Un raccourcisseur d'URL conforme au RGPD fait quatre choses : il signe un contrat de sous-traitance qui couvre l'article 28(3), il stocke aussi peu de données de clic que la finalité l'exige, il peut supprimer ces données sur demande, et il ne déclenche aucun pixel tiers pendant la redirection. Tout le reste sur une page de tarifs ("conforme RGPD", un badge) relève du marketing tant que vous ne voyez pas ces quatre points par écrit.
Un clic crée une ligne de journal : adresse IP, horodatage, user agent, en général un référent. Au titre de l'article 4(1), cela peut être une donnée personnelle, et la CJUE l'a dit des IP dynamiques dans Breyer (C-582/14). Votre raccourcisseur détient ce journal : c'est donc un sous-traitant et vous êtes le responsable de traitement. Cet article est la version courte de la revue du contrat : dix vérifications, ce que publient trois fournisseurs connus, et où Elido lui-même est en défaut. Pour le raisonnement juridique article par article, lisez le guide de référence sur le RGPD pour les raccourcisseurs d'URL. Pour savoir où vos autres outils marketing stockent les données, voir la résidence des données UE pour les outils marketing ; je ne le répéterai pas ici.
Ce que le RGPD demande à un raccourcisseur de liens
Quatre obligations incombent au raccourcisseur, et chacune correspond à quelque chose que vous pouvez demander.
Un contrat conforme à l'article 28(3). L'article 28(3) exige des instructions documentées, la confidentialité, la sécurité, un encadrement des sous-traitants ultérieurs, l'aide pour les demandes des personnes concernées, l'aide pour les obligations en matière de violations et d'AIPD, la suppression ou la restitution à la fin du contrat, et des droits d'audit. Pas de tel contrat, pas de déploiement dans l'UE.
Une base légale pour la couche d'analytics. La redirection est nécessaire pour délivrer le lien. Enregistrer le clic pour le reporting est une opération distincte. La plupart des équipes s'appuient sur l'intérêt légitime (article 6(1)(f)) pour de simples comptages. Dès que la redirection charge un pixel publicitaire, vous êtes sur le terrain du consentement.
La minimisation. L'article 5(1)(c) vous limite à ce qui est nécessaire. Le pays, la catégorie d'appareil, le référent et l'horodatage répondent à la plupart des questions de campagne. L'IP complète et une chaîne user agent brute ne méritent généralement pas leur place.
Une voie de transfert licite. Si les données de clic quittent l'EEE, les articles 44 et 46 s'appliquent : CCT avec évaluation du transfert, ou certification Data Privacy Framework, qui reste contestée.
Ce que publient Bitly, Rebrandly et TinyURL
J'ai lu les pages juridiques propres à chaque fournisseur le 2026-10-24 (consultées le 2026-10-24). Lorsqu'une page ne s'est pas chargée ou ne le disait pas, je n'avance aucune affirmation.
| Fournisseur | Localisation des données | Mécanisme de transfert | DPA |
|---|---|---|---|
| Bitly | La politique de confidentialité dit que les données "may be transferred outside the European Union and the European Economic Area, including, but not limited to, the United States" | CCT, et une certification EU-U.S. DPF déclarée | La politique de confidentialité ne mentionne pas de DPA ; elle nomme un accord de responsabilité conjointe entre Bitly Inc. et Bitly Europe GmbH |
| Rebrandly | Annexe 1 du DPA : serveurs AWS "located mainly in the United States" ; section 6.3.1 : principales installations de traitement aux États-Unis ; aucune région UE nommée | CCT (module deux, responsable vers sous-traitant) ; DPF non mentionné | Oui, le DPA fait partie du contrat d'abonnement (les conditions d'utilisation) |
| TinyURL | Les pages de politique ne se sont pas chargées pour moi (seul un titre de page est revenu) | Non indiqué | Non indiqué |
Sources : politique de confidentialité de Bitly, DPA de Rebrandly, conditions de TinyURL et politique de confidentialité.
Lisez ce tableau pour ce qu'il est. Bitly et Rebrandly s'appuient tous deux sur des outils de transfert reconnus et le disent ouvertement ; ni l'un ni l'autre ne publie d'engagement de traitement exclusivement dans l'UE sur les pages que j'ai vérifiées, même si un contrat entreprise sur mesure peut en proposer un. Pour TinyURL, je ne peux rien vous dire, car les pages récupérées n'ont renvoyé aucun texte de politique. Si cela compte pour vous, demandez directement à TinyURL le DPA et la liste des sous-traitants ultérieurs, et attendez la réponse avant d'acheter. Le prix est une question distincte et je n'ai vérifié les tarifs d'aucun fournisseur pour cet article.
Dix vérifications avant de signer
Posez chacune de ces questions au fournisseur par écrit. Chacune teste un article précis.
