Systeme.io

Qu'est ce que Systeme.io

Systeme.io est une plateforme française tout en un dédiée aux entrepreneurs en ligne, créée par Aurélien Amacker en 2018. L'entité juridique est enregistrée à l'Île Maurice (Systeme.io Ltd) avec une très forte présence commerciale en France et en Europe. La plateforme regroupe tunnels de vente, sites web, email marketing, formations en ligne, automatisation marketing, programmes d'affiliation et ecommerce dans un seul abonnement. L'infrastructure est hébergée sur Amazon Web Services dans l'Union européenne avec un CDN mondial via Amazon CloudFront. Elle est largement utilisée par les solopreneurs, infopreneurs et TPE, en particulier dans les marchés francophones.

Données et cookies collectés

Sur une page publique servie par Systeme.io, la plateforme dépose un cookie de session strictement nécessaire (PHPSESSID) ainsi que plusieurs cookies fonctionnels ou analytiques liés à l'attribution des tunnels et à l'identification des visiteurs (par exemple _sio_visitor et les variantes _sio_funnel_*). Elle enregistre l'adresse IP, l'agent utilisateur, le référent, les pages vues et les conversions par étape de tunnel. Dans les campagnes email, elle intègre un pixel de suivi 1x1 pour mesurer les ouvertures et réécrit les liens pour capter les clics. Pour les membres d'une formation, elle stocke la progression, l'état de connexion et les métadonnées de paiement. Les données traitées relèvent donc à la fois du strictement nécessaire, du comportemental et de l'identifiant au sens de l'art. 4(1) RGPD.

Implications RGPD et ePrivacy

Les cookies de suivi de tunnels, l'analyse comportementale et les pixels d'ouverture ou de clic ne sont pas strictement nécessaires à la fourniture d'un service expressément demandé par l'utilisateur. En vertu de l'art. 5(3) de la directive ePrivacy, transposé à l'art. 82 de la loi Informatique et Libertés, ils requièrent un consentement préalable, libre, spécifique, éclairé et univoque. Les lignes directrices de la CNIL de 2020 (délibération 2020:091) confirment que cela s'applique également aux mesures d'audience first party réutilisées à des fins marketing. L'exécution du contrat (art. 6(1)(b) RGPD) ne couvre que la diffusion stricte de la formation, l'espace membre et le paiement, pas le profilage à des fins d'upsell.

Exigences de consentement

Avant tout dépôt d'un cookie non essentiel ou pixel de suivi Systeme.io, l'utilisateur doit voir une bannière CMP permettant: d'accepter, de refuser en un nombre de clics équivalent (recommandation CNIL) et de choisir par finalité. Le consentement à l'email marketing doit être recueilli par un opt in clair (le double opt in est recommandé en B2C en France et en Allemagne). Une preuve de consentement (horodatage, IP, version de la bannière, choix) doit être conservée pour démontrer la conformité au titre de l'art. 7(1) RGPD. Le refus doit être aussi simple que l'acceptation et l'utilisateur doit pouvoir retirer son consentement à tout moment.

Transferts internationaux

Bien que l'hébergement principal soit sur AWS dans l'Union européenne, les emplacements edge de CloudFront sont mondiaux et peuvent servir des ressources statiques depuis l'extérieur de l'EEE. L'entité juridique est située à l'Île Maurice, pays tiers ne bénéficiant pas d'une décision d'adéquation de la Commission européenne. Certains sous traitants (délivrabilité email, traitement des paiements) opèrent aux États Unis ou au Royaume Uni. Les transferts hors EEE doivent être encadrés par des Clauses Contractuelles Types (art. 46(2)(c) RGPD) et par une analyse d'impact du transfert (Transfer Impact Assessment) conforme aux Recommandations 01:2020 du CEPD post Schrems II.

Étapes pratiques de mise en conformité

Signez le DPA proposé par Systeme.io et conservez le. Cartographiez l'ensemble des sous traitants Systeme.io et inscrivez les dans votre registre des activités de traitement (art. 30 RGPD). Configurez la bannière de consentement pour bloquer les scripts de suivi de tunnel et le pixel email tant que le consentement n'est pas donné. Ajoutez une section Systeme.io à votre politique de confidentialité listant les cookies, les durées de conservation et les catégories de destinataires. Définissez des durées de conservation sur les contacts inactifs (par exemple 36 mois pour les prospects selon la CNIL). Formez les équipes marketing au respect des demandes d'opposition dans un délai d'un mois (art. 12(3) RGPD) et au droit à l'effacement (art. 17).