Les lois qui touchent votre site web américain, écrites clairement.
La loi fédérale sur l'accessibilité, une mosaïque de lois sur la vie privée dans cinquante États, et les règles propres à New York et au Michigan. Ce que chacune exige d'un site public, ce qu'il en coûte de l'ignorer, et comment l'écart se comble.
// L'analyse lit ce qui est publiquement visible sur votre site. C'est un point de départ pour une révision — ni un avis juridique, ni une certification de conformité.
Quatre corps de lois atteignent le site web d'une entreprise américaine.
La plupart des propriétaires connaissent les noms sans jamais avoir vu les exigences écrites clairement. Voici les obligations qui s'appliquent à un site public — sans jargon juridique et, pour la plupart, sans exemption pour les petites entreprises.
// Fédéral · En vigueur dans chaque État
Accessibilité, courriel et textos
Trois régimes fédéraux s'appliquent partout, quelle que soit la loi locale : l'Americans with Disabilities Act pour votre site web, CAN-SPAM pour vos courriels et la TCPA pour vos textos.
Un site web utilisable par les personnes handicapées
Les tribunaux traitent un site public comme une devanture. La norme de travail est WCAG 2.1 AA — contrastes lisibles, formulaires étiquetés, équivalents textuels pour les images, navigation au clavier. Aucun seuil de revenus, aucune exemption pour les petites entreprises.
Des menus en vrai HTML, pas seulement en PDF
Les menus offerts uniquement en PDF et les modules tiers de commande ou de réservation sont les premières choses qu'un avocat de demandeur cherche — et les défauts du module comptent comme les vôtres.
Une déclaration d'accessibilité assortie d'un plan
Une déclaration publiée qui nomme un plan de correction et un échéancier, appuyée par un journal continu et horodaté de ce qui a été corrigé, et quand.
Des courriels honnêtes, avec une porte de sortie
Chaque courriel commercial exige un expéditeur et un objet exacts, une adresse postale valide et un désabonnement fonctionnel, traité dans les 10 jours ouvrables.
Un consentement écrit avant les textos de marketing
Les textos de marketing exigent un consentement écrit exprès préalable, des heures de silence de 8 h à 21 h dans le fuseau du destinataire, le traitement du mot STOP et un expéditeur enregistré — les opérateurs bloquent le trafic non enregistré.
Aucun module de superposition
Une superposition d'accessibilité posée sur un site ne corrige pas le code en dessous, et la vendre comme solution de conformité a valu des mesures réglementaires au fournisseur.
// New York · État et ville
Sécurité des données, divulgations et prix
New York ajoute ses propres obligations aux règles fédérales, et elles lient toute entreprise qui détient des renseignements sur un résident de New York — sans qu'il faille y être établi.
Des mesures de protection raisonnables
La loi SHIELD exige des mesures administratives, techniques et physiques — en pratique, un programme de sécurité écrit, le chiffrement en transit et au repos, et des contrôles d'accès. Aucun seuil de revenus ni d'effectifs.
Un avis de fuite dans les 30 jours
Les résidents touchés doivent être avisés dans les 30 jours suivant la découverte, avec le procureur général et, depuis décembre 2024, le régulateur financier sur la liste. Un délai si court doit être une minuterie du système.
Les prix fixés à partir des données du client sont divulgués
Depuis novembre 2025, tout prix fixé par un algorithme à partir des données personnelles d'un client doit porter une mention fixe et bien visible à côté — sur chaque surface qui affiche le prix.
Le prix affiché égale le total
Les articles sur les pratiques trompeuses et la publicité mensongère sont le fourre-tout des frais cachés et des promotions trompeuses. Le prix sur la page, le total facturé et chaque affirmation doivent résister à une lecture littérale.
Les lois sur les droits de la personne s'ajoutent à l'ADA
Les lois de l'État et de la ville sur les droits de la personne ajoutent des dommages compensatoires que l'ADA fédérale ne prévoit pas. New York devance tous les États pour les poursuites en accessibilité.
