Accord sur le Traitement des Données Personnelles

Accord sur le Traitement des Données Personnelles

 
Dernière révision et mise à jour réalisées le 29 octobre 2020. Pour consulter le journal des modifications et voir la version précédente, cliquez ici.
 

Le présent Accord sur le Traitement des Données Personnelles (« Data Processing Agreement » ou « DPA ») (le présent « Accord ») fait partie intégrante des Conditions Générales de Service de Mailgun (le « Contrat principal ») conclues par et entre Mailgun Technologies, Inc. pour son propre compte et pour le compte de ses Sociétés affiliées (« Mailgun ») et le « Client » et est soumis au Contrat principal.

1. Définitions

Aux fins du présent Accord, les termes commençant par une majuscule auront la signification suivante. Les termes commençant par une majuscule qui ne sont pas définis dans les présentes auront la signification qui leur est conférée dans le Contrat principal.

(a) « Clauses contractuelles types » désigne la dernière version des clauses contractuelles types pour le transfert de données à caractère personnel vers des sous-traitants établis dans des pays tiers en vertu de la directive 95/46/CE du Parlement européen et du Conseil (la version en vigueur à la date du présent Accord figure en annexe de la décision 2010/87/UE de la Commission européenne).

(b) « Données à caractère personnel du Client » désigne toutes les données à caractère personnel traitées par Mailgun pour le compte du Client afin de fournir les Services en vertu du Contrat principal.

(c) « EEE » désigne l’Espace économique européen.

(d) « Lois de l’UE relatives à la protection des données » désigne la Directive 95/46/CE de l’UE, telle qu’elle a été transposée dans le droit national de chaque État membre et telle qu’elle a été modifiée ou remplacée à tout moment, notamment (à compter du 25 mai 2018) par le RGPD et les lois le mettant en œuvre ou le complétant ;

(e) « Infrastructure de Mailgun » désigne (i) les installations physiques de Mailgun ; (ii) les infrastructures hébergées dans le cloud ; (iii) le réseau d’entreprise de Mailgun et son réseau interne non public, les logiciels et le matériel nécessaires à la fourniture des Services et qui sont sous le contrôle de Mailgun ; dans chaque cas, dans la mesure où ils sont utilisés pour fournir les Services.

(f) « RGPD » désigne le Règlement Général sur la Protection des Données 2016/679 de l’Union européenne.

(g) « Services » désigne les services fournis au Client par Mailgun en vertu du Contrat principal.

(h) « Sociétés affiliées » désigne toute entité que Mailgun Technologies, Inc. détient ou qui est détenue par celle-ci ou qui est sous contrôle commun avec l’une des entités de Mailgun, y compris, sans s’y limiter, Mailgun Technologies SAS et Mailjet SAS.

(i) « Transfert restreint » désigne un transfert de Données à caractère personnel de Mailgun à un Sous-traitant ultérieur, si ce transfert était interdit par les Lois de l’UE relatives à la protection des données (ou par les modalités des accords de transfert de données mis en place pour répondre à des restrictions de transfert de données imposées par les Lois de l’UE relatives à la protection des données) en l’absence de garanties appropriées imposées au regard de transferts de ce type en vertu des Lois de l’UE relatives à la protection des données.

(j) Les termes « consentement », « responsable du traitement », « personne concernée », « État membre », « données à caractère personnel », « violation de données à caractère personnel », « sous-traitant », « sous-traitant ultérieur », « traitement », « autorité de contrôle » et « tiers » auront la signification qui leur est attribuée dans l’article 4 du RGPD.

2. Respect des Lois de l’UE relatives à la protection des données

(a) Mailgun et le Client se conformeront chacun aux dispositions et obligations imposées par les Lois de l’UE relatives à la protection des données et s’assureront que leurs employés, mandataires et sous-traitants respectent les dispositions des Lois de l’UE relatives à la protection des données.

3. Détails et finalités du Traitement

(a) Le Traitement des Données à caractère personnel du Client dans le cadre du Contrat sera réalisé conformément aux stipulations suivantes et tel que l’impose l’article 28, paragraphe 3, du RGPD. Les parties peuvent modifier ces informations à tout moment dans la mesure où elles considèrent que cela est raisonnablement nécessaire pour satisfaire à ces exigences.

(i)Objet et durée du Traitement des Données à caractère personnel : l’objet et la durée du traitement des Données à caractère personnel sont définis dans le Contrat principal.

(ii) Nature et finalité du Traitement des Données à caractère personnel : en vertu du Contrat principal, Mailgun fournit certains services d’emails et de SMS au Client, ce qui implique le traitement de données à caractère personnel. Ces activités de traitement incluent (a) la fourniture des Services ; (b) la détection, la prévention et la résolution de problèmes de sécurité et techniques ; et (c) la réponse aux demandes d’assistance du Client.

(iii) Types de Données à caractère personnel traitées : les données à caractère personnel transmises, dont l’étendue est déterminée et contrôlée par le Responsable du traitement à son entière discrétion, incluent des noms, adresses email, numéros de téléphone, adresses IP et autres données à caractère personnel figurant dans la liste de contacts et le contenu des messages.

(iv) Catégories de personnes concernées auxquelles les données à caractère personnel se rapportent : expéditeurs et destinataires des messages email et SMS.

(b) Mailgun ne traitera les Données à caractère personnel du Client (i) qu’aux fins de l’exécution de ses obligations en vertu du Contrat principal et (i) conformément aux instructions documentées décrites dans le présent Accord ou conformément aux instructions transmises, de quelque manière que ce soit, par le Client à tout moment. Toutes instructions de ce type du Client devront être documentées dans la commande, la description des services ou le ticket d’assistance applicable ou dans toute autre communication écrite ou de la manière indiquée par le Client utilisant les Services (notamment via une API ou un panneau de contrôle).

(c) Si Mailgun estime raisonnablement qu’une instruction du Client est contraire aux dispositions du Contrat principal ou du présent Accord, ou qu’elle contrevient au RGPD ou à d’autres dispositions applicables en matière de protection des données, elle en informera le Client sans délai. Dans les deux cas, Mailgun sera autorisé à reporter l’exécution de l’instruction en question jusqu’à ce qu’elle soit modifiée par le Client ou convenue d’un commun accord par le Client et Mailgun.

