Cette page utilitaire résume nos engagements en tant que fournisseur de données B2B. Pour le cadre opérationnel complet côté prospection, consultez le guide RGPD prospection B2B e-commerce.
Page produit, pas avis juridique. Ce document décrit nos engagements opérationnels et la répartition des responsabilités entre annuaire-shopify.fr (fournisseur de données) et vous (responsable de l’envoi). Il ne remplace pas une analyse juridique adaptée à votre situation. Pour cela, consultez votre DPO ou un avocat spécialisé en droit des données personnelles.
La conformité RGPD vue depuis notre data (vs vos campagnes)
La conformité d’une opération de prospection B2B se joue à deux endroits distincts. D’un côté, la donnée source : comment elle est collectée, ce qu’elle contient, sur quelle base légale elle est mise à disposition. De l’autre, la séquence outbound : comment vous l’utilisez, qui vous contactez, avec quelle mention, quel opt-out, quelle durée de conservation.
annuaire-shopify.fr couvre la première moitié. Vous couvrez la seconde. Cette page documente la frontière exacte entre les deux.
La base : données d’entreprise B2B publiques
Les + de 70 000 boutiques référencées dans notre annuaire sont identifiées par des champs qui sont juridiquement des données d’entreprise, pas des données personnelles au sens du RGPD :
- URL canonique de la boutique (
https://brand.com) - Nom commercial ou raison sociale
- TLD (
.fr,.com,.de,.es) — dont plusieurs centaines.frà date - Stack technique publiquement détectable : version Shopify, thème (Dawn, Impulse, Prestige…), applications tierces visibles dans le code source
- Métadonnées du site : pays de livraison, devises, langues exposées
Ces champs sont collectés par crawl public des pages d’accueil des boutiques. Ils ne sont rattachables à aucune personne physique identifiée. Le RGPD ne s’applique pas directement à leur collecte ni à leur revente. Le cadre applicable relève du droit commun (concurrence déloyale, parasitisme, conditions d’utilisation des plateformes crawlées).
Notre traitement : intérêt légitime art. 6.1.f
Lorsqu’une fiche est associée à un email pro nominatif (cas minoritaire dans la base, et toujours sourcé via mentions légales publiques ou via prestataire tiers déclaré), notre traitement repose sur l’article 6.1.f du RGPD — intérêt légitime.
Trois éléments matérialisent cette base légale :
- LIA documenté (Legitimate Interest Assessment) : une analyse écrite, datée, mise à jour annuellement, qui formalise la mise en balance entre notre intérêt (mettre à disposition une base d’entreprises Shopify pour la prospection B2B) et les droits des personnes concernées.
- RAT à jour (Registre des activités de traitement) : la finalité « mise à disposition d’une base d’entreprises Shopify » y est inscrite, avec destinataires, durées, mesures de sécurité.
- Politique de confidentialité publique : voir /politique-confidentialite/ pour les durées, les droits et les coordonnées du point de contact.
Ce que nous garantissons côté data
Sur notre périmètre — la donnée que vous récupérez via l’annuaire ou l’export — nous nous engageons sur quatre points :
- Pas de profil personnel privé. Aucune donnée scrapée hors API depuis des profils LinkedIn personnels, aucun numéro mobile direct collecté hors mention légale, aucune photo de dirigeant agrégée.
- Sources documentées. Pour chaque champ qui touche au régime données personnelles, la source est tracée (mention légale du site, contact public, prestataire tiers identifié).
- Hygiène de base. Les boutiques fermées ou les NDD inactifs sont retirés au fil des passes de revérification. Une donnée signalée comme erronée par une personne concernée est corrigée ou retirée.
- Pas de croisement à risque. Nous ne combinons pas la base avec des sources externes pour reconstituer des profils enrichis comportementaux. La base reste un annuaire d’entreprises, pas un fichier de prospects profilés.
Ce que VOUS devez faire dans vos séquences outbound
Au moment où un SDR appuie sur « envoyer » dans Lemlist, Smartlead ou La Growth Machine, c’est lui (ou son employeur) qui devient responsable de traitement pour la phase de prospection. Quatre obligations pèsent alors sur vous, indépendamment de la conformité de notre source.
1. Mention dans l’email + opt-out fonctionnel obligatoire. Chaque message envoyé à une adresse pro nominative doit comporter un mécanisme d’opposition fonctionnel et gratuit (article L34-5 du Code des postes et des communications électroniques, transposition de la directive ePrivacy). Un lien d’unsubscribe qui pointe vers une 404 ou qui exige un mot de passe ne qualifie pas. Une simple ligne « répondez STOP » avec liste de désinscription centralisée derrière, oui.
