Votre boutique collecte des données clients tous les jours. Des adresses e-mail au paiement. Des numéros de téléphone pour la livraison. Des informations de paiement. Des adresses IP issues des statistiques. L'historique de navigation issu des pixels de suivi. Chaque donnée collectée s'accompagne d'une responsabilité légale : la protéger et dire aux clients comment vous l'utilisez.
C'est là qu'interviennent la politique de confidentialité, le consentement aux cookies et le RGPD. Ce ne sont pas de simples formalités juridiques. Ce sont les règles qui encadrent la façon dont vous collectez, stockez et utilisez les informations de vos clients. Si vous vous trompez, vous risquez des amendes, la défiance des clients et des problèmes juridiques. Si vous faites les choses bien, vous renforcez la confiance dans votre marque.
La plupart des propriétaires de boutique laissent de côté la confidentialité, car cela semble ennuyeux et compliqué. C'est compliqué. Mais cet article détaille ce que vous devez réellement faire.
Qu'est-ce que le RGPD et qui concerne-t-il ?
RGPD signifie Règlement général sur la protection des données. C'est une loi de l'Union européenne qui fixe les règles de collecte et d'utilisation des données personnelles par les entreprises. Si vous avez un seul client dans l'UE, le RGPD s'applique à vous. Si votre boutique sert un client de l'UE, vous devez respecter le RGPD.
Le RGPD n'est pas facultatif. Ce n'est pas une simple recommandation. La Commission européenne a infligé des milliards d'euros d'amendes à des entreprises pour l'avoir enfreint. Microsoft a payé 20 millions de dollars. Facebook a payé 5 milliards de dollars. Ce sont des entreprises gigantesques. Une petite boutique en ligne paiera peut-être des amendes plus faibles, mais le principe est le même : enfreindre le RGPD coûte cher.
Le principe de base du RGPD est simple : les clients sont propriétaires de leurs données. Vous les empruntez temporairement. Vous devez demander l'autorisation avant de les collecter. Vous devez expliquer ce que vous en faites. Et vous devez les supprimer quand ils le demandent.
Les règles clés du RGPD pour les boutiques en ligne
Il faut une autorisation avant de collecter des données
Vous ne pouvez pas collecter des adresses e-mail, des numéros de téléphone ou toute autre information personnelle sans consentement clair. Au paiement, il faut des cases à cocher explicites, pas des cases déjà cochées. Si un client décoche une case qui dit « J'accepte de recevoir des e-mails marketing », vous ne pouvez pas l'inscrire à vos communications. Il vous faut son accord actif et éclairé.
Cela vaut pour les listes marketing, le suivi statistique et les cookies publicitaires. Si vous utilisez Google Analytics, vous devez dire aux clients que vous l'utilisez et leur donner un moyen de refuser. Si vous utilisez le pixel Facebook pour recibler des clients, vous devez obtenir le consentement avant que le pixel ne se déclenche.
Vous devez expliquer ce que vous faites des données
Votre politique de confidentialité n'est pas qu'un document juridique. C'est une façon de communiquer avec vos clients. Vous devez expliquer en langage simple (pas en jargon juridique) quelles données vous collectez, pourquoi, combien de temps vous les gardez et qui y a accès. Le RGPD exige que ces informations soient « facilement accessibles » et rédigées « en termes clairs et simples ».
Une politique de confidentialité cachée derrière 5 clics ou rédigée en jargon juridique ne répond pas à la norme « claire et simple ».
Vous devez supprimer les données sur demande
Les clients ont le droit de demander que vous supprimiez leurs informations. C'est le « droit à l'oubli ». Si un client vous écrit pour demander la suppression de son compte et de ses données, vous avez 30 jours pour vous y conformer. Vous ne pouvez pas le facturer. Vous ne pouvez pas ignorer la demande. Vous devez supprimer les données et confirmer qu'elles ont disparu.
Vous devez signaler les violations de données
Si les données de vos clients sont compromises ou volées, vous avez 72 heures pour le signaler aux autorités européennes. Vous devez aussi prévenir les clients concernés. Vous ne pouvez pas cacher une violation ni espérer que personne ne s'en aperçoive. Cette seule exigence a rendu le RGPD coûteux pour beaucoup d'entreprises, car elle impose transparence et responsabilité. Pour les bonnes pratiques de sécurité au paiement, consultez comment sécuriser le paiement de votre boutique en ligne.
Les transferts de données demandent une autorisation
Si vous stockez des données clients hors de l'UE, vous devez utiliser des mécanismes de transfert approuvés. Cela compte si votre prestataire de paiement est aux États-Unis, si vous utilisez un service d'e-mail américain ou si vous sauvegardez des données dans un centre de données américain. Vous ne pouvez pas déplacer les données de clients de l'UE n'importe où. Il faut un cadre juridique en place.