(d) Le Client est seul responsable de la manière dont il utilise et gère les Données à caractère personnel soumises ou transmises par les Services, notamment : (i) vérifier les adresses des destinataires et le fait qu’elles ont été bien saisies dans les Services (ii) notifier raisonnablement à tout destinataire le manque de sécurité des emails comme mode de transmission de Données à caractère personnel (selon le cas), (iii) limiter raisonnablement le volume ou le type de données divulguées par le biais des Services, (iv) chiffrer toutes les Données à caractère personnel transmises par le biais des Services, le cas échéant ou comme l’impose la loi applicable (notamment grâce à des pièces jointes chiffrées, des outils PGP ou S/MIME). Si le Client décide de ne pas configurer le chiffrement obligatoire, celui-ci reconnaît que les Services peuvent inclure la transmission d’emails non chiffrés en clair sur l’Internet public et des réseaux ouverts. Les informations téléchargées sur les Services, y compris le contenu des messages, sont stockées sous une forme chiffrée lorsqu’elles sont traitées par l’infrastructure de Mailgun.

4. Responsable du traitement et Sous-traitant

(a) Aux fins des présentes, le Client est le responsable du traitement de ses propres Données à caractère personnel et Mailgun en est le sous-traitant, sauf lorsque le Client agit en qualité de sous-traitant de ses propres Données à caractère personnel, auquel cas Mailgun en est le sous-traitant ultérieur.

(b) Mailgun maintiendra à tout moment à disposition un Délégué à la protection des données chargé d’assister le Client (i) pour répondre à des demandes de renseignements concernant le Traitement des Données émanant de Personnes concernées ; et (ii) pour satisfaire à toutes les obligations légales en matière d’information et de divulgation en vigueur et associées au Traitement de Données. Ce Délégué à la protection des données peut être contacté directement à l’adresse privacy@mailgun.com.

(c) Le Client garantit que :

(i) le traitement de ses Données à caractère personnel s’appuie sur des fondements juridiques, comme l’imposent les Lois de l’UE relatives à la protection des données et celui-ci a obtenu et conservera pendant toute la durée du Contrat principal l’ensemble des droits, autorisations, enregistrements et consentements imposés par celles-ci au regard du traitement par Mailgun des Données à caractère personnel du Client en vertu du présent Accord et du Contrat principal ;

(ii) il est autorisé à et dispose de l’ensemble des droits, autorisations et consentements nécessaires pour transférer ses Données à caractère personnel à Mailgun et pour autoriser, de quelque manière que ce soit, Mailgun à les traiter en son nom, afin que Mailgun puisse utiliser, traiter et transférer légalement les Données à caractère personnel du Client dans le cadre de l’exécution des Services et de satisfaire à l’ensemble des autres droits et obligations de Mailgun en vertu du présent Accord et du Contrat principal ;

(iii) il informera les Personnes concernées de son recours à des Sous-traitants aux fins du Traitement de leurs Données à caractère personnel, dans la mesure prescrite par les Lois de l’UE relatives à la protection des données.

(iv) il répondra, dans un délai raisonnable et dans la mesure de ce qui s’avérera raisonnablement possible, aux demandes de renseignements soumises par les Personnes concernées concernant le Traitement de leurs Données à caractère personnel, et donnera des instructions appropriées au Sous-traitant en temps opportun.

5. Confidentialité

(a) Mailgun s’assurera que chaque membre de son personnel et de celui des sous-traitants ultérieurs autorisés à traiter les Données à caractère personnel du Client est soumis à des accords de confidentialité ou à des obligations professionnelles ou légales de confidentialité et qu’il est formé aux exigences de sécurité et de Protection des données pertinentes.

6. Mesures techniques et organisationnelles

(a) Mailgun devra, en ce qui concerne les Données à caractère personnel du Client, (a) prendre et documenter, le cas échéant, les mesures raisonnables et appropriées requises en vertu de l’article 32 du RGPD en ce qui concerne la sécurité de son Infrastructure et des plateformes utilisées pour fournir les Services telles que décrites dans le Contrat principal, et (b) si une demande raisonnable lui est faite, aider le Client, aux frais de celui-ci, à s’assurer du respect des obligations imposées par celui-ci en vertu de l’article 32 du RGPD.

(b) Les procédures opérationnelles internes de Mailgun devront respecter les exigences spécifiques d’une gestion efficace de la Protection des données.

7. Demandes de Personnes concernées

(a) Mailgun fournit des outils spécifiques pour aider les clients à répondre aux demandes émanant de personnes concernées. Il s’agit notamment de nos API et interfaces de recherche d’événements, de suppression et de récupération du contenu des messages. Lorsque Mailgun reçoit une réclamation, une question ou une demande (y compris les demandes émanant de personnes concernées afin d’exercer leurs droits en vertu des Lois de l’UE relatives à la protection des données) concernant les Données à caractère personnel du Client, directement de la part d’une personne concernée, Mailgun en informera le Client dans les 14 jours qui suivent la réception de la réclamation, de la question ou de la demande. Compte tenu de la nature du traitement, Mailgun assistera le Client, aux frais de ce dernier, par des mesures techniques et organisationnelles appropriées, dans la mesure de ce qui s’avérera raisonnablement possible, aux fins de l’exécution de l’obligation qui incombe au Client de répondre aux demandes de personnes concernées souhaitant exercer leurs droits.

8. Violations des Données à caractère personnel

(a) Mailgun doit informer le Client dans les meilleurs délais dès qu’elle a connaissance d’une violation des données à caractère personnel affectant les Données à caractère personnel du Client. Mailgun devra, compte tenu de la nature du traitement et des informations mises à sa disposition, prendre toutes les mesures professionnelles raisonnables pour fournir au Client suffisamment d’informations pour lui permettre, aux frais de celui-ci, de se conformer à toute obligation de notification ou d’information des autorités de réglementation, des personnes concernées et d’autres entités de cette violation de données à caractère personnel dans la mesure requise par les Lois de l’UE relatives à la protection des données.

9. Analyses d’impact relatives à la protection des données

(a) Mailgun devra, compte tenu de la nature du traitement et des informations mises à sa disposition, fournir une assistance raisonnable au Client, aux frais de celui-ci, dans le cadre de toute analyse d’impact relative à la protection des données et de la consultation préalable des autorités de contrôle ou autres autorités de réglementation dans la mesure nécessaire pour permettre au Client de se conformer à toute obligation en vertu des Lois de l’UE relatives à la protection des données.

