Klaviyo et RGPD : sécuriser les flux e-commerce

Un profil Klaviyo peut être techniquement joignable sans être inscrit à votre newsletter. C’est le premier contrôle à réaliser avant d’activer une relance automatique : l’événement « panier abandonné » ou « commande créée » ne suffit pas à établir l’autorisation d’un message commercial.

Comprendre les statuts avant de construire les segments

Klaviyo distingue le consentement et la suppression d’envoi. Sa documentation explique qu’un profil « Never subscribed » n’a ni accepté ni refusé les emails marketing, tout en pouvant être techniquement joignable. Un profil supprimé des envois peut, inversement, garder son statut d’inscription. Ces notions doivent être lues ensemble. Documentation sur les profils supprimés des envois.

Dans votre configuration française, formulez une règle d’éligibilité explicite : consentement valable ou exception effectivement applicable, absence d’opposition et périmètre du message. Pour les particuliers, l’exception des clients vise notamment des produits ou services analogues du même fournisseur, avec possibilité de refus à la collecte et dans chaque message. Elle ne découle pas du seul abandon d’un panier. Règles de prospection de la CNIL.

Traitez à part les relances de panier abandonné et les messages nécessaires à l’exécution d’une commande. Une présence en base n’oblige pas à activer tous les canaux.

Actualiser le dossier contractuel

Le DPA Klaviyo mis à jour le 11 septembre 2026 distingue les données clients traitées en sous-traitance et les informations de compte. Sa clause 4.4 prévoit un stockage dans l’Union européenne lorsque cette résidence est stipulée dans le service, tout en réservant certains traitements hors UE. Affirmer qu’aucune résidence européenne n’existe est donc devenu inexact.

La clause 8 prévoit une notification d’incident sans délai indu, et non un délai forfaitaire de 72 heures accordé au sous-traitant. La clause 11 organise DPF et clauses contractuelles types selon leur applicabilité. DPA Klaviyo.

Conservez la stipulation de résidence de votre compte : une possibilité contractuelle ne démontre pas qu’elle est activée. Pour les autres accès et destinataires, examinez les transferts hors EEE. Les obligations du responsable envers l’autorité et celles du sous-traitant envers son client sont distinctes aux Art. 33(1) et (2). Texte du RGPD.

Dérouler un contrôle avant d’ouvrir le flux

Exemple fictif. La société française Papier Vert vend des carnets aux particuliers. Elle possède aussi la marque Encre Bleue, commercialisée par une autre société du groupe. Marion prépare, pour Papier Vert, une série de deux emails présentant ses nouveautés. Elle décide de réserver cette série aux personnes ayant accepté les offres de Papier Vert. Ce choix volontaire évite de mélanger plusieurs fondements dans le même flux ; il ne signifie pas que toute prospection exige toujours un consentement.

L’équipe doit pouvoir rattacher chaque inscription à une adresse, un périmètre, une action et une information présentée à la personne. La mention « oui » dans un ancien fichier ne démontre pas, seule, ce qui a été accepté. L’Art. 7(1) du RGPD impose de pouvoir démontrer le consentement lorsqu’il fonde le traitement.

Une fiche remplie pour quatre situations différentes

Marion prépare quatre profils entièrement fictifs, associés à des boîtes de recette contrôlées par l’équipe. Aucun client réel n’est utilisé pour découvrir le comportement du flux. Les noms ci-dessous désignent ces profils de travail, pas des utilisateurs réels de Klaviyo.

La première proposition de l’agence consiste à sélectionner tous les profils techniquement joignables. Marion la refuse : cette condition ne répond pas à la décision juridique écrite dans le tableau. Elle exige une correspondance documentée entre la preuve conservée, la marque concernée et le critère d’admission. Un profil dont l’origine reste inconnue demeure hors de cette série ; l’équipe ne reconstruit pas une date d’accord à partir de sa date d’import.

Le dossier de validation précise également les données réellement nécessaires : adresse, identifiant interne, état des choix et référence de la preuve. Le détail des achats n’est pas nécessaire pour cette simple présentation des nouveautés. Les collaborateurs chargés de la campagne n’ont donc pas besoin de recevoir toutes les informations de commande exportées par la boutique.

Distinguer le déclencheur du contrôle avant envoi

Klaviyo distingue les filtres associés à l’événement déclencheur et ceux appliqués au profil. Pour un flux déclenché par une métrique, le filtre de déclenchement est évalué à l’entrée ; les filtres de profil sont réévalués avant les actions. Un message ignoré à une étape ne signifie pas nécessairement que le profil est sorti de toutes les étapes suivantes. Documentation des déclencheurs et filtres.

Marion en déduit une exigence de recette : la permission ne doit pas être figée dans une photographie prise au démarrage. Le dossier doit montrer ce qui arrive si le choix change entre les deux emails. L’agence conserve les mécanismes natifs de désinscription et ajoute seulement les conditions nécessaires au périmètre décidé ; elle ne les remplace pas par un champ commercial maison.