Ville de New York : étiquetage des menus et biométrie
Les chaînes de 15 établissements ou plus doivent afficher les calories, un avertissement sur le sodium et une mention de sucres ajoutés — commande en ligne comprise. Toute borne à reconnaissance faciale ou digitale exige un avis affiché, et les données biométriques ne peuvent jamais être vendues.
// Michigan · État
Sécurité de base et pratiques honnêtes
Le Michigan exige une base de sécurité, un avis de fuite rapide et une hygiène d'accessibilité standard — moins de divulgations qu'à New York, mais les règles fédérales s'appliquent en entier.
Protéger les renseignements sensibles
L'Identity Theft Protection Act oblige les entreprises à protéger les renseignements sensibles et à aviser rapidement après une fuite — le pendant, au Michigan, de la loi SHIELD de New York.
Aucune pratique trompeuse
Le Consumer Protection Act est le fourre-tout du Michigan, et le procureur général s'en sert. Prix affichés, totaux et affirmations promotionnelles doivent tous tenir.
Accessibilité, État et fédéral
Le Persons with Disabilities Civil Rights Act est l'équivalent étatique de l'ADA, et la loi fédérale s'applique en entier au Michigan. Moins de poursuites qu'à New York ; la même norme.
Des réglages de confidentialité élevés par défaut pour les mineurs
Le Kids Code Act, en vigueur depuis juillet 2026, exige la minimisation des données et des réglages de confidentialité élevés par défaut sur tout service auquel des mineurs accèdent — une page de menu pour enfants peut suffire à le déclencher.
La confidentialité des enregistrements atteint le pistage
Une loi plus ancienne sur les registres d'achats des clients n'impose aucune condition de résidence et a été invoquée contre des pixels publicitaires — en jeu dès que vous vendez des médias ou reliez une vidéo à des balises publicitaires.
Des listes de marketing filtrées selon l'âge
Si un établissement vend un produit interdit aux mineurs, les listes de marketing doivent être filtrées contre le registre de protection des enfants de l'État avant tout envoi.
// Environ 20 États · La loi suit le client
Vie privée, témoins et pistage
Une vingtaine d'États ont maintenant une loi générale sur la vie privée, et elle suit le lieu de résidence de vos clients plutôt que le vôtre. Deux d'entre elles atteignent presque tous les sites américains.
Une politique de confidentialité publiée
La règle d'affichage de la Californie est déclenchée par tout visiteur californien — ce qui, en pratique, vise tous les sites destinés aux États-Unis. Ce que vous recueillez, pourquoi, qui le reçoit, les droits de vos clients, un contact et une date d'entrée en vigueur.
Accès, suppression, rectification et retrait
Les lois générales accordent aux consommateurs des droits sur leurs données dès qu'une entreprise franchit leurs seuils — typiquement 100 000 consommateurs, ou 25 000 plus des revenus tirés de la vente de données.
Respecter le signal Global Privacy Control
Une douzaine d'États exigent maintenant qu'un site traite le signal GPC du navigateur comme un refus de la vente et de la publicité ciblée. Les délais de correction disparaissent : un premier avis ne vient plus avec une chance de se reprendre.
Pixels et enregistrement de session : matière à poursuites
L'exposition qui croît le plus vite est le litige privé, sous des lois sur l'écoute électronique vieilles de plusieurs décennies, visant les pixels publicitaires et les outils d'enregistrement de session — en recours collectif.
Le consentement avant que les balises se déclenchent
Un inventaire des balises, une bannière avec un vrai refus, et aucune balise publicitaire ou analytique déclenchée avant le consentement — recommandé partout où tournent des pixels, obligatoire là où une loi d'État s'applique.
Les données des enfants
Menus pour enfants, jeux et inscriptions aux fêtes d'anniversaire peuvent faire tomber un site sous la règle fédérale sur la vie privée des enfants : consentement parental vérifié avant la collecte, et aucun pistage sur ces pages.