10. Audits

(a) Mailgun mettra à la disposition du Client, sur demande écrite raisonnable, les informations raisonnablement nécessaires pour démontrer que le Client respecte le présent Accord.

(b) Le Client, ou un auditeur tiers mandaté par ce dernier, pourra, sur demande écrite, procéder à une inspection des activités de Traitement de ses Données à caractère personnel menées par Mailgun dans la mesure de ce qui s’avérera nécessaire en vertu des Lois de l’UE relatives à la protection des données, sans interrompre les activités commerciales de Mailgun et en préservant la confidentialité. Le Client prendra en charge l’ensemble des coûts et dépenses engagés par le Sous-traitant en raison de l’exercice de ces droits d’audit.

11. Restitution ou destruction des Données à caractère personnel du Client

(a) Le Client peut, moyennant l’envoi d’une notification écrite à Mailgun, demander la restitution et/ou l’attestation de destruction de toutes les copies de ses Données à caractère personnel sous le contrôle ou en possession de Mailgun et des sous-traitants ultérieurs. Mailgun devra fournir une copie des Données du Responsable du traitement sous une forme qui peut être lue et traitée par la suite.

(b) Dans les quatre-vingt-dix (90) jours suivant la fermeture du compte, le Sous-traitant détruira et/ou restituera toutes les Données à caractère personnel traitées conformément au présent Accord. La présente disposition n’aura aucune incidence sur les éventuelles obligations légales des Parties de conserver des archives pendant les durées de conservation fixées par la loi ou par contrat. Mailgun pourra conserver des copies électroniques de fichiers contenant les Données à caractère personnel du Client créées conformément à des procédures d’archivage ou de sauvegarde automatiques qui ne peuvent raisonnablement pas être supprimées. Dans ces cas, Mailgun s’assurera que les Données à caractère personnel du Client ne sont pas traitées activement par la suite.

(c) Tous les frais supplémentaires liés à la restitution ou à la suppression de Données à caractère personnel après la résiliation ou l’expiration du Contrat seront à la charge du Client.

12. Transferts de données

(a) À la suite de la signature du présent Accord, Mailgun devra, si le Client le demande et, si les Lois de l’UE relatives à la protection des données l’imposent, conclure des Clauses contractuelles types en tant qu’importateur de données avec le Client agissant en qualité d’exportateur de données. Si l’accord conclu entre Mailgun et un sous-traitant ultérieur implique un Transfert restreint, Mailgun devra s’assurer que les dispositions des Clauses contractuelles types relatives aux transferts ultérieurs sont intégrées au Contrat principal, ou conclues, de quelque manière que ce soit, entre Mailgun et le sous-traitant ultérieur concerné. Le Client s’engage à exercer son droit d’audit tel que prévu par les Clauses contractuelles types en demandant à Mailgun de réaliser l’audit conformément au paragraphe 10.

(b) Le Responsable du traitement reconnaît et convient que, dans le cadre de l’exécution des Services en application du Contrat, le Sous-traitant pourra transférer des Données à caractère personnel à des sociétés de son groupe. Ces transferts sont nécessaires pour fournir les Services dans le monde entier et sont justifiés à des fins d’administration interne.

(c) S’agissant des transferts de Données à caractère personnel réalisés en vertu du présent Accord depuis l’Union européenne, l’Espace économique européen et/ou leurs États membres, la Suisse et le Royaume-Uni vers des pays qui ne garantissent pas un niveau adéquat de Protection des données au sens des Lois relatives à la protection des données en vigueur dans ces juridictions, dans la mesure où ces transferts sont soumis aux Lois relatives à la protection des données et aux réglementations applicables en la matière, et pour mettre en œuvre des garanties appropriées, les mesures de protection suivantes sont prévues : (i) des clauses contractuelles types conformément à la décision 2010/87/UE de la Commission européenne et (2) des garanties supplémentaires en ce qui concerne les mesures de sécurité, y compris le chiffrement des données et le principe de minimisation des données.

13. Sous-traitance ultérieure

(a) Par les présentes, le Client autorise Mailgun à faire appel à des sous-traitants ultérieurs conformément au présent paragraphe 12 et à l’Annexe 2, sous réserve de toute restriction figurant dans le Contrat principal. Mailgun devra s’assurer que ces sous-traitants ultérieurs sont liés par des accords écrits qui les obligent à fournir au minimum le niveau de protection des données requis par Mailgun par le présent Accord. Mailgun pourra continuer à faire appel aux sous-traitants ultérieurs auxquels il fait déjà appel à la date du présent Accord.

(b) Mailgun avisera préalablement par écrit le Client du recours à tout nouveau sous-traitant ultérieur. Si, dans les dix (10) jours ouvrables suivant la réception de cet avis, le Client informe Mailgun par écrit de toute objection, pour des motifs raisonnables, à la désignation proposée, Mailgun ne nommera pas ce sous-traitant ultérieur proposé tant que des mesures raisonnables n’auront pas été prises afin de répondre à l’objection formulée par le Client et tant que le Client n’aura pas reçu une explication écrite raisonnable concernant les mesures prises. Si Mailgun et le Client ne sont pas en mesure de trouver un accord concernant le recours à un sous-traitant ultérieur dans un délai raisonnable, chacune des parties aura le droit de résilier le Contrat principal pour motif valable.

(c) En outre, en cas de sous-traitance autorisée en dehors de l’Union européenne, le Client donne mandat à Mailgun afin de conclure des Clauses contractuelles types de l’UE en son nom et pour son compte aux seules fins de la fourniture des services prévus par le Contrat principal.

(d) Ce paragraphe ne s’applique pas aux services annexes suivants : les services de télécommunications, services postaux ou de transport, services de maintenance et outils d’assistance utilisateur. Mailgun sera toutefois tenu de conclure des accords contractuels appropriés et contraignants et de prendre des mesures d’inspection appropriées afin de garantir la protection et la sécurité des Données du Client, même dans le cadre de l’externalisation de services annexes.

(e) Mailgun sera responsable des actes et omissions de tout sous-traitant ultérieur vis-à-vis du Client comme s’il s’agissait de ses propres actes et omissions au titre des questions visées dans le présent Accord.

