Pour une petite structure française, Brevo offre un point de départ pratique pour organiser les campagnes et consulter un DPA publié, mais il faut demander où les données sont hébergées. Le choix du logiciel ne crée pas à lui seul une base légale : distinguez la prospection B2C, fondée en principe sur le consentement, de certains messages B2B liés au rôle professionnel. Comparez aussi la preuve d’inscription, le désabonnement, la conservation des prospects et le traitement des demandes d’accès ou d’effacement. Faites valider vos cas particuliers par un DPO ou un conseil.
Pour une petite structure française qui veut centraliser ses campagnes et clarifier son contrat de sous-traitance, Brevo constitue un point de départ pratique : son DPA est publié et l’interface existe en français. Sa limite est que le lieu d’hébergement doit être clarifié avec le fournisseur. Demandez où résident les données et sauvegardes, puis vérifiez votre parcours de consentement, d’opposition et d’effacement avant le premier envoi.
Omnisend publie un DPA, document que vous pouvez examiner avec votre DPO ou conseil pour cartographier les responsabilités du prestataire. Demandez où se trouvent contacts et sauvegardes, ainsi que les transferts éventuels. Vérifiez ensuite comment une opposition se propage aux campagnes préparées et aux données synchronisées depuis votre boutique.
MailerLite
MailerLite propose un stockage dans l’Union européenne et met à disposition un DPA, deux éléments utiles à documenter pour votre sous-traitant. Cela ne règle pas le choix de la base légale ni la preuve de chaque inscription. Demandez si le périmètre couvre vos formulaires, sauvegardes et sous-traitants, puis testez le parcours de désinscription depuis une campagne réelle.
Mailchimp
Mailchimp publie un DPA, ce qui donne un document contractuel à examiner avec votre DPO ou conseil. Demandez où résident les contacts, les copies et les journaux, ainsi que les mécanismes de transfert concernés. Évaluez séparément les formulaires et exports nécessaires pour retrouver une preuve de consentement ou répondre à un accès.
ActiveCampaign
ActiveCampaign met à disposition un DPA que votre équipe peut confronter à ses flux de prospection et à ses responsabilités de sous-traitant. Demandez le détail des lieux de stockage et des transferts. Avant de retenir la solution, vérifiez comment exporter les attributs et retracer l’origine des contacts sans conserver des champs devenus inutiles.
HubSpot
HubSpot publie un DPA et peut intéresser les organisations qui gèrent les contacts commerciaux et les campagnes dans un même environnement. Demandez où sont stockées les données et quelles équipes peuvent y accéder. Cartographiez aussi les champs copiés entre CRM, formulaires et listes afin qu’une demande d’accès ou d’effacement atteigne chaque système.
GetResponse peut être étudié par une équipe qui adresse plusieurs marchés et souhaite comparer ses parcours de campagne. Demandez le DPA applicable, les sous-traitants et les lieux de stockage avant d’importer des contacts. Faites un essai contrôlé pour voir comment retirer une personne des messages planifiés, retrouver l’historique nécessaire et empêcher le retour d’une adresse supprimée.
Séparez vos listes B2C et B2B dès la conception des formulaires et des segments. Pour les particuliers, prévoyez le consentement préalable à la prospection ; pour une adresse professionnelle, reliez le sujet du message au rôle de la personne, informez-la et laissez-lui un moyen d’opposition. Les clients existants peuvent relever d’une exception limitée pour des offres analogues. Faites valider vos scénarios réels par votre DPO ou conseil avant de les automatiser.
Vérifiez que votre organisation peut conserver le texte présenté lors de l’inscription, la date, l’origine et l’action du contact, puis retrouver ces éléments lors d’une demande. Le double opt-in peut ajouter une preuve de confirmation et limiter les erreurs de saisie ; choisissez-le selon votre parcours et vos risques, sans le confondre avec une obligation universelle. Testez aussi les modifications de formulaire : elles ne doivent pas écraser les preuves déjà associées aux anciens inscrits.
Examinez le pied de courriel sur téléphone et ordinateur, ainsi que les étapes qui suivent le clic. Le lien doit permettre de s’opposer sans chercher une option dans un compte, et le retrait doit être répercuté dans les campagnes planifiées, les automatisations et les imports ultérieurs. Demandez comment la plateforme traite les listes de suppression et si l’export d’un segment les respecte. Faites un essai avant une période de forte activité commerciale.
Demandez le DPA applicable, les clauses sur les sous-traitants, la sécurité, les demandes de personnes et la restitution ou suppression à la fin du contrat. Interrogez aussi le fournisseur sur l’hébergement principal, les sauvegardes, le support et les transferts hors EEE. Une option de stockage européen peut être pertinente, mais vérifiez son périmètre concret et les services couverts. Votre DPO ou conseil pourra relier ces réponses à votre registre de traitements.
Choisissez une règle de conservation adaptée à la fréquence de vos envois et au cycle de décision de vos prospects. Définissez un signal d’inactivité exploitable, les personnes responsables de la revue et le sort des données lorsqu’elles ne sont plus nécessaires. Pensez aux copies exportées, formulaires, outils de vente et fichiers partagés, pas uniquement au statut du contact dans l’outil emailing. Évitez de conserver un profil détaillé simplement parce qu’il pourrait resservir un jour.
