Choisir un service d'e-mail au Royaume-Uni et dans l'UE : RGPD, PECR et facturation en euros

En bref

1. À qui s'adresse ce guide. Ce guide s'adresse aux équipes du Royaume-Uni et de l'Union européenne qui envoient des e-mails à leurs clients et doivent s'assurer que leur fournisseur d'e-mail répond à leurs exigences juridiques et financières.
2. Qui est le responsable du traitement et qui est le sous-traitant. Au titre du RGPD britannique et du RGPD européen, vous décidez pourquoi et comment vous utilisez les adresses e-mail de vos clients, ce qui fait de vous le responsable du traitement.
3. Sous-traitants ultérieurs et destination des données. Un fournisseur d'e-mail fait rarement tout seul.
4. Consentement pour les e-mails marketing : PECR et règles de l'UE. Au Royaume-Uni, les Privacy and Electronic Communications Regulations, généralement abrégées en PECR, s'appliquent en parallèle du RGPD britannique et encadrent les e-mails marketing.
5. Les e-mails transactionnels forment une catégorie à part. Une réinitialisation de mot de passe, une confirmation de commande ou une alerte de sécurité fait partie d'un service demandé par la personne, et ne nécessite pas de consentement marketing.
6. Désabonnements, suppression et droit à l'effacement. Lorsqu'une personne se désabonne, vous devez cesser de lui écrire.

À qui s'adresse ce guide

Ce guide s'adresse aux équipes du Royaume-Uni et de l'Union européenne qui envoient des e-mails à leurs clients et doivent s'assurer que leur fournisseur d'e-mail répond à leurs exigences juridiques et financières. Il est écrit pour la personne qui doit répondre aux questions d'un responsable de la protection des données, d'une équipe achats ou d'un comptable, et pas seulement pour les développeurs.

Ce sont des informations générales, pas un conseil juridique. C'est votre propre conseiller qui décide de ce qui s'applique à votre entreprise. Ce que nous pouvons faire, c'est exposer les questions qui valent la peine d'être posées à n'importe quel fournisseur d'e-mail, y compris à nous.

Qui est le responsable du traitement et qui est le sous-traitant

Au titre du RGPD britannique et du RGPD européen, vous décidez pourquoi et comment vous utilisez les adresses e-mail de vos clients, ce qui fait de vous le responsable du traitement. Un service d'e-mail qui envoie en votre nom traite ces données pour vous, ce qui en fait un sous-traitant. La loi attend un contrat écrit entre les deux, qui précise ce que le sous-traitant peut faire des données.

En pratique, ce contrat s'appelle généralement un accord de traitement des données. Si vous traitez des données personnelles de personnes au Royaume-Uni ou dans l'UE, contactez-nous au sujet de nos conditions de traitement des données pour vos dossiers. Demandez-les tôt, car les revues d'achats attendent souvent ce document.

Sous-traitants ultérieurs et destination des données

Un fournisseur d'e-mail fait rarement tout seul. Il peut recourir à une infrastructure cloud, à des outils de support et à des services de paiement, qui peuvent chacun toucher des données personnelles. La bonne pratique veut que le fournisseur liste ces sous-traitants ultérieurs et vous prévienne lorsque la liste change.

Demandez-nous la liste actuelle avant de signer, et demandez comment vous serez informé des changements. Si des données sont envoyées hors du Royaume-Uni ou de l'EEE, un mécanisme de transfert licite doit les couvrir, et le bon mécanisme dépend de votre situation. Demandez au fournisseur quel mécanisme s'applique à votre usage et faites-le confirmer par votre conseiller avant de signer.

Consentement pour les e-mails marketing : PECR et règles de l'UE

Au Royaume-Uni, les Privacy and Electronic Communications Regulations, généralement abrégées en PECR, s'appliquent en parallèle du RGPD britannique et encadrent les e-mails marketing. Pour les particuliers, vous avez en général besoin d'un consentement, avec une exception limitée pour les clients existants qui ont acheté un produit similaire et à qui l'on a clairement offert la possibilité de refuser. Les règles pour les messages vers des adresses professionnelles sont différentes. L'UE a ses propres lois nationales fondées sur la directive ePrivacy.

Quelle que soit la règle exacte, la pratique sûre est la même. Enregistrez quand et comment chaque personne a donné son accord, dites ce que vous enverrez, mettez un lien de désabonnement clair dans chaque e-mail marketing et traitez-le rapidement. Une inscription en double opt-in est le moyen le plus simple de conserver une preuve que vous pouvez présenter à une autorité de contrôle.

