Loi 25 · Shopify

Shopify et Loi 25 au Québec

Shopify fournit l’hébergement, la caisse et une bannière de consentement. Ce qui reste à décider appartient au marchand : les pixels, les applications et les régions d’affichage.

Analyser ma boutique Voir la checklist

Mis à jour le 26 août 2026 Lecture : 12 minutes

Sommaire
  1. Ce que Shopify décide
  2. Ce que la boutique recueille
  3. Analytique et pixels
  4. Le consentement sur Shopify
  5. Les applications
  6. Checklist Shopify
  7. La vitrine et le reste
  8. Questions fréquentes

Shopify décide
beaucoup à votre place

C’est l’inverse de WordPress. Ici, la plateforme fournit l’hébergement, la caisse, la mesure et une partie des réglages de confidentialité. Cela simplifie, et cela déplace la question.

Fournir n’est pas assumer

Shopify héberge les données, chiffre les connexions, tient la caisse et propose des outils de confidentialité. C’est un socle solide, et c’est un vrai avantage par rapport à une boutique assemblée pièce par pièce.

Mais l’entreprise qui vend reste responsable des renseignements de sa clientèle. C’est elle qui choisit les applications installées, les pixels activés, ce qu’elle demande à la caisse et ce qu’elle annonce dans sa politique.

L’idée à retenir

Aucune plateforme ne rend une boutique conforme, pas plus qu’elle ne la rend non conforme. Shopify fournit des outils ; leur activation et leur configuration restent des décisions du marchand.

Un point structurel mérite d’être connu : l’infrastructure de Shopify est située hors Québec. La communication de renseignements personnels à l’extérieur du Québec suppose une évaluation préalable des facteurs relatifs à la vie privée.

Ce que la boutique
recueille

Une boutique ne recueille pas des messages : elle recueille des identités, des adresses et un historique. Le passage de la vitrine au commerce change l’échelle du sujet.

La caisse est le point le plus dense : nom, adresse de livraison, adresse de facturation, téléphone, courriel, et le détail de ce qui est acheté.

Les comptes clients ajoutent la durée. Un historique de commandes sur quatre ans décrit des habitudes, une situation familiale, parfois un état de santé selon ce qui est vendu.

Les notes de commande sont un champ libre. C’est là que le personnel écrit ce qui l’arrange, et parfois ce qui n’a rien à faire dans un dossier client.

  1. 01Compte clientIdentité, courriel
  2. 02Adresse de livraisonDomicile
  3. 03Adresse de facturationPaiement
  4. 04Historique de commandesHabitudes
  5. 05Panier abandonnéCourriel saisi
  6. 06Notes de commandeChamp libre
  7. 07Avis sur les produitsNom affiché
  8. 08ClavardageConversation
  9. 09InfolettreConsentement
  10. 10Programme de fidélitéComportement d’achat
  11. 11Journaux de connexionAdresse IP
  12. 12Retours et remboursementsMotifs

Analytique et pixels :
quatre endroits

Sur Shopify, la mesure ne s’installe pas à un seul endroit. C’est la principale cause d’inventaire incomplet.

Où ils se configurent

  • L’analytique intégrée : Shopify mesure votre boutique par lui-même et dépose ses propres témoins, dont _shopify_y pour le visiteur et _shopify_s pour la session.
  • Les canaux de vente : les applications officielles Meta et Google installent leur pixel et leur balise depuis leurs propres réglages.
  • Les événements clients : la section où se déclarent les pixels personnalisés, exécutés dans un environnement isolé du thème.
  • Le code du thème : les scripts collés directement dans les fichiers, hérités d’une configuration antérieure.

Une même balise Meta peut arriver par le canal de vente et par un pixel personnalisé. Le résultat est un double comptage des conversions, et deux envois là où un seul était voulu.

Ce que transmet un événement d’achat →

Les événements clients

C’est le mécanisme moderne de Shopify : les pixels, ceux des applications comme ceux que vous écrivez, s’exécutent dans un bac à sable, séparés du reste de la page. Cela améliore la sécurité et donne à la plateforme un point de contrôle.

Chaque pixel déclaré porte une catégorie de permission : analytique, marketing, préférences, vente de données. C’est cette catégorie qui permet à Shopify de le déclencher, ou non, selon le consentement recueilli.

Recommandation Repère

Ouvrir la liste des événements clients et vérifier la catégorie de chaque pixel. Un pixel publicitaire déclaré en « analytique » se déclenchera dans des situations où il ne devrait pas.

Le consentement
sur Shopify

La plateforme fournit une bannière et une interface de consentement. Deux réglages décident de leur effet réel, et tous deux se vérifient en quelques minutes.

