Postmark's Response to the Schrems II Judgment and Privacy Shield Invalidation - Implications for EU Data Transfers

Avant de transférer, cartographiez chaque flux de données : quelles données, où elles vont, avec qui elles sont partagées et pendant combien de temps. Avec les dates d'expédition, vous activez un plan qui aligne les transferts de données sur les SCI mises à jour, garantissant que les données circulant entre l'UE et les régions hors UE restent adéquat and traceable. If you have hired prestataires, incluez-les dans vos accords de traitement des données et assurez-vous qu'ils respectent les mêmes garanties. C'est relevant pour les équipes gérant les e-mails transactionnels et marketing, où le consentement et les droits des clients sont les plus importants afin que votre équipe puisse consulter les directives de la courts.

Pendant le traitement, , apply un chiffrement fort en transit et au repos, l'application d'un contrôle d'accès basé sur les rôles et la réalisation d'AVI (Analyses d'Impacts sur la Vie privée) pour chaque transfert transfrontalier. Au sein du programme, vous trouverez des modèles qui documentent les catégories de données, les destinataires, les finalités et les durées de conservation, plus un stock des SCC et mesures complémentaires que vous pouvez déployer. Cela vous aide à présenter relevant safeguards to auditors and courts, surtout lorsque vous travaillez avec les fournisseurs agréés par les postmarks et leurs pratiques de traitement des données. Members les équipes juridique et de sécurité peuvent s’aligner sur un plan unique, et vous pouvez le comparer avec privacyactivecampaigncom pour référence et bonnes pratiques.

Postmark fournit une clarté, , best- approche de pratique : un documenté plan, un processus intégré d'évaluation d'impact sur la protection des données (DPIA), et un programme de confidentialité qui réduit les frictions lorsque vous transférez des données. Notre plateforme prend en charge le routage des données axé sur l'UE, des termes DPA clairs et des rapports prêts à être utilisés comme preuves que vous pouvez citer dans votre contexte UEÉE. Pour une conformité durable, consultez privacyactivecampaigncom pour les détails des politiques et comparez-les avec les dernières orientations de l'UE afin de maintenir votre approche à jour.

Pour agir maintenant, passez aux transferts de données de l'UE de Postmark. plan et commencez à partager ceci program with your members. Si vous souhaitez personnaliser un plan pour vos types de données, nous fournissons un stock de modèles et de listes de contrôle. Ils peuvent être utilisés avant de lancer des campagnes, pendant l'intégration de nouveaux employés et lors des revues trimestrielles pour maintenir vos transferts conformes et especially robuste lorsque les audits arrivent.

Commencez par une évaluation gratuite de votre préparation et découvrez comment les fonctionnalités de Postmark permettent des transferts transfrontaliers conformes tout en maintenant les droits sur les données. Ils vous montreront comment mettre en œuvre les contrôles dont vous avez besoin, et vous obtiendrez une visibilité de classe mondiale sur votre programme global.

Postmark's Response to Schrems II Judgment and Privacy Shield Invalidation: Implications for EU Data Transfers; What is Safe Harbor

Mettre en œuvre les Clauses Contractuelles Standard (CCS) avec des mesures supplémentaires robustes avant tout transfert transfrontalier. Ceci est nécessaire pour satisfaire aux normes du RGPD et pour couvrir les transferts pour les responsables du traitement et, le cas échéant, les sous-traitants. Pour chaque partenaire, initier une évaluation de l'impact du transfert et vérifier que les dispositions et les contrôles des risques sont bien documentés et signés par l'autorité.

Dans la deuxième phase, cartographiez les flux de données entre les sites, identifiez les informations qui voyagent en dehors de l'UE et consultez les ressources complémentaires sur notre site afin de vous conformer aux meilleures pratiques actuelles. Utilisez cette approche pour mettre en place un processus répétable que vous pourrez appliquer aux nouveaux fournisseurs et aux nouveaux types de données, en garantissant le même niveau de protection quel que soit le lieu géographique. L'idée est de tenir les personnes concernées par les données informées et de fournir une réponse concrète, réalisable et traçable à partir des obligations figurant dans les accords que vous signez avec vos partenaires.

