Générateur de politique de confidentialité
Conformité garantie
Depuis l’entrée en vigueur du Règlement Général sur la Protection des Données (RGPD) en mai 2018, toute organisation collectant des données personnelles doit informer clairement les personnes concernées via une politique de confidentialité accessible et compréhensible. Cette obligation concerne toutes les entreprises, même les TPE et micro-entrepreneurs — dès lors qu’un formulaire de contact, un cookie analytics ou un abonnement newsletter est présent sur le site. Ce générateur de politique de confidentialité RGPD vous pose les bonnes questions : quelles données collectez-vous (nom, email, téléphone, données de navigation…), sur quelle base légale (consentement, intérêt légitime, contrat), pour quelles finalités, combien de temps les conservez-vous et qui y a accès. Le texte généré intègre les mentions obligatoires selon le RGPD : identité du responsable de traitement, droits des personnes (accès, rectification, effacement, portabilité, opposition), coordonnées du délégué à la protection des données si applicable, et procédure de réclamation auprès de la CNIL.
Le responsable du traitement est la personne physique ou morale qui détermine les finalités et les moyens du traitement des données (art. 4 §7 RGPD).
- Indépendant / Micro-entrepreneur : c’est vous, en tant que personne physique exerçant sous votre marque. Le plus fréquent
- Société : c’est la société elle-même (personne morale), représentée par son dirigeant.
- Association : c’est l’association représentée par son président.
- Organisme public : l’entité publique, représentée par son directeur.
L’identité et les coordonnées du responsable sont obligatoires dans toute politique de confidentialité (art. 13 RGPD).
La désignation d’un DPO est obligatoire (art. 37 RGPD) si vous êtes :
- Une autorité ou un organisme public Obligatoire
- Votre activité principale implique un suivi régulier et systématique à grande échelle de personnes (ex : profilage, publicité comportementale) Obligatoire
- Votre activité principale implique le traitement à grande échelle de données sensibles (santé, opinions politiques, données génétiques…) Obligatoire
Pour la plupart des TPE, indépendants et associations : aucune obligation légale. Vous pouvez désigner un référent RGPD interne à titre volontaire. Recommandé
Listez chaque traitement de données réalisé sur votre site. Ajoutez une ligne par finalité distincte (art. 13 RGPD).
Finalité : pour quel objectif collectez-vous les données ? (ex : répondre à une demande de contact, envoyer une newsletter, analyser les statistiques de visite, gérer des commandes…)
Base légale (art. 6 RGPD) :
- Consentement (a) : accord explicite de la personne. Libre, spécifique, éclairé, univoque. Exemples : newsletter, cookies non-essentiels.
- Contrat (b) : nécessaire à l’exécution d’un contrat. Exemples : traitement d’une commande, facturation.
- Obligation légale (c) : vous êtes légalement tenu de traiter. Exemples : conservation des factures 10 ans.
- Intérêt légitime (f) : intérêt légitime du responsable, équilibré par les droits des personnes. Exemples : sécurité, lutte contre la fraude, prospection B2B.
Durée : soyez précis — ex : 3 ans après le dernier contact, 10 ans (obligation comptable), durée de l’abonnement + 1 an.
| Finalité du traitement | Base légale | Catégories de données | Durée de conservation | |
|---|---|---|---|---|
Le RGPD (art. 15 à 22) confère des droits aux personnes dont vous traitez les données. Confirmez ceux que vous honorez.
Toute personne a le droit d’introduire une réclamation auprès d’une autorité de contrôle. En France, il s’agit de la CNIL (Commission Nationale de l’Informatique et des Libertés). Cette information est obligatoire dans votre politique (art. 13.2.d RGPD) et sera incluse automatiquement dans le document généré.
- En ligne : www.cnil.fr
- Par courrier : CNIL, 3 Place de Fontenoy — TSA 80715 — 75334 Paris Cedex 07
Listez tous les prestataires traitant des données pour votre compte (art. 28 RGPD). L’hébergeur est toujours un sous-traitant.
Sont sous-traitants les prestataires qui traitent des données personnelles pour votre compte et selon vos instructions :
- 🖥️ Hébergeur web (OVH, Infomaniak, AWS, Hostinger, Hetzner…)
- 📧 Outil d’emailing (Mailchimp, Brevo, MailerLite, ActiveCampaign…)
- 📊 Analytics (Google Analytics, Matomo, Plausible, Hotjar…)
- 💬 CRM / Support client (HubSpot, Zendesk, Crisp…)
- 💳 Paiement (Stripe, PayPal, Mollie, Lyra…)
- 📅 Prise de RDV (Calendly, Acuity, YouCanBook.me…)
- 📝 Formulaires (Typeform, Google Forms, WPForms…)
Chaque sous-traitant doit présenter des garanties suffisantes et être lié par un DPA (Data Processing Agreement / accord de traitement des données).
| Prestataire | Service rendu | Pays / Serveurs | Politique de conf. (URL) | |
|---|---|---|---|---|
Il y a transfert hors UE dès que des données personnelles sont envoyées à un prestataire dont l’entité juridique ou les serveurs sont hors de l’Espace Économique Européen (27 pays UE + Islande, Liechtenstein, Norvège).
Outils courants impliquant des transferts vers les USA : Google Analytics/Workspace, Meta Pixel, HubSpot, Mailchimp, Stripe (entité US), Calendly, Zoom, Notion…
Mécanismes légaux autorisés (art. 44-49 RGPD) :
- Décision d’adéquation : pays reconnu adéquat par la Commission UE (ex : Royaume-Uni, Canada, Japon, USA via Data Privacy Framework) Recommandé
- Clauses contractuelles types (CCT) : contrats standardisés approuvés par la Commission Fréquent
- Règles d’entreprise contraignantes (BCR) : pour les groupes multinationaux
- Consentement explicite : uniquement pour des transferts occasionnels et non répétitifs
Listez les transferts hors UE identifiés :
| Destinataire | Pays de destination | Mécanisme de transfert | |
|---|---|---|---|
L’art. 32 RGPD vous impose de mettre en œuvre des mesures techniques et organisationnelles appropriées. Cochez celles que vous appliquez.
| Version | Date | Modifications apportées | |
|---|---|---|---|
⚠️ Ce document est généré à titre informatif et pédagogique. Pour une conformité RGPD complète et personnalisée à votre situation, consultez un juriste spécialisé ou les ressources officielles de la CNIL (www.cnil.fr).
