Flyweight : utiliser un chatbot IA pour Shopify en conformité avec le RGPD et l’AI Act

Accord de traitement des données, obligation d’étiquetage, politique de confidentialité, RGPD, AI Act, quoi ? 🤯🤯

La checklist et le modèle de politique de confidentialité ci-dessous partent du principe que vous exploitez une boutique Shopify et souhaitez ajouter un chatbot IA conforme au RGPD. Comme Flyweight rédige désormais aussi des réponses aux e-mails et aux tickets de support (Flyweight Copilot) et vous permet, à vous ou à votre équipe, de reprendre des chats en direct, ce guide couvre également ces cas d’usage. Vous voulez une vue d’ensemble complète de ce que notre chatbot Shopify peut faire ? Consultez le guide principal. Cet article ne constitue pas un conseil juridique ni la reconnaissance d’une obligation légale.

Terminologie

1. Règlement général sur la protection des données (RGPD)
   Le RGPD est la principale loi sur la protection de la vie privée en Europe. Il fixe les règles sur la manière dont les entreprises traitent les données à caractère personnel, par exemple en ne collectant que ce qui est réellement nécessaire et en les stockant de manière sécurisée. Il confère également aux personnes des droits sur leurs données, notamment l’accès, la rectification et l’effacement. Pour les chatbots, cela signifie pas de collecte large ou inutile de données, et une communication claire sur la manière dont les données sont utilisées.

2. Artificial Intelligence Act (AI Act)
   L’AI Act est un règlement de l’UE qui fixe des règles pour l’intelligence artificielle. Ses exigences s’appliquent par étapes ; les obligations de transparence de l’article 50 s’appliquent à partir du 2 août 2026. L’objectif est une utilisation plus sûre et plus équitable des systèmes d’IA tels que les chatbots. Il classe les systèmes d’IA par niveau de risque, de faible à élevé. Chaque catégorie s’accompagne de ses propres exigences, par exemple indiquer clairement aux utilisateurs qu’ils interagissent avec une IA et prévenir les résultats discriminatoires. Les chatbots traitant des cas d’usage sensibles peuvent relever de catégories à risque plus élevé et être soumis à des exigences plus strictes.

3. Accord de traitement des données (DPA)
   Un accord de traitement des données est un contrat entre l’entreprise qui utilise le chatbot et le prestataire qui l’exploite. Il définit que le prestataire traite les données des utilisateurs uniquement sur les instructions de l’entreprise et conformément aux règles de protection des données. Si vous utilisez un prestataire externe de chatbot, un DPA est généralement nécessaire pour documenter un traitement conforme au RGPD.

4. Politique de confidentialité
   Une politique de confidentialité explique quelles données sont collectées, pourquoi elles sont collectées et pendant combien de temps elles sont conservées. Elle doit également expliquer les droits des utilisateurs, comme le droit de demander l’effacement ou l’accès aux données stockées. Pour l’utilisation d’un chatbot, ces informations doivent être faciles à comprendre et faciles à trouver.

5. Obligation d’étiquetage
   En vertu de l’article 50 de l’AI Act, les personnes qui interagissent directement avec un système d’IA doivent généralement être informées qu’elles interagissent avec une IA, sauf si cela est évident dans les circonstances. C’est l’obligation d’étiquetage. L’objectif est la transparence et une réduction des malentendus.

Rôles et responsabilités

Les rôles sont importants car ils définissent qui est responsable de quoi.

Sous-traitant

Le prestataire du chatbot est généralement le sous-traitant. Cela signifie que le prestataire traite des données pour le compte de l’exploitant de la boutique et sur la base de ses instructions. Le prestataire gère la configuration technique et l’exploitation du chatbot, mais ne décide pas pourquoi les données sont traitées. Son rôle est de suivre les exigences du responsable du traitement et de mettre en œuvre des mesures techniques et organisationnelles pour protéger les données à caractère personnel. En bref, le prestataire du chatbot est contractuellement tenu de traiter les données uniquement selon les instructions, et non pour ses propres finalités indépendantes.

Responsable du traitement

C’est la partie qui semble souvent un peu contre-intuitive : l’exploitant de la boutique est le responsable du traitement. En tant que responsable du traitement, la boutique décide pourquoi et comment les données sont traitées, par exemple ce que le chatbot collecte et s’il est utilisé pour le support, la génération de leads, ou autre chose. Le responsable du traitement est chargé de veiller à ce que la collecte et le traitement des données respectent les exigences en matière de protection des données et que les droits des utilisateurs soient respectés. En pratique, cela signifie que l’exploitant de la boutique définit comment le chatbot est utilisé et qu’il est responsable de la conformité en matière de protection des données entourant cette utilisation. Cela semble plus important que cela ne l’est. En général, cela commence par être clair dans la politique de confidentialité.

