Accord de sous-traitance des données personnelles
Dernière mise à jour : 20 octobre 2026
Le présent accord de sous-traitance (Data Processing Agreement, ou DPA) encadre, au sens de l'article 28 du Règlement général sur la protection des données (RGPD), le traitement des adresses email qu'un client de PricklyMails soumet à la vérification et des résultats de cette vérification. Il complète les Conditions générales d'utilisation et les Conditions générales de vente, dont il fait partie intégrante : il est accepté avec elles et s'applique dès la création du compte. Un exemplaire signé est fourni sur simple demande. La version française fait foi.
1. Objet et champ d'application
Le présent accord définit les conditions dans lesquelles PricklyMails traite, pour le compte du titulaire d'un compte (le « Client »), les adresses email que celui-ci soumet à la vérification et les résultats de cette vérification (les « données confiées »). Il s'applique lorsque le Client utilise le service pour une activité professionnelle, associative ou publique, et non pour un usage strictement personnel. Lorsque le service est utilisé à titre strictement personnel, PricklyMails applique aux données confiées exactement les mêmes garanties. Il ne couvre pas les données du compte du Client (identité de ses utilisateurs, facturation, connexions), que PricklyMails traite en tant que responsable du traitement, comme le décrit sa Politique de confidentialité. En cas de contradiction avec les autres conditions de PricklyMails sur la protection des données confiées, le présent accord prévaut.
2. Parties et rôles
Le Client est le responsable du traitement : il choisit les adresses qu'il soumet, la raison pour laquelle il les fait vérifier et l'usage qu'il fait des résultats. PricklyMails est le sous-traitant. Le service est exploité par Hugo Deltour, micro-entreprise (entrepreneur individuel) en cours d'immatriculation, opérant sous le nom PricklyMails. Aucun délégué à la protection des données n'a été désigné, cette désignation n'étant pas obligatoire à l'échelle de PricklyMails ; le contact pour toute question relative au présent accord est legal@pricklymails.com.
3. Nature, finalité et durée du traitement
Le traitement a pour seule finalité de vérifier la délivrabilité des adresses soumises par le Client, puis de lui en retourner le résultat. Le Client soumet ses adresses, une par une ou par lots, par l'API, le tableau de bord ou le serveur MCP de PricklyMails. Pour chaque adresse, et selon les contrôles actifs, PricklyMails vérifie la syntaxe, recherche dans le DNS les serveurs de messagerie du domaine, repère les domaines jetables, les adresses génériques (comme contact ou support), les messageries gratuites et les fautes de frappe probables, puis, si le contrôle SMTP est actif, se connecte au serveur de messagerie du domaine et lui présente l'adresse comme destinataire, sans jamais envoyer de message. Il en déduit un statut et un score, que le Client consulte par l'API et le tableau de bord ; les notifications webhook ne contiennent que l'événement, l'identifiant de la tâche, son statut et l'heure. Avec une clé de test, aucune requête DNS ni connexion SMTP n'a lieu et le résultat est simulé. Le traitement dure tant que le Client utilise le service, et le présent accord s'applique tant que PricklyMails conserve des données pour son compte.
4. Données et personnes concernées
Les données confiées sont les adresses email soumises, qui peuvent contenir un nom ou un prénom, et les résultats de leur vérification : statut, motif, score, indicateurs (adresse jetable, générique ou gratuite, domaine qui accepte toutes les adresses), nom du fournisseur de messagerie, noms des serveurs de messagerie du domaine, code de réponse SMTP, domaine suggéré en cas de faute de frappe, dates et durées des contrôles. S'y ajoutent les références libres que le Client associe à ses envois (identifiant de ligne, nom de lot). Les personnes concernées sont celles dont le Client soumet l'adresse, par exemple ses clients, prospects, abonnés, utilisateurs, contacts ou salariés. Le service n'a besoin d'aucune catégorie particulière de données au sens de l'article 9 du RGPD, ni d'aucune donnée relative aux condamnations pénales, et le Client s'engage à ne pas en soumettre.
