Checklist RGPD d’un site vitrine français

Beaucoup d'indépendants pensent que le RGPD concerne les grandes entreprises. En réalité, dès que votre site a un formulaire de contact, il collecte des données personnelles. Et dès qu'il utilise certains outils de statistiques ou de publicité, il dépose des traceurs.

Voici une checklist concrète, point par point, pour un site vitrine français. Elle ne remplace pas un avis juridique, mais elle couvre l'essentiel de ce que nous mettons en place sur les sites que nous livrons.

1. Les mentions légales

Ce n'est pas le RGPD à proprement parler, mais c'est une obligation légale (loi pour la confiance dans l'économie numérique, dite LCEN). Elles doivent indiquer :

• l'éditeur du site : nom ou dénomination sociale, adresse, téléphone, email ;
• pour une société : forme juridique, capital, numéro SIREN/SIRET ou RCS ;
• le numéro de TVA intracommunautaire si applicable ;
• le directeur de la publication ;
• l'hébergeur : nom, adresse, téléphone ;
• pour les professions réglementées : ordre professionnel, titre, règles applicables.

✅ Page accessible depuis toutes les pages du site (en général dans le pied de page).

2. La politique de confidentialité

C'est le document qui explique quelles données vous collectez et pourquoi. Le RGPD (article 13) impose d'informer les personnes au moment de la collecte. La politique doit préciser :

• qui est responsable du traitement (vous) ;
• quelles données sont collectées (nom, email, téléphone…) ;
• pourquoi (finalités : répondre à une demande de devis, par exemple) ;
• sur quelle base légale (consentement, mesures précontractuelles, intérêt légitime…) ;
• combien de temps elles sont conservées ;
• qui y a accès : vous, et vos sous-traitants (hébergeur, outil de prise de rendez-vous, outil de statistiques…) ;
• s'il y a des transferts hors Union européenne ;
• les droits des personnes : accès, rectification, effacement, opposition, limitation, portabilité ;
• le droit d'introduire une réclamation auprès de la CNIL.

✅ Lien vers la politique à côté de chaque formulaire.

3. Le formulaire de contact

C'est souvent le seul point de collecte d'un site vitrine. À vérifier :

• minimisation : ne demandez que ce qui est utile. Pour un devis, un nom, un moyen de contact et une description suffisent souvent. Pas de date de naissance.
• information : une mention courte sous le formulaire (« Vos données servent uniquement à répondre à votre demande. En savoir plus : politique de confidentialité »).
• pas de case pré-cochée pour une inscription à une newsletter.
• sécurité : le site doit être en HTTPS (certificat SSL).

✅ Mention d'information sous le formulaire, lien vers la politique.

4. Les cookies et traceurs

C'est le point le plus souvent mal fait. Les règles de la CNIL sont claires :

• les traceurs strictement nécessaires au fonctionnement du site n'ont pas besoin de consentement ;
• les traceurs de publicité, de réseaux sociaux, et la plupart des outils de mesure d'audience nécessitent un consentement préalable ;
• refuser doit être aussi simple qu'accepter : un bouton « Tout refuser » au même niveau que « Tout accepter » ;
• aucun traceur soumis au consentement ne doit être déposé avant le choix de l'utilisateur ;
• le choix doit pouvoir être modifié à tout moment.

Bonne nouvelle : certains outils de mesure d'audience, configurés selon les recommandations de la CNIL (données anonymisées, finalité strictement limitée à la mesure), peuvent être exemptés de consentement. La CNIL publie une liste de solutions et les conditions à respecter.

✅ Inventaire de tous les outils tiers présents sur le site (statistiques, prise de rendez-vous, vidéos intégrées, cartes, polices externes).

5. Les outils tiers intégrés

Sur un site vitrine, on intègre souvent sans y penser :

• un widget de prise de rendez-vous (Calendly, par exemple) ;
• une carte Google Maps ;
• une vidéo YouTube ;
• des polices chargées depuis un service externe ;
• un outil de statistiques.

Chacun peut transmettre des données (au minimum l'adresse IP) à un tiers. Ils doivent être mentionnés dans la politique de confidentialité comme sous-traitants ou destinataires, et, selon les cas, soumis au consentement.

✅ Chaque outil tiers est listé, avec sa finalité.