Exemple pratique

Supposons que la boutique Shopify "GarlicPress24" souhaite utiliser un chatbot IA pour la génération de leads. Un client pose une question sur les caractéristiques d’un presse-ail, et l’IA fournit des conseils d’expert. Au cours de ce processus, le chatbot collecte les coordonnées du client, comme son nom et son e-mail, et les transmet à l’expert.

La boutique doit décider comment cela doit fonctionner. Le lead doit-il être collecté via l’IA ? Ou le chatbot doit-il simplement afficher un message du type : « Contactez nos experts à l’adresse e-mail X » ? La boutique Shopify est le responsable du traitement parce qu’elle décide de ce qui se passe et s’assure que les clients sont correctement informés dans la politique de confidentialité. Le prestataire du chatbot IA gère la configuration technique et traite les données conformément aux instructions de la boutique, ce qui fait du prestataire le sous-traitant.

Comment utiliser un chatbot IA en conformité avec les exigences en matière de protection des données : une checklist

Si vous souhaitez exploiter un chatbot conformément au RGPD et à l’AI Act, les rôles ci-dessus définissent les responsabilités.

1. Collecter uniquement les données nécessaires
   Le chatbot ne doit collecter que les données réellement nécessaires. Il s’agit principalement d’une responsabilité du prestataire. Chez Flyweight, nous nous efforçons de ne traiter que le minimum de données à caractère personnel nécessaire. Par exemple, si un client demande le statut d’une commande, nous traitons uniquement les codes postaux et les numéros de commande, pas des détails d’adresse supplémentaires ni des données de commande plus larges. Les données saisies dans les formulaires dédiés du chatbot sont traitées séparément du modèle d’IA. Les messages en texte libre peuvent néanmoins contenir des données à caractère personnel, et Copilot traite la conversation de support ouverte pour rédiger une réponse.

2. Être transparent
   Les utilisateurs doivent comprendre quelles données le chatbot collecte et à quoi elles servent. La politique de confidentialité est l’endroit approprié pour expliquer cela clairement, en particulier pour les exploitants de boutiques Shopify. Comme la boutique est le responsable du traitement, la politique doit être mise à jour afin que les clients soient correctement informés. Un modèle est inclus ci-dessous pour vous y aider.

3. Mettre en place un accord de traitement des données (DPA)
   Si le chatbot provient d’un prestataire externe, il doit exister un contrat couvrant un traitement des données conforme au RGPD. Vérifiez si le prestataire propose un DPA, souvent dans le cadre de l’accord standard.

4. Examiner régulièrement la sécurité et la protection des données
   L’AI Act invite également à des examens réguliers des risques liés à l’IA, afin que la configuration du chatbot reste conforme dans le temps. Cela est généralement géré par le prestataire du chatbot. Nous tenons ce guide à jour et partageons les modifications pertinentes.

5. Étiqueter clairement le chatbot
   Les utilisateurs doivent savoir qu’ils parlent à une IA. Les obligations de transparence de l’article 50 s’appliquent à partir du 2 août 2026 ; voir les orientations de la Commission européenne. Notre chatbot IA comprend un pied de page par défaut indiquant : « IA propulsée par Flyweight », et nous recommandons de le conserver. Si vous souhaitez être particulièrement prudent, vous pouvez également mentionner l’IA dans le message de bienvenue ou dans le nom du chatbot.

6. Support par e-mail et tickets avec IA (Flyweight Copilot)

   Si vous ou votre équipe utilisez Flyweight Copilot pour rédiger des réponses à des e-mails ou à des tickets, les mêmes rôles s’appliquent : vous êtes le responsable du traitement, Flyweight est votre sous-traitant au titre du DPA. Chaque projet de réponse est vérifié et envoyé par vous ou une personne de votre équipe, de sorte qu’aucune décision automatisée n’est prise concernant la demande du client. Ce que vous devez faire : ajouter la section du modèle ci-dessous à votre politique de confidentialité, vous assurer que seules vous et les personnes que vous autorisez y avez accès, et ne jamais demander aux clients des données de santé ou d’autres informations sensibles qui ne sont pas nécessaires pour résoudre la demande.

