Salesforce Commerce Cloud

Un storefront SFCC standard dépose un cookie de session (dwsid ou sid), un cookie d'authentification après connexion, un cookie de panier persistant lié à un basket serveur, plus les cookies optionnels d'Einstein (identifiants visiteur et recommandation), de Marketing Cloud Personalization (visitor et segment), du module A/B test et de tout tag marketing intégré. Les cookies session et panier sont strictement nécessaires, les identifiants de personnalisation, analytique et marketing ne le sont pas.

Commerce Cloud (Demandware) dépose dwsid (session, strictement nécessaire), BV_FORCED_HTTPS (sécurité), dwanonymous_<UUID> (identifiant client anonyme 6 mois), dwsecuretoken_<UUID> (session de connexion), dwpersonalization_<UUID> (Einstein) et cqcid/dwcustomer_<UUID> pour les acheteurs authentifiés. Seuls les cookies strictement nécessaires peuvent être déposés sans consentement ; les cookies de personnalisation et Einstein exigent un consentement préalable.

Le consentement n'est pas requis pour les cookies strictement nécessaires (session, login, panier). Il est requis pour le tag de recommandation Einstein, les cookies Marketing Cloud Personalization, les identifiants A/B test et tout pixel marketing intégré via SFCC. Ces tags doivent rester bloqués dans la CMP jusqu'à ce que le visiteur accepte la catégorie correspondante.

Vous n'avez pas besoin de consentement pour charger la boutique elle-même, puisque les cookies de panier et de checkout sont strictement nécessaires. En revanche, les recommandations Einstein, la personnalisation, le tracking comportemental et tout tag marketing embarqué exigent un consentement préalable et granulaire au titre de l'art. 5(3) de la directive ePrivacy. Bloquez Einstein et les tags marketing dans votre CMP jusqu'à l'opt-in.

Panier, connexion et exécution de commande reposent sur l'exécution du contrat (article 6(1)(b) RGPD). Marketing, personnalisation et analytique comportementale reposent sur le consentement (article 6(1)(a) RGPD). La lutte contre la fraude et la sécurité reposent sur l'intérêt légitime (article 6(1)(f) RGPD) avec un test de mise en balance documenté. La conservation comptable et fiscale repose sur l'obligation légale (article 6(1)(c) RGPD).

Le traitement des commandes et la gestion du compte reposent sur le contrat (art. 6(1)(b) RGPD). Les cookies marketing, la personnalisation Einstein et l'analytique comportementale reposent sur le consentement (art. 6(1)(a) RGPD et art. 5(3) ePrivacy). La prévention de la fraude, la télémétrie de sécurité et l'amélioration agrégée de la plateforme peuvent reposer sur l'intérêt légitime de Salesforce, sous réserve d'une mise en balance documentée.

Oui. Même avec un déploiement Hyperforce UE, Salesforce Inc. (États-Unis) reste dans la chaîne de responsables, exploite un support follow the sun et engage des sous-traitants américains. Les données personnelles sont donc susceptibles d'être transférées aux États-Unis. Salesforce s'appuie sur les Clauses Contractuelles Types, la certification au EU US Data Privacy Framework et les Règles d'entreprise contraignantes Salesforce comme mécanismes de transfert.

Potentiellement oui. Les données de boutique peuvent être maintenues dans les régions UE Hyperforce (Francfort, Paris), mais les services adjacents (Marketing Cloud, Service Cloud, support) et l'entraînement Einstein peuvent impliquer des transferts vers les États-Unis. Les transferts sont couverts par les CCT et, pour les entités Salesforce certifiées au Data Privacy Framework, par la décision d'adéquation EU-US DPF. Une analyse d'impact des transferts reste conseillée.

Oui, en pratique. Les déploiements SFCC combinent souvent grands volumes de données B2C, profilage Einstein, personnalisation Marketing Cloud, tests A/B et intégration CDP, ce qui remplit plusieurs critères de l'article 35 RGPD (surveillance systématique, profilage avec effets significatifs, traitement à grande échelle). Une AIPD doit être réalisée avant la mise en production et actualisée lors de l'ajout de modules ou de catégories sensibles.

Une AIPD complète est recommandée pour les déploiements entreprise, particulièrement avec Einstein. Plusieurs critères de l'art. 35(3) RGPD s'appliquent : traitement à grande échelle, personnalisation par profilage, systèmes influençant les décisions automatisées et transferts transfrontaliers. La grille AIPD de la CNIL et les lignes directrices EDPB sur l'art. 22 fournissent une structure utile.

Signez le Salesforce DPA, choisissez une région Hyperforce UE, intégrez une CMP capable de bloquer Einstein, Marketing Cloud Personalization, A/B test et tags marketing, et documentez la chaîne de sous-traitance Salesforce. Réalisez une AIPD, configurez des durées de conservation distinctes pour les comptes clients, les profils comportementaux et les commandes, et mettez en place une procédure documentée pour les droits des personnes propagée aux systèmes Salesforce via les API GDPR.

Signer le DPA Salesforce, choisir une région Hyperforce UE, configurer un CMP et l'intégrer à l'API de consentement d'Einstein, réaliser une AIPD couvrant tous les services intégrés, documenter les flux de données dans votre registre des activités de traitement, utiliser Salesforce Privacy Center pour l'automatisation des DSR et s'assurer qu'aucun tag Marketing Cloud ne se déclenche avant consentement.

Parmi les alternatives européennes : commercetools (Allemagne, hébergement UE), Spryker (Allemagne) et Shopware. SAP Commerce Cloud est une autre option entreprise mais soulève des enjeux transfrontaliers similaires. Shopify Plus propose un hébergement UE mais reste basé aux États-Unis. Les configurations headless avec Algolia, Stripe et CMS UE réduisent la dépendance plateforme et simplifient la conformité.

Les alternatives directes pour le e-commerce d'entreprise sont SAP Commerce Cloud, Adobe Commerce, Oracle Commerce, Spryker, commercetools, Shopware (Allemagne) et Shopify Plus. Sous l'angle RGPD, les plateformes UE comme commercetools, Shopware et Spryker offrent une chaîne de transfert plus simple. Pour les très grands retailers, le choix se fait plus sûr l'empreinte IT et la couverture fonctionnelle que sur la seule résidence des données.

Listez les cookies strictement nécessaires (session, login, panier) avec leurs noms et durées. Listez chaque cookie non strictement nécessaire introduit par Einstein, Marketing Cloud Personalization, tests A/B et tags marketing, avec finalité, durée et destinataire. Mentionnez Salesforce Inc. comme sous-traitant, décrivez le transfert UE États-Unis et référencez le mécanisme applicable (DPF, CCT, RCE).

Ajoutez une section Commerce Cloud à votre politique cookies listant dwsid, BV_FORCED_HTTPS, dwanonymous_<UUID>, dwsecuretoken_<UUID>, dwpersonalization_<UUID> et tout cookie spécifique à Einstein. Dans la notice de confidentialité, identifiez Salesforce comme sous-traitant, précisez la région Hyperforce, mentionnez Einstein et Marketing Cloud comme co-responsables ou sous-traitants, divulguez la base légale pour chaque traitement et faites un lien vers la documentation de confiance publique de Salesforce.