Le site est en ligne, le design plaît, les photos sont belles. Puis quelqu'un clique sur le lien discret en bas de page et découvre que les mentions légales portent encore le nom de l'agence qui a construit le site, avec son adresse et son numéro d'identification. Dans une autre entreprise, ces mentions ont été copiées telles quelles sur le site d'un concurrent, si bien qu'elles désignent un hébergeur qui n'est pas le bon et un responsable qui n'existe pas. Ailleurs encore, un bandeau de cookies bloque tellement de choses qu'il empêche le formulaire de devis de s'afficher, et l'entreprise perd des demandes sans jamais le savoir.
Ces trois cas se rencontrent régulièrement, et ils ont un point commun : personne n'a relu ces pages depuis la mise en ligne. Elles ne sont pourtant pas décoratives. Elles indiquent à un visiteur, à un client mécontent ou à une autorité qui édite le site, qui l'héberge, à qui s'adresser et ce qu'il advient des données transmises par le formulaire.
Précisons notre rôle sans ambiguïté. Nous livrons ces pages avec la base WordPress, à partir de 900 HT, avec une structure correcte et les informations techniques exactes, en particulier l'identité réelle de l'hébergeur. Nous ne sommes pas avocats et nous ne rédigeons pas votre analyse juridique. Le contenu contractuel, la politique de protection des données et les conditions générales de vente se valident avec votre conseil. Notre apport consiste à éviter les pages vides, fausses ou héritées d'un tiers, et à vous dire précisément ce qui manque.
À quoi servent ces pages, du point de vue de la personne qui les lit
Un visiteur qui cherche les mentions légales veut identifier une entreprise. Il s'agit parfois d'un client qui hésite avant de commander, parfois d'un concurrent, parfois d'un journaliste, et parfois d'une personne qui veut faire valoir un droit. La page doit donc permettre d'identifier l'éditeur sans ambiguïté et de le joindre.
Les informations attendues sont assez stables d'un pays à l'autre, même si le cadre diffère. On y trouve la dénomination de l'entreprise, sa forme juridique, l'adresse de son siège, un moyen de contact, l'identifiant officiel de l'entreprise, le nom de la personne responsable de la publication, ainsi que l'identité et les coordonnées de l'hébergeur du site. En France, le cadre repose sur les textes relatifs à la confiance dans l'économie numérique et sur le règlement européen de protection des données. En Suisse, le cadre est distinct, avec une loi fédérale propre à la protection des données, et les obligations d'affichage ne se formulent pas exactement de la même façon. Si vous adressez les deux marchés, la question de savoir s'il faut un jeu de pages ou deux se pose en même temps que celle de l'architecture du site, sujet que nous traitons dans notre article sur le choix entre un ou deux domaines pour la France et la Suisse.
La page mentions légales de notre propre site montre le niveau de détail que nous considérons comme correct, et notre politique de cookies illustre la même approche pour les traceurs. Vous pouvez les consulter pour voir la structure, sans en recopier le contenu, puisque les informations sont les nôtres.
L'erreur la plus fréquente concerne l'identité de l'hébergeur
Cette mention doit désigner l'entreprise qui exploite réellement les serveurs de votre site, avec sa raison sociale et son adresse. Elle est fausse dans une grande partie des sites que nous reprenons, pour deux raisons.
La première est le copier-coller. Le texte provient d'un modèle ou d'un autre site, et il cite un hébergeur qui n'a jamais hébergé le vôtre. La seconde est plus subtile : le site a été migré depuis, parfois par nos soins, et personne n'a pensé à mettre à jour cette mention. Un changement de plateforme oblige à modifier cette page, et nous l'intégrons à notre procédure de migration pour cette raison. Notre article sur le choix d'héberger en Suisse ou en France explique par ailleurs pourquoi cette information intéresse certains clients au-delà de l'obligation elle-même.
