Le prompt complet à donner à Claude pour mettre ton site ou ton app en conformité, point par point : pages légales, cookies, formulaires, vente, accessibilité et lois de ton pays. Avec les vrais montants, et comment vérifier son travail sans être juriste.
Ce guide t'aide à ne rien oublier. Il ne remplace pas un avocat. En cas de doute, demande à un professionnel du droit ou consulte cnil.fr.
Pour un petit site, le risque réaliste n'est pas l'amende record. C'est la plainte d'un visiteur, puis une sanction simplifiée. Et la plupart des manquements se corrigent en une après-midi avec Claude.
Ouvre ton projet dans Claude Code (dans le dossier du site), ou dans un projet claude.ai avec tes fichiers. Remplace ce qui est entre crochets, puis colle :
Tu es un expert en conformité
web pour la France et l'UE.
Mon site a été codé avec toi.
Audite tout le projet, puis
corrige dans cet ordre, en me
montrant chaque changement.
1. Pages obligatoires : crée ou
mets à jour une politique de
confidentialité (responsable,
finalités, bases légales,
durées de conservation,
destinataires, droits, contact,
réclamation auprès de la CNIL),
des CGU, des CGV si je vends à
des particuliers, une politique
cookies et une page Mentions
légales conforme à l'article
1-1 de la LCEN. Relie-les
toutes dans le pied de page.
2. Cookies : liste chaque cookie
et chaque script tiers
réellement chargé. Dis-moi
lesquels sont exemptés de
consentement selon la CNIL.
Seulement s'il en reste au
moins un non exempté : ajoute
un bandeau avec « Tout
accepter » et « Tout refuser »
au même niveau, et bloque ces
scripts tant que je n'ai pas
accepté.
3. Vente : si le site vend à
des particuliers, ajoute une
page remboursement et
rétractation (14 jours,
formulaire type) et affiche
cette information avant le
paiement.
4. Formulaires : sous chaque
formulaire, une mention
d'information courte avec un
lien vers la politique de
confidentialité. Une case de
consentement uniquement quand
il en faut une (newsletter,
prospection), jamais
pré-cochée.
5. Minimisation : liste chaque
champ collecté et supprime
ceux qui ne servent pas.
6. Accessibilité : HTML
sémantique, titres dans
l'ordre, navigation au
clavier, un label sur chaque
champ, un texte alternatif sur
chaque image utile (alt vide
pour les images décoratives),
un contraste d'au moins 4,5:1
pour le texte normal et 3:1
pour le grand texte (WCAG 2.1
AA). Aucun texte important
uniquement dans une image.
7. Conformité locale : je suis
en [pays], statut [particulier
/ micro-entrepreneur /
société], mes clients sont en
[pays]. Liste ce qui manque
encore pour mon cas.
Règles : n'invente jamais
d'information légale (nom,
SIRET, adresse, hébergeur,
directeur de publication).
Mets [À REMPLIR] à la place et
donne-moi la liste à la fin.
Termine par un tableau :
exigence, statut, ce qu'il me
reste à faire. Rappelle-moi
que ce n'est pas un conseil
juridique.Claude ne connaît ni ton SIRET, ni ton adresse, ni ton hébergeur. Sans consigne, il en invente des plausibles, et une page Mentions légales avec un faux SIRET, c'est pire que pas de page. La dernière partie du prompt le lui interdit : il met [À REMPLIR] et te donne la liste. Remplis-la toi-même.
Mets un lien vers chacune dans le pied de page, sur toutes les pages.
Je dis « si t'as que des cookies indispensables au site, tu vas en avoir besoin ». C'est l'inverse : si tu n'as que des cookies indispensables, tu n'as pas besoin de bandeau. D'où le « *PAS » à l'écran.
La règle de la CNIL est simple : un consentement est obligatoire avant de déposer un traceur qui n'est pas indispensable. Les traceurs exemptés, donc sans bandeau s'il n'y a qu'eux :
Il te faut un bandeau dès que tu ajoutes une publicité, un bouton de partage de réseau social, une vidéo intégrée qui trace, ou la plupart des outils d'analyse tiers. Et ce bandeau doit respecter deux règles :
Claude ajoute souvent un bandeau par habitude, parfois avec un seul bouton. Le prompt lui fait d'abord lister ce qui est vraiment chargé : s'il n'y a que des cookies exemptés, il ne doit pas en ajouter.
