Accord de traitement des données (DPA)

Le « Client », responsable du traitement, est la personne physique ou morale identifiée dans la fiche contractuelle client de l’annexe 1. La personne qui l’engage dispose du pouvoir nécessaire.

Le « Prestataire », sous-traitant, est MIKE MC FORMATIONS LLC, opérateur du service AgentsMail.io, 1704 Llano St Ste B-1433, Santa Fe, NM 87505, USA. Son représentant habilité est identifié dans la fiche contractuelle applicable. Contact pour la protection des données et les incidents : support@agentsmail.io.

Le présent accord (« DPA ») complète le contrat de fourniture d’AgentsMail.io identifié à l’annexe 1 (« Contrat principal »). Il porte exclusivement sur les données personnelles que le Prestataire traite pour le compte du Client dans ce cadre (« Données du Client »). Les termes « traitement », « violation de données » et « personne concernée » ont le sens du RGPD.

Le Client détermine les finalités et les moyens essentiels. Le Prestataire agit pour son compte pour la gestion des contacts, les imports, les campagnes, l’acheminement des courriels et les statistiques, uniquement dans la mesure où ces fonctions sont effectivement fournies et configurées. L’annexe 1 précise l’objet, la nature, les finalités, la durée, les données et les personnes concernées.

Les éventuels traitements pour lesquels le Prestataire détermine ses propres finalités, notamment la facturation de son service ou ses obligations légales propres, doivent être identifiés et expliqués séparément dans une information appropriée. Cette réserve ne l’autorise pas à réutiliser les listes, contenus ou statistiques du Client pour ses propres campagnes, à les vendre ou à les communiquer pour un usage indépendant.

Le Prestataire traite les Données du Client uniquement sur instructions documentées du Client, y compris pour les transferts internationaux. Le DPA, ses annexes validées, les paramètres choisis dans le service et les demandes écrites des personnes habilitées constituent ces instructions dans les limites du Contrat principal. Toute instruction nouvelle modifiant le périmètre fait l’objet d’un accord écrit préalable sur sa mise en œuvre.

Lorsqu’un traitement est imposé au Prestataire par le droit de l’Union ou d’un État membre auquel il est soumis, il informe le Client de cette obligation avant le traitement, sauf interdiction légale motivée par un intérêt public important. Une demande fondée sur le droit d’un pays tiers est examinée conformément au RGPD, notamment son article 48, et au mécanisme de transfert applicable ; elle ne vaut pas, à elle seule, instruction du Client.

Le Prestataire informe immédiatement le Client s’il estime qu’une instruction enfreint le RGPD ou une autre règle de protection des données de l’Union ou d’un État membre. Il suspend l’instruction concernée le temps de sa clarification, sans suspendre inutilement les traitements licites. Il ne détermine pas de nouvelles finalités à la place du Client.

Le Client dispose d’une base juridique valable, fournit l’information requise aux personnes, limite les données au nécessaire, veille à leur exactitude et définit des durées de conservation appropriées. Il s’assure que ses instructions et les contenus importés ou envoyés sont licites, et organise la gestion des demandes et des oppositions.

Le présent DPA ne vaut ni consentement à la prospection, ni validation d’une liste de contacts. Le fait qu’une personne soit un ancien élève ou client ne suffit pas, à lui seul, à autoriser tout courriel commercial. Avant une campagne, le Client vérifie les règles applicables, les preuves de consentement ou, lorsque toutes ses conditions sont réunies, l’exception pour les clients existants. Il tient compte des désabonnements, oppositions, exclusions et limites de conservation ; il ne réimporte pas des contacts exclus pour contourner leur choix.

Le Client évalue les garanties du Prestataire avant de lui confier les données. La répartition des tâches du présent DPA ne réduit pas les obligations propres que le RGPD impose au Prestataire.

Le Prestataire limite l’accès aux personnes qui en ont besoin pour les opérations autorisées. Il s’assure qu’elles sont soumises à une obligation de confidentialité contractuelle ou légale appropriée et qu’elles connaissent les instructions et leurs obligations. La confidentialité demeure applicable après la fin de leur intervention.

Le Prestataire met en œuvre et maintient les mesures techniques et organisationnelles appropriées au risque conformément à l’article 32 du RGPD. Elles couvrent, selon les besoins, la confidentialité, l’intégrité, la disponibilité, la résilience, la restauration et l’évaluation régulière de leur efficacité. L’annexe 2 décrit les mécanismes du service et les responsabilités respectives ; les dispositions particulières et preuves de contrôle sont consignées dans la fiche de sécurité convenue entre les parties.

Les engagements particuliers de chiffrement, sauvegarde, restauration et disponibilité sont ceux de la fiche de sécurité contractuelle applicable. Ils ne diminuent pas l’obligation légale de sécurité appropriée du Prestataire. Toute évolution matérielle est documentée et ne doit pas diminuer le niveau de protection convenu.

