Chaque redirection à travers un raccourcisseur d'URL crée un événement de traitement de données. L'événement de clic contient au minimum une adresse IP, un horodatage et une chaîne user-agent. Au titre de l'Article 4(1) du RGPD, cette combinaison peut constituer une donnée personnelle - la CJUE l'a confirmé dans Breyer (C-582/14, 2016) en jugeant que les adresses IP dynamiques sont des données personnelles lorsqu'une organisation dispose d'un moyen réaliste d'identifier l'individu derrière elles. Votre raccourcisseur dispose de ce moyen : il contrôle le journal de redirection.
Cet article est une checklist pratique pour évaluer si un raccourcisseur d'URL est vraiment compatible RGPD. Je vais détailler ce que le règlement exige réellement, où les fournisseurs populaires échouent, ce qu'il faut rechercher dans un outil conforme et les compromis impliqués. Les références d'articles renvoient au Règlement (UE) 2016/679, le RGPD tel qu'amendé.
Ce que le RGPD exige d'un raccourcisseur d'URL#
Un raccourcisseur d'URL est situé dans le flux de données entre votre campagne et votre client. Quand quelqu'un clique sur un lien court, le raccourcisseur voit le clic avant la page de destination. Cela fait du raccourcisseur un sous-traitant au sens de l'Article 4(8) : il traite des données personnelles pour votre compte. Vous êtes le responsable du traitement ; vous décidez de la finalité et des moyens du suivi. Le raccourcisseur exécute l'opération sur vos instructions.
Cette répartition crée quatre obligations concrètes auxquelles le raccourcisseur doit répondre :
1. Un contrat écrit couvrant l'Article 28(3)
L'Article 28(3) énumère huit exigences que tout contrat de sous-traitance doit inclure : traitement uniquement sur instructions documentées, confidentialité, sécurité appropriée, divulgation des sous-traitants, assistance pour les droits des personnes concernées, assistance pour les obligations de sécurité et d'AIPD, suppression ou retour à la résiliation, et droits d'audit. Un raccourcisseur sans Data Processing Agreement (DPA) traitant chacun de ces points n'est pas prêt à l'approvisionnement pour un déploiement UE.
2. Base juridique pour la couche de suivi de clics
La redirection elle-même - prendre un clic et l'acheminer vers la destination - est sans doute nécessaire au service. La couche analytique qui repose sur cette redirection - enregistrement du clic pour l'attribution, mesure de campagne, reciblage - est une opération de traitement distincte qui a besoin de sa propre base juridique au titre de l'Article 6. La plupart des équipes B2B fondent l'analytique de campagne sur l'intérêt légitime au titre de l'Article 6(1)(f) ; si le raccourcisseur injecte des pixels de reciblage tiers au moment de la redirection, la base bascule vers le consentement au titre de l'Article 6(1)(a), ce qui signifie que vous avez besoin d'un mécanisme de consentement avant le premier clic.
3. Minimisation des données
L'Article 5(1)(c) exige que la collecte de données soit « adéquate, pertinente et limitée à ce qui est nécessaire ». Pour un raccourcisseur, ce principe s'applique directement au schéma de l'événement de clic. Vous avez besoin de la géo au niveau du pays, de la catégorie d'appareil, de l'horodatage et d'un identifiant de clic. Vous n'avez pas besoin de l'adresse IP complète au-delà du moment de la redirection. Vous n'avez presque certainement pas besoin de la chaîne user-agent complète - un tuple analysé device.type / device.os porte le signal d'attribution sans être un vecteur d'empreinte.
4. Conformité des transferts internationaux
Si le raccourcisseur stocke ou traite les événements de clics en dehors de l'EEE, l'Article 44 et l'Article 46 s'appliquent. Les transferts vers les États-Unis nécessitent soit les Clauses Contractuelles Types (CCT) plus une analyse d'impact sur les transferts, soit la participation à l'EU-US Data Privacy Framework, qui fait lui-même l'objet d'un litige en cours. Un raccourcisseur hébergé dans l'UE évite entièrement ce problème.