Safe Harbor était un mécanisme historique qui permettait certains transferts des États-Unis vers l'Union européenne sur la base d'auto-certifications. Ce n'est pas un fondement viable pour les transferts en cours aujourd'hui. Après Schrems II, Privacy Shield a été invalidé et l'attention s'est déplacée vers les transferts basés sur les Clauses Contractuelles Types (CCT) avec des attentes plus élevées concernant des mesures complémentaires. Le principe demeure qu'un arrangement de transfert doit inclure non seulement un instrument juridique, mais aussi des mesures techniques et organisationnelles fondées sur l'évaluation des risques qui protègent les informations et satisfont aux exigences du RGPD.

Pour appliquer ces normes en pratique, des évaluations devraient être menées pour chaque transfert, et les petites et grandes entreprises peuvent toutes deux bénéficier d'un plan clairement défini, étape par étape. Démarrez la cartographie des données, identifiez les responsables et les processeurs impliqués, et incluez une approche de minimisation des données qui réduit l'exposition. Avant de finaliser tout contrat, examinez les dispositions, obtenez l'approbation de l'autorité compétente et assurez-vous que toutes les parties comprennent les responsabilités. Cette approche couvre à la fois les activités internes et celles des fournisseurs et vous aide à réagir rapidement à toute modification des attentes réglementaires.

Pour assurer la pérennité, maintenez un registre des risques évolutif, mettez à jour les mesures complémentaires si nécessaire, et tenez les parties prenantes informées. Fournissez des conseils et des ressources clairs aux équipes afin qu'elles puissent lire et appliquer les conseils de manière cohérente, et maintenez un ensemble concis d'options pour les décisions de transfert de données. Cela aiderait votre entreprise à rester conforme tout en permettant la continuité opérationnelle dans les différentes régions.

Option	What it covers	Impact
SCC avec des mesures complémentaires	Le chiffrement en transit, la minimisation des données, les contrôles d'accès et les règles de conservation.	High
DPAs et cadre de gouvernance	Rôles, responsabilités et alignement des processus entre les contrôleurs et les processeurs	Medium
EU-US Data Privacy Framework (DPF) readiness	Alignement actuel du cadre et planification de la transition pour les transferts	High
Localisation des données ou traitement régional	Limiter les transferts de données par géographie lorsque cela est possible.	Faible–Moyen
Cookies et gouvernance du site	Gestion du consentement, collecte minimale de données et notifications claires sur l'utilisation des données.	Low
Conseils de l'ICO et ressources de l'ICO	Références réglementaires et modèles pratiques pour les audits et les divulgations	Medium

En appliquant ces étapes, une entreprise peut évaluer les risques, mettre en place des contrôles appropriés et fournir une réponse cohérente aux organismes de réglementation et aux partenaires. L'approche est conçue pour être évolutive, tant pour les petites équipes que pour les grandes organisations, permettant à chaque équipe d'initier une gouvernance qui s'aligne sur les normes RGPD et l'évolution du paysage des transferts de données. Des ressources et des conseils peuvent être consultés via notre site pour soutenir les évaluations continues, les mises à jour des accords et la formation continue des personnes manipulant les transferts de données.

Impacts pratiques de Schrems II : Comment les transferts de données de l’UE avec Postmark sont affectés

Aligner les transferts de données de Postmark vers l'UE avec les Clauses Contractuelles Types et documenter une justification solide pour le traitement transfrontières ; mettre en œuvre les mesures à court terme dès maintenant et suivre les évolutions grâce à un blog mis à jour pour tenir les dirigeants informés. Ils ne sont pas suffisants seuls pour une conformité à long terme, donc cette approche doit être complétée par une surveillance et une gouvernance continues.

Mesures pratiques à court terme

• Les flux de données entrent et sortent de l'UE, consultez le registre du traitement des données et identifiez les données personnelles stockées détenues par Postmark et ses processeurs, y compris les services cloud Amazon.
• Adopt a formal transfer mechanism (SCCs or an equivalent) and attach a justification that explains why the transfer is necessary for business purposes.
• Limit access to data based on the principle of least privilege, and apply encryption at rest and in transit for stored data.
• Document the risk assessment, including potential US access under fisa, and outline controls to mitigate risk for EU data subjects.
• Engage the executive team to confirm that the chosen mechanism is approved and refer to the authority if needed; keep stakeholders aligned and update the blog with progress.