6. La conservation des données

Les demandes de devis n'ont pas vocation à être conservées indéfiniment. Fixez une durée raisonnable et tenez-vous-y. La CNIL recommande par exemple, pour la prospection, une conservation de trois ans à compter du dernier contact.

✅ Durée indiquée dans la politique, et nettoyage régulier des demandes anciennes.

7. Les droits des personnes

Quelqu'un vous écrit pour demander la suppression de ses données : vous devez pouvoir le faire, dans un délai d'un mois. Prévoyez une adresse email de contact dédiée (ou votre adresse habituelle), indiquée dans la politique.

✅ Adresse de contact pour l'exercice des droits.

8. Les CGV, si vous vendez

Si votre site permet de commander ou de souscrire un service, des conditions générales de vente doivent être accessibles et acceptées avant la commande. C'est un sujet distinct du RGPD, mais souvent oublié.

La checklist en une minute

• [ ] Mentions légales complètes (éditeur, SIRET, hébergeur)
• [ ] Politique de confidentialité à jour
• [ ] Mention d'information sous chaque formulaire
• [ ] Formulaire minimal, sans case pré-cochée
• [ ] Site en HTTPS
• [ ] Bandeau cookies conforme (refus aussi simple qu'acceptation) si nécessaire
• [ ] Inventaire des outils tiers
• [ ] Durée de conservation définie
• [ ] Adresse pour l'exercice des droits
• [ ] CGV si vente en ligne

Ce que nous faisons sur les sites que nous livrons

Nous livrons chaque site avec des mentions légales structurées, une politique de confidentialité adaptée aux outils réellement utilisés, un formulaire minimal avec mention d'information, et le HTTPS. Les informations propres à votre entreprise (SIRET, directeur de publication) restent à compléter avec vous.

Un exemple concret : le formulaire de devis

Prenons un site de plombier. Un prospect écrit « fuite sous évier » avec son nom, son numéro et son adresse email. Ces informations permettent de le rappeler et de préparer une intervention : il n'est pas nécessaire de lui demander sa date de naissance, son adresse complète avant le devis ou de l'inscrire automatiquement à une newsletter.

Sous le formulaire, une phrase indique à quoi servent les données et pointe vers la politique de confidentialité. Après réception, la demande doit rester accessible uniquement aux personnes qui la traitent. Si le prospect ne devient pas client et ne recontacte pas l'entreprise, la demande ne doit pas dormir indéfiniment dans une boîte mail ou un tableur.

Le fait d'utiliser un outil no-code ou un logiciel de CRM ne retire pas votre responsabilité : vérifiez où les données sont stockées, quelles personnes y ont accès et comment supprimer une fiche lorsqu'on vous le demande.

Les erreurs fréquentes à corriger en priorité

Copier une politique générique. Un document qui mentionne des outils absents de votre site ou oublie un formulaire réel n'informe pas correctement l'utilisateur. Inventoriez d'abord ce qui existe.

Activer les traceurs avant le choix. Un bandeau visuel n'est pas suffisant si les scripts de publicité se chargent dès l'ouverture de la page. Faites vérifier techniquement le comportement.

Ne pas distinguer les usages. Répondre à un devis n'autorise pas automatiquement à envoyer ensuite des messages promotionnels. Si vous souhaitez une newsletter, recueillez une autorisation distincte quand elle est nécessaire.

Oublier les demandes de suppression. Prévoyez qui reçoit les messages, qui peut supprimer les données dans vos outils et comment documenter la réponse dans le délai légal.

Quand demander un avis juridique ?

Si votre activité traite des données de santé, des données sensibles, des mineurs, ou si vous utilisez plusieurs prestataires hors de l'Union européenne, une trame générale ne suffit pas. Faites vérifier vos mentions et vos contrats par un professionnel compétent. Cette checklist est un point de départ opérationnel, pas une certification de conformité.

Sources officielles

• CNIL — Cookies et autres traceurs : cnil.fr/fr/cookies-et-autres-traceurs.
• CNIL — Le RGPD pour les TPE/PME : cnil.fr/fr/rgpd-par-ou-commencer.
• Mentions obligatoires d'un site internet : economie.gouv.fr.
• Texte du RGPD : eur-lex.europa.eu.