Dans le scénario, le premier parcours admet Léa et exclut les trois autres profils. Marion simule ensuite le retrait de Léa entre les deux messages. Le contrôle attendu est l’absence du second envoi. Le dossier doit garder le statut constaté, l’heure du changement et le résultat de cette étape, plutôt qu’une simple capture de la première sélection.

L’échec découvert sur une autre liste

En reproduisant le parcours de désinscription de Nora, une difficulté apparaît dans la recette fictive : le lien proposé ne retire que son inscription à une liste, alors que le message lui annonce un arrêt de toute publicité Papier Vert. Une autre liste reste exploitable. Le défaut vient de l’écart entre la promesse faite et le périmètre configuré, pas d’une démonstration d’un défaut du logiciel.

La documentation Klaviyo prévoit des désinscriptions globales ou limitées à une liste selon les réglages. Marion fait donc aligner le périmètre de retrait sur l’engagement annoncé. Elle rejoue le parcours depuis les deux listes concernées, puis depuis un réimport du fichier historique. Ce dernier contrôle sert à vérifier que le travail de migration ne réintroduit pas une personne exclue. Périmètres de désinscription documentés.

Si le refus reste sans effet dans un circuit, la série n’est pas ouverte à la clientèle. Le responsable de la boutique conserve la suspension, demande la correction de la synchronisation et exige une nouvelle vérification des quatre situations. Il ne propose pas à Nora de recommencer plusieurs fois son opposition. L’Art. 21(2)–(3) impose l’arrêt du traitement à des fins de prospection après opposition.

Dans la recette corrigée, Léa reçoit le premier message fictif, puis son retrait bloque le second. Sami, Nora et Hugo ne reçoivent aucun des deux messages. La vérification des autres listes et du réimport ne réactive pas Nora. Marion autorise alors cette série limitée, sans étendre la décision aux autres automatisations. Cette recette est un scénario pédagogique, pas un essai réalisé sur un compte Klaviyo. Votre dossier doit contenir les résultats réellement obtenus dans votre environnement. La migration des preuves de consentement doit couvrir les exclusions autant que les abonnements.

Fermer le dossier sans conserver toutes les traces

À la fin de la revue, Marion conserve la version du flux approuvée, les responsables de la décision, la correspondance des champs et les résultats de recette. Les profils fictifs sont identifiés comme tels pour ne pas polluer les statistiques commerciales. Les exports de travail contenant des données réelles, s’il en existe lors de la migration finale, suivent leur propre suppression après vérification de la reprise.

L’adresse nécessaire au respect d’un refus n’a pas le même usage que l’historique complet de navigation ou d’achat. Déterminez, pour chacun, la finalité, l’accès et la durée justifiée ; l’Art. 5(1)(c) et (e) interdit de conserver indistinctement tout le profil parce qu’une opposition doit être mémorisée.

La prochaine modification du formulaire, de l’entité expéditrice ou du connecteur déclenche une nouvelle vérification du périmètre touché. Une campagne autorisée pour Papier Vert ne vaut pas autorisation permanente pour chaque marque ou canal ajouté ensuite.

Examiner les fonctions entre plusieurs comptes

L’annexe Schedule 7 du DPA encadre les fonctions Organizations : rapprochement d’identités, analyses et activations entre comptes liés. Elle prévoit notamment des exigences d’information, de fondement juridique et, pour certains usages marketing entre marques, de consentement valable selon la loi applicable. Annexe Organizations.

La présence de deux marques dans le même groupe ne rend pas leurs fichiers interchangeables. Avant activation, identifiez les entités, les usages communs et ce qui a été annoncé aux personnes. Une instruction technique dans l’outil ne remplace pas cette analyse.

Ce qu’il faut retenir

• « Joignable » et « inscrit » sont deux notions distinctes dans Klaviyo.
• Les flux automatiques doivent filtrer les permissions et les refus avant l’envoi.
• La résidence UE existe sous conditions et ne décrit pas tous les traitements.
• Les fonctionnalités entre comptes nécessitent une décision sur le partage entre marques.

FAQ

Tous les imports exigent-ils un consentement marketing ?

Le fondement dépend de l’usage, du canal et du destinataire. Importer pour gérer une commande n’autorise pas une newsletter ; une exception de prospection doit être documentée et compatible avec les conditions du service.

Supprimer un profil des envois efface-t-il ses données ?

Non. Le blocage des messages et l’effacement sont distincts. Définissez les données qui doivent rester pour respecter un refus et celles qui ne sont plus nécessaires.

Un outil prédictif impose-t-il toujours une AIPD ?

Non. Examinez le risque élevé au sens de l’Art. 35(1), ainsi que la portée des décisions prises. Tout profilage ne constitue pas automatiquement une décision relevant de l’Art. 22(1).

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.