Si tu vends à des particuliers, ils ont 14 jours pour changer d'avis, sans se justifier (article L221-18 du Code de la consommation). Tu dois :
Si tu oublies d'informer ton client, son délai de rétractation est prolongé de 12 mois. Des exceptions existent (contenus numériques livrés tout de suite, produits sur mesure…) : demande à Claude si l'une d'elles te concerne, puis vérifie.
Sous chaque formulaire, une mention courte dit à quoi servent les données, avec un lien vers ta politique de confidentialité. Par exemple :
Ton e-mail sert uniquement à
t'envoyer la newsletter. Tu
peux te désinscrire à tout
moment. Politique de
confidentialité.Une case à cocher n'est obligatoire que si le traitement repose sur ton consentement, typiquement la newsletter ou la prospection. Pour répondre à un message de contact, pas besoin de case. Et une case pré-cochée ne vaut pas consentement : la Cour de justice de l'Union européenne l'a jugé en 2019 (arrêt Planet49).
C'est le principe de minimisation (article 5 du RGPD) : tu ne collectes que ce qui sert vraiment. Pour une newsletter, un e-mail suffit, le prénom est un bonus. La date de naissance, le téléphone ou l'adresse n'ont rien à y faire.
Demande à Claude, dans le projet :
Liste chaque champ collecté
sur le site, à quoi il sert, et
supprime ceux qui ne servent à
rien. Supprime aussi leur
stockage côté serveur.La deuxième phrase compte : un champ retiré du formulaire mais toujours enregistré dans ta base, c'est un champ toujours collecté.
Depuis le 28 juin 2025, l'European Accessibility Act s'applique en France (article L412-13 du Code de la consommation) : les sites et applications de commerce en ligne qui vendent à des particuliers doivent être accessibles. Les microentreprises sont exemptées pour les services : moins de 10 personnes et 2 millions d'euros de chiffre d'affaires ou de bilan au maximum. Le contrôle revient à la DGCCRF.
Même si tu es exempté, fais-le : c'est un site plus clair pour tout le monde. Le référentiel en France, c'est le RGAA, aligné sur les WCAG 2.1 niveau AA :
alt="…"), et un alt vide pour les images décoratives.Les agents IA, c'est un bonus, pas la loi : un HTML clair et pas de texte important caché dans une image, et les assistants comme Claude lisent ton site correctement. Ce sont les mêmes réglages que pour l'accessibilité.
Le RGPD est le même dans toute l'Union européenne. Mais les mentions obligatoires, la langue des conditions de vente et une partie du droit de la consommation changent d'un pays à l'autre. Si tu es en France et que tu vends en Espagne, ce sont aussi les règles de tes clients qui comptent.
Je suis en [pays] et je vends à
des particuliers en [pays] :
qu'est-ce qui change pour mon
site ? Liste les obligations
en plus, avec leur source, et
dis-moi ce que je dois faire
vérifier par un professionnel.Prends sa réponse comme une liste de questions à vérifier, pas comme une réponse définitive.
Pas besoin d'être juriste. Dix vérifications, dans l'ordre :
Ouvre ton site dans une fenêtre de navigation privée. Rien ne doit se charger d'autre que le site lui-même avant ton premier clic sur le bandeau (s'il y en a un).
Dans Chrome : clic droit, Inspecter, onglet Application, puis Cookies. Compare la liste avec ta politique cookies.
Si tu as un bandeau, « Tout refuser » est au même niveau que « Tout accepter ».
Les liens vers chaque page légale sont présents sur toutes les pages.
Il n'en reste aucun, et aucune information n'est inventée.
Mention d'information sous chacun, aucune case pré-cochée, aucun champ inutile.
La rétractation est visible avant le paiement.
Navigue sur tout le site avec la touche Tab : tu vois toujours où tu es.
Demande à Claude de les recalculer page par page, chiffres à l'appui.
Chaque image utile a un alt qui décrit ce qu'elle montre.