Choisir un outil email SaaS : contrat, DPA et documentation RGPD

Brevo

Brevo fournit un DPA accessible depuis son espace juridique. Pour votre revue, joignez la version applicable au contrat et identifiez la procédure qui s’applique si les sous-traitants changent. Pour la liste des sous-traitants ultérieurs, demandez l’URL à jour, les activités confiées à chaque entité et les délais de notification. Reliez ces éléments aux traitements activés dans votre application, notamment aux campagnes et messages déclenchés par un événement produit.

La politique de confidentialité mentionne des transferts hors Espace économique européen; la région d’hébergement reste à confirmer. Demandez les pays concernés, les accès d’assistance et le mécanisme utilisé pour chaque transfert, puis examinez les clauses contractuelles types applicables et les mesures associées. Ne déduisez pas la localisation des données de la seule langue de l’interface ou du siège de l’entreprise. Consignez les réponses dans votre cartographie des flux et vérifiez qu’elles couvrent les sous-traitants ultérieurs.

Pour les demandes d’accès ou d’effacement, demandez quels champs et événements peuvent être exportés, comment une suppression agit sur les listes, segments et historiques, et si une liste de suppression conserve un identifiant minimal. Les détails opérationnels sont À vérifier avec le fournisseur. Brevo propose aussi des emails transactionnels et de l’automatisation marketing; inscrivez donc les usages activés et leurs finalités séparément dans votre registre. Le plan Starter coûte 9 $ par mois pour un niveau de départ de 5 000 emails mensuels, avec jusqu’à 500 contacts stockés au premier palier.

Twilio SendGrid

Twilio publie un Data Protection Addendum. Demandez si ce document couvre le produit SendGrid et les fonctions précises que votre SaaS compte utiliser, puis rapprochez les rôles contractuels de votre description du traitement. Pour les sous-traitants ultérieurs, demandez la liste courante, les services fournis et la façon dont les changements sont annoncés.

La région d’hébergement et la disponibilité d’un hébergement européen restent à confirmer. Avant toute activation, demandez où les données sont stockées, où le support peut y accéder et quels transferts internationaux peuvent intervenir. Si des transferts hors UE sont possibles, demandez le mécanisme applicable, y compris les clauses contractuelles types lorsque ce cadre est utilisé, ainsi que les mesures complémentaires décrites par le fournisseur. Gardez ces réponses avec l’évaluation des flux et vérifiez qu’elles correspondent à votre région de compte.

Pour l’exercice des droits, clarifiez comment retrouver et exporter un profil avec ses événements, comment déclencher la suppression et si une liste de suppression doit être conservée pour prévenir une réimportation. Les options exactes d’export et d’effacement sont À vérifier. SendGrid propose des services d’email transactionnel et de campagnes marketing; séparez ces catégories dans le registre et précisez les équipes responsables. Le plan Marketing Campaigns Basic coûte 15 $ par mois pour 5 000 contacts et jusqu’à 15 000 emails par mois. Les modalités contractuelles propres à ce produit doivent être confirmées avec Twilio.

Mailgun

La disponibilité d’un DPA pour le service et le compte doit être confirmée : À vérifier. Demandez le texte applicable et comment ses clauses s’articulent avec les fonctions API choisies et les données de diagnostic générées. La liste des sous-traitants et sa procédure de mise à jour sont également À vérifier : demandez les noms, pays, fonctions confiées et modalités de notification. Une réponse utile distingue les prestataires qui traitent le contenu des messages de ceux qui assurent l’infrastructure ou le support.

Mailgun propose des régions d’hébergement aux États-Unis et dans l’Union européenne. Faites préciser la région de votre compte et si des équipes ou sous-traitants accèdent aux données depuis d’autres pays. Demandez le mécanisme des transferts hors UE et si des clauses contractuelles types sont intégrées aux engagements applicables. Faites confirmer le périmètre pour le produit et les options retenus.

Un processus de sortie doit couvrir les adresses, attributs, journaux et événements. Demandez comment exporter les éléments nécessaires à une demande d’accès, comment supprimer un contact et comment gérer les listes de suppression après la fin du contrat. Les capacités exactes d’export et de suppression sont À vérifier. Votre registre doit distinguer les emails opérationnels envoyés par API de toute autre utilisation. Pour un tarif d’entrée, le plan Flex coûte 15 $ par mois pour 10 000 emails; faites confirmer le périmètre de données associé et les conditions du DPA avant de traiter des données de production.