5. Ce que PricklyMails conserve
L'adresse n'est jamais écrite dans la base de données ni sur aucun disque. Pendant sa vérification, elle attend dans une file temporaire tenue uniquement en mémoire, sur le serveur, d'où elle est effacée dès que la vérification se termine, et au plus tard après 96 heures. Lorsque le Client fournit une clé d'idempotence pour qu'une requête renvoyée ne soit pas traitée deux fois, une empreinte à sens unique (HMAC-SHA256) de l'adresse est conservée 24 heures avec cette clé, puis supprimée lors du nettoyage quotidien. L'historique rattaché au compte du Client contient, pour chaque vérification, une empreinte HMAC-SHA256 de l'adresse et une de son domaine, calculées avec une clé secrète, ainsi que le résultat décrit à la section 4. Ces empreintes ne permettent pas de retrouver l'adresse, mais PricklyMails, qui détient la clé, peut vérifier si une adresse donnée figure dans l'historique : ce sont donc des données pseudonymisées, qui restent des données personnelles au sens du RGPD. Les noms de serveurs de messagerie conservés peuvent révéler le domaine d'une adresse, jamais la partie située avant l'arobase ; tout texte ayant la forme d'une adresse est retiré des réponses des serveurs avant leur enregistrement. Les journaux techniques, conservés 28 jours, et les traces, conservées 8 jours, ne contiennent pas les adresses (tout au plus, en cas d'erreur, le nom d'un serveur de messagerie). La mesure d'audience du site masque les champs de saisie, dont celui où une liste peut être collée. Enfin, lors d'un envoi par lot depuis le tableau de bord, la liste reste dans le navigateur du Client, en stockage local et pour les 16 derniers lots au plus, afin de reconstituer le rapport téléchargeable ; elle n'est jamais renvoyée à PricklyMails. De même, une adresse vérifiée seule depuis le tableau de bord reste dans le stockage local de ce navigateur, pour les 256 dernières au plus, afin que l'historique puisse l'afficher. Les deux sont effacées du navigateur à la déconnexion et à la suppression du compte.
6. Résultats récents partagés entre clients
Avant d'interroger un serveur, PricklyMails recherche si la même adresse, reconnue par son empreinte, a été vérifiée récemment, quel que soit le client à l'origine de cette vérification. Si c'est le cas, il réutilise ce résultat au lieu de refaire les contrôles, sans le facturer. La durée de cette réutilisation dépend de la nature du résultat : 4 jours pour un résultat non concluant, 28 jours pour une réponse du serveur sur la boîte elle-même, 88 jours pour un constat qui ne dépend pas de la boîte (syntaxe, domaine, adresse jetable ou générique, par exemple). Le client qui reçoit un résultat réutilisé en voit le verdict et la date d'origine, jamais l'identité du client qui l'a obtenu, ni aucune autre donnée de sa liste. Cette mise en commun joue dans les deux sens, et en acceptant le présent accord le Client donne instruction à PricklyMails de l'opérer.
7. Instructions du Client
PricklyMails ne traite les données confiées que sur instruction documentée du Client : le présent accord, les conditions d'utilisation et de vente, et les choix que le Client exprime en utilisant le service (adresses soumises, contrôles actifs, demandes d'effacement). Il n'utilise pas les listes du Client pour ses propres besoins : il ne les vend pas, ne les loue pas, ne les enrichit pas, n'écrit jamais aux adresses qu'elles contiennent et, sans l'accord écrit du Client, ne s'en sert pas pour régler son moteur de vérification. En dehors de la vérification elle-même, seuls ont lieu la mise en commun décrite à la section 6 et des comptages agrégés, comme le nombre total de vérifications, qui ne permettent d'identifier ni une adresse ni une personne. Si PricklyMails estime qu'une instruction enfreint le RGPD ou une autre règle de protection des données, il en informe immédiatement le Client. S'il était tenu par le droit de l'Union européenne ou d'un État membre de procéder à un autre traitement, il en informerait le Client au préalable, sauf si ce droit l'interdit.
8. Confidentialité
PricklyMails garantit la confidentialité des données confiées. À ce jour, seul Hugo Deltour, qui exploite le service, a accès aux systèmes de production ; toute personne qui y accéderait à l'avenir serait tenue par écrit à la confidentialité, et formée aux règles de protection des données. L'accès d'assistance à un compte client, depuis l'administration du service, est réservé au support et laisse une trace d'audit. La protection des données dès la conception guide la construction du service, comme le montre l'absence de stockage des adresses.
9. Mesures de sécurité
PricklyMails met en œuvre des mesures techniques et organisationnelles adaptées au risque, notamment : hébergement exclusif chez Hetzner, en Allemagne ; chiffrement TLS de tous les échanges avec le service (API, tableau de bord, serveur MCP), renforcé par HSTS ; pseudonymisation des adresses, remplacées dans la base de données par des empreintes à sens unique ; cloisonnement des données par compte ; services internes inaccessibles depuis Internet et accès d'administration restreint et authentifié ; secrets conservés dans un coffre chiffré et jamais écrits dans les journaux ; clés API conservées sous forme d'empreinte et révocables à tout moment ; mots de passe hachés, double authentification, verrouillage après des échecs de connexion répétés et limitation du débit des requêtes ; mises à jour de sécurité automatiques et contrôle automatisé des dépendances logicielles ; sauvegardes quotidiennes copiées hors du serveur ; surveillance continue avec alertes. Le détail de ces mesures est communiqué au Client sur demande, dans le cadre de la section 17. PricklyMails ne détient aucune certification de sécurité.
