ThriveCart

ThriveCart dépose des cookies strictement nécessaires (tc_session, tc_cart) pour maintenir le tunnel de commande, ainsi que tc_affiliate pour attribuer la vente à un partenaire (60 jours par défaut, configurable). Tout Pixel Facebook (_fbp, _fbc), Google Ads (_gcl_aw) ou TikTok activé dans le tableau de bord est chargé par le même script et relève de la catégorie marketing.

Cookies propriétaires TC_SESSID (session de panier), TC_AFF (affilié, 60 jours), TC_VISITOR (visiteur, 13 mois) et TC_PREP (préparation, 14 jours). Stripe et PayPal peuvent aussi déposer leurs propres cookies durant le paiement.

Le consentement n'est pas requis pour les cookies de checkout strictement nécessaires à la conclusion de la vente au sens de l'article 5(3) ePrivacy. Il est en revanche obligatoire pour les cookies d'affiliation et les pixels marketing déployés via ThriveCart, qui ne sont pas strictement nécessaires et combinent des données personnelles à des fins publicitaires.

Les cookies strictement nécessaires (session, anti fraude) peuvent être chargés sans consentement. Les cookies d'affiliation et d'analytics ne sont pas essentiels et requièrent un consentement préalable au titre de l'article 5.3 ePrivacy.

Le traitement des nom, e mail, adresse et données de paiement repose sur l'article 6(1)(b) du RGPD, exécution du contrat. Les obligations fiscales relèvent de l'article 6(1)(c), obligation légale. Les pixels marketing et cookies affiliés exigent le consentement (article 6(1)(a)). Certains traitements anti fraude peuvent s'appuyer sur l'intérêt légitime (article 6(1)(f)).

Exécution du contrat (article 6.1.b RGPD) pour la commande. Consentement (article 6.1.a + article 5.3 ePrivacy) pour les cookies d'affiliation/analytics. Obligation légale (article 6.1.c) pour la conservation comptable et fiscale.

Oui. Les données acheteur sont traitées sur AWS US East (Virginie) par ThriveCart LLC. La décision EU US Data Privacy Framework du 10 juillet 2023 couvre le transfert si ThriveCart est certifié ; sinon le DPA contient des clauses contractuelles types et une analyse d'impact des transferts est recommandée.

Oui. Toutes les données checkout et client sont traitées sur AWS aux États-Unis. Les transferts s'appuient sur les CCT ; ThriveCart n'est pas certifié EU US Data Privacy Framework, réalisez donc une analyse d'impact des transferts.

Une analyse d'impact est conseillée pour les ventes à fort volume, les abonnements, les secteurs sensibles (santé, finance, mineurs) ou lorsque les audiences d'affiliation sont exportées vers des régies publicitaires. Elle doit analyser le transfert vers les États Unis, la responsabilité conjointe pour l'affiliation et la chaîne de processeurs de paiement qui manipulent les données bancaires.

Recommandée en raison du transfert US, des données de paiement et du profilage client pour le marketing d'affiliation. Documentez garanties et durée.

Signez le DPA depuis l'admin ThriveCart, utilisez une CMP qui expose l'état du consentement via Google Consent Mode v2, n'activez les pixels qu'après opt in marketing, et proxifiez le checkout sous votre propre sous domaine quand c'est possible pour limiter les blocages Safari et Firefox. Mentionnez la durée du cookie d'affiliation dans la politique cookies.

Signez le DPA, complétez une TIA appuyée par les CCT, inscrivez ThriveCart au registre article 30 comme sous traitant hors UE, bloquez les cookies analytics/affiliés derrière la CMP, informez les clients dans la politique de confidentialité et le footer du checkout.

Alternatives UE : Digistore24 (Allemagne), CopeCart (Allemagne), Affilo Connect (Espagne), Plug'n Paid (Chypre). Autres : Paddle (Merchant of Record, UK), Mollie (Pays-Bas), Stripe Checkout (avec contrat UE), SamCart (US), Shopify Checkout.

On peut citer SamCart, Kajabi Payments, Stripe Checkout associé à FastSpring ou Paddle (qui agissent comme commerçant de référence), Lemon Squeezy, ou des options européennes comme SendOwl ou Quaderno Connect. Paddle et FastSpring déplacent le seller of record hors UE, ce qui simplifie la TVA mais modifie l'empreinte consentement.

Rescannez le tunnel avec votre CMP à chaque changement (nouveau pixel, nouveau programme d'affiliation, nouveau processeur de paiement), actualisez le registre des cookies (tc_ et pixels), et synchronisez la mention d'information lorsque ThriveCart ajoute de nouveaux sous traitants. Abonnez vous au changelog ThriveCart pour suivre les nouvelles intégrations.

Listez chaque cookie TC_* avec finalité, durée et base légale. Mentionnez ThriveCart, LLC comme sous traitant aux États-Unis avec CCT, et le lien vers la politique de confidentialité ThriveCart. Listez séparément les cookies des passerelles (Stripe, PayPal).