Qu'est-ce qu'une politique de confidentialité et pourquoi en avez-vous besoin ?
Une politique de confidentialité est un document qui explique comment votre boutique collecte, utilise et protège les informations des clients. Elle est exigée par le RGPD, par de nombreuses lois d'États américains et par les normes du secteur. Sans elle, vous enfreignez la loi et vos clients n'ont aucun moyen de comprendre comment vous traitez leurs données.
Votre politique de confidentialité doit couvrir :
Les données que vous collectez
Listez chaque type de données que vous recueillez. Cela comprend les évidences, comme les adresses e-mail et les adresses de livraison, mais aussi des éléments moins évidents, comme les adresses IP du serveur de votre site, les cookies des statistiques, le suivi du comportement et les données de localisation. Soyez précis. Ne dites pas simplement « informations personnelles ». Dites « adresse e-mail, numéro de téléphone, adresse de livraison, historique d'achats et comportement de navigation ». Si vous acceptez les paiements via une passerelle de paiement, votre politique de confidentialité doit expliquer quelles données de paiement sont traitées par votre prestataire. Consultez comment fonctionnent les passerelles de paiement pour comprendre quelles données transitent par votre système de paiement.
Comment vous les collectez
Collectez-vous des données par des formulaires, des pages de paiement ou des cookies ? Par des échanges avec le service client ou des tickets de support ? Par des outils statistiques ou des pixels publicitaires ? Expliquez les méthodes. C'est là que vous mentionnez Google Analytics, le pixel Facebook, votre prestataire de paiement ou tout autre outil que vous utilisez pour collecter des données.
Pourquoi vous les collectez
Vous collectez les adresses e-mail pour traiter les commandes et envoyer les suivis de livraison. Vous collectez les numéros de téléphone pour le service client. Vous collectez des données statistiques pour comprendre comment les visiteurs utilisent votre site. Vous utilisez des cookies pour reconnaître les clients, afin qu'ils n'aient pas à se connecter à chaque visite. Expliquez la raison commerciale de chaque type de collecte.
Combien de temps vous les gardez
Vous ne gardez pas les données pour toujours. Vous devez définir des durées de conservation. Vous pouvez garder l'historique d'achats 7 ans pour des raisons fiscales et juridiques. Vous pouvez garder les adresses e-mail 3 ans après le dernier achat à des fins marketing. Vous pouvez garder les tickets de support 1 an. Quelle que soit votre politique de conservation, indiquez-la clairement.
Qui y a accès
Si vous utilisez un prestataire de paiement, il a accès aux données de paiement. Si vous utilisez un transporteur, il a accès aux adresses et peut les utiliser pour la livraison. Si vous externalisez le service client, votre équipe de support voit les noms et les adresses e-mail des clients. Listez tous les tiers qui peuvent voir les données clients et expliquez pourquoi. Pour savoir comment fonctionne la livraison, consultez comment configurer la livraison de votre boutique en ligne.
Comment vous les protégez
Utilisez-vous des certificats SSL pour chiffrer les données en transit ? Exigez-vous des mots de passe robustes ? Sauvegardez-vous régulièrement les données ? Formez-vous votre équipe à la sécurité des données ? Expliquez vos mesures de sécurité. Si votre sécurité est faible, dites-le quand même, puis engagez-vous à l'améliorer.
Les droits des clients
Selon le RGPD, les clients ont le droit d'accéder à leurs données, de les corriger, de les supprimer et de les transférer vers un autre service. Votre politique de confidentialité doit leur dire comment exercer ces droits. Indiquez une adresse e-mail ou un formulaire de contact où les clients peuvent demander l'accès ou la suppression de leurs données.
Consentement aux cookies et suivi
Les cookies sont de petits fichiers que les sites enregistrent sur l'ordinateur d'un client pour le reconnaître. Ils servent à le garder connecté, à mémoriser les articles de son panier et à suivre son comportement d'un site à l'autre.
Le RGPD distingue les cookies nécessaires des cookies non nécessaires. Les cookies nécessaires (comme les cookies de panier ou de session) ne demandent pas de consentement. Tout le reste en demande un.
Les cookies nécessaires, sans consentement
Les cookies de panier sont nécessaires, car sans eux les clients perdraient leur panier à chaque changement de page. Les cookies de session qui gardent la connexion sont nécessaires. Les cookies de sécurité qui préviennent la fraude sont nécessaires. Vous pouvez les utiliser sans demander d'autorisation, car ils sont indispensables au fonctionnement de la boutique.
