Audit RGPD e-commerce : la checklist pour une boutique en ligne Shopify

Une boutique en ligne collecte beaucoup de données : noms, adresses, commandes, emails, comportements de navigation. Sila International Advisory, dirigé par Younes (legal consultant, spécialiste RGPD et DPO externe), propose une checklist en dix points pour vérifier votre conformité avant un contrôle ou une plainte.

Listez les données du compte client, du paiement, de la livraison, du support, de l'emailing et de la mesure d'audience. Pour chacune : finalité, base légale, durée de conservation.

Elle doit informer clairement les personnes (article 13) : identité du responsable, finalités, bases légales, destinataires, durées, droits, transferts hors UE. Un texte générique copié ne suffit pas s'il ne décrit pas vos vrais traitements.

Les traceurs non essentiels (publicité, mesure d'audience non exemptée) exigent un consentement préalable. Refuser doit être aussi simple qu'accepter, et aucun traceur ne doit se déposer avant le choix. Vérifiez aussi les pixels ajoutés par vos applications : un pixel qui dépose ou lit un traceur relève des mêmes règles de consentement.

Votre plateforme, votre prestataire de paiement, votre outil d'emailing et chaque application installée sont des sous-traitants potentiels. Un contrat conforme à l'article 28 est nécessaire. Faites l'inventaire des applications et supprimez celles qui ne servent plus.

Beaucoup d'outils sont américains ou utilisent des prestataires hors UE. Vérifiez le mécanisme utilisé (certification du fournisseur, clauses contractuelles types) et mentionnez-le dans votre politique de confidentialité.

Accès, rectification, effacement, opposition : prévoyez une adresse de contact claire et une procédure interne. Le délai de réponse est d'un mois, prolongeable dans certains cas (article 12, paragraphe 3).

Définissez et appliquez des durées par catégorie : prospects, clients inactifs, données de facturation. Supprimez ou anonymisez à l'échéance.

Accès limités, mots de passe robustes, authentification renforcée pour les administrateurs. En cas de violation à risque, la notification à l'autorité doit intervenir sans retard indu et si possible dans les 72 heures (article 33).

Il est exigé dès lors que le traitement n'est pas occasionnel, ce qui est le cas d'une boutique en ligne en activité (article 30).

Gardez des preuves : versions de la politique de confidentialité, contrats, journaux de consentement, procédure de gestion des droits.

Ma petite boutique Shopify doit-elle être conforme au RGPD ?

Oui, dès que vous collectez des données de personnes situées dans l'UE, quelle que soit votre taille.

Dois-je afficher un bandeau cookies ?

Si vous utilisez des traceurs non essentiels, oui : un consentement préalable est nécessaire, avec un refus aussi simple que l'acceptation.

Mes applications Shopify comptent-elles dans la conformité ?

Oui. Chaque application qui traite des données de vos clients est un sous-traitant potentiel, à encadrer par contrat.

Combien de temps puis-je garder les données clients ?

Cela dépend de la finalité. Fixez une durée par catégorie de données et supprimez ou anonymisez à l'échéance.

Combien coûte un audit RGPD e-commerce ?

Sila ne publie pas de grille tarifaire : un échange de cadrage sans frais est suivi d'un devis personnalisé sous 48 h.