Governance, storage, and compliance considerations

• Ensure processing activities are described in a clear, referenced policy and that the justification covers transfers into non-EU locations.
• Establish a retention schedule and a mechanism to back up data securely while avoiding unnecessary copies in non-EU regions.
• Maintain a risk register that tracks changes in regulations and potential impacts on Postmark’s transfers and published guidance.
• Prepare executive summaries and incident response plans to address potential data access requests or government data demands, while preserving user rights.
• Regularly review third-party contracts and include references to regulatory expectations, justice expectations, and the compliance posture.

Postmark's Data Processing Agreement: Key Provisions for EU Compliance

Adopt Postmark's Data Processing Agreement as the binding baseline for all customers and services. Postmark will act as processor and customers as controllers, with the same data protection standards applied to every processing activity. The adopted baseline reflects EU data protection rules and includes a data processing team that includes members from security, privacy, and engineering, and the plan enforces clear responsibilities, response times, and accountability. This setup provides an answer to regulators and customers by establishing predictable controls and a defined lifecycle for data handling.

The agreement includes safeguards for data security, a documented list of sub-processors, and a process to manage changes. It specifies the status and location of data processing, ensures that service levels reflect the surrounding regulatory environment, and uses a transfer mechanism that aligns with eu-us requirements. The controls are followed across all services to maintain consistency, and the commission guidelines are referenced, with cjeus guidance incorporated to interpret cross-border data transfers.

Cross-border transfers: The DPA relies on a documented mechanism, such as SCCs or any successor framework; transfers will be allowed only if safeguards remain in place; the plan describes how data will be managed in transit and at rest and how data subjects can exercise rights when transfers occur.

Sub-processors: Postmark will only engage subprocessors that meet the same obligations; customers will be notified of changes, and the same safeguards apply. The DPA includes an approval process, and the place where sub-processor details are maintained. Relying on this approach reduces riskier configurations by design, and all actions follow internal rules for vendor management.

Data subject rights and breach response: The DPA sets procedures for access, rectification, erasure, restriction, data portability, and objection; breach notification is required without undue delay, and cooperation is defined to support investigations with regulators.

Retention, return, and deletion: The agreement defines data retention periods, secure deletion upon termination, and a plan to assist controllers in fulfilling deletion requests; the mechanism ensures data is managed consistently across services.

Governance and audit: The DPA requires documentation of processing activities, risk assessments, and ongoing monitoring; regulators may request evidence, and the status of controls depends on ongoing review and is reported to customers.

Dispositions clés

Data handling scope and roles: The DPA defines Postmark as processor and the customer as controller, with the same standards across all services; includes responsibilities for data minimization and purpose limitation.

Cross-border transfers: The agreement uses a documented eu-us transfer mechanism; aligns with SCCs and any successor framework; cjeus guidance is considered to validate safeguards and determine when additional measures are needed.

Sub-processors and location: The DPA requires a published sub-processor list, a process to obtain consent, and the ability to object or pause processing if safeguards are not met; it covers data center locations and access controls.

Security and audit: The DPA mandates technical and organizational measures, encryption, access controls, logging, and regular assessments; it grants audit rights with reasonable notice and a mechanism to share findings with courts or regulators.

Subject rights and breach response: The DPA outlines procedures to handle access, rectification, erasure, portability, and objection; breach notification is required without undue delay, with cooperation to address risk and notify affected parties.

Retention and deletion: The agreement sets retention timelines, secure deletion after termination, and support for deletion requests; this ensures data is managed consistently across services.

Governance: The DPA requires documentation of processing activities, risk assessments, and annual reviews; regulators may request evidence, and the status of controls is shared with customers.

Implementation Plan

Adopt and publish the DPA across all contracts within 60 days; require customer acceptance and maintain a central repository for the document.

Map data flows, identify processing purposes, and reference the eu-us transfer mechanism; share a current list of subprocessors and notify changes at least 30 days in advance; set a regular review cadence to keep the agreement aligned with evolving rules.

Refer to guidelines from the commission and cjeus when updating safeguards; prepare communications for customers and regulators about changes; appoint a governance team to oversee compliance across services and markets and ensure government and regulators have access as needed.

Transfer Mechanisms in Practice: Why SCCs and Additional Safeguards Matter for EU Data

Start by making SCCs the default transfer mechanism for trans-atlantic data flows and pairing them with updated measures that address the Schrems II invalidation. This approach provides an available baseline and a transparent policy for partners, ensuring equivalent protections across borders.

