats de l’IA, il n’y a rien à restituer ou à supprimer.

10.4 Sauvegardes. La base de données des Services cloud est sauvegardée automatiquement une fois par jour. Chaque sauvegarde est conservée 7 jours, et les Données à caractère personnel du Client figurant dans une sauvegarde sont supprimées à l’expiration de la sauvegarde. Les sauvegardes restent protégées au titre du présent DPA et ne sont restaurées dans le système en production que pour rétablir le service après un incident ; après une telle restauration, nous appliquons à nouveau les suppressions effectuées depuis la sauvegarde.

10.5 Sous-traitants ultérieurs. Nos Sous-traitants ultérieurs d’IA peuvent conserver les données des requêtes pendant une durée limitée à des fins opérationnelles ou de surveillance des abus, en vertu de leurs conditions, comme décrit à l’annexe 1, partie H.

10.6 Confirmation. Sur demande, nous confirmons la suppression par écrit.

11. Informations et audits

11.1 Informations. Nous mettons à votre disposition les informations nécessaires pour démontrer le respect de l’article 28 du RGPD et du présent DPA, en particulier :

(a) le présent DPA, ses annexes et la page des Sous-traitants ultérieurs ;

(b) des réponses à un questionnaire de sécurité raisonnable une fois par année civile ; et

(c) les certifications et rapports d’audit de nos Sous-traitants ultérieurs, dans la mesure où ceux-ci nous les mettent à disposition à cet effet.

11.2 Audits et inspections. Si les informations visées à l’article 11.1 ne suffisent pas pour démontrer notre conformité, si une autorité de contrôle l’exige, ou après une Violation de données à caractère personnel, vous pouvez auditer notre conformité au présent DPA, y compris par des inspections. Vous pouvez réaliser l’audit vous-même ou le faire réaliser par un auditeur indépendant qui est tenu à la confidentialité et n’est pas notre concurrent. Sauf si une autorité de contrôle en décide autrement ou si l’audit fait suite à une Violation de données à caractère personnel :

(a) les audits ont lieu au plus une fois par période de 12 mois ;

(b) vous nous donnez un préavis écrit d’au moins 30 jours et convenez à l’avance avec nous de la portée et du plan de l’audit ; et

(c) les audits ont lieu pendant les heures normales de bureau sans perturber indûment nos activités.

Les audits ne s’étendent pas aux données d’autres clients ni à nos secrets d’affaires au-delà de ce que l’audit exige. Nous n’exploitons pas de centres de données ni de serveurs qui nous soient propres. Pour les installations de nos Sous-traitants ultérieurs, l’audit s’appuie sur leurs certifications et rapports d’audit visés à l’article 11.1(c).

11.3 Frais. Vous supportez les frais de votre propre audit. Vous nous remboursez les frais raisonnables et documentés que nous occasionne l’accompagnement d’un audit sur site, sauf si l’audit révèle un manquement substantiel de notre part au présent DPA.

11.4 Conclusions. Les conclusions de l’audit sont confidentielles. Vous nous remettez une copie du rapport d’audit. Nous remédions dans les meilleurs délais à tout manquement constaté.

11.5 CCT. Lorsque les CCT s’appliquent, les audits au titre de leur clause 8.9 sont réalisés conformément au présent article 11, dans la mesure où cela est compatible avec les CCT.

12. Transferts internationaux

12.1 Où nous traitons les données. Nous sommes établis en Allemagne, un État membre de l’Union européenne. Nous-mêmes et nos Sous-traitants ultérieurs traitons les Données à caractère personnel du Client dans l’UE, sauf dans les cas suivants (détails à l’annexe 3) :

(a) pour les Utilisateurs autorisés ayant répondu « Hors d’Europe », certains modèles Gemini s’exécutent sur le point de terminaison global de Google (article 4.3) ;

(b) les Sous-traitants ultérieurs établis en dehors de l’UE, ou dont la société mère l’est, peuvent accéder aux Données à caractère personnel du Client depuis l’extérieur de l’UE à des fins d’assistance et d’exploitation en vertu de leurs conditions de traitement des données ; cela s’applique à notre partenaire contractuel pour l’hébergement, Supabase Pte. Ltd. à Singapour, et à son groupe, ainsi qu’aux sociétés mères américaines de nos autres Sous-traitants ultérieurs ;

(c) seules les fonctions serveur pour les requêtes d’IA sont cantonnées à des régions de l’UE. Les autres fonctions serveur (par exemple la connexion de boîte aux lettres, la configuration et le relais des notifications push, le désabonnement en un clic, les envois à l’assistance et l’export de données) s’exécutent dans la région périphérique (edge) de Supabase la plus proche de l’appelant. Pour les Utilisateurs autorisés hors d’Europe, et pour les notifications envoyées par Google ou Microsoft, elles peuvent donc s’exécuter en dehors de l’UE. La base de données et le stockage de fichiers restent à Francfort ; et

(d) les notifications de modification Gmail transitent par Google Cloud Pub/Sub, qui n’a pas de région de traitement fixe.

12.2 Transferts ultérieurs effectués par nous. Nous n’effectuons un Transfert restreint que sur vos instructions documentées (le présent DPA, l’annexe 3 et le Paramètre de région) et uniquement si les conditions du chapitre V du RGPD, et des règles équivalentes du RGPD britannique et de la LPD, sont remplies. Pour nos Sous-traitants ultérieurs, nous nous appuyons sur :

(a) une décision d’adéquation, y compris le cadre de protection des données UE-États-Unis, son extension britannique et le cadre de protection des données Suisse-États-Unis pour les destinataires certifiés ; ou

(b) les CCT (Module 3) ou des clauses équivalentes figurant dans les conditions de traitement des données du Sous-traitant ultérieur, accompagnées de toute mesure supplémentaire que notre analyse d’impact du transfert montre être nécessaire. Pour Supabase, il s’agit des CCT figurant dans l’addendum de traitement des données de Supabase, avec Supabase Pte. Ltd. (Singapour) comme importateur de données ; les transferts ultérieurs vers les propres sous-traitants ultérieurs de Supabase sont régis par cet addendum.