Où les raccourcisseurs populaires échouent#
Bitly#
Le plan de données principal de Bitly est aux États-Unis. Selon leur documentation publique, les transferts internationaux de données depuis l'EEE reposent sur les Clauses Contractuelles Types. Le DPA est disponible, mais il n'est pas pré-signé dans le contrat standard - les clients entreprise le négocient séparément, ce qui ajoute du délai d'approvisionnement. La résidence des données UE-seulement n'est pas une offre standard ; c'est une conversation de contrat sur mesure.
Deux problèmes moins discutés : le tableau de bord analytique de Bitly s'intègre avec des services d'attribution tiers, et certains paliers de plan activent l'injection de pixel de reciblage au niveau de la couche de redirection. Si les pixels de reciblage se déclenchent avant que l'utilisateur n'ait consenti, c'est un problème de conformité Article 6 pour vous en tant que responsable du traitement. Le raccourcisseur est le sous-traitant, mais le responsable du traitement porte la responsabilité principale d'avoir la bonne base juridique en place.
Rebrandly#
Rebrandly a son siège à Dublin, ce qui semble compatible UE, mais la question opératoire est de savoir où les données sont traitées, pas où l'entreprise est constituée. Selon leur DPA (consulté en mai 2026), les transferts de données depuis l'EEE vers les États-Unis reposent sur les CCT. Le traitement UE-seulement est disponible pour les clients entreprise selon des conditions personnalisées. Le contrat standard ne lie pas les données à une infrastructure UE. Pour les équipes qui ont besoin d'une clause de résidence contractuellement applicable hors étagère, Rebrandly nécessite une négociation personnalisée.
Rebrandly prend également en charge nativement les pixels de reciblage tiers sur la plupart des plans. La valeur marketing est réelle ; l'implication de conformité est que tout pixel se déclenchant au moment de la redirection pour des sujets UE a besoin d'une base de consentement, pas d'une base d'intérêt légitime, parce que le profilage comportemental à des fins publicitaires se trouve en dehors de la limite de l'intérêt légitime pour la plupart des interprétations des autorités de contrôle.
TinyURL#
TinyURL offre une offre gratuite claire et est un raccourcisseur grand public largement utilisé. Il ne publie pas de liste de sous-traitants. Les conditions standard n'incluent pas un DPA qui satisfait à l'Article 28(3). La couche analytique est rudimentaire et hébergée aux États-Unis. Pour les équipes B2B ou marketing avec des sujets UE dans leur audience, TinyURL n'est pas prêt à l'approvisionnement.
Le problème général des raccourcisseurs hébergés aux États-Unis#
De nombreux fournisseurs opérant principalement pour des clients américains traitent la conformité RGPD comme une case à cocher plutôt que comme une contrainte architecturale. Les signes à surveiller : un badge « conforme RGPD » sur la page tarifaire sans lien vers un DPA, une liste de sous-traitants qui ne nomme pas les régions d'hébergement (juste les noms d'hyperscalers sans régions), un processus d'effacement passant par le support plutôt qu'un endpoint API documenté, et aucune mention de troncature d'IP ou de minimisation des données par défaut.
« Conforme RGPD » comme allégation marketing ne signifie rien sans un DPA qui se mappe à l'Article 28(3), une liste de sous-traitants à jour et spécifique à la région, et la preuve que la posture de collecte de données par défaut applique la minimisation plutôt que d'exiger que vous y souscriviez.
La checklist du raccourcisseur compatible RGPD#
Ce sont les dix questions à mettre par écrit avant de signer un contrat avec un raccourcisseur d'URL qui traitera des données de clics sur des sujets UE.
1. Où les données sont-elles traitées, et est-ce un engagement contractuel ?#
Demandez la région de l'hyperscaler - pas seulement le nom du fournisseur cloud. « AWS » n'est pas une réponse ; une région UE nommée telle que « AWS eu-central-1 » l'est. Plus important encore, demandez si cette région est une clause contraignante dans le contrat standard ou une pratique opérationnelle qui peut changer sans votre consentement. Au titre de l'Article 44, les transferts en dehors de l'EEE ont besoin d'une base juridique ; vous voulez l'engagement de résidence dans le contrat afin de ne pas avoir à refaire l'analyse à chaque fois que le fournisseur met à jour son infrastructure.
