Ce que font réellement les surfaces de suivi de Mailchimp

Une installation Mailchimp typique touche trois surfaces de suivi distinctes, chacune avec son propre modèle d'intégration et sa propre question de consentement. Les opérateurs qui les réduisent mentalement au « script Mailchimp » passent à côté des éléments importants.

Formulaires d'inscription intégrés

L'installation Mailchimp la plus courante est un formulaire d'inscription intégré — un petit bloc HTML/CSS collé dans un site web qui envoie les données à l'endpoint d'inscription de Mailchimp lors de la soumission. Le formulaire lui-même ne dépose pas de cookies et ne charge pas de scripts externes. C'est la surface Mailchimp la moins risquée du point de vue de la vie privée. La question de consentement pour les formulaires intégrés concerne le consentement à l'abonnement par email (couvert par la case à cocher du formulaire lui-même), et non les cookies.

Formulaires d'inscription popup

Les popups constituent une intégration plus lourde. La bibliothèque popup de Mailchimp (chargée depuis chimpstatic.com/mcjs-connected) est un SDK JavaScript complet qui observe le comportement des visiteurs pour décider quand afficher le popup, dépose des cookies pour mémoriser l'état de fermeture et signale les événements d'impression et de soumission à Mailchimp. Les cookies sont non essentiels, et le SDK s'initialise dès le chargement de la page. C'est la surface qui nécessite un contrôle par le CMP.

Suivi de site Mailchimp

Pour les utilisateurs de Mailchimp qui connectent une boutique (Shopify, WooCommerce, BigCommerce) ou activent le script de suivi Mailchimp, Mailchimp installe une couche de suivi comportemental qui observe les pages vues, les clics et les événements d'achat, en les attribuant aux abonnés connus. C'est la surface la plus analytique et celle qui nécessite le plus clairement un consentement de catégorie marketing au titre du GDPR.

Contrôles natifs de confidentialité de Mailchimp

Mailchimp a progressivement étendu ses primitives natives de confidentialité, mais la conception du produit de la plateforme suppose que l'opérateur prend des décisions pour un public non technique. Les contrôles natifs sont utiles, mais ils ne se substituent pas à un CMP en amont.

L'option des champs GDPR sur les formulaires

Les formulaires intégrés de Mailchimp peuvent être configurés pour afficher des champs de conformité GDPR — des cases à cocher séparées pour le marketing par email, le marketing personnalisé et des catégories similaires. L'activation de cette option est obligatoire pour tout formulaire destiné au trafic EU. Elle concerne le consentement à l'abonnement par email mais ne traite pas le consentement aux cookies.

Les autorisations marketing au niveau de l'abonné

Les profils d'abonnés peuvent enregistrer des autorisations marketing explicites pour l'email, le courrier postal et la publicité en ligne personnalisée. L'API Mailchimp et l'interface de gestion de l'audience exposent ces champs. C'est le bon endroit pour enregistrer le résultat d'une décision de bannière CMP lorsque l'abonné est un contact connu.

Paramètres de confidentialité du site connecté

La page de configuration du site connecté expose des paramètres pour ce que le script de suivi de site Mailchimp collecte. Désactiver le suivi identifiant est possible mais rarement le réglage par défaut ; l'opérateur doit savoir où chercher.

Intégration CMP étape par étape

Le modèle d'intégration fiable consiste à laisser les formulaires intégrés en place, conditionner la bibliothèque popup derrière la catégorie marketing du CMP, et conditionner le script de suivi de site derrière les catégories marketing et analytique.

1. Laisser les formulaires intégrés tels quels

Les formulaires intégrés ne chargent pas de scripts externes et ne déposent pas de cookies. Ils peuvent s'afficher au chargement initial de la page sans affecter la conformité, à condition que le formulaire lui-même inclue les champs de conformité GDPR là où c'est requis.

2. Différer la bibliothèque popup

L'extrait de code popup est une balise script chargeant chimpstatic.com/mcjs-connected. Remplacez-le par un élément script de substitution dont le type est text/plain et dont le data-category est marketing. Votre CMP réécrira le type en text/javascript lorsque le visiteur acceptera le marketing.

3. Différer le script de suivi de site

Si le suivi de site Mailchimp est activé, l'extrait de code doit être conditionné derrière les catégories analytique et marketing — le script effectue de l'analytique comportementale et de l'attribution pour l'automatisation marketing. L'approche prudente consiste à conditionner l'ensemble du script derrière la catégorie marketing, puisque la fonction analytique est accessoire à la fonction marketing plutôt qu'indépendante de celle-ci.