7. Reprise des chats en direct

   Lorsque vous ou un membre de votre équipe reprenez un chat depuis l’IA, le client doit voir qu’une personne a rejoint la conversation. C’est le pendant de l’obligation d’étiquetage de l’IA : si vous indiquez aux clients quand ils parlent à une IA, indiquez-leur aussi quand ils parlent à un humain. Flyweight affiche le transfert dans le widget de chat par défaut. Utilisez des prénoms ou des alias d’équipe ; vous décidez de ce qui est affiché.

Ai-je besoin du consentement des clients qui nous envoient des e-mails ?

En règle générale, un consentement distinct n’est pas requis simplement pour répondre à un e-mail de support courant. Selon la demande, le traitement peut être nécessaire à l’exécution d’un contrat avec le client (article 6, paragraphe 1, point b), RGPD) ou justifié par une évaluation documentée de l’intérêt légitime pour le support client (article 6, paragraphe 1, point f), RGPD). Le commerçant doit sélectionner la base appropriée pour le traitement effectivement réalisé, y compris l’assistance par IA, et veiller à ce que seules les données nécessaires soient utilisées. Le consentement ne se substitue pas à cette évaluation, et le support ne doit pas dépendre d’un consentement à un traitement non lié.

Ce dont vous avez besoin, en revanche, c’est de transparence : nommez Flyweight comme sous-traitant dans votre politique de confidentialité (modèle ci-dessous) et, si vous le souhaitez, ajoutez un lien vers celle-ci dans votre signature d’e-mail ou votre réponse automatique.

Les catégories particulières nécessitent des précautions supplémentaires : les données de santé et les autres catégories particulières exigent une condition applicable au titre de l’article 9, paragraphe 2, du RGPD ainsi qu’une base juridique au titre de l’article 6. Un contrat de support ou l’intérêt légitime seul ne suffit pas. Vous ne pouvez pas empêcher un client d’écrire « Je dois retourner ceci à cause de mon allergie », mais vous pouvez (1) vous assurer que vous, votre équipe et votre configuration IA ne demandent jamais activement de telles données, (2) ajouter une courte note dans votre politique de confidentialité ou votre réponse automatique demandant aux clients de ne pas partager de données de santé sauf si cela est nécessaire pour leur demande, et (3) si votre boutique vend des produits liés à la santé (compléments alimentaires, dispositifs médicaux, articles de pharmacie), parler à votre délégué à la protection des données d’une analyse d’impact relative à la protection des données avant de déployer un support assisté par IA. Le DPA de Flyweight couvre le traitement incident de telles données et exclut toute évaluation distincte ou tout entraînement de modèle ; le DPA ne fournit pas lui-même la condition de l’article 9 du commerçant. Évaluez si le traitement envisagé est susceptible de créer un risque élevé et nécessite donc une analyse d’impact relative à la protection des données avant le déploiement.

Voir les orientations de l’EDPB sur les bases juridiques et les catégories particulières de données.

⭐️ Modèle de politique de confidentialité

Comme nous l’avons vu, les boutiques Shopify agissant en tant que responsables du traitement sont principalement responsables d’expliquer clairement comment les données sont traitées.

Et le meilleur endroit pour cela ? Votre politique de confidentialité.

💡 Si nous étions l’exploitant de la boutique utilisant le chatbot IA Flyweight, nous ajouterions la section suivante à la politique de confidentialité (sans reconnaître une obligation légale ni fournir un conseil juridique) :

Adaptez le modèle aux fonctionnalités que vous utilisez réellement, à vos bases juridiques et à votre politique de conservation.

---

Utilisation du chatbot avec formulaires
Nous mettons à votre disposition sur notre site web un chatbot basé sur l’IA de Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Allemagne (https://flyweight.io/legal-notice / https://flyweight.io/privacy-statement) pour répondre à vos questions. Lors de l’utilisation du chatbot, vos demandes sont combinées au moyen de la base de données créée à partir des informations du site web lues sur notre propre site web et d’un grand modèle de langage afin de vous fournir des réponses à votre demande. Le chatbot reçoit l’instruction de ne pas demander de données à caractère personnel. Bon à savoir : si, à la suite de vos demandes, des formulaires distincts apparaissent, dans lesquels vous pouvez ensuite être amené à fournir des données à caractère personnel selon votre demande, les informations que vous y fournissez seront traitées séparément et ne seront donc pas envoyées à l’IA.

Catégories de données traitées : Les catégories de données résultent de vos demandes lorsque vous saisissez des données à caractère personnel dans votre question.

• Par exemple, si vous demandez : « Où en est ma commande ? », un formulaire apparaîtra dans lequel vous pourrez saisir votre numéro de commande et votre code postal.

