Vos données client appartiennent-elles vraiment à votre boutique — ou à la marketplace qui l'héberge ?

# Vos données client appartiennent-elles vraiment à votre boutique — ou à la marketplace qui l'héberge ?

La question paraît évidente. Vous vendez, vous livrez, vous fidélisez : les données générées devraient vous appartenir. C'est le postulat de base que tout prestataire e-commerce vous vendra avec le sourire. Mais en 2026, ce postulat mérite d'être sérieusement challengé — surtout si votre boutique ou vos canaux de distribution reposent sur des infrastructures américaines.

Car derrière le choix entre une boutique web en propre et une marketplace se cache une question que peu de DSI posent franchement à leur comité de direction : qui détient réellement la relation client, et sous quelle juridiction ces données vivent-elles ?

La marketplace, un choix de confort qui a un coût juridique réel

Les grandes marketplaces américaines ont une proposition de valeur difficile à ignorer : audience immédiate, infrastructure gérée, logistique intégrée. Pour une PME ou une ETI qui cherche à distribuer rapidement, le calcul commercial semble favorable.

Mais voilà ce que le pitch commercial ne dit pas clairement : en référençant vos produits sur une marketplace opérée par un acteur soumis au droit américain, vous transférez de facto une partie de la relation client vers une entité hors de portée du RGPD dans sa dimension contraignante.

Le Cloud Act de 2018 — toujours en vigueur, toujours aussi mordant — autorise les autorités américaines à exiger l'accès aux données stockées par des entreprises US, y compris sur des serveurs localisés en Europe. Vos données clients — comportements d'achat, historiques de commandes, données de paiement partielles — peuvent donc théoriquement être accessibles à une juridiction étrangère sans que vous en soyez informé, et sans recours effectif.

Ce n'est pas de la paranoïa. C'est du droit positif.

RGPD : vous restez responsable de traitement, même si vous n'avez plus la main

L'angle juridique est ici particulièrement inconfortable. En tant que vendeur sur une marketplace, vous êtes généralement qualifié de responsable de traitement vis-à-vis de vos clients finaux — au sens du RGPD. Vous portez donc les obligations : information, droits d'accès, droit à l'effacement, portabilité.

Mais concrètement, avez-vous la capacité technique d'exercer ces droits ? La marketplace contrôle les logs de navigation, les données de session, parfois les données de paiement tokenisées. Vous signez la responsabilité, mais l'opérateur américain tient les clés.

En cas de violation de données chez l'opérateur de la marketplace, c'est votre nom qui figure dans la notification à la CNIL — et potentiellement dans le contentieux client. La directive NIS2, dont les décrets d'application s'imposent désormais à un périmètre élargi d'acteurs, renforce cette logique : la chaîne de sous-traitance numérique est désormais un vecteur de risque cyber officiellement reconnu. Et votre dépendance à une plateforme tierce non-européenne en fait mécaniquement un maillon faible identifié.

La boutique en propre : souveraine sur le papier, vulnérable dans les faits si mal sourcée

Opter pour une boutique web en propre semble l'alternative évidente. Et elle l'est — à condition de ne pas reproduire exactement la même dépendance via la couche d'infrastructure.

Une boutique Prestashop hébergée sur AWS Francfort, avec des emails transactionnels routés via un ESP américain et un CRM en mode SaaS sous licence américaine, n'offre pas de souveraineté réelle. Elle offre une illusion de contrôle : vous gérez l'interface, mais les données traversent ou résident sur des infrastructures soumises au Cloud Act.

La vraie question pour un DSI rigoureux en 2026 n'est donc pas « boutique ou marketplace ? » mais : sur quelle chaîne de traitement repose l'intégralité du cycle de vie de la donnée client ? De la collecte à l'archivage, en passant par l'analytics et la relance marketing.

Des acteurs européens comme Shopinvader — solution e-commerce open source adossée à des hébergeurs européens certifiés — ou des approches combinant une boutique souveraine avec un CDP (Customer Data Platform) hébergé en Europe permettent de construire une architecture où la donnée ne sort pas du périmètre régulé. Ce n'est pas une niche pour puristes : c'est une posture de conformité que NIS2 et les futures révisions du Data Act vont rendre incontournable.

La vraie question que personne ne pose en CODIR

La souveraineté sur la donnée client n'est pas un sujet IT. C'est un actif stratégique. Vos données d'achat, de comportement, de fidélisation sont ce qui vous permet de comprendre votre marché, d'anticiper la demande, de construire une relation durable.

Confier cet actif à une infrastructure américaine, c'est accepter qu'un tiers — juridiquement, techniquement, commercialement — puisse un jour y avoir accès, vous en priver, ou vous en faire payer l'accès.

Amazon l'a montré : les données de vente agrégées sur sa marketplace ont servi à développer ses propres gammes concurrentes. Ce n'est pas une théorie du complot. C'est un modèle documenté, qui a conduit à plusieurs enquêtes antitrust en Europe.

Alors non, le choix entre boutique et marketplace n'est pas un choix purement commercial. C'est un choix de gouvernance de la donnée. Et en 2026, les DSI et RSSI qui n'ont pas encore intégré cette dimension dans leurs appels d'offres e-commerce ont une case à cocher — urgemment.