Les cookies non nécessaires, avec consentement
Les cookies statistiques (Google Analytics, outils de cartes de chaleur, analyses produit) ne sont pas nécessaires pour faire tourner votre boutique. Ils vous aident à comprendre les comportements, mais la boutique fonctionne très bien sans eux. Comprendre les données de vos visiteurs est utile pour l'optimisation, mais les clients doivent y consentir avant que vous les suiviez. Les cookies marketing et les pixels de reciblage (pixel Facebook, suivi des conversions Google Ads) ne sont clairement pas nécessaires. Ces cookies suivent les clients sur internet pour leur montrer des publicités. Ils exigent un consentement explicite avant de se déclencher. Pour un aperçu de ce que vous pouvez apprendre grâce aux statistiques, consultez comment utiliser les statistiques pour comprendre le comportement des visiteurs.
Comment mettre en place le consentement aux cookies
Il vous faut une bannière de consentement aux cookies qui s'affiche quand un client visite votre site pour la première fois. La bannière doit expliquer quels cookies vous utilisez et pourquoi. Elle doit proposer au moins trois options : Tout accepter, Refuser les cookies non nécessaires et Personnaliser. « Tout accepter » doit être un seul bouton. Le refus doit être tout aussi facile à cliquer (pas enfoui dans un menu). Les clients doivent pouvoir dire non aux cookies statistiques et marketing sans perdre la possibilité d'acheter.
Ne rendez pas le consentement confus avec des pratiques trompeuses, comme « Accepter » en gros caractères bleus et « Refuser » en minuscules gris. C'est contraire au RGPD. Les deux options doivent être aussi visibles et aussi faciles à cliquer.
Vous pouvez utiliser un outil de gestion du consentement aux cookies. Ces services gèrent la bannière, le consentement au suivi et la mise à jour des préférences. Ils sont payants, mais ils réduisent votre risque juridique.
La confidentialité pour les boutiques hors UE
Le RGPD est une loi de l'UE, mais des règles de confidentialité existent partout. Si votre boutique opère en Californie, vous êtes soumis au CCPA (California Consumer Privacy Act). Si vous êtes en Virginie, il y a le VDPA. Le Canada a la PIPEDA. Le Brésil a la LGPD. L'Australie a les APPs.
Ces lois ne sont pas identiques au RGPD, mais elles suivent des principes proches : les clients sont propriétaires de leurs données, vous devez demander l'autorisation, vous devez être transparent et vous devez supprimer les données sur demande.
Si vous avez des clients dans plusieurs régions, une seule politique de confidentialité ne peut pas convenir partout. Vous devez suivre la loi la plus stricte qui s'applique à vous. Pour la plupart des boutiques, c'est le RGPD, car c'est le plus strict. Si vous respectez le RGPD, vous respectez probablement aussi la plupart des autres lois sur la confidentialité.
Conditions générales et politique de confidentialité
Votre politique de confidentialité et vos conditions générales sont deux documents différents, avec des buts différents.
La politique de confidentialité couvre la façon dont vous traitez les données : ce que vous collectez, pourquoi, combien de temps vous les gardez et comment les clients peuvent y accéder ou les supprimer.
Les conditions générales couvrent la façon dont les clients peuvent utiliser votre boutique : conditions de paiement, politique de retour, politique de remboursement, limites de responsabilité et ce que les clients n'ont pas le droit de faire. Un client peut être d'accord avec votre traitement des données (confidentialité) mais refuser votre politique sans remboursement (conditions).
Il vous faut les deux documents. Pour savoir comment rédiger des conditions générales, consultez comment rédiger les conditions générales de votre boutique en ligne.
Comment WEMASY vous aide pour la confidentialité et la conformité
Le créateur de site web de WEMASY inclut un chiffrement SSL pour toutes les données en transit. Les données de vos clients sont stockées sur des serveurs sécurisés, avec des sauvegardes régulières. WEMASY permet aussi d'ajouter directement à votre site une politique de confidentialité et des bannières de consentement aux cookies, sans code personnalisé. Vous pouvez configurer quels cookies sont nécessaires et lesquels demandent un consentement, puis laisser WEMASY gérer le parcours de consentement.
Cela ne vous dispense pas de votre responsabilité légale d'avoir une politique de confidentialité claire, mais cela facilite la mise en œuvre. Découvrez ce qui est inclus dans votre offre WEMASY.