2. Le DPA est-il pré-signé, et couvre-t-il l'Article 28(3) intégralement ?#
Un DPA livré pré-signé dans le contrat standard signale que le fournisseur traite la conformité RGPD comme une base, pas une négociation. Lisez le DPA contre les huit sous-paragraphes de l'Article 28(3). Chacun doit être traité. Faites particulièrement attention au paragraphe (d) - engagement de sous-traitants - et au paragraphe (h) - droits d'audit. Un langage générique comme « nous utilisons des pratiques de sécurité standard de l'industrie » à la place des obligations concrètes est un signal d'alerte.
3. Combien de sous-traitants, et sont-ils nommés avec leurs régions ?#
Chaque sous-traitant est un lien supplémentaire dans la chaîne de transfert. Une liste courte avec des régions nommées (fournisseur de compute UE dans la région UE, fournisseur d'email en US Est, etc.) est auditable en une seule revue. Une liste longue avec des noms de fournisseurs vagues est un fardeau de maintenance et un risque de résidence. Au titre de l'Article 28(2), chaque sous-traitant doit accepter les mêmes obligations de protection des données que le sous-traitant principal. Demandez quelle est la période de notification pour les nouveaux sous-traitants et si vous avez un droit d'objection.
4. Le raccourcisseur tronque-t-il ou hache-t-il les adresses IP avant de les stocker ?#
Le stockage complet des adresses IP est rarement nécessaire pour les cas d'usage analytique qu'un raccourcisseur prend en charge. La géolocalisation au niveau du pays et la détection de bots peuvent être effectuées au moment de la redirection à partir de l'IP complète et le résultat stocké ; l'IP brute peut alors être supprimée ou tronquée. Au titre de l'Article 5(1)(c), stocker plus de données que la finalité ne l'exige est une violation du principe de minimisation des données. Demandez si la troncature ou le hachage d'IP est la valeur par défaut, ou si vous devez y souscrire. La minimisation par défaut est la bonne architecture ; la minimisation par opt-in déplace le risque de conformité sur vous.
5. La redirection injecte-t-elle des scripts ou pixels tiers ?#
Certains raccourcisseurs offrent l'injection de pixel de reciblage comme fonctionnalité : lorsqu'un visiteur clique sur votre lien court, le raccourcisseur charge un Meta Pixel, Google Tag, ou un script tiers similaire avant ou pendant la redirection. Pour les sujets UE, charger un script de suivi comportemental tiers sans consentement préalable est une violation de l'Article 6 et, selon si des cookies sont définis, de la Directive ePrivacy. Si votre raccourcisseur propose l'injection de pixel, cette fonctionnalité doit être désactivée ou conditionnée au consentement pour le trafic UE. Si le fournisseur ne peut pas confirmer qu'aucun script tiers ne se charge par défaut au moment de la redirection, testez-le vous-même avec l'onglet Réseau ouvert.
6. Y a-t-il un endpoint API pour les demandes de droit à l'effacement ?#
L'Article 17 donne aux personnes concernées le droit d'obtenir l'effacement de leurs données personnelles « sans retard injustifié » lorsque des motifs spécifiques s'appliquent. Lorsque vous recevez une demande d'effacement liée à des données de clics que votre raccourcisseur détient, vous avez besoin d'un mécanisme pour agir dessus. Un endpoint API qui accepte un identifiant de sujet et supprime les événements de clics associés est la réponse opérationnellement correcte. L'effacement par ticket de support n'est pas « sans retard injustifié » dans la plupart des interprétations des autorités de contrôle et n'est pas un pattern scalable à un volume de clics significatif.
La complication est que les événements de clics vivent souvent dans une base de données analytique en colonnes append-only (par exemple BigQuery ou Snowflake). Un fournisseur qui stocke les événements de clics de cette façon doit démontrer que la suppression est réelle - un DELETE contre la partition pertinente - pas juste un drapeau soft. Demandez le SLA d'Article 17 du fournisseur et le mécanisme technique derrière.
