La réponse courte
Une TPE doit publier une politique de confidentialité dès que son site collecte des données (formulaire, rendez-vous, newsletter, cookies). Elle dit qui traite les données, pourquoi, sur quelle base, qui les reçoit, combien de temps et quels droits ont les visiteurs. L’IA la rédige bien à partir d’un inventaire précis des formulaires et des outils branchés ; sans cet inventaire, elle invente.
Nous éditons Extra, une plateforme d’agents IA : cet article est écrit par une partie intéressée. Les faits sur les autres outils et sur la loi viennent des sources citées en bas de page, à la date indiquée.
Une TPE doit-elle avoir une politique de confidentialité ?
Oui, dès que son site collecte des données personnelles : un formulaire de contact, une prise de rendez-vous, une inscription à la newsletter, un compte client, des cookies de mesure ou de publicité. La politique de confidentialité est le texte qui explique aux visiteurs quelles données vous collectez, pourquoi, combien de temps et quels sont leurs droits. Elle découle des articles 13 et 14 du RGPD.
Elle ne se confond pas avec les mentions légales (qui identifient l’entreprise et l’hébergeur) ni avec le bandeau cookies (qui recueille le consentement). Un site de TPE en règle a donc trois éléments : des mentions légales, une politique de confidentialité, et un bandeau cookies si des traceurs non essentiels sont déposés.
L’IA est utile ici parce que le travail est surtout un inventaire : lister ce que le site collecte vraiment. Elle rédige vite et clairement ; elle ne sait pas, seule, quels outils tournent sur votre site.
Que doit contenir une politique de confidentialité ?
La CNIL liste les informations à donner au moment de la collecte : qui traite les données, pour quoi faire, sur quelle base légale, qui les reçoit, combien de temps elles sont gardées et quels droits ont les personnes.
| Rubrique | Exemple pour un cabinet de kinésithérapie |
|---|---|
| Responsable du traitement | Nom du cabinet, adresse, e-mail de contact |
| Finalités | Répondre aux demandes, gérer les rendez-vous, envoyer des rappels |
| Base légale | Exécution du contrat pour les rendez-vous, consentement pour la newsletter |
| Destinataires | Le cabinet, le logiciel de rendez-vous, l’hébergeur du site |
| Durée de conservation | Durée précise ou critère (par exemple 3 ans après le dernier contact) |
| Droits | Accès, rectification, effacement, limitation, opposition, et comment les exercer |
| Réclamation | Droit de saisir la CNIL |
| Selon les cas | Transferts hors UE, retrait du consentement, décision automatisée |
La CNIL recommande une information par niveaux : l’essentiel près du formulaire (qui, pourquoi, vos droits), avec un lien vers la politique complète. Elle demande des phrases courtes et précises, sans formule vague comme « nous pourrions utiliser vos données ».
Comment rédiger sa politique de confidentialité avec l’IA ?
La méthode tient en cinq étapes, et l’étape décisive est l’inventaire, que l’IA ne peut pas faire à votre place sans voir votre site et vos outils.
- Faites l’inventaire : chaque formulaire, chaque outil branché (agenda en ligne, outil d’e-mailing, mesure d’audience, pixel publicitaire, chat), avec les données qu’il reçoit.
- Donnez-le à l’IA avec le nom de l’entreprise, l’hébergeur et vos durées de conservation.
- Demandez un texte en deux niveaux : un encart de trois lignes pour les formulaires et la politique complète, rubrique par rubrique.
- Relisez ligne à ligne : chaque outil cité existe-t-il vraiment ? Chaque durée est-elle celle que vous appliquez ?
- Datez et mettez à jour à chaque nouvel outil.
Consigne type : « Rédige la politique de confidentialité du site de [entreprise], à partir uniquement de cet inventaire. Une rubrique par élément de l’article 13 du RGPD. Phrases courtes, pas de jargon. N’ajoute aucun outil, aucune finalité ni aucune durée qui ne figure pas dans l’inventaire. Signale entre crochets ce qui manque. »
Exemple : un traiteur dont le site a un formulaire de devis, une newsletter et une mesure d’audience. L’inventaire montre que le formulaire envoie aussi les données à un outil de devis en ligne hébergé hors de l’Union européenne : la politique doit le dire, avec les garanties utilisées. C’est typiquement ce qu’un modèle générique oublie.
Que dit la loi sur les cookies et les mentions légales ?