2. Conservation maximum 3 ans après dernière interaction. La position stable de la CNIL fixe la durée de conservation à 3 ans à compter de la dernière interaction (envoi, ouverture, clic, réponse). Au-delà sans interaction, archivage ou suppression. Conserver un contact dormant pendant 5 ans « au cas où » expose à sanction.
3. Registre des activités de traitement (RAT) tenu à jour. Toute organisation qui prospecte doit inscrire la finalité « prospection commerciale » dans son RAT, avec base légale (intérêt légitime art. 6.1.f), catégories de données, destinataires (votre ESP, votre CRM), durées, mesures de sécurité.
4. LIA documenté pour votre propre traitement. Notre LIA couvre notre mise à disposition. Il ne couvre pas votre utilisation. Vous devez produire votre propre Legitimate Interest Assessment, qui justifie la nécessité de votre prospection au regard des droits des personnes contactées. Une page suffit, à condition qu’elle soit datée et révisée annuellement.
Cas particulier : email pro nominatif vs générique
La nuance qui change le régime applicable :
prenom.nom@brand.com(nominatif) — donnée personnelle. RGPD + ePrivacy : intérêt légitime + opt-out fonctionnel obligatoire dans chaque message.contact@brand.com,info@brand.com,hello@brand.com(générique) — donnée d’entreprise. Le RGPD ne s’applique pas directement. L’opt-out reste fortement conseillé.commande@,support@— génériques en apparence, mais qui peuvent renvoyer vers une boîte personnelle. Prudence.
Recommandation pratique : traitez tous les emails comme s’ils relevaient du régime nominatif. Inclure systématiquement un opt-out fonctionnel ne coûte rien et vous met à l’abri du litige sur la qualification de l’adresse.
Délibérations CNIL et veille
La position de la CNIL sur la prospection B2B est stable depuis 2020 : intérêt légitime reconnu pour les emails pros nominatifs, opt-out obligatoire dans chaque message, conservation raisonnable. Pour le détail des fiches pratiques et les éventuelles évolutions, la source qui fait foi reste l’espace professionnel sur cnil.fr. Nous ne reprenons ici aucune référence de délibération précise — la jurisprudence évolue plus vite que cette page, et un guide tiers qui cite une délibération obsolète induit en erreur.
Deux dossiers à suivre pour les 12 à 24 mois à venir : le règlement ePrivacy européen (qui remplacera la directive actuelle) et la jurisprudence CJUE sur le sourcing automatisé.
Notre engagement contractuel : retrait sous 48 h
Si une donnée présente dans la base s’avère problématique au regard du RGPD — typiquement une demande d’opposition ou d’effacement émise par une personne concernée — nous procédons au retrait sous 48 heures ouvrées à compter du signalement. Le formulaire de contact à utiliser est précisé sur notre page contact et dans la politique de confidentialité.
Cet engagement est inscrit dans nos conditions générales de vente côté livrable. Concrètement, le signalement déclenche : retrait de la fiche de la base active, propagation aux exports déjà livrés sous forme de liste de désinscription propagée à nos clients, et confirmation écrite à la personne concernée.
Pour aller plus loin
Pour la méthodologie complète — articulation RGPD / ePrivacy, distinction B2B / B2C, cas concret d’une agence outbound qui prospecte 250 marques DNVB, pièges fréquents et Q&R — voir notre guide RGPD prospection B2B ecommerce. C’est la lecture de référence si vous structurez votre dispositif de conformité ou si vous formez une équipe SDR.
Pour le cadre contractuel entre vous et nous (livrables, durée d’utilisation, propriété de la base, garanties), voir nos conditions générales de vente. Pour comprendre comment nous traitons vos propres données en tant que client (compte, facturation, support), voir notre politique de confidentialité. Pour les tarifs des plans qui donnent accès à la base et aux exports, voir la page tarifs.
Cette page n’est pas un avis juridique
Rappel. Ce document est une page produit. Il décrit nos engagements opérationnels et la répartition des responsabilités. Il ne remplace pas un avis juridique adapté à votre cas, ni un audit RGPD de votre organisation, ni la rédaction de votre LIA, de votre RAT ou de vos mentions. Pour un dispositif robuste — surtout si vous prospectez à grande échelle, croisez plusieurs sources ou envoyez hors UE — travaillez avec un DPO ou un avocat spécialisé en droit des données personnelles. C’est un investissement modeste qui couvre proportionnellement bien plus de risque que la même somme dépensée en outils.
Retour à l’accueil · Voir les tarifs · Conditions générales de vente · Guide RGPD prospection B2B ecommerce · Politique de confidentialité · Contact