Avant le choixBoutique chargée

Le comportement attendu

  • Témoin de panierActifNécessaire au fonctionnement de la boutique.
  • Analytique ShopifyEn attenteSelon la catégorie déclarée et le consentement recueilli.
  • Pixel MetaEn attenteCatégorie marketing : ne se déclenche pas sans accord.
  • Application d’infolettreEn attenteLe suivi de navigation attend lui aussi le choix.

Les deux réglagesAdministration

Ce qu’il faut vérifier

  • Affichage par régionÀ vérifierLa bannière s’affiche selon les régions cochées : le Québec doit en faire partie.
  • Catégorie des pixelsÀ vérifierUn pixel mal catégorisé échappe au blocage.
  • Pixels hors bac à sableÀ vérifierUn script collé dans le thème n’est pas géré par la plateforme.
  • Retrait du consentementÀ vérifierUn accès permanent pour revenir sur son choix.

Illustration du fonctionnement attendu et des réglages à contrôler. Aucune boutique cliente n’est représentée ici.

Le réglage le plus souvent en cause est le premier. La bannière intégrée s’affiche en fonction des régions sélectionnées ; une boutique configurée pour l’Europe seulement n’affichera rien à un visiteur québécois, et les pixels se déclencheront sans aucune demande.

Le second point est plus subtil : un script collé directement dans le thème ne passe pas par le mécanisme d’événements clients. Il échappe donc au contrôle de la plateforme, exactement comme un script d’en-tête échappe à une extension de bannière sur WordPress.

Cookies et Loi 25 : la vérification en cinq minutes →

Chaque application
reçoit sa part

C’est la particularité de Shopify : installer une application, c’est lui accorder des autorisations sur les données de votre boutique. Le geste prend deux clics, l’effet dure des années.

Ce qu’elles demandent

À l’installation, une application déclare les autorisations dont elle a besoin : lire les commandes, accéder aux clients, consulter les paniers. Cet écran est rarement lu, et il décrit pourtant ce qui sortira de votre boutique.

  • Infolettre et automatisation : reçoivent courriel, historique d’achat et navigation, pour segmenter les envois.
  • Avis sur les produits : reçoivent les commandes pour solliciter les acheteurs, et publient un nom.
  • Clavardage : conservent des conversations, parfois avec des renseignements sensibles.
  • Programmes de fidélité : construisent un profil de comportement d’achat.

Shopify encadre l’accès aux données client les plus sensibles, en imposant aux développeurs des conditions supplémentaires. Cet encadrement ne remplace pas le vôtre : c’est vous qui répondez de la communication à un fournisseur.

Ce que dit la loi

La communication de renseignements personnels à un fournisseur doit être encadrée, et une évaluation des facteurs relatifs à la vie privée est requise avant une communication à l’extérieur du Québec. Chaque application est un fournisseur.

Les applications oubliées

Une boutique de trois ans a souvent essayé une douzaine d’applications. Celles qui restent installées sans être utilisées conservent leurs autorisations, continuent parfois de recevoir des données, et ajoutent leurs scripts aux pages.

Recommandation Repère

Passer la liste des applications une fois par an, désinstaller ce qui ne sert plus, et demander la suppression des données chez les fournisseurs retirés. La désinstallation coupe l’accès ; elle n’efface pas ce qui a déjà été transmis.

Annoncer les destinataires dans la politique →

Checklist
Shopify

Douze contrôles propres à une boutique. Les cinq premiers se lisent depuis la vitrine, les autres depuis votre administration.

  1. Traceurs avant le choixCe qui se dépose à l’arrivée sur la boutique, sans interaction.
  2. Bannière affichée au QuébecLes régions retenues pour l’affichage incluent le Québec.
  3. Pixels déclenchésMeta, Google et les autres, et à quel moment ils partent.
  4. Politique accessible et fidèlePubliée, à jour, et cohérente avec les applications installées.
  5. Responsable publiéTitre et coordonnées présents sur la boutique.
  6. Catégorie des événements clientsChaque pixel déclaré dans la bonne catégorie de permission.
  7. Scripts hors bac à sableLe code collé dans le thème, que la plateforme ne gère pas.
  8. Applications installéesCe qui est actif, ce qui ne sert plus, et ce que chacune reçoit.
  9. Autorisations accordéesCe que chaque application peut lire dans la boutique.
  10. Champs demandés à la caisseCe qui est obligatoire, et ce qui pourrait ne pas l’être.
  11. Conservation des données clientCommandes, paniers abandonnés, comptes inactifs, exports.
  12. Communication hors QuébecÉvaluation des facteurs relatifs à la vie privée pour la plateforme et les applications.

