Conformité au RGPD et protection des données de l’UE

Mailgun respecte votre vie privée. Vos droits sont au cœur de notre mission. En prévision de la mise en œuvre du RGPD (la loi européenne sur la protection de la vie privée depuis le 25 mai 2018), nous avons travaillé d’arrache-pied pour mettre en place de nombreuses fonctionnalités permettant aux clients de mieux contrôler les données stockées sur notre plateforme. Nous avons conçu et activé ces fonctionnalités pour tous nos clients, que le RGPD les affecte ou non.

Nous avons rédigé ce document pour vous présenter comment le RGPD s’appliquera à votre utilisation de Mailgun et ce que nous avons fait pour nous assurer que nous sommes conformes aux nouvelles règles.

Nous vous recommandons de lire attentivement ce document et de le présenter à votre équipe chargée de la protection de la vie privée.

Remarque : les lois européennes sur la protection des données, y compris le RGPD, sont complexes. Ce guide ne doit pas être considéré comme un avis juridique. Veuillez consulter un professionnel du droit pour en savoir plus sur l’impact du RGPD sur votre entreprise.

Le RGPD est un règlement visant à harmoniser les lois sur la confidentialité des données dans l’ensemble de l’Union européenne (UE). Cette nouvelle réglementation offre aux individus de l’UE une plus grande transparence et un meilleur contrôle sur l’utilisation de leurs données personnelles et rend les entreprises responsables de leur choix. Même les entreprises qui ne sont pas basées dans l’UE doivent se conformer au RGPD si elles collectent et traitent des données personnelles de personnes situées dans l’UE.

Si vos activités de traitement des données relèvent du RGPD, vous devez vous poser l’une des premières questions suivantes : « Suis-je un responsable du traitement des données ou un sous-traitant ? ». La réponse à cette question vous aidera à déterminer quelles sont vos obligations de conformité au titre du RGPD. Le responsable du traitement est l’organisme qui détermine les finalités et les moyens du traitement. En tant que client de Mailgun, vous agissez en tant que contrôleur lorsque vous utilisez nos produits et services. Vous avez la responsabilité de vous assurer que les données personnelles que vous collectez sont traitées légalement et que vous utilisez des processeurs, tels que Mailgun, qui fournissent suffisamment de garanties pour répondre aux exigences essentielles du RGPD.

Mailgun est considéré comme un processeur. Nous agissons sur les instructions du contrôleur (vous), qui se présentent sous forme d’API ou de requêtes SMTP. Tout comme les contrôleurs, les processeurs doivent se conformer au RGPD.

En tant que sous-traitant, nous comptons sur nos clients pour s'assurer que les données personnelles sont collectées sur la base de l’un des motifs légitimes du RGPD. En tant que responsable du traitement, vous pouvez collecter des données à caractère personnel sur l’une des bases juridiques suivantes : (i) consentement ; (ii) traitement nécessaire à l’exécution d’un contrat que vous avez avec la personne concernée ; (iii) traitement nécessaire au respect d’une obligation légale ; (iv) protection de l’intérêt vital de la personne concernée ou d’une autre personne ; (vi) vous (ou une autre tierce partie) avez un intérêt légitime à traiter des données à caractère personnel et ceci n’est pas remplacé par les intérêts, droits et libertés de la personne concernée.

Nous nous engageons à être transparents dans la façon dont nous traitons et traitons les données personnelles. En tant que l’un de nos clients, vous devez savoir comment nous traitons les données personnelles en votre nom.

Nous ne conservons les données qu’aussi longtemps qu’elles sont nécessaires pour fournir nos services. Dans la mesure du possible, nous utilisons des mécanismes qui nous permettent de supprimer automatiquement les données une fois qu’elles ne sont plus nécessaires pour offrir nos services.

Mailgun stocke le corps des messages pendant sept jours maximum pour les messages entrants et sortants. Pour les messages sortants, le stockage temporaire permet à nos systèmes d’essayer de renvoyer les messages qui n’ont pas pu être envoyés lors de la première tentative. Les clients qui s’appuient sur nos fonctionnalités d’analyse peuvent ainsi récupérer les messages reçus en tant que messages entrants.

Pour certains clients, la période de conservation des messages peut être ajustée de manière sélective sur la base d’instructions écrites entre le client et Mailgun. En outre, nous proposons des fonctionnalités qui empêchent la récupération programmée des messages ou permettent de les supprimer en toute sécurité après la livraison.

Enfin, notre équipe peut accéder aux corps de messages pour aider les clients à résoudre les problèmes de livraison ou en réponse à une potentielle violation du Règlement sur les utilisations autorisées. L’accès des équipes est régulièrement contrôlé. Toutes ces équipes en contact avec des données personnelles sont soumises à nos dispositions de confidentialité.

Les métadonnées d’un message, qui comprennent l’expéditeur, le ou les destinataires, l’objet d’email, l’adresse IP d’origine et d’autres données de routage, sont indexées et conservées pendant 30 jours.

Lorsque les messages sont traités par Mailgun, nous générons des événements discrets à partir de chaque service qui gère le traitement des messages. Ces données sont utiles pour résoudre les problèmes de traitement et de livraison qui surviennent périodiquement lors de l’envoi par Mailgun de messages aux utilisateurs. Ces données sont disponibles dans leur intégralité via nos logs et nos Events API.

Enfin, notre personnel peut utiliser ces données d’événement pour répondre aux questions que vous formulez à notre support client, ou en réponse à une potentielle violation de la PUA.

Les suppressions sont des adresses email stockées de manière permanente qui sont créées à la suite d’un rebond permanent, d’une plainte ou d’un désabonnement. Nous stockons les suppressions jusqu’à ce que vous les retiriez de vos listes ou que votre compte ait été supprimé.