Ce que le formulaire de contact implique en matière de données
Un simple formulaire de contact déclenche plusieurs traitements que le dirigeant ne visualise pas toujours. Le message est transmis par courrier électronique à une ou plusieurs adresses, il est parfois enregistré dans la base de données du site par l'extension de formulaire, il peut être filtré par un service anti-spam extérieur, et il est souvent protégé par un service de vérification tiers. Sur notre propre site, cette protection repose sur Google reCAPTCHA v3, ce qui constitue un traitement par un tiers et se mentionne donc explicitement.
Trois questions doivent trouver une réponse écrite avant la mise en ligne. Qui reçoit ces messages, et cette adresse survivra-t-elle au départ de la personne concernée ? Les messages sont-ils conservés dans le site, et pendant combien de temps ? Quels services extérieurs interviennent dans la chaîne, du service anti-spam au fournisseur de messagerie ? Ces réponses alimentent la page consacrée aux données, que votre conseil valide ensuite. Nous constatons régulièrement des sites qui conservent plusieurs années de messages dans leur base sans que personne ne le sache, ce qui constitue à la fois un sujet de conformité et un risque en cas de compromission.
Il faut également vérifier que ces messages arrivent effectivement, ce qui n'est jamais garanti. Notre article sur les formulaires qui affichent un remerciement sans envoyer de mail décrit les causes techniques de ce silence.
La liste que nous vérifions avant chaque mise en ligne
Nous parcourons systématiquement les points suivants, et nous vous signalons ceux qui relèvent de votre conseil.
- Les mentions légales identifient l'entreprise, indiquent un moyen de contact, nomment le responsable de la publication et désignent l'hébergeur réel avec son adresse.
- La question des traceurs est tranchée : la distinction entre ce qui est strictement nécessaire au fonctionnement du site et ce qui relève de la mesure ou de la publicité est claire, et le refus produit un effet observable. Ce sujet rejoint directement le choix de l'outil de mesure, que nous détaillons dans notre article sur Matomo ou Google Analytics.
- Le parcours du formulaire est documenté : destinataire, conservation, services tiers, et un test réel d'envoi effectué avant la mise en production.
- Le site est servi intégralement en HTTPS, avec un certificat qui se renouvelle automatiquement. Un certificat expiré affiche un avertissement dissuasif dans le navigateur, et nous expliquons ce mécanisme dans notre article sur les certificats SSL.
- La propriété du domaine et des accès d'administration est vérifiée et vous appartient. Ce point conditionne tous les autres, et nous le développons dans notre article sur la question de savoir à qui appartient votre site.
- Les conditions générales de vente existent si vous vendez en ligne, et elles ont été rédigées ou relues par votre conseil, pas récupérées sur un autre site.
Nous ne rédigeons pas votre registre des traitements, nous ne désignons pas votre délégué à la protection des données et nous ne validons pas vos conditions de vente. Nous refusons en revanche de mettre en ligne un site dont les pages légales sont manifestement fausses, parce que cela vous expose sans raison.
Pourquoi ces pages se périment et comment nous les tenons à jour
Ces informations vieillissent silencieusement. Une entreprise déménage, change de forme juridique, remplace son dirigeant, migre son hébergement ou ajoute un nouvel outil qui dépose un traceur. Rien de tout cela ne déclenche d'alerte, et la page reste telle quelle pendant des années.
La maintenance annuelle à 500 HT / an comprend une relecture périodique de ces pages, ainsi que la mise à jour des informations techniques dont nous avons connaissance, en particulier l'hébergeur et les services tiers appelés par le site. Nous vous signalons ce qui a changé, vous confirmez les informations administratives, et nous appliquons. La mise en ligne d'un site représente 120 HT et elle inclut cette vérification, sans que nous nous substituions à votre conseil.
Si vos mentions légales datent d'un prestataire précédent, ou si vous ne savez pas ce que devient un message envoyé depuis votre formulaire, transmettez-nous l'adresse de votre site. Nous vous indiquerons ce qui est faux, ce qui manque et ce qui doit être soumis à votre avocat avant publication.