Wix.com Ltd. est une plateforme de création de sites web israélienne comptant plus de 200 millions d'utilisateurs dans le monde. En Suisse, Wix est particulièrement répandu auprès des très petites et petites entreprises, des indépendants, des associations et des créatifs. Sur le plan de la protection des données, Wix constitue un cas particulier : le siège principal est à Tel Aviv, le traitement des données s'effectue via des centres de données aux États-Unis, en Europe et en Israël, et Israël bénéficie depuis 2011 d'une décision d'adéquation de la Commission européenne – la Suisse a également reconnu Israël comme adéquat (annexe 1 OPDo).

Cet article montre :

• quel rôle joue Wix en tant que sous-traitant et parfois responsable du traitement ;
• quels flux de données pertinents en matière de protection des données se créent réellement sur un site Wix ;
• quelles mentions obligatoires votre déclaration de protection des données suisse doit contenir ;
• quelles adaptations du package standard Wix sont nécessaires pour être conforme à la LPD ;
• comment vérifier les applications du Wix App Market avant de les installer ;
• et comment fonctionnent les cookies, le tracking et la gestion du consentement sur Wix.

Ancrages juridiques : LPD (art. 6, 8, 9, 16, 19, 22), RGPD (art. 6, 13, 28, 44 ss.), Israeli Privacy Protection Law 5741-1981, décision d'adéquation UE pour Israël 2011, recommandations du PFPDT sur les cookies (2023), directive ePrivacy.

Lorsque vous exploitez un site Wix, Wix.com Ltd. (40 Tuval St., Ramat Gan 5252247, Israël) devient le sous-traitant des données personnelles de vos visiteurs. La base contractuelle est constituée des Wix Terms of Use plus le Wix Data Processing Addendum, qui est automatiquement intégré à la relation contractuelle. Le DPA incorpore les clauses contractuelles types (CCT) de l'UE (Module 2) ainsi que l'addendum suisse.

Flux de données importants :

• Israël : le traitement principal de la plateforme (backend Wix, éditeur, gestion des comptes) s'effectue dans des centres de données israéliens. Israël bénéficie d'une reconnaissance d'adéquation de la Commission européenne et est également adéquat pour la Suisse.
• États-Unis : l'hébergement des contenus du site s'effectue en partie via des centres de données AWS et Google Cloud aux États-Unis. Pour ces transferts, Wix s'appuie sur le EU-US Data Privacy Framework (Auto-Certifié) et, en complément, sur les CCT.
• UE : pour les clients européens, Wix propose de plus en plus un hébergement basé dans l'UE, notamment pour Wix Studio Enterprise.

Wix est également responsable du traitement dans deux rôles : pour la télémétrie de la plateforme (performance, fraude) ainsi que pour sa propre communication marketing envers vous en tant que client. Ces traitements secondaires ne vous concernent pas directement dans votre déclaration de protection des données à l'égard des visiteurs du site.

À chaque visite de votre site Wix, les catégories de données suivantes sont générées :

• Fichiers journaux serveur : adresse IP, navigateur, système d'exploitation, référent, moment d'accès. Ces journaux sont conservés chez Wix à des fins de sécurité et de performance.
• Wix Analytics : actif par défaut ; mesure les visites, les appareils, la géographie. Pose ses propres cookies, qui nécessitent selon les recommandations du PFPDT 2023 au moins une information sur les cookies.
• Formulaires de contact : les contenus sont enregistrés dans Wix Contacts et transférés à l'adresse e-mail du propriétaire du site.
• Wix Bookings / Wix Stores : données de réservation et de commande incluant le flux de paiement via Wix Payments (sous-traitants Stripe, PayPal, etc.).
• Wix CRM et marketing par e-mail : si activé, les listes de membres, les destinataires de newsletters et l'automatisation du marketing sont gérés dans le cloud Wix.
• Tracking tiers : si vous intégrez Google Analytics, Meta Pixel, LinkedIn Insight, Hotjar ou similaires, des flux de données supplémentaires vers les fournisseurs respectifs sont générés.

La plupart de ces flux de données sont contrôlables et activables/désactivables via le tableau de bord Wix. Un inventaire en début de projet de protection des données (quelles fonctionnalités Wix sont actives, lesquelles sont réellement utilisées) réduit souvent considérablement ce que vous devez décrire dans la déclaration de protection des données.

Une déclaration de protection des données suisse complète pour un site Wix doit contenir au minimum (art. 19 LPD / art. 13 RGPD) :

1. Responsable du traitement : raison sociale, adresse suisse, numéro IDE, personne de contact pour les questions de protection des données.
2. Mention de la plateforme : « Ce site est exploité via la plateforme Wix.com Ltd. (40 Tuval St., Ramat Gan 5252247, Israël). »
3. Finalités du traitement : mise à disposition du site, demandes de contact, newsletter, réservations, boutique en ligne, analytics.
4. Catégories de données : journaux serveur, contenus des formulaires, données de réservation/commande, données newsletter, cookies et tracking.
5. Bases juridiques : exécution d'un contrat, intérêt légitime, consentement.
6. Destinataires : Wix.com Ltd. (sous-traitant), sous-traitants (AWS, Google Cloud), prestataires de paiement (Stripe, PayPal), fournisseurs marketing/analytics (si actifs).
7. Transfert vers des pays tiers : Israël (adéquation), États-Unis (Swiss-US DPF, EU-US DPF, CCT).
8. Durée de conservation : délais concrets par catégorie de données, pas « aussi longtemps que nécessaire ».
9. Droits des personnes concernées : accès, rectification, effacement, remise des données, opposition ; droit de recours auprès du PFPDT.
10. Cookies et tracking : notice cookies distincte ou tableau des cookies avec fournisseur, finalité et durée de conservation.

