Documentation pour votre DPO

Cette page rassemble les éléments dont votre DPO (ou votre conseil juridique) a besoin pour compléter votre registre de traitements, mettre à jour votre politique de confidentialité et préparer une éventuelle demande de la CNIL.

La qualification juridique des parties

Selon la finalité du traitement, Ediware intervient sous deux qualifications distinctes.

Ediware est sous-traitant (art. 28 RGPD) pour la mesure de performance §3.1, exécutée pour votre compte sur les contacts consentants. Cette relation est couverte par votre contrat de sous-traitance existant avec Ediware.

Ediware est co-responsable de traitement (art. 26 RGPD) pour les opérations propres à la délivrabilité plateforme §3.2 (réputation des IP d’envoi, détection de listes défaillantes au niveau infrastructure), où Ediware traite pour des finalités qui lui sont propres.

Les mentions à ajouter à votre politique de confidentialité

Votre politique de confidentialité doit être complétée avec les éléments suivants.

Sur les finalités et la base légale : indiquer l’utilisation de pixels de suivi dans vos courriels, avec les deux finalités distinctes. D’un côté la délivrabilité et l’hygiène des listes (§3.2, exemptée de consentement), de l’autre la mesure de performance individuelle (§3.1, nécessitant un consentement). Préciser que la base légale de la mesure de performance est le consentement au sens de l’article 82 de la loi Informatique et Libertés.

Sur le caractère facultatif : préciser que le consentement à la mesure de performance est facultatif, que son refus ou son retrait n’affecte pas la réception des courriels, et que certaines fonctionnalités statistiques (ouvreurs identifiés, relance par engagement) ne sont pas disponibles sans consentement.

Sur le retrait : mentionner la possibilité de retirer le consentement à tout moment via le lien en pied de chaque courriel, avec effet immédiat sur les courriels futurs.

Sur la qualification d’Ediware : sous-traitant pour la mesure de performance §3.1, co-responsable de traitement pour la délivrabilité §3.2.

Un modèle de clause est disponible sur demande auprès du support Ediware.

Les preuves disponibles en cas de contrôle CNIL

Quatre éléments à mobiliser, dans l’ordre de priorité d’un contrôle.

1. Le registre de consentements extractible. Depuis Gestion du compte → Consentements pixel → Exporter CSV. L’export inclut pour chaque contact : adresse courriel, statut (granted / refused / withdrawn / unknown), source du consentement, date, date d’information §7 (informed_at), date de dernière mise à jour. La preuve de recueil (IP, user-agent, horodatage) est conservée en base et extractible sur demande.

2. La preuve de l’information transitoire §7. Le champ informed_at est enregistré par destinataire lors de l’envoi via le module dédié, et inclus dans l’export. Si vous avez effectué l’information §7 par vos propres moyens (template maison, autre canal), importez informed_at via CSV pour compléter le registre.

3. Le document d’architecture de référence Ediware. Ediware tient à jour un document technique (version courante 1.20) détaillant les garanties d’anonymisation, les flux de données, les choix de conception et les mesures de sécurité. Il est transmis sur simple demande à votre DPO ou à la CNIL dans un délai raisonnable.

4. Votre analyse documentée des régimes appliqués. C’est le document que vous devez constituer et conserver. Il justifie les choix effectués liste par liste et campagne par campagne : position prudente §3.2 sur telles bases B2B cold, activation du §7 opt-out sur telles listes, recueil de consentements explicites §3.1 via tel formulaire, activation de la mesure d’hygiène §3.2 (conservation de la seule date de dernière ouverture des non-consentants) sur telles campagnes, campagnes déclarées hors du champ du consentement (destinataires hors réglementation applicable) avec la qualification juridique retenue. Ce document est à conserver dans votre propre registre de traitements. Il ne peut pas être produit par Ediware à votre place, car il traduit votre qualité de responsable de traitement.

Le partage du registre entre comptes d’un même responsable

Si votre organisation utilise plusieurs comptes Ediware (un compte principal et des sous-comptes), le registre de consentement du compte principal peut être partagé avec ses sous-comptes. Cette option n’a de sens, et n’est licite, que si les sous-comptes relèvent du même responsable de traitement que le compte principal, par exemple des services ou des marques d’une même entité juridique. Elle ne doit jamais servir à partager des consentements entre entités distinctes : un consentement donné à une entité ne vaut pas pour une autre.

Fonctionnement. Quand l’option est activée, les sous-comptes ne tiennent plus de registre propre. Le suivi de leurs campagnes et leurs liens de recueil de consentement lisent et écrivent dans le registre du compte principal, qui devient la source unique de vérité. Un refus ou un retrait exprimé depuis n’importe quel compte du groupe est ainsi honoré par tous. La page Consentements pixel des sous-comptes indique alors que le registre est géré par le compte principal.

Traçabilité. L’activation est réservée au compte principal et subordonnée à une attestation explicite « mes sous-comptes relèvent du même responsable de traitement », enregistrée et horodatée avec son auteur. L’option est désactivée par défaut et réversible à tout moment ; à la désactivation, chaque sous-compte reprend son propre registre. Lorsqu’une décision de consentement est enregistrée depuis un sous-compte dans le registre partagé, la preuve conserve le compte à l’origine de l’action.

Le B2B et l’exception L.34-5 : deux régimes distincts

L’exception de prospection B2B (article L.34-5 du CPCE) ne dispense pas du consentement au pixel. Ce sont deux régimes juridiques distincts :

La recommandation CNIL du 12 mars 2026 le précise explicitement dans son encadré « Point d’attention » : le consentement au pixel peut être nécessaire pour des courriels qui ne nécessitent pas le consentement à l’envoi (confirmation de commande, prospection B2B en rapport avec la profession, etc.). La CNIL a précisé lors du webinaire du 28 mai 2026 que la prospection B2B légale (vers un professionnel en rapport avec sa fonction, autorisée sans opt-in par l’art. L.34-5 CPCE) ne pouvait pas bénéficier de l’exemption pour la délivrabilité.

Pour la mise en œuvre opérationnelle, reportez-vous au guide de mise en conformité et à la checklist.

Ce contenu a une visée pédagogique. Il ne constitue pas un avis juridique.