Audit data maps and maintain records of transfers since inception. For long-running processing, define a managing framework that matches the SCCs with equivalent safeguards. Include the means to demonstrate compliance to partners and regulators, and address the direction of data movement to keep controls aligned with the policy.

If SCCs are not available or become less viable, implement an alternative and equivalent safeguards package. Add measures such as encryption at rest and in transit, pseudonymization, and restricted access. This addition reduces riskier exposures and ensures cjeus members are aligned with the policy and ongoing updates.

Keep governance in motion by updating the means and direction of data transfers as june updates emerge, and back out any changes that fail to improve risk posture. Record the rest of the steps in a centralized browser and website policy hub, with clear guidance for managing third-party relationships. This approach helps determine whether current safeguards remain effective and address invalidation concerns in a proactive, working framework.

Safe Harbor: History, Invalidation, and Relevance to Current Transfers

Recommendation: Replace Safe Harbor reliance with binding SCCs paired with supplementary measures, then document these controls and submit them to the authority for alignment with current transfers.

History and Invalidation

• Safe Harbor existed as a self-certification program allowing these transfers, with companys submitting certificates and relying on these agreements for data protection. This approach took hold through decisions that framed the list of requirements; that framework was later found insufficient in Schrems I, happents that led to theed changes in practice and policy.
• In the wake of Schrems I, the EU court invalidated Safe Harbor, forcing a shift toward more binding contracts and formal mechanisms. The fact remained that many organizations adjusted their data flows by updating documentation and terms with data subjects and partners.
• Privacy Shield followed as a replacement, but Schrems II (the 2020 decision) invalidated that arrangement as well, citing risk from access by third-country authorities. This outcome tightened the horizon for transfers dependent on US-based safeguards and forced tighter contractual risk management across the rest of the program.

Relevance to Current Transfers

• Adopt binding SCCs as the core mechanism, then take additional measures to close gaps that may exist in the data path. These measures include technical controls, organizational controls, and ongoing monitoring to address risk to individuals.
• Maintain a precise document that maps each transfer, the data involved, the third country destination, the purposes, and the terms of the agreement. This helps you refer to the facts when decisions are reviewed by authorities and when another party submits a request for information or access.
• Incorporate supplementary measures such as encryption in transit and at rest, access controls, pseudonymization, and restricted data processing to limit exposure. These measures depend on the specific data categories and the service model, including cookies and other tracking technologies used on sites or apps.
• Review who submits information and what information is shared with data controllers and processors. Note the role of each actor: individual data subjects, the companys, and subcontractors. This clarifies responsibility and reduces risk for the rest of the transfer chain.
• Assess the contractual terms that bind parties, including data protection commitments, audit rights, and spillover remedies. Refer to the binding clauses in the agreements and ensure that third parties adhere to the same standards as the primary controller.
• Ensure that the data transfer mechanism remains compliant with evolving authority guidance. If a change occurs, update the means and notify the controller and processor teams as required by the program. This keeps the transfer approach current and minimizes the chance that a fact pattern becomes non-compliant.
• Cookies and similar tracking technologies require a separate note in the documentation, with explicit consent and clear disclosures where required by law. The presence of cookies should be described in the information provided to users and in the terms of service for transparency.
• Many companies continuously refine their risk assessment processes, updating the contractual framework as new guidance emerges. Another approach is to layer SCCs with supplementary measures, then verify that data flows remain within compliance boundaries for current transfers.
• Key steps for a practical program include: map these transfers, review agreements, implement measures, and submit compliance documentation to the relevant authority when requested. This approach provides clarity for user rights and reduces uncertainty in cross-border service delivery.
• Keep a close eye on ongoing changes in the regulatory environment. When updates occur, take prompt action to adjust terms, revise documents, and implement any additional data safeguards needed to maintain robust protection for data subjects.

