Emailing auto-hébergé : la stack RGPD en 2026
Un guide pratique pour héberger vous-même votre outil de newsletter et d'automatisation, de façon à pouvoir l'expliquer à votre DPO. Nous passons chaque couche en revue : hébergeur, application, base de données, relais SMTP, sauvegardes, supervision. Avec les prix réels de septembre 2026 et un exemple chiffré.
Nous ne sommes pas avocats. Cette page est informative et ne constitue pas un conseil juridique. Pour votre situation, adressez-vous à votre délégué à la protection des données (DPO) ou à un avocat.
À qui s'adresse cette page
Aux entreprises, agences, CTO et marketeurs techniques qui ont déjà décidé de garder leurs données d'abonnés dans l'UE et veulent savoir à quoi ressemble concrètement la stack. L'objectif : pouvoir dire à votre DPO « les données de nos abonnés ne quittent pas l'UE ; voici le contrat de sous-traitance de chaque prestataire ; voici notre registre des traitements ».
En bref
- • L'auto-hébergement change qui traite les données personnelles pour vous. Il ne change pas le fait que le RGPD s'applique. Le résultat dépend de toute la stack, pas du seul logiciel.
- • Une stack type : un VPS chez OVHcloud ou Scaleway, Broadcast comme application, Postgres sur le même serveur, un relais SMTP européen, des sauvegardes dans l'UE et un suivi d'erreurs auto-hébergé ou européen.
- • Pour 10 000 abonnés et une newsletter par semaine, les frais courants sont d'environ 3,81 € HT de serveur chez OVHcloud et 4 $ d'envoi via Amazon SES à Francfort par mois, plus une licence unique de 250 $. Un relais européen comme Brevo ou Mailjet coûte plus cher. Le calcul est détaillé plus bas.
- • Bien faite, une stack auto-hébergée s'explique plus facilement à un DPO qu'un SaaS américain avec CCT et Data Privacy Framework. L'exploitation demande plus de travail. Ce compromis est réel.
La stack, couche par couche
Pour chaque couche : son rôle, les options, et ce qu'il faut savoir côté RGPD.
1. Hébergeur
Sous-traitantC'est là que tourne le serveur. L'hébergeur est sous-traitant pour toutes les données personnelles stockées sur le disque. Choisissez un prestataire européen, un centre de données dans l'UE, et signez son contrat de sous-traitance.
OVHcloud VPS-1
3,81 € HT / mois
4,57 € TTC. 2 vCores, 4 Go de RAM, 40 Go NVMe. Société française (Roubaix), centres de données en France dont Gravelines, Roubaix, Strasbourg et Paris.
Scaleway DEV1-S
environ 6,55 € HT / mois
2 vCPU, 2 Go de RAM. Filiale du groupe iliad. Stockage et IPv4 publique facturés en plus.
Hetzner CX23 (alternative)
5,49 € HT / mois
2 vCPU, 4 Go de RAM, 40 Go NVMe. Société allemande, prix en hausse depuis le 15 juin 2026. IPv4 en supplément.
Prix relevés en septembre 2026. OVHcloud et Hetzner exploitent aussi des sites hors UE (Hetzner notamment aux États-Unis et à Singapour) : choisissez explicitement un site européen à la commande. En avril 2026, la Commission européenne a retenu Scaleway, ainsi qu'un consortium incluant OVHcloud, dans son appel d'offres de cloud souverain.
2. Application : Broadcast
Sur votre serveurBroadcast est une application Ruby on Rails livrée sous forme d'image Docker, avec un installateur. Abonnés, listes, séquences et événements de suivi sont stockés dans votre base Postgres. Il n'y a pas d'espace client chez nous et pas d'abonnement mensuel.
Ce qui sort du serveur vers Broadcast : une vérification horaire des mises à jour, sans aucune donnée d'abonné, que vous pouvez désactiver ; la récupération des notes de version ; et un rapport d'erreur uniquement si vous cliquez sur « Send Report », après avoir vu son contenu expurgé. Pas de télémétrie d'usage. Si vous activez les fonctions d'IA, le contenu concerné part chez le fournisseur d'IA que vous avez configuré.
3. Base de données : Postgres
Sur le même serveurBroadcast utilise Postgres. Dans la configuration la plus simple, la base tourne sur la même machine que l'application. Pas de service managé, pas de sous-traitant supplémentaire : les données sont sur le disque que vous louez déjà. Si votre liste grossit, une base managée chez le même hébergeur est l'étape suivante, couverte par le même contrat.
4. Relais SMTP
Sous-traitantLe relais SMTP remet vos e-mails aux boîtes de réception. Les adresses de vos abonnés passent par lui : c'est un sous-traitant, et c'est souvent le choix qui décide s'il reste un transfert hors UE dans votre stack.
Prestataires européens
- • Brevo SMTP : inclus dans toutes les formules Brevo, tarif au volume d'e-mails (Starter à partir de 7 € par mois pour 5 000 e-mails). Société française, hébergement OVH (France) et Google Cloud (Belgique), avec des sous-traitants américains dans sa liste.
- • Mailjet : fondé en France, groupe Sinch (Suède), données traitées dans l'UE sur Google Cloud. Tarifs sur le site de Mailjet.
