Mailchimp et les transferts de données européens

Si vous êtes un utilisateur situé dans l'Espace économique européen (EEE), au Royaume-Uni ou en Suisse (que nous appellerons collectivement "Europe"), ou si vous utilisez notre plate-forme pour traiter les données relatives à vos contacts en Europe, notre Addenda relatif au traitement des données (ATD) a été rédigé pour vous permettre de transférer des données personnelles européennes à Mailchimp aux États-Unis et de permettre à Mailchimp de traiter légalement ces données en votre nom.

Étant donné que nous faisons désormais partie d'Intuit, nous avons mis à jour notre Déclaration de confidentialité mondiale, nos conditions générales d'utilisation, nos conditions supplémentaires et notre Addenda relatif au traitement des données, qui entreront en vigueur le 10 janvier 2022.

Intégré directement dans nos Conditions d'utilisation générales, l'ATD ne nécessite pas de signature. En utilisant Mailchimp ou en créant un compte, vous acceptez ces conditions. En vertu des Conditions d'utilisation générales et de l'Addenda relatif au traitement des données de Mailchimp, chaque utilisateur s'engage à respecter l'ensemble des lois applicables.

La conformité des exportations de données européennes de Mailchimp

Mailchimp a certifié sa conformité au Privacy Shield Framework UE-USA (Bouclier de protection des données UE-États-Unis) et au Privacy Shield Framework Suisse-USA (Bouclier de protection des données Suisse-États-Unis) depuis 2016.

Le 16 juillet 2020, le plus haut tribunal européen (le CJUE) a invalidé le Bouclier de protection des données UE-États-Unis. En outre, le 8 septembre 2020, l'autorité suisse de protection des données a annoncé dans une déclaration de position qu'elle ne considérait plus comme adéquat le bouclier de protection des données Suisse-États-Unis aux fins des transferts de données à caractère personnel en provenance de la Suisse vers les États-Unis.

Mailchimp continuera toutefois de protéger les données européennes conformément aux principes du bouclier de protection des données auxquels elle a certifié la conformité. Consultez notre Déclaration de confidentialité mondiale pour obtenir plus d'informations.

En outre, Mailchimp s'engage contractuellement à transférer et traiter toutes les données européennes de ses utilisateurs conformément aux clauses contractuelles types (les "CCT"), qui continuent à donner à nos utilisateurs la possibilité de transférer les données de manière légale, conformément à la loi européenne sur la protection des données (y compris le RGPD) en dehors de l'Europe à Mailchimp aux États-Unis. Les CCT s'appliquent automatiquement conformément à l'Addenda relatif au traitement des données.

Nous avons récemment mis à jour notre Addenda relatif au traitement des données pour nous assurer qu'il intègre les nouveaux CCT adoptés par la Commission européenne le 4 juin 2021. Les nouveaux CCT s'appliqueront automatiquement aux utilisateurs ayant commencé à utiliser nos services à partir du 27 septembre 2021 et pour tous les autres utilisateurs le 27 décembre 2022. Ceci est cohérent avec la décision de mise en œuvre de la Commission européenne du 4 juin 2021, qui a accompagné les nouveaux CCT.

Plus d'informations sur les transferts de données

Nous savons que certains de nos utilisateurs peuvent avoir des questions sur la conformité des données, y compris l'impact de la décision de la Cour de justice de l'Union européenne (CJUE) en 2020 concernant les transferts de données et l'adoption par la Commission européenne des nouveaux CCT le 4 juin 2021. Dans cette section, nous allons répondre à quelques questions fréquentes.

Qu'a décidé la CJUE concernant les transferts de données en provenance de l'UE ?

Le 16 juillet 2020, la CJUE a invalidé le bouclier de protection des données UE-États-Unis, qui était un moyen pour les entreprises de transférer des données juridiquement en provenance de l'Europe vers les États-Unis. Dans le même temps, la CJUE a confirmé que les clauses contractuelles types (CCT) continuent de fournir un mécanisme valide pour les entreprises afin de transférer des données personnelles en dehors de l'Europe.

Cependant, la CJUE a noté que, en plus d'adhérer aux CCT, l'exportateur de données et l'importateur de données peuvent avoir besoin d'accepter des mesures supplémentaires pour garantir un niveau de protection adéquat pour les données transférées. Après la décision de la CJUE, le Conseil européen de protection des données a publié ses recommandations sur des mesures supplémentaires, qui visent à aider les contrôleurs et sous-traitants agissant en tant qu'exportateurs de données dans leurs tâches. Cela comprend l'identification et la mise en œuvre de mesures supplémentaires appropriées là où elles sont nécessaires ainsi que l'assurance d'un niveau de protection adéquat par rapport aux données qu'ils transfèrent en dehors de l'Europe.

Comment la décision de la CJUE affecte-t-elle mon utilisation de Mailchimp ?

Nos utilisateurs peuvent continuer de transférer des données européennes vers Mailchimp aux États-Unis. Nous savions que la décision de la CJUE pouvait arriver, nous avons donc fourni depuis longtemps à nos utilisateurs deux couches de protection pour les transferts de données en provenance de l'Europe vers les États-Unis, dans notre Addenda relatif au traitement des données : la conformité avec le bouclier de protection des données UE-États-Unis et les CCT.

