Vos messages ne quittent pas la France
Le calcul, la base de données et le stockage objet sont chez OVHcloud, à Roubaix et Gravelines. Aucune réplication hors du territoire, aucun service américain dans le chemin de traitement d’un message.
Souveraineté
Savoir où sont vos données ne devrait pas demander une enquête
Nous validons des parcours de signature électronique : nous savons ce que c’est de devoir justifier chaque maillon de la chaîne à un auditeur, et de découvrir qu’un fournisseur réplique vos données sur un continent que personne n’avait validé. Cette page existe pour que vous n’ayez pas à nous écrire pour l’obtenir.
Un seul sous-traitant hors du périmètre européen strict
Stripe, pour encaisser. Il ne voit jamais le contenu d’un message : uniquement votre identité de facturation. Nous le disons plutôt que de le cacher derrière un discours de souveraineté total.
Le DPA se télécharge, il ne se négocie pas
L’accord de traitement des données est disponible en ligne, signé, sans passer par un commercial ni attendre un cycle d’achat. Les annexes listent les sous-traitants et les mesures techniques.
Chiffrement au repos et en transit
TLS obligatoire sur l’API, STARTTLS sur le SMTP entrant, chiffrement des volumes et du stockage objet. Les clés API sont stockées hachées, jamais en clair.
Une rétention que vous choisissez courte
Par défaut 3 jours, jusqu’à 90 selon le plan, et un mode performance qui ne stocke rien du tout. La meilleure protection d’une donnée de test reste de ne pas la garder.
Suppression sur demande, sans friction
Purge d’une inbox, d’une organisation ou d’un compte entier depuis l’application, effective immédiatement, sauvegardes comprises sous 30 jours.
Sous-traitants
La liste complète, tenue à jour
Toute addition est annoncée trente jours à l’avance aux administrateurs de compte.
| Sous-traitant | Rôle | Localisation | Données concernées | Transfert hors UE |
|---|---|---|---|---|
| OVHcloud | Hébergement, calcul, base de données, stockage objet | Roubaix et Gravelines (France) | Toutes les données de service : messages, pièces jointes, métadonnées, comptes | Aucun transfert hors UE |
| Stripe Payments Europe | Encaissement, facturation, TVA | Irlande (entité européenne), groupe de droit américain | Nom, email de facturation, adresse, moyen de paiement. Aucune donnée de message | Possible vers les États-Unis, encadré par les clauses contractuelles types |
| Brevo | Emails transactionnels du service (vérification, alertes, factures) | France | Adresse email et contenu des notifications | Aucun transfert hors UE |
| Plausible Analytics | Mesure d’audience du site public | Union européenne, auto-hébergé | Statistiques agrégées, sans cookie ni identifiant individuel | Aucun transfert hors UE |
Ce que nous ne prétendons pas
Les limites, dites clairement
Un discours de souveraineté sans réserve est un discours commercial. Voici les nôtres.
Nous ne sommes pas qualifiés SecNumCloud et nous ne le serons pas demain. Si votre cahier des charges l’exige, dites-le-nous, mais ne nous croyez pas sur parole.
Nous ne sommes pas certifiés ISO 27001 à ce stade. Nos mesures techniques sont documentées dans les annexes du DPA, et auditables sur demande.
Nos conditions vous demandent de ne pas envoyer de données personnelles réelles dans des inboxes de test. Nous savons que cela arrive quand même : c’est pourquoi la rétention par défaut est de trois jours et que le chiffrement au repos n’est pas une option.
Votre première inbox dans deux minutes
Le plan gratuit ne demande pas de carte bancaire. Si vous migrez depuis Mailosaur, la couche de compatibilité vous évite de réécrire vos tests.