- • Postfix en propre : contrôle total, pas de sous-traitant de plus. Demande une vraie compétence en réputation d'IP et en délivrabilité.
Scaleway Transactional Email ne convient pas aux newsletters : Scaleway le réserve aux e-mails transactionnels et interdit l'envoi d'e-mails marketing. Vous pouvez l'utiliser pour les e-mails de confirmation (double opt-in), pas pour vos campagnes.
Région UE, maison mère américaine
- • Amazon SES Francfort (eu-central-1) : environ 0,10 $ les 1 000 e-mails, point d'accès SMTP dans la région. SES existe aussi à Paris. Le traitement a lieu dans l'UE, mais AWS reste soumis au CLOUD Act.
C'est l'option la moins chère. Si vous la retenez, documentez la maison mère américaine dans votre analyse.
5. Sauvegardes
Sous-traitant si externeUne sauvegarde de base de données contient toute votre liste. Elle mérite le même soin que le serveur. Les sauvegardes proposées par votre hébergeur restent chez lui et relèvent du même contrat. Pour une copie hors site, utilisez un stockage objet d'un autre prestataire européen, et ajoutez-le à votre registre. Évitez d'envoyer vos exports de base vers un stockage américain par habitude : c'est le transfert hors UE le plus facile à créer sans s'en rendre compte. Testez la restauration au moins une fois.
6. Supervision et suivi d'erreurs
Facile à oublierUne trace d'erreur peut contenir une adresse e-mail par accident. Un outil de suivi d'erreurs est donc un sous-traitant comme un autre. Le plus simple est de l'héberger vous-même, par exemple avec GlitchTip, et de surveiller la disponibilité avec un outil auto-hébergé comme Uptime Kuma. Même logique pour le support : si votre helpdesk ou votre chat voient des adresses d'abonnés, ils entrent dans votre chaîne de sous-traitance.
Pourquoi le choix des sous-traitants compte. Le 11 décembre 2025, la CNIL a infligé une amende d'un million d'euros à Mobius Solutions (Optimove), sous-traitant de Deezer, qui avait conservé et copié des données après la fin de son contrat. Un sous-traitant a ses propres obligations. Moins il y en a dans votre stack, moins il y a de contrats à suivre.
Source : délibération SAN-2025-014 sur Légifrance.
Un exemple chiffré
Une newsletter hebdomadaire envoyée à 10 000 abonnés. Pour simplifier, on compte 4 envois par mois, soit 4 × 10 000 = 40 000 e-mails par mois. Prix de septembre 2026, hors TVA.
Option A : serveur OVHcloud, relais Amazon SES Francfort
OVHcloud VPS-1, centre de données en France
Broadcast et Postgres, sur le même serveur
Amazon SES, région Francfort : 40 000 / 1 000 × 0,10 $
Selon l'option retenue
Option B : même serveur, relais européen (Brevo ou Mailjet)
Brevo ou Mailjet, tous deux autorisent les newsletters. Tarif selon le volume : consultez leur grille pour 40 000 e-mails par mois.
Plus cher que SES, sans maison mère américaine. Vérifiez quand même leurs propres sous-traitants.
Le relais de l'option A est moins cher, mais il appartient à un groupe américain : AWS est soumis au CLOUD Act, même si les e-mails sont traités à Francfort. À documenter dans votre analyse de transfert. Un mois compte en réalité un peu plus de quatre semaines : avec 4,33 envois, SES coûte environ 4,33 $ par mois (43 300 / 1 000 × 0,10 $). Si votre liste double, seul le poste SMTP augmente (il double) ; le serveur et la licence ne changent pas. Vérifiez les tarifs chez chaque prestataire avant de vous engager.
Ce que l'auto-hébergement ne résout pas
Ces obligations s'appliquent quel que soit l'outil.
Le consentement
Vous devez pouvoir prouver que chaque abonné a accepté de recevoir vos e-mails. Le double opt-in est la façon la plus simple de le documenter. Broadcast le gère nativement.
L'information des personnes
Votre politique de confidentialité doit citer les sous-traitants qui traitent les données. L'auto-hébergement réduit la liste. Il ne supprime pas l'obligation.
Un contrat avec chaque sous-traitant
Hébergeur, relais SMTP, stockage de sauvegarde, suivi d'erreurs. Un contrat au titre de l'article 28 par prestataire, archivé.
Le registre des traitements
Le registre de l'article 30 du RGPD, avec l'emailing comme traitement à part entière.
Les droits des personnes
Une procédure écrite pour répondre aux demandes d'accès et d'effacement dans les délais.
La sécurité du serveur
Mises à jour du système, pare-feu, accès SSH, sauvegardes testées. Avec un SaaS, c'était le travail de l'éditeur. Ici, c'est le vôtre.
Questions fréquentes
Un logiciel d'emailing qui tourne chez vous.
Broadcast ne vous rend pas automatiquement conforme au RGPD. Il vous donne un modèle d'infrastructure plus simple : votre liste, votre serveur, votre base de données, le relais SMTP de votre choix.
Une licence unique. Pas de palier par nombre d'abonnés. Conçu pour tourner sur un serveur européen.