Le Client accorde une autorisation générale écrite de recourir aux sous-traitants ultérieurs nommément identifiés dans l’annexe 3 contractuelle applicable. L’autorisation porte sur les entités et traitements qui y sont convenus ; elle ne s’étend pas indistinctement à toutes les intégrations disponibles.

Avant tout ajout ou remplacement, le Prestataire informe le Client par écrit de l’entité, de sa mission, des données concernées, des pays de traitement et d’accès, des garanties et de la date envisagée. Il laisse un délai préalable raisonnable permettant une objection effective, précisé dans la fiche contractuelle avant la prise d’effet. Le Client peut s’opposer pour un motif documenté de protection des données.

Les parties recherchent alors une solution appropriée : garanties complémentaires, prestataire alternatif ou absence de recours pour les données concernées. Le nouvel intervenant ne reçoit pas ces données tant que l’objection n’est pas résolue. À défaut de solution, le Client peut mettre fin à la partie affectée du service et demander la restitution ou la suppression selon l’article 10 ; les conséquences financières relèvent du Contrat principal, sans neutraliser les droits impératifs.

Le Prestataire vérifie les garanties suffisantes de chaque intervenant et lui impose par écrit les mêmes obligations de protection des données que celles pertinentes du présent DPA, notamment la sécurité et l’assistance. Il demeure pleinement responsable envers le Client de l’exécution de ces obligations par ses sous-traitants ultérieurs. Il communique les éléments contractuels utiles, avec occultation strictement nécessaire des informations étrangères au contrôle.

Compte tenu de la nature du traitement, le Prestataire aide le Client, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, à répondre aux demandes d’information, d’accès, de rectification, d’effacement, de limitation, de portabilité et d’opposition, ainsi qu’aux demandes relatives aux décisions automatisées lorsqu’elles sont applicables.

Il transmet sans retard injustifié toute demande reçue directement concernant les Données du Client au contact de l’annexe 1, sans y répondre au fond sauf instruction du Client ou obligation légale. Il préserve les éléments utiles, aide à retrouver les données et exécute les suites licites demandées. Le Client pilote la vérification de l’identité, la décision et la réponse dans les délais légaux.

Compte tenu de la nature du traitement et des informations à sa disposition, le Prestataire aide le Client à respecter les articles 32 à 36 du RGPD : sécurité, gestion des violations, analyses d’impact et consultation préalable de l’autorité. Il fournit la documentation et les éléments techniques utiles. Les modalités pratiques ou frais d’assistance peuvent être convenus au Contrat principal ; ils ne doivent pas faire obstacle à une obligation légale, à l’urgence ou à l’exercice effectif des droits.

Le Prestataire notifie au Client toute violation affectant les Données du Client sans retard injustifié après en avoir pris connaissance. Il n’attend pas la fin de l’enquête pour effectuer une première notification. Les contacts et modalités opérationnelles d’escalade sont ceux de la fiche de sécurité contractuelle ; aucun délai convenu ne permet de retarder injustement la notification.

La notification contient, selon les informations disponibles : la nature de l’incident ; les catégories et nombres approximatifs de personnes et d’enregistrements concernés ; le contact de suivi ; les conséquences probables ; les mesures prises ou proposées pour remédier à l’incident et en limiter les effets. Les informations manquantes sont fournies progressivement sans retard injustifié.

Le Prestataire contient l’incident, préserve les éléments nécessaires, documente les faits et coopère à l’analyse et à la remédiation. Le Client décide des notifications à l’autorité et aux personnes concernées selon ses obligations légales. Le Prestataire ne les réalise au nom du Client que sur instruction, sauf obligation légale propre.

Le Prestataire met à disposition du Client les informations nécessaires pour démontrer le respect de l’article 28 du RGPD et du présent DPA. Il permet les audits, y compris les inspections, réalisés par le Client ou un auditeur indépendant mandaté par lui, et y contribue.

Les parties organisent raisonnablement le périmètre, la confidentialité, les accès et le calendrier afin de protéger les autres clients et la sécurité du service. Des documents récents peuvent constituer une première étape, sans remplacer une inspection nécessaire. Aucun plafond de fréquence, préavis ou frais ne peut empêcher un contrôle justifié par un incident, un doute sérieux de conformité ou une demande d’une autorité. Le Prestataire corrige les non-conformités qui lui incombent et documente les actions convenues.

Chaque partie tient les registres et coopère avec les autorités compétentes dans la mesure exigée par les règles qui lui sont applicables.

