Votre site utilise des services tiers ? Soyez conforme au RGPD en quelques minutes.
Essayer FlowConsentPlan gratuit · Installation 10 min
Salesforce Commerce Cloud (anciennement Demandware) est l'une des plateformes e-commerce entreprise leaders, utilisée par de grands retailers européens comme L'Oréal, Lacoste, Adidas et Puma. Entièrement rendue côté serveur, elle dépose néanmoins de nombreux cookies first-party, s'intègre à Salesforce Marketing Cloud et à Einstein AI pour la personnalisation, et embarque souvent des tags tiers d'analytique et de publicité. Les implications privacy incluent les transferts de données entre régions Salesforce, la personnalisation pilotée par IA et la nécessité d'une gestion granulaire du consentement dans un écosystème boutique complexe.
Salesforce Commerce Cloud, anciennement Demandware, est une plateforme e-commerce SaaS entreprise largement utilisée par les marques européennes de luxe, mode et beauté. Elle fournit la gestion du catalogue, le rendu de la boutique, le tunnel d''achat, l''orchestration des commandes et les profils clients, plus Einstein AI optionnel pour la personnalisation. La plateforme est entièrement server-side, ce qui limite les appels tiers côté client mais signifie aussi que la plupart des traitements ont lieu dans des environnements contrôlés par Salesforce hors de la visibilité directe du marchand.
Par défaut, Commerce Cloud dépose dwsid (session), dwanonymous_<UUID> (identifiant client anonyme, 6 mois), dwsecuretoken_<UUID>, dwpersonalization_<UUID> (Einstein) et BV_FORCED_HTTPS. Les comptes clients ajoutent cqcid et dwcustomer_<UUID>. Avec Einstein actif, des cookies supplémentaires suivent produits consultés et recommandés. Les tags analytique ou publicitaires ajoutés par le marchand (GA4, Meta Pixel, TikTok) déposent leurs propres cookies par dessus. La plateforme stocke aussi côté serveur : profil, historique de commandes, instruments de paiement (tokenisés) et événements comportementaux Einstein.
Les cookies strictement nécessaires (dwsid, BV_FORCED_HTTPS) peuvent être déposés sans consentement. Tous les cookies Einstein, personnalisation et recommandation exigent un consentement préalable au titre de l''art. 5(3) ePrivacy. Salesforce est sous-traitant pour les données de la boutique et responsable indépendant ou conjoint pour la télémétrie produit et l''entraînement Einstein. Le DPA Salesforce mis à jour inclut les CCT 2021, la certification EU-US Data Privacy Framework pour les entités Salesforce applicables et une transparence pré-contractuelle sur les sous-traitants.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
Avec Hyperforce, vous pouvez fixer les données de boutique sur les régions UE Salesforce (Francfort, Paris). Cependant, Marketing Cloud, Einstein et Service Cloud peuvent tourner dans d''autres régions, et les tickets de support sont routinièrement traités par des équipes mondiales. Une analyse d''impact des transferts est requise pour cartographier où atterrit chaque flux de données personnelles. Pour une résidence des données maximale, demandez à Salesforce une confirmation écrite des régions par service et configurez la réplication inter-régions avec soin.
Utilisez un CMP (OneTrust, Didomi, Axeptio, Cookiebot) pour conditionner les cookies non essentiels et Einstein. Salesforce fournit une trousse Privacy and Data Management (Privacy Center, API DSR) qui complète le CMP pour la propagation du consentement aux cookies en aval. Cartographiez les cookies dans les catégories standards (strictement nécessaires, fonctionnels, analytique, marketing) et assurez-vous que le suivi comportemental Einstein est désactivé par défaut tant que le consentement n''est pas donné.
