Mentions légales et RGPD : ce que votre site doit afficher

Ce que la loi impose à un site d’entreprise

Un site professionnel en France, y compris en Guadeloupe, en Martinique ou en Guyane, porte en général quatre documents ou dispositifs juridiques. Leur contenu exact dépend de votre activité ; leur présence, elle, ne se discute pas.

Ce guide traite des deux premiers. Les cookies ont leur propre guide : cookies et consentement. Pour les conditions de vente, faites-vous accompagner par un avocat ou une organisation professionnelle de votre secteur.

Les mentions légales : qui êtes-vous ?

Les mentions légales permettent à n’importe quel visiteur d’identifier l’éditeur du site et son hébergeur. On y trouve habituellement les informations suivantes :

Ces repères sont ceux que l’on rencontre le plus souvent ; les fiches officielles de l’administration (service-public.fr, economie.gouv.fr) détaillent la liste exacte selon votre statut. Pour un site que nous hébergeons, l’hébergeur est l’infrastructure Firebase de Google Cloud. Vous pouvez voir un exemple sur nos propres mentions légales.

Les mentions légales doivent être accessibles depuis toutes les pages, en général par un lien dans le pied de page. Une page cachée ou un PDF à télécharger ne suffit pas.

Le RGPD en pratique pour un petit site

Le Règlement général sur la protection des données (RGPD) s’applique dès que vous collectez des données personnelles : nom, courriel, téléphone, adresse, mais aussi adresse IP ou identifiant de connexion. Un simple formulaire de contact suffit. Les principes à retenir :

• Une finalité précise : vous collectez pour répondre à une demande, gérer une commande, envoyer une infolettre. Pas « au cas où ».
• Le minimum nécessaire : pour un formulaire de contact, un nom, un moyen de vous répondre et un message suffisent souvent.
• Une base légale : l’exécution d’un contrat (une commande), le consentement (une infolettre), une obligation légale (factures), ou votre intérêt légitime dans certains cas.
• Une durée de conservation définie pour chaque type de donnée, puis suppression ou archivage.
• Des droits pour les personnes : accès, rectification, effacement, opposition, et un moyen simple de les exercer.
• La sécurité : accès protégés, prestataires fiables, mots de passe jamais stockés en clair.

Vos prestataires (hébergeur, outil d’envoi de courriels, prestataire de paiement, développeur qui gère votre site) traitent ces données pour vous : ce sont des sous-traitants au sens du RGPD, et la relation doit être encadrée par contrat. La CNIL publie des guides pratiques pour les TPE et PME, avec des modèles : c’est la meilleure source pour aller plus loin.

La politique de confidentialité

C’est le document qui informe les visiteurs de ce que vous faites de leurs données. Il doit être rédigé simplement, sans jargon, et accessible depuis chaque formulaire et le pied de page.

1. 01
   Lister ce que vous collectez

   Formulaire de contact, compte client, commande, infolettre, outils de mesure d’audience : faites l’inventaire, page par page.

2. 02
   Pour chaque collecte, écrire pourquoi

   La finalité et la base légale, en une phrase compréhensible.

3. 03
   Dire qui reçoit les données

   Votre équipe, vos sous-traitants (hébergement, paiement, envoi de courriels), et si certaines données sortent de l’Union européenne.

4. 04
   Fixer les durées

   Combien de temps vous gardez chaque type de donnée.

5. 05
   Expliquer les droits

   Comment exercer ses droits (une adresse de contact suffit), et la possibilité de saisir la CNIL.

6. 06
   Mettre à jour

   À chaque nouvel outil ou nouvelle collecte, la politique suit.

Un modèle trouvé en ligne et copié tel quel décrit rarement la réalité de votre site : il vaut mieux un texte court et juste qu’un document de dix pages qui parle d’outils que vous n’utilisez pas.

Les formulaires et les comptes clients

• Sous chaque formulaire, une phrase courte : à quoi servent les données et un lien vers la politique de confidentialité.
• Pour une infolettre, une case à cocher distincte et non cochée par défaut.
• Pas de champ obligatoire inutile (date de naissance, adresse postale pour une simple question).
• Pour un espace client, un moyen de supprimer son compte ou d’en faire la demande facilement.
• Des espaces privés exclus des moteurs de recherche : c’est le cas de tous les sites que nous livrons.

Pour les sites avec espace de gestion ou espace membre, voir site avec gestion ; pour la sécurité des accès, notre guide sécurité d’un site web.

Erreurs fréquentes et liste de vérification

• Des mentions légales incomplètes : pas d’hébergeur, pas de numéro d’immatriculation, ancienne adresse.
• Une politique de confidentialité copiée d’un autre site, qui cite des outils absents du vôtre.
• Une case d’inscription à l’infolettre cochée d’avance.
• Un outil de mesure ou de publicité qui dépose des cookies avant tout consentement.
• Aucun moyen simple de demander la suppression de ses données.
• Des exports de clients envoyés par courriel en pièce jointe, sans protection.

Liste de vérification

• Mentions légales complètes, en lien dans le pied de page.
• Politique de confidentialité à jour, en lien sous chaque formulaire.
• Inventaire des données collectées et des sous-traitants.
• Durées de conservation fixées.
• Consentement distinct pour l’infolettre.
• Bandeau cookies conforme si nécessaire.
• Adresse de contact pour l’exercice des droits.

Ces éléments se prévoient dès la conception du site, qu’il s’agisse d’un site vitrine ou d’une boutique en ligne : pages légales en pied de page, formulaires avec la bonne information, espaces privés exclus de Google (c’est le cas de tous les sites que nous livrons). Le contenu juridique reste sous votre responsabilité et peut être validé par un avocat. Pour un site au Québec, lisez plutôt Loi 25 et site web. Une question ? Écrivez-nous.