1. Où les données de clic sont-elles stockées, et est-ce une clause du contrat ?
Demandez la région, pas la marque du cloud. "AWS" n'est pas une réponse. Demandez ensuite si la région figure dans le contrat ou seulement dans la pratique actuelle, que le fournisseur peut changer.
2. Le DPA couvre-t-il tout l'article 28(3) ?
Lisez-le face aux huit points. Regardez de près l'engagement de sous-traitants ultérieurs et les droits d'audit ; un langage vague de "sécurité conforme aux standards du secteur" à leur place est un signal d'alerte.
3. Les sous-traitants ultérieurs sont-ils nommés, avec régions et délai de préavis ?
Chaque sous-traitant ultérieur allonge la chaîne de transfert. Une liste courte et à jour avec les régions se revoit en une séance. Demandez quel préavis vous avez pour un nouveau et si vous pouvez vous y opposer.
4. Qu'est-ce qui est exactement stocké par clic ?
Obtenez la liste des champs. L'IP est-elle stockée en entier, tronquée ou hachée ? La géolocalisation au niveau de la ville est-elle conservée ? La minimisation par défaut est la bonne conception ; une minimisation sur option laisse le risque à votre charge.
5. La redirection charge-t-elle un script tiers ?
L'injection de pixels au moment de la redirection pour des visiteurs de l'UE exige d'abord un consentement. Ouvrez l'onglet Network, cliquez sur un lien de test dans un profil de navigateur vierge et regardez ce qui se charge avant la destination.
6. Comment fonctionne l'effacement des données de clic ?
L'article 17 dit "dans les meilleurs délais". Les lignes de clic portent rarement un nom : demandez comment le fournisseur trouve et supprime les lignes d'une personne, et quel est le délai de traitement.
7. Quel est le délai de notification des violations ?
Vous avez 72 heures pour prévenir votre autorité de contrôle après en avoir pris connaissance. Votre sous-traitant a besoin d'un engagement chiffré et plus court dans le DPA. "Rapidement" n'est pas un nombre.
8. La redirection pose-t-elle des cookies ou des identifiants persistants ?
Une redirection qui déduit le pays et l'appareil des en-têtes de la requête et ne dépose rien sur le navigateur est facile à défendre. Celle qui pose un identifiant a besoin d'une barrière de consentement. Vérifiez vous-même les en-têtes de réponse.
9. Les destinataires peuvent-ils savoir qu'il y a un suivi ?
La transparence de l'article 13 relève surtout de votre rôle de responsable de traitement : votre notice de confidentialité doit couvrir la chaîne de suivi des liens. Une politique de fournisseur rédigée de son point de vue ne le fera pas pour vous.
10. Pouvez-vous exporter et supprimer sans ticket ?
Exporter les événements de clic, supprimer des liens avec leur historique et fermer le compte avec une suppression documentée. Si l'un de ces points exige une demande au support, obtenez le délai de traitement dans le contrat.
Les compromis
Des données minimisées vous coûtent un peu d'analytics. Sans l'IP complète et le user agent brut, vous perdez la précision au niveau de la ville et l'identité inter-sessions. Pour l'attribution de campagne, le pays, l'appareil et le référent suffisent. Pour du retargeting au niveau de la personne, utilisez le transfert de conversions côté serveur fondé sur un identifiant que l'utilisateur vous a déjà donné, comme un identifiant de connexion, plutôt que de suivre à la redirection.
Vous renoncez aussi à certaines fonctionnalités. L'injection de pixels et le suivi inter-domaines reposent sur une collecte qui s'accorde mal avec la minimisation. Une configuration conforme au RGPD garde la redirection simple et déplace la mesure vers l'événement de conversion, où vous avez une relation directe avec l'utilisateur. L'achat demande tout de même de l'effort : attendez-vous à lire le DPA, la liste des sous-traitants ultérieurs et le processus d'effacement, quel que soit le fournisseur choisi. Voir aussi l'attribution des clics après Safari ITP et Schrems II et les pixels de suivi.
Où en est Elido aujourd'hui
J'ai vérifié cela dans le code le 2026-11-12, et certains points ne sont pas flatteurs.
- Données de clic. Le stockage des événements de clic conserve l'IP du visiteur telle qu'envoyée par l'edge, plus le pays et, au mieux, la région, la ville et les coordonnées lorsqu'une base de villes est configurée. Nous ne tronquons pas les IP aujourd'hui.
- Pixels. Une redirection simple ne charge aucun script tiers. Un lien peut opter pour une page d'accueil intermédiaire qui déclenche des pixels Meta, Google, LinkedIn ou TikTok avant de rediriger ; si vous l'utilisez pour des visiteurs de l'UE, il vous faut une base de consentement. Le transfert de pixels côté serveur vers les plateformes publicitaires envoie aussi l'IP du visiteur.