Liste de contrôle confidentialité pour votre boutique
Avant la mise en ligne, passez en revue cette liste :
Politique de confidentialité
Avez-vous une politique de confidentialité sur votre site ? Est-elle accessible publiquement ? Explique-t-elle quelles données vous collectez, pourquoi, combien de temps vous les gardez et qui y a accès ? Comprend-elle des coordonnées pour les demandes sur les données ? Ne copiez pas la politique de quelqu'un d'autre. Les politiques génériques n'expliquent pas vos pratiques propres.
Consentement aux cookies
Si vous utilisez des cookies statistiques ou marketing, avez-vous une bannière de consentement ? Laisse-t-elle aux clients un vrai choix de refuser ? Le bouton de refus est-il aussi facile à cliquer que le bouton d'acceptation ? La bannière explique-t-elle à quoi sert chaque type de cookie ?
La sécurité indispensable
Utilisez-vous SSL (HTTPS) pour toute votre boutique ? Exigez-vous des mots de passe robustes ? Avez-vous un plan en cas de compromission des données ? Sauvegardez-vous régulièrement les données clients ?
Outils tiers
Listez chaque outil que vous utilisez et qui traite des données clients : prestataire de paiement, transporteur, service d'e-mail, plateforme statistique, outil marketing, logiciel de support. Votre politique de confidentialité les mentionne-t-elle tous ? Avez-vous lu leurs politiques de confidentialité ? Respectent-ils le RGPD ou vos lois locales ?
Processus de suppression des données
Si un client vous écrit pour demander la suppression de ses données, avez-vous un processus pour le faire ? Savez-vous comment supprimer les données de votre système de boutique, de votre prestataire de paiement, de votre service d'e-mail et de tous les autres outils ? Il vous faut un processus documenté, pas une improvisation.
Conseil juridique
Avez-vous consulté un avocat sur la confidentialité ? Vous n'avez pas besoin d'un avocat pour chaque question, mais pour votre première boutique, 1 à 2 heures de conseil juridique valent la peine pour vérifier que vous êtes sur la bonne voie. De nombreux avocats relisent une politique de confidentialité de base pour 200 à 400 EUR.
FAQ
Ai-je besoin d'une politique de confidentialité si ma boutique est petite ?
Oui. Le RGPD et les autres lois sur la confidentialité s'appliquent quelle que soit la taille de la boutique. Même une boutique avec 10 clients par mois a l'obligation légale de protéger leurs données et d'expliquer comment vous les utilisez. Une politique de confidentialité est le minimum légal.
Puis-je utiliser un modèle de politique de confidentialité ?
Oui, mais seulement comme point de départ. Les générateurs de politiques de confidentialité créent des politiques à partir de vos outils et pratiques. Ne copiez pas mot pour mot la politique d'un concurrent. La politique doit correspondre à vos pratiques réelles. Si votre politique dit que vous supprimez les données après 1 an alors que vous les gardez 7 ans, vous créez une responsabilité juridique.
Et si je n'ai pas de clients dans l'UE ?
Vous pouvez quand même avoir des obligations en matière de confidentialité. Les États-Unis ont le CCPA en Californie et le VDPA en Virginie. Le Canada a la PIPEDA. Le Brésil a la LGPD. La plupart des pays ont une forme de loi sur la confidentialité. Même si vous ne ciblez que des clients américains, il est plus sûr de suivre le RGPD, car c'est le plus strict. Respecter le RGPD signifie en général respecter des lois moins strictes.
Combien coûte réellement une politique de confidentialité ?
Vous pouvez générer une politique de base gratuitement avec un générateur. Pour une politique personnalisée rédigée par un avocat, comptez 500 à 2 000 EUR. La plupart des petites boutiques commencent avec une politique générée et la font relire par un avocat pour 200 à 400 EUR afin de vérifier qu'elle couvre leur configuration.
Quelle est la différence entre le RGPD et le CCPA ?
Le RGPD est une loi de l'UE. Le CCPA est une loi de l'État de Californie. Le RGPD est plus strict. Les deux donnent aux clients le droit d'accéder à leurs données, de les supprimer et de les corriger. Les deux exigent un consentement préalable pour le marketing. Le RGPD exige un consentement avant de collecter la plupart des données. Le CCPA autorise la collecte mais impose des options de refus. Si vous respectez le RGPD, vous respectez probablement aussi le CCPA.
Comment répondre à une demande de suppression de données d'un client ?
Quand un client demande la suppression de ses données, répondez dans les 30 jours. Supprimez son compte de votre système de boutique. Supprimez-le de votre liste d'e-mail marketing. Retirez-le de vos statistiques. Demandez à votre prestataire de paiement de supprimer ses données. Confirmez par écrit que ses données ont été supprimées. Conservez une trace de la suppression au cas où vous devriez prouver votre conformité.