Dans l'éditeur Wix, la déclaration de protection des données peut être créée comme page propre (généralement /protection-des-donnees) et liée dans le pied de page. Wix ne propose pas de générateur automatique, mais intègre uniquement des modèles de prestataires tiers comme Termly ou iubenda sous forme d'application.

Wix dispose d'un App Market avec des milliers d'extensions – du chat en direct aux programmes de fidélité en passant par le CRM. Chaque application installée constitue juridiquement une divulgation supplémentaire de données. Nous recommandons :

Avant l'installation :

• Identifier l'éditeur de l'application (souvent un prestataire tiers, pas Wix lui-même).
• Vérifier la politique de confidentialité et le DPA de l'éditeur.
• Questionner de manière critique les autorisations requises (accès aux contacts, aux paiements, aux données du site).
• Vérifier le pays de siège de l'éditeur – un fournisseur américain sans certification DPF est aujourd'hui difficile à justifier.

Après l'installation :

• Mentionner l'application dans la déclaration de protection des données.
• Intégrer l'application dans le registre des activités de traitement.
• Vérifier périodiquement (au moins annuellement) si l'application est encore utilisée et si le DPA est encore à jour.

Les candidats à risque classiques dans le Wix App Market sont les chats en direct (Tidio, Tawk.to, Crisp), les outils de heatmap (Hotjar), les applications marketing avec fonction pixel (Wix Ads lui-même, OneSignal Push, intégrations Facebook) et les applications de fidélité. Pour ces outils, une petite analyse d'impact (AIPD) est souvent utile.

Wix propose une bannière de consentement aux cookies intégrée dans les paramètres du site. Elle distingue entre « strictement nécessaire », « fonctionnel », « analytics » et « publicité ». Recommandations de configuration :

• Mode opt-in pour l'UE : si vous vous adressez à des visiteurs de l'UE, les cookies non essentiels ne doivent être placés qu'après consentement actif. Wix prend en charge ce mode depuis 2022.
• Catégoriser Wix Analytics : par défaut, Wix Analytics relève de la catégorie « analytics » – ne diffuser qu'après consentement.
• Associer les pixels tiers au consentement : Meta Pixel, Google Analytics, LinkedIn Insight – tous ne peuvent se déclencher qu'après acceptation. Wix le permet dans les paramètres de tracking.
• Gérer le tableau des cookies : sur une sous-page /cookies ou directement dans la déclaration de protection des données – avec fournisseur, finalité, durée de conservation.
• Bouton de refus équivalent : la bannière Wix doit afficher « Accepter » et « Refuser » avec la même prominance – sinon vous enfreignez les lignes directrices 03/2022 du CEPD.

Si vos exigences dépassent la bannière standard Wix (catégories granulaires, IAB TCF, multilingue, journal d'audit), utilisez une plateforme de gestion du consentement externe comme Cookiebot, Usercentrics ou CCM19 et intégrez-la en tant que code personnalisé.

Wix a une présence mondiale ; de nombreux sites Wix suisses s'adressent de facto également aux citoyens de l'UE. Cela engendre trois obligations supplémentaires :

1. Représentant UE (art. 27 RGPD) : si vous n'avez pas d'établissement dans l'UE mais proposez des biens ou services à des citoyens de l'UE ou surveillez leur comportement, vous avez besoin d'un Représentant UE.
2. Représentant UK (UK GDPR art. 27) : de manière analogue, si vous ciblez activement des clients britanniques.
3. Mentions légales : obligation suisse selon l'art. 3 LCD : raison sociale, adresse, e-mail, le cas échéant registre du commerce et numéro IDE. À mettre en œuvre dans l'éditeur Wix comme page propre, à lier dans le pied de page.

Une erreur fréquente : les utilisateurs suisses de Wix reprennent un texte généré par un outil allemand, sans ajouter les obligations spécifiques à la LPD. Cela conduit à une déclaration qui contient de nombreux éléments RGPD, mais ne reflète pas du tout la LPD (art. 19 LPD, droit de recours auprès du PFPDT, art. 28 LPD remise des données). En cas de demande d'accès ou de contrôle, c'est une lacune évitable.

Si vous utilisez Wix pour un cabinet d'avocats, un cabinet médical ou une fiduciaire, l'art. 321 CP entre en jeu – vous ne pouvez pas recevoir de détails de mandats via des formulaires de contact sans que la correspondance soit sécurisée de bout en bout. Un site Wix convient comme carte de visite, pas comme portail client.

SIDD audite régulièrement les sites Wix dans le cadre d'audits de protection des données pour les PME suisses, les associations et les indépendants. Nous fournissons :

• Audit de votre site Wix existant (déclaration de protection des données, mentions légales, bannière cookies, inventaire des applications) ;
• Élaboration d'une déclaration de protection des données suisse juridiquement sécurisée incluant les éléments LPD ;
• Revue de la configuration de votre tenant Wix et de votre bannière cookies ;
• Mandats de conseiller en protection des données externe ;
• Mandats DPO RGPD pour les entreprises exposées à l'UE (mandats DPO RGPD) ;
• Représentant UE selon l'art. 27 RGPD (Représentant UE) et représentation UK ;
• Ateliers sur les cookies, le tracking et la conformité marketing (atelier de protection des données).

Écrivez-nous via le formulaire de contact ou demandez une offre via le formulaire d'offre. Un audit rapide Wix est livré dans les deux jours ouvrables.