L’annexe 3 et les fiches de transfert contractuelles identifient les pays d’hébergement, de sauvegarde et d’accès à distance, y compris ceux de l’opérateur établi aux États-Unis et des équipes de support lorsqu’ils sont concernés. Le seul choix d’une région européenne chez un fournisseur ne prouve pas l’absence de transfert hors de l’Espace économique européen (« EEE »).

Le Prestataire ne réalise un transfert soumis au chapitre V du RGPD que sur instruction documentée du Client et après identification d’un mécanisme valable pour le flux concerné. L’annexe 3 indique l’exportateur, l’importateur, les pays, les données, les accès, le fondement du transfert et les vérifications nécessaires.

Une décision d’adéquation ne peut être invoquée que si elle s’applique effectivement à l’entité destinataire et au traitement. Aucune adhésion au Data Privacy Framework n’est présumée. Lorsque des garanties de l’article 46 sont nécessaires, les parties valident l’instrument approprié, l’évaluation du transfert et les mesures complémentaires requises avant le transfert.

Les clauses types de la décision (UE) 2021/914 ne sont pas incorporées automatiquement par le présent DPA. Leur champ d’application, notamment au regard de l’article 3 du RGPD pour les traitements de l’importateur, ainsi que le module, les options et annexes pertinents, sont déterminés pour le flux concerné. Un autre mécanisme valable est retenu si ces clauses ne sont pas applicables.

Le Prestataire signale sans retard injustifié s’il ne peut plus respecter les garanties applicables et suspend le flux concerné jusqu’à régularisation. Sous réserve des interdictions légales, il informe le Client des demandes d’accès d’autorités, en examine la légalité et limite toute divulgation à ce qui est légalement requis.

Le DPA prend effet à la date de sa dernière acceptation valable avec les annexes contractuelles applicables. Il s’applique pendant les traitements pour le Client, puis jusqu’à la restitution ou suppression complète selon le présent article. Il ne régularise pas rétroactivement un traitement ou transfert antérieur illicite.

À la fin des prestations, le Prestataire, au choix documenté du Client, restitue les Données du Client dans un format convenu puis supprime les copies restantes, ou les supprime directement, sauf si le droit de l’Union ou d’un État membre exige leur conservation. Les modalités et délais, y compris pour les sauvegardes et sous-traitants ultérieurs, sont fixés à l’annexe 1. Il confirme l’exécution par écrit sur demande du Client.

Dans l’attente de la suppression, les données conservées restent protégées, isolées des usages courants et non réutilisées. Si une sauvegarde est restaurée, les instructions d’effacement et d’opposition encore applicables sont réappliquées. Toute conservation légale exceptionnelle est limitée aux données, à la finalité et à la durée requises et portée à la connaissance du Client, sauf interdiction légale.

En cas de contradiction concernant la protection des Données du Client, le présent DPA prévaut sur le Contrat principal. Les dispositions impératives du RGPD et, le cas échéant, les clauses types de transfert valablement conclues prévalent sur toute stipulation incompatible.

Le droit applicable, la juridiction et les règles de responsabilité convenus au Contrat principal demeurent applicables uniquement dans la mesure compatible avec les droits impératifs des personnes, les compétences des autorités et les obligations légales des parties. Aucun plafond contractuel ne réduit les droits des personnes ni les pouvoirs d’une autorité de contrôle.

Toute modification substantielle du DPA ou de ses annexes est documentée et acceptée valablement ; la procédure de l’article 5 s’applique aux sous-traitants ultérieurs. L’invalidité d’une stipulation n’affecte pas les autres dans la mesure où elles peuvent subsister légalement.

Le document contractuel de référence est le DPA AgentsMail.io, version 1.0 du 12 octobre 2026, avec ses annexes 1 à 3 et, lorsque nécessaire, l’instrument de transfert distinct identifié dans la fiche contractuelle.

Pour chaque Client, la fiche contractuelle et les preuves d’acceptation identifient les parties, les signataires habilités et leur qualité, le Contrat principal, les versions des annexes, la date réelle d’acceptation et la signature ou l’acte électronique correspondant. Ces éléments sont propres à la relation contractuelle et ne sont pas publiés sur cette page générale.

La version applicable et la preuve de son acceptation sont à conserver par les parties. La date de publication ci-dessus ne remplace pas la date d’acceptation individuelle. La seule consultation de cette page, la création d’un compte ou le choix d’une offre ne démontre pas à lui seul l’acceptation de ce DPA. Une copie des documents applicables peut être demandée à support@agentsmail.io.

La fiche contractuelle propre au Client identifie sa dénomination ou son identité, son adresse, son représentant habilité, ses contacts pour les instructions, les droits et les incidents, son organisation AgentsMail et le Contrat principal. Elle précise les fonctions et campagnes autorisées, leurs finalités et la durée de la prestation.