1. Signer le DPA Salesforce et confirmer la région Hyperforce. 2. Réaliser une AIPD couvrant les recommandations Einstein et le classement basé sur le comportement. 3. Intégrer un CMP et le connecter à Einstein et aux tags marketing embarqués. 4. Documenter les flux de données entre Commerce Cloud, Marketing Cloud et tout CRM. 5. Utiliser Salesforce Privacy Center pour automatiser la prise en charge des DSR. 6. Ajouter des entrées spécifiques Commerce Cloud à la politique cookies et à la notice de confidentialité, y compris Einstein.
Les sites web utilisant Salesforce Commerce Cloud doivent obtenir le consentement des utilisateurs conformement au RGPD.
Considerations AIPD
Salesforce Commerce Cloud traite des données retail à grande échelle : comptes clients, historique de commande, métadonnées de paiement, comportement de navigation et (via Einstein) profils de personnalisation IA. Points clés AIPD : (1) flux de données entre Commerce Cloud, Marketing Cloud, Service Cloud et Sales Cloud créant une carte responsable et sous-traitant complexe ; (2) Einstein Recommendations et Einstein Predictive Sort traitent des données comportementales détaillées pour prédire l'intention d'achat, ce qui peut faire entrer en jeu l'art. 22 RGPD (décision automatisée) ; (3) accès américain au support et à l'ingénierie sur les données UE ; (4) données personnelles dans les codes promotionnels, cartes cadeaux et attributs produit personnalisés pouvant contenir des identifiants non structurés ; (5) dispersion des sous-traitants Salesforce (AWS, Hyperforce, équipes de support mondiales). Une AIPD complète est généralement requise pour les déploiements entreprise, idéalement alignée sur la grille CNIL.
Exemple de texte de consentement
Notre boutique fonctionne sur Salesforce Commerce Cloud, qui dépose des cookies fonctionnels nécessaires au panier, à la session et à la commande. Avec votre consentement, nous utilisons aussi des cookies optionnels et Salesforce Einstein AI pour personnaliser les recommandations produit, mesurer la performance marketing et partager des données d'usage anonymisées avec Salesforce. Certains traitements peuvent avoir lieu aux États-Unis au titre des Clauses Contractuelles Types. Vous pouvez gérer vos préférences à tout moment dans nos paramètres de cookies.
Domaines tiers contactes
salesforce.comdemandware.netdemandware.netdemandware.edgesuite.netsalesforce.comcommercecloud.salesforce.comeinstein.salesforce.comsalesforce-experience-cloud.comevergage.comforce.comeinstein.aiCookies deposes
| Nom | Type | Duree | Finalite |
|---|---|---|---|
| dwsid | first_party | Session | Demandware session identifier set by Salesforce Commerce Cloud to bind the visitor to a server side storefront session that holds cart and customer state. |
| dwsid | Strictly necessary | Session | Demandware session identifier that maintains the shopper's basket, login state and storefront navigation. Cannot be disabled. |
| dwanonymous_* | first_party | 6 months | Persistent anonymous identifier for the visitor used to retain the shopping basket across visits before authentication. |
| BV_FORCED_HTTPS | Strictly necessary | 1 day | Forces secure connections to the storefront after the first request, preventing protocol downgrade attacks. |
| dwcustomer_* | first_party | 6 months | Identifies the authenticated customer once they sign in, so the storefront can recover the customer specific cart and preferences. |
| dwanonymous_<UUID> | Functional | 6 months | Anonymous customer identifier used to maintain personalisation and basket state across browser sessions for non-logged-in visitors. |
| dwpersonalization_* | first_party | 12 months | Holds personalisation rules and segment membership applied by SFCC Einstein and rule based personalisation. Considered non strictly necessary and requires consent. |
| dwsecuretoken_<UUID> | Strictly necessary | Session | Encrypted token tying the authenticated session to a verified login, used to protect against session hijacking. |
| cqcid | first_party | 12 months | Quote and basket identifier used by SFCC headless deployments through the Commerce API to recover the cart across requests. |
| dwpersonalization_<UUID> | Marketing / Personalization | 1 year | Identifier used by Einstein Recommendations to compute personalised product suggestions, viewed-recently widgets, and predictive sort orderings. |
| sf_ab | first_party | 90 days | Variant allocation cookie set by the SFCC A/B testing module to keep the visitor on the same experience variant. Requires consent. |
| cqcid | Functional | Persistent | Customer profile identifier linking the browser to a stored customer record, used after login for cross-device personalisation. |
| mc_personalization_* | first_party | 12 months | Identifier for Marketing Cloud Personalization (formerly Interaction Studio) used to compute real time personalisation. Requires consent. |
| dwcustomer_<UUID> | Functional | 1 year | Encrypted reference to the customer's stored Commerce Cloud profile, used to retrieve account data and saved baskets across sessions. |
Salesforce Commerce Cloud utilise des cookies de preferences — informez vos visiteurs avec un bandeau de consentement.