7. Quel est le SLA de notification de violation ?#
L'Article 33 exige qu'un responsable du traitement notifie son autorité de contrôle d'une violation de données personnelles « sans retard injustifié et, si possible, au plus tard 72 heures après en avoir pris connaissance ». Pour que cette horloge fonctionne, il faut que votre sous-traitant vous notifie matériellement plus vite - la norme du secteur est de 24 heures entre la prise de connaissance et la notification au responsable du traitement. Votre DPA devrait spécifier ce SLA. « Nous vous notifierons rapidement » n'est pas un chiffre.
8. Le raccourcisseur utilise-t-il par défaut une analytique sans cookies et propriétaire ?#
De nombreux raccourcisseurs construisent leur propre tableau de bord analytique au-dessus d'un outil d'analytique produit tiers (Mixpanel, Amplitude, Segment) qui est hébergé aux États-Unis et peut définir des identifiants persistants dans des cookies ou le stockage local. Pour l'analytique produit propre du raccourcisseur (suivant votre utilisation du tableau de bord), c'est une affaire distincte. La question pertinente pour le suivi de clics est de savoir si le flux de redirection définit des cookies ou des identifiants persistants sur le navigateur du visiteur sans consentement.
Un événement de clic sans cookie - un qui dérive le pays, l'appareil et le référent à partir des en-têtes de requête sans définir d'état côté client - n'exige pas un mécanisme de consentement pour l'analytique propriétaire selon la plupart des orientations des autorités de contrôle, à condition que les données soient traitées sous intérêt légitime et que l'avis de confidentialité soit accessible. Une redirection qui définit un identifiant persistant ou charge un tag tiers exige une barrière de consentement. Sachez laquelle votre raccourcisseur utilise.
9. Y a-t-il un avis de transparence accessible aux destinataires de liens ?#
L'Article 13 exige que les personnes dont les données sont collectées soient informées du traitement au moment de la collecte, à moins qu'une exception ne s'applique. Pour le suivi de clics sur un lien court, la question pratique est : comment la personne qui clique sur le lien sait-elle que son clic est suivi, et où peut-elle lire à ce sujet ?
La plupart des déploiements de raccourcisseurs satisfont cela via l'avis de confidentialité du responsable du traitement sur la page de destination ou dans un bandeau cookies sur la page de campagne d'origine. Le raccourcisseur en tant que sous-traitant n'a pas besoin d'afficher son propre avis au cliqueur - mais vous, en tant que responsable du traitement, avez besoin d'un avis de confidentialité qui couvre la chaîne de traitement de suivi de liens. Si la politique de confidentialité du raccourcisseur est le seul document qui décrit le traitement, et qu'elle est écrite du point de vue du fournisseur plutôt que du responsable du traitement, vous avez une lacune.
10. Pouvez-vous télécharger et supprimer vos propres données sans contacter le support ?#
C'est un test pratique pour savoir si un fournisseur opérationnalise réellement les droits des personnes concernées qu'il prétend prendre en charge. Vous devriez pouvoir : exporter tous les événements de clics pour un espace de travail dans un format portable, supprimer des liens individuels et leur historique de clics associé, et résilier le compte avec suppression documentée de toutes les données personnelles. Si l'un de ces points exige une demande de support plutôt qu'une action API ou tableau de bord en libre-service, demandez le SLA et mettez-le dans le contrat.
Les compromis impliqués#
L'architecture compatible RGPD implique de vrais compromis, et être honnête à leur sujet est plus utile que de prétendre que les contraintes de conformité n'ont aucun coût.
Analytique plus grossière. Un raccourcisseur qui tronque les IP à /24 et abandonne la chaîne user-agent complète vous donne le pays, la famille d'appareils et l'OS - mais pas le ciblage au niveau de la ville, pas l'empreinte de navigateur individuelle, et pas la résolution d'identité inter-sessions que des données pleine résolution permettraient. Pour la plupart des cas d'usage d'attribution de campagne, ce niveau de résolution est suffisant. Pour le reciblage au niveau individuel, vous avez besoin d'une approche différente - typiquement la transmission de conversion côté serveur contre un identifiant propriétaire que l'utilisateur a déjà partagé (adresse email, ID utilisateur connecté), qui n'exige pas que le raccourcisseur suive l'individu au niveau de la couche de redirection.