12.3 Transferts entre vous et nous. L’application des CCT entre vous et nous dépend de l’endroit où vous vous trouvez :

(a) Vous êtes établi dans l’EEE : l’envoi de données vers nous dans l’UE, et leur renvoi par nous vers vous, ne constituent pas des Transferts restreints. Les CCT ne s’appliquent pas entre nous.

(b) Vous êtes établi au Royaume-Uni, en Suisse ou dans un autre pays bénéficiant d’une décision d’adéquation de la Commission européenne : le droit britannique et le droit suisse reconnaissent que l’EEE offre une protection adéquate, et l’UE reconnaît que le Royaume-Uni, la Suisse et les autres pays concernés offrent une protection adéquate. Les CCT ne s’appliquent pas entre nous, sauf si l’article 12.3(d) s’applique.

(c) Vous êtes établi dans tout autre pays : votre envoi de données vers nous ne constitue pas un Transfert restreint au titre du RGPD, mais notre renvoi de Données à caractère personnel du Client vers vous (par exemple un Résultat de l’IA ou un export) en constitue un. Dans ce cas, le Module 4 (de sous-traitant à responsable du traitement) des CCT s’applique, avec nous comme exportateur de données et vous comme importateur de données, y compris lorsque vous agissez en tant que sous-traitant pour un autre responsable du traitement (article 2.3). Lorsque votre traitement des données est lui-même soumis au RGPD (article 3, paragraphe 2, du RGPD), les CCT s’appliquent dans la mesure où elles peuvent être utilisées pour un tel transfert, et vous demeurez directement lié par le RGPD.

(d) Nous traitons les données en dehors de l’EEE : si nous sommes, ou devenons, établis dans un pays tiers ne bénéficiant pas d’une décision d’adéquation, ou si nous y traitons nous-mêmes des Données à caractère personnel du Client, le Module 2 (lorsque vous êtes un responsable du traitement) ou le Module 3 (lorsque vous êtes un sous-traitant) des CCT s’applique, avec vous comme exportateur de données et nous comme importateur de données.

12.4 CCT : incorporation et options. Lorsque les CCT s’appliquent en vertu de l’article 12.3, elles sont incorporées par référence dans le présent DPA, dans le module qui convient au cas, et les parties y souscrivent en concluant le présent DPA. L’acceptation des Conditions vaut signature des CCT et de leurs annexes. Les options et précisions suivantes s’appliquent :

(a) Clause 7 (clause d’adhésion) : s’applique.

(b) Clause 9(a) (Modules 2 et 3) : Option 2, autorisation écrite générale ; le délai est fixé à 14 jours, et la notification est effectuée conformément à l’article 7.3.

(c) Clause 11(a) : la formulation facultative ne s’applique pas.

(d) Clause 13(a) (Modules 2 et 3) : l’autorité de contrôle compétente est déterminée comme indiqué à l’annexe 1, partie J.

(e) Clause 17 : pour les Modules 2 et 3, l’Option 1 s’applique, et les CCT sont régies par le droit de l’Allemagne. Pour le Module 4, les CCT sont régies par le droit de l’Allemagne.

(f) Clause 18 : les litiges sont tranchés par les juridictions allemandes, celles du lieu de notre siège statutaire (Berlin, Allemagne) étant compétentes. La clause 18(c) des Modules 2 et 3 n’est pas affectée.

(g) L’annexe I.A (liste des parties) correspond à l’annexe 1, partie A ; l’annexe I.B (description du transfert) correspond à l’annexe 1 ; l’annexe I.C (autorité de contrôle compétente) correspond à l’annexe 1, partie J ; l’annexe II (mesures techniques et organisationnelles) correspond à l’annexe 2 ; l’annexe III (liste des sous-traitants ultérieurs) correspond à l’annexe 3.

(h) L’attestation de suppression au titre de la clause 8.5 est fournie sur demande conformément à l’article 10.6 ; les audits au titre de la clause 8.9 suivent l’article 11.

12.5 Transferts britanniques. Lorsqu’un transfert de Données à caractère personnel du Client entre vous et nous est un Transfert restreint au titre du RGPD britannique, l’Addendum britannique est incorporé dans le présent DPA et s’applique aux CCT incorporées en vertu de l’article 12.4. Ses Tableaux sont complétés comme suit :

(a) Tableau 1 (Parties) : les parties, leurs coordonnées et leurs contacts tels qu’indiqués à l’annexe 1, partie A ; la date de début est la date à laquelle le présent DPA est devenu contraignant entre nous.

(b) Tableau 2 (CCT sélectionnées, modules et clauses sélectionnées) : la version des Approved EU SCCs incorporée en vertu de l’article 12.4, y compris les informations de l’appendice (Appendix Information), avec les modules et options qui y sont sélectionnés.

(c) Tableau 3 (informations de l’appendice) : la liste des parties est l’annexe 1, partie A ; la description du transfert est l’annexe 1 ; les mesures techniques et organisationnelles sont l’annexe 2 ; la liste des sous-traitants ultérieurs est l’annexe 3.

(d) Tableau 4 (fin du présent addendum en cas de modification de l’Approved Addendum) : l’importateur peut mettre fin à l’Addendum britannique.

La partie 2 de l’Addendum britannique, les Mandatory Clauses de l’Approved Addendum (modèle d’addendum B1.0 émis par l’Information Commissioner et soumis au Parlement en vertu de la section 119A du Data Protection Act 2018, tel que révisé en vertu de la section 18 de ces Mandatory Clauses), s’applique.