• Si, par exemple, vous souhaitez en savoir plus sur un produit et recevoir des conseils appropriés, un formulaire apparaîtra dans lequel vous pourrez saisir les informations pertinentes (par ex. nom, téléphone, e-mail, etc.).

Finalité du traitement : Traitement des informations que vous fournissez pour créer des réponses à vos demandes à l’aide du chatbot.

• Exemple : Par exemple, si vous demandez : « Où en est ma commande ? » et saisissez votre numéro de commande et votre code postal dans le formulaire, ces informations sont utilisées pour effectuer une demande directe au système de la boutique (Shopify) afin que les informations de livraison puissent être envoyées et que vous puissiez être informé du statut de la commande.

• Exemple : Si vous souhaitez obtenir des conseils sur un produit, votre demande (avec les données que vous fournissez dans le formulaire et l’historique complet du chat) sera transmise à l’exploitant de la boutique afin qu’il puisse vous contacter.

Source des données : Nous collectons ces données directement auprès de vous.

Base juridique : Nous traitons les données pour exécuter des obligations contractuelles ou précontractuelles conformément à l’article 6, paragraphe 1, point b), du Règlement général sur la protection des données (RGPD).

Conservation des données : Nous conservons les données de support aussi longtemps que nécessaire pour résoudre votre demande et pour toute réclamation juridique applicable ou obligation de tenue de registres. Les délais légaux de conservation de 6 à 10 ans ne s’appliquent qu’aux enregistrements soumis à ces exigences. Flyweight stocke les conversations pour notre compte pendant la durée de notre contrat et les supprime dans les 30 jours suivant sa fin, conformément à notre accord de traitement des données.

Lieu des destinataires : UE et hors UE.

Garanties pour les transferts vers des pays tiers : Clauses contractuelles types de l’UE (CCT), décision d’adéquation

Support client assisté par IA (e-mail et tickets)

Lorsque vous contactez notre support client par e-mail ou via notre helpdesk, nous utilisons Flyweight Copilot, un outil fourni par Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Allemagne (mentions légales / déclaration de confidentialité), pour nous aider dans le support client. L’outil lit votre message et, lorsqu’elles sont disponibles, les informations de commande associées depuis notre système de boutique, puis rédige une proposition de réponse. Chaque réponse est vérifiée et envoyée par un membre de notre équipe. Aucune décision concernant votre demande n’est prise automatiquement. Veuillez ne pas inclure de données de santé ni d’autres informations sensibles dans votre message, sauf si cela est nécessaire pour votre demande.

Catégories de données traitées : Le contenu de votre message (objet et texte), votre nom et votre adresse e-mail, ainsi que les détails de commande liés à votre demande (tels que le numéro de commande, le statut de la commande et l’historique des commandes).

Finalité du traitement : Répondre à votre demande de support plus rapidement et avec plus de précision.

Source des données : Nous recevons ces données directement de votre part et de notre système de boutique.

Base juridique : Article 6, paragraphe 1, point b), du RGPD (exécution d’un contrat ou de mesures précontractuelles) et article 6, paragraphe 1, point f), du RGPD (notre intérêt légitime à fournir un support client efficace). Flyweight GmbH traite vos données pour notre compte en tant que sous-traitant dans le cadre d’un accord de traitement des données.

Conservation des données : Nous conservons les données de support aussi longtemps que nécessaire pour résoudre votre demande et pour toute réclamation juridique applicable ou obligation de tenue de registres. Les délais légaux de conservation de 6 à 10 ans ne s’appliquent qu’aux enregistrements soumis à ces exigences, et non automatiquement à chaque message de support. Flyweight stocke les conversations pour notre compte pendant la durée de notre contrat et les supprime dans les 30 jours suivant sa fin, conformément à notre accord de traitement des données.

Lieu des destinataires : UE et hors UE.

Garanties pour les transferts vers des pays tiers : Clauses contractuelles types de l’UE (CCT), décision d’adéquation.

Chat en direct avec notre équipe

Un membre de notre équipe peut rejoindre une conversation avec le chatbot et la poursuivre personnellement. Vous le verrez dans le chat lorsque cela se produit. La conversation, y compris toute information que vous avez fournie dans le chat, est alors accessible à notre équipe afin que nous puissions vous aider concernant votre demande.

Base juridique : Article 6, paragraphe 1, point b), du RGPD (exécution d’un contrat ou de mesures précontractuelles). Flyweight GmbH fournit l’infrastructure de chat en tant que notre sous-traitant.

Conservation des données : Comme indiqué ci-dessus pour le chatbot.

---

Installez le chatbot conforme à la protection des données pour les boutiques Shopify européennes ✌️