1Vue d’ensemble
Un sous-traitant ultérieur est une entreprise que nous engageons pour traiter des données à caractère personnel pour notre compte ou celui de nos clients dans le cadre de l’exploitation de ExitoMail. Nous limitons délibérément cette liste, choisissons des prestataires qui conservent le contenu des clients dans l’Union européenne et imposons à chacun un accord relatif au traitement des données dont les obligations sont au moins aussi protectrices que celles de notre propre Accord relatif au traitement des données.
Notre société, EXITO Media LLC, est une société américaine. Lorsqu’un prestataire est établi hors de l’EEE ou met des données à notre disposition aux États-Unis, la garantie indiquée pour ce prestataire s’applique au transfert. Cloudflare, Inc. et Stripe, LLC sont certifiées au titre du cadre de protection des données UE–États-Unis. Wasabi Technologies LLC ne l’est pas ; nous nous appuyons donc sur les clauses contractuelles types pour ce prestataire.
Cette page constitue la liste faisant autorité à laquelle renvoient notre Politique de confidentialité et l’annexe III du DPA. Sa dernière mise à jour date du 23 octobre 2026.
Lieu de stockage de votre contenu
E-mails et fichiers de Exito Vault : Wasabi, région EU-Central-2 (Francfort, Allemagne). Sauvegardes : Wasabi, région EU-Central-1 (Amsterdam, Pays-Bas). Fichiers de Exito Transfer : Cloudflare R2, relevant de la juridiction de l’UE. Serveur d’application et de messagerie : netcup GmbH, Nuremberg, Allemagne.2Sous-traitants ultérieurs actuels
netcup GmbH· Tous les produits
- Finalité
- Hébergement de l’infrastructure : serveur exécutant notre application Web, notre serveur de messagerie, nos bases de données et notre cache
- Données à caractère personnel
- Toutes les données du service pendant leur traitement : données du compte, métadonnées des e-mails et index de recherche, métadonnées des transferts, journaux
- Lieu du traitement
- Nuremberg, Allemagne (UE)
- Pays d’établissement
- Allemagne
- Garanties relatives à Transfer
- Prestataire établi dans l’UE et hébergement dans l’UE. Aucune garantie requise pour le prestataire lui-même
- Statut
- Actif
- Informations sur la confidentialité
- netcup.com/en/contact/data-privacy (s’ouvre dans un nouvel onglet)
Wasabi Technologies LLC· E-mails, Vault et sauvegardes
- Finalité
- Stockage d’objets chiffré pour les e-mails et leurs pièces jointes, les fichiers Vault et les sauvegardes
- Données à caractère personnel
- Contenu des e-mails et pièces jointes, fichiers Vault, sauvegardes chiffrées des bases de données ; adresses IP des navigateurs qui importent ou téléchargent directement des fichiers
- Lieu du traitement
- EU-Central-2, Francfort (Allemagne) ; sauvegardes dans EU-Central-1, Amsterdam (Pays-Bas)
- Pays d’établissement
- États-Unis
- Garanties relatives à Transfer
- Données stockées dans l’UE. Clauses contractuelles types pour tout accès depuis l’extérieur de l’EEE (Wasabi n’est pas certifié au titre du cadre de protection des données UE–États-Unis)
- Statut
- Actif
- Informations sur la confidentialité
- wasabi.com/legal/privacy-policy (s’ouvre dans un nouvel onglet)
Cloudflare, Inc.· Transfer
- Finalité
- Stockage d’objets pour les fichiers Exito Transfer (R2, compartiment limité à la juridiction de l’UE)
- Données à caractère personnel
- Fichiers Transfer et leurs métadonnées techniques (noms et tailles des fichiers) ; adresses IP des personnes qui importent ou téléchargent des transferts
- Lieu du traitement
- Union européenne (compartiment relevant de la juridiction de l’UE)
- Pays d’établissement
- États-Unis
- Garanties relatives à Transfer
- Données stockées dans l’UE. Cadre de protection des données UE–États-Unis (Cloudflare est certifié), avec les clauses contractuelles types comme garantie de secours
- Statut
- Actif
- Informations sur la confidentialité
- cloudflare.com/privacypolicy (s’ouvre dans un nouvel onglet)
Cloudflare, Inc.· Site Web et application Web
- Finalité
- DNS pour exitomail.com ; proxy inverse, CDN et protection DDoS pour le site Web et l’application Web sur exitomail.com. La distribution des e-mails et les applications de messagerie (SMTP, IMAP et JMAP sur mail.exitomail.com) ne passent jamais par Cloudflare