12.6 Transferts suisses. Lorsqu’un transfert est soumis à la LPD :

(a) les références au RGPD dans les CCT sont lues comme des références à la LPD, dans la mesure où le transfert est soumis à la LPD ;

(b) le Préposé fédéral à la protection des données et à la transparence (PFPDT) est l’autorité de contrôle compétente au titre de la clause 13 pour les transferts soumis à la LPD ; lorsqu’un transfert est soumis à la fois à la LPD et au RGPD, l’autorité visée à l’annexe 1, partie J demeure compétente pour la partie régie par le RGPD ;

(c) le droit applicable au titre de la clause 17 demeure le droit choisi à l’article 12.4(e) ; et

(d) le terme « État membre » figurant à la clause 18(c) ne doit pas être interprété de manière à exclure que les personnes concernées en Suisse puissent agir en justice pour faire valoir leurs droits dans leur lieu de résidence habituelle, la Suisse.

12.7 Modifications des mécanismes de transfert. Si un mécanisme de transfert sur lequel nous nous appuyons en vertu du présent article 12 est invalidé, modifié ou remplacé, nous coopérons avec vous pour mettre en place un autre mécanisme licite. Nous pouvons, par notification qui vous est adressée, mettre à jour le présent article 12 pour tenir compte d’une nouvelle version des CCT ou de l’Addendum britannique ; la mise à jour prend effet lorsque la loi l’exige.

13. Demandes des autorités publiques

13.1 Nous ne communiquons des Données à caractère personnel du Client à une autorité publique que lorsqu’une décision contraignante nous y oblige légalement. Nous ne les communiquons pas volontairement, et nous n’avons mis en place aucun moyen permettant aux autorités d’y accéder directement.

13.2 Si nous recevons une telle décision, nous :

(a) tentons de rediriger l’autorité pour qu’elle demande les données directement auprès de vous ;

(b) vous en informons sans tarder, sauf si la loi l’interdit ; si elle l’interdit, nous déployons des efforts raisonnables pour obtenir une levée de l’interdiction afin de pouvoir vous informer dès que possible ;

(c) examinons la légalité de la décision et la contestons si, après une évaluation attentive, nous concluons qu’il existe des motifs raisonnables de la considérer comme illicite au regard du droit du pays concerné, des obligations applicables en vertu du droit international ou des principes de courtoisie internationale, y compris en sollicitant des mesures provisoires lorsque cela est approprié, et ne communiquons pas les données avant que les règles de procédure applicables ne nous y obligent ;

(d) ne communiquons que le minimum de données exigé par la décision, sur la base d’une interprétation raisonnable de celle-ci ; et

(e) documentons la décision, notre évaluation et notre réponse, et mettons cette documentation à votre disposition sur demande lorsque la loi le permet.

13.3 Nous ne pouvons communiquer que ce que nous détenons (annexe 1, partie H). Nous ne détenons pas vos Données de messagerie ni la copie locale dans le Logiciel, et nous ne stockons pas le contenu des requêtes d’IA ni des Résultats de l’IA.

13.4 Lors de la publication du présent DPA, nous n’avons reçu aucune décision ni demande d’une autorité publique portant sur des Données à caractère personnel du Client, et nous n’avons aucune raison de croire que les lois qui nous sont applicables nous empêchent de remplir nos obligations au titre du présent DPA.

13.5 Données non personnelles (article 32 du Data Act). Les articles 13.1 à 13.3 s’appliquent de la même manière aux données non personnelles du Contenu du Client que nous détenons dans les Services cloud dans l’UE. Nous ne donnons à une juridiction ou à une autorité d’un pays extérieur à l’UE accès à de telles données, ou ne les transférons à l’une d’elles, que dans les conditions de l’article 32, paragraphes 2 et 3, du Data Act, et ne fournissons alors que la quantité minimale de données admissible, sur la base d’une interprétation raisonnable de la demande. Nous vous informons d’une telle demande avant d’y donner suite, sauf si la demande sert des fins répressives et pour la durée nécessaire à la préservation de l’efficacité de l’action répressive.

13.6 Informations au titre de l’article 28, paragraphe 1, du Data Act. La section 4 de notre page des Sous-traitants ultérieurs (qui fait partie de l’annexe 3) indique la juridiction à laquelle est soumise l’infrastructure TIC des Services cloud et les mesures que nous prenons contre l’accès gouvernemental international illicite ; le présent article 13 et l’annexe 2 décrivent ces mesures en détail.

14. Vos obligations

14.1 Licéité. Vous êtes responsable de la licéité du traitement des Données à caractère personnel du Client. Cela comprend le fait de disposer d’une base juridique pour utiliser les Fonctionnalités d’IA avec les e-mails de vos correspondants et d’autres tiers, et d’informer les personnes concernées lorsque les Lois sur la protection des données l’exigent.

14.2 Catégories particulières de données et données relatives aux infractions pénales. Le Service n’est pas conçu pour traiter des catégories particulières de données à caractère personnel (article 9 du RGPD) ni des données à caractère personnel relatives aux condamnations pénales et aux infractions (article 10 du RGPD), et nous ne traitons pas de telles données intentionnellement. Elles peuvent toutefois apparaître dans des e-mails que les Fonctionnalités d’IA traitent. Vous décidez si vos Utilisateurs autorisés peuvent utiliser les Fonctionnalités d’IA avec un tel contenu, et vous veillez à ce qu’une base juridique existe à cet effet (voir la Politique d’utilisation acceptable).

14.3 Vos utilisateurs et votre configuration. Vous veillez à ce que :

(a) vos Utilisateurs autorisés utilisent le Service conformément à vos instructions et au présent DPA, y compris le Paramètre de région (article 4.3) et la décision d’activer les Fonctionnalités d’IA ;

(b) les consentements ou la participation des représentants du personnel que votre utilisation du Service exige aient été obtenus ;

(c) tout consentement d’administrateur que votre fournisseur de messagerie exige ait été donné ; et

(d) vous respectiez toutes les obligations de secret professionnel qui vous sont applicables.

