Accord de traitement des données
Conformément à l'art. 28 du RGPD
Dernière mise à jour: 25 juillet 2026
Le présent accord relatif au traitement des données — accord de sous-traitance au sens de l’art. 28 RGPD, ci-après « AST » — fait partie intégrante des conditions d’utilisation conclues entre vous, en tant que titulaire du compte (« responsable du traitement »), et Fontemia GmbH, en tant qu’exploitante de BgLetter (« sous-traitant »). Il s’applique automatiquement et sans signature distincte dès que vous faites traiter, via le Channel, des données à caractère personnel de vos destinataires. Sur demande, nous vous remettons un exemplaire signé.
1. Objet, étendue et durée
L’objet du traitement est la réalisation des envois d’e-mails déclenchés par le responsable du traitement via le Channel BgLetter. Le sous-traitant n’assure délibérément aucune gestion de contacts ou d’adresses : les données des destinataires sont fournies par le responsable du traitement pour chaque envoi, traitées exclusivement pour cet envoi et supprimées automatiquement à l’expiration du délai prévu au chiffre 10. Le traitement dure aussi longtemps que le compte existe et prend fin avec la suppression de celui-ci, sous réserve des obligations légales de conservation.
2. Nature et finalité du traitement
Collecte, conservation, personnalisation, tri, traduction ainsi que transmission de données de destinataires aux fins de l’envoi des messages créés par le responsable du traitement, via le propre fournisseur de messagerie de celui-ci ; en outre, l’enregistrement des événements de remise, d’ouverture, de clic et de désabonnement, la tenue de la liste de désabonnement ainsi que la journalisation technique aux fins d’analyse des erreurs et de prévention des abus.
3. Catégories de personnes concernées et de données
Les personnes concernées sont les destinataires des messages désignés par le responsable du traitement. Catégories de données traitées : adresse e-mail, nom ainsi que les champs de personnalisation fournis par le responsable du traitement, en outre les indications de langue et de pays ainsi que les données d’événements relatives à la remise, à l’ouverture, au clic et au désabonnement. Le responsable du traitement ne peut faire traiter via le Channel ni catégories particulières de données à caractère personnel au sens de l’art. 9 RGPD, ni données au sens de l’art. 10 RGPD.
4. Traitement sur instruction
Le sous-traitant ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement, à moins qu’il ne soit tenu d’y procéder en vertu du droit de l’Union ou du droit d’un État membre ; dans ce cas, il informe le responsable du traitement de cette obligation juridique avant le traitement, sauf si le droit applicable l’interdit pour des motifs importants d’intérêt public. L’utilisation des fonctions du Channel vaut instruction. Les instructions particulières requièrent la forme texte. Le sous-traitant informe sans délai le responsable du traitement s’il estime qu’une instruction viole le droit de la protection des données ; il peut en suspendre l’exécution jusqu’à clarification.
5. Confidentialité
Le sous-traitant veille à ce que les personnes autorisées à traiter les données se soient engagées à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité, et à ce qu’elles soient instruites des dispositions pertinentes en matière de protection des données. Le cercle des personnes autorisées à accéder aux données est limité au minimum nécessaire à l’exécution du contrat.
6. Mesures techniques et organisationnelles (art. 32 RGPD)
Le sous-traitant prend notamment les mesures suivantes : transmission chiffrée de toutes les données (TLS) ; stockage chiffré des identifiants du compte e-mail (AES-256) et conservation des mots de passe uniquement sous forme d’empreinte ; séparation stricte des clients au niveau de la base de données ; contrôle d’accès fondé sur les rôles et authentification à deux facteurs optionnelle ; journalisation des opérations relatives à la sécurité ; durcissement des serveurs, pare-feu, limitation du débit et détection des abus ; sauvegardes régulières des données système ; minimisation des données par suppression automatique après 30 jours ; serveurs situés en Allemagne. Le sous-traitant peut faire évoluer ces mesures pour autant que le niveau de protection ne soit pas abaissé.
7. Sous-traitants ultérieurs
Le responsable du traitement donne l’autorisation générale de recourir aux sous-traitants ultérieurs suivants : un hébergeur dont les serveurs sont situés en Allemagne pour l’exploitation de l’infrastructure, ainsi qu’Anthropic pour les fonctions d’IA optionnelles (traduction et assistant), étant précisé que seuls les contenus des messages sont alors transmis, à l’exclusion de toute adresse de destinataire. Le traitement des paiements via PayPal ne concerne que les données du responsable du traitement lui-même et relève de sa propre responsabilité. Le fournisseur de messagerie choisi par le responsable du traitement n’est pas un sous-traitant ultérieur du sous-traitant, mais relève de la responsabilité du responsable du traitement. Le sous-traitant informe de tout changement envisagé au moins 30 jours à l’avance sous forme de texte ; le responsable du traitement peut s’y opposer pour un motif important tenant à la protection des données et, dans ce cas, résilier le contrat.
