Tuta Mail

Tutao GmbH est immatriculée Deisterstr. 17a, 30449 Hannover, sous le numéro HRB 208014 à l'Amtsgericht Hannover. Les trois Geschäftsführer (gérants) sont le cofondateur Arne Möhle, le cofondateur Matthias Pfau et Hanna Bozakov. Möhle et Pfau sont les seuls associés -- Tuta a indiqué mot pour mot sur le blog de l'entreprise : « the company is wholly owned by Matthias and Arne, and is not liable to anyone else. » Les boîtes aux lettres sont stockées sur l'infrastructure propre de Tutao en Allemagne : Tutao GmbH est un Local Internet Registry du RIPE qui exploite AS210909 et annonce directement 185.205.69.0/24 et 2a10:e000:1::/48. Tuta indique que les centres de données sont « ISO 27001 certified data centers in Germany » ; la certification couvre les exploitants de centres de données, pas Tutao GmbH en tant qu'entité. Les conditions générales de Tuta désignent le droit allemand et Hanovre comme lieu de juridiction.

Non, pas directement. Tutao GmbH n'a pas de société mère constituée aux États-Unis, pas de filiale américaine et aucun bureau hors d'Allemagne ; les fondateurs, le siège et l'infrastructure de production sont allemands. Tuta a indiqué mot pour mot que « Tutao GmbH only responds to valid warrants issued by German courts » et que « German companies are not allowed to share customer's information with foreign law enforcement. » Une exposition indirecte existe via un petit ensemble de sous-traitants domiciliés aux États-Unis : les DNS faisant autorité pour tuta.com et tutanota.com sont hébergés sur AWS Route 53 ; la facturation des abonnements iOS passe par Apple (achat in-app depuis le 12 juillet 2024) ; la facturation des abonnements Android passe par Google Play ; PayPal et un prestataire carte bancaire non nommé traitent les paiements d'abonnement. Aucun de ces sous-traitants ne peut déchiffrer le contenu chiffré des boîtes aux lettres.

Les corps de messages, les objets et les pièces jointes ; les agendas entiers, y compris les métadonnées d'événements telles que les titres, notifications et rappels ; les contacts (date de naissance, commentaire, société, prénom, nom, surnom, rôle, titre, adresses, adresses e-mail, numéros de téléphone, identifiants sociaux) ; les règles et filtres de boîte de réception ; et l'index de recherche complet, construit et stocké sur l'appareil client. Les seules données qui restent non chiffrées sont les adresses e-mail de l'expéditeur et du destinataire ainsi que les horodatages, parce que les standards du protocole e-mail exigent que les métadonnées de routage restent en clair. Les notifications push sont délivrées via le service de notifications open source maison de Tuta, dissimulé à Apple et à Google. Les primitives cryptographiques sont AES-256 / HMAC-SHA-256 en symétrique, Argon2 / HKDF-SHA-256 pour la dérivation de clés, et depuis le 11 mars 2024 l'échange hybride post-quantique TutaCrypt Kyber-1024 + x25519 pour les nouveaux comptes (RSA-2048 conservé pour la rétrocompatibilité avec les anciens comptes).

Les clients web, iOS, Android et bureau (Windows / macOS / Linux) de Tuta ainsi que le code de l'infrastructure backend sont open source sous licence GPL-3.0 sur github.com/tutao/tutanota (7 580 étoiles, 619 forks, 938 versions étiquetées). L'application Android est publiée sur Google Play et sous forme de build sans Google Play Services sur F-Droid (Tuta est, selon Wikipédia, le premier fournisseur d'e-mail à publier sur F-Droid). Tuta est membre de l'Open Invention Network (rejoint en 2017). La marque Tutao est détenue par l'entreprise. Il n'existe pas de procédure d'auto-hébergement documentée pour la partie serveur -- faire tourner son propre cluster de boîtes aux lettres Tuta est techniquement possible à partir du code source public, mais ce n'est pas un chemin produit. La plupart des acheteurs en mode achats utiliseront les offres Business hébergées (Essential, Advanced ou Unlimited) dans le cadre d'un Auftragsverarbeitungsvertrag.

Le rapport de transparence est mis à jour tous les six mois et inclut un warrant canary. Le rapport du second semestre 2025 (1er juillet - 31 décembre 2025) fait état de 165 demandes de données d'inventaire dont 19 satisfaites (environ 88 % de refus), 25 demandes de données de trafic en temps réel dont 19 satisfaites, 16 demandes de données de contenu stockées dont 8 satisfaites et 14 demandes de données de contenu en temps réel dont 12 satisfaites. Tuta a indiqué avoir rejeté 75 % de toutes les demandes des autorités sur l'ensemble de l'année 2025. Même sur ordonnance valide d'un tribunal allemand, Tuta ne peut pas déchiffrer le contenu des boîtes aux lettres -- seules les données d'inventaire (métadonnées bancaires, PayPal ou carte bancaire) et les métadonnées de routage (expéditeur, destinataire, horodatages) peuvent être communiquées. Le canary indique mot pour mot : « Tuta (formerly Tutanota) has never received any National Security Letters or FISA court orders, and we have not been subject to any gag order by a FISA court. »

Tuta ne publie pas une URL unique de sous-traitants comme le font la plupart des éditeurs SaaS B2B. Les prestataires qui touchent aux données clients sont énumérés au fil du texte dans la politique de confidentialité, le billet de blog sur les paiements iOS et les mentions légales. La liste est volontairement réduite : AWS Route 53 pour les DNS faisant autorité, PayPal Europe S.à r.l. et Cie S.C.A. pour les paiements PayPal, un prestataire carte bancaire non nommé pour les paiements par carte, des établissements de crédit allemands pour le prélèvement SEPA, Apple Inc. pour les abonnements in-app iOS (depuis le 12 juillet 2024), Google LLC pour la facturation Android via Google Play, INWX GmbH comme bureau d'enregistrement de domaines, et le transit BGP via Arelion (AS1299, Suède) et kyberio GmbH (AS24679, Allemagne). Les offres Business incluent un Auftragsverarbeitungsvertrag sur demande via le canal commercial.