- Effacement. Le workflow d'administration pour les personnes concernées peut exporter et effacer un compte (l'enregistrement utilisateur est anonymisé ; les enregistrements de facturation sont conservés au titre de l'article 17(3)(b)). La même demande peut supprimer les données de clic des espaces de travail dont la personne est l'unique propriétaire et, pour un visiteur de lien, tous les clics de son réseau tronqué, restreints à un navigateur lorsqu'il fournit le user agent. Les lignes de clic expirent aussi selon une fenêtre par forfait : 90 jours sur Free, un an sur Pro, deux ans sur Business.
- Contrat et sous-traitants ultérieurs. Un DPA avec CCT de l'UE est disponible sur demande sur tous les forfaits, Free compris ; il n'est pas accepté au paiement et aucun téléchargement n'est publié. La liste des sous-traitants ultérieurs (13 fournisseurs) et la politique de confidentialité sont publiées. Les données sont stockées dans l'UE, mais des nœuds de redirection hors de l'UE traitent toujours les requêtes des visiteurs et il n'y a pas encore de choix de région par espace de travail. Lisez-les vous-même face aux vérifications 1 à 3, et voyez la page de confiance pour les attestations ; je n'en ai pas reformulé le contenu ici.
Si vous quittez un autre fournisseur, le guide de migration depuis Bitly couvre l'import des liens et la reprise du DNS. Après la bascule, envoyez à l'ancien fournisseur une demande d'effacement pour votre espace de travail, mettez à jour votre notice de confidentialité avec le nouveau sous-traitant, et revoyez tout bandeau de consentement qui faisait référence au suivi de l'ancien outil. Pour les plans, voir les tarifs.
À vérifier avant de croire une mention "conforme RGPD"
Ce label n'est pas réglementé et n'a aucune valeur juridique. Les éléments qui en ont : un DPA relié à l'article 28(3), une liste de sous-traitants ultérieurs avec régions, une description au niveau des champs de ce que stocke un clic, un processus d'effacement que vous pouvez tester, et un délai de violation chiffré. Si un fournisseur ne peut pas les envoyer en un jour ouvré, considérez le badge comme du texte publicitaire.
Voir aussi sur le blog
Questions fréquentes
Un raccourcisseur d'URL est-il un sous-traitant au sens du RGPD ?
Oui, dans la configuration habituelle. Vous décidez pourquoi et comment les clics sont mesurés : vous êtes donc le responsable de traitement, et le raccourcisseur traite les données de clic sur vos instructions. Cela exige un contrat écrit conforme à l'article 28(3).
Une adresse IP dans un journal de clics est-elle une donnée personnelle ?
Oui. La CJUE a jugé dans l'arrêt Breyer (C-582/14) qu'une adresse IP dynamique est une donnée personnelle lorsque son détenteur dispose de moyens légaux d'identifier la personne qui s'y trouve derrière. Un raccourcisseur qui consigne l'IP complète à côté d'un horodatage est dans cette situation.
Ai-je besoin d'un consentement pour suivre les clics sur des liens courts ?
Pas toujours. Le comptage des clics côté serveur avec des champs minimaux repose souvent sur l'intérêt légitime au titre de l'article 6(1)(f), mais charger des pixels publicitaires ou poser des identifiants pour des visiteurs de l'UE exige généralement un consentement, et les règles ePrivacy s'appliquent à l'accès à l'appareil.
Un raccourcisseur hébergé aux États-Unis enfreint-il le RGPD ?
Pas automatiquement. Les transferts vers les États-Unis sont licites avec un mécanisme valable tel que les clauses contractuelles types accompagnées d'une évaluation du transfert, ou une certification Data Privacy Framework. Ils ajoutent des formalités et un risque juridique qu'un outil hébergé dans l'UE n'a pas.
Que doit contenir le DPA d'un raccourcisseur ?
Tout ce que liste l'article 28(3) : instructions documentées, confidentialité, sécurité, règles sur les sous-traitants ultérieurs, aide pour les demandes des personnes concernées, aide pour les AIPD et les violations, suppression ou restitution en fin de contrat, et droits d'audit.
Comment effacer les données de clic d'une personne chez un raccourcisseur ?
Demandez au fournisseur comment les lignes de clic sont identifiées et supprimées. Les journaux de clics contiennent rarement un nom : l'effacement revient donc généralement à supprimer par IP, par lien ou par plage de temps. Si le fournisseur ne peut traiter cela que par un ticket de support, obtenez le délai de traitement par écrit.
Essayer Elido
Collez une URL, obtenez un lien court
Sans inscription. Lien actif 30 jours. Inscrivez-vous pour le garder pour toujours.
Sans inscription. Créez un compte gratuit pour 50 liens par mois.