14. Droit applicable et compétence

(a) Les parties au présent Accord se soumettent par les présentes à la compétence des tribunaux indiqués dans le Contrat principal au titre de tous les litiges ou de toutes les demandes résultant de quelque manière que ce soit du présent Accord, y compris les litiges concernant son existence, sa validité,sa résiliation ou les conséquences de sa nullité.

(b) Le présent Accord ainsi que toutes les obligations non contractuelles ou autres découlant de ou en rapport avec celui-ci sont régis par les lois du pays ou du territoire prévues à cet effet dans le Contrat principal.

15. Hiérarchie

(a) En ce qui concerne l’objet du présent Accord, en cas de divergences entre les dispositions des présentes et celles de tout autre accord entre les parties, y compris le Contrat principal et (sauf si cela a été expressément convenu de quelque manière que ce soit par écrit et signé au nom des parties) les contrats conclus ou envisagés après la date du présent Accord, les dispositions des présentes prévaudront.

16. Modifications des Lois relatives à la protection des données, etc.

(a) Mailgun peut modifier ou compléter le présent Accord, moyennant un préavis raisonnable adressé au Client :

(i) si une autorité de contrôle ou toute autre agence gouvernementale ou autorité de réglementation l’exige ;

(ii) si cela se révèle nécessaire pour se conformer à la loi applicable ;

(iii) pour mettre en œuvre de nouvelles clauses contractuelles types ou une version mise à jour de celles-ci telles qu’approuvées par la Commission européenne ; ou

(iv) pour respecter un code de conduite ou un mécanisme de certification approuvé ou certifié conformément aux articles 40, 42 et 43 du RGPD.

17. Autonomie des stipulations

(a) Si une stipulation des présentes est invalide ou inapplicable, les autres stipulations du présent Accord resteront en vigueur et de plein effet. Toute stipulation invalide ou inapplicable sera soit (i) modifiée dans la mesure nécessaire pour assurer sa validité et sa force exécutoire, tout en préservant le plus possible les intentions des parties ou, si cela n’est pas possible, (ii) interprétée comme si ladite partie invalide ou inapplicable n’y avait jamais figuré.

18. Résiliation

(a) Le présent Accord et les Clauses contractuelles types prendront fin simultanément et de plein droit avec la résiliation du Contrat principal.

(b) Mailgun peut résilier le présent Accord et les Clauses contractuelles types si Mailgun propose au Client d’autres mécanismes qui respectent les obligations imposées par les lois de l’Union européenne en matière de respect de la vie privée dans le cadre du transfert de Données à caractère personnel en dehors de l’EEE.

EN FOI DE QUOI, le présent Accord est conclu et fait partie intégrante du Contrat principal à la date indiquée ci-dessus.

Annexe 1

Sécurité de l’information – Mesures techniques et organisationnelles

Lorsque des données à caractère personnel sont traitées ou utilisées de manière automatique, l’organisation interne de Mailgun veille au respect des exigences spécifiques en matière de protection des données, en adoptant les meilleures pratiques de sécurité. En particulier, Mailgun met en œuvre les mesures suivantes pour protéger les données à caractère personnel ou d’autres catégories de données sensibles.

Contrôle des accès physiques

Pour empêcher les personnes non autorisées d’avoir accès aux systèmes de traitement des données avec lesquels les données à caractère personnel sont traitées ou utilisées :

  • Mailgun s’appuie sur les principaux fournisseurs de centres de données et d’infrastructure cloud. L’accès à tous les centres de données est strictement contrôlé. Tous les centres de données sont équipés de systèmes de surveillance et de contrôle d’accès biométrique 24 heures sur 24, 7 jours sur 7 et 365 jours par an. En outre, tous les fournisseurs sont certifiés SOC Type II et ISO 27001.
  • Les centres de données sont équipés d’au moins une redondance N+1 pour l’alimentation électrique, la mise en réseau et l’infrastructure de refroidissement.
  • Au sein d’une région, le traitement des données s’effectue dans au moins trois zones de disponibilité distinctes. Les services sont conçus pour résister à la défaillance d’une zone de disponibilité sans que cela ne perturbe les clients.

 
Contrôle des accès au système

Pour empêcher l’utilisation de systèmes de traitement des données sans autorisation :

  • L’accès administratif aux systèmes et services Mailgun est basé sur le principe du moindre privilège. L’accès aux systèmes est basé sur le rôle et les responsabilités du poste. Mailgun utilise des noms d’utilisateur/identifiants uniques qui ne peuvent pas être partagés ou réattribués à une autre personne.
  • L’authentification VPN et multifactorielle est utilisée pour l’accès aux outils de support interne et à l’infrastructure produit.
  • Des listes de contrôle d’accès au réseau (LCA) et des groupes de sécurité sont utilisés pour limiter le trafic d’entrée et de sortie de l’infrastructure de production.
  • Des systèmes de détection des intrusions (SDI) sont utilisés pour détecter les éventuels accès non autorisés.
  • Des protections de réseau ont été déployées pour atténuer l’impact des attaques par déni de service distribué (DDoS).
  • Les processus d’onboarding et d’offboarding sont documentés et suivis de manière systématique afin de garantir que l’accès aux outils et systèmes hébergés en interne et à l’extérieur est correctement géré. Dans la mesure du possible, les services tiers utilisent la fonctionnalité d’authentification unique (SSO) qui permet une gestion centralisée et applique l’authentification à plusieurs facteurs.

 
Contrôle des accès aux données

Pour garantir que les utilisateurs autorisés à utiliser les systèmes de traitement des données n’aient accès qu’aux données auxquelles ils sont en droit d’accéder et que les données à caractère personnel ne puissent être lues, copiées, modifiées ou supprimées sans autorisation au cours du traitement ou de l’utilisation et après le stockage :

  • Mailgun utilise un système de gestion des mots de passe qui impose que les mots de passe aient une longueur minimale, soient complexes et aient un délai d’expiration et un délai minimum après sa dernière utilisation.
  • Les postes de travail des employés se verrouillent automatiquement après une période d’inactivité prolongée. Les systèmes déconnectent les utilisateurs après une période d’inactivité prolongée.
  • Les journaux sont stockés et indexés de manière centralisée. Les journaux critiques, tels que les journaux de sécurité, sont conservés pendant au moins un an.
  • Le processus de gestion des correctifs de Mailgun garantit l’application des correctifs aux systèmes au moins une fois par mois. La surveillance, les alertes et l’analyse de routine des vulnérabilités permettent de s’assurer que les correctifs soient mis en œuvre pour toute l’infrastructure produit de manière systématique.
  • Un logiciel antivirus conforme aux normes de l’industrie est utilisé pour garantir que les ressources internes qui accèdent à des données à caractère personnel soient protégées contre les virus connus. Les logiciels antivirus sont régulièrement mis à jour.
  • Mailgun utilise des pare-feu pour empêcher le trafic indésirable d’entrer sur le réseau. Une DMZ utilisant des pare-feu pour protéger davantage les systèmes internes protégeant les données sensibles est utilisée.