Bien que la décision de la CJUE ait invalidé le bouclier de protection des données UE-États-Unis, elle n'a pas invalidé les CCT, qui restent un mécanisme d'exportation de données valide. Nos accords sont structurés de manière à ce que les CCT prennent automatiquement effet, nos utilisateurs ont ainsi été protégés par les CCT immédiatement après la décision. En outre, nous continuerons également d'honorer nos obligations pour protéger les données de l'Europe en conformité avec les principes du bouclier de protection de la vie privée.

Est-ce que Mailchimp transfère des données en dehors de l'Europe ? Si oui, vers quels pays ?

Oui. La société Mailchimp est basée aux États-Unis et a des bureaux aux États-Unis. Nos serveurs sont également situés aux États-Unis. Cela signifie que les données que nous traitons peuvent être transférées vers, stockées ou traitées aux États-Unis. En outre, nous utilisons des fournisseurs tiers qui traitent les données personnelles en notre nom, afin de fournir des services à Mailchimp, et leurs serveurs peuvent se trouver en dehors de l'Europe.

Vous pouvez consulter la liste complète des sous-traitants auxquels nous faisons appel pour traiter les données de nos membres, ainsi que les informations concernant leur emplacement. Nous prenons les mesures nécessaires pour nous assurer que nos fournisseurs offrent des dispositifs de protection appropriés pour protéger les données personnelles qu'ils traitent en notre nom, et les obligeons contractuellement à traiter de telles données conformément aux lois en vigueur sur la protection des données.

Quelles mesures ont été mises en œuvre par Mailchimp pour protéger les données de clients européens traitées en dehors de l'Europe ?

Mailchimp met en place plusieurs mesures pour veiller à ce que les données de l'Europe restent protégées lorsqu'elles sont transférées en dehors de l'Europe.

Engagements contractuels
En plus d'intégrer les CCT, notre addenda relatif au traitement des données spécifie également nos engagements en matière de sécurité, la confidentialité des procédures, les limitations sur les transferts internationaux de données personnelles, la coopération avec les droits des personnes concernées, un avis d'incidents de sécurité, et plus encore.

Il est important de noter que Mailchimp ne vend, ne loue et n'échange aucune donnée d'utilisateurs.

Mesures de sécurité
Mailchimp accorde une importance primordiale à la confidentialité et la sécurité des données de ses utilisateurs. Notre programme de sécurité et de confidentialité est décrit en détail sur notre page relative à la sécurité.

Voici un résumé de certaines des mesures techniques et organisationnelles importantes et spécifiques que nous avons mises en œuvre (et que nous continuerons de mettre en œuvre) pour protéger contre les accès non autorisés aux données utilisateur :

(1) Le cryptage
Mailchimp a mis en œuvre, dans la mesure où cela est techniquement possible, des technologies de cryptage dans l'ensemble de son infrastructure pour protéger les données des utilisateurs contre l'accès non autorisé, lorsqu'elles sont traitées en interne par Mailchimp. Par exemple, toutes les pages de production Mailchimp utilisent le protocole Transport Layer Security (TLS), un protocole de cryptage sécurisé et le réseau sans fil interne de Mailchimp utilisent un cryptage WPA2 de 128 bits. En outre, l'e-mail Mailchimp (256 bits), toutes les connexions VPN (256 bits) et l'application de chat interne (256 bits) sont également cryptés. Les pages de connexion utilisent la TLS et disposent d'une protection contre les attaques par force brute. Cela s'applique également aux applications Mailchimp mobiles et à l'API Mailchimp.

(2) Contrôles d'accès
Mailchimp limite l'accès tiers à ses outils et infrastructures internes. Notre équipe juridique évalue toutes les demandes d'accès, garantit que la demande est appropriée pour le travail à effectuer et veille à ce que la tierce partie respecte toutes les dispositions de sécurité et de confidentialité décrites dans son contrat. Après approbation, Mailchimp octroie uniquement l'accès via des comptes contrôlés à des parties clairement définies du système.

Mailchimp s'engage à maintenir les plus hauts niveaux de confidentialité et de sécurité pour nos utilisateurs. Pour toute question concernant notre programme de sécurité et de confidentialité, veuillez soumettre vos questions ici.

Contrats avec les fournisseurs
Nous mettons tout en œuvre pour garantir que les accords que nous passons avec nos fournisseurs internationaux tiers (y compris les sous-traitants) contiennent des engagements appropriés de la part de tiers concernant le transfert et le traitement des données européennes en dehors de l'Europe, et que nous mettons en œuvre un mécanisme de transfert des données approprié et légal (comme les clauses contractuelles types) ainsi que des garanties supplémentaires, le cas échéant. Les informations à jour concernant les sous-traitants que nous utilisons pour traiter les données de nos membres sont disponibles.

