Politique de confidentialité d'un site e-commerce : modèle à remplir en ligne

Les traitements spécifiques à une boutique en ligne

Un site marchand cumule plusieurs traitements aux régimes différents, et la politique doit les distinguer plutôt que de les fondre dans une formule générale. La gestion du compte client, de la commande, du paiement et de la livraison repose sur l'exécution du contrat (art. 6, 1, b du RGPD) ; la conservation des factures sur une obligation légale (art. 6, 1, c, et art. L.123-22 du Code de commerce) ; la lutte contre la fraude au paiement sur l'intérêt légitime (art. 6, 1, f) ; la newsletter et les cookies publicitaires sur le consentement (art. 6, 1, a). Le modèle génère une section par finalité, avec sa base légale et sa durée.

Paiement et données bancaires

Les données de carte sont le plus souvent collectées directement par le prestataire de paiement, qui agit comme sous-traitant ou comme responsable de traitement distinct : la politique l'indique nommément. Le marchand ne doit conserver aucun numéro de carte au-delà de la transaction, sauf consentement exprès du client pour faciliter ses achats ultérieurs, retirable à tout moment ; le cryptogramme visuel n'est jamais conservé.

Prospection commerciale : clients et prospects

• Un client peut recevoir des offres du vendeur pour des produits ou services analogues sans consentement préalable, à condition d'avoir été informé lors de la commande et de pouvoir s'y opposer à tout moment (art. L.34-5 du Code des postes et des communications électroniques).
• Un prospect qui n'a rien acheté ne peut être démarché par e-mail qu'avec son consentement, recueilli par une case non précochée.
• Les données de prospection sont conservées pendant la durée de la relation puis, selon la pratique recommandée par la CNIL, trois ans à compter du dernier contact actif du client.

Cookies, mesure d'audience et publicité

Le dépôt de cookies non strictement nécessaires (publicité, réseaux sociaux, personnalisation, mesure d'audience non exemptée) exige un consentement préalable, libre et aussi facile à refuser qu'à accepter (art. 82 de la loi Informatique et Libertés et lignes directrices de la CNIL). Les cookies de panier, de session et de choix de langue en sont dispensés. La politique liste les outils utilisés, leurs finalités, la durée de vie des traceurs et le moyen de retirer son consentement ; elle renvoie au module de gestion des cookies du site.

Durées de conservation à prévoir

Le modèle propose une durée par traitement : données du compte client pendant la durée de la relation puis jusqu'à la fin du délai de prospection ; données de commande et de facturation dix ans en archive au titre des obligations comptables (art. L.123-22 du Code de commerce) ; données de livraison le temps de la livraison et du délai de réclamation ; journaux de connexion au compte le temps nécessaire à la sécurité du site, en pratique un an au plus ; données de contact le temps de traiter la demande. Au-delà, les données sont supprimées ou anonymisées.

Destinataires, transferts et droits

Indiquez les catégories de sous-traitants : hébergeur, solution e-commerce, prestataire de paiement, transporteur, outil d'e-mailing, service client. Si l'un d'eux traite des données hors de l'Union européenne, précisez le fondement du transfert : décision d'adéquation (art. 45 du RGPD) ou clauses contractuelles types (art. 46). Rappelez les droits d'accès, de rectification, d'effacement, de limitation, de portabilité et d'opposition (art. 15 à 21), le droit de définir des directives post-mortem (art. 85 de la loi Informatique et Libertés), l'adresse de contact et la possibilité de réclamation auprès de la CNIL. Un délai de réponse d'un mois s'impose au vendeur (art. 12, 3).