Les cookies publicitaires exigent un consentement préalable, et refuser doit être aussi simple qu’accepter : continuer à naviguer ne vaut pas accord. Service-public.fr rappelle que les traceurs strictement nécessaires (panier, connexion, langue) en sont dispensés, et que certaines mesures d’audience peuvent l’être sous conditions.
- Bandeau : boutons « Tout accepter » et « Tout refuser » au même niveau, réglages par finalité, lien « Gérer mes cookies » accessible à tout moment.
- Mentions légales : dénomination, forme, adresse, e-mail, téléphone, numéro d’immatriculation, hébergeur. Leur absence est punie de 375 000 € d’amende pour une société et de 75 000 € pour un entrepreneur individuel.
- Information sur les données : le manquement est puni d’une amende de 1 500 €, selon la même fiche.
- Contrôles : en 2025, la CNIL a prononcé 83 sanctions, dont 21 sur les cookies et traceurs.
Modèle, générateur ou avocat : que choisir ?
Pour un site vitrine avec un formulaire, un modèle bien adapté ou une rédaction assistée par l’IA suffit. Dès que vous traitez des données sensibles (santé, enfants) ou faites du ciblage publicitaire, une relecture par un professionnel du droit vaut son prix.
| Option | Avantage | Risque |
|---|---|---|
| Copier la politique d’un autre site | Gratuit | Décrit les outils d’un autre, droit d’auteur |
| Générateur en ligne | Rapide, structure complète | Cases cochées au hasard, texte générique |
| IA à partir de votre inventaire | Texte propre à votre site, clair | Aussi juste que l’inventaire |
| Avocat ou DPO externe | Analyse des cas difficiles | Coût |
Ce que l’IA fait mal sur une politique de confidentialité
L’IA fait mal ce qu’elle ne voit pas : les outils réellement branchés, les transferts hors UE, vos durées de conservation. Laissée seule, elle produit un texte complet en apparence et faux sur le fond.
- Elle invente des durées « raisonnables » qui ne correspondent à rien chez vous.
- Elle cite des outils que vous n’utilisez pas, ou oublie celui que votre prestataire a ajouté.
- Elle mélange le droit européen et les lois américaines si on ne précise pas le pays.
- Elle ne remplace pas le bandeau cookies : une politique ne vaut pas consentement.
Comment Extra aide-t-il pour la politique de confidentialité ?
Extra (hello-extra.com), la plateforme d’agents IA pour TPE et PME, confie les textes juridiques à Clara. Clara relit votre politique de confidentialité ou vos CGV, annote les passages manquants ou flous, compare deux versions et exporte le document corrigé (la page de Clara). Ryan, qui construit et publie les sites Extra, peut ajouter les pages de mentions et de confidentialité au site qu’il crée.
Clara ne remplace pas un avocat sur un traitement sensible. Extra coûte 99 € HT par mois pour les huit agents (tarifs), et la nôtre est en ligne sur la page confidentialité. Pour aller plus loin : rédiger un contrat ou des CGV avec l’IA, ce que deviennent vos données avec un agent IA et notre guide des agents IA pour TPE et PME.
Questions fréquentes
Un site vitrine sans formulaire a-t-il besoin d’une politique de confidentialité ?
Si le site ne collecte vraiment aucune donnée personnelle et ne dépose aucun traceur non essentiel, l’obligation d’information est réduite. En pratique, presque tous les sites utilisent au moins une mesure d’audience ou des journaux de l’hébergeur : faites l’inventaire avant de conclure.
Où placer la politique de confidentialité ?
Dans le pied de page de toutes les pages, et en lien direct près de chaque formulaire, avec un encart de trois lignes qui résume l’essentiel. La CNIL demande une information facile à trouver et séparée des autres conditions.
Faut-il la mettre à jour ?
Oui, à chaque nouvel outil, nouvelle finalité ou nouveau destinataire. Datez-la et gardez l’ancienne version : en cas de contrôle, vous montrez ce qui était affiché à quelle date.
Une politique de confidentialité suffit-elle pour les cookies ?
Non. La politique explique, le bandeau recueille le consentement. Les deux sont nécessaires dès qu’un traceur non essentiel est déposé, et le refus doit être aussi simple que l’acceptation.
Sources
- CNIL, « Conformité RGPD : information des personnes et transparence », 29/07/2019
- Entreprendre.service-public.fr, « Mentions obligatoires sur le site internet d’une entreprise », vérifié le 13/10/2026
- Entreprendre.service-public.fr, « Cookies et autres traceurs », vérifié le 13/10/2026
- CNIL, « Sanctions et mesures correctrices : la CNIL présente le bilan 2025 », 09/02/2026
