RGPD prospection B2B : engagements produit

Cette page résume nos engagements de fournisseur de données B2B. Pour le cadre complet côté prospection, consultez le guide RGPD prospection B2B e-commerce.

Page d’information, pas avis juridique. Ce document décrit nos pratiques et la répartition des responsabilités entre Ecommerce Leads Database (ELDB), qui fournit la donnée, et vous, qui envoyez les messages. annuaire-shopify.fr est le site éditorial d’ELDB : les deux sites ont le même éditeur. Ce document ne remplace pas une analyse juridique adaptée à votre situation. Pour cela, consultez votre DPO ou un avocat spécialisé en droit des données personnelles.

La conformité RGPD : notre donnée, vos campagnes

La conformité d’une opération de prospection B2B se joue à deux endroits. D’un côté, la donnée source : comment elle est collectée, ce qu’elle contient, sur quelle base légale elle est mise à disposition. De l’autre, la séquence de prospection : comment vous l’utilisez, qui vous contactez, avec quelle information, quel moyen de désinscription, quelle durée de conservation.

ELDB couvre la première moitié. Vous couvrez la seconde. Cette page décrit la frontière entre les deux.

Ce que contient la base

Au 31 octobre 2026, la base d’ELDB compte plus de 270 000 boutiques Shopify vérifiées en Europe (32 pays), dont 38 000 en France. Une fiche mélange deux types de données.

Des données d’entreprise, qui ne sont pas des données personnelles quand elles décrivent une société :

• le domaine et le nom de la boutique, son pays, sa région, sa ville ;
• la plateforme, le thème, les applis détectées dans le code public des pages, le nombre de produits ;
• les emails génériques (contact@, info@) et les réseaux sociaux de l’entreprise ;
• les données des registres publics des entreprises (forme juridique, code d’activité, état).

Des données personnelles, pour une partie des fiches :

• les emails nominatifs publiés sur le site (prenom@boutique.fr) : chaque email porte son type, générique ou nominatif ;
• les dirigeants de l’entreprise (prénom, nom, fonction), issus des registres publics des entreprises ou de la page de mentions légales du site. Environ 20 % des boutiques Shopify françaises en ont ;
• l’email professionnel d’un dirigeant, quand nous le trouvons sur le site ou le déduisons du format des adresses du domaine. Il est livré avec son statut : trouvé sur le site, vérifié, ou seulement déduit.

Nous ne gardons jamais la date de naissance, la nationalité ni l’adresse personnelle d’un dirigeant. Le téléphone publié par une petite boutique peut aussi être celui d’une personne : traitez-le avec la même prudence.

Ces données viennent de pages publiques (le site de la boutique, sa fiche Google Business) et des registres publics des entreprises. Le détail est dans la politique de confidentialité d’ELDB.

Notre traitement : intérêt légitime (art. 6.1.f)

Notre traitement des données personnelles de la base repose sur l’article 6.1.f du RGPD, l’intérêt légitime : le nôtre, et celui de nos clients, à prospecter des professionnels. Nous ne gardons que des données liées à l’activité de la boutique.

Trois éléments accompagnent cette base légale :

1. Une information publique des personnes, comme le prévoit l’article 14 du RGPD pour les données qui ne sont pas collectées auprès d’elles : la politique de confidentialité d’ELDB (partie B) décrit la finalité, les sources, les catégories de données, les destinataires et les durées.
2. Un droit d’opposition simple : un retrait gratuit en ligne, sans justification (voir plus bas).
3. Des durées courtes : un contact qui n’a pas été revu depuis 12 mois n’est plus fourni, et il est effacé à 13 mois.

