Buy Me a Coffee

Qu'est-ce que Buy Me a Coffee ?

Buy Me a Coffee, souvent abrégé BMC, est une plateforme américaine de soutien aux créateurs, immatriculée Buy Me a Coffee Inc. à San Francisco, Californie. Les créateurs (auteurs, illustrateurs, podcasteurs, mainteneurs open source) configurent une page publique puis intègrent un bouton jaune Buy Me a Coffee ou un widget plus complet sur leur site. Les visiteurs peuvent envoyer un pourboire ponctuel, devenir membre mensuel, acheter un article payant ou payer un extra comme l'accès à une communauté privée.

BMC gère la page publique, le flux de paiement, les messages des supporters et le tableau de bord. Les paiements transitent par Stripe (par défaut dans la plupart des pays) ou PayPal. Le site du créateur n'a qu'à charger le script button.js ou à insérer une iframe ; tout le reste se passe sur buymeacoffee.com.

Cookies et données collectés

Lorsque le bouton ou le widget BMC est intégré sur un site tiers, button.js est chargé depuis cdnjs.buymeacoffee.com. Dès que l'iframe vers buymeacoffee.com s'ouvre, des cookies Cloudflare bot management (__cf_bm, _cfuvid) et des cookies fonctionnels BMC (_bmc_session, jeton CSRF) sont posés sur le domaine buymeacoffee.com. Si le supporter clique, une iframe checkout charge Stripe.js ou le SDK PayPal, qui posent leurs propres cookies (m, __stripe_mid, __stripe_sid, paypal_*).

BMC utilise également des outils d'analyse sur son propre domaine, généralement Google Analytics 4, Microsoft Clarity, HubSpot et Segment. Ces cookies ne sont pas posés sur le domaine du créateur mais concernent les visiteurs qui arrivent sur buymeacoffee.com via l'embed.

RGPD et ePrivacy

L'intégration du widget BMC déclenche l'art. 5(3) ePrivacy : l'iframe dépose des cookies qui ne sont pas strictement nécessaires à un service explicitement demandé par l'utilisateur. Le widget est chargé sur chaque page où il est placé, avant toute action du visiteur. Le charger sans consentement est donc non conforme en France, Allemagne, Espagne, Italie et dans la plupart des États membres.

Une fois que le supporter clique activement pour envoyer un pourboire ou souscrire, le traitement du paiement repose sur l'exécution du contrat (art. 6(1)(b) RGPD) et sur Stripe ou PayPal comme sous traitants distincts. Le créateur reste responsable des données de supporters affichées dans le dashboard BMC.

Consentement et implémentation

Pour le trafic UE, l'embed BMC doit être bloqué jusqu'à ce que le visiteur ait accepté au moins la catégorie fonctionnelle dans votre CMP. Un schéma courant : remplacer l'embed par un placeholder jaune statique qui ouvre la page BMC dans un nouvel onglet au clic, tant que le consentement n'est pas donné. Ou alors, rediriger tout vers buymeacoffee.com/votrenom via un lien direct et se passer de l'embed.

Transferts internationaux

Tout le traitement BMC a lieu sur des régions AWS US. Le DPA BMC intègre les Clauses Contractuelles Types et référence le Data Privacy Framework UE/États Unis. Stripe est établi en Irlande pour les clients UE mais transfère vers les États Unis sous CCT ; PayPal Luxembourg traite les données de paiement UE sous sa propre certification DPF.

Une TIA est pertinente pour les créateurs à fort volume et doit couvrir les lois de surveillance américaines (FISA 702, EO 12333) et le risque résiduel malgré le DPF.

Étapes pratiques de conformité

Signez le DPA Buy Me a Coffee. Ajoutez BMC comme tiers dans votre CMP et conditionnez l'embed au consentement fonctionnel. Listez Buy Me a Coffee, Stripe et PayPal dans votre politique et votre registre art. 30. Documentez le transfert vers les États Unis avec CCT et DPF. Limitez l'accès aux messages et métadonnées de paiement dans le dashboard BMC aux personnes autorisées.