- Données à caractère personnel
- Adresses IP des visiteurs et métadonnées des requêtes (URL, navigateur, heure), ainsi que le trafic Web relayé entre votre navigateur et notre serveur, qui comprend les e-mails et les fichiers que vous ouvrez dans l’application Web
- Lieu du traitement
- Réseau périphérique mondial (centre de données le plus proche du visiteur)
- Pays d’établissement
- États-Unis
- Garanties relatives à Transfer
- Cadre de protection des données UE–États-Unis (Cloudflare est certifié), avec les clauses contractuelles types comme garantie de secours
- Statut
- Actif
- Informations sur la confidentialité
- cloudflare.com/privacypolicy (s’ouvre dans un nouvel onglet)
Cloudflare, Inc.· Inscription, connexion, réinitialisation du mot de passe, Transfer et formulaires de signalement
- Finalité
- Protection antibot Turnstile lors de l’inscription, de la réinitialisation du mot de passe, de la connexion après plusieurs tentatives infructueuses, ainsi que sur les formulaires de transfert et de signalement, afin de distinguer les personnes des abus automatisés
- Données à caractère personnel
- Signaux provenant du navigateur et de la connexion du visiteur : adresse IP, empreinte TLS, agent utilisateur et page sur laquelle se trouve le formulaire
- Lieu du traitement
- Réseau mondial de serveurs périphériques
- Pays d’établissement
- États-Unis
- Garanties relatives à Transfer
- Cadre de protection des données UE–États-Unis (Cloudflare est certifiée), avec les clauses contractuelles types à titre subsidiaire
- Statut
- Actif
- Informations sur la confidentialité
- cloudflare.com/turnstile-privacy-policy (s’ouvre dans un nouvel onglet)
Twilio Inc.· Ligne téléphonique de l’agent chargé des droits d’auteur
- Finalité
- Le numéro de téléphone de notre agent chargé des droits d’auteur : les appelants entendent où envoyer les notifications écrites et peuvent laisser un message vocal, qui nous est envoyé par e-mail, puis supprimé chez Twilio
- Données à caractère personnel
- Numéros de téléphone des appelants, heures des appels et messages vocaux laissés
- Lieu du traitement
- États-Unis
- Pays d’établissement
- États-Unis
- Garanties relatives à Transfer
- Cadre de protection des données UE–États-Unis (Twilio Inc. est certifiée), avec les clauses contractuelles types à titre subsidiaire
- Statut
- Actif
- Informations sur la confidentialité
- twilio.com/en-us/legal/privacy (s’ouvre dans un nouvel onglet)
Stripe, LLC· Forfaits payants
- Finalité
- Dossiers de facturation des forfaits payants : données relatives aux clients et aux abonnements dans notre compte Stripe, portail client, ainsi que modifications de forfait et remboursements que nous effectuons
- Données à caractère personnel
- Nom, adresse e-mail du compte et identifiant interne du compte (envoyés par nos soins pour lancer le paiement) ; forfait, état de l’abonnement, montants, taxes et historique des paiements ; adresse de facturation et numéro d’identification fiscale, s’ils sont fournis ; informations limitées sur le moyen de paiement, telles que son type et sa date d’expiration (jamais le numéro complet de la carte)
- Lieu du traitement
- États-Unis et autres pays où Stripe exerce ses activités
- Pays d’établissement
- États-Unis
- Garanties relatives à Transfer
- Cadre de protection des données UE–États-Unis (Stripe, LLC est certifiée), avec les clauses contractuelles types à titre subsidiaire
- Agit également en son nom propre
- Les achats sont vendus par l’intermédiaire de Link (Stripe Managed Payments). Pour le paiement, les taxes, les reçus et les factures, les comptes Link, l’assistance relative aux transactions, les remboursements demandés à Link, les litiges et la prévention de la fraude, Stripe et sa société affiliée Sold through Link, LLC agissent en qualité de vendeur officiel et traitent les données en tant que responsables du traitement indépendants conformément à la Politique de confidentialité de Link, et non en tant que nos sous-traitants ultérieurs.