Nos engagements sur la donnée

Sur notre périmètre (la donnée que vous obtenez par l’API, le serveur MCP ou l’export CSV d’ELDB), voici ce que nous faisons :

• Des sources publiques. Les pages publiques des boutiques et les registres publics des entreprises. Notre robot respecte le fichier robots.txt. Pas de profil LinkedIn personnel aspiré, pas de photo de dirigeant.
• La source et la date de chaque contact. Pour chaque email, téléphone et adresse lus sur un site, nous gardons la page où nous les avons lus et la date. Chaque fiche porte la date de sa dernière vérification.
• Des emails typés. Chaque email est marqué générique ou nominatif. Avec le filtre genericEmailsOnly de l’API, vous ne recevez que les emails génériques : aucun email nominatif, aucun email de dirigeant.
• Des emails de dirigeants prudents. Une adresse déduite peut être vérifiée auprès du serveur de messagerie du domaine, sans qu’aucun message ne soit envoyé. Nous ne déduisons jamais d’adresse sur une messagerie grand public (Gmail, Outlook…).
• Des durées limitées. Après 11 mois, la boutique est revérifiée. Après 12 mois sans être revu, un contact n’est plus fourni. Après 13 mois, il est effacé.

Ce que VOUS devez faire dans vos séquences

Au moment où un commercial appuie sur « envoyer » dans Lemlist, Smartlead ou La Growth Machine, c’est lui (ou son employeur) qui devient responsable de traitement pour la prospection. Plusieurs obligations pèsent alors sur vous, quelle que soit la conformité de notre source. Les CGV d’ELDB les rappellent (article 9).

1. Informer la personne et lui permettre de s’opposer. Au plus tard lors du premier message, dites qui vous êtes, pourquoi vous écrivez et d’où vient son adresse (article 14 du RGPD). Chaque email de prospection doit aussi indiquer un moyen gratuit, et qui marche, de demander l’arrêt des envois (article L34-5 du Code des postes et des communications électroniques). Un lien de désinscription qui mène à une page d’erreur, ou qui exige un mot de passe, ne suffit pas. Une ligne « répondez STOP », avec une liste de désinscription tenue à jour derrière, peut suffire.

2. Limiter la conservation à 3 ans. Selon la CNIL, les données d’un prospect se gardent 3 ans au plus à compter de leur collecte ou du dernier contact venu du prospect (une réponse, un clic sur un lien). Un envoi de votre part, ou la simple ouverture d’un email, ne relance pas ce délai. Au-delà, archivez ou supprimez. Garder un contact muet pendant 5 ans « au cas où » expose à une sanction.

3. Tenir un registre des activités de traitement. Inscrivez la prospection commerciale dans votre registre (article 30 du RGPD), avec sa base légale (intérêt légitime, art. 6.1.f), les catégories de données, les destinataires (votre outil d’envoi, votre CRM), les durées et les mesures de sécurité. Une prospection régulière n’entre en général pas dans l’exemption prévue pour les petites structures. Cette règle fait l’objet d’un projet de réforme européen : vérifiez le texte en vigueur.

4. Documenter votre propre intérêt légitime. Notre base légale couvre notre mise à disposition. Elle ne couvre pas votre usage. Écrivez votre propre analyse d’intérêt légitime : pourquoi cette prospection est nécessaire, et pourquoi elle ne pèse pas trop sur les personnes contactées. Un document court et daté, revu régulièrement, permet de montrer votre démarche en cas de contrôle.

5. Appliquer les oppositions vite. Une personne qui demande l’arrêt ne doit plus rien recevoir de vous. Les CGV d’ELDB vous obligent aussi à appliquer les demandes de retrait que nous vous transmettons.

Cas particulier : email pro nominatif ou générique

La nuance qui change le régime applicable :

• prenom.nom@brand.com (nominatif) : donnée personnelle. RGPD et article L34-5 : intérêt légitime, information de la personne, désinscription dans chaque message.
• contact@brand.com, info@brand.com, hello@brand.com (générique) : coordonnée de l’entreprise. Le RGPD ne s’applique pas directement. L’article L34-5 exige quand même un moyen de désinscription dans tout email de prospection.
• commande@, support@ : génériques en apparence, mais ils peuvent arriver dans la boîte d’une seule personne. Prudence.