Préparez un chemin opérationnel pour rechercher les informations d’une personne dans chaque système relié à vos campagnes. Demandez si un export lisible inclut les champs, consentements, événements et segments, puis vérifiez comment l’effacement affecte les journaux, copies et synchronisations. Attribuez un responsable et gardez une trace interne de la réponse sans multiplier les copies de données. Simulez les étapes avec un contact de test avant de traiter une demande réelle.
Pour la prospection commerciale par courriel auprès de particuliers, recueillez en principe leur consentement préalable. Présentez l’organisme qui écrira, le sujet des messages et une action positive distincte, sans case précochée. Une exception peut concerner vos clients existants si vous proposez des produits ou services analogues et leur permettez de s’opposer simplement. Faites valider le périmètre de cette exception avec votre DPO ou conseil avant de l’utiliser pour une campagne.
Selon la CNIL, la prospection professionnelle peut reposer sur une règle différente lorsque l’adresse utilisée est professionnelle et que le message concerne directement la fonction de son destinataire. La personne doit être informée et pouvoir s’opposer facilement. Un message sur un sujet sans rapport avec son rôle ne devient pas pertinent parce que l’adresse appartient à son employeur. Conservez la raison du ciblage et la version de l’information présentée, puis demandez l’avis de votre DPO ou conseil pour vos cas limites.
Associez à chaque inscription la date, le formulaire ou canal, le texte de consentement présenté et l’action effectuée. Gardez une copie versionnée de ce texte : une capture ou un export daté peut aider à reconstituer le parcours lorsque le formulaire évolue. Pour une collecte hors ligne, consignez le contexte et la personne qui a saisi l’adresse. Limitez l’accès à ces éléments et prévoyez une méthode pour les retrouver sans fouiller plusieurs outils.
Le double opt-in ajoute une confirmation envoyée à l’adresse inscrite ; c’est un choix de preuve et de qualité de collecte, pas une étape à présenter comme automatiquement imposée dans tous les cas. Il réduit le risque d’erreur de saisie et permet de conserver la trace d’une confirmation. Il ajoute aussi un abandon possible avant validation. Comparez ce parcours avec votre mode de collecte, gardez les preuves correspondantes et validez la configuration avec votre DPO ou conseil.
Prévoyez un moyen clair et simple de s’opposer dans chaque message de prospection. Il doit rester visible sur mobile, conduire vers une action compréhensible et ne pas exiger une connexion au compte. Testez le lien depuis une vraie boîte de réception, puis vérifiez que le contact cesse d’être ciblé dans les campagnes et scénarios automatisés. Gardez une liste d’opposition minimale afin d’éviter une réimportation qui relancerait les envois.
Fixez une durée de conservation cohérente avec la finalité de la collecte, le rythme de vos campagnes et vos obligations, plutôt que de garder chaque prospect sans limite. Définissez ce que signifie l’inactivité, la date de départ du calcul et le traitement prévu : suppression, anonymisation ou demande de confirmation si elle est pertinente. Faites le même exercice pour les exports, les outils reliés et les sauvegardes selon leurs modalités. Votre DPO ou conseil peut aider à établir une règle documentée.
Examinez le contrat de sous-traitance, souvent appelé DPA, et vérifiez qu’il décrit les instructions de traitement, la confidentialité, la sécurité, les sous-traitants ultérieurs, l’assistance pour les demandes de personnes et la fin du contrat. Demandez où sont hébergées les données et quelles opérations peuvent avoir lieu hors de l’Espace économique européen. Un contrat signé ne répond pas à lui seul à chaque question de transfert ou de configuration ; faites examiner les clauses par votre DPO ou conseil.
Centralisez les demandes reçues par courriel, formulaire ou téléphone et vérifiez l’identité avec une méthode proportionnée avant d’agir. Recherchez les données dans la plateforme emailing, le CRM, les formulaires et les exports partagés. Pour un accès, préparez une réponse lisible et contrôlez qu’elle ne révèle pas les informations d’une autre personne. Pour un effacement, coordonnez les systèmes concernés et notez les actions réalisées. Faites valider le délai et les éventuelles exceptions avec votre DPO ou conseil.
Ne confondez pas la possession d’une adresse avec l’autorisation de lui envoyer votre prospection. Une liste transmise par un tiers ne démontre pas automatiquement que chaque personne a accepté les messages de votre organisation et leur objet. Avant tout import, demandez comment le consentement a été recueilli, pour quels destinataires et dans quel contexte, puis soumettez le dispositif à votre DPO ou conseil. En l’absence d’une base défendable, n’activez pas ces contacts dans une campagne.
Supprimer toute trace d’une opposition peut conduire à réimporter la même adresse plus tard. Conservez donc uniquement les éléments minimaux nécessaires pour empêcher une nouvelle sollicitation, avec un accès restreint et une durée définie. Séparez cette liste de suppression des segments actifs et appliquez-la avant chaque import depuis une boutique, un CRM ou un fichier. Documentez la procédure afin que la personne chargée des campagnes sache quoi faire lorsqu’une adresse réapparaît.