14.4 Irrégularités. Vous nous informez dans les meilleurs délais si vous constatez des erreurs ou des irrégularités dans le traitement des Données à caractère personnel du Client.

15. Responsabilité

15.1 Notre responsabilité découlant du présent DPA ou s’y rapportant, y compris des CCT dans la mesure où elles le permettent, est soumise aux exclusions et limitations de responsabilité des Conditions (Partie II, article A.1 ou, lorsqu’ils s’appliquent, articles 16 et 17 de la Partie I), dans la mesure permise par l’article 82 du RGPD et par les autres dispositions légales applicables. Votre responsabilité est régie par la loi.

15.2 L’article 15.1 ne limite pas :

(a) la responsabilité de l’une ou l’autre partie à l’égard des personnes concernées, y compris au titre de l’article 82 du RGPD, des dispositions équivalentes d’autres Lois sur la protection des données et des droits de tiers bénéficiaires prévus par les CCT ; ni

(b) toute responsabilité qui ne peut être limitée ou exclue en vertu du droit applicable.

15.3 Entre les parties, et dans les limites de l’article 15.1, chaque partie supporte la part de toute réparation versée à une personne concernée qui correspond à sa part de responsabilité dans le dommage (article 82, paragraphe 5, du RGPD).

16. Lois des États américains sur la vie privée

16.1 Lorsque le California Consumer Privacy Act (tel que modifié par le California Privacy Rights Act) ou une loi comparable d’un État américain sur la vie privée s’applique aux Données à caractère personnel du Client, nous agissons en qualité de « prestataire de services » (« service provider ») ou de « sous-traitant » (« processor ») pour votre compte. Nous :

(a) ne vendons ni ne partageons les Données à caractère personnel du Client, au sens où ces termes sont définis dans ces lois ;

(b) ne conservons, n’utilisons ni ne divulguons les Données à caractère personnel du Client à quelque fin que ce soit, y compris toute finalité commerciale, autre que les finalités opérationnelles (« business purposes ») précisées dans les Conditions et le présent DPA, ou en dehors de la relation commerciale directe entre vous et nous ;

(c) ne combinons pas les Données à caractère personnel du Client avec des informations personnelles que nous recevons de la part d’autres personnes ou pour leur compte, ou que nous collectons à partir de nos propres interactions avec des consommateurs, sauf dans la mesure où ces lois le permettent ;

(d) respectons les obligations de ces lois qui nous sont applicables et offrons le même niveau de protection de la vie privée que celui qu’elles exigent ; et

(e) vous informons si nous déterminons que nous ne pouvons plus remplir nos obligations au titre de ces lois.

16.2 Vous pouvez prendre des mesures raisonnables et appropriées en vertu des articles 9 et 11 pour vous assurer que nous utilisons les Données à caractère personnel du Client conformément à ces lois, et pour faire cesser et réparer toute utilisation non autorisée. Nous certifions que nous comprenons les restrictions du présent article 16 et que nous nous y conformerons.

17. Durée et dispositions générales

17.1 Durée. Le présent DPA s’applique aussi longtemps que les Conditions sont en vigueur pour l’un de vos Comptes et, ensuite, aussi longtemps que nous traitons des Données à caractère personnel du Client pour votre compte. Il ne peut pas être résilié séparément des Conditions. Les articles 5, 10, 13 et 15 demeurent applicables après son terme.

17.2 Modifications. Nous pouvons modifier le présent DPA conformément aux règles de modification des Conditions (articles 19.3 et 19.6 des Conditions), en particulier pour tenir compte de changements des Lois sur la protection des données, de décisions d’autorités ou de juridictions, de nouvelles versions des CCT ou de l’Addendum britannique, ou de modifications du Service. Une nouvelle version du présent DPA reçoit un nouveau numéro de version, et le Logiciel demande à vos Utilisateurs autorisés de l’accepter (article 1.1 et article 1.8(b) des Conditions). Une modification qui réduit la protection des Données à caractère personnel du Client ne prend effet à votre égard que si vous y consentez. Les modifications exigées par la loi prennent effet lorsque la loi l’exige. Les changements de Sous-traitants ultérieurs relèvent de l’article 7.

17.3 Divisibilité. Si une stipulation du présent DPA est ou devient invalide ou inapplicable, les autres stipulations restent en vigueur ; l’article 23.3 des Conditions s’applique.

17.4 Droit applicable et juridiction compétente. Le présent DPA est régi par le droit de la République fédérale d’Allemagne, y compris lorsque les Conditions sont régies par un autre droit, parce que l’article 28, paragraphe 3, du RGPD exige un contrat soumis au droit de l’Union ou d’un État membre. Les dispositions des Conditions relatives à la juridiction compétente et au règlement des litiges s’appliquent, sauf lorsque les CCT ou les Lois sur la protection des données exigent le contraire.

17.5 Langue. La version anglaise du présent DPA est la version originale. Les traductions sont fournies pour des raisons de commodité. Lorsque le droit impératif de votre pays exige que la version rédigée dans votre langue prévale, c’est elle qui prévaut.

17.6 Notifications. Nous envoyons les notifications au titre du présent DPA par e-mail aux adresses e-mail de Compte de vos Utilisateurs autorisés et, si vous nous en avez communiqué un, à votre contact en matière de protection des données. Veuillez nous adresser vos notifications à legal@mailistix.com. Vous pouvez à tout moment nous communiquer ou modifier votre contact en matière de protection des données à cette adresse.

Signature (uniquement pour les exemplaires signés sur demande conformément à l’article 1.1)

Annexe 1 — Description du traitement

La présente annexe décrit le traitement au titre de l’article 28, paragraphe 3, du RGPD et sert d’annexe I aux CCT lorsqu’elles s’appliquent.