Dans la base, chaque email porte déjà son type. Recommandation pratique : traitez tous les emails comme s’ils étaient nominatifs. Mettre partout une désinscription qui marche ne coûte rien et vous évite un débat sur la nature de l’adresse.

Délibérations CNIL et veille

La position de la CNIL sur la prospection B2B par email est constante depuis plusieurs années : pas d’accord préalable exigé pour un professionnel contacté sur un sujet lié à son métier, à condition de l’informer et de lui permettre de s’opposer dans chaque message. Pour le détail des fiches pratiques et leurs évolutions, la source qui fait foi reste l’espace professionnel de cnil.fr. Nous ne citons ici aucune délibération précise : les textes évoluent plus vite que cette page.

Attention hors de France : la base couvre 32 pays européens, et tous n’appliquent pas la même règle. En Allemagne, par exemple, un email de prospection demande en principe un accord préalable, même entre professionnels. Vérifiez la règle du pays de chaque destinataire.

À suivre : en février 2025, la Commission européenne a annoncé le retrait de son projet de règlement ePrivacy, faute d’accord. La directive ePrivacy de 2002, transposée en France à l’article L34-5 du CPCE, reste donc le texte de référence. Des projets de simplification du RGPD sont aussi discutés au niveau européen.

Retrait d’un email ou d’une boutique

Une personne peut retirer son adresse email, ou toute sa boutique, gratuitement et sans justification, sur la page Retirer ma boutique d’ELDB.

• Nous envoyons un lien de confirmation. Il marche une seule fois, pendant 7 jours. Rien n’est fait avant le clic.
• Un email retiré est effacé dès la confirmation, y compris comme email de dirigeant. Nous ne le reprenons plus.
• Une boutique retirée disparaît des résultats de nos clients dès la confirmation. Ses données, dont ses dirigeants, sont effacées 30 jours plus tard. Nous gardons seulement le nom de domaine et sa date d’ajout, pour qu’elle ne revienne pas dans la base.

Pour retirer seulement un nom de dirigeant, ou pour toute autre demande, écrivez à hello@ecommerce-leads-database.com.

Les données déjà obtenues par un client restent chez lui. Les CGV d’ELDB l’obligent à respecter le droit d’opposition et à appliquer les demandes de retrait que nous lui transmettons.

Pour aller plus loin

Pour la méthode complète (articulation du RGPD et de l’article L34-5, distinction B2B et B2C, cas concret d’une agence qui prospecte 250 marques natives, pièges fréquents, questions et réponses), voir notre guide RGPD prospection B2B e-commerce. C’est la lecture de référence si vous structurez votre dispositif de conformité ou si vous formez une équipe commerciale.

Pour le contrat entre vous et ELDB (usage des données, crédits, propriété de la base), voir les CGV d’ELDB. Pour les tarifs, voir la page des tarifs : 50 crédits offerts à l’inscription, puis des packs dès 29 € HT, sans abonnement. Pour les données traitées quand vous lisez ce site, voir notre politique de confidentialité.

Cette page n’est pas un avis juridique

Rappel. Ce document décrit nos pratiques et la répartition des responsabilités. Il ne remplace pas un avis juridique adapté à votre cas, ni un audit RGPD de votre organisation, ni la rédaction de votre analyse d’intérêt légitime, de votre registre ou de vos mentions. Pour un dispositif solide (surtout si vous prospectez à grande échelle, croisez plusieurs sources ou écrivez dans plusieurs pays), travaillez avec un DPO ou un avocat spécialisé en droit des données personnelles.

Retour à l’accueil · Voir les tarifs · Conditions d’utilisation · CGV d’ELDB · Guide RGPD prospection B2B e-commerce · Politique de confidentialité · Contact