Un site vitrine doit publier des mentions légales qui identifient l'entreprise et l'hébergeur, une politique de confidentialité dès qu'il collecte des données, et demander l'accord avant tout cookie qui n'est pas indispensable. Le formulaire ne doit demander que ce qui sert à vous répondre, et les messages doivent avoir une durée de conservation définie. Je ne suis pas juriste : ce guide donne des repères vérifiés, il ne remplace pas un conseil juridique.
Ce qu'un site vitrine doit prévoir
| Sujet | Ce qu'il faut | Erreur fréquente |
|---|---|---|
| Mentions légales | Nom, forme, adresse, contact, SIREN, TVA s'il y a lieu, hébergeur. | Oublier l'hébergeur ou garder les informations d'un ancien prestataire. |
| Confidentialité | Une page dédiée, accessible depuis toutes les pages. | Copier une politique qui cite des outils absents du site. |
| Formulaire | Des champs limités et une information courte sous le formulaire. | Demander l'adresse ou la date de naissance pour un simple contact. |
| Cookies | Un choix accepter/refuser aussi simple avant tout traceur non indispensable. | Un bandeau sans bouton « Refuser », ou des traceurs déposés avant le choix. |
| Conservation | Une durée définie pour les messages et les prospects. | Garder tous les messages sans limite dans une boîte mail. |
Les mentions légales
Un site professionnel doit permettre d'identifier l'entreprise qui l'édite et son hébergeur. Pour une société : dénomination, forme juridique, adresse du siège, email et téléphone, numéro d'immatriculation, numéro de TVA s'il y a lieu. Un entrepreneur individuel indique ses nom, prénom et adresse. 1
L'erreur la plus courante est un site hérité d'un ancien prestataire, avec un hébergeur qui a changé ou une adresse qui n'est plus la bonne. Relisez cette page à chaque changement d'hébergement, d'adresse ou de statut.
La politique de confidentialité
Dès que le site collecte des données personnelles, même un simple nom et un email dans un formulaire, il doit expliquer quelles données sont collectées, pourquoi, qui les reçoit, combien de temps elles sont gardées et comment exercer ses droits. 2
Le texte doit correspondre au site réel. Une politique copiée qui parle d'outils de publicité absents, ou qui oublie le service qui envoie les messages du formulaire, ne remplit pas son rôle. Listez les outils réellement utilisés avant de rédiger.
Le formulaire de contact
Demandez seulement ce qui sert à répondre : un nom, un moyen de contact, le message. Un champ « ville » ou « type de projet » peut être utile pour qualifier une demande, une date de naissance ne l'est presque jamais.
La CNIL recommande une information en deux niveaux : quelques lignes directement sous le formulaire, puis la politique de confidentialité complète sur une page dédiée. 2
Fixez une durée de conservation. Dans son référentiel sur la gestion commerciale, la CNIL retient trois ans à compter de la collecte ou du dernier contact pour les données d'un prospect qui n'est pas devenu client. 3
Les cookies et la mesure d'audience
Tout cookie ou traceur qui n'est pas strictement nécessaire au fonctionnement du site demande un consentement préalable. Refuser doit être aussi simple qu'accepter, et poursuivre la navigation ne vaut pas accord. 4
Un site vitrine sans outil de publicité ni statistiques tierces n'a pas forcément besoin d'un bandeau. Mais l'ajout d'une vidéo YouTube, d'une carte Google ou d'un outil de statistiques peut suffire à déposer des traceurs. Faites l'inventaire de ce que chargent vos pages avant de décider.
Certains outils de mesure d'audience peuvent être configurés pour ne pas nécessiter de consentement, sous conditions. C'est un choix à faire au moment de la création, pas après coup.
Le cas des sites qui vendent en ligne
Depuis le 28 juin 2025, les services de commerce électronique doivent respecter des exigences d'accessibilité. Les microentreprises de moins de 10 salariés dont le chiffre d'affaires ou le bilan ne dépasse pas 2 millions d'euros en sont exemptées. 5
Une boutique en ligne doit aussi publier des conditions générales de vente faciles d'accès. Si votre site passe d'une vitrine à la vente, ces points sont à revoir avant d'ouvrir le paiement.
La checklist RGPD d'un site vitrine
- Les mentions légales identifient l'entreprise et l'hébergeur actuels.
- La politique de confidentialité est accessible depuis toutes les pages.
- Elle cite les outils réellement utilisés par le site.
- Le formulaire ne demande que les informations utiles pour répondre.
- Une information courte figure sous le formulaire.
- Une durée de conservation des messages et des prospects est fixée.
- Aucun traceur non indispensable n'est déposé avant le choix du visiteur.
- Le bouton « Refuser » est aussi visible que le bouton « Accepter ».
- Ces pages sont relues à chaque changement d'outil ou d'hébergement.