4. Synchroniser les décisions du CMP avec les profils d'abonnés

Lorsqu'un abonné connu met à jour son consentement via le CMP, inscrivez la décision dans les autorisations marketing de l'abonné Mailchimp via l'API. Cela maintient la segmentation de l'audience Mailchimp fidèle à la réalité du consentement de chacun.

5. Documenter la distinction entre formulaire intégré et popup

De nombreux audits butent sur le fait que les opérateurs traitent les formulaires intégrés comme un risque de conformité équivalent aux popups. Ce n'est pas le cas. Documenter quelles surfaces Mailchimp existent sur le site et comment chacune est traitée fait partie de l'obligation de responsabilité au titre de l'Article 5(2) du GDPR.

Pièges courants

Quatre erreurs d'intégration reviennent régulièrement dans les audits des déploiements Mailchimp de petites entreprises.

Considérer que « nous sommes trop petits pour être concernés » est une défense

Les régulateurs ne se concentrent plus exclusivement sur les cibles entreprises. La CNIL, l'ICO et le Garante italien ont tous infligé des amendes à de petits opérateurs au cours des 24 derniers mois. Les installations Mailchimp qui affectent des résidents de l'EU sont soumises aux mêmes normes de conformité quelle que soit la taille de l'opérateur.

Confondre consentement par email et consentement aux cookies

La case à cocher d'un formulaire d'inscription Mailchimp enregistre le consentement au marketing par email au titre des Articles 6/7 du GDPR. Elle n'enregistre pas le consentement aux cookies au titre de l'Article 5(3) de la directive ePrivacy. Les opérateurs supposent parfois que la case d'inscription couvre les deux. Ce n'est pas le cas.

Laisser la bibliothèque popup se charger avant le consentement

C'est le défaut le plus courant. L'extrait de code popup se charge au rendu de la page et commence à déposer des cookies immédiatement. La plupart des installations sont antérieures à la prise de conscience par l'opérateur que c'était un problème. Vérifiez explicitement le placement de l'extrait de code.

Oublier le suivi de la boutique connectée

Les opérateurs qui ont connecté une boutique Shopify ou WooCommerce à Mailchimp il y a des années oublient souvent que la connexion a installé un script de suivi. Inspectez les scripts réellement installés sur le site en production, pas seulement ceux dont l'opérateur se souvient.

Liste de contrôle d'audit

Six questions concrètes à résoudre pour tout déploiement Mailchimp touchant du trafic EU, UK ou californien.

• Les formulaires intégrés sont-ils configurés pour le GDPR ? Confirmez que l'option des champs de conformité GDPR est activée sur tout formulaire destiné au trafic EU.
• La bibliothèque popup attend-elle le consentement ? Ouvrez la page dans une fenêtre de navigation privée et confirmez qu'aucune requête vers chimpstatic.com n'est émise avant l'acceptation de la bannière.
• Le script de suivi de site est-il conditionné ? Si le suivi de site est activé, confirmez qu'il se charge uniquement après le consentement marketing.
• Les profils d'abonnés reflètent-ils l'état du CMP ? Confirmez que le CMP inscrit les décisions de consentement dans les autorisations marketing de l'abonné Mailchimp via l'API.
• L'inventaire des boutiques connectées est-il documenté ? Passez en revue la liste des boutiques connectées et documentez quels scripts de suivi chaque connexion a installés.
• Les abonnés préexistants ont-ils fait l'objet d'une re-permission ? Si vous avez migré des abonnés depuis une ancienne liste sans consentement GDPR explicite, confirmez qu'une campagne de re-permission a été effectuée.

La place de Mailchimp dans une architecture orientée consentement

Mailchimp est la plateforme marketing que les petits opérateurs sont le plus susceptibles de rencontrer et le plus susceptibles de mal configurer. La bonne nouvelle est que le travail de conformité évolue avec l'installation : un formulaire intégré ne nécessite presque rien, un popup nécessite un contrôle par le CMP, une installation complète de suivi de site nécessite le même traitement que tout autre traceur comportemental. Le travail difficile réside dans l'inventaire — savoir quelles surfaces Mailchimp sont réellement installées sur le site — et dans l'hygiène des autorisations d'abonnés, que la plateforme rend plus facile que la plupart des autres. Pour les petits opérateurs, la voie pratique consiste à commencer par un CMP qui prend en charge Mailchimp nativement, exécuter la liste de contrôle d'audit une fois, documenter le résultat, et y revenir chaque fois qu'une nouvelle fonctionnalité Mailchimp est activée. Le risque est réel, le travail est délimité, et l'environnement réglementaire a cessé d'accorder un passe-droit aux petits opérateurs.