Partie A — Parties

Partie B — Catégories de personnes concernées

• Utilisateurs autorisés : vos salariés, prestataires et autres personnes qui utilisent le Service avec des Comptes pour vos besoins professionnels, y compris les titulaires de Boîtes aux lettres connectées.
• Correspondants : expéditeurs et destinataires (À, Cc) des e-mails traités, et autres participants aux conversations par e-mail concernées.
• Personnes nommées ou autrement identifiables dans le texte des e-mails, les objets, les signatures, les noms de pièces jointes, les passages de texte des pièces jointes et les liens.
• Organisateurs et participants de réunions pour lesquelles un briefing est demandé, et personnes nommées dans l’invitation.
• Contacts dont les noms et adresses e-mail sont envoyés avec une question Ask AI en tant que correspondants les plus fréquents de l’Utilisateur autorisé, ou dont les préférences de langue et de formalité sont envoyées avec une demande de brouillon.

Partie C — Catégories de données à caractère personnel

Les requêtes de brouillon et de réécriture contiennent également le nom, l’adresse e-mail et le fuseau horaire de l’Utilisateur autorisé qui les lance ; les requêtes Ask AI et de briefing de réunion contiennent la date du jour et le fuseau horaire de l’Utilisateur autorisé.

Les modèles utilisés chez les fournisseurs énumérés à l’annexe 3 peuvent changer, y compris pour des comparaisons de qualité. De tels changements respectent toujours la liste des Sous-traitants ultérieurs et les régions de traitement indiquées à l’annexe 3, ainsi que le Paramètre de région de l’Utilisateur autorisé.

Partie D — Catégories particulières de données à caractère personnel et données relatives aux infractions pénales

Le Service ne traite pas intentionnellement de catégories particulières de données à caractère personnel ni de données relatives aux condamnations pénales et aux infractions. De telles données peuvent apparaître de manière incidente dans le contenu d’e-mails, de pièces jointes ou de réunions qu’un Utilisateur autorisé envoie à une Fonctionnalité d’IA (article 14.2). Les garanties suivantes s’appliquent à toutes les Données à caractère personnel du Client, y compris ces données : traitement uniquement lorsqu’un Utilisateur autorisé lance une fonctionnalité ; aucun stockage du contenu des requêtes d’IA ni des Résultats de l’IA ; aucune utilisation à des fins d’entraînement ; aucune revue humaine sauf en application de l’article 5.2 ; chiffrement en transit ; traitement dans l’UE pour les Utilisateurs autorisés dont le Paramètre de région est « En Europe » ou qui n’ont pas répondu ; et les mesures de l’annexe 2.

Partie E — Nature du traitement

Réception de la requête provenant du Logiciel ; assemblage du prompt sur le serveur à partir des données dont la fonctionnalité a besoin ; transmission à un modèle d’IA d’un Sous-traitant ultérieur et renvoi du Résultat au Logiciel (en flux continu lorsque la fonctionnalité le permet) ; relais des échanges OAuth et des demandes de désabonnement en un clic ; réception, stockage de courte durée et transmission des notifications push ; stockage des envois à l’assistance ; suppression de tout cela selon un calendrier.

Partie F — Finalités

Fournir le Service pour vous, à savoir : générer les Résultats de l’IA qu’un Utilisateur autorisé demande ; connecter les Boîtes aux lettres connectées ; informer le Logiciel en temps réel des e-mails nouveaux ou modifiés ; se désabonner de newsletters sans révéler à l’expéditeur l’adresse IP de l’Utilisateur autorisé ; et traiter les demandes d’assistance.

Partie G — Durée et fréquence

Le traitement dure pendant la durée du présent DPA (article 17.1) augmentée des délais de suppression de la partie H. Il a lieu en continu, chaque fois qu’un Utilisateur autorisé lance une fonctionnalité ou qu’une Boîte aux lettres connectée change.

Partie H — Conservation

À titre d’information : les métadonnées d’utilisation des requêtes d’IA (sans contenu) sont conservées 180 jours, et les enregistrements d’événements de sécurité 180 jours. Nous les traitons en tant que responsable du traitement indépendant (article 2.4).

Partie I — Lieux de traitement

• Base de données et stockage de fichiers des Services cloud : Francfort, Allemagne (Amazon Web Services, exploité par Supabase). Supabase Pte. Ltd. (Singapour) et son groupe peuvent y accéder à des fins d’assistance et d’exploitation (article 12.1(b)).
• Fonctions serveur pour les requêtes d’IA : régions périphériques (edge) de Supabase situées dans l’UE uniquement ; Francfort par défaut, et la configuration n’admet que Francfort, l’Irlande et Paris.
• Modèles d’IA : Microsoft Azure OpenAI dans l’EU Data Zone ; Google Vertex AI dans la multi-région UE ; pour les Utilisateurs autorisés ayant répondu « Hors d’Europe », certains modèles Gemini sur le point de terminaison global de Google.
• Notifications Gmail : Google Cloud Pub/Sub (infrastructure mondiale de Google, sans région fixe).
• E-mails d’assistance et messages du formulaire de contact : Microsoft 365, EU Data Boundary ; les messages du formulaire de contact transitent par le réseau de Cloudflare.
• Autres fonctions serveur : la région périphérique (edge) de Supabase la plus proche de l’appelant, qui peut se situer en dehors de l’UE (article 12.1(c)).