Un storefront SFCC standard depose un cookie de session (dwsid ou sid), un cookie d'authentification apres connexion, un cookie de panier persistant lie a un basket serveur, plus les cookies optionnels d'Einstein (identifiants visiteur et recommandation), de Marketing Cloud Personalization (visitor et segment), du module A/B test et de tout tag marketing integre. Les cookies session et panier sont strictement necessaires, les identifiants de personnalisation, analytique et marketing ne le sont pas.
Commerce Cloud (Demandware) dépose dwsid (session, strictement nécessaire), BV_FORCED_HTTPS (sécurité), dwanonymous_<UUID> (identifiant client anonyme 6 mois), dwsecuretoken_<UUID> (session de connexion), dwpersonalization_<UUID> (Einstein) et cqcid/dwcustomer_<UUID> pour les acheteurs authentifiés. Seuls les cookies strictement nécessaires peuvent être déposés sans consentement ; les cookies de personnalisation et Einstein exigent un consentement préalable.
Le consentement n'est pas requis pour les cookies strictement necessaires (session, login, panier). Il est requis pour le tag de recommandation Einstein, les cookies Marketing Cloud Personalization, les identifiants A/B test et tout pixel marketing integre via SFCC. Ces tags doivent rester bloques dans la CMP jusqu'a ce que le visiteur accepte la categorie correspondante.
Vous n'avez pas besoin de consentement pour charger la boutique elle-même, puisque les cookies de panier et de checkout sont strictement nécessaires. En revanche, les recommandations Einstein, la personnalisation, le tracking comportemental et tout tag marketing embarqué exigent un consentement préalable et granulaire au titre de l'art. 5(3) de la directive ePrivacy. Bloquez Einstein et les tags marketing dans votre CMP jusqu'à l'opt-in.
Panier, connexion et execution de commande reposent sur l'execution du contrat (article 6(1)(b) RGPD). Marketing, personnalisation et analytique comportementale reposent sur le consentement (article 6(1)(a) RGPD). La lutte contre la fraude et la securite reposent sur l'interet legitime (article 6(1)(f) RGPD) avec un test de mise en balance documente. La conservation comptable et fiscale repose sur l'obligation legale (article 6(1)(c) RGPD).
Le traitement des commandes et la gestion du compte reposent sur le contrat (art. 6(1)(b) RGPD). Les cookies marketing, la personnalisation Einstein et l'analytique comportementale reposent sur le consentement (art. 6(1)(a) RGPD et art. 5(3) ePrivacy). La prévention de la fraude, la télémétrie de sécurité et l'amélioration agrégée de la plateforme peuvent reposer sur l'intérêt légitime de Salesforce, sous réserve d'une mise en balance documentée.
Oui. Meme avec un deploiement Hyperforce UE, Salesforce Inc. (Etats Unis) reste dans la chaine de responsables, exploite un support follow the sun et engage des sous traitants americains. Les donnees personnelles sont donc susceptibles d'etre transferees aux Etats Unis. Salesforce s'appuie sur les Clauses Contractuelles Types, la certification au EU US Data Privacy Framework et les Regles d'entreprise contraignantes Salesforce comme mecanismes de transfert.