Cinq de ces douze points se lisent depuis la vitrine.

Le deuxième est la cause la plus fréquente d’absence de bannière.

La liste des applications est plus longue qu’on ne s’en souvient.

Que charge votre boutique avant le premier clic ?

Le scan Repère lit votre vitrine comme le ferait un client et vous dit quels pixels se sont déjà déclenchés.

Lancer le scan gratuit

La vitrine, et le reste

Sur une boutique, la limite est nette : les pages publiques se lisent, la caisse et l’administration non.

Lisible depuis la vitrine

  • Les témoins déposés avant toute interaction
  • L’affichage ou l’absence de la bannière
  • Les pixels publicitaires déclenchés
  • Les domaines externes appelés par les applications
  • La politique publiée, sa date et son contenu
  • La mention d’un responsable
  • Les formulaires publics et leurs champs
  • La version française de la boutique

Hors de portée d’une analyse publique

  • Le comportement des pages de caisse
  • La liste des applications et leurs autorisations
  • La catégorie déclarée de chaque pixel
  • Les événements transmis côté serveur
  • Les données client détenues par les applications
  • Les durées de conservation appliquées
  • Les comptes du personnel et leurs accès
  • Les évaluations de communication hors Québec

La caisse d’une boutique n’est pas une page publique. Le scan Repère décrit la vitrine, complètement ; le parcours d’achat et l’administration se vérifient avec vos accès. Les obligations citées viennent des textes québécois, les recommandations sont signalées comme telles.

Guides connexes

Une boutique concentre les trois sujets : ce qui se dépose, ce qui est mesuré, ce qui est annoncé.

Cookies et traceurs Consentement, bannière et retrait Meta Pixel Événements d’achat et API de conversions Google Analytics GA4, Tag Manager et déclenchement

Questions fréquentes

Les questions propres à une boutique Shopify au Québec.

Shopify rend-il ma boutique conforme à la Loi 25 ?

Non, et l’inverse non plus. Shopify fournit l’hébergement, le chiffrement, une bannière de consentement et des outils de gestion des données. Ce sont des moyens ; leur activation et leur configuration restent vos décisions.

L’entreprise qui vend demeure responsable des renseignements de sa clientèle, quelle que soit la plateforme employée.

La bannière de Shopify s’affiche-t-elle au Québec ?

Seulement si les régions retenues pour l’affichage incluent le Québec. C’est le réglage le plus souvent en cause : une boutique configurée pour l’Europe uniquement n’affichera rien à un visiteur québécois.

La vérification prend dix secondes : ouvrez votre boutique en navigation privée depuis le Québec et regardez si la bannière apparaît.

Faut-il un consentement pour l’analytique intégrée de Shopify ?

Elle dépose des témoins qui permettent de reconnaître un visiteur d’une session à l’autre, ce qui la place dans le champ de l’information et du consentement, au même titre qu’un autre outil de mesure.

Shopify permet de rattacher ces traitements aux catégories de consentement. Encore faut-il que le mécanisme soit activé et que la bannière soit visible pour vos visiteurs.

Le scan peut-il vérifier ma page de caisse ?

Non. La caisse n’est pas une page publique : elle suppose un panier et un parcours. Aucune analyse extérieure ne peut la charger, la nôtre pas davantage.

Nous le disons plutôt que de laisser croire à une couverture complète. La caisse se vérifie en passant une commande de test et en observant ce qui se déclenche.

Que se passe-t-il quand je désinstalle une application ?

La désinstallation coupe l’accès de l’application à votre boutique. Elle n’efface pas ce qu’elle a déjà reçu et conservé sur ses propres serveurs.

Recommandation Repère : demander la suppression des données au fournisseur retiré, et conserver la trace de la demande. C’est la seule façon de savoir ce qui subsiste ailleurs.

Mes données clients sont hébergées hors Québec : est-ce un problème ?

Ce n’est pas interdit. La Loi 25 demande, avant une communication de renseignements personnels à l’extérieur du Québec, de procéder à une évaluation des facteurs relatifs à la vie privée et d’encadrer la communication.

C’est un travail documentaire, pas un réglage technique. Il concerne la plateforme elle-même, et chacune des applications installées.

Sources officielles

Les obligations décrites dans ce guide viennent des organismes québécois responsables. Les recommandations techniques sont celles de Repère et sont signalées comme telles.

Ce guide décrit des pratiques de vérification web. Il ne remplace pas la lecture des textes officiels ni l’accompagnement d’un conseiller juridique pour une situation particulière.

Que charge votre boutique
avant le premier clic ?

Le scan Repère lit votre vitrine comme le ferait un client et vous dit ce qui s’est déclenché.

Scanner mon site gratuitement