Partie J — Autorité de contrôle compétente

• Pour les Modules 2 et 3 (clause 13) : (i) si vous êtes établi dans un État membre de l’UE, l’autorité de contrôle compétente pour vous dans cet État ; (ii) si vous n’êtes pas établi dans l’UE mais êtes soumis au RGPD en vertu de l’article 3, paragraphe 2, et avez désigné un représentant en vertu de l’article 27, paragraphe 1, l’autorité de contrôle de l’État membre dans lequel votre représentant est établi ; (iii) si vous n’êtes pas établi dans l’UE, êtes soumis au RGPD en vertu de l’article 3, paragraphe 2, et n’avez pas à désigner de représentant (article 27, paragraphe 2), la commissaire de Berlin à la protection des données et à la liberté d’information (Berliner Beauftragte für Datenschutz und Informationsfreiheit), Alt-Moabit 59–61, 10555 Berlin, Allemagne, en tant qu’autorité d’un État membre dans lequel se trouvent les personnes concernées.
• Pour les transferts soumis au RGPD britannique : l’Information Commissioner’s Office. Pour les transferts soumis à la LPD : le PFPDT (article 12.6).
• Notre propre autorité de contrôle : la commissaire de Berlin à la protection des données et à la liberté d’information (Berliner Beauftragte für Datenschutz und Informationsfreiheit), Alt-Moabit 59–61, 10555 Berlin, Allemagne.

Annexe 2 — Mesures techniques et organisationnelles

La présente annexe décrit les mesures au titre de l’article 32 du RGPD, structurées selon les intitulés de l’article 32 du RGPD et de la norme ISO/IEC 27001. La partie A couvre les Services cloud, qui relèvent de notre responsabilité. La partie B décrit les fonctions de sécurité du Logiciel, qui s’exécute sous votre contrôle (article 3). La présente annexe ne décrit que des mesures qui sont en place.

Partie A — Services cloud

A.1 Gouvernance et personnel

• Responsabilité de la sécurité de l’information et de la protection des données : Marvin Muvunyi (gérant). Contact en matière de protection des données : legal@mailistix.com.
• Politiques internes de conservation et de suppression ainsi que de réponse aux incidents et de notification des violations, réexaminées au moins une fois par an.
• Les personnes ayant accès aux Données à caractère personnel du Client sont tenues à la confidentialité (article 5) et sont sensibilisées à la protection des données et à la sécurité. L’accès prend fin lorsqu’il n’est plus nécessaire.
• Il n’existe aucune interface d’administration de l’application. L’administration n’a lieu que dans les consoles de nos fournisseurs (Supabase, Google Cloud, Microsoft Azure et Entra, Polar, GitHub, Cloudflare). L’accès à celles-ci est limité à notre gérant.

A.2 Contrôle d’accès physique

• Nous n’exploitons aucun centre de données ni serveur qui nous soit propre. Les Services cloud s’exécutent dans des centres de données de Supabase (sur Amazon Web Services), de Google et de Microsoft, dont la sécurité physique est certifiée selon des normes reconnues telles que ISO/IEC 27001 et SOC 2.
• Les appareils utilisés pour l’administration disposent d’un chiffrement intégral du disque, d’un verrouillage automatique de l’écran et d’un système d’exploitation pris en charge.

A.3 Contrôle d’accès aux systèmes (authentification)

Pour les Utilisateurs autorisés (Supabase Auth) :

• Aucun mot de passe : inscription et connexion uniquement au moyen d’un code à usage unique à 6 chiffres envoyé à l’adresse e-mail du Compte, valable 15 minutes et utilisable une seule fois, généré à partir d’une source aléatoire cryptographiquement sûre ; il confirme également l’adresse e-mail.
• Limites de débit par adresse IP pour la connexion, l’inscription et la vérification du code, et limitation du nombre d’e-mails de compte.
• Sessions : jetons d’accès valables 1 heure ; les jetons d’actualisation font l’objet d’une rotation ; une session prend fin après 90 jours sans utilisation. La déconnexion révoque tous les jetons d’actualisation de l’utilisateur.
• La suppression d’un Compte exige un code à usage unique envoyé à l’adresse e-mail du Compte et saisi dans les 10 dernières minutes, ainsi qu’une confirmation saisie. Un changement d’adresse e-mail doit être confirmé depuis les deux adresses.
• Aucun compte par défaut et aucune clé d’administrateur statique sur aucune interface exposée.
• L’accès à la boîte aux lettres utilise le flux de code d’autorisation OAuth 2.0 avec PKCE (S256) dans le navigateur du système. La valeur d’état est aléatoire, à usage unique et valable 10 minutes. Les secrets client n’existent que sur le serveur.

Pour les administrateurs :

• L’administration n’a lieu que dans les consoles des fournisseurs mentionnées au point A.1, au moyen de comptes personnels de notre gérant ; il n’existe aucun compte administrateur partagé.
• Les fonctions privilégiées de la base de données, telles que la suppression d’un Compte sur demande ou la prolongation d’un essai, ne peuvent être exécutées que par le rôle de propriétaire de la base de données dans la console du fournisseur, et non par l’API des Services cloud.

A.4 Contrôle d’accès aux données (autorisation)

• La sécurité au niveau des lignes (row-level security) est activée sur toutes les tables du schéma public de la base de données ; les politiques comparent l’utilisateur de chaque enregistrement à l’utilisateur authentifié. La seule table partagée est une table en lecture seule des limites des Formules.
• Le rôle anonyme ne dispose d’aucun privilège sur les tables. Le rôle authentifié ne dispose que des privilèges couverts par une politique. Les privilèges de la base de données sont comparés à un instantané examiné après chaque migration de la base de données.
• Toutes les fonctions privilégiées de la base de données (SECURITY DEFINER) utilisent un chemin de recherche vide ; celles que les utilisateurs peuvent appeler déduisent l’utilisateur du jeton vérifié.
• Les fonctions serveur vérifient le jeton d’accès et résolvent l’utilisateur via Supabase Auth. Elles ne prennent jamais un identifiant d’utilisateur dans la requête, limitent chaque requête à cet utilisateur et échouent en mode fermé (fail closed).
• Les webhooks déterminent le propriétaire de la boîte aux lettres à partir de registres côté serveur écrits sous l’utilisateur authentifié, jamais à partir du contenu de la notification.
• Les envois à l’assistance sont stockés dans un espace de stockage (bucket) privé et ne sont jamais transmis en retour.
• Les secrets côté serveur sont conservés dans les secrets des Edge Functions de Supabase et dans Vault, et non dans le code source. L’analyse des secrets couvre le code source et tout son historique. Le paquet du Logiciel ne contient qu’une configuration publique figurant sur une liste d’autorisation.

