Sous-traitants ultérieurs de Mailistix

Version : 1.6 · En vigueur à partir du : 1er novembre 2026

La présente page énumère les tiers qui traitent des données à caractère personnel pour notre compte (les « sous-traitants ultérieurs ») afin de fournir le Service Mailistix. Elle constitue l’annexe 3 de notre Accord de traitement des données et complète notre Politique de confidentialité. La dernière colonne indique quels sous-traitants ultérieurs traitent des Données à caractère personnel du Client que nous traitons pour le compte de Clients professionnels en vertu de l’Accord de traitement des données ; les autres ne traitent que des données dont nous sommes le responsable du traitement. La section 4 contient les informations exigées par l’article 28, paragraphe 1, du règlement de l’UE sur les données (Data Act).

Ce qui n’atteint jamais un sous-traitant ultérieur : votre messagerie est synchronisée directement entre l’application Mailistix sur votre appareil et votre fournisseur de messagerie (par exemple Google ou Microsoft). Vos e-mails ne sont stockés que sur votre appareil, dans une base de données chiffrée. Le contenu des e-mails n’atteint nos serveurs et les fournisseurs d’IA ci-dessous que lorsque vous utilisez une Fonctionnalité d’IA, et uniquement pendant le temps nécessaire pour répondre à cette requête. En dehors de cela, nos serveurs ne reçoivent que des données techniques sur vos boîtes aux lettres (telles que l’adresse de la boîte aux lettres et les notifications de modification sans contenu), les codes de connexion et les jetons d’une boîte aux lettres lorsque vous la connectez (transmis, non stockés), le lien de désabonnement d’une newsletter dont vous vous désabonnez, et ce que vous choisissez de nous envoyer pour l’assistance.

1. Sous-traitants ultérieurs

Nos fournisseurs d’IA peuvent conserver les données des requêtes pendant une durée limitée à des fins opérationnelles et de surveillance des abus, en vertu de leurs conditions : Google Vertex AI jusqu’à 24 heures en mémoire (mise en cache) et jusqu’à 90 jours pour les prompts signalés comme un abus possible, Microsoft Azure OpenAI jusqu’à 30 jours ; des employés autorisés du fournisseur peuvent examiner les requêtes signalées. Voir l’Avis sur les fonctionnalités d’IA et l’annexe 1 de l’Accord de traitement des données. Chaque sous-traitant ultérieur recourt à ses propres sous-traitants ultérieurs (par exemple, Supabase recourt à Amazon Web Services), qu’il énumère dans sa propre documentation.

2. Responsables du traitement indépendants (et non sous-traitants ultérieurs)

Ces parties reçoivent des données à caractère personnel mais décident elles-mêmes de la manière de les traiter. Leurs propres politiques de confidentialité s’appliquent.

Polar est situé aux États-Unis et n’est pas certifié au titre du cadre de protection des données UE-États-Unis. Notre accord avec Polar comprend l’addendum de traitement des données de Polar avec les clauses contractuelles types de l’UE ; lorsque celles-ci ne couvrent pas un transfert, celui-ci est nécessaire à l’achat demandé (article 49, paragraphe 1, point b), du RGPD). Voir la section 9.5 de la Politique de confidentialité.

3. Modifications de la présente liste

Nous annoncerons les nouveaux sous-traitants ultérieurs sur la présente page au moins 14 jours avant qu’ils ne commencent à traiter des données à caractère personnel. Les Clients professionnels sont également informés par un avis adressé aux adresses e-mail de Compte de leurs utilisateurs ou dans le Logiciel, et par e-mail à leur contact en matière de protection des données s’ils nous en ont communiqué un (article 7.3 de l’Accord de traitement des données). Les Clients professionnels peuvent s’y opposer comme décrit à l’article 7 de l’Accord de traitement des données. En cas d’urgence (par exemple pour maintenir la sécurité ou la disponibilité du Service), nous pouvons recourir plus tôt à un remplaçant et vous en informerons dans les meilleurs délais ; lorsque les clauses contractuelles types de l’UE s’appliquent, leurs règles de notification prévalent.

4. Informations au titre du règlement de l’UE sur les données (Data Act)

L’article 28, paragraphe 1, du règlement de l’UE sur les données (règlement (UE) 2023/2854, ou Data Act) exige des fournisseurs de services de traitement de données qu’ils indiquent sur leur site web la juridiction à laquelle est soumise l’infrastructure TIC utilisée pour chacun de leurs services, ainsi que les mesures qu’ils prennent contre l’accès gouvernemental international aux données détenues dans l’UE qui serait contraire au droit de l’UE ou au droit d’un État membre. Vos droits de changement de fournisseur et de récupération des données au titre du Data Act sont énoncés à l’article 15.10 de nos Conditions d’utilisation.

4.1 Infrastructure et juridiction

4.2 Mesures contre l’accès illicite des autorités publiques

• Techniques : les données de votre messagerie restent sur vos appareils, dans une base de données chiffrée dont la clé est protégée par votre système d’exploitation ; nous n’en détenons aucune copie. Nous ne stockons pas le contenu des requêtes d’IA ni des Résultats de l’IA. Notre base de données et notre stockage de fichiers se trouvent à Francfort, et nos fonctions serveur pour les requêtes d’IA s’exécutent uniquement dans l’UE ; elles refusent les requêtes d’IA dans toute autre région. Toutes les connexions sont chiffrées (TLS 1.2 ou 1.3), et notre base de données et notre stockage de fichiers sont chiffrés au repos (nous ne conservons actuellement aucune sauvegarde de la base de données). Nous ne conservons que les données dont le Service a besoin et les supprimons selon des calendriers fixes (annexe 1, partie H de l’Accord de traitement des données).
• Organisationnelles : nous ne communiquons des données à une autorité publique que lorsqu’une décision contraignante l’exige en droit. Nous tentons alors de rediriger l’autorité vers le client, informons le client sauf si la loi l’interdit, examinons la décision et la contestons lorsqu’il existe des motifs raisonnables de la considérer comme illicite, ne communiquons que le minimum exigé par la décision et documentons notre réponse (article 13 de l’Accord de traitement des données). Nous n’avons mis en place aucun moyen permettant aux autorités d’accéder directement aux données.
• Contractuelles : nos fournisseurs sont liés par des conditions de traitement des données. Lorsque les clauses contractuelles types de l’UE s’appliquent, leur clause 15 oblige le fournisseur à nous notifier les demandes des autorités publiques, à en examiner la légalité et à les contester lorsqu’il existe des motifs de le faire. Microsoft et Google publient également leurs propres engagements visant à contester les demandes gouvernementales portant sur les données des clients.