Objet et opérations : gestion de contacts et envoi de courriels selon les fonctions choisies ; import, enregistrement, organisation, stockage, consultation, sélection, mise à jour, acheminement, gestion des désabonnements et incidents de livraison, statistiques autorisées, export et suppression. Le suivi d’ouverture ou de clic nécessite une instruction et un fondement adaptés ; il n’est pas autorisé par la seule conclusion du DPA.

Personnes concernées : prospects, abonnés, clients et autres contacts licitement détenus par le Client ; membres habilités de son organisation. Les catégories particulières, dont les mineurs lorsqu’ils sont concernés, et les précautions nécessaires sont spécifiées dans la fiche client.

Données : nom, prénom, adresse électronique, listes, tags et attributs pertinents fournis par le Client, provenance, statut de consentement ou d’opposition et preuves associées, contenus des messages et données de livraison ou d’interaction nécessaires aux fonctions autorisées. Les autres champs et métadonnées sont limités au périmètre convenu.

Exclusions : données relevant des articles 9 ou 10 du RGPD, pièces d’identité, informations médicales, financières détaillées ou dossiers pédagogiques détaillés, sauf accord spécifique écrit après évaluation des risques et garanties.

La fiche fixe pour chaque catégorie la durée et son événement déclencheur : contacts, campagnes et statistiques, journaux, liste minimale d’opposition et sauvegardes. Elle précise le choix du Client en fin de service, le format et canal de restitution, les délais d’export et de suppression active, le cycle de suppression des sauvegardes ainsi que toute exception légale, sa finalité, son accès et sa durée. Aucune durée uniforme ni suppression instantanée de toutes les sauvegardes n’est stipulée par la présente annexe générale.

Accès et séparation : le service comporte des comptes, des organisations distinctes, des rôles et des contrôles d’autorisation côté serveur, ainsi que des permissions d’accès API/MCP. Le Client attribue les accès à ses membres et agents, protège ses identifiants et révoque les accès inutiles. Le Prestataire encadre les accès de ses intervenants et leur confidentialité.

Cycle de vie : le service propose des mécanismes d’export et de suppression, de désabonnement et de gestion des rebonds et plaintes. Le Client définit ses instructions et fournit les éléments nécessaires à leur exécution. Les demandes d’assistance ou d’incident sont adressées à support@agentsmail.io et au contact du Client figurant dans la fiche contractuelle.

La fiche de sécurité applicable décrit, pour chaque mesure, le périmètre, le responsable, la référence de preuve et la date du contrôle : privilèges administrateurs et authentification ; séparation des environnements et secrets ; protection des échanges et du stockage ; sauvegardes et restauration ; journalisation et alertes ; maintenance et vulnérabilités ; exercice des droits et propagation des suppressions ; incidents et escalade.

Les objectifs particuliers de restauration, rétention, disponibilité et notification sont ceux expressément convenus dans cette fiche. Les contrôles nécessaires et corrections sont documentés. L’article 4 reste applicable indépendamment de tout objectif particulier ; cette annexe n’attribue aucune certification SOC 2 ou autre à AgentsMail.

Vercel héberge et exécute le site : les requêtes, adresses IP, journaux et données traitées par les fonctions appelées peuvent être concernés. Vercel Inc. publie l’adresse 440 N Barranca Avenue #4133, Covina, CA 91723, United States. Le réseau de diffusion et les accès peuvent être internationaux.

Supabase fournit la base de données et, selon usage, le stockage associé : comptes, organisations, contacts, contenus, événements et fichiers concernés. L’exploitant indique l’Irlande pour la base ; cette région ne décrit pas tous les accès de support et sauvegardes.

Amazon Web Services, via Amazon SES, assure l’acheminement des courriels : expéditeurs, destinataires, contenus, métadonnées, rebonds et plaintes. L’exploitant indique l’Irlande pour l’envoi ; les autres traitements, journaux et accès font l’objet de leur propre qualification.

La page Sous-traitants précise les autres intervenants par fonction, notamment paiement, orchestration, diagnostic, messages applicatifs et intégrations facultatives. La fiche contractuelle identifie les entités effectivement retenues, leurs adresses, missions, données, pays de stockage et d’accès, durées, DPA et versions applicables. Un outil connecté directement par le Client est distingué d’un fournisseur choisi par le Prestataire.

Chaque fiche de transfert précise l’exportateur et l’importateur et leurs rôles, pays et accès, données et finalités, application territoriale du RGPD, mécanisme du chapitre V et justificatifs, évaluation et mesures complémentaires requises, ainsi que la date et le responsable de validation. Elle traite séparément la relation Client–MIKE MC FORMATIONS LLC et les flux vers les fournisseurs. L’article 9 s’applique avant tout transfert concerné.

• Liste des sous-traitants AgentsMail
• Vercel — DPA
• Supabase — DPA
• AWS — sous-traitants