A.5 Contrôle de la séparation

• Les enregistrements de chaque utilisateur sont séparés logiquement par la sécurité au niveau des lignes et par des requêtes limitées à l’utilisateur.
• Chaque requête d’IA est traitée séparément ; rien de celle-ci n’est conservé sur le serveur entre les requêtes.

A.6 Pseudonymisation et minimisation des données

• Le contenu des requêtes d’IA et des Résultats de l’IA n’est pas stocké ; l’utilisation est consignée sous forme de métadonnées sans contenu.
• Les prompts sont assemblés sur le serveur à partir des seules données dont la fonctionnalité a besoin, dans des limites de taille fixes (annexe 1, partie C).
• Les journaux des fonctions serveur ne contiennent que des codes et des compteurs, à l’exclusion de tout jeton, adresse ou contenu ; notre hébergeur les conserve jusqu’à 90 jours.
• Les notifications push ne transportent aucun contenu d’e-mail. Les liens de désabonnement ne sont ni consignés ni stockés.
• Les secrets de webhook par abonnement ne sont stockés que sous forme d’empreintes SHA-256.
• Les enregistrements d’événements de sécurité perdent l’identifiant d’utilisateur lors de la suppression du Compte.
• La télémétrie facultative utilise un identifiant aléatoire pseudonymisé et ne contient jamais de contenu d’e-mail ni de textes d’IA.

A.7 Chiffrement

• En transit : TLS 1.2 ou 1.3 sur toutes les connexions entre le Logiciel, les Services cloud, nos Sous-traitants ultérieurs et les fournisseurs de messagerie. Aucune vérification de certificat n’est désactivée nulle part, et les versions de production du Logiciel refusent les commutateurs qui affaiblissent TLS. Les points de terminaison de l’API utilisent HSTS.
• Au repos : la base de données et le stockage de fichiers sont chiffrés par Supabase (AES-256) ; les secrets côté serveur sont chiffrés au repos par la plateforme.

A.8 Contrôle de la transmission

• Les requêtes d’IA ne s’exécutent que dans des régions périphériques (edge) de Supabase situées dans l’UE ; les fonctions serveur refusent de traiter des requêtes d’IA dans toute autre région.
• Les fournisseurs d’IA ne sont appelés qu’à des points de terminaison fixes. Microsoft Azure OpenAI est appelé avec le stockage des réponses désactivé.
• Les webhooks sont authentifiés : Polar par HMAC-SHA256 sur le corps brut avec comparaison en temps constant et horodatages datant de moins de 5 minutes ; Google Pub/Sub par un jeton OIDC signé par Google, vérifié quant à l’émetteur, à l’audience, au compte de service épinglé et à une durée de vie d’au plus 1 heure ; Microsoft Graph par un secret aléatoire de 256 bits par abonnement. La taille des corps de requête est limitée.
• Les requêtes inter-origines sont restreintes par une liste d’autorisation, sans identifiants.
• Les demandes de désabonnement en un clic ne sont envoyées qu’à des adresses HTTPS qui se résolvent en adresses IP publiques, sans cookies, identifiants ni référent, et les redirections ne sont pas suivies.
• Les Données à caractère personnel du Client ne sont transmises qu’aux Sous-traitants ultérieurs énumérés à l’annexe 3.

A.9 Contrôle de la saisie (journalisation)

• Une piste d’événements de sécurité consigne des événements tels qu’une boîte aux lettres connectée ou un échec de connexion, un essai prolongé par un administrateur, ou une réponse d’IA retenue par le garde-fou anti-fuite (leak guard), avec la date et l’heure, le résultat et le code (180 jours).
• Les enregistrements d’utilisation de l’IA contiennent la fonctionnalité, le modèle, l’état, les jetons, les Crédits et l’heure, sans contenu (180 jours).
• Les journaux du Logiciel et des fonctions serveur passent par un masquage central des identifiants, jetons et contenus d’e-mails.
• Les actions d’administration dans Google Cloud sont journalisées par Google (journaux d’audit Admin Activity).

A.10 Disponibilité et résilience

• Les Services cloud s’exécutent sur une infrastructure gérée (Supabase sur Amazon Web Services, Francfort).
• Sauvegardes : une sauvegarde quotidienne de la base de données des Services cloud, conservée 7 jours (article 10.4) ; après une restauration, les suppressions effectuées depuis la sauvegarde sont appliquées à nouveau. Les Données à caractère personnel du Client dans les Services cloud sont de courte durée (annexe 1, partie H), et les Données de messagerie ne dépendent pas des Services cloud.
• Les requêtes d’IA utilisent des chaînes de repli entre Microsoft Azure OpenAI et Google Vertex AI, ainsi qu’un disjoncteur (circuit breaker) pour les fournisseurs défaillants, de sorte que la panne d’un fournisseur n’arrête pas les Fonctionnalités d’IA.
• Des limites de débit et un plafond journalier de dépenses d’IA par utilisateur protègent contre la surcharge et les abus.
• Les Données de messagerie restent disponibles chez le fournisseur de messagerie indépendamment des Services cloud.
• Les erreurs des fonctions serveur sont signalées à Sentry (région UE) sous forme de codes d’erreur, sans contenu ; une alarme concernant une réponse d’IA retenue comporte également une empreinte de l’identifiant d’utilisateur.

A.11 Gestion des incidents

• Une procédure documentée de détection, de confinement, d’évaluation, de notification, de rétablissement et de revue des incidents ; notification des Clients professionnels conformément à l’article 9.
• Un canal public de signalement des vulnérabilités au titre de la Politique de divulgation des vulnérabilités.

