Responsable et périmètre
Lukas Doucet (Cytrix solution) est responsable des traitements liés à la gestion du site, des comptes, de la facturation et de la sécurité. Ses coordonnées figurent dans les mentions légales. Pour les messages traités pour le compte d’un client professionnel, les rôles et instructions sont précisés par l’accord de sous-traitance ; le client reste responsable des traitements dont il détermine les finalités.
Contact données personnelles : [email protected]. Délégué à la protection des données : Lukas Doucet — Délégué à la protection des données (contact : [email protected])
Données, finalités et bases légales
Les données obligatoires sont celles nécessaires au compte ou à l’action demandée. Leur absence empêche cette action ; les informations facultatives restent identifiées comme telles. Les correspondances proviennent aussi d’expéditeurs externes, et les états de paiement des prestataires. L’éditeur peut donc recevoir des données qui ne sont pas fournies directement par le titulaire du compte.
Les contrôles techniques peuvent refuser un accès, appliquer un quota ou filtrer un message. Vous pouvez contacter l’éditeur pour contester une restriction. Cette description ne doit pas être interprétée comme une autorisation de prendre des décisions produisant des effets juridiques exclusivement par traitement automatisé.
- Compte et accès — exécution du contrat
- Email, nom d’utilisateur, mot de passe haché, sessions et données d’authentification nécessaires à l’ouverture et à la protection de l’accès.
- Service email — exécution du contrat / instructions du client
- Adresses alias et destinations, domaines, règles de routage, expéditeurs, destinataires, objets, corps de messages, pièces jointes et métadonnées nécessaires à la réception, au stockage temporaire et à la transmission demandés.
- API et webhooks — exécution du contrat
- Clés sous forme protégée, permissions, restrictions IP, adresses de webhook, événements, historiques de livraison et compteurs de quota.
- Facturation — contrat et obligations légales
- Offre, références de transaction et de prestataire, montants, devise, statut et dates des paiements. Les données bancaires complètes sont traitées par le prestataire concerné.
- Sécurité et abus — intérêt légitime
- Adresses IP, dates, journaux d’accès et d’audit, incidents et indicateurs d’abus, afin de protéger les comptes, prévenir la fraude et assurer la disponibilité. Les restrictions doivent rester proportionnées.
- Assistance et droits — contrat, intérêt légitime ou obligation légale
- Coordonnées, contenu des demandes et éléments strictement nécessaires pour répondre, gérer une réclamation ou satisfaire une demande RGPD.
Destinataires et transferts
L’accès est limité aux personnes habilitées et aux prestataires nécessaires à leur mission. Les messages sont transmis aux destinations que vous configurez ; les webhooks transmettent les événements à vos endpoints. Les autorités peuvent recevoir les données qu’elles sont légalement habilitées à demander.
Prestataires et sous-traitants : OVH SAS (hébergement serveurs et stockage, France) ; Stripe Payments Europe, Ltd. (traitement des paiements par carte bancaire, Irlande) ; NOWPayments (passerelle de paiement en cryptomonnaies, Pays-Bas).
Paiements : Stripe Payments Europe, Ltd. (Irlande) pour les cartes bancaires ; NOWPayments (Pays-Bas) pour les paiements en cryptomonnaies.
Localisation : France et Union Européenne (centres de données situés en France)
Transferts hors de l’Espace économique européen et garanties : Absence de transfert de données personnelles hors de l’Espace Économique Européen (EEE). Les données sont stockées et traitées exclusivement dans des centres de données européens.
Durées de conservation
Une suppression d’accès n’implique pas un effacement instantané de toutes les copies. Les données conservées au titre d’une obligation ou d’un contentieux sont limitées au nécessaire, avec un accès restreint. Les durées ci-dessus doivent correspondre aux opérations réellement appliquées.
- Comptes et fermeture
- Données de compte conservées pendant toute la durée active d’utilisation du service, puis effacées sous 30 jours à compter de la demande de suppression ou de résiliation.
- Messages, pièces jointes et relais
- Pour les boîtes permanentes, conservation par défaut de 365 jours ou selon les quotas du forfait souscrit. Pour les boîtes temporaires, suppression automatique et irréversible à l’expiration de la durée choisie (10 min à 30 jours). Purge immédiate en cas de suppression manuelle.
- Journaux techniques et de sécurité
- Journaux techniques de connexion et de sécurité conservés 12 mois au titre des obligations légales (article L. 34-1 du CPCE), puis détruits automatiquement.
- Assistance et demandes de droits
- Historique des demandes d’assistance conservé 3 ans à compter de la clôture de la demande à des fins de suivi qualité.
- Sauvegardes
- Sauvegardes de sécurité chiffrées conservées pendant 30 jours glissants avec rotation et effacement automatisés.
- Pièces comptables
- Les pièces comptables soumises à cette obligation sont archivées dix ans à compter de la clôture de l’exercice concerné. Cette obligation ne justifie pas de conserver l’ensemble des messages ou toutes les données du compte.
- Autres archives et obligations
- Documents comptables et justificatifs de facturation conservés 10 ans en archivage intermédiaire conformément à l’article L. 123-22 du Code de commerce.
Vos droits
Vous pouvez demander l’accès, la rectification, l’effacement, la limitation ou, lorsqu’elle s’applique, la portabilité de vos données à [email protected], ou par courrier à 6 boulevard Georges Clemenceau, 92400 Courbevoie, France. Vous pouvez vous opposer, pour des raisons tenant à votre situation, aux traitements fondés sur l’intérêt légitime. L’opposition à la prospection commerciale peut être exercée à tout moment.
Lorsqu’un traitement repose sur votre consentement, vous pouvez le retirer pour l’avenir sans remettre en cause sa licéité antérieure. Vous pouvez également définir des directives relatives au sort de vos données après votre décès, conformément au droit français.
Une réponse est apportée en principe sous un mois ; une prolongation de deux mois est possible si la complexité ou le nombre de demandes le justifie, avec information dans le premier mois. En cas de doute raisonnable sur l’identité, des éléments proportionnés peuvent être demandés. Un justificatif d’identité n’est pas exigé systématiquement. Les limites légales à l’effacement et aux autres droits doivent être motivées.
Vous pouvez déposer une réclamation auprès de la CNIL, notamment en ligne ou par courrier : 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07. Cette faculté ne dépend pas d’une démarche préalable obligatoire auprès de l’éditeur.
Sécurité
Protocole HTTPS / TLS 1.3 avec chiffrement fort, authentification mutuelle mTLS entre les composants internes, isolation des emails HTML dans une sandbox sécurisée sans scripts (CSP default-src 'none'), hachage des mots de passe avec algorithmes modernes (Argon2id/bcrypt), authentification à deux facteurs (2FA/TOTP) prise en charge, sauvegardes quotidiennes chiffrées.
La confidentialité d’une destination de relais ne signifie pas que le transport email soit chiffré de bout en bout. Évitez de transmettre à l’assistance vos secrets d’accès ou des messages sans nécessité. Les violations de données sont traitées avec les notifications légalement requises selon leur nature et leurs risques.
Cookies et évolutions
Les traceurs de session et de préférence sont décrits sur la page dédiée. Toute nouvelle finalité ou nouveau prestataire doit être pris en compte dans cette information avant sa mise en œuvre ; lorsqu’un consentement est requis, l’information seule ne le remplace pas.