Protection de la vie privée
Nous ne comptons plus sur le bouclier de protection des données comme un mécanisme de transfert pour les transferts de données puisque le bouclier de protection des données UE-États-Unis et le bouclier de protection des données Suisse-États-Unis ne sont plus valides en raison de la décision récente de la CJUE dans l'arrêt Schrems II. Toutefois, dans la mesure où Mailchimp a des obligations en cours dans le cadre de notre certification existante relative au bouclier de protection des données, nous continuerons de les honorer, y compris les droits de recours directs accordés aux particuliers contre Mailchimp, y compris le droit d'invoquer l'arbitrage obligatoire.

Comment Mailchimp répond aux demandes d'informations ?

Nous examinons attentivement toutes les demandes de renseignements et dans le cadre de notre politique, nous ne fournissons à aucun tiers les informations d'un compte ne leur appartenant pas, sauf si nous sommes juridiquement obligés de le faire. Cela signifie que nous ne répondrons qu'à une décision judiciaire, une assignation, un mandat de recherche ou toute autre procédure juridique appropriée valides en cas de demande des informations et des registres à partir d'un compte Mailchimp. Mailchimp suit certaines directives pour répondre aux demandes d'informations, qu'elles proviennent d'une entité gouvernementale ou non :

• Nous faisons notre possible pour préserver la vie privée et la confidentialité des utilisateurs.
• Lorsque cela est possible, nous invitons le demandeur à rechercher ces informations directement auprès des titulaires de comptes pertinents plutôt qu'à partir de Mailchimp.
• Nous invitons le demandeur à nous fournir autant d'informations que possible pour pouvoir identifier correctement le bon compte utilisateur. Nous ne répondrons à aucune demande sans avoir au préalable des informations appropriées et spécifiques, telles qu'une adresse électronique, des en-têtes d'e-mail, un domaine Internet, un nom d'utilisateur, une adresse IP ou d'autres informations similaires, qui nous permettent d'identifier et de localiser le bon compte.
• En l'absence d'une exception légale en vertu de la loi des États-Unis, nous répondons uniquement aux demandes qui ont été faites via un processus juridique valide pour les États-Unis. En d'autres termes, la procédure juridique (comme les assignations, les demandes de communication, les mandats de recherche ou les décisions judiciaires) doit être dûment établie par un tribunal américain compétent et émise conformément aux règles procédurales fédérales et/ou étatiques applicables, avant que Mailchimp n'y réponde.
• Mailchimp n'accepte pas les demandes provenant directement des instances gouvernementales en dehors des États-Unis. Nous ne répondons aux demandes de gouvernement étranger que si celles-ci sont effectuées par le biais d'un traité d'assistance judiciaire mutuelle ou d'un autre moyen diplomatique ou juridique disponible pour obtenir des informations auprès de Mailchimp.

En vertu de son Addenda relatif au traitement des données, Mailchimp transmettra aux utilisateurs européens un avis écrit de toutes les demandes obligatoires d'accès à leurs données, sauf si la loi nous l'interdit.

Est-ce que Mailchimp publie des rapports de transparence concernant les demandes d'informations ?

Afin de démontrer son engagement en faveur du respect de la vie privée et ses efforts en matière de transparence, Mailchimp publie désormais des rapports de transparence annuels pour documenter le nombre et le type de demandes juridiques que nous recevons. Bien qu'il existe des restrictions sur le niveau de détails que nous pouvons fournir, nous ferons de notre mieux pour être aussi transparents que la loi le permet dans tous ces rapports.

Est-ce que Mailchimp reçoit des demandes d'informations du gouvernement américain ?

Il existait au cœur de la décision récente de la CJUE (et l'une des principales raisons pour lesquelles le bouclier de protection des données a été invalidé) une préoccupation particulière concernant les programmes nationaux de renseignement et de surveillance des États-Unis en vertu de l'article 702, également appelé FISA Amendments Act (Amendement de la loi sur la surveillance à l'étranger), et du décret 12333. En raison de la pratique générale, Mailchimp ne fournit pas volontairement aux agences ou aux autorités publiques (y compris les forces de l'ordre) l'accès ou les informations liées aux comptes Mailchimp.

Cependant, en tant que plate-forme de marketing par e-mail B2B, et par conséquent un "service de communication électronique", Mailchimp est, comme presque tous les fournisseurs de services de cloud américains, le type d'entité à laquelle le gouvernement américain est techniquement autorisé à soumettre des directives FISA en vertu de l'article 702 ou entreprendre la collecte de renseignements en vertu du décret 12333. Mailchimp peut, techniquement, s'utiliser avec ces types de demandes d'informations obligatoires.

Nos rapports annuels sur la transparence font état du nombre limité de demandes légales et du type correspondant que Mailchimp a reçues. En outre, comme expliqué ci-dessus, nous avons également mis en place des politiques et des processus stricts pour répondre aux demandes d'informations des forces de l'ordre.

Puis-je faire valoir les clauses contractuelles standard de l'UE auprès de Mailchimp ?

Les clauses contractuelles types de l'UE ("CCT") sont directement intégrées dans notre addendum relatif au traitement des données (ATD), lequel se rattache automatiquement à nos Conditions générales d'utilisation (le contrat qui nous lie) et s'applique aux données client protégées par les lois de l'Europe (y compris le RGPD).