Resend

Pour le DPA, demandez le document contractuel applicable et la liste des sous-traitants ultérieurs pour votre compte. Faites confirmer les clauses, le processus de mise à jour des prestataires et l’assistance fournie pour les demandes de droits. Pour votre dossier, conservez le DPA accepté et une liste datée des entités qui interviennent dans le service réellement configuré. Si le fournisseur ne publie pas la liste, demandez-la avant de décider quelles données transmettre.

Les notes de localisation mentionnent des traitements et transferts internationaux; ne présumez pas que toutes les données restent dans une région européenne. Demandez le lieu de stockage des messages, des métadonnées et des journaux, ainsi que les pays depuis lesquels les équipes peuvent accéder au compte. Pour chaque transfert hors UE, identifiez le mécanisme juridique applicable et les mesures complémentaires présentées. Les détails propres au compte sont À vérifier et doivent alimenter votre registre ainsi que l’analyse des transferts.

Resend est orienté vers l’envoi transactionnel par API. Décrivez les événements qui déclenchent un message et limitez les propriétés transmises à ce qui est nécessaire à ce flux. Demandez une démonstration des procédures d’export, de suppression et de traitement des journaux, y compris la durée pendant laquelle les copies de sauvegarde sont conservées. Le plan Pro coûte 20 $ par mois pour 50 000 emails et inclut un niveau de rétention des logs qui doit être examiné séparément de votre politique interne de conservation des contacts.

MailerLite

MailerLite propose un DPA, un centre de stockage dans l’Union européenne, la certification ISO 27001 et des contrôles RGPD. Téléchargez le document applicable à votre abonnement et vérifiez l’assistance en cas de demande d’accès ou d’effacement. La liste des sous-traitants et le mécanisme de notification sont À vérifier. Demandez une liste datée des prestataires liés à l’hébergement, à l’analyse et au support.

La région d’hébergement et les pays d’accès aux données doivent être confirmés au regard de votre compte et de ses fonctions. Demandez si des transferts hors UE ont lieu, quels mécanismes sont utilisés et si les clauses contractuelles types s’appliquent. Ne confondez pas la disponibilité d’un DPA avec une garantie d’hébergement dans l’UE : ce sont deux questions distinctes. Ajoutez au registre les flux réels et les catégories de données chargées dans les formulaires, campagnes et automatisations.

Avant le déploiement, parcourez le parcours d’une demande d’accès et d’effacement de bout en bout : contact, groupes, champs personnalisés et éventuel historique de campagne. Demandez si une suppression peut coexister avec une liste de blocage destinée à éviter une réinscription ultérieure, et combien de temps les sauvegardes persistent. Les capacités précises d’export et de purge sont À vérifier. Le plan Growing Business coûte 10 $ par mois en facturation annuelle pour 500 abonnés; cette base de prix dépend du nombre de contacts, tandis que vos règles documentaires doivent aussi couvrir les événements envoyés.

Loops

Pour Loops, le DPA, la liste des sous-traitants et la localisation des données sont à vérifier auprès du fournisseur. Demandez le texte applicable à votre abonnement, les instructions couvertes et l’assistance aux demandes de droits. Faites préciser les rôles des prestataires, leur emplacement et la procédure de mise à jour. Ajoutez la réponse au dossier avec les fonctions activées.

Les informations sur la région d’hébergement et les transferts doivent être confirmées avant de choisir la configuration. Demandez les lieux de stockage des profils, événements et journaux, ainsi que les pays depuis lesquels le support peut intervenir. Si des données sont transférées hors UE, faites préciser le mécanisme juridique, notamment l’usage éventuel de clauses contractuelles types, et les mesures qui les accompagnent. Consignez la réponse dans la cartographie des flux, sans déduire la résidence des données à partir de l’adresse de l’entreprise.

Loops combine les contacts avec des fonctions d’automatisation. Décrivez les attributs et événements que vous lui transmettez, puis demandez comment exporter un profil avec son historique et comment supprimer les données d’un contact. Vérifiez séparément la durée de conservation des journaux et sauvegardes ainsi que le traitement des listes de suppression. Le plan Growing Audience coûte 99 $ par mois pour les envois aux abonnés sans limite d’envoi. La tarification ne répond pas aux questions contractuelles : examinez les outils de sortie et les conditions de fin de service avant d’importer des données réelles.

