> Comment Upstack Data gère cookies, événements server-side et transferts vers les États-Unis, avec les étapes de conformité RGPD et ePrivacy pour Shopify. > > Canonical: https://www.flowconsent.com/fr/services/publicite/upstack-data Publicité # Upstack Data Marketing · [Site officiel](https://www.upstackdata.com) Upstack Data est une plateforme server-side pour Shopify et autres boutiques en ligne, qui capture les événements de conversion puis les transmet à des destinations publicitaires et analytiques comme Meta, Google, TikTok et Pinterest, souvent via un reverse proxy en first-party. [Bloquer Upstack Data jusqu'au consentement](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=advertising) · [Scanner mon site](https://www.flowconsent.com/fr/scan) En bref - Catégorie [Publicité](https://www.flowconsent.com/fr/services/publicite) - Consentement Marketing - Consentement préalable Requis - Cookies documentés 6 - Domaines tiers 7 - Serveurs United States (Amazon Web Services, primary regions us-east-1 and us-west-2). EU customers can opt for first-party reverse proxy hosting that keeps the request edge on the merchant domain, while server-side processing remains in the US. Présentation ## Que fait Upstack Data ? ## **Présentation d'Upstack Data** Upstack Data est une plateforme de conversion server-side destinée à Shopify et aux autres stacks ecommerce. Elle capture les vues de page, les vues de produit, les ajouts au panier, le checkout et les achats, puis les transmet à des destinations publicitaires et analytiques via des API serveur à serveur comme la Conversions API de Meta, Enhanced Conversions de Google Ads, l'Events API de TikTok ou la Conversions API de Pinterest. Un petit script de chargement s'exécute sur la boutique tandis que les événements de commande sont lus depuis les webhooks Shopify. De nombreux marchands européens installent ce script via un reverse proxy sur leur propre domaine. ## **Cookies, identifiants et événements** Même avec une architecture server-side, Upstack Data utilise des identifiants navigateur pour relier sessions et conversions. On retrouve un cookie d'identifiant first-party, les cookies publicitaires des destinations comme \_fbp pour Meta, et des identifiants hachés issus du checkout, par exemple email ou téléphone. La plateforme traite aussi l'adresse IP, le user agent, le numéro de commande, les articles et le chiffre d'affaires. Le proxy étant servi sur un sous-domaine du marchand, les cookies sont écrits avec les attributs SameSite et Secure du domaine principal, ce qui rallonge leur durée effective dans les navigateurs limitant le stockage tiers. ## **Implications RGPD et ePrivacy** Server-side n'est pas synonyme d'absence de consentement. L'article 5(3) de la directive ePrivacy et les lignes directrices CNIL de 2020 imposent un consentement préalable pour toute lecture ou écriture d'identifiants sur le terminal, indépendamment du lieu du traitement. La transmission d'emails hachés, d'adresses IP et de données de commande à Meta, Google, TikTok ou Pinterest constitue un traitement de données personnelles au sens de l'article 4 du RGPD, souvent en responsabilité conjointe pour la création d'audiences publicitaires. Une base légale documentée, en pratique le consentement, ainsi qu'une information transparente dans la politique de confidentialité, sont indispensables. ## **Transferts de données et États-Unis** L'infrastructure d'Upstack Data tourne sur AWS aux États-Unis et la plupart des destinations publicitaires sont des responsables américains. Les transferts s'appuient sur les Clauses Contractuelles Types et, lorsque la destination est certifiée, sur le Data Privacy Framework UE: USA. Depuis l'arrêt Schrems II, les responsables doivent réaliser une analyse d'impact des transferts, évaluer des mesures supplémentaires comme la troncation d'IP, le hachage des identifiants avant envoi et la minimisation des charges utiles, puis tenir cette documentation à la disposition de l'autorité de contrôle. ## **Gestion du consentement et configuration** Les balises ne doivent pas se déclencher et le proxy ne doit pas relayer d'événements marketing tant que la visiteuse n'a pas consenti à la publicité et à l'analyse. Intégrez Upstack Data à votre plateforme de gestion du consentement afin que le loader lise le signal TCF ou personnalisé, conditionne chaque destination en conséquence et n'écrive aucun cookie non essentiel avant opt in. La page de confirmation de commande doit respecter la même logique, l'événement post achat étant le plus sensible envoyé aux API publicitaires. ## **Checklist de conformité** Listez Upstack Data et chaque destination dans votre registre des traitements et votre politique cookies, en détaillant catégories de données, durées et mécanismes de transfert. Réalisez une AIPD avant la mise en production, encadrez Upstack Data par un contrat de sous-traitance avec sous-traitants ultérieurs déclarés, et vérifiez que les identifiants hachés ne partent qu'après consentement. Testez le reverse proxy en consentement refusé pour confirmer qu'aucun événement