8. Assistance du responsable du traitement
Le sous-traitant aide le responsable du traitement, par des mesures techniques et organisationnelles appropriées, à répondre aux demandes des personnes concernées (art. 12 à 23 RGPD) ainsi qu’à respecter les obligations découlant des art. 32 à 36 RGPD, dans la mesure où cela est proportionné et où le sous-traitant dispose des informations nécessaires. Si une personne concernée s’adresse directement au sous-traitant, celui-ci transmet la demande sans délai au responsable du traitement. Le sous-traitant peut faire rémunérer selon le temps consacré les prestations d’assistance allant au-delà de l’étendue prévue à l’art. 28 RGPD.
9. Notification des violations de données à caractère personnel
Le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel dont il a connaissance, sans délai et au plus tard dans les 48 heures suivant sa prise de connaissance, sous forme de texte, et met à disposition les informations dont il dispose et dont le responsable du traitement a besoin pour ses propres obligations de notification au sens des art. 33 et 34 RGPD. L’obligation de notification à l’autorité de contrôle et aux personnes concernées incombe exclusivement au responsable du traitement.
10. Suppression et restitution
Les données des destinataires, les contenus des messages et les données d’événements sont supprimés automatiquement et irrémédiablement au plus tard 30 jours après l’envoi concerné. À la fin du contrat, le sous-traitant supprime l’ensemble des données à caractère personnel restantes dans un délai de 30 jours, pour autant qu’aucune obligation légale de conservation n’existe ; les copies de sauvegarde sont écrasées dans le cadre des cycles de sauvegarde ordinaires. Le responsable du traitement est tenu de sauvegarder les données nécessaires au moyen des fonctions d’export avant l’expiration de ces délais. Seule la liste de désabonnement reste conservée durablement, aux fins de l’exécution des obligations découlant de l’art. 21 RGPD.
11. Preuves et contrôles
Le sous-traitant met à la disposition du responsable du traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues à l’art. 28 RGPD, en règle générale au moyen d’une description actualisée des mesures techniques et organisationnelles ainsi que de renseignements écrits. Si ces preuves ne suffisent pas dans un cas particulier, le sous-traitant permet un contrôle après annonce préalable dans un délai raisonnable, pendant les heures d’ouverture habituelles, au maximum une fois par an, sans perturbation de l’exploitation, dans le respect de la confidentialité ainsi que des droits des autres clients, et aux frais du responsable du traitement. Les contrôles effectués par des tiers supposent l’engagement de confidentialité de ceux-ci ; les concurrents sont exclus.
12. Obligations du responsable du traitement
Le responsable du traitement est seul responsable de la licéité du traitement. Il s’assure en particulier que chaque prise de contact repose sur une base légale valable — notamment un consentement dont la preuve peut être apportée —, qu’il informe les destinataires de manière transparente, qu’il respecte les droits des personnes concernées, qu’il tient compte des oppositions et qu’il ne transmet aucune catégorie particulière de données à caractère personnel. Il tient lui-même le registre des activités de traitement pour ses propres traitements et évalue sous sa propre responsabilité la nécessité d’une analyse d’impact relative à la protection des données.
13. Responsabilité
La responsabilité dans les rapports entre les parties est régie par les conditions d’utilisation ; l’art. 82 RGPD demeure réservé. Dans les rapports internes, chaque partie supporte la part du dommage qui correspond à sa contribution. Le responsable du traitement garantit le sous-traitant contre les prétentions fondées sur le caractère illicite des données qu’il a fournies ou des instructions qu’il a données.
14. Transferts internationaux
Le traitement a lieu sur des serveurs situés en Allemagne (UE/EEE). Le sous-traitant a son siège en Suisse, qui fait l’objet d’une décision d’adéquation de la Commission européenne (art. 45 RGPD). Un transfert vers un pays tiers dépourvu de décision d’adéquation n’intervient que dans le cadre des fonctions d’IA optionnelles et est encadré par les clauses contractuelles types de la Commission européenne.
15. Dispositions finales
Les modifications du présent AST requièrent la forme texte. En cas de contradiction, les dispositions du présent AST priment sur les conditions d’utilisation pour le domaine de la sous-traitance. Si une disposition devait être nulle, la validité des autres dispositions n’en est pas affectée. La version allemande fait foi.
16. Contact
Pour toute question relative au présent AST, veuillez vous adresser à :
Cette page a une vocation informative et ne constitue pas un conseil juridique.
Voir aussi: Conditions d'utilisation · Politique de confidentialité · Mentions légales