Politique de confidentialité du revendeur : modèle RGPD et structure 2026

Mis à jour le 6 juillet 2026 · 12 min de lecture · Par L'équipe Margeo

Dès qu'un client passe commande sur votre boutique Vinted, Shopify ou site perso, vous collectez des données personnelles : nom, adresse, e-mail. Le RGPD impose de les documenter dans une politique de confidentialité accessible en permanence. Ce guide détaille la structure du modèle, les 6 sous-traitants à mentionner, les données de commande à déclarer, les droits ARCO, le lien avec la fiscalité micro-BIC 2026 (plafond 203 100 €, cotisations 12,3 %, seuil DAC7 2 000 € ou 30 ventes) et confirme qu'un DPO n'est pas obligatoire pour un revendeur micro. Pour le registre des traitements, consultez notre guide RGPD revendeur 2026.

Pourquoi un revendeur a besoin de cette page

Contrairement aux mentions légales (qui identifient qui vous êtes), la politique de confidentialité explique ce que vous faites des données de vos acheteurs. Elle est obligatoire dès la première commande, la première inscription newsletter ou le premier formulaire de contact.

Structure du modèle : 10 rubriques obligatoires

Voici l'ossature conforme CNIL pour un revendeur en ligne :

1. Responsable de traitement — votre identité, SIRET, adresse, e-mail de contact RGPD
2. Données collectées — liste exhaustive par canal (commande, newsletter, contact)
3. Finalités — pourquoi vous traitez chaque donnée (livraison, facturation, prospection)
4. Base légale — contrat, obligation légale, consentement ou intérêt légitime
5. Destinataires — transporteurs, prestataires paiement, hébergeur, outils e-mail
6. Transferts hors UE — si vous utilisez un outil US (Stripe, Mailchimp, Shopify)
7. Durées de conservation — par type de donnée (commande, facture, newsletter)
8. Droits des personnes — ARCO + portabilité + réclamation CNIL
9. Sécurité — mesures mises en place (mots de passe, accès limité)
10. Modifications — date de dernière mise à jour et procédure d'information

SOP rédaction : publier votre politique en 7 étapes

Exécutez cette procédure standard dès la création de votre micro-entreprise ou à l'ajout d'un nouvel outil (newsletter, site, CRM). Temps total : 2 à 3 heures la première fois, 20 min en mise à jour annuelle.

1. Cartographier vos traitements — listez chaque endroit où vous stockez des données perso : Excel, Margeo, Brevo, Shopify, Google Drive, téléphone
2. Identifier vos sous-traitants — transporteur, PSP, hébergeur, outil e-mail, analytics (voir les 6 briques ci-dessous)
3. Adapter le modèle — remplacez les noms fictifs par vos prestataires réels et vos durées de conservation
4. Publier la page — URL /politique-confidentialite, lien en pied de page à côté des mentions légales
5. Lier au moment de la collecte — formulaire commande, inscription newsletter, bandeau cookies (guide cookies CNIL)
6. Signer les DPA — accord de traitement avec chaque sous-traitant (souvent dans les CGU)
7. Planifier la mise à jour — à chaque changement de prestataire ou nouvel outil adopté

Les 6 sous-traitants à documenter dans votre politique

Chaque outil qui traite des données pour votre compte doit figurer dans la rubrique « Destinataires » de votre politique. Voici les six briques les plus courantes chez les revendeurs français en 2026.

Données clients et commandes : que déclarer ?

Les droits ARCO expliqués à vos clients

Votre politique doit informer clairement sur les 6 droits fondamentaux :

• Accès (A) — le client peut demander la liste de toutes les données que vous détenez sur lui
• Rectification (R) — corriger une adresse erronée ou un nom mal orthographié
• Effacement (C — droit à l'oubli) — supprimer ses données hors obligations légales (factures 10 ans)
• Opposition (O) — refuser la prospection commerciale (newsletter, SMS)
• Limitation — geler le traitement en cas de litige
• Portabilité — recevoir ses données dans un format CSV/JSON

DPO : pas obligatoire pour un revendeur micro

Le Délégué à la Protection des Données (DPO) n'est pas requis pour la majorité des revendeurs solo. Obligatoire uniquement si :

• Traitement à grande échelle de données sensibles (santé, biométrie) — non applicable en mode
• Organisme public ou autorité
• Suivi régulier et systématique de personnes à grande échelle — seuil rarement atteint par un micro

En micro-entreprise revendeur avec 200 à 2 000 clients/an, vous êtes le contact RGPD. Indiquez votre e-mail dédié (ex. rgpd@votreboutique.fr ou contact@) dans la politique.

Définir des durées de conservation utiles et justifiées

Une politique de confidentialité doit décrire les durées réellement appliquées, traitement par traitement. Certaines pièces doivent être conservées au titre d'obligations légales ; d'autres données ne doivent pas être gardées plus longtemps que nécessaire. Évitez de recopier une durée standard sans l'adapter à votre processus de vente, de SAV et de comptabilité.

Les obligations déclaratives des plateformes et votre propre politique de confidentialité sont deux sujets distincts. Décrivez les destinataires auxquels vous transmettez effectivement des données, la base légale correspondante et la façon d'exercer ses droits.

Cas chiffré : Marie, revendeuse mode à Lyon

Cas chiffré : Marie, revendeuse mode à Lyon

Profil : micro-entreprise, 18 400 € de CA en 2025, 340 clients, site Shopify + Vinted Pro, newsletter Brevo (120 abonnés).

Marie rédige sa politique en 2 h avec le modèle ci-dessous, la publie en pied de page Shopify et lie la page au formulaire newsletter. Coût : 0 €. Elle met à jour la politique quand elle ajoute Mondial Relay en alternative à Colissimo.

Modèle de politique de confidentialité revendeur

Checklist de conformité RGPD revendeur

Coût et impact sur la marge

Sur un CA de 20 000 €/an, une conformité RGPD DIY coûte 0 € et 3 à 4 heures de travail. C'est 0 % d'impact sur la marge — contre un risque de sanction pouvant atteindre 800 € (4 % × 20 000 €) en cas de manquement avéré.

Les 6 erreurs à éviter

• Modèle générique non adapté — mentionner vos vrais prestataires (transporteur, PSP, hébergeur)
• Durées de conservation floues — « aussi longtemps que nécessaire » est non conforme
• Oublier la newsletter — consentement et désabonnement doivent être documentés
• Pas de contact RGPD — un e-mail dédié ou votre e-mail pro suffit
• Page inaccessible — lien en pied de page obligatoire, pas enfoui dans les CGV
• Ne jamais mettre à jour — changement de prestataire = mise à jour de la politique

Questions fréquentes