Postmark

Pour Postmark, le DPA et la liste des sous-traitants sont à vérifier avant la signature. Demandez si les clauses de traitement couvrent le flux transactionnel envisagé, notamment les messages de compte et les notifications générées par le produit. Obtenez également la procédure applicable aux nouveaux sous-traitants et les modalités de suppression ou restitution à la fin du contrat. Ne considérez pas l’usage transactionnel comme une exception à la revue contractuelle.

La région d’hébergement et les transferts internationaux restent à confirmer avec le fournisseur. Demandez les lieux de stockage, les pays d’accès du support et les mécanismes de transfert associés. Si les clauses contractuelles types sont invoquées, vérifiez le module retenu, les annexes techniques et les mesures complémentaires. Votre registre doit inclure les données de message et les journaux techniques si ceux-ci peuvent être reliés à un utilisateur, tout en définissant une durée qui corresponde à leur besoin opérationnel.

Clarifiez comment retrouver les messages liés à une adresse, les exporter pour répondre à une demande et effacer les informations sans casser les mécanismes de délivrance ou de suppression nécessaires. Les capacités exactes de Postmark sur l’export et la suppression restent À vérifier. Le plan Basic coûte 15 $ par mois pour un départ à 10 000 emails par mois. Faites confirmer la durée de rétention des activités et les options de purge avant d’y transmettre des événements produit persistants.

Customer.io

Customer.io publie un DPA. Contrôlez les instructions, les mesures, l’assistance aux demandes et les conditions de fin de service. La liste des sous-traitants et les procédures de notification et d’objection sont À vérifier. Le service propose des centres de données aux États-Unis ou dans l’UE; confirmez votre région et les accès qui traversent ces frontières. Le dossier fournisseur mentionne SOC 2 : demandez le rapport, son périmètre et sa période de validité. Faites correspondre les événements produit au périmètre contractuel.

La localisation et les options de traitement régional peuvent dépendre du compte et du contrat. Faites préciser les régions de stockage, les accès d’assistance et tout transfert hors UE. Pour les transferts concernés, demandez quel mécanisme est mobilisé, si les clauses contractuelles types sont incluses et quelles mesures supplémentaires sont appliquées. La réponse doit distinguer les données principales, les journaux et les sauvegardes. Reportez les destinations et garanties au registre et à votre dossier de transfert.

Les équipes doivent tester comment exporter un profil avec les attributs et événements associés, comment supprimer les éléments du profil et comment empêcher une réimportation involontaire. Demandez si les événements peuvent être supprimés selon une règle ou seulement avec le profil, et quelles copies persistent dans les sauvegardes. Le tarif public d’entrée dépend de la formule et du volume retenus; pour un prix comparable au périmètre de votre compte, À vérifier. Séparez dans votre registre les messages transactionnels et les campagnes, même lorsque les deux reposent sur les mêmes événements.

Kit

Les informations contractuelles de Kit sont À vérifier : sa page de confidentialité et son DPA n’ont pas permis de confirmer les clauses applicables. Demandez le DPA en vigueur, les finalités couvertes, l’assistance aux demandes d’accès ou d’effacement et les engagements en fin de contrat. La liste des sous-traitants est aussi À vérifier. Exigez la liste datée et les modalités de notification avant de charger les données de votre SaaS.

La région d’hébergement et les transferts éventuels restent à confirmer avec le fournisseur. Demandez les lieux où les abonnés, formulaires, campagnes et journaux sont stockés, ainsi que les pays depuis lesquels le support peut y accéder. Si un transfert hors UE a lieu, identifiez le mécanisme juridique retenu, dont les clauses contractuelles types le cas échéant, puis obtenez les mesures associées. Inscrivez ces réponses dans votre cartographie de traitements plutôt que de supposer que le service héberge les données dans votre région.

Le parcours de sortie doit couvrir les abonnés, leurs attributs, l’historique et les éventuelles listes de suppression. Demandez un exemple d’export exploitable, la portée d’une suppression et la durée de persistance des sauvegardes. Vérifiez si la suppression d’un abonné conserve une information minimale pour éviter une réimportation accidentelle et consignez cette règle dans votre procédure. Le plan Free coûte 0 $ jusqu’à 10 000 abonnés; le lieu de traitement et la durée des journaux sont à confirmer séparément. Gardez ces questions dans la revue juridique et technique.

Sequenzy

Sequenzy réunit les emails transactionnels et marketing dans un même service; ses éléments contractuels, ses sous-traitants, ses transferts et ses fonctions d’export ou de suppression sont À vérifier avant toute décision.