Générateur de politique de confidentialité gratuit

Créez une politique de confidentialité conforme RGPD en quelques minutes. Données collectées, finalités, sous-traitants, durées de conservation, droits utilisateurs : tout est généré automatiquement à partir de vos réponses.

• Conforme RGPD
• Sans inscription
• Document envoyé par email

Ce que vous allez recevoir

• Politique de confidentialité complète couvrant les 13 sections RGPD (responsable, données, finalités, bases légales, durées, sous-traitants, droits, CNIL).
• Format HTML prêt à intégrer + version texte brut pour archivage et diffusion par email.
• Sous-traitants pré-rédigés (Stripe, Google Analytics, OVH, AWS…) avec leurs politiques respectives liées.

Une obligation, pas une formalité

Dès que vous traitez des données personnelles, et un formulaire de contact suffit à déclencher l'obligation, vous devez informer les personnes concernées. Le RGPD sépare deux situations : l'article 13 pour les données collectées directement auprès de la personne, l'article 14 pour celles obtenues autrement, qui impose en plus d'indiquer la source des données et de délivrer l'information dans un délai d'un mois.

L'article 12 ajoute une exigence de forme trop souvent négligée : l'information doit être donnée en des termes clairs et simples, dans un langage facilement compréhensible. Un document de dix pages en jargon juridique remplit la liste des mentions et manque l'obligation. La CNIL recommande une information à deux niveaux, avec un premier niveau synthétique et directement visible reprenant la finalité, l'identité du responsable et les droits, puis un second niveau détaillé accessible par un lien.

Le manquement relève de l'article 83 du RGPD, dont le plafond atteint 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

Les mentions à faire figurer

Identité du responsable de traitement

Nom de l'organisme et coordonnées, ainsi que celles de son représentant dans l'Union s'il n'y est pas établi.

Coordonnées du DPO

Obligatoires si vous en avez désigné un, que la désignation ait été volontaire ou imposée.

Finalités et bases légales

Pour chaque traitement, ce que vous en faites et sur quelle base de l'article 6 vous vous appuyez. Si c'est l'intérêt légitime, il faut préciser lequel.

Destinataires

Les catégories de destinataires des données, sous-traitants inclus : hébergeur, outil d'emailing, CRM, prestataire de paiement.

Transferts hors Union européenne

Leur existence, le pays concerné et la garantie utilisée, clauses contractuelles types ou décision d'adéquation.

Durées de conservation

Une durée par finalité, ou à défaut le critère objectif qui permet de la déterminer.

Droits des personnes

Accès, rectification, effacement, limitation, opposition, portabilité, et retrait du consentement à tout moment lorsque le traitement repose dessus.

Droit de réclamation

La possibilité d'introduire une réclamation auprès de la CNIL, avec ses coordonnées.

Caractère obligatoire des données

Si la fourniture des données conditionne la conclusion d'un contrat, et les conséquences d'un refus.

Décision automatisée

Son existence le cas échéant, la logique sous-jacente et les conséquences pour la personne.

Les quatre erreurs qui reviennent le plus

1. 1

   Une durée de conservation qui n'en est pas une

   « Vos données sont conservées conformément à la réglementation en vigueur » revient à ne rien dire. Le RGPD attend une durée chiffrée par finalité, ou un critère objectif quand la durée ne peut pas être fixée d'avance, par exemple la durée de la relation commerciale augmentée de la prescription applicable. C'est le manquement le plus simple à constater lors d'un contrôle, parce qu'il se lit directement dans le document.

2. 2

   Le consentement invoqué pour tout

   Le consentement n'est qu'une des six bases légales listées à l'article 6 du RGPD, et c'est la plus fragile puisqu'elle est révocable à tout moment. La gestion d'une commande ou d'un compte relève de l'exécution du contrat. La sécurité du site ou la prospection auprès de professionnels relèvent le plus souvent de l'intérêt légitime. Fonder ces traitements sur le consentement vous oblige à tout arrêter dès qu'une personne le retire.

3. 3

   Confondre données personnelles et cookies

   Ce sont deux régimes distincts. Le traitement des données relève du RGPD, le dépôt de traceurs relève de l'article 82 de la loi Informatique et Libertés. Un paragraphe intitulé « cookies » dans votre politique de confidentialité ne vaut pas recueil du consentement. Il faut un dispositif qui bloque les traceurs non essentiels avant tout choix, propose un refus aussi simple que l'acceptation, et conserve la preuve du consentement.

4. 4

   Un document figé au jour de sa rédaction

   Ajouter un outil d'analytics, changer de prestataire d'emailing ou brancher un CRM modifie vos destinataires, parfois vos transferts hors Union. La politique de confidentialité décrit un état des traitements à un instant donné : si elle n'est pas relue à chaque nouvel outil, elle devient fausse. Datez-la et notez la date de dernière mise à jour visiblement.

Et les cookies, dans tout ça ?

C'est le point où la plupart des sites se croient conformes alors qu'ils ne le sont pas. Votre politique de confidentialité décrit vos traitements de données. Le dépôt et la lecture de traceurs sur le terminal de vos visiteurs relèvent d'un autre texte, l'article 82 de la loi Informatique et Libertés, qui exige un consentement préalable, libre, spécifique, éclairé et univoque avant tout dépôt de cookie non essentiel.

Concrètement, cela suppose trois choses qu'aucun document écrit ne peut fournir : bloquer les traceurs tant que le visiteur n'a pas choisi, proposer un refus aussi simple que l'acceptation, et conserver la preuve de chaque consentement pour pouvoir la produire en cas de contrôle.

C'est exactement ce que fait ConsentLab, avec Google Consent Mode v2 intégré, gratuitement jusqu'à 5 000 sessions par mois et sur un nombre de domaines illimité.

Questions fréquentes