marketing ne quitte le domaine et révisez la configuration à chaque ajout de destination. Conformité ## Upstack Data et le RGPD Upstack Data est classé dans la catégorie « Marketing ». Sur un site qui vise des visiteurs européens, il ne doit se charger qu'après le consentement du visiteur, et doit figurer dans votre politique de cookies. - Base légale Article 6(1)(a) GDPR consent for advertising and analytics events, combined with ePrivacy Article 5(3) consent for the first-party identifiers and proxy cookies stored on the visitor device. Order confirmation events relying on legitimate interest must still be limited to non-marketing destinations. - Niveau de risque high - Textes applicables GDPR, ePrivacy Directive 2002/58/EC, French Data Protection Act, German TDDDG, Spanish LSSI Article 22.2, UK PECR, EU: US Data Privacy Framework, and the CNIL guidelines on server-side tagging. ### Analyse d'impact (AIPD) Une analyse d'impact relative à la protection des données est recommandée car Upstack Data combine suivi de conversion server-side, enrichissement d'audiences publicitaires et transferts vers les États-Unis. Documentez les catégories d'événements et d'identifiants, l'architecture du reverse proxy, le recours aux CCT et au Data Privacy Framework UE: USA pour chaque destination, ainsi que la durée de conservation des journaux bruts. La CNIL et l'EDPB attendent une analyse d'impact des transferts en complément, dès lors que Meta, Google, TikTok ou Pinterest reçoivent des signaux enrichis. ### Exemple de texte pour votre bannière > Nous utilisons Upstack Data pour transmettre des événements de conversion à des partenaires publicitaires et analytiques via une chaîne server-side, ce qui implique des transferts vers les États-Unis. Avec votre consentement, nous partageons des identifiants hachés ainsi que des données de panier et de commande afin de mesurer les campagnes et d'affiner les audiences. Vous pouvez accepter, refuser ou modifier votre choix à tout moment depuis le lien de gestion des cookies en pied de page. Cookies et traceurs ## Ce que Upstack Data dépose et contacte - Méthode de suivi Server-side data collection through a JavaScript SDK loaded from the merchant store, augmented by a server-to-server pipeline that forwards purchase, cart, and customer events from Shopify webhooks to advertising and analytics destinations. EU stores typically deploy the loader through a reverse proxy on a first-party subdomain so that requests and cookies share the merchant origin. - Localisation des serveurs United States (Amazon Web Services, primary regions us-east-1 and us-west-2). EU customers can opt for first-party reverse proxy hosting that keeps the request edge on the merchant domain, while server-side processing remains in the US. - Transfert de données hors UE Event data, hashed customer identifiers, IP addresses, and order details are transferred to Upstack Data infrastructure in the United States and onward to advertising destinations such as Meta, Google, TikTok, and Pinterest. Transfers rely on Standard Contractual Clauses and, where the destination is certified, the EU: US Data Privacy Framework. A transfer impact assessment is expected before deployment. ### Cookies déposés (6) | Nom | Type | Durée | Finalité | | ------------- | ------------ | ---------- | -------------------------------------------------------------------------------------------------------------------------------- | | \_uc\_visitor | first\_party | 1 year | Persistent first-party identifier set by the Upstack Data loader to stitch sessions and conversions across pages and channels. | | \_uc\_session | first\_party | 30 minutes | Session cookie used by Upstack Data to group events that belong to the same visit and to deduplicate server-side calls. | | \_fbp | first\_party | 90 days | Meta browser identifier dropped via the Upstack Data integration and forwarded to the Meta Conversions API for ad attribution. | | \_gcl\_au | first\_party | 90 days | Google Ads conversion linker cookie written through the Upstack Data loader to support Enhanced Conversions and attribution. | | \_ttp | first\_party | 13 months | TikTok pixel identifier set on the merchant domain by the Upstack Data integration to associate visits with TikTok ad campaigns. | | \_pin\_unauth | first\_party | 1 year | Pinterest identifier deployed via Upstack Data to attribute conversions sent through the Pinterest Conversions API. | ### Domaines tiers contactés (7) - `upstackdata.com` - `api.upstackdata.com` - `cdn.upstackdata.com` - `graph.facebook.com` - `googleads.g.doubleclick.net` - `business-api.tiktok.com` - `ct.pinterest.com` Questions ## Questions fréquentes sur Upstack Data Une question qui n'est pas dans la liste ? Écrivez-nous, on répond vite. [Nous écrire](https://www.flowconsent.com/fr/demo) ### Upstack Data dépose-t-il des cookies sur le terminal ? Oui. Même si l'essentiel du traitement est server-side, Upstack Data écrit un cookie d'identifiant first-party pour relier les sessions et transmettre les événements, et les destinations comme Meta ou Google posent