- Statut
- Actif
- Informations sur la confidentialité
- stripe.com/privacy (s’ouvre dans un nouvel onglet)
3Entités qui ne sont pas des sous-traitants ultérieurs
Certaines entités reçoivent des données dans le cadre du Service, mais ne sont pas nos sous-traitants ultérieurs :
- Vos correspondants. Lorsque vous envoyez un e-mail ou un transfert, celui-ci est remis, selon vos instructions, aux propres fournisseurs de messagerie ou de téléchargement des destinataires. Ces fournisseurs agissent pour le compte du destinataire, et non pour le nôtre.
- Votre fournisseur DNS. Si vous associez un domaine personnalisé à l’aide de Domain Connect ou d’identifiants d’API, nous communiquons avec votre fournisseur DNS pour votre compte, dans le cadre du compte que vous détenez auprès de ce fournisseur.
- Stripe et Link en qualité de vendeur officiel. Les forfaits payants sont vendus par l’intermédiaire de Link (Stripe Managed Payments). Pour l’achat lui-même — paiement en ligne, paiement, taxes, reçus et factures, comptes Link, assistance relative aux paiements, remboursements demandés à Link et contestations de paiement — Stripe et sa société affiliée Sold through Link, LLC agissent en qualité de vendeur officiel et de responsables du traitement indépendants conformément à la Politique de confidentialité de Link (s’ouvre dans un nouvel onglet). Stripe agit également en qualité de responsable du traitement indépendant pour prévenir la fraude et respecter ses propres obligations légales, par exemple les règles de lutte contre le blanchiment d’argent. Stripe est notre sous-traitant ultérieur uniquement pour les données de facturation qu’il conserve pour notre compte, comme indiqué ci-dessus.
- Let’s Encrypt. Émet nos certificats HTTPS. Cette autorité ne voit que les noms d’hôte couverts par un certificat, y compris ceux des domaines personnalisés des clients, également publiés dans les journaux publics Certificate Transparency. Elle n’accède jamais aux e-mails ni aux fichiers.
- NCMEC et autorités publiques. Ces organismes ne reçoivent des données de notre part que lorsque la loi l’exige, par exemple pour les signalements au NCMEC de contenus montrant des abus sexuels sur des enfants. Ce sont des destinataires indépendants, et non des sous-traitants ultérieurs.
4Modifications et notifications
Avant d’ajouter ou de remplacer un sous-traitant ultérieur, nous mettons cette page à jour et prévenons les clients Business par e-mail au moins 30 jours à l’avance. Pendant ce délai, les clients Business peuvent s’y opposer pour des motifs raisonnables liés à la protection des données, comme décrit dans la section « Sous-traitants ultérieurs » du DPA.
Toute personne peut s’abonner à ces notifications : envoyez un e-mail à privacy@exitomail.com avec pour objet « Subprocessor updates ». Nous n’utilisons cette adresse qu’à cette fin, et vous pouvez vous désabonner à tout moment.
Journal des modifications
5Contact
Pour toute question sur nos sous-traitants ultérieurs ou pour demander une copie des garanties de transfert sur lesquelles nous nous appuyons, écrivez à privacy@exitomail.com.