Vous avez entendu parler d'amendes liées au RGPD et vous vous demandez si votre site de commerce risque quelque chose. La réponse courte : un site vitrine, sans boutique en ligne ni compte client, a des obligations limitées. Mais limitées ne veut pas dire nulles. Voici ce qui s'applique réellement, sans jargon.
Ce que le RGPD change pour un site vitrine
Le RGPD (Règlement général sur la protection des données) encadre la collecte de données personnelles : nom, email, téléphone, adresse IP. Un site qui affiche seulement vos horaires, votre adresse et des photos de votre commerce ne collecte rien sur ses visiteurs. Dans ce cas, vos obligations RGPD restent minimales.
Les choses changent dès que le site propose un formulaire de contact, un bouton d'appel qui déclenche un suivi statistique, ou un outil d'analyse d'audience. À partir de là, quatre points doivent être traités : les mentions légales, l'information sur les cookies, la conservation des données du formulaire, et le droit d'accès des personnes concernées.
Les mentions légales : la base non négociable
Contrairement au RGPD, les mentions légales sont obligatoires pour tout site professionnel, même une simple page vitrine sans formulaire. C'est une obligation issue du droit du commerce, indépendante du fait que vous collectiez ou non des données.
- Identité de l'exploitant : nom, forme juridique (auto-entrepreneur, SARL, association loi 1901...), numéro SIRET
- Adresse du siège de l'activité
- Un moyen de contact : email et, idéalement, téléphone
- Nom et adresse de l'hébergeur du site
- Le nom du responsable de la publication du site (souvent vous-même)
Ces informations tiennent généralement sur une seule page, accessible depuis le pied de page du site. Ce n'est pas un exercice de style : c'est la première chose qu'un contrôle vérifie si un litige survient.
Les cookies : ce qu'il faut réellement mettre en place
Un cookie est un petit fichier déposé sur le navigateur du visiteur. Certains sont indispensables au fonctionnement du site (garder la langue choisie, sécuriser une connexion) et ne demandent aucun consentement. D'autres, comme les outils de mesure d'audience détaillée ou les pixels publicitaires, nécessitent l'accord explicite du visiteur avant d'être activés.
Pour un site vitrine simple, sans Google Analytics complet ni pixel publicitaire, il n'y a souvent aucun bandeau cookies à afficher. Si vous ajoutez un outil de suivi statistique tiers, vous devez alors proposer un choix réel : accepter ou refuser, avec la même facilité pour les deux options. Un bandeau qui ne propose qu'un bouton Accepter ne respecte pas la règle.
Comment vérifier ce qui est installé sur votre site
Demandez à la personne ou au service qui gère votre site quels scripts tiers sont chargés. Si la réponse est aucun, à part le certificat de sécurité, vous n'avez rien à faire de plus sur ce point.
Le formulaire de contact et la durée de conservation
Si votre site propose un formulaire (demande de devis, prise de rendez-vous), les messages contiennent des données personnelles : nom, email, parfois téléphone. Deux règles simples s'appliquent. D'abord, informer brièvement le visiteur de l'usage de ces données (répondre à sa demande, rien d'autre) à côté du formulaire. Ensuite, ne pas garder ces messages indéfiniment : une durée de conservation raisonnable, liée au traitement de la demande puis à un archivage limité, doit être fixée.
Le droit d'accès, de rectification et de suppression
Toute personne dont vous détenez des données (un client qui a rempli votre formulaire, par exemple) peut vous demander ce que vous savez sur elle, faire corriger une information inexacte, ou demander la suppression de ses données. Le RGPD fixe un délai de réponse d'un mois pour ce type de demande.
Pour un petit commerce, cela se traduit concrètement par : indiquer une adresse email de contact dans vos mentions légales ou votre page de confidentialité, et supprimer un message ou un contact de votre messagerie quand la demande est faite. Aucun outil complexe n'est nécessaire pour un volume de demandes qui reste, pour la plupart des artisans et commerces de quartier, très faible.
Ce que fait SiteServi, et ce qui reste de votre responsabilité
Un site SiteServi est généré à partir de votre fiche Google Business Profile : horaires, adresse et téléphone se synchronisent automatiquement, en général sous une semaine après une modification sur votre fiche. Le certificat de sécurité HTTPS est inclus sur les deux offres, Essentiel comme Premium.
En revanche, le contenu des mentions légales (votre SIRET, votre statut, votre adresse) et la durée de conservation annoncée pour un formulaire de contact restent des informations que vous seul pouvez fournir, puisqu'elles vous concernent directement. SiteServi ne collecte pas de données de suivi publicitaire sur les sites qu'il héberge, ce qui limite de fait les cas où un bandeau cookies devient nécessaire.
Si vous avez une question sur une situation précise (association qui reçoit des dons, artisan avec un système de réservation externe), un professionnel du droit reste la bonne ressource. Le site service-public.fr propose aussi des fiches pratiques à jour sur ces sujets.