 
Contrôle des transmissions de données

Pour garantir que les données à caractère personnel ne puissent être lues, copiées, modifiées ou supprimées sans autorisation lors de la transmission ou du transport par voie électronique :

  • Les données des clients sont stockées cryptées au repos grâce à l’utilisation du cryptage AES-256 sur des dispositifs de blocage.
  • Les sauvegardes des clients sont cryptées en transit et au repos à l’aide d’un cryptage renforcé.
  • Mailgun utilise TLS 1.0, 1.1, et 1.2 pour crypter le trafic réseau entre l’application du client et l’infrastructure Mailgun. Les clients peuvent contrôler et gérer les paramètres de cryptage des messages traités par Mailgun et envoyés aux fournisseurs de boîtes de réception de messagerie afin de répondre aux exigences de conformité qui dépassent le cadre des certifications externes de Mailgun.
  • Mailgun est alertée des problèmes de cryptage par des évaluations périodiques des risques et des tests de pénétration par des tiers. Mailgun effectue des tests de pénétration par le biais de tiers sur une base annuelle ou selon les besoins à la suite de changements au sein de l’entreprise.
  • Mailgun gère un programme de bug bounty, encourageant la divulgation responsable des vulnérabilités par les chercheurs de la communauté.

 
Contrôle des données saisies

Pour garantir qu’il soit possible de vérifier et de déterminer si et par qui des données à caractère personnel ont été introduites dans les systèmes de traitement des données, modifiées ou supprimées :

  • Les systèmes sont surveillés pour détecter les événements liés à la sécurité afin de garantir une résolution rapide.
  • Les journaux sont stockés et indexés de manière centralisée. Les journaux critiques, tels que les journaux de sécurité, sont conservés pendant au moins un an. Les journaux peuvent être reliés à des noms d’utilisateur uniques et individuels avec horodatage pour enquêter sur des non-conformités ou des événements de sécurité.

 
Contrôle de la disponibilité

Pour garantir que les données à caractère personnel soient protégées contre la perte ou la destruction accidentelle :

  • Les données des comptes sont sauvegardées au moins une fois par jour. La récupération incrémentielle à un instant donné est disponible pour toutes les bases de données primaires. Les sauvegardes sont cryptées en transit et au repos en utilisant un cryptage renforcé.
  • Le processus de gestion des correctifs de Mailgun garantit l’application des correctifs aux systèmes au moins une fois par mois. La surveillance, les alertes et l’analyse de routine des vulnérabilités permettent de s’assurer que les correctifs soient mis en œuvre pour toute l’infrastructure du produit de manière systématique.
  • Lorsque cela est nécessaire, Mailgun corrige l’infrastructure de manière accélérée lorsque des vulnérabilités critiques sont mises en évidence, afin de garantir le maintien de la disponibilité du système.
  • Les environnements des clients sont à tout moment séparés sur le plan logique. Les clients ne peuvent pas accéder à d’autres comptes que ceux pour lesquels ils ont reçu une autorisation.

 

Annexe 2

Listes de sous-traitants ultérieurs

liste sous-traitants

Clauses contractuelles types (sous-traitants)

Aux fins de l’article 26, paragraphe 2 de la directive 95/46/CE pour le transfert des données à caractère personnel vers des sous-traitants établis dans des pays tiers qui n’assurent pas un niveau adéquat de protection des données.

Le Client qui est partie au DPA auquel les présentes Clauses Contractuelles Types sont jointes.

ET
Mailgun Technologies, Inc.
112 E Pecan St #1135
San Antonio, TX 78205
legal@mailgun.com

(l’importateur de données ou le sous traitant de données, selon le cas)

ci-après dénommés individuellement une « partie » et collectivement les « parties »

SONT CONVENUS des Clauses Contractuelles suivantes (ci-après dénommées « les Clauses ») afin d’offrir des garanties adéquates concernant la protection de la vie privée et des libertés et droits fondamentaux des personnes lors du transfert, par l’exportateur de données vers l’importateur de données, des données à caractère personnel visées à l’appendice 1.

Clause 1

Définitions

Au sens des Clauses :

(a) ‘données à caractère personnel’, ‘catégories particulières de données’, ‘traiter/traitement’, ‘responsable du traitement’, ‘sous-traitant’, ‘personne concernée’ et ‘autorité de contrôle’ ont la même signification que dans la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données * ;

* Les parties peuvent reproduire les définitions et significations contenues dans la directive 95/46/CE dans la présente clause si elles estiment qu’il est préférable que le contrat soit autonome

(b) l’’exportateur de données’ est le responsable du traitement qui transfère les données à caractère personnel ;

(c) l’’importateur de données’ est le sous-traitant qui accepte de recevoir de l’exportateur de données des données à caractère personnel destinées à être traitées pour le compte de ce dernier après le transfert conformément à ses instructions et aux termes des présentes Clauses et qui n’est pas soumis au mécanisme d’un pays tiers assurant une protection adéquate au sens de l’article 25, paragraphe 1, de la directive 95/46/CE ;

(d) le ‘sous-traitant ultérieur’ est le sous-traitant engagé par l’importateur de données ou par tout autre sous-traitant ultérieur de celui-ci, qui accepte de recevoir de l’importateur de données ou de tout autre sous-traitant ultérieur de celui-ci des données à caractère personnel exclusivement destinées à des activités de traitement à effectuer pour le compte de l’exportateur de données après le transfert conformément aux instructions de ce dernier, aux conditions énoncées dans les présentes Clauses et selon les termes du contrat de sous-traitance écrit ;

(e) le ‘droit applicable à la protection des données’ est la législation protégeant les libertés et les droits fondamentaux des personnes, notamment le droit à la vie privée à l’égard du traitement des données à caractère personnel, et s’appliquant à un responsable du traitement dans l’État membre où l’exportateur de données est établi ;

(f) les ‘mesures techniques et organisationnelles liées à la sécurité’ sont les mesures destinées à protéger les données à caractère personnel contre une destruction fortuite ou illicite, une perte fortuite, une altération, une divulgation ou un accès non autorisé, notamment lorsque le traitement suppose la transmission de données par réseau, et contre toute autre forme illicite de traitement.

