SparkPost

Qu'est-ce que SparkPost ?

SparkPost est un service d'infrastructure email développé à l'origine par Message Systems, spécialiste américain de la délivrabilité. Il a été racheté par MessageBird en 2021 (CPaaS basée à Amsterdam, rebaptisée Bird en 2024) et fait désormais partie de la famille Bird aux côtés de Mailgun (racheté en 2023). SparkPost est utilisé par les éditeurs SaaS, e commerce et médias pour envoyer à grande échelle des emails transactionnels (réinitialisations de mot de passe, confirmations de commande, notifications) et marketing, avec des analytics détaillés sur la délivrabilité et l'engagement.

Comment fonctionne le tracking

SparkPost ne dépose pas de cookies navigateur puisque c'est un service email backend. Le tracking se fait à deux endroits : le tracking d'ouverture via une image transparente 1x1 en bas des emails HTML, téléchargée par le client mail à l'affichage, ce qui transmet IP, user agent et horodatage à SparkPost ; le tracking de clic via le wrapping d'URL, où chaque lien de l'email est remplacé par une URL de redirection SparkPost qui journalise le clic avant redirection. Les deux peuvent être désactivés par message via les SubAccounts ou les options de template. SparkPost émet aussi des évènements webhook pour livraison, bounce, complaint, désabonnement et engagement.

Implications RGPD et ePrivacy

Comme aucune information n'est stockée sur le terminal du destinataire, l'art. 5(3) ePrivacy ne s'applique pas aux emails SparkPost. La règle applicable est l'art. 13 ePrivacy (communications non sollicitées) pour les emails marketing, exigeant consentement ou opt in soft. Sous RGPD, les emails transactionnels reposent sur la nécessité contractuelle (art. 6(1)(b)), les emails marketing sur le consentement (art. 6(1)(a)). Le traitement de tracking d'ouverture et de clic repose sur l'intérêt légitime de l'art. 6(1)(f) mais doit être déclaré dans la politique de confidentialité et les destinataires doivent pouvoir le désactiver sur demande.

Transferts et traitement régional

L'infrastructure SparkPost par défaut inclut des datacenters US ainsi que des régions UE (Francfort, Dublin). Les clients européens doivent activer explicitement le traitement régional UE lorsque les engagements de résidence l'exigent. Bird a son siège à Amsterdam, ce qui place la décision corporate en UE, mais le produit SparkPost conserve une infrastructure US pour l'efficacité du routage global. Bird s'auto certifie sous le EU US Data Privacy Framework et propose des CCT pour les transferts hors DPF.

Apple Mail Privacy Protection et inflation des taux d'ouverture

Apple Mail Privacy Protection, activée par défaut sur iOS 15 et macOS Monterey, prefetche toutes les images des emails sur les serveurs Apple aux États-Unis avant que le destinataire n'ouvre. Cela casse le tracking d'ouverture en gonflant les taux à près de 100 % pour les utilisateurs d'Apple Mail, et l'IP/user agent visibles par SparkPost deviennent ceux des relais Apple. Les données sont toujours traitées par SparkPost mais leur valeur analytique baisse. Les opérateurs doivent ajuster leurs attentes et ne pas tirer d'inférences individuelles depuis les taux d'ouverture des destinataires Apple Mail.

Mise en pratique

Distinguer clairement emails transactionnels (sans consentement sous nécessité contractuelle) et emails marketing (consentement ou opt in soft). Souscrire au traitement régional UE le cas échéant. Signer le DPA et les CCT Bird/SparkPost. Déclarer le tracking d'ouverture et de clic dans la politique de confidentialité. Fournir un lien de désabonnement fonctionnel dans tous les emails marketing et honorer la suppression en 72 heures. Inscrire le traitement au registre avec catégories de données, base légale, durée et mécanisme de transfert.