10. Sous-traitants ultérieurs
Le Client autorise PricklyMails, de manière générale, à faire appel à des sous-traitants ultérieurs. Le seul à traiter aujourd'hui les données confiées est Hetzner Online GmbH (Allemagne), qui héberge le serveur, ses volumes de stockage et les sauvegardes dans l'Union européenne. PricklyMails recourt aussi à Stripe Payments Europe, Limited (Irlande), pour les paiements, et à Plus Five Five, Inc. (États-Unis), qui exploite Resend, pour les emails liés au compte (confirmation, réinitialisation du mot de passe, reçus) ; tous deux peuvent traiter des données aux États-Unis, mais ne reçoivent ni les listes du Client ni leurs résultats, et relèvent de la Politique de confidentialité. PricklyMails informe le Client par email, au moins 28 jours à l'avance, de tout ajout ou remplacement d'un sous-traitant ultérieur, en indiquant son identité, sa localisation et les traitements confiés, et met à jour la présente page. Le Client peut s'y opposer par écrit pendant ce délai ; à défaut de solution, il peut mettre fin au service et obtenir, dans les conditions de l'article 9 des Conditions générales de vente, le remboursement de la part non consommée de ce qu'il a payé ; les jetons offerts ne donnent lieu à aucun remboursement. PricklyMails conclut avec chaque sous-traitant ultérieur un contrat qui lui impose, en matière de protection des données, des obligations équivalentes à celles du présent accord, et reste pleinement responsable envers le Client de leur respect.
11. Échanges techniques inhérents à la vérification
Vérifier une adresse suppose d'échanger avec des services extérieurs, avec lesquels PricklyMails n'a pas conclu de contrat de sous-traitance. Le nom de domaine de l'adresse, jamais la partie située avant l'arobase, est résolu par un résolveur DNS que PricklyMails exploite sur son propre serveur, et qui interroge directement les serveurs DNS désignés par ce domaine, sans passer par un service DNS public. Lorsque le contrôle SMTP est actif, l'adresse complète est présentée au serveur de messagerie que le domaine désigne lui-même, c'est-à-dire au fournisseur qui héberge déjà cette boîte, où qu'il se trouve ; aucun message n'est envoyé, et ce dialogue, sur le port 25, n'est pas chiffré. PricklyMails ne l'engage pas avec Google, Microsoft, Yahoo et AOL, dont les réponses à ce type de requête ne sont pas fiables. Ces connexions partent d'adresses IP dédiées, hébergées chez Hetzner en Allemagne.
12. Transferts hors de l'Union européenne
Les données confiées sont traitées sur un serveur situé en Allemagne et conservées dans l'Union européenne, et PricklyMails ne les transfère à aucun sous-traitant établi hors de l'Union. Les seuls flux susceptibles d'en sortir sont les échanges inhérents à la vérification décrits à la section 11. Les transferts vers les États-Unis liés au paiement et aux emails du compte portent sur les données du compte, non sur les listes, et sont encadrés comme le décrit la Politique de confidentialité. Tout autre transfert serait annoncé selon la section 10 et encadré conformément au chapitre V du RGPD.
13. Droits des personnes concernées
Il appartient au Client d'informer les personnes concernées et de répondre à leurs demandes. PricklyMails l'y aide dans la mesure du possible, dans des délais compatibles avec ceux que le RGPD impose au Client : à partir d'une adresse que le Client lui communique, il recalcule son empreinte pour retrouver les résultats rattachés au compte du Client, puis les lui transmet ou les efface. Si une personne s'adresse directement à PricklyMails, celui-ci ne répond pas à la place du Client : il transmet la demande au client concerné lorsqu'il peut l'identifier, et à défaut invite la personne à s'adresser à l'organisme qui détient son adresse. Le score évalue une adresse, non une personne, et ne constitue pas à lui seul une décision automatisée au sens de l'article 22 du RGPD ; l'usage qu'en fait le Client relève de sa responsabilité.