Clause 2

Détails du transfert

Les détails du transfert et, notamment, le cas échéant, les catégories particulières de données à caractère personnel, sont spécifiés dans l’appendice 1 qui fait partie intégrante des présentes Clauses.

Clause 3

Clause du tiers bénéficiaire

1. La personne concernée peut faire appliquer contre l’exportateur de données la présente Clause, ainsi que la Clause 4, points b) à i), la Clause 5, points a) à e) et points g) à j), la Clause 6, paragraphes 1 et 2, la Clause 7, la Clause 8, paragraphe 2, et les Clauses 9 à 12 en tant que tiers bénéficiaire.

2. La personne concernée peut faire appliquer contre l’importateur de données la présente Clause, ainsi que la Clause 5, points a) à e) et g), la Clause 6, la Clause 7, la Clause 8, paragraphe 2, et les Clauses 9 à 12 dans les cas où l’exportateur de données a matériellement disparu ou a cessé d’exister en droit, à moins que l’ensemble de ses obligations juridiques n’ait été transféré, par contrat ou par effet de la loi, à l’entité qui lui succède, à laquelle reviennent par conséquent les droits et les obligations de l’exportateur de données, et contre laquelle la personne concernée peut donc faire appliquer lesdites Clauses.

3. La personne concernée peut faire appliquer contre le sous-traitant ultérieur la présente Clause, ainsi que la Clause 5, points a) à e) et g), la Clause 6, la Clause 7, la Clause 8, paragraphe 2, et les Clauses 9 à 12, mais uniquement dans les cas où l’exportateur de données et l’importateur de données ont matériellement disparu, ont cessé d’exister en droit ou sont devenus insolvables, à moins que l’ensemble des obligations juridiques de l’exportateur de données n’ait été transféré, par contrat ou par effet de la loi, au successeur légal, auquel reviennent par conséquent les droits et les obligations de l’exportateur de données, et contre lequel la personne concernée peut donc faire appliquer lesdites Clauses. Cette responsabilité civile du sous-traitant ultérieur doit être limitée à ses propres activités de traitement conformément aux présentes Clauses.

4. Les parties ne s’opposent pas à ce que la personne concernée soit représentée par une association ou un autre organisme si elle en exprime le souhait et si le droit national l’autorise.

Clause 4

Obligations de l’exportateur de données

L’exportateur de données accepte et garantit ce qui suit:

(a) le traitement, y compris le transfert proprement dit des données à caractère personnel, a été et continuera d’être effectué conformément aux dispositions pertinentes du droit applicable à la protection des données (et, le cas échéant, a été notifié aux autorités compétentes de l’État membre dans lequel l’exportateur de données est établi) et n’enfreint pas les dispositions pertinentes dudit État ;

(b) il a chargé, et chargera pendant toute la durée des services de traitement de données à caractère personnel, l’importateur de données de traiter les données à caractère personnel transférées pour le compte exclusif de l’exportateur de données et conformément au droit applicable à la protection des données et aux présentes Clauses ;

(c) l’importateur de données offrira suffisamment de garanties en ce qui concerne les mesures techniques et organisationnelle liées à la sécurité spécifiées dans l’appendice 2 du présent contrat ;

(d) après l’évaluation des exigences du droit applicable à la protection des données, les mesures de sécurité sont adéquates pour protéger les données à caractère personnel contre une destruction fortuite ou illicite, une perte fortuite, une altération, une divulgation ou un accès non autorisé, notamment lorsque le traitement suppose la transmission de données par réseau, et contre toute autre forme illicite de traitement et elles assurent un niveau de sécurité adapté aux risques liés au traitement et à la nature des données à protéger, eu égard au niveau technologique et au coût de mise en œuvre ;

(e) il veillera au respect des mesures de sécurité ;

(f) si le transfert porte sur des catégories particulières de données, la personne concernée a été informée ou sera informée avant le transfert ou dès que possible après le transfert que ses données pourraient être transmises à un pays tiers n’offrant pas un niveau de protection adéquat au sens de la directive 95/46/CE ;

(g) il transmettra toute notification reçue de l’importateur de données ou de tout sous-traitant ultérieur conformément à la Clause 5, point b), et à la Clause 8, paragraphe 3), à l’autorité de contrôle de la protection des données s’il décide de poursuivre le transfert ou de lever sa suspension ;

(h) il mettra à la disposition des personnes concernées, si elles le demandent, une copie des présentes Clauses, à l’exception de l’appendice 2, et une description sommaire des mesures de sécurité, ainsi qu’une copie de tout contrat de sous-traitance ultérieure ayant été conclu conformément aux présentes Clauses, à moins que les Clauses ou le contrat ne contienne(nt) des informations commerciales, auquel cas il pourra retirer ces informations ;

(i) en cas de sous-traitance ultérieure, l’activité de traitement est effectuée conformément à la Clause 11 par un sous-traitant ultérieur offrant au moins le même niveau de protection des données à caractère personnel et des droits de la personne concernée que l’importateur de données conformément aux présentes Clauses ; et

(j) il veillera au respect de la Clause 4, points a) à i).

Clause 5

Obligations de l’importateur de données **

** Les exigences obligatoires de la législation nationale le concernant et qui ne vont pas au-delà de celles qui sont nécessaires dans une société démocratique pour l’un des intérêts énoncés à l’article 13, paragraphe 1, de la directive 95/46/CE, c’est-à-dire si elles constituent une mesure nécessaire pour sauvegarder la sûreté de l’État; la défense ; la sécurité publique ; la prévention, la recherche, la détection et la poursuite d’infractions pénales ou de manquements à la déontologie dans le cas de professions réglementées ; un intérêt économique ou financier important d’un État ou la protection de la personne concernée ou des droits et libertés d’autrui, ne vont pas à l’encontre des Clauses contractuelles types. Parmi les exemples de ces exigences impératives qui ne vont pas au-delà de celles qui sont nécessaires dans une société démocratique figurent, notamment, les sanctions reconnues sur le plan international, les obligations de déclaration fiscale et les obligations de déclaration de lutte contre le blanchiment des capitaux.