Contrôles de sécurité Postmark : Cryptage, Gestion des accès et Journaux d'audit pour les données de l'UE

Activer le chiffrement AES-256 pour les données au repos et le TLS 1.3 pour les données en transit, avec des clés par locataire protégées par un système de gestion des clés basé sur un HSM. Fournir ces clés en tant que ressources isolées, les faire pivoter tous les 90 jours et déclencher une rotation immédiate après tout incident de sécurité. Stocker des journaux prêts pour les audits dans un référentiel à preuve de falsification et à accès contrôlé et les conserver conformément aux réglementations au niveau de l'UE et aux directives de la Commission. Maintenir les données stockées dans des régions de l'UE dans la mesure du possible afin de minimiser les risques transfrontaliers, et publier une section concise sur la gestion des données sur votre site Web afin de soutenir la transparence pour les clients et les régulateurs. Aligner les termes contractuels avec les sous-traitants, documenter les flux de données dans une cartographie des données et coordonner avec les conseils juridiques pour garantir que des protections juridiques sont en place ; viser une échéance de juillet pour le déploiement initial et établir un rythme d'amélioration continue, afin que vos contrôles de sécurité restent en avance sur les risques liés aux transferts et à l'unification des politiques entre les équipes.

Architecture de chiffrement

Adoptez une approche par couches qui combine des protections au repos et en transit. Utilisez AES-256 pour les informations stockées, avec toutes les clés stockées dans un module de sécurité matériel dédié et protégées par des contrôles d'accès stricts. Mettez en œuvre le chiffrement enveloppe afin que les clés de données soient indépendantes des clés principales, permettant une révocation et une rotation rapides sans toucher aux données. Implémentez TLS 1.3 pour tout le trafic API et web, imposez l'épinglage des certificats lorsque cela est possible, et exigez des jetons de session à courte durée de vie (expiration en quelques minutes) pour limiter l'exposition. Incluez des vérifications périodiques de l'état du chiffrement, des audits de l'approvisionnement en clés trimestriels et des examens formels annuels avec un conseiller juridique pour vérifier la conformité aux lois actuelles et aux normes de la Commission européenne.

Gestion de l'accès et pistes d'audit

Imposer un principe du moindre privilège pour tous les rôles, avec MFA pour chaque compte administrateur et RBAC pour restreindre les permissions par fonction. Mettre en œuvre une élévation à la demande avec double approbation pour l'accès aux données au niveau de l'UE, et exiger des revues d'accès automatiques tous les 30 jours pour valider la nécessité. Appliquer une séparation stricte des tâches pour la gestion des données, les opérations interrégionales et la gestion des clés ; s'assurer que les membres et les contractuels ne reçoivent un accès que suite à une autorisation contractuelle formelle et dans des fenêtres de temps définies. Maintenir des pistes d'audit immuables qui enregistrent qui a accédé à quoi, quand, d'où, et en vertu de quelle politique, stockées dans un référentiel inviolable et consultables pour répondre aux demandes réglementaires. Intégrer les journaux à votre SIEM, acheminer les alertes pour les schémas d'accès inhabituels et fournir des conseils avec un accès facile à ces enregistrements pour démontrer la conformité aux droits et exigences en matière de gouvernance des données.

Gouvernance des données pour les clients de l’UE : cartographie des données, ÉvA et registres des traitements

Recommandation : créer une cartographie dynamique des données pour toutes les données de l'UE et démarrer des ÉDI pour les transferts à haut risque. Un avocat chevronné dirait que cela montre que le mécanisme de transfert légal est respecté et réduit le risque d'amendes plus élevées. Documenter chaque étape dans le référentiel RoPA du site et tenir les pages à jour pour refléter les nouvelles actions de traitement. La conformité reste une exigence de base.

Détails de la cartographie des données : catégorisez les types de données, identifiez les objectifs, les sources et les destinataires, et capturez les flux transfrontaliers. Pour les fournisseurs basés aux États-Unis, cartographiez les transferts vers des États situés en dehors de l'UE et indiquez si le traitement se fait sur le site du client ou à distance. Maintenez une seule page RoPA par domaine de traitement, avec des sous-pages liées pour les sous-traitants. Cette carte factuelle reste une ressource évolutive qui permet de répondre rapidement à la question de savoir quelles données se trouvent où et qui peut y accéder, et elle permet de satisfaire les demandes des régulateurs avec des preuves claires.

DPIA : effectuer des DPIA pour les scénarios à haut risque, notamment la surveillance à grande échelle, le profilage ou les transferts transfrontaliers. Jusqu'à ce que la DPIA soit achevée, limitez les actions inhabituelles et appliquez le chiffrement et la minimisation. Impliquez votre responsable de la protection des données ou un avocat ; puis documentez la conclusion selon laquelle le mécanisme choisi, qu'il s'agisse de CCS, de UK IDTA ou d'un autre outil de transfert approprié, est légal et respecté. Les flux liés au Brexit nécessitent des garanties distinctes si les données du Royaume-Uni franchissent les frontières, afin de respecter les frontières et les différences juridictionnelles.

