CGV et RGPD répondent à deux logiques différentes, mais se croisent à chaque commande : nom, adresse, e-mail, moyen de paiement. Ce guide complet explique comment articuler proprement ces deux obligations, sans jamais les confondre ni les fusionner dans un document unique confus.

Deux régimes juridiques distincts

Document Objet Base légale
CGV Encadrer la vente : prix, livraison, rétractation, garanties Code de la consommation
Politique de confidentialité Informer sur le traitement des données personnelles RGPD et loi Informatique et Libertés

Pourquoi ne jamais les fusionner

Un document unique qui mélange conditions de vente et traitement des données personnelles devient rapidement illisible, et complique la preuve du consentement spécifique exigé par le RGPD pour certains traitements, comme l’envoi de newsletters commerciales.

Ce que vos CGV doivent tout de même mentionner

Vos CGV peuvent renvoyer brièvement vers votre politique de confidentialité complète, sans en reprendre le détail. Une simple phrase suffit généralement : « Les données collectées lors de votre commande sont traitées conformément à notre politique de confidentialité, consultable ici. »

Ce que votre politique de confidentialité doit contenir

Élément Détail
Finalité Pourquoi vous collectez chaque donnée (traitement de commande, facturation, marketing)
Durée de conservation Combien de temps les données sont conservées
Droits du client Accès, rectification, suppression, portabilité, opposition
Destinataires Qui reçoit ces données (transporteur, prestataire de paiement)

Le cas particulier du consentement marketing

Collecter l’e-mail d’un client pour traiter sa commande ne vous autorise pas automatiquement à lui envoyer une newsletter commerciale. Ce second usage nécessite un consentement distinct, généralement recueilli via une case à cocher non pré-cochée au moment de la commande.

Le principe de minimisation des données

Ne collectez que les données réellement nécessaires au traitement de la commande. Demander une date de naissance ou un numéro de téléphone sans justification claire, alors qu’ils ne sont pas utiles à la livraison ou à la facturation, va à l’encontre du principe de minimisation imposé par le RGPD.

Informer sans alourdir le parcours d’achat

L’information RGPD ne doit pas transformer votre tunnel de commande en parcours d’obstacles. Une mention courte au moment de la collecte, complétée par un lien vers la politique de confidentialité complète, suffit généralement à respecter l’obligation de transparence sans nuire à l’expérience d’achat.

Sous-traitants techniques et hébergement

Si vous utilisez un hébergeur, un prestataire de paiement ou un outil d’e-mailing, ces sous-traitants techniques doivent être mentionnés dans votre politique de confidentialité, avec une information sur le lieu d’hébergement des données, en particulier si elles quittent l’Union européenne.

CGV, CGU et politique de confidentialité : les trois documents

Pour un site avec compte client, vous avez potentiellement besoin de trois documents distincts : des CGV pour la vente, des CGU pour l’usage du compte, et une politique de confidentialité pour les données. Trois documents bien nommés valent toujours mieux qu’un seul document fourre-tout.

Que risque un site non conforme ?

Au-delà du risque de sanction par la CNIL, un site qui ne respecte pas ses obligations RGPD s’expose à une perte de confiance de ses clients, particulièrement sensibles à la protection de leurs données lors d’un achat en ligne. La transparence reste, ici aussi, le meilleur argument commercial.

Sécuriser les données collectées

Au-delà de l’information transparente, le RGPD impose des mesures de sécurité proportionnées : mots de passe robustes pour l’accès administrateur, connexion sécurisée (HTTPS) sur tout le parcours d’achat, et limitation de l’accès aux données aux seules personnes qui en ont réellement besoin dans votre organisation.

Le cas des avis clients et témoignages

Si vous publiez des avis clients incluant un nom ou une photo, cette publication constitue elle aussi un traitement de données personnelles qui nécessite l’information et, souvent, l’accord du client concerné, distinct du simple traitement de sa commande.

Un guide, pas un substitut à un conseil juridique spécialisé

Le RGPD est une matière technique en constante évolution. Ce guide donne les principes essentiels pour articuler CGV et protection des données, mais un accompagnement spécialisé reste recommandé pour les traitements de données sensibles ou à grande échelle.

Transferts de données hors de l’Union européenne

Si l’un de vos prestataires techniques héberge des données en dehors de l’Union européenne, des garanties supplémentaires sont exigées par le RGPD, comme des clauses contractuelles types. Vérifiez ce point avec chacun de vos prestataires avant de les mentionner dans votre politique de confidentialité.

Former votre équipe aux bons réflexes

Même une petite structure gagne à sensibiliser toute personne ayant accès aux données clients : ne pas transférer de fichiers clients par des canaux non sécurisés, verrouiller les postes de travail, et signaler rapidement toute anomalie ou tentative d’accès suspecte.

Questions fréquentes

Dois-je nommer un délégué à la protection des données ?

Ce n’est obligatoire que pour certaines structures (traitement à grande échelle, données sensibles, organismes publics). Pour une petite boutique en ligne classique, ce n’est généralement pas requis, mais un point de contact clair reste recommandé.

Puis-je utiliser des cookies sans consentement ?

Les cookies strictement nécessaires au fonctionnement du site (panier, session) ne nécessitent pas de consentement préalable. Les cookies publicitaires ou d’analyse, en revanche, exigent un consentement explicite du visiteur.

Que faire si un client demande la suppression de ses données ?

Vous devez y répondre dans un délai raisonnable, généralement un mois, sauf obligation légale de conservation contraire, par exemple pour des raisons comptables ou fiscales.

Une politique de confidentialité générique trouvée en ligne suffit-elle ?

Non, elle doit refléter fidèlement vos traitements réels : vos outils, vos sous-traitants, vos durées de conservation. Un modèle générique non adapté est aussi risqué qu’une absence totale de politique de confidentialité.

Dois-je informer mes clients en cas de violation de données ?

Oui, si la violation présente un risque pour les droits et libertés des personnes concernées, vous devez la notifier à la CNIL et, dans certains cas, informer directement les personnes concernées dans les meilleurs délais.

Le RGPD s’applique-t-il aussi aux clients professionnels ?

Les données d’une personne physique de contact chez un client professionnel (nom, e-mail professionnel) restent des données personnelles protégées par le RGPD, même dans une relation commerciale B2B.

Puis-je conserver les données d’un client après suppression de son compte ?

Certaines données peuvent être conservées au-delà de la suppression du compte pour des obligations légales, notamment comptables et fiscales, mais uniquement pour la durée strictement nécessaire à cette finalité précise.

Faut-il un audit RGPD complet avant de lancer une boutique en ligne ?

Pour une petite structure, un audit complet n’est pas toujours indispensable au lancement, mais une cartographie simple de vos traitements (quelles données, pourquoi, combien de temps, avec qui) reste un exercice utile et rapide à réaliser dès le départ.

Dois-je mettre à jour ma politique de confidentialité aussi souvent que mes CGV ?

Oui, dès que vous changez d’outil, de sous-traitant ou de finalité de traitement, votre politique de confidentialité doit être mise à jour en conséquence, au même titre que vos CGV pour tout changement commercial.

Passer à l’action

Consultez notre notion données personnelles et RGPD pour approfondir, et notre article CGV et mentions légales : quelles différences pour situer ce troisième document dans l’ensemble de vos obligations. Composez vos CGV avec le générateur gratuit.