leurs propres cookies via l'intégration. Comme ces identifiants sont stockés sur le terminal, l'article 5(3) de la directive ePrivacy s'applique et un consentement préalable est requis. ### Le consentement est-il requis pour utiliser Upstack Data en UE ? Dans la quasi-totalité des déploiements, oui. Le server-side ne change que le lieu de traitement de la requête, pas le fait que des identifiants sont stockés sur le terminal ni que des données personnelles sont partagées avec des partenaires publicitaires. La CNIL, l'AEPD et la DSK allemande ont confirmé que le proxy server-side ne contourne pas la règle du consentement. ### Quelle base légale pour envoyer des événements à Meta ou Google ? Les événements marketing transmis via Upstack Data à Meta, Google, TikTok ou Pinterest reposent sur l'article 6(1)(a), c'est à dire le consentement. Les plateformes agissent en responsabilité conjointe ou indépendante selon la destination, et la plupart exigent désormais une attestation que le consentement a bien été collecté. L'intérêt légitime n'est généralement pas adapté à la création d'audiences publicitaires selon les lignes directrices de l'EDPB. ### Les transferts vers les États-Unis sont-ils conformes ? Ils peuvent l'être, à condition de mettre en place les bonnes garanties. Upstack Data héberge sur AWS aux États-Unis et la plupart des destinations sont américaines, donc les transferts s'appuient sur les CCT et, si le destinataire est certifié, sur le Data Privacy Framework UE: USA. Le responsable doit réaliser une analyse d'impact des transferts, documenter des mesures supplémentaires comme le hachage et la minimisation d'IP, et tenir ces preuves à disposition de la CNIL. ### Faut-il une AIPD avant de déployer Upstack Data ? Une AIPD est fortement recommandée. La combinaison de suivi ecommerce à grande échelle, d'enrichissement d'audiences publicitaires et de transferts vers les États-Unis remplit plusieurs critères des lignes directrices de l'EDPB. L'analyse doit décrire les flux passant par le reverse proxy, les destinations, la base légale, la durée de conservation et le risque résiduel après les mesures de consentement et de minimisation. ### Comment mettre en place le gating de consentement ? Connectez Upstack Data à votre plateforme de gestion du consentement afin que le loader lise le signal avant l'initialisation et le respecte pour chaque destination. Configurez la plateforme pour suspendre les événements marketing tant que le consentement publicitaire est refusé, et basculer sur une analyse anonyme si seul le consentement statistiques est accordé. Testez la page post achat en consentement refusé pour vérifier qu'aucun événement n'atteint Meta, Google ou TikTok. ### Quelles alternatives en cas de refus de consentement ? Si le consentement est refusé, limitez Upstack Data au traitement strictement nécessaire de la commande, ou désactivez le. Vous pouvez conserver un reporting agrégé sans identifiant via Shopify Analytics ou une solution analytique respectueuse de la vie privée, et privilégier la publicité contextuelle. Certains marchands implémentent une mesure de conversion strictement server-side, sans identifiant de terminal, sur la base d'un intérêt légitime documenté. ### Comment refléter Upstack Data dans la politique cookies ? Indiquez Upstack Data comme plateforme de données server-side, précisez son fonctionnement via un reverse proxy sur un sous-domaine first-party, et décrivez les cookies écrits, leurs durées et leurs finalités. Mentionnez les destinations comme Meta, Google, TikTok et Pinterest, les catégories de données partagées, la base légale, le recours aux CCT et au Data Privacy Framework, ainsi que les modalités d'exercice des droits des personnes. Dans la même catégorie ## Autres services : Publicité [Voir toute la catégorie](https://www.flowconsent.com/fr/services/publicite) ### [FirstPromoter](https://www.flowconsent.com/fr/services/publicite/firstpromoter) [Marketing](https://www.flowconsent.com/fr/services/publicite/firstpromoter) · ### [FoxPush](https://www.flowconsent.com/fr/services/publicite/foxpush) [Marketing](https://www.flowconsent.com/fr/services/publicite/foxpush) · ### [Aniview Video Ad Player](https://www.flowconsent.com/fr/services/publicite/aniview-video-ad-player) [Marketing](https://www.flowconsent.com/fr/services/publicite/aniview-video-ad-player) · ### [Rubicon Project](https://www.flowconsent.com/fr/services/publicite/rubicon-project) [Marketing](https://www.flowconsent.com/fr/services/publicite/rubicon-project) · ### [ACCESSTRADE](https://www.flowconsent.com/fr/services/publicite/accesstrade) [Marketing](https://www.flowconsent.com/fr/services/publicite/accesstrade) · ### [Clicktripz](https://www.flowconsent.com/fr/services/publicite/clicktripz) [Marketing](https://www.flowconsent.com/fr/services/publicite/clicktripz) ## Mettez votre site en conformité aujourd'hui. Gratuit jusqu'à 25 000 sessions par mois. Sans carte bancaire, sans engagement. [Créer ma bannière](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Scanner mon site](https://www.flowconsent.com/fr/scan)