Effacement RGPD : Shopify ne vous laisse plus que 5 jours pour sauver vos preuves

Depuis le 10 novembre 2026, l’effacement des données Shopify d’un client intervient 5 jours après l’enregistrement de la demande, contre 10 jours jusqu’ici. Le délai ne dépend désormais plus de la date de sa dernière commande. Shopify l’a annoncé le 11 novembre dans son changelog développeurs, seize jours avant le Black Friday du 27 novembre.

De 180 jours à 5 jours en moins de huit mois

C’est d’ailleurs la deuxième réduction de l’année. Jusqu’au 23 mars 2026, Shopify gardait une demande d’effacement en attente pendant 180 jours après la dernière commande du client. La plateforme a ensuite ramené ce délai à 10 jours, quelle que soit la date de cette commande. Elle passe désormais à 5 jours, soit une baisse de 97 % en moins de huit mois.

Shopify justifie ce choix par la simplicité. « Cette mise à jour simplifie la gestion globale des demandes de données clients », indique le changelog. Une exception ne bouge toutefois pas : si le client attend une carte cadeau programmée, la demande reste en attente jusqu’à sa livraison.

Deux points restent pourtant flous. Le changelog n’exige aucune action, mais ne précise pas qui il vise, marchands ou applications. Il ne dit pas non plus si les demandes envoyées avant le 10 novembre, encore en attente, basculent à 5 jours.

Ce que l’effacement des données Shopify laisse dans votre admin

Le client ne disparaît pas de votre back-office. Shopify masque son nom, son adresse et ses autres données personnelles, dans la boutique ainsi que dans les applications installées. La fiche client et l’historique des commandes restent en place, avec le contenu de chaque vente, sa date et son heure. En revanche, plus rien ne relie ces commandes à une personne nommée.

Ne confondez pas effacer et supprimer, car la suppression d’une fiche fait disparaître tout le profil. Pour lancer un effacement, il faut être propriétaire de la boutique ou disposer des autorisations « clients ». Le chemin, détaillé par le centre d’aide Shopify : Clients, fiche du client, Plus d’actions, puis Effacer les données personnelles.

Les ventes en cours en pâtissent aussi. Shopify ne prélève pas les paiements restants d’une précommande, annule les contrats d’abonnement et n’encaisse pas les paiements préautorisés. Si le client n’a pas réglé le solde avant sa demande, la perte revient au marchand. Quant aux données liées à Shop et Shop Pay, le client en demande l’effacement dans l’appli Shop ou sur privacy.shopify.com.

Le compte à rebours démarre à votre clic, pas au message du client

Le délai de 5 jours démarre quand la demande entre dans Shopify, en général au moment où vous cliquez sur « Effacer les données personnelles ». Or le RGPD laisse un mois au responsable de traitement pour répondre à une demande d’effacement. Ce délai peut même s’allonger de deux mois lorsque la demande est complexe ou si elles affluent, à condition de prévenir la personne dans le premier mois. Vous avez donc le temps de vérifier avant de cliquer, sans traîner pour autant.

Dès que la demande part, le bouton « Annuler la demande » apparaît dans la section « Demande d’effacement envoyée » de la fiche. Le centre d’aide indique 5 jours pour l’utiliser, alors que sa page ne porte aucune date. Elle ne précise pas non plus si le 5e jour compte encore. Trevor Fenner, fondateur d’Ecommerce Paradise, conseille donc de viser le 4e jour. Selon lui, seule l’application partenaire à l’origine d’une demande peut l’annuler, pas le marchand depuis l’admin.

Côté applications, chacune reçoit l’avis d’effacement 5 jours après la demande, puis dispose de 30 jours pour l’appliquer. Si la loi l’oblige à conserver certaines données, elle doit alors s’en abstenir.

Avant l’effacement des données Shopify, sauvegardez vos preuves

Passez chaque commande au crible avant de valider une demande. Ecommerce Paradise propose une vérification simple, à mener avant le clic ou au plus tard au 4e jour :

• commande pas encore livrée ;
• retour en cours ;
• litige ou rétrofacturation possible ;
• solde de précommande impayé, que Shopify n’encaissera jamais ;
• abonnement actif, que Shopify annulera ;
• carte cadeau programmée.

Si l’un de ces cas se présente, mettez vos preuves à l’abri. Rangez par exemple factures et preuves de paiement dans votre outil comptable. Gardez aussi le suivi transporteur, la preuve de livraison et les échanges avec le service client. « Sauvegardez le dossier de preuves avant le 5e jour, pas après l’arrivée du litige », résume Trevor Fenner. D’après des chiffres Stripe qu’il relaie, un porteur de carte dispose en général de 120 jours pour contester un paiement. Pour l’instant, personne ne sait comment une banque jugera un litige sur une commande aux données effacées.

L’effacement des données Shopify ne remplace pas la conservation légale de vos pièces comptables, qui doit se faire hors de la fiche client. Le RGPD prévoit aussi des exceptions, notamment une obligation légale ou la défense en justice. Votre expert-comptable ou votre conseil juridique vous dira alors quoi garder et combien de temps.

Klaviyo, registre, rappel : votre organisation pour le 27 novembre

Shopify prévient les applications installées, mais pas vos autres prestataires. Son centre d’aide le dit sans détour : c’est à vous de contacter les entreprises avec qui vous avez partagé les données du client. Listez donc vos outils, de Klaviyo au logiciel de SAV, sans oublier l’appli d’avis, le logisticien et les exports en tableur.

Le risque le plus visible pendant le Black Friday reste un client effacé qui reçoit votre emailing promotionnel. Dans Klaviyo, supprimez le profil en cochant « Delete profile in compliance with data privacy request », qui garde une trace de la demande. Cette suppression reste définitive, alors exportez d’abord les données du profil si besoin. Aucune documentation consultée ne confirme que l’intégration Shopify-Klaviyo supprime ce profil automatiquement : vérifiez-le à chaque demande.

Pour le pic du 27 novembre, quatre réglages suffisent. Nommez une personne responsable des demandes RGPD, puis tenez un registre avec la date de chaque clic. Programmez un rappel au 4e jour afin de décider d’annuler ou non. Enfin, indiquez clairement dans votre politique de confidentialité comment demander l’effacement. Pour faire le point sur vos flux Klaviyo et vos outils connectés, notre audit gratuit passe en revue votre boutique.