14. Violations de données personnelles
PricklyMails notifie au Client toute violation de données personnelles touchant les données confiées, par email à l'adresse du compte, dans les meilleurs délais et au plus tard 48 heures après en avoir pris connaissance ; il s'efforce de le faire dans les 4 heures. La notification décrit, dans la mesure du possible, la nature de la violation, les catégories et le nombre approximatif de personnes et de données concernées, ses conséquences probables, les mesures prises ou envisagées pour y remédier et le point de contact ; ce qui n'est pas connu d'emblée est communiqué par étapes, sans retard indu. Il appartient au Client, responsable du traitement, de notifier la violation à l'autorité de contrôle compétente (la CNIL en France) et, le cas échéant, aux personnes concernées ; PricklyMails lui fournit la documentation utile et consigne chaque violation.
15. Analyse d'impact et consultation préalable
Lorsque le Client mène une analyse d'impact relative à la protection des données, ou consulte au préalable l'autorité de contrôle, PricklyMails l'aide en lui fournissant les informations dont il dispose sur le traitement et sur ses mesures de sécurité, à commencer par le présent accord.
16. Sort des données à la fin du service
PricklyMails ne conservant pas les adresses, il n'en a aucune à restituer : les résultats sont remis au Client au fil des vérifications, et restent consultables dans son compte tant que celui-ci existe. Lorsque le Client supprime son compte, celui-ci est désactivé immédiatement, puis PricklyMails efface définitivement, à l'issue d'un délai de 28 jours, l'historique qui y est rattaché, empreintes comprises, et le confirme par écrit sur demande ; le compte est alors anonymisé, et seules subsistent, sans nom ni adresse, les écritures de facturation et de jetons que PricklyMails doit conserver au titre de ses obligations comptables. Le Client peut aussi demander cet effacement par écrit à tout moment, sans supprimer son compte. Les copies de cet historique présentes dans les sauvegardes disparaissent au fil de leur rotation, au plus tard environ huit mois après l'effacement ; elles ne servent qu'à une restauration après incident, à la suite de laquelle les données effacées le seraient de nouveau. Ne subsistent ensuite que des comptages agrégés, qui ne permettent d'identifier ni une adresse ni une personne. Les résultats qu'un autre client a obtenus pour la même adresse, dans le cadre de la section 6, relèvent de son propre compte.
17. Documentation et audits
PricklyMails met à la disposition du Client, sur demande, la documentation nécessaire pour démontrer le respect du présent accord, en premier lieu une description de ses mesures de sécurité et des réponses écrites aux questionnaires raisonnables du Client. Il tient le registre des activités de traitement effectuées pour le compte de ses clients, prévu à l'article 30 du RGPD. Si cette documentation ne suffit pas, le Client peut faire réaliser un audit, y compris sur place, par lui-même ou par un auditeur indépendant tenu à la confidentialité et qui n'est pas un concurrent de PricklyMails : au plus une fois par an, sauf violation de données ou demande d'une autorité de contrôle, avec un préavis d'au moins 28 jours, pendant les heures ouvrées, sans perturber le service ni accéder aux données d'autres clients. L'audit est à la charge du Client, y compris le temps que PricklyMails y consacre au-delà de la fourniture de la documentation, sur devis préalable. Les installations d'Hetzner n'entrent pas dans son périmètre ; PricklyMails transmet la documentation qu'Hetzner met à la disposition de ses clients.
18. Obligations du Client
Le Client s'engage à disposer d'une base légale pour les adresses qu'il soumet, à informer les personnes concernées, à ne soumettre que les adresses nécessaires à sa finalité, à n'utiliser comme références libres (identifiant de ligne, nom de lot), conservées telles quelles, que des identifiants opaques, sans adresse email, nom ni autre information identifiant directement une personne, à documenter par écrit toute instruction complémentaire et à veiller au respect du RGPD pendant toute la durée du traitement, y compris par les audits prévus à la section 17. Il utilise les résultats sous sa seule responsabilité, conformément aux Conditions générales d'utilisation.
19. Responsabilité
La responsabilité des parties au titre du présent accord est régie, dans les limites permises par la loi, par l'article 11 des Conditions générales de vente et par l'article 11 des Conditions générales d'utilisation. Elle s'entend sans préjudice des droits que les personnes concernées tiennent de l'article 82 du RGPD.
20. Modification de l'accord
PricklyMails peut faire évoluer le présent accord, notamment pour suivre une évolution du service ou de la réglementation. Toute modification substantielle est annoncée par email au moins 28 jours avant son entrée en vigueur, et aucune modification ne peut réduire la protection des données confiées sans l'accord du Client. La version en vigueur est publiée sur la présente page.
21. Droit applicable
Le présent accord est régi par le droit français. À défaut de règlement amiable, les tribunaux compétents sont ceux prévus par les règles applicables, comme dans les Conditions générales de vente.
22. Contact
Pour toute question relative au présent accord, pour exercer un droit qui y est prévu ou pour obtenir un exemplaire signé, écrivez à legal@pricklymails.com.