Les e-mails transactionnels forment une catégorie à part

Une réinitialisation de mot de passe, une confirmation de commande ou une alerte de sécurité fait partie d'un service demandé par la personne, et ne nécessite pas de consentement marketing. Cela ne vaut que tant que le message est réellement transactionnel. Si vous ajoutez une promotion à un reçu, les autorités et les fournisseurs de messagerie peuvent considérer l'ensemble du message comme du marketing.

Séparez aussi les deux flux dans la façon de les envoyer. Utilisez un sous-domaine et un flux d'envoi pour les e-mails transactionnels et un autre pour les campagnes, afin qu'une plainte sur une newsletter ne retarde jamais un code de connexion.

Désabonnements, suppression et droit à l'effacement

Lorsqu'une personne se désabonne, vous devez cesser de lui écrire. Pour le faire de façon fiable, vous devez conserver son adresse sur une liste de suppression, ce qui peut sembler en conflit avec une demande d'effacement. La solution habituelle consiste à supprimer le profil et l'historique mais à conserver le minimum nécessaire pour respecter le refus, c'est-à-dire l'adresse elle-même.

Assurez-vous que vos outils permettent les deux : supprimer une adresse de façon qu'elle ne puisse plus jamais être contactée, et effacer le reste des données d'une personne lorsqu'elle le demande. Consignez votre approche dans votre politique de confidentialité pour que la réponse soit la même chaque fois qu'on vous pose la question.

Tarifs et facturation en euros

Les forfaits MigoSMTP peuvent être facturés en EUR. Sur la page des tarifs, le forfait mensuel de 10 000 e-mails est à 9 €, celui de 100 000 e-mails à 69 € et celui de 500 000 e-mails à 299 €. Les e-mails supplémentaires au-delà de votre volume mensuel sont facturés 0,92 €, 0,78 € ou 0,60 € par 1 000 sur Starter, Growth et Scale. Il existe un forfait gratuit de 1 000 e-mails par mois.

Vous pouvez payer mensuellement, trimestriellement, semestriellement ou annuellement. Le trimestriel fait économiser 5 %, le semestriel 10 % et l'annuel offre deux mois. Si votre équipe financière a besoin de mentions particulières sur une facture, dites à notre équipe de facturation ce qu'il vous faut lors de l'inscription. Les chiffres actuels figurent toujours sur la page des tarifs.

L'authentification et la livraison restent essentielles

La conformité ne fait pas arriver vos e-mails. Ce sont les fournisseurs de messagerie qui en décident, et ils demandent SPF, DKIM et DMARC sur votre domaine d'envoi, de faibles taux de plaintes et un désabonnement facile. Google, Yahoo et Microsoft publient tous des exigences pour les expéditeurs en masse qui s'appliquent autant aux e-mails du Royaume-Uni et de l'UE qu'à ceux d'ailleurs.

Configurez d'abord l'authentification, commencez par un petit volume de destinataires engagés et montez en charge par paliers. Nos guides détaillent les enregistrements DNS et le warm-up, et notre équipe peut examiner votre configuration avant un lancement important.

Questions à poser à tout fournisseur d'e-mail

Demandez les conditions de traitement des données et lisez-les. Demandez la liste des sous-traitants ultérieurs et comment vous êtes informé des changements. Demandez combien de temps les journaux de messages sont conservés et si vous pouvez le contrôler. Demandez comment les demandes de suppression et d'effacement fonctionnent ensemble, et comment vous pouvez exporter ou supprimer vos données si vous partez.

Demandez ensuite ce qui se passe quand quelque chose tourne mal : comment vous êtes prévenu, avec quelle rapidité vous pouvez joindre une personne, et ce que fait le fournisseur face à un client qui abuse du service. Un fournisseur qui répond clairement à ces questions est généralement un fournisseur avec qui l'on peut travailler.

Pour aller plus loin et sources

• Règlement (UE) 2016/679 (RGPD), texte officiel
• ICO : prospection directe et vie privée et communications électroniques
• Google : Consignes pour les expéditeurs d'e-mails

Dans MigoSMTP : articles du centre d'aide

• RGPD et e-mail : consentement, registres, désabonnements
• Gérer les listes de suppression
• Authentifier un domaine d'envoi dans MigoSMTP : SPF, DKIM et DMARC

Guides et outils associés

• Tarifs en euros : forfaits à partir de 9 € par mois.
• Confiance et sécurité : notre approche de la sécurité et de la confidentialité.
• Exigences des fournisseurs de messagerie : ce que Gmail, Outlook et Yahoo attendent.