Enregistrements des traitements : établissez un RoPA (Records of Processing Activities) complet avec des champs tels que les catégories de données, les finalités, les bases légales, les destinataires, les transferts, les durées de conservation et les mesures de sécurité. Assurez-vous que les droits d'accès des clients de l'UE sont clairement définis et que les demandes peuvent être traitées dans les délais réglementaires. Si vous avez des milliers d'entrées, structurez les pages du RoPA par unité commerciale et catégorie de données afin de maintenir une vue d'ensemble gérable. Fournissez aux clients de l'UE le droit d'accéder à leurs données et de déposer des plaintes. Le résumé destiné au public peut aider les parties prenantes, tandis que les enregistrements détaillés restent internes pour la préparation aux audits et la gouvernance du site.

Actions pour le programme de gouvernance : désigner un responsable du plan de données, établir un calendrier d’EDI (évaluation d’impact sur la protection des données), et mettre en œuvre une surveillance et une réévaluation continues. Les contrôles ajoutés amélioreront la résilience et réduiront les risques. Veillez à tenir compte des évolutions législatives et technologiques, afin que le processus reste une priorité et qu'il ait une portée à long terme. L'équipe devrait procéder à des revues régulières des sous-traitants basés aux États-Unis et de leurs pratiques de traitement des données, et s'assurer que les contrôles au niveau du site sont conformes à la politique centrale. Cette approche vous permet de répondre aux régulateurs et aux clients avec confiance.

Liste de contrôle opérationnelle pour les responsables du traitement des données de l’UE utilisant Postmark

Les responsables du traitement de données de l'UE doivent cartographier les flux de données de leurs opérations vers Postmark et établir un mécanisme de transfert adéquat avant de traiter toute donnée personnelle de l'UE.

Créez un inventaire des données qui montre où les données transitent (transferts eu-us, outils tiers) et qui au sein de votre entreprise peut y accéder, y compris les actions effectuées dans le navigateur.

Obtenez un accord de traitement des données avec Postmark et évaluez le mécanisme de transfert, en mettant l'accent sur les CCS de l'UE ou une autre voie reconnue ; si vous vous appuyez sur une configuration basée aux États-Unis, examinez les garanties UE-États-Unis et tenez compte des conseils de l'ICO.

Limitez l'accès des tiers aux rôles strictement nécessaires et documentez les actions entreprises par Postmark et tout processeur ultérieur afin d'éviter le partage excessif de données.

Appliquer la confidentialité par conception : minimiser les données en transit, activer le cryptage et s’assurer que seuls les champs nécessaires sont traités par Postmark.

Définir des règles de conservation et un flux de travail de suppression ; lorsqu'un responsable de données fait une demande de suppression, utilisez l'enregistrement de votre responsable pour remplir la demande et confirmer l'achèvement avec Postmark si nécessaire.

Élaborer un processus DSAR : lire les demandes, recueillir les journaux pertinents auprès de Postmark si nécessaire, et répondre conformément à votre politique après avoir validé l'identité du demandeur.

Fournir des préférences de confidentialité dans l'interface utilisateur et expliquer comment les destinataires peuvent révoquer leur consentement ; respecter les signaux du navigateur et éviter de se fier uniquement à un seul canal.

Documentez les flux de données, les décisions et l'accord relatif à Postmark dans un journal centralisé ; évaluez les indicateurs de performance et maintenez une piste d'audit claire pour garantir la responsabilisation.

examen de juin : planifier un contrôle régulier en juin et trimestriellement par la suite afin de vérifier que le mécanisme de transfert reste adéquat et que les paramètres Postmark sont conformes aux exigences de l'UE.

Demandez à Postmark où les données sont stockées et comment les sauvegardes sont gérées, et privilégiez les locations avec des contrôles transparents et une politique de conservation documentée.

Si des lacunes apparaissent, interrompez l'envoi via Postmark pour les données de l'UE jusqu'à ce que vous déployiez des correctifs et révalidiiez la pile de conformité.