Lorsque des suppressions sont retirées, elles sont définitivement supprimées du système. Les suppressions peuvent être stockées dans un système de sauvegarde à des fins de reprise après incident jusqu’à 30 jours après leur suppression.

Mailgun stocke les informations relatives à l’activité des adresses email des destinataires dans un format haché (pseudonymisation). Ces données nous permettent de pré-vérifier plus précisément les adresses email, de détecter les expéditeurs potentiellement à risques qui pourraient nuire à la réputation de l'adresse IP, et d’aider les clients à optimiser leurs processus de livraison.

Ces données sur les destinataires ne sont utilisées que dans le cadre de la prestation des services de Mailgun.

En tant que sous-traitant, nous avons des obligations spécifiques en vertu du RGPD. Dans cette section, nous vous montrons la manière dont nous traitons les données personnelles et les efforts que nous déployons pour que vous, en tant que client, puissiez nous faire confiance.

Dans le cadre de nos efforts pour nous conformer au RGPD, nous avons effectué une analyse détaillée des risques de toutes les applications susceptibles de traiter des données personnelles de personnes situées dans l’UE. Sur la base des résultats de cette analyse, nous avons mis en place des mesures appropriées qui nous permettent de nous conformer à ces nouvelles exigences.

Tout d’abord, nous avons réuni une équipe dédiée de spécialistes de la protection des données et de la sécurité qui examinent le traitement des données personnelles par Mailgun, et s’assurent que nous avons toujours le respect de la vie privée à l’esprit.

Grâce à notre équipe, nous avons pris de nombreuses mesures proactives pour nous conformer au RGPD :

Nous avons mis en œuvre ou travaillons sur de nouvelles politiques et procédures pour être en mesure de détecter les violations de données personnelles, et d’en informer nos clients dans un délai raisonnable afin de nous assurer qu’ils répondent aux exigences de notification des violations du RGPD. Nous avons développé des procédures pour pouvoir traiter les demandes que nous recevons de personnes concernées et vous informer de ces demandes. Nous avons revu et mis à jour les politiques et contrôles de sécurité que nous avons mis en place. Ils sont constamment testés et évoluent conformément à l’évolution des réglementations et des exigences de gouvernance. Nous avons nommé un délégué à la protection des données, qui sera chargé de la conformité au RGPD dans l’ensemble de notre entreprise. Nous organisons régulièrement des formations sur la protection des données pour nos équipes et notre personnel. Nous avons créé et conservons un enregistrement des activités de traitement des données. Les étapes ci-dessus ne sont que quelques-unes des étapes que nous avons suivies pour nous conformer au RGPD, ce qui est un exercice continu dans lequel nous nous engageons. Vous trouverez de plus amples informations sur la page « Mailjet conforme au RGPD ».

Les sous-traitants peuvent faire appel à d’autres tiers pour le traitement des données personnelles. Ces entités sont communément appelées « sous-traitants secondaires ». Nous utilisons des services basés dans le cloud comme Amazon Web Services, Rackspace, Softlayer et Google Cloud Platform pour héberger les données de Mailgun. Comme l’exige le RGPD, nous avons appliqué des mesures appropriées avec nos sous-traitants secondaires qui nous permettront de sécuriser les données personnelles que nous traitons en votre nom. Si vous êtes l’un de nos clients, nous vous fournirons une liste exhaustive des sous-traitants que nous utilisons.

Dans le cadre du RGPD, les personnes concernées de l’UE peuvent accéder à leurs données personnelles, les corriger, les supprimer ou les exporter. Elles ont également le droit de restreindre le traitement de leurs données personnelles.

Nous avons conçu notre plateforme avec plusieurs fonctionnalités en libre-service que nos clients peuvent utiliser pour les aider à examiner les données personnelles que nous stockons, afin de répondre aux demandes de données.

Ces fonctionnalités sont conçues en particulier pour soutenir le droit à la portabilité des données, le droit d’accès et le droit à l’oubli.

Lorsque nous, en tant que sous-traitant, recevons directement une demande d’une personne concernée, nous engageons le client respectif dans un délai de sept jours pour répondre à la demande de la personne concernée (à moins que la loi n’en dispose autrement).

Si vous êtes un contrôleur de données, le RGPD exige que vous concluiez un accord avec vos processeurs de données. Cet accord est dénommé « Accord sur le Traitement des Données Personnelles » et définit la manière dont un contrôleur et un sous-traitant répondent aux exigences du RGPD.

Pour vous faciliter la vie, nous avons rédigé un Accord sur le Traitement des Données Personnelles que nos clients peuvent signer. Notre Accord sur le Traitement des Données Personnelles est conçu pour répondre aux exigences de l’article 28 du RGPD. Il comprend les obligations respectives de Mailgun, en tant que contrôleur de données, et de nos clients, en qualité de sous-traitants de données.

Lire l’Accord sur le Traitement des Données Personnelles de Mailgun

Le RGPD n’exige pas que les activités de traitement des données soient limitées à l’UE, mais régule le transfert de données personnelles en dehors de l’Espace économique européen (EEE). Pour ce faire, le RGPD fournit différents mécanismes de transfert.

Mailgun garantit la protection des données de ses clients de bout en bout grâce à l'implémentation de mesures techniques et organisationnelles fortes : périodes de rétention des données, stockage et transfert des données, protocoles de chiffrement... Toutes ces mesures sont accessibles au public selon les principes de responsabilité et de transparence chers à Mailgun. Nous avons également mis en place des clauses contractuelles types européennes dans notre accord de traitement des données, pour tous nos vendeurs, afin de vous assurer que les données soient transférées correctement, en toute sécurité.