Potentiellement oui. Les données de boutique peuvent être maintenues dans les régions UE Hyperforce (Francfort, Paris), mais les services adjacents (Marketing Cloud, Service Cloud, support) et l'entraînement Einstein peuvent impliquer des transferts vers les États-Unis. Les transferts sont couverts par les CCT et, pour les entités Salesforce certifiées au Data Privacy Framework, par la décision d'adéquation EU-US DPF. Une analyse d'impact des transferts reste conseillée.
Oui, en pratique. Les deploiements SFCC combinent souvent grands volumes de donnees B2C, profilage Einstein, personnalisation Marketing Cloud, tests A/B et integration CDP, ce qui remplit plusieurs criteres de l'article 35 RGPD (surveillance systematique, profilage avec effets significatifs, traitement a grande echelle). Une AIPD doit etre realisee avant la mise en production et actualisee lors de l'ajout de modules ou de categories sensibles.
Une AIPD complète est recommandée pour les déploiements entreprise, particulièrement avec Einstein. Plusieurs critères de l'art. 35(3) RGPD s'appliquent : traitement à grande échelle, personnalisation par profilage, systèmes influençant les décisions automatisées et transferts transfrontaliers. La grille AIPD de la CNIL et les lignes directrices EDPB sur l'art. 22 fournissent une structure utile.
Signez le Salesforce DPA, choisissez une region Hyperforce UE, integrez une CMP capable de bloquer Einstein, Marketing Cloud Personalization, A/B test et tags marketing, et documentez la chaine de sous traitance Salesforce. Realisez une AIPD, configurez des durees de conservation distinctes pour les comptes clients, les profils comportementaux et les commandes, et mettez en place une procedure documentee pour les droits des personnes propagee aux systemes Salesforce via les API GDPR.
Signer le DPA Salesforce, choisir une région Hyperforce UE, configurer un CMP et l'intégrer à l'API de consentement d'Einstein, réaliser une AIPD couvrant tous les services intégrés, documenter les flux de données dans votre registre des activités de traitement, utiliser Salesforce Privacy Center pour l'automatisation des DSR et s'assurer qu'aucun tag Marketing Cloud ne se déclenche avant consentement.
Parmi les alternatives européennes : commercetools (Allemagne, hébergement UE), Spryker (Allemagne) et Shopware. SAP Commerce Cloud est une autre option entreprise mais soulève des enjeux transfrontaliers similaires. Shopify Plus propose un hébergement UE mais reste basé aux États-Unis. Les configurations headless avec Algolia, Stripe et CMS UE réduisent la dépendance plateforme et simplifient la conformité.
Les alternatives directes pour le e-commerce d'entreprise sont SAP Commerce Cloud, Adobe Commerce, Oracle Commerce, Spryker, commercetools, Shopware (Allemagne) et Shopify Plus. Sous l'angle RGPD, les plateformes UE comme commercetools, Shopware et Spryker offrent une chaine de transfert plus simple. Pour les tres grands retailers, le choix se fait plus sur l'empreinte IT et la couverture fonctionnelle que sur la seule residence des donnees.
Listez les cookies strictement necessaires (session, login, panier) avec leurs noms et durees. Listez chaque cookie non strictement necessaire introduit par Einstein, Marketing Cloud Personalization, tests A/B et tags marketing, avec finalite, duree et destinataire. Mentionnez Salesforce Inc. comme sous traitant, decrivez le transfert UE Etats Unis et referencez le mecanisme applicable (DPF, CCT, RCE).
Ajoutez une section Commerce Cloud à votre politique cookies listant dwsid, BV_FORCED_HTTPS, dwanonymous_<UUID>, dwsecuretoken_<UUID>, dwpersonalization_<UUID> et tout cookie spécifique à Einstein. Dans la notice de confidentialité, identifiez Salesforce comme sous-traitant, précisez la région Hyperforce, mentionnez Einstein et Marketing Cloud comme co-responsables ou sous-traitants, divulguez la base légale pour chaque traitement et faites un lien vers la documentation de confiance publique de Salesforce.