L’importateur de données accepte et garantit ce qui suit :

(a) il traitera les données à caractère personnel pour le compte exclusif de l’exportateur de données et conformément aux instructions de ce dernier et aux présentes Clauses ; s’il est dans l’incapacité de s’y conformer pour quelque raison que ce soit, il accepte d’informer dans les meilleurs délais l’exportateur de données de son incapacité, auquel cas ce dernier a le droit de suspendre le transfert de données et/ou de résilier le contrat ;

(b) il n’a aucune raison de croire que la législation le concernant l’empêche de remplir les instructions données par l’exportateur de données et les obligations qui lui incombent conformément au contrat, et si ladite législation fait l’objet d’une modification susceptible d’avoir des conséquences négatives importantes pour les garanties et les obligations offertes par les Clauses, il communiquera la modification à l’exportateur de données sans retard après en avoir eu connaissance, auquel cas ce dernier a le droit de suspendre le transfert de données et/ou de résilier le contrat ;

(c) il a mis en œuvre les mesures techniques et organisationnelles liées à la sécurité spécifiées dans l’appendice 2 avant de traiter les données à caractère personnel transférées ;

(d) il communiquera sans retard à l’exportateur de données:

(i) toute demande contraignante de divulgation des données à caractère personnel émanant d’une autorité de maintien de l’ordre, sauf disposition contraire, telle qu’une interdiction de caractère pénal visant à préserver le secret d’une enquête policière ;

(ii) tout accès fortuit ou non autorisé ; et

(iii) toute demande reçue directement des personnes concernées sans répondre à cette demande, à moins qu’il n’ait été autorisé à le faire ;

(e) il traitera rapidement et comme il se doit toutes les demandes de renseignements émanant de l’exportateur de données relatives à son traitement des données à caractère personnel qui font l’objet du transfert et se rangera à l’avis de l’autorité de contrôle en ce qui concerne le traitement des données transférées ;

(f) à la demande de l’exportateur de données, il soumettra ses moyens de traitement de données à une vérification des activités de traitement couvertes par les présentes Clauses qui sera effectuée par l’exportateur de données ou un organe de contrôle composé de membres indépendants possédant les qualifications professionnelles requises, soumis à une obligation de secret et choisis par l’exportateur de données, le cas échéant, avec l’accord de l’autorité de contrôle ;

(g) il mettra à la disposition de la personne concernée, si elle le demande, une copie des présentes Clauses, ou tout contrat de sous-traitance ultérieure existant, à moins que les Clauses ou le contrat ne contienne(nt) des informations commerciales, auquel cas il pourra retirer ces informations, à l’exception de l’appendice 2, qui sera remplacé par une description sommaire des mesures de sécurité, lorsque la personne concernée n’est pas en mesure d’obtenir une copie de l’exportateur de données ;

(h) en cas de sous-traitance ultérieure, il veillera au préalable à informer l’exportateur de données et à obtenir l’accord écrit de ce dernier ;

(i) les services de traitement fournis par le sous-traitant ultérieur seront conformes à la clause 11 ;

(j) il enverra dans les meilleurs délais une copie de tout accord de sous-traitance ultérieure conclu par lui en vertu des présentes clauses à l’exportateur de données.

Clause 6

Responsabilité

1. Les parties conviennent que toute personne concernée ayant subi un dommage du fait d’un manquement aux obligations visées à la Clause 3 ou à la Clause 11 par une des parties ou par un sous-traitant ultérieur a le droit d’obtenir de l’exportateur de données réparation du préjudice subi.

2. Si une personne concernée est empêchée d’intenter l’action en réparation visée au paragraphe 1 contre l’exportateur de données pour manquement par l’importateur de données ou par son sous-traitant ultérieur à l’une ou l’autre de ses obligations visées à la Clause 3 ou à la Clause 11, parce que l’exportateur de données a matériellement disparu, a cessé d’exister en droit ou est devenu insolvable, l’importateur de données accepte que la personne concernée puisse déposer une plainte à son encontre comme s’il était l’exportateur de données, à moins que l’ensemble des obligations juridiques de l’exportateur de données n’ait été transféré, par contrat ou par effet de la loi, à l’entité qui lui succède, contre laquelle la personne concernée peut alors faire valoir ses droits.
L’importateur de données ne peut invoquer un manquement par un sous-traitant ultérieur à ses obligations pour échapper à ses propres responsabilités.

3. Si une personne concernée est empêchée d’intenter l’action visée aux paragraphes 1 et 2 contre l’exportateur de données ou l’importateur de données pour manquement par le sous-traitant ultérieur à l’une ou l’autre de ses obligations visées à la Clause 3 ou à la Clause 11, parce que l’exportateur de données et l’importateur de données ont matériellement disparu, ont cessé d’exister en droit ou sont devenus insolvables, le sous-traitant ultérieur accepte que la personne concernée puisse déposer une plainte à son encontre en ce qui concerne ses propres activités de traitement conformément aux présentes Clauses comme s’il était l’exportateur de données ou l’importateur de données, à moins que l’ensemble des obligations juridiques de l’exportateur de données ou de l’importateur de données n’ait été transféré, par contrat ou par effet de la loi, au successeur légal, contre lequel la personne concernée peut alors faire valoir ses droits. La responsabilité du sous-traitant ultérieur doit être limitée à ses propres activités de traitement conformément aux présentes Clauses.

Clause 7

Médiation et juridiction

1. L’importateur de données convient que si, en vertu des Clauses, la personne concernée invoque à son encontre le droit du tiers bénéficiaire et/ou demande réparation du préjudice subi, il acceptera la décision de la personne concernée:

(a) de soumettre le litige à la médiation d’une personne indépendante ou, le cas échéant, de l’autorité de contrôle ;

(b) de porter le litige devant les tribunaux de l’État membre où l’exportateur de données est établi.

2. Les parties conviennent que le choix effectué par la personne concernée ne remettra pas en cause le droit procédural ou matériel de cette dernière d’obtenir réparation conformément à d’autres dispositions du droit national ou international.

Clause 8

Coopération avec les autorités de contrôle

1. L’exportateur de données convient de déposer une copie du présent contrat auprès de
l’autorité de contrôle si celle-ci l’exige ou si ce dépôt est prévu par le droit applicable à la protection des données..

