Contrôle RGPD pour Shopify

Les boutiques Shopify intègrent souvent le tracking via des applications, les canaux de vente (Google, Meta) et la zone « Customer Events » — une grande partie est soumise à consentement.

Avec la Customer Privacy API, Shopify a créé sa propre interface via laquelle le statut de consentement est géré dans la boutique. Pour qu'elle fonctionne, un outil de consentement du Shopify App Store ou une implémentation propre doit définir ce statut — et les applications de suivi utilisées doivent l'interroger. Si la chaîne est rompue en un point, les pixels se chargent malgré un refus.

La zone « Customer Events » (anciennement « Scripts supplémentaires » dans le checkout) est une source fréquente : les extraits de pixels déposés ici s'exécutent souvent indépendamment de l'outil de consentement. Depuis le passage à Checkout Extensibility, les pixels natifs respectent mieux le statut de consentement, mais les pixels personnalisés insérés soi-même doivent être explicitement rattachés à la Privacy API.

Les canaux de vente Google et Meta apportent leurs propres balises. Consent Mode devrait être actif pour le canal Google, et le mode de traitement des données limité pour le canal Meta — mais ni l'un ni l'autre ne remplace le consentement, ils ne font que limiter ce qui se passe sans lui. La politique de confidentialité doit nommer tous les canaux et applications actifs ainsi que le transfert vers les États-Unis.

À ne pas oublier : Shopify traite lui-même. Le tableau de bord d'analyse propre à la boutique, les paiements accélérés (Shop Pay, Apple Pay, Google Pay), la détection de fraude et le widget de chat Shopify Inbox fonctionnent indépendamment des applications marketing. Shop Pay reconnaît les clients récurrents via un compte Shopify — c'est plus qu'une opération techniquement nécessaire et cela devrait être pris en compte dans l'analyse du consentement et de la protection des données.

Pour la politique de confidentialité d'une boutique Shopify, « complète » signifie : Shopify Inc. comme sous-traitant de la plateforme (avec un contrat de sous-traitance), les prestataires de paiement (Shopify Payments/Stripe, PayPal, Klarna …), le prestataire d'expédition/de traitement des commandes, chaque intégration de canal de vente active (Google, Meta, TikTok, Pinterest), chaque application de suivi ou de marketing du App Store, ainsi que les outils d'e-mail/d'avis (Klaviyo, Judge.me …). Un générateur ne fournit que le cadre — la liste des applications et des canaux doit être vérifiée depuis votre propre espace d'administration Shopify.

Est-ce un risque ?

Les pixels marketing et d'analyse ne peuvent se charger qu'après consentement selon § 25 al. 1 TDDDG. La Customer Privacy API de Shopify et un outil de consentement adapté doivent être reliés pour que les pixels respectent le statut de consentement. Les flux de données vont souvent aux États-Unis.

Ce que vous pouvez faire

• Utiliser un outil de consentement connecté à la Shopify Customer Privacy API.
• Vérifier toutes les applications de tracking : se chargent-elles avant le consentement ?
• Exploiter les canaux Google et Meta avec le mode Consentement ou un mode de données restreint.
• Dans la politique de confidentialité, nommer toutes les applications, canaux et le transfert aux États-Unis.

Questions fréquentes

Que doit contenir la politique de confidentialité d'une boutique Shopify ?

Au minimum : Shopify Inc. comme sous-traitant, le prestataire de paiement utilisé, le prestataire d'expédition, chaque intégration de canal de vente active (Google, Meta …), chaque application de suivi/marketing et les outils d'e-mail/d'avis. Pour chaque service, la finalité, la base légale, le pays destinataire et la durée de conservation doivent y figurer. La liste doit être vérifiée depuis votre propre espace d'administration — un texte modèle seul ne suffit pas.

Le bandeau cookies standard de Shopify suffit-il ?

Depuis 2023, Shopify fournit son propre bandeau de consentement rattaché à la Customer Privacy API. Pour le marché allemand, il faut vérifier s'il offre une véritable option de refus au premier niveau et si toutes les applications de suivi évaluent aussi le statut.

Les applications Shopify chargent-elles des traceurs avant le consentement ?

Cela dépend de l'application. Les applications qui utilisent correctement la Customer Privacy API attendent le consentement. Les applications anciennes ou mal entretenues écrivent leur code directement dans le thème et ignorent le statut de consentement — vérifier ces applications dans l'onglet réseau.

Qu'en est-il du checkout ?

Dans le checkout, seuls les scripts techniquement nécessaires peuvent s'exécuter sans consentement. Les pixels marketing dans le checkout nécessitent le même consentement que dans la boutique ; avec Checkout Extensibility, ils sont contrôlés via des pixels personnalisés et la Privacy API.

Les données Shopify vont-elles aux États-Unis ?

Oui. Shopify Inc. est établie au Canada (décision d'adéquation existante), mais de nombreux services rattachés — Google, Meta, en partie l'infrastructure Shopify — traitent aux États-Unis. Le transfert doit figurer dans la politique de confidentialité.

Comment consentglass aide

L'analyse gratuite vérifie le HTML livré et montre quels services sont intégrés, si une bannière cookies est détectée et si les liens vers la confidentialité et les mentions légales sont présents — avec un éclairage pour chaque constat. Elle ne remplace pas un conseil juridique.