Surface de fonctionnalités plus petite. Certaines des fonctionnalités les plus puissantes des raccourcisseurs - injection de pixel de reciblage, suivi cross-domain, intégration profonde avec les plateformes publicitaires tierces - sont construites sur des pratiques de collecte de données difficiles à concilier avec la minimisation des données. Un raccourcisseur compatible RGPD tend à avoir une redirection plus propre qui en fait moins à la couche de redirection et achemine plus à la couche d'événement de conversion, où le responsable du traitement a une relation directe avec l'utilisateur et peut fonder le suivi sur le consentement.
Surcharge d'approvisionnement. Choisir un raccourcisseur hébergé dans l'UE avec un DPA pré-signé réduit le cycle d'approvisionnement par rapport à un fournisseur hébergé aux États-Unis qui exige un contrat personnalisé pour la résidence UE. Cela n'élimine pas le cycle. Vous devez encore examiner le DPA, vérifier la liste des sous-traitants, valider le SLA d'effacement et confirmer que les valeurs par défaut de troncature d'IP et de cookies correspondent à votre avis de confidentialité. Estimez deux à quatre heures de travail d'approvisionnement pour un raccourcisseur compatible RGPD contre deux à huit semaines pour un fournisseur hébergé aux États-Unis où la résidence UE exige une négociation de contrat personnalisée.
Comment Elido aborde cela#
Là où c'est pertinent pour cette checklist, voici à quoi ressemble le déploiement standard d'Elido.
Résidence des données. Elido traite les événements de clics sur une infrastructure UE dans la région UE par défaut. La résidence est une clause contraignante dans le contrat client standard, pas une pratique opérationnelle. Les clients Business+ peuvent épingler à d'autres régions ; la valeur par défaut ne transfère pas les données en dehors de l'EEE.
Troncature d'IP. Les événements de clics stockés dans notre entrepôt d'analytique contiennent le préfixe réseau /24 (IPv4) ou /48 (IPv6), pas l'adresse IP complète. La géo et la détection de bots tournent sur l'IP complète au moment de la redirection et l'IP complète est supprimée avant que l'événement ne soit persisté. C'est la valeur par défaut ; vous n'avez pas besoin de la configurer.
Pixels tiers au moment de la redirection. Le plan de redirection ne charge aucun script tiers. La transmission de conversion côté serveur - envoi de données d'attribution à Meta CAPI, GA4, ou similaire - est une fonctionnalité optionnelle, configurée séparément, qui utilise des données d'événement propriétaires que vous POSTez à l'API Elido, pas un pixel injecté au moment de la redirection. Ce sont architecturalement différents : l'un se déclenche à l'insu du visiteur depuis la redirection, l'autre est un appel serveur à serveur basé sur des données que le visiteur a déjà partagées avec vous.
DPA. Le DPA d'Elido est pré-signé dans le contrat client standard. Il traite les huit sous-paragraphes de l'Article 28(3). Les sous-traitants sont listés sur la page de confiance avec les régions nommées. La page legal/privacy couvre la chaîne de traitement visible aux destinataires de liens.
Droit à l'effacement. Les demandes d'effacement Article 17 se propagent au stockage des événements de clics dans les 24 heures. La suppression est une opération au niveau de la partition, pas un drapeau soft.
Analytique sans cookies. Le plan de redirection ne définit pas de cookies. Les événements de clics sont uniquement côté serveur. Le tableau de bord analytique qu'Elido livre en interne utilise Plausible en mode sans cookies pour la télémétrie produit ; c'est séparé de l'enregistrement des événements de clics pour vos campagnes.
Ce qu'Elido n'a pas encore : SOC 2 Type II (en cours, ciblé pour H2 2026), un modèle d'AIPD en libre-service pour les clients, et une API de demande d'accès du sujet entièrement automatisée pour les scénarios de droit d'accès moins courants. Pour les détails sur les attestations actuelles, voir la page de confiance.