2. Les parties conviennent que l’autorité de contrôle a le droit d’effectuer des vérifications chez l’importateur de données et chez tout sous-traitant ultérieur dans la même mesure et dans les mêmes conditions qu’en cas de vérifications opérées chez l’exportateur de données conformément au droit applicable à la protection des données.

3. L’importateur de données informe l’exportateur de données, dans les meilleurs délais, de l’existence d’une législation le concernant ou concernant tout sous-traitant ultérieur faisant obstacle à ce que des vérifications soient effectuées chez lui ou chez tout sous-traitant ultérieur conformément au paragraphe 2. Dans ce cas, l’exportateur de données a le droit de prendre les mesures prévues par la Clause 5, point b).

Clause 9

Droit applicable

Les Clauses sont régies par le droit de l’État membre où l’exportateur de données est établi.

Clause 10

Modification du contrat

Les parties s’engagent à ne pas modifier les présentes Clauses. Les parties restent libres d’inclure d’autres Clauses à caractère commercial qu’elles jugent nécessaires, à condition qu’elles ne contredisent pas les présentes Clauses.

Clause 11

Sous-traitance ultérieure

1. L’importateur de données ne sous-traite aucune de ses activités de traitement effectuées pour le compte de l’exportateur de données conformément aux présentes Clauses sans l’accord écrit préalable de l’exportateur de données. L’importateur de données ne sous-traite les obligations qui lui incombent conformément aux présentes Clauses, avec l’accord de l’exportateur de données, qu’au moyen d’un accord écrit conclu avec le sous-traitant ultérieur, imposant à ce dernier les mêmes obligations que celles qui incombent à l’importateur de données conformément aux présentes Clauses. En cas de manquement, par le sous-traitant ultérieur, aux obligations en matière de protection des données qui lui incombent conformément audit accord écrit, l’importateur de données reste pleinement responsable du respect de ces obligations envers l’exportateur de données.

2. Le contrat écrit préalable entre l’importateur de données et le sous-traitant ultérieur prévoit également une Clause du tiers bénéficiaire telle qu’énoncée à la Clause 3 pour les cas où la personne concernée est empêchée d’intenter l’action en réparation visée à la Clause 6, paragraphe 1, contre l’exportateur de données ou l’importateur de données parce que ceux-ci ont matériellement disparu, ont cessé d’exister en droit ou sont devenus insolvables, et que l’ensemble des obligations juridiques de l’exportateur de données ou de l’importateur de données n’a pas été transféré, par contrat ou par effet de la loi, à une autre entité leur ayant succédé. Cette responsabilité civile du sous-traitant ultérieur doit être limitée à ses propres activités de traitement conformément aux présentes Clauses.

3. Les dispositions relatives aux aspects de la sous-traitance ultérieure liés à la protection des données du contrat visé au paragraphe 1 sont régies par le droit de l’État membre où l’exportateur de données est établi.

4. L’exportateur de données tient une liste des accords de sous-traitance ultérieure conclus en vertu des présentes Clauses et notifiés par l’importateur de données conformément à la Clause 5, point j), qui sera mise à jour au moins une fois par an. Cette liste est mise à la disposition de l’autorité de contrôle de la protection des données de l’exportateur de données.

Clause 12

Obligation après la résiliation des services de traitement des données à caractère personnel

1. Les parties conviennent qu’au terme des services de traitement des données, l’importateur de données et le sous-traitant ultérieur restitueront à l’exportateur de données, et à la convenance de celui-ci, l’ensemble des données à caractère personnel transférées ainsi que les copies, ou détruiront l’ensemble de ces données et en apporteront la preuve à l’exportateur de données, à moins que la législation imposée à l’importateur de données ne l’empêche de restituer ou de détruire la totalité ou une partie des données à caractère personnel transférées. Dans ce cas, l’importateur de données garantit qu’il assurera la confidentialité des données à caractère personnel transférées et qu’il ne traitera plus activement ces données.

2. L’importateur de données et le sous-traitant ultérieur garantissent que si l’exportateur de données et/ou l’autorité de contrôle le demandent, ils soumettront leurs moyens de traitement de données à une vérification des mesures visées au paragraphe 1.

Au nom de Mailgun Technologies, Inc. :

Nom : Josh Odom
Fonction : CTO
Adresse : 112 E Pecan St #1135
San Antonio, TX 78205

Au nom de l’Exportateur de données

Appendice 1 des Clauses contractuelles types

EXPORTATEUR DE DONNÉES

L’exportateur de données est l’entité qui transfère les données personnelles en dehors de l’EEE et utilise les services Mailgun en tant que client direct de Mailgun ou en tant qu’utilisateur final via le client de Mailgun.

IMPORTATEURS DE DONNÉES

L’importateur de données est Mailgun Technologies, Inc. et ses Sociétés Affiliées.

PERSONNES CONCERNÉES

Les données personnelles transférées peuvent concerner des personnes sur lesquelles des données personnelles sont transmises ou stockées par l’exportateur de données via le système et/ou les services hébergés par Mailgun.

CATÉGORIES DE DONNÉES
Les données personnelles transférées comprennent le nom, l’email, l’adresse IP et les données personnelles incluses dans les contenus du message.

TRAITEMENT

En vertu de l’Accord, Mailgun fournit certains services de courrier électronique à l’exportateur de données ou à l’importateur de données, selon le cas. Mailgun peut donc traiter des données personnelles. Ces activités de traitement comprennent (a) la fourniture des services ; (b) la détection, la prévention et la résolution des problèmes de sécurité et techniques ; et (c) répondre aux demandes d’assistance du Client.

Appendice 2 des Clauses contractuelles types

Le présent appendice fait partie des clauses et doit être rempli et signé par les parties.

Description des mesures techniques et organisationnelles liées à la sécurité mises en œuvre par l’importateur de données conformément à la clause 4, point d), et à la clause 5, point c) (ou document/législation jointe).

L’importateur de données met en œuvre des mesures de sécurité équivalentes à celles requises en vertu de l’accord, de l’addendum et de tout document accessoire conclu en vertu de l’accord.

Dans le but de sécuriser les données personnelles traitées, Mailgun utilise les meilleures pratiques du secteur telles que décrites à l’annexe 2 de cet accord.