RGPD et Shopify : rendre une boutique Shopify conforme

Une responsabilité partagée, pas déléguée

Shopify fournit l'infrastructure technique (hébergement, paiement, une API de gestion du consentement) mais ne garantit la conformité RGPD d'aucune boutique : la rédaction de la politique de confidentialité, le choix et la configuration des applications installées, et le blocage effectif des traceurs avant consentement restent entièrement à la charge du commerçant. « Être sur Shopify » n'est en soi ni un gage ni un obstacle à la conformité.

Hébergement et transferts hors UE

Shopify héberge les données sur des infrastructures réparties dans plusieurs pays, y compris hors Union européenne, encadrées par des clauses contractuelles types dans son propre contrat de sous-traitance. C'est un cas concret du principe de transfert hors UE : le commerçant reste responsable de mentionner ce transfert dans sa politique de confidentialité, même s'il n'a pas choisi lui-même l'hébergement physique de ses données.

Chaque application installée est un sous-traitant de plus

L'App Store de Shopify permet d'ajouter en quelques clics des fonctionnalités (e-mailing, avis clients, upsell, abonnements) — chacune via une application qui devient, au sens du RGPD, un sous-traitant supplémentaire recevant des données clients. Les plus courantes :

• Outils d'e-mailing et de marketing automation (relance de panier abandonné, segmentation).
• Widgets d'avis clients, qui collectent souvent l'e-mail et parfois une photo.
• Outils d'abonnement ou de vente incitative, qui accèdent à l'historique de commande.
• Modules de chat en direct, qui conservent les échanges avec les clients.

Les pixels publicitaires, souvent activés par défaut

De nombreux thèmes et guides d'installation Shopify encouragent l'ajout d'un pixel publicitaire (réseaux sociaux, plateformes de recommandation) et d'un outil de mesure d'audience dès la création de la boutique, avant même sa mise en ligne définitive. Ces scripts relèvent du marketing et de la mesure d'audience non exemptée : ils exigent un consentement préalable au même titre que n'importe quel cookie non essentiel, ce qui suppose un bandeau qui les bloque réellement, pas seulement une case à cocher dans les réglages Shopify.

L'API de confidentialité client de Shopify

Shopify propose une interface de programmation dédiée au consentement, qui permet techniquement de bloquer certains scripts avant l'accord du visiteur. Cette API ne fait rien par elle-même : elle doit être connectée à une bannière de consentement réellement configurée pour bloquer les scripts marketing et de mesure d'audience par défaut, faute de quoi son seul effet est de proposer un choix sans en tenir compte techniquement.

Shopify Payments et les autres prestataires de paiement

Le prestataire de paiement (Shopify Payments ou une alternative activée dans les réglages) traite directement les données bancaires des clients en tant que sous-traitant distinct. Il doit apparaître dans le registre des traitements et dans la politique de confidentialité, avec sa finalité propre — même s'il fait partie de l'écosystème Shopify et n'a rien à installer séparément.

Le contrat de sous-traitance publié par Shopify

Shopify publie publiquement son propre Data Processing Addendum (DPA), le contrat de sous-traitance qui encadre le traitement des données par la plateforme elle-même et liste ses sous-traitants ultérieurs (hébergement, paiement, support). Un commerçant n'a rien à négocier : ce document est standard et s'applique automatiquement à toute boutique. Il reste utile de le connaître et d'y faire référence dans votre propre registre, comme preuve que votre sous-traitant principal encadre correctement ses propres obligations.

Comment vérifier ce qui tourne réellement sur votre boutique

Une boutique Shopify accumule des scripts au fil du temps : thèmes essayés puis abandonnés, applications installées pour un test puis désinstallées, pixels ajoutés par une agence lors du lancement. Contrairement à l'interface d'administration, qui ne montre que ce qui est officiellement activé, une analyse technique du site observe les requêtes réellement envoyées par les pages — y compris un script oublié après la désinstallation d'une application ou un changement de thème qui réintroduit un pixel disparu.

Les erreurs les plus fréquentes sur une boutique Shopify

• Un pixel publicitaire ou un outil de mesure d'audience laissé activé par défaut depuis l'installation du thème, sans lien avec le bandeau de consentement.
• Une politique de confidentialité générique, non mise à jour après l'ajout d'une nouvelle application qui collecte des données.
• Des applications désinstallées sans vérifier si elles conservent malgré tout des données clients côté éditeur.
• L'absence de mention des sous-traitants (apps, paiement, hébergement) alors qu'ils changent régulièrement au fil des ajouts et retraits d'extensions.

Avant de lancer votre boutique : 4 points à vérifier

Cas pratique : une boutique lancée avec un thème gratuit

Une créatrice lance sa boutique de bijoux avec un thème gratuit du catalogue Shopify et suit un tutoriel en ligne pour « bien démarrer », qui recommande d'installer un pixel Meta et Shopify Analytics dès le premier jour, avant même le premier client. Six mois plus tard, une analyse révèle que ces deux outils se chargent systématiquement à l'arrivée sur le site, avant tout clic sur la bannière de consentement pourtant bien présente visuellement.

Le problème n'était pas l'absence de bannière, mais son absence de lien technique avec les scripts réellement chargés — un écart fréquent quand la bannière est ajoutée après coup, sans reprendre la configuration des outils installés en premier.