A.12 Tests, analyses et évaluations régulières

• Analyse statique du code du Logiciel et des fonctions serveur avant publication.
• Suites de tests automatisés, y compris des tests des limites de sécurité du Logiciel et des fonctions serveur ; exécutions CI programmées.
• Alertes automatisées sur les dépendances et mises à jour de sécurité ; contrôles de vulnérabilité des dépendances de production (npm audit, OSV) ; analyse des secrets.
• Contrôles de la configuration TLS de nos points de terminaison.
• Revue de la présente annexe au moins une fois par an et après des modifications substantielles.

A.13 Contrôle des instructions (Sous-traitants ultérieurs)

• Les Sous-traitants ultérieurs sont choisis pour leurs garanties de sécurité et de protection des données et liés par des contrats conformes à l’article 28, paragraphe 4, du RGPD.
• Configuration qui limite le traitement : régions de l’UE pour les requêtes d’IA et les modèles d’IA (pour le Paramètre de région « En Europe » ou en l’absence de réponse), Azure OpenAI dans l’EU Data Zone, stockage des réponses désactivé, aucun entraînement en vertu des conditions des fournisseurs.
• Le personnel n’agit que sur instructions ; les Données à caractère personnel du Client ne sont pas utilisées à nos propres fins (article 4.6).

A.14 Protection des données dès la conception et par défaut

• Les Fonctionnalités d’IA sont désactivées tant qu’un Utilisateur autorisé ne les active pas dans une boîte de dialogue de consentement, et peuvent être désactivées à tout moment.
• La région par défaut est l’UE : en l’absence de réponse, le traitement par l’IA reste dans l’UE.
• Télémétrie et rapports de plantage uniquement avec consentement (opt-in).
• Le Logiciel n’envoie jamais d’e-mail ni de réponse à une réunion de sa propre initiative ; les brouillons ne sont envoyés que par l’Utilisateur autorisé.
• Les images distantes dans les e-mails sont bloquées par défaut.
• Des tâches de suppression automatisées font respecter les durées de conservation de l’annexe 1, partie H.

A.15 Garanties propres à l’IA

• Le contenu des e-mails est transmis au modèle sous forme de données marquées et non fiables ; les instructions au modèle ne sont conservées que sur le serveur.
• Un garde-fou anti-fuite (leak guard) retient les réponses qui reproduisent des instructions internes et consigne l’événement sans le texte de la réponse.
• Les modèles ne peuvent effectuer aucune action : ils ne peuvent rien envoyer, supprimer ni modifier dans une boîte aux lettres, et chaque Résultat est affiché à l’Utilisateur autorisé.

Partie B — Fonctions de sécurité du Logiciel (sous votre contrôle)

• La base de données locale de messagerie est chiffrée avec ChaCha20-Poly1305 (SQLite3MultipleCiphers) sous une clé aléatoire de 256 bits, que le magasin d’identifiants du système d’exploitation protège (Trousseau macOS, Windows Data Protection API). Le fichier de clé n’est lisible que par son propriétaire. Les versions de production refusent d’ouvrir une base de données non chiffrée.
• Les jetons de boîte aux lettres et la session Mailistix sont chiffrés avec le magasin d’identifiants du système d’exploitation et ne sont pas conservés dans le stockage du navigateur.
• Les pièces jointes ouvertes sont mises en cache sous forme chiffrée (AES-256-GCM) pendant 7 jours au plus et dans la limite de 512 Mio ; les copies temporaires en clair sont supprimées au bout de 10 minutes. Le journal d’assistance local est chiffré et conservé 7 jours au plus.
• Les identifiants, jetons, adresses et contenus d’e-mails sont masqués dans les sorties de journal.
• Le HTML des e-mails est assaini et affiché dans un cadre en bac à sable (sandbox) sans scripts, sous une Content Security Policy. Les images distantes sont bloquées par défaut. Les aperçus de pièces jointes s’exécutent dans un bac à sable sans accès au réseau. L’accès aux fichiers est restreint aux propres dossiers du Logiciel.
• La connexion à la boîte aux lettres a lieu dans le navigateur du système, et non dans un navigateur intégré.
• La version macOS utilise le hardened runtime. Les mises à jour sont téléchargées par HTTPS et installées seulement après confirmation de l’utilisateur ; la signature du programme d’installation Windows est vérifiée.
• Le retrait d’une Boîte aux lettres connectée met fin à ses notifications push, supprime sa messagerie locale et révoque l’accès à une boîte aux lettres Google. La suppression du Compte efface les données locales de ce Compte sur l’appareil.
• Votre responsabilité : la sécurité des appareils et des comptes utilisateur du système d’exploitation, le chiffrement des appareils, le verrouillage de l’écran, les sauvegardes, et la suppression des données locales lors de la mise hors service d’un appareil.

Annexe 3 — Sous-traitants ultérieurs

Les Sous-traitants ultérieurs autorisés, avec les données qu’ils traitent, leurs lieux de traitement et les garanties de transfert, sont énumérés sur notre page des Sous-traitants ultérieurs. Cette page fait partie de la présente annexe ; les modifications suivent l’article 7. Le tableau ci-dessous récapitule les Sous-traitants ultérieurs qui traitent des Données à caractère personnel du Client. Les fournisseurs qui ne traitent que des données pour lesquelles nous agissons en tant que responsable du traitement indépendant (par exemple les statistiques d’utilisation facultatives du produit, les rapports d’erreurs de l’application et les e-mails de compte) figurent également sur cette page mais ne sont pas des Sous-traitants ultérieurs au titre du présent DPA.

Chaque Sous-traitant ultérieur recourt à ses propres sous-traitants ultérieurs (par exemple, Supabase recourt à Amazon Web Services), qu’il énumère dans sa propre documentation.