Checklist de migration pour basculer depuis un raccourcisseur hors UE#
Si vous utilisez actuellement un raccourcisseur hébergé aux États-Unis et avez besoin de passer à un raccourcisseur hébergé dans l'UE, voici une checklist opérationnelle condensée.
Avant de signer le nouveau contrat :
- Lisez le DPA du nouveau fournisseur contre l'Article 28(3). Confirmez que les huit points sont couverts explicitement.
- Vérifiez la liste des sous-traitants. Confirmez que les régions d'hébergement sont nommées, pas seulement les fournisseurs cloud.
- Confirmez la valeur par défaut de troncature d'IP. Demandez une confirmation écrite si elle n'est pas dans la documentation produit.
- Confirmez le SLA Article 17 et le mécanisme technique.
- Vérifiez si des pixels de reciblage se déclenchent au moment de la redirection. Si oui, confirmez qu'ils peuvent être désactivés entièrement ou conditionnés au consentement.
Pendant la migration :
- Exportez vos liens courts existants en CSV. Vérifiez que les slugs personnalisés sont préservés par la nouvelle plateforme avant de toucher au DNS.
- Provisionnez tous les liens sur la nouvelle plateforme sous le même domaine personnalisé et les mêmes slugs avant de réorienter le CNAME.
- Prévoyez 24 à 48 heures pour la propagation DNS après le basculement de CNAME. Les deux plateformes serviront des réponses valides pendant cette fenêtre si les slugs correspondent.
- Ne migrez pas les données de clics historiques de l'ancienne plateforme - la chaîne de responsabilité pour les anciens événements de clics reste avec l'ancien sous-traitant jusqu'à ce que vous exerciez les droits de suppression.
Après la migration :
- Émettez une demande d'effacement à l'ancien fournisseur pour toutes les données personnelles associées à votre espace de travail. Confirmez la réception et le calendrier de suppression.
- Mettez à jour votre avis de confidentialité pour refléter le nouveau sous-traitant, ses sous-traitants ultérieurs et la nouvelle résidence des données.
- Examinez tous les bandeaux cookies ou mécanismes de consentement qui référençaient les fonctionnalités de suivi de l'ancien raccourcisseur. Ajustez la portée si la collecte par défaut de la nouvelle plateforme est plus étroite.
Le playbook de migration depuis Bitly couvre les mécaniques techniques de l'import de liens et du basculement DNS plus en détail.
Que vérifier avant de faire confiance à une revendication RGPD#
N'importe quel raccourcisseur peut mettre « conforme RGPD » sur une page tarifaire. La revendication n'est pas réglementée et ne porte aucun poids juridique en soi. Les artefacts qui portent du poids sont :
- Un DPA qui se mappe à l'Article 28(3) sous-paragraphe par sous-paragraphe.
- Une liste de sous-traitants qui nomme les fournisseurs, les régions et les catégories de données partagées.
- Un avis de confidentialité accessible aux destinataires de liens qui décrit la chaîne de traitement - cela satisfait l'Article 13.
- Un traitement d'IP documenté qui confirme la troncature ou le hachage avant la persistance.
- Un SLA d'effacement Article 17 avec un mécanisme technique nommé.
- Une attestation indépendante (ISO 27001 est le plancher ; SOC 2 Type II ajoute de l'assurance pour l'approvisionnement US/international).
Si un fournisseur ne peut pas fournir tout cela par écrit en un jour ouvré, la revendication « conforme RGPD » est de la copie marketing plutôt qu'une posture de conformité documentée.
Pour l'analyse juridique au niveau des articles derrière cette checklist, le RGPD pour les raccourcisseurs d'URL cornerstone couvre les Articles 3, 6, 28, 30, 32 et 35 en profondeur avec des citations d'autorités de contrôle. Artefacts orientés approvisionnement : la politique de confidentialité, les conditions de service et la tarification d'Elido - le DPA est intégré dans le contrat standard à chaque palier payant.
À lire aussi sur le blog#
Essayer Elido
Collez une URL, obtenez un lien court
Sans inscription. Lien actif 30 jours. Inscrivez-vous pour le garder pour toujours.
Gratuit, sans inscription · 2 par jour