Learn
Documentation How To University Blog Deliverability GuideFree Tools
Subject Line Tester SPF Checker & Generator DMARC Record Generator DMARC Checker DKIM Checker & Generator Email Header Analyzer MX Lookup MTA-STS Checker & Generator BIMI Checker & Generator Email Deliverability Test Email Spam Checker Email Template BuilderKlaviyo et le RGPD : ce qu'une boutique en ligne doit savoir
Klaviyo est une société américaine qui héberge par défaut les données de ses clients aux États-Unis. Depuis septembre 2026, un environnement européen existe en Allemagne, mais seulement pour les nouveaux clients sous contrat. Cette page fait le point sur l'hébergement, le Data Privacy Framework, la position de la CNIL et ce que vous pouvez faire dès maintenant.
Nous ne sommes pas avocats. Cette page est informative et ne constitue pas un conseil juridique. Pour votre situation, adressez-vous à votre délégué à la protection des données (DPO) ou à un avocat.
À dire d'emblée
Nous éditons Broadcast, un logiciel d'emailing que vous hébergez vous-même. Broadcast n'a pas d'application Shopify aujourd'hui. Il ne reçoit pas les événements Shopify, n'envoie pas de relance de panier abandonné, n'a pas de blocs produits et ne fait pas de SMS. Pour y mettre vos clients Shopify, vous les importez en CSV ou vous les envoyez par API et webhook. Si votre chiffre d'affaires repose sur les flows e-commerce de Klaviyo, Broadcast ne les remplace pas.
En bref
- • Klaviyo, Inc. a son siège à Boston et est cotée à la Bourse de New York. Selon sa FAQ sur la confidentialité, les données clients sont stockées aux États-Unis, dans le centre de données AWS us-east-1 en Virginie du Nord. Utiliser Klaviyo, c'est donc organiser un transfert hors UE.
- • Depuis le 15 septembre 2026, les nouveaux clients sous contrat éligibles peuvent ouvrir un compte dans l'environnement européen de Klaviyo, situé en Allemagne. Les comptes existants ne peuvent pas encore y migrer. Klaviyo prévoit d'ouvrir les migrations à partir du premier trimestre 2027.
- • Klaviyo fonde ses transferts sur le Data Privacy Framework et garde les clauses contractuelles types en secours. Le DPF est en vigueur et contesté devant la Cour de justice.
- • À notre connaissance, la CNIL n'a jamais sanctionné Klaviyo. Sa recommandation d'avril 2026 sur les pixels de suivi concerne en revanche tous les outils d'emailing : mesurer les ouvertures d'une campagne demande désormais le consentement du destinataire.
- • Même hébergée en Europe, Klaviyo reste une société américaine soumise au CLOUD Act. Un logiciel installé sur votre serveur en France écarte cette question pour la base d'abonnés. Il ne remplace pas pour autant une plateforme e-commerce.
En un coup d'œil
| Question | Klaviyo | Broadcast auto-hébergé |
|---|---|---|
| Où sont les données ? | États-Unis (AWS us-east-1) ; Allemagne pour les nouveaux clients éligibles | Sur votre serveur, en France si vous le choisissez |
| Transfert hors UE | Oui, via DPF et CCT | Évitable avec une stack 100 % européenne |
| CLOUD Act | Oui, même avec l'hébergement européen | Pas au niveau de l'application et de la base ; pour le relais SMTP, selon votre choix |
| Intégration Shopify | Native et complète (événements, paniers, produits) | Aucune. Import CSV ou connexion maison par API et webhook |
| Prix pour 10 000 contacts | environ 150 $ par mois | 250 $ une fois, plus serveur et envoi |
Où Klaviyo héberge vos données
La réponse a changé en septembre 2026. Pas pour tout le monde.
Comptes existants : États-Unis
La FAQ de Klaviyo sur la confidentialité (mise à jour le 16 juin 2026) indique que toutes les données clients sont stockées aux États-Unis, dans le centre de données AWS us-east-1. Des équipes en Australie, en Irlande, à Singapour et au Royaume-Uni peuvent y accéder sans les stocker.
Si vous utilisez déjà Klaviyo, c'est votre situation. La migration vers l'environnement européen n'est pas ouverte pendant la phase de disponibilité limitée.
Nouveaux clients : environnement européen en Allemagne
Depuis le 15 septembre 2026, les nouveaux clients sous contrat éligibles peuvent démarrer directement dans l'environnement européen de Klaviyo, en Allemagne. Klaviyo y propose Klaviyo for Marketing, Marketing Analytics, Advanced KDP et Klaviyo Social.
L'accord de traitement des données de Klaviyo (mis à jour le 11 septembre 2026) précise que, si vous avez choisi la résidence des données dans l'UE, Klaviyo stocke vos données personnelles dans l'UE. Klaviyo et certains de ses sous-traitants peuvent toutefois les traiter hors de l'UE, avec les mêmes mécanismes de transfert qu'avant.
Sources : FAQ confidentialité de Klaviyo, Klaviyo sur l'EU Data Residency, Data Processing Agreement de Klaviyo. Relevé en octobre 2026.
Ce que dit la CNIL, et ce qu'elle ne dit pas
La CNIL ne s'est pas prononcée sur Klaviyo en particulier. Deux de ses positions vous concernent quand même directement.
Les pixels de suivi, avril 2026
La CNIL a publié le 14 avril 2026 sa recommandation sur les pixels de suivi dans les courriels. Mesurer le taux d'ouverture pour évaluer ou optimiser une campagne demande le consentement du destinataire. La CNIL recommande de le recueillir au moment où vous collectez l'adresse.
Pour les adresses collectées avant le 14 avril 2026, un délai de trois mois permettait d'informer les abonnés et de leur offrir un droit d'opposition. Ce délai a expiré. La règle vaut pour Klaviyo comme pour tout autre outil.
La prospection par e-mail
Envers des particuliers, la prospection par e-mail suppose un consentement préalable : une case dédiée, non pré-cochée. L'article L34-5 du Code des postes et des communications électroniques prévoit une exception pour vos clients, si le message porte sur des produits analogues que vous vendez vous-même.
Pour la CNIL, cette exception suppose une vente réelle. Un simple compte client ne suffit pas. Le client doit aussi pouvoir refuser dès la collecte de son adresse, puis dans chaque message.
Sources : CNIL, recommandation sur les pixels de suivi, FAQ de la CNIL, CNIL, communications électroniques aux prospects et clients.
Data Privacy Framework, clauses contractuelles types et CLOUD Act
Pour un compte américain, le DPF fonde le transfert. Pour un compte européen, la question devient : qui peut exiger l'accès aux données ?
DPF et CCT
Klaviyo participe au Data Privacy Framework UE-États-Unis, à son extension britannique et au DPF Suisse-États-Unis. Son accord de traitement fait du DPF le mécanisme principal. Les clauses contractuelles types (modules 2 et 3) s'appliquent dans la mesure où Klaviyo ne peut pas s'appuyer sur le DPF.
Si le DPF tombe, les CCT prennent le relais. Schrems II impose alors d'évaluer le transfert et d'ajouter des mesures supplémentaires si besoin. Ce travail revient au responsable de traitement, c'est-à-dire à vous.
Le CLOUD Act
Le CLOUD Act, loi américaine de 2018, permet aux autorités américaines d'exiger d'un prestataire américain les données qu'il contrôle, y compris lorsqu'elles sont stockées hors des États-Unis.
L'environnement européen de Klaviyo change le lieu de stockage. Il ne change pas la nationalité de Klaviyo, Inc. Un contrat peut répartir les responsabilités, il ne soustrait pas un prestataire américain au droit américain.
État des lieux, octobre 2026
- • Le DPF est en vigueur. La décision d'adéquation du 10 juillet 2023 s'applique.
- • Pourvoi C-703/25 P : le Tribunal de l'UE a rejeté le recours de Philippe Latombe le 3 septembre 2025 (T-553/23). Le pourvoi est pendant devant la Cour de justice, sans date d'audience connue.
- • Trump v. Slaughter : après cet arrêt de la Cour suprême du 29 juin 2026 sur la révocation des commissaires de la FTC, noyb a demandé le 30 juin 2026 à la Commission d'abroger le DPF. La Commission a annoncé qu'elle en évaluerait les effets.
Le DPF est valide aujourd'hui. Si vous utilisez Klaviyo, sachez ce que vous feriez s'il tombait.
Si vous gardez Klaviyo : la liste de contrôle
Rester chez Klaviyo est un choix défendable. Il se documente.
1. L'accord de sous-traitance
Le Data Processing Agreement de Klaviyo fait partie du contrat et les CCT y sont réputées signées. Téléchargez la version en vigueur et conservez-la.
2. Le registre et la politique de confidentialité
Inscrivez Klaviyo au registre des traitements. Indiquez dans votre politique le destinataire, le transfert vers les États-Unis et son fondement (DPF, CCT en secours).
3. Le consentement à la collecte
Une case non pré-cochée pour la newsletter, distincte de l'acceptation des CGV. Pour vos clients, informez-les de leur droit de refus dès le passage de commande.
4. Les pixels d'ouverture
Recueillez le consentement au suivi des ouvertures au moment de la collecte, ou désactivez la mesure pour les abonnés qui ne l'ont pas donné.
5. Le script sur la boutique
Si vous intégrez le script de Klaviyo pour les formulaires et le suivi, il relève de votre gestion des cookies et ne doit se charger qu'après consentement, sauf s'il est strictement nécessaire.
6. Un plan B écrit
Rédigez votre analyse de transfert pour qu'elle tienne sans le DPF. Notez ce que vous feriez s'il tombait : CCT et mesures supplémentaires, ou changement d'outil.
Une alternative à Klaviyo hébergée en France : ce que Broadcast fait, et ce qu'il ne fait pas
Broadcast n'est pas un SaaS français. C'est un logiciel que vous installez sur votre propre serveur, par exemple chez OVHcloud ou Scaleway. La liste, la base de données et l'envoi restent chez vous. Vous payez 250 $ une fois, sans tarif par contact.
Ce qui marche aujourd'hui
Newsletters, segments, séquences déclenchées par un tag, double opt-in. Le suivi des ouvertures s'active campagne par campagne : vous pouvez donc envoyer sans pixel. Vos clients Shopify arrivent par export CSV, où la colonne « Accepts Email Marketing » indique le consentement, ou par webhook vers l'API de Broadcast.
Un tag comme premier-achat peut alors lancer une séquence : remerciement, conseils d'utilisation, demande d'avis.
Ce que Broadcast ne fait pas
Il n'existe pas d'intégration Shopify native. Broadcast ne voit ni les paniers ni les fiches produits consultées. Pas de relance de panier abandonné, pas de recommandations tirées du catalogue, pas de SMS. Vous pouvez garder la relance de paiement abandonné de Shopify. Si vos flows Klaviyo font votre chiffre d'affaires, gardez Klaviyo pour cela.
Vous cherchez un SaaS d'éditeur français plutôt qu'un logiciel à héberger ? Notre comparatif des alternatives françaises passe en revue Brevo, Mailjet et d'autres.
Combien pour 10 000 contacts
Pour des newsletters et des séquences simples, sans SMS.
Klaviyo, offre e-mail
10 000 profils actifs
Broadcast auto-hébergé
OVHcloud VPS-1 + relais SMTP
Prix Klaviyo selon notre relevé de septembre 2026, détaillé sur Klaviyo Pricing (en anglais). Prix OVHcloud relevé en septembre 2026. Le coût d'envoi dépend du relais SMTP ; les options européennes sont comparées dans notre guide de l'emailing auto-hébergé.
Questions fréquentes
Votre liste, sur votre serveur.
Broadcast ne vous rend pas automatiquement conforme au RGPD. Il retire le prestataire américain du niveau de l'application et de la base.
Une licence unique. Pas de tarif par contact. Pas d'application Shopify, autant le savoir avant.
À lire aussi
Still deciding?
Comparisons cover the tradeoffs. How To covers whether Broadcast does the specific thing you need, organized by what you are trying to accomplish rather than by feature name. If the answer is no, it says no.
Choose Your License
One-time payment, unlimited emails forever
"I was tired of spending hundreds per month on Beehiiv to send emails. […] Then I found Broadcast and now I can scale at my own pace without burning money I worked hard for."
@bensnichedsitesRegular License Most popular
One server, for your own business
$150
$250
Agency License
Up to 5 servers, for client work
$450
Extended License
Up to 25 servers, for many clients
$1,000
Every license has every feature, unlimited subscribers and all 2.x updates.