Générateur de politique de confidentialité

En résumé : une politique de confidentialité est obligatoire dès que votre site collecte une donnée personnelle, formulaire de contact compris (articles 13 et 14 du RGPD). Elle doit nommer chaque outil qui reçoit des données, sa base légale et la durée de conservation. Un modèle copié chez un concurrent est faux par construction : il décrit les cookies de son site, pas les vôtres.

Pourquoi on a construit l'outil à l'envers des autres

Les générateurs de politique de confidentialité vous demandent de décrire vos traitements. « Quels cookies déposez-vous ? Quelle est leur durée ? Quelle base légale ? » Personne ne sait répondre à ça. C'est précisément la question à laquelle on cherchait une réponse en arrivant.

Un auto-entrepreneur qui a installé WordPress, collé un script Google Analytics trouvé sur un tuto, branché Stripe et ajouté une bulle de chat ne sait pas qu'il dépose une douzaine de traceurs, dont trois qui partent aux États-Unis. Il n'est pas négligent. L'information est éparpillée dans quatre documentations en anglais.

Alors on a retourné le formulaire. Vous ne décrivez pas vos cookies : vous cochez vos outils. Le reste, on le sait déjà. La liste ci-dessous est la base de connaissance qui alimente le générateur — elle est publique, avec la source de chaque ligne, que vous utilisiez notre outil ou pas.

Quels cookies dépose chaque outil

Chaque durée est la valeur par défaut documentée par l'éditeur, relevée en juillet 2026. Vos vrais cookies peuvent différer si un plugin de consentement ou un proxy les modifie — la section vérifier soi-même explique comment lire les vôtres en trente secondes.

Le partage est net : 6 de ces 11 outils exigent un consentement préalable, 5 en sont exemptés parce qu'ils sont nécessaires au service demandé. La ligne de partage n'est pas « interne ou tiers », c'est l'article 82 de la loi Informatique et Libertés : un traceur est exempté seulement s'il sert strictement à fournir ce que l'internaute a demandé. Un panier, oui. Une heatmap, non.

Vérifier vos vrais cookies en trente secondes

Ne nous croyez pas sur parole, et ne croyez surtout pas le modèle que vous auriez copié ailleurs. Regardez.

1. Ouvrez votre site dans Chrome ou Firefox, en navigation privée pour partir propre.
2. Appuyez sur F12, onglet Application (Chrome) ou Stockage (Firefox).
3. Dépliez Cookies dans la colonne de gauche, puis cliquez sur le nom de votre domaine.
4. Vous voyez la liste réelle : nom, domaine émetteur, date d'expiration. Regardez aussi Local Storage juste en dessous — c'est là que se cachent Crisp et pas mal de chats.

Faites le test deux fois : une fois avant de toucher au bandeau cookies, une fois après avoir accepté. Si des traceurs de mesure ou de pub apparaissent dès le premier chargement, avant tout clic, votre bandeau est décoratif et votre politique décrit une situation qui n'existe pas. C'est le manquement le plus courant, et le plus facile à constater depuis l'extérieur — y compris par un agent de la CNIL, qui n'a pas besoin de vous prévenir pour ouvrir votre page d'accueil.

Les mentions que la loi impose, et où elles atterrissent

Les articles 13 et 14 du RGPD fixent la liste. La CNIL la reprend dans ses recommandations sur l'information des personnes. Voici le mapping complet avec le formulaire ci-dessus.

Deux d'entre elles ne sont pas cochées par défaut, et c'est volontaire. Le DPO n'est obligatoire que dans trois cas (article 37 du RGPD) : organisme public, suivi à grande échelle et systématique, ou traitement à grande échelle de données sensibles. Un photographe avec 400 contacts dans Brevo n'est dans aucun des trois. Quant au profilage, poser un cookie publicitaire n'en est pas ; refuser automatiquement un client selon un score, oui.

Politique de confidentialité, mentions légales, CGU, cookies : qui fait quoi

Ces quatre documents sont régulièrement confondus, y compris par des prestataires qui les facturent. Ils ne relèvent ni du même texte, ni de la même sanction.

Le piège le plus fréquent : une page unique intitulée « Mentions légales » qui mélange l'identité de l'éditeur et deux lignes sur les cookies. Ça ne satisfait ni la LCEN ni le RGPD. Nos générateurs produisent les mentions légales conformes à la LCEN et les CGV adaptées à ce que vous vendez séparément, comme il faut.

Ce qui change vraiment selon votre type de site

Les clauses ne diffèrent pas pour faire joli. Voilà ce que le générateur ajoute ou retire selon le bouton coché à l'étape 2.

Site vitrine

Le cas le plus simple, et le plus mal traité. Un formulaire de contact suffit à déclencher l'obligation : vous collectez un nom, un email, un message. Base légale : intérêt légitime, pas consentement — répondre à quelqu'un qui vous écrit ne nécessite pas sa permission. Le point à ne pas rater est la durée : la CNIL considère qu'un prospect qui n'a pas donné suite se conserve 3 ans à compter du dernier contact. Après, on supprime. Presque personne ne le fait.

Boutique en ligne

Deux durées légales s'imposent à vous et écrasent tout le reste. Les factures se conservent 10 ans (article L.123-22 du Code de commerce), et ce n'est pas négociable, même si le client demande l'effacement : c'est une obligation légale au sens de l'article 6.1.c du RGPD. Les données du compte client, elles, suivent la relation commerciale, généralement 3 ans après le dernier achat. La politique doit expliquer cette différence, sinon vous vous retrouvez à devoir refuser une demande d'effacement sans pouvoir la justifier.

SaaS ou espace client

La base légale bascule en exécution du contrat (article 6.1.b) pour tout ce qui fait fonctionner le compte. Deux ajouts obligatoires : la portabilité (article 20), qui vous oblige à pouvoir exporter les données d'un utilisateur dans un format lisible par machine, et la liste de vos sous-traitants d'hébergement — un serveur chez un hébergeur américain est un transfert, même si la machine est physiquement à Francfort, dès lors que la maison mère peut y accéder.

Blog

Le module de commentaires est le traitement oublié. WordPress mémorise nom, email et site du commentateur dans comment_author_* pendant près d'un an, et l'avatar Gravatar transmet un hash de l'email à Automattic à chaque affichage de page. Deux traitements à déclarer, zéro ligne dans 90 % des politiques de blogs.

Application mobile

Les cookies disparaissent, les identifiants publicitaires arrivent : IDFA sur iOS, AAID sur Android. Le principe reste identique — consentement préalable — mais le support change, et Apple comme Google exigent en plus une déclaration de confidentialité dans la fiche du store, qui doit dire la même chose que votre politique. Une divergence entre les deux est un motif de rejet à la revue.

Les trois sujets de 2026 que les modèles gratuits ignorent

Vos données partent-elles aux États-Unis ?

Si vous utilisez GA4, le Pixel Meta ou une vidéo YouTube : oui. L'arrêt Schrems II de la Cour de justice de l'UE (affaire C-311/18, 16 juillet 2020) a annulé le Privacy Shield et rendu ces transferts illicites en l'état. Depuis, la Commission européenne a adopté le EU-US Data Privacy Framework le 10 juillet 2023 : les transferts vers une entreprise américaine certifiée au DPF sont de nouveau couverts par une décision d'adéquation. Le Tribunal de l'Union a rejeté le recours Latombe contre ce cadre en septembre 2025, donc il tient.

Ce que ça implique concrètement : vérifiez que votre prestataire est bien sur la liste, sur dataprivacyframework.gov, et citez le DPF comme garantie dans votre politique. Écrire « nous pouvons transférer vos données hors UE » sans nommer le pays ni la garantie ne remplit pas l'article 13.1.f. Notre générateur nomme les deux.

Google Consent Mode v2

Depuis mars 2024, Google impose le Consent Mode v2 aux annonceurs de l'EEE qui utilisent le remarketing ou les audiences. Deux signaux nouveaux s'ajoutent aux anciens : ad_user_data et ad_personalization. Sans eux, vos listes d'audience se vident et vos conversions remontent partiellement modélisées. Attention au malentendu : le Consent Mode est une exigence de Google, pas de la CNIL. L'installer ne vous rend pas conforme, et ne dispense ni du bandeau ni de la déclaration dans votre politique. Ça ne fait que transmettre à Google le choix de l'utilisateur.

Chatbot et IA : ce qui s'applique depuis le 2 août 2026

Le règlement européen sur l'IA (règlement UE 2024/1689) rend applicables ses obligations de transparence le 2 août 2026. Son article 50 impose d'informer une personne qu'elle interagit avec un système d'IA, sauf si c'est évident. Un chatbot de support qui répond sous un prénom humain tombe dedans. Si vous cochez la case « chatbot IA », le générateur ajoute la mention correspondante — plus la question du sort des conversations, qui sont des données personnelles dès qu'un visiteur y écrit son email.

Sur le DSA (règlement UE 2022/2065), soyons honnêtes : il vise l'hébergement de contenus de tiers. Si votre site n'a ni commentaires, ni avis, ni annonces publiées par des utilisateurs, il ne vous concerne pas et vous n'avez rien à ajouter. Les prestataires qui vous vendent une « mise en conformité DSA » pour un site vitrine vous vendent du vide.

Qu'est-ce qu'on risque, concrètement

Les plafonds d'abord, parce qu'ils sont réels : 20 millions d'euros ou 4 % du chiffre d'affaires mondial, le montant le plus élevé étant retenu (article 83.5 du RGPD). Pour l'absence de mentions légales, la LCEN prévoit 75 000 € d'amende et un an d'emprisonnement pour une personne physique.

Maintenant, la réalité. Un auto-entrepreneur ne prend pas 20 M€. Ces plafonds sont calibrés pour les grandes plateformes, et les sanctions publiées qui font les gros titres concernent Google, Amazon ou Criteo. Pour une TPE, le scénario habituel est différent : une plainte d'un visiteur ou d'un ancien client déclenche un contrôle, la CNIL envoie une mise en demeure avec un délai, et l'affaire s'arrête là si vous vous mettez en conformité. Depuis 2022, elle dispose en plus d'une procédure simplifiée pour les dossiers de faible complexité, plafonnée à 20 000 € et sans publicité de la décision.

Le vrai coût pour un petit site, ce n'est donc pas l'amende. C'est le temps : reconstituer ce que vous collectez, retrouver vos sous-traitants, répondre dans le mois à une demande d'accès. Une politique juste, écrite une fois, vous fait gagner ce temps-là. C'est le seul argument honnête qu'on ait pour vous convaincre de la faire.

Un exemple complet, en clair

Pour rendre les choses concrètes, voici ce que produit le générateur pour un cas réel et banal : Lina Ferrand, photographe de mariage auto-entrepreneure à Bordeaux. Son site tourne sous WordPress, avec Google Analytics 4, un formulaire de contact relié à Brevo et une galerie privée. Pas de vente en ligne.

Notez ce qui n'y est pas : pas de clause sur la livraison, pas de durée de 10 ans, pas de portabilité mise en avant. Lina ne vend rien en ligne. Une politique copiée sur un site e-commerce lui aurait fait promettre des choses qu'elle ne fait pas — et une politique qui décrit des traitements inexistants est fausse, donc non conforme. C'est exactement le problème du copier-coller.

Questions fréquentes