Microsoft Dynamics 365 Commerce

Dynamics 365 Commerce dépose des cookies internes pour le panier, le paiement, la session, les jetons anti CSRF et la langue. Application Insights ajoute des cookies analytiques (ai_user, ai_session). Microsoft Entra ID émet des cookies d'authentification pour les clients connectés. Les intégrations optionnelles comme Microsoft Clarity, les pixels publicitaires et Customer Insights peuvent ajouter d'autres cookies d'analyse, de personnalisation ou de marketing.

Les cookies strictement nécessaires (panier, paiement, sécurité, anti CSRF) ne requièrent pas de consentement. Les fonctions d'analyse, de profilage, de personnalisation, Application Insights, Microsoft Clarity et les pixels marketing nécessitent un consentement préalable au titre de l'article 6(1)(a) RGPD et de l'article 5(3) ePrivacy. Le consentement doit être spécifique, éclairé, granulaire et aussi facile à retirer qu'à donner, conformément aux lignes directrices de la CNIL.

Le traitement des commandes, du panier, du paiement et de la logistique repose sur l'article 6(1)(b) RGPD (exécution du contrat). La prévention de la fraude et la sécurité reposent sur l'article 6(1)(f) (intérêt légitime). L'analyse, le profilage, la personnalisation, le marketing et le retargeting reposent sur l'article 6(1)(a) (consentement). Chaque traitement doit figurer dans le registre des activités de traitement.

Oui. Microsoft est un sous traitant établi aux États Unis et des données peuvent être transférées vers les États Unis et d'autres régions Microsoft. Les transferts sont encadrés par le cadre DPF UE États Unis (Microsoft est certifié), son extension britannique, le cadre Suisse États Unis et les clauses contractuelles types incluses dans le DPA Microsoft. Le choix d'une région UE active l'EU Data Boundary pour les données clients principales, certains flux de télémétrie et d'identité pouvant toutefois traverser les frontières.

Une AIPD est fortement recommandée. La plateforme implique un traitement à grande échelle de données clients et de paiement, du profilage comportemental via Application Insights et Customer Insights, des enregistrements de session Microsoft Clarity en option, l'intégration de Microsoft Entra ID et des transferts hors UE. Ces éléments déclenchent plusieurs critères d'AIPD dans les lignes directrices du CEPD et les listes nationales de la CNIL, du BfDI et de l'AEPD.

Signer le DPA Microsoft, choisir une région UE avec EU Data Boundary, conditionner Application Insights, Clarity et les balises marketing à une plateforme de gestion du consentement, documenter les sous traitants, définir les durées de conservation des commandes et de la télémétrie, gérer les droits via le portail de confidentialité Microsoft, durcir Microsoft Entra ID (moindre privilège, MFA) et réaliser une AIPD.

Les alternatives incluent Shopify, Adobe Commerce (Magento), SAP Commerce Cloud, Salesforce Commerce Cloud, Commerce Tools et Sylius pour un hébergement européen. Chaque solution présente ses propres flux de données, lieux d'hébergement et exigences de consentement. Les solutions basées dans l'UE ou auto hébergées peuvent réduire les inquiétudes liées aux transferts hors UE mais déplacent la charge de conformité vers vos équipes.

Listez chaque cookie Dynamics 365 Commerce avec son nom, sa finalité, sa durée et sa catégorie (nécessaire, analyse, personnalisation, marketing). Mentionnez Microsoft comme sous traitant, citez les sous traitants ultérieurs pertinents, déclarez les transferts vers les États Unis sous le cadre DPF UE États Unis et les clauses contractuelles types, et renvoyez vers le Microsoft Trust Center et le DPA. Prévoyez un opt in granulaire et un mécanisme de retrait clair.