Pourquoi nous n'utilisons pas de surcouches de conformité
La façon la plus rapide de prétendre à la conformité, c'est un script tiers qui pose une bannière et un widget par-dessus votre site existant. C'est aussi la façon la plus rapide de le ralentir, et les surcouches ont un piètre bilan quand vient le temps de satisfaire les régulateurs ou les personnes qu'elles sont censées aider. Nestor change plutôt le code sous-jacent — plus long à déployer, mais c'est la version qui tient quand quelqu'un regarde de près.
Les chiffres, tirés des lois elles-mêmes.
Chaque chiffre ci-dessous provient de la loi qui le fixe, avec le lien — vérifiez-nous en un clic.
500 $ à 1 500 $ par SMS
Les dommages pour SMS se comptent par message
Un destinataire peut réclamer 500 $ par message envoyé sans le consentement exigé, et le tribunal peut tripler ce montant jusqu'à 1 500 $ en cas de violation délibérée. Le recours appartient au destinataire, ce qui transforme une seule campagne non conforme en recours collectif.
Source : 47 U.S.C. § 227(b)(3)Jusqu'à 5 000 $ par infraction
SHIELD Act — mesures de protection raisonnables
Toute entreprise détenant des renseignements privés d'un résident de New York doit maintenir des mesures administratives, techniques et physiques raisonnables, où qu'elle soit établie. Aucune entreprise n'est exemptée, mais celle de moins de 50 employés, de moins de 3 M$ de revenus ou de moins de 5 M$ d'actifs peut adapter ses mesures à sa taille. Appliqué par le procureur général, qui recouvre des pénalités pouvant atteindre 5 000 $ par infraction en vertu de l'art. 350-d; aucun recours privé n'existe.
Source : NY General Business Law § 899-bb (penalties via § 350-d)Jusqu'à 250 000 $ pour un avis manqué
Défaut d'aviser
Le tribunal peut imposer le plus élevé de 5 000 $ ou jusqu'à 20 $ par avis manqué — plafonné à 250 000 $. Cela s'ajoute à l'exposition liée aux mesures de protection.
Source : NY General Business Law § 899-aa5 000 $ par infraction, en recours collectif
Poursuites en interception visant pixels et rejeu de session
La loi californienne sur l'interception permet de réclamer 5 000 $ par infraction, ou le triple des dommages réels, selon le plus élevé — et précise qu'avoir subi un préjudice réel n'est pas une condition préalable à la poursuite. C'est ce qui transforme un pixel déclenché auprès de milliers de visiteurs en recours collectif.
Source : California Penal Code § 637.2Plancher de 50 $, triplé jusqu'à 1 000 $
Actes trompeurs et publicité fausse
New York déclare illicites les pratiques commerciales déloyales, trompeuses ou abusives, en termes généraux. Toute personne lésée peut réclamer ses dommages réels ou 50 $, selon le plus élevé, et le tribunal peut tripler l'octroi jusqu'à 1 000 $ en cas de violation délibérée, avec les honoraires. Le procureur général peut agir séparément.
Source : NY General Business Law § 349(h)Jusqu'à 1 000 $ par infraction
Les prix établis à partir des données du client portent une phrase fixe
Depuis le 10 novembre 2025, un prix établi à partir des données personnelles d'un client doit porter une phrase exacte, bien en vue, à côté du prix et au même moment que lui. Le libellé est prescrit : une version modifiée est un défaut, pas une variante.
Source : NY General Business Law § 349-aAdresse, désabonnement, 10 jours ouvrables
Un courriel commercial exige une adresse et une sortie
Chaque message commercial doit porter une adresse postale réelle et un mécanisme de désabonnement fonctionnel pendant au moins 30 jours après l'envoi, et un désabonnement doit être honoré dans les 10 jours ouvrables. Les en-têtes et objets trompeurs sont illicites séparément. Appliqué par la FTC et les procureurs généraux; la pénalité par message relève du FTC Act et est indexée chaque année.
Source : 15 U.S.C. § 7704Aucune exemption, aucun refuge
L'ADA vise tout site accessible au public
Selon le ministère de la Justice, l'ADA vise tout ce qu'une entreprise ouverte au public offre, y compris sur le web, sans seuil de taille. Les entreprises disposent d'une latitude sur la MANIÈRE de se conformer plutôt que d'une norme technique unique imposée — les WCAG sont citées comme guide utile et constituent la référence retenue en pratique.
Source : US Department of Justice — ADA guidance on web accessibilityUne seconde loi, avec ses propres obligations
Les lois new-yorkaises s'ajoutent à la loi fédérale
La Loi sur les droits de la personne de New York interdit séparément la discrimination fondée sur le handicap par les lieux ouverts au public et exige des modifications raisonnables, le retrait des obstacles à la communication lorsque cela est aisément réalisable, et des aides auxiliaires sauf contrainte excessive. Elle s'applique en parallèle de la règle fédérale.
Source : NY Executive Law § 296(2)30 jours après la découverte
Avis d'atteinte — New York
Les New-Yorkais touchés doivent être avisés dans les trente jours suivant la découverte d'une atteinte. Le procureur général, le Department of State et la police d'État doivent aussi être avisés; le Department of Financial Services uniquement si l'entreprise est assujettie à sa réglementation, ce qu'un restaurant n'est pas.
Source : NY General Business Law § 899-aaTout site visité depuis la Californie
La règle californienne d'affichage vise votre site
Tout site commercial recueillant des renseignements personnels d'un résident de la Californie doit publier une politique de confidentialité — en pratique, tout site destiné au public américain. Elle doit nommer les catégories recueillies et les tiers destinataires, décrire l'annonce des modifications, porter une date d'entrée en vigueur et indiquer comment le site répond aux signaux « Do Not Track ». L'absence ne devient une infraction que si elle persiste 30 jours après un avis.
Source : Cal. Business & Professions Code § 22575Consentement parental avant toute collecte
La règle fédérale vise toute surface conçue pour les moins de 13 ans
Lorsqu'un site s'adresse à des enfants de moins de 13 ans — un menu enfants, un jeu ou une inscription à une fête peuvent suffire — le consentement parental vérifiable doit précéder toute collecte, utilisation ou communication de renseignements personnels, et non la suivre.
Source : 16 CFR § 312.5 (COPPA Rule)// Maximums légaux et montants par infraction, pas des prédictions pour une entreprise donnée. Ce qu'un tribunal ou un régulateur décide dépend des faits. Point de départ pour une révision, pas un avis juridique.
Analyser, reconstruire, approuver, rester à jour.
La conformité n'est pas une correction ponctuelle — la loi suit chaque changement de contenu que vous faites. Nestor s'occupe du premier passage, puis empêche la dérive.
// 01 · Analyse
Nous lisons votre site public
Chaque page, formulaire, traceur et module intégré. Vous obtenez un compte rendu en langage clair de ce qui est en place, de ce qui manque et de ce qu'une analyse ne peut confirmer de l'extérieur.
// 02 · Reconstruction
Les correctifs vont dans le vrai code
Textes de remplacement, contrastes, formulaires étiquetés, consentement avant les balises, une politique de confidentialité qui correspond à ce que le site recueille — intégrés au site lui-même, jamais un module posé par-dessus.
// 03 · Approbation
Rien ne part sans vous
Chaque changement est préparé en préproduction et prévisualisé. Vous approuvez par texto ou dans le panneau — un geste pour publier, un geste pour renvoyer.
// 04 · Maintien
Le dossier se tient tout seul
Un journal de correction horodaté, des registres de consentement avec le libellé montré, et un journal des envois qui prouve qu'un désabonnement a été honoré. Des vérifications continues attrapent la dérive avant une mise en demeure.
Les données de vos clients, gardées à leur place.
// Pris en charge
Demandes, traitées
Quand un client demande quelles données vous détenez — ou en veut la suppression — c'est fait, et les vieilles données s'effacent selon le calendrier. Rien à retenir de votre côté.
// Sur place
Hébergement dans la région
Les renseignements de vos clients vivent sur des serveurs de la région que vous choisissez, avec des journaux d'audit immuables montrant où ils ont été tout du long.
// Un seul extrait
Une ligne de code
Rien à rebâtir, rien à migrer. Un extrait sur votre site et la couche de conformité tourne.