Conformité RGPD sur Shopify : checklist pour les marchands français

Vous vendez en ligne depuis la France, vos clients sont européens : le RGPD s’applique à votre boutique Shopify. Point. Pas de seuil de chiffre d’affaires, pas d’exemption pour les “petits” e-commerçants. Même une boutique avec 10 clients par mois collecte des données personnelles (noms, adresses, emails, historiques d’achat).

Voici la checklist que nous appliquons systématiquement chez LCMH pour nos clients marchands.

Les bases : votre rôle juridique

Sur Shopify, vous êtes le responsable de traitement. Shopify est votre sous-traitant. C’est vous qui décidez pourquoi et comment les données sont collectées. Shopify ne fait qu’exécuter vos instructions.

Conséquence : si un client porte plainte auprès de la CNIL, c’est vers vous qu’elle se tourne. Pas vers Shopify.

Checklist de conformité

1. Le Data Processing Agreement (DPA)

Le DPA entre vous et Shopify est accepté automatiquement dans les conditions d’utilisation. Mais vérifiez que vous l’avez bien pour chaque app tierce installée. Les gros (Klaviyo, Mailchimp, Google) ont un DPA disponible. Les petites apps… souvent pas.

2. Le bandeau de consentement cookies

Depuis 2023, Shopify intègre un bandeau natif :

Paramètres > Conformité des données client > Bannière de collecte de données

Configurez-le pour :

• Bloquer les cookies analytics/marketing AVANT consentement
• Offrir un bouton “Refuser” aussi visible que “Accepter”
• Mémoriser le choix sans re-demander à chaque page

Si le bandeau natif est trop limité, les apps CookieBot ou Pandectes offrent plus de granularité.

3. La politique de confidentialité

Shopify génère un template. Ne l’utilisez pas tel quel — il est générique et anglophone. Votre politique doit mentionner :

• Votre identité complète (nom, SIRET, adresse)
• Les finalités de chaque traitement
• La base juridique (contrat pour les commandes, consentement pour le marketing, intérêt légitime pour l’analytics)
• Les destinataires des données (Shopify, transporteur, solution de paiement, apps)
• La durée de conservation
• Les droits des personnes et comment les exercer
• Les transferts hors UE et leur base légale

4. Le registre des traitements

Obligatoire si vous avez plus de 250 salariés OU si vous traitez des données régulièrement (= toute boutique en ligne). En pratique, documentez :

5. Les droits des personnes

Votre boutique doit permettre :

• Accès : le client peut demander toutes ses données
• Rectification : corriger ses informations
• Effacement : “droit à l’oubli” (avec limites légales)
• Portabilité : export des données dans un format standard
• Opposition : retrait du consentement marketing

Shopify gère nativement les demandes d’effacement et d’export dans l’admin Clients.

6. La durée de conservation

L’erreur la plus courante : garder les données indéfiniment. Définissez des durées :

• Données de commande : 10 ans (obligation comptable)
• Comptes clients inactifs : suppression après 3 ans d’inactivité
• Données de prospection : 3 ans après le dernier contact
• Cookies analytics : 13 mois maximum (recommandation CNIL)

7. Les apps tierces : le point faible

Chaque app Shopify installée a potentiellement accès aux données clients. Auditez :

• Quelles données l’app accède (Shopify le montre à l’installation)
• Où ces données sont stockées
• Si un DPA est disponible
• Si l’app est nécessaire (désinstallez celles inutilisées)

Règle simple : si une app n’a pas de politique de confidentialité claire ou ne propose pas de DPA, ne l’installez pas.

Les erreurs fréquentes

Les erreurs les plus fréquentes que nous corrigeons chez nos clients : pré-cocher la case newsletter au checkout (le consentement doit être actif, jamais implicite), lancer Google Analytics sans bandeau de consentement préalable (la CNIL a sanctionné sur ce point précis), ne pas avoir de page politique de confidentialité du tout (sanctionnable même sans plainte), conserver les données de carte bancaire via une passerelle tierce non certifiée PCI-DSS, et envoyer des relances panier abandonnées sans base légale claire (l’intérêt légitime est contestable sur ce cas — préférez le consentement explicite).

Ressources

• RGPD et outils cloud : ce que les PME doivent savoir — notre guide transversal
• CNIL : kit de conformité pour les TPE-PME
• Shopify : Trust Center

La conformité RGPD n’est pas un événement ponctuel. C’est un processus à maintenir à chaque nouvelle app installée, chaque nouvelle campagne marketing lancée, et chaque nouveau sous-traitant ajouté.

À lire aussi

• NIS2 : les PME françaises face à la directive cybersécurité — La conformité réglementaire ne s’arrête pas au RGPD
• AI Act : ce que les PME françaises doivent anticiper — Le triptyque RGPD + NIS2 + AI Act pour 2026
• Migration WooCommerce vers Shopify — Si vous envisagez un changement de plateforme

Votre boutique Shopify collecte des données personnelles à chaque commande. Un audit RGPD prend 2 heures et vous protège de sanctions jusqu’à 20M€. Chez